Segurança cibernética de sistemas prediais (BMS): protegendo a camada OT do edifício

Por que o BMS virou uma superfície de ataque

Durante décadas, o sistema predial era mecânico e isolado. Hoje o BMS é um ecossistema digital que controla climatização, iluminação, acesso, elevadores, detecção de incêndio e sensores — sobre protocolos IP e muitas vezes acessível remotamente. Ao ganhar conectividade, o edifício ganhou uma superfície de ataque que antes não existia. Este artigo é distinto de "Integração de sistemas prediais: do BMS ao painel único", que aborda eficiência e uso de dados, e complementa "IoT predial e Building Management System (BMS)", que apresenta os componentes. Aqui o foco é proteger a infraestrutura.

O que os levantamentos de mercado apontam

Os números a seguir são referências de mercado atribuídas às fontes citadas, não estatísticas absolutas — servem para dimensionar o problema. Pesquisa da Kaspersky indicou que 38% dos edifícios inteligentes sofreram ao menos um ataque ao BAS em doze meses. A unidade Team82, da Claroty, reportou que 75% das organizações tinham dispositivos de BMS afetados por vulnerabilidades já exploradas na prática, e 51% mantinham dispositivos ligados a vulnerabilidades de ransomware e, ao mesmo tempo, expostos à internet. A Dragos aponta que cerca de 70% dos incidentes de OT envolvem acesso de terceiros, e agências como a CISA colocam a automação predial entre os vetores em infraestrutura crítica. A leitura prática: o BMS deixou de ser alvo improvável.

E o impacto é físico, não só digital. Um ataque bem-sucedido pode desligar o ar-condicionado de um data center ou hospital, travar portas e elevadores, comprometer a segurança de vida ou usar o BMS como ponte para a rede corporativa. Casos noticiados de ataques a operadoras hoteleiras e a fabricantes de automação mostraram interrupções concretas e alto custo de remediação — por isso a segurança do BMS é continuidade da operação, não só "assunto de TI".

Governança: quem responde pela segurança do BMS

TI ou Facilities: de quem é a responsabilidade?

Essa pergunta trava a maioria das empresas. A TI entende de rede e segurança, mas raramente conhece os controladores prediais. Facilities conhece os sistemas, mas não tem, historicamente, formação em cibersegurança. Sem dono claro, os controles nunca são testados. A boa prática é um modelo compartilhado, documentado numa matriz de papéis: a TI cuida da segurança de rede e da política de atualização; Facilities cuida do inventário dos ativos e do acesso de fornecedores; a resposta a incidentes é de um grupo conjunto. O ponto não é decidir "TI ou Facilities" — é escrever quem faz o quê.

Os controles que resolvem a maior parte do risco

Por que trocar senhas padrão é o item número um

Ferramentas que varrem a internet encontram, de forma consistente, milhares de controladores prediais usando a senha de fábrica. É a vulnerabilidade mais explorada e a mais barata de corrigir. Trocar senhas padrão, eliminar contas compartilhadas e adotar acesso por perfil já elimina uma fatia enorme do risco, sem trocar equipamento — e vale para qualquer porte.

Por que manter o firmware atualizado importa tanto

Controladores e gateways recebem correções de segurança, mas a maioria das instalações não tem processo formal de atualização para o BMS. O resultado é o "BMS mediano": conectado desde a instalação, nunca atualizado, acumulando anos de vulnerabilidades conhecidas. Estabelecer um ciclo de atualização — mensal onde o fabricante permite, ou ao menos revisado periodicamente — fecha janelas que atacantes já sabem explorar. Quando o equipamento é antigo demais para atualizar, a proteção vem da rede (segmentação e controle de acesso), não do próprio dispositivo.

O que é segmentação de rede IT/OT e por que as seguradoras passaram a exigir

A arquitetura padrão de muitos edifícios coloca os controladores prediais na mesma rede dos computadores corporativos — uma única superfície plana. O problema clássico: um atacante que compromete uma estação caminha lateralmente até o controlador de HVAC, ou o contrário. Segmentar é isolar o BMS numa rede própria, que só se comunica com pontos autorizados e por regras explícitas. NIST SP 800-82 e IEC 62443 prescrevem essa separação. O que mudou recentemente é comercial: seguradoras cibernéticas passaram a perguntar, na renovação, se a rede OT está separada da de TI — e a ausência deixou de só encarecer o prêmio para poder inviabilizar a apólice.

Por que os protocolos legados (BACnet, Modbus) são um risco permanente

Boa parte do BMS fala protocolos criados quando a ameaça era "uma porta trancada com chave": o Modbus é dos anos 1970, o BACnet dos anos 1990. Eles não têm autenticação nem criptografia nativas — qualquer dispositivo na mesma rede pode ler e escrever comandos. Existem versões mais seguras (como o BACnet/SC), mas a base instalada roda em ciclos de troca de 15 a 25 anos: o controlador de hoje seguirá em operação por anos e nunca suportará a versão segura. A fragilidade do protocolo não é transitória — é permanente. Por isso a segurança vem da camada de rede: segmentação, controle de acesso e monitoramento, não do protocolo em si.

Fornecedores e integradores: o maior vetor de risco

Como controlar o acesso remoto do fornecedor de automação

Como cerca de 70% dos incidentes de OT envolvem acesso de terceiros, este é o ponto que mais merece atenção. Os padrões problemáticos são conhecidos: um único usuário e senha para toda a empresa, a licença de acesso remoto passando entre técnicos, e a VPN ativa indefinidamente — acesso 24 horas para quem só precisava de duas por trimestre. Quando um técnico sai, a credencial raramente é revogada, porque nunca foi individual. Os controles que corrigem: acesso individual e autenticado, prazo definido com expiração automática e registro de cada sessão (quem conectou, quando e o que alterou).

O que exigir do integrador em contrato

O momento de negociar segurança é antes de contratar, não depois do incidente. Requisitos que cabem em contrato de integrador ou de manutenção do BMS:

• Credenciais individuais por técnico, sem contas compartilhadas, com acesso remoto temporário e auditável (registro de cada sessão) e revogação imediata quando alguém sai da equipe.
• Entrega e atualização do inventário dos dispositivos (modelo, firmware, endereço na rede) e troca das senhas de fábrica na entrega.
• Aplicação das atualizações de firmware do fabricante em prazo acordado, com backup das configurações e apoio na recuperação.
• Cláusula de notificação: o fornecedor avisa o cliente se sofrer incidente que afete os sistemas conectados.

Inventário, monitoramento e resposta a incidentes

Como montar e manter o inventário de dispositivos

Não se protege o que não se conhece — e levantamentos indicam que mais da metade das organizações tem inventário impreciso ou inexistente dos ativos de OT. O inventário do BMS deve listar cada controlador, gateway, servidor, sensor e software, com localização na rede, firmware e status de conectividade (interno, remoto, exposto à internet). A varredura passiva descobre o que existe sem interferir na operação. Precisa ser atualizado a cada obra, troca de equipamento ou mudança de integrador — é a base de todo o resto.

Como é um plano de resposta a incidente predial

Um plano de resposta genérico de TI não serve para o BMS, porque as consequências são físicas. O plano predial precisa responder, para cada sistema crítico: como isolar (desconectar da rede sem interromper o essencial à segurança de vida), quem escalar, como comunicar e como recuperar. A recuperação depende de um item esquecido: backup offline e atualizado das configurações do BMS. Com backup, restaurar leva horas; sem, semanas. O plano precisa ser escrito e ensaiado, não improvisado no dia do ataque.

Quais normas e referências orientam a segurança do BMS

Não é preciso inventar controles do zero — os frameworks existem. A tabela resume as principais referências.

No Brasil, some-se a atenção à proteção de dados quando o BMS integra câmeras, controle de acesso e dados de ocupação. O princípio comum a todos os frameworks é o mesmo: visibilidade dos ativos, segmentação, controle de acesso e resposta a incidentes. Se o orçamento é limitado, comece pelos itens de maior retorno — trocar senhas padrão, tirar o BMS da exposição à internet, encerrar o acesso remoto permanente do fornecedor e fazer o inventário —, que endereçam a maior parte dos vetores sem trocar equipamento; segmentação avançada, monitoramento e contratos robustos vêm depois.