PROFINET Security Class 1: base segura para IA

A maior parte dos projetos de IA na indústria não falha por falta de modelo, dados ou talento. Falha por algo bem menos “glamouroso”: a infraestrutura de comunicação não foi pensada para operar conectada e sob ataque.

Se a sua fábrica está a juntar sensores, controladores, gateways, edge e cloud para fazer manutenção preditiva, otimização de OEE e controlo de qualidade com visão computacional, então a rede OT deixou de ser “um cabo e um switch”. É um ativo crítico. E quando esse ativo é vulnerável, a IA vira um risco operacional: dados adulterados, configurações alteradas, paragens não planeadas e decisões automáticas baseadas em informação errada.

É neste ponto que a PROFINET Security Class 1 se torna relevante. Não é uma “camada extra” para cumprir auditoria; é um patamar mínimo de higiene de segurança para ambientes PROFINET modernos, onde IT e OT já estão inevitavelmente ligados.

Porque a IA precisa de redes OT seguras (e não só rápidas)

A IA industrial depende de integridade e rastreabilidade. De pouco serve recolher milhares de amostras por minuto se alguém consegue manipular a configuração de um dispositivo, trocar um ficheiro de descrição, ou abrir superfícies de gestão com permissões a mais.

Na prática, os principais casos de uso de IA em manufatura exigem três garantias:

• Integridade dos dados (o sinal que chega ao modelo é o que saiu do sensor)
• Integridade da configuração (as regras de rede e dos dispositivos não mudam “por fora”)
• Disponibilidade (a produção não para por incidentes evitáveis)

Um exemplo simples: numa linha com manutenção preditiva, um algoritmo pode decidir reduzir carga, antecipar troca de rolamento ou reprogramar paragens. Se alguém conseguir alterar parâmetros de dispositivo ou introduzir descrições adulteradas, o modelo passa a “ver” uma fábrica que não existe. IA boa com dados maus produz decisões más mais depressa.

É aqui que o conceito de Defense in Depth (defesa em camadas) encaixa: não apostar tudo numa única barreira, mas somar controles técnicos e operacionais para reduzir a probabilidade de falha.

IT e OT: a fronteira já não é uma parede

A separação tradicional entre IT e OT está a dissolver-se. Antes, IT cuidava de ERP, e-mail, BI e servidores; OT cuidava de PLCs, drives, I/O e SCADA. A digitalização aproximou os dois mundos por uma razão prática: o valor está em circular dados.

Hoje, é comum ver:

• OT a alimentar pipelines de dados para analítica e IA (edge/cloud)
• IT a impor requisitos de identidade, patching e monitorização
• Fornecedores e integradores a fazer suporte remoto

O resultado é previsível: o perímetro expandiu. E quando o perímetro expande, a segurança precisa de ser desenhada em detalhes “pequenos”, muitas vezes ignorados—como ficheiros de descrição, protocolos de descoberta e interfaces de gestão.

A PROFINET Security Class 1 endereça exatamente esses detalhes básicos.

O que a PROFINET Security Class 1 muda na prática

A PROFINET Security Class 1 define um conjunto de medidas base para reduzir riscos comuns em redes PROFINET, com foco em impedir manipulações silenciosas e limitar superfícies de ataque em funções de gestão e configuração.

GSD “assinada”: menos espaço para adulteração de configuração

Um dos pontos mais concretos é a evolução dos ficheiros GSDML, que descrevem como os dispositivos se comportam e interagem na rede (capacidades, módulos, parâmetros, etc.).

Com a Security Class 1, essa lógica passa por ficheiros com assinatura digital (mencionados no contexto como extensão .GSDX), o que aumenta a confiança em dois aspetos:

• Autenticidade: o ficheiro vem de quem diz que vem
• Integridade: o conteúdo não foi alterado no caminho

Na vida real, isto evita um tipo de problema que já vi acontecer em fábricas: “pequenas alterações” em descrições e parâmetros que passam despercebidas porque parecem apenas parte do comissionamento. Com assinatura, a alteração deixa rasto e, idealmente, deixa de ser aceite.

Para projetos de IA, isto é ouro. Se queres treinar modelos e operar com versionamento de configuração, a assinatura ajuda a manter o ambiente estável e auditável.

SNMP sob controlo: monitorizar sim, abrir porta não

SNMP é útil para monitorização, mas também pode virar vetor de risco quando está ativo com permissões excessivas ou configurações permissivas.

A PROFINET Security Class 1 permite:

• Desativar SNMP, quando não é necessário
• Limitar a acesso apenas de leitura, reduzindo a chance de manipulação remota

Isto tem um impacto direto em operações: dá para manter observabilidade (o que a equipa de confiabilidade e o NOC adoram) sem oferecer um “comando remoto” para mudanças de estado.

Num cenário de IA, esta disciplina evita o clássico conflito entre “quero dados para o modelo” e “não quero mais portas abertas”. Dá para ter os dois, desde que a governança de protocolo seja explícita.

DCP em modo read-only: descoberta e configuração com travão de mão

O DCP (Discovery and Configuration Protocol) ajuda na descoberta e configuração inicial de dispositivos. O problema é quando isso fica aberto durante operação normal.

Com a Security Class 1, o DCP pode ser colocado em modo apenas leitura. A ideia é simples e prática:

1. Configuras o que tens a configurar
2. Bloqueias mudanças silenciosas depois

Para fábricas com alta automação, isto reduz uma categoria inteira de incidentes: alterações “fantasma” que só aparecem quando a linha começa a comportar-se de forma estranha.

E para iniciativas de IA, isso protege a consistência do ambiente de dados. Se o mapeamento lógico de um dispositivo muda sem controlo, o pipeline de dados também muda—e o modelo degrada.

Integração em periféricos e I/O: segurança também mora no chão de fábrica

Outra mudança relevante é a integração destas funções em módulos de interface e periferia descentralizada (como a linha SIMATIC ET 200 citada no contexto). Em ambientes industriais, não adianta proteger só “o core” da rede e esquecer a borda.

Ao trazer mecanismos adicionais de proteção e verificação no arranque (boot integrity e validações), a periferia deixa de ser o elo fraco. Na prática:

• reduz-se a probabilidade de um dispositivo arrancar com estado adulterado
• melhora-se a confiabilidade em ambientes com manutenção frequente

Para quem usa IA para qualidade e rastreabilidade, isto ajuda a manter a cadeia de medição íntegra do sensor ao sistema.

Como ligar Security Class 1 aos casos de uso de IA na manufatura

Segurança de rede não é um “projeto paralelo”; é um habilitador direto de valor em IA. Eis três conexões bem concretas.

1) Manutenção preditiva: sem integridade, o modelo alucina

Modelos de manutenção preditiva detetam padrões subtis: vibração, temperatura, corrente, ruído, pressão. Quando parâmetros de dispositivo ou descrições mudam, os dados podem ficar:

• deslocados (unidades/escala)
• incompletos (canais trocados)
• inconsistentes (tags remapeadas)

Ao endurecer GSD assinada e travar mudanças via DCP read-only, reduz-se a chance de “drift operacional” causado por configuração—um dos drifts mais caros porque não parece drift, parece “a máquina ficou estranha”.

2) Controlo de qualidade com IA: decisões automáticas precisam de confiança

Visão computacional e IA de inspeção tomam decisões em tempo real: rejeitar, retrabalhar, parar. Se a rede OT for manipulável, abre-se espaço para:

• alteração de thresholds via gestão remota
• mascaramento de alarmes
• interferência em dispositivos periféricos

O controlo de SNMP e o reforço na periferia (I/O) ajudam a reduzir essas superfícies. Quando a IA decide, a fábrica executa. Logo, a segurança precisa estar ao nível dessa responsabilidade.

3) OT conectada ao IT: dados para IA, mas com governança

Quase toda iniciativa séria de IA exige integração OT-IT. O erro comum é ligar rápido e “arrumar depois”. O custo aparece em 6 a 12 meses: auditorias, incidentes, ou bloqueios internos.

A abordagem que funciona melhor é:

• definir o que precisa estar visível e por quem
• limitar protocolos de gestão ao mínimo
• bloquear alterações pós-comissionamento

Security Class 1 encaixa bem como linha de base para isso.

Um plano prático em 30 dias para aplicar (sem parar a fábrica)

A adoção de medidas base dá para ser faseada, sem a fantasia de “vamos trocar tudo”. Um plano realista para o primeiro mês:

1. Inventário e criticidade (Semana 1)

   • Lista de ativos PROFINET (controladores, I/O, switches, HMIs)
   • Identificação do que impacta segurança de pessoas, qualidade e paragem de linha

2. Política de configuração (Semana 2)

   • Definir quem pode alterar o quê (e como aprova)
   • Versionar configurações e guardar backups validados

3. Protocolos de gestão (Semana 3)

   • Rever uso de SNMP: desativar onde não é necessário; onde for necessário, colocar em read-only
   • Rever DCP: manter configurável apenas durante janelas controladas; depois, read-only

4. Higiene de ficheiros e engenharia (Semana 4)

   • Validar origem e integridade de ficheiros de descrição (cadeia de fornecimento)
   • Definir rotina de verificação e armazenamento “confiável” dos ficheiros usados em engenharia

Uma regra simples: a fábrica não pode depender de “memória tribal” para se manter segura. Se a segurança não é repetível, não é segurança.

Perguntas comuns que equipas fazem (e respostas diretas)

“Security Class 1 é suficiente?”

É o mínimo decente, não o fim da estrada. Resolve riscos frequentes e melhora disciplina operacional. Para ambientes expostos, com acesso remoto, alta criticidade e requisitos regulatórios, normalmente vai ser preciso ir além (segmentação, gestão de identidades, monitorização OT, processos de patching e resposta a incidentes).

“Isto vai aumentar downtime?”

Tende a reduzir downtime ao longo do tempo. Travar alterações silenciosas e endurecer gestão diminui incidentes difíceis de diagnosticar. O cuidado é implementar em fases e testar em ambientes representativos.

“Qual é a relação com Defense in Depth?”

Security Class 1 é uma camada, não o castelo inteiro. Funciona bem quando combinada com segmentação, controlo de acesso, backups, logging e procedimentos de mudança.

Próximo passo: IA forte precisa de OT confiável

A série “IA na Indústria e Manufatura” costuma falar de modelos, dados e automação inteligente. Mas a verdade é que o ganho sustentável vem quando o básico está sólido: comunicação industrial segura, previsível e auditável.

A PROFINET Security Class 1 entra como base pragmática: assinatura e integridade onde antes havia confiança implícita; protocolos de gestão com limites claros; e mais proteção na periferia, onde o mundo físico encontra o digital.

Se a tua fábrica está a escalar IA em 2026—mais sensores, mais conectividade, mais decisões automáticas—o melhor investimento pode ser tornar a rede OT menos “maleável” e mais confiável. Que parte da tua infraestrutura ainda aceita mudanças sem deixar rasto?