PAM na indústria: controlar o acesso privilegiado do fornecedor que opera remoto no sistema de controle

Planta industrial depende de fornecedor externo pra manutenção de equipamento especializado — e boa parte dessa manutenção, hoje, acontece remotamente: o técnico do fabricante do equipamento acessa o sistema de controle de fora da planta pra diagnosticar falha ou aplicar atualização, sem precisar se deslocar fisicamente.

O problema raramente está na prática em si — é legítima e necessária. Está em como esse acesso costuma ser configurado: credencial criada uma vez, pra resolver um chamado específico, e nunca desativada depois. Meses ou anos depois, a conexão continua ativa, sem ninguém revisando se ainda deveria existir.

Acesso pontual que nunca é revogado

Revogar e reconceder acesso toda vez que um fornecedor precisa resolver um chamado dá trabalho — então, na prática, muita planta opta pelo caminho de menor atrito: deixa o túnel de VPN ou a credencial compartilhada ativa permanentemente, "pra não ter que configurar de novo da próxima vez". Esse atalho administrativo transforma o que deveria ser acesso temporário e supervisionado em porta de entrada permanente, com credencial que ninguém revisa nem sabe dizer, com certeza, se ainda está em uso legítimo.

PAM pra TI não é o mesmo PAM pra OT

Gestão de acesso privilegiado desenhada pra ambiente corporativo — cobrindo servidor, estação de trabalho, aplicação integrada a SSO — parte de premissas que ambiente de OT frequentemente não cumpre: sistema legado que não roda agente moderno, protocolo proprietário, equipamento que não pode ser atualizado sem quebrar certificação do fabricante. PAM aplicado a OT precisa operar por fora do dispositivo-alvo — um gateway de acesso que intermedeia toda a sessão, concede elevação de privilégio por tempo limitado, e nunca entrega a credencial real pro fornecedor externo.

Esse padrão de arquitetura de identidade moderna, que já se consolidou no ambiente corporativo, chega atrasado no ambiente industrial — mas o risco que resolve é, se não maior, pelo menos igualmente crítico.

Sessão registrada é tão importante quanto sessão autorizada

Autorizar o acesso é só metade do controle. A outra metade é registrar com detalhe o que aconteceu durante a sessão — que comando foi executado, que parâmetro foi alterado, em que sistema. Esse registro importa tanto pra investigação de incidente quanto pra uma pergunta cada vez mais relevante quando algo falha depois de uma manutenção remota: o que exatamente o fornecedor fez, e isso está documentado ou depende da palavra de quem estava do outro lado da conexão.

Isso é decisão de arquitetura, não cláusula de contrato

Cláusula contratual dizendo que "acesso deve ser autorizado e auditado" não implementa controle nenhum sozinha — só formaliza uma expectativa que precisa de mecanismo técnico real pra valer. O mesmo rigor já aplicado ao monitoramento contínuo de risco de fornecedor precisa se estender à camada de acesso remoto especificamente: cada fornecedor com credencial ativa no ambiente de OT é, por definição, parte da superfície de risco da planta, e precisa do mesmo nível de controle técnico — não só contratual — que qualquer outro acesso privilegiado.

Credencial esquecida é porta que ninguém tranca

Mapear quantas conexões de fornecedor seguem ativas no ambiente de controle industrial, hoje, sem revisão recente, costuma revelar número maior do que a maioria das plantas espera. A UNIQ ajuda operação industrial a estruturar PAM específico pra esse cenário. Fale com o time técnico pra começar esse mapeamento.