GCVE-110-CERTPT-2026-136125

Enquadramento Os sistemas de controlo industrial (OT) e os equipamentos IoT industriais estão presentes em setores como o retalho alimentar, a saúde, a indústria, a energia, o abastecimento de água, a gestão de edifícios e nos centros de dados. Incluem, entre outros, controladores de refrigeração, PLC, HMI, sensores, gateways de comunicação e sistemas de gestão técnica de edifícios. Quando acessíveis a partir da Internet, com credenciais por omissão ou com firmware desatualizado, estes equipamentos podem ser comprometidos e ver o seu funcionamento alterado. O CERT.PT recomenda às organizações que revejam a segurança destes sistemas de acordo com as boas práticas indicadas abaixo. Importa igualmente considerar o risco associado à cadeia de abastecimento. Ainda que uma organização conheça o nível de segurança dos seus próprios sistemas, nem sempre dispõe de visibilidade sobre a maturidade em cibersegurança dos fornecedores e prestadores de serviços que lhes têm acesso, a qual poderá ser inferior e constituir, por essa via, um fator de risco para a própria organização. Boas práticas recomendadas Manter um inventário atualizado dos equipamentos OT e IoT, incluindo os geridos por prestadores de serviços; Evitar a exposição direta à Internet das interfaces de gestão e controlo. O acesso remoto deve ser feito através de VPN com autenticação multifator; Substituir credenciais por omissão ou partilhadas e desativar contas que não estejam em uso; Aplicar regularmente as atualizações de firmware e software disponibilizadas pelos fabricantes; Separar a rede OT da rede corporativa (IT); Controlar e registar os acessos remotos de fornecedores e técnicos de manutenção; Desativar serviços e protocolos que não sejam necessários; Rever periodicamente os registos de acesso e as configurações dos equipamentos, bem como o funcionamento dos alarmes; Manter cópias de segurança das configurações e procedimentos de operação manual em caso de falha; Avaliar o nível de maturidade em cibersegurança dos fornecedores e prestadores de serviços e incluir requisitos de segurança nos respetivos contratos. Notificação Situações suspeitas devem ser reportadas ao CERT.PT através do endereço cert@cert.pt ou do telefone +351 210 497 399.