A cibersegurança evoluiu de uma função técnica para um pilar estratégico nas organizações, defende David Marques, head of cybersecurity no Grupo Nabeiro. Com um percurso iniciado em 2006, o especialista acompanhou o aumento da sofisticação das ameaças e o impacto crescente dos ciberataques no negócio. Na entrevista, alerta para os riscos associados à convergência entre sistemas IT e OT, que expõe ambientes industriais e operações críticas, e destaca a continuidade operacional como uma das principais preocupações. Para responder a este cenário, o grupo está a avançar com projectos estruturantes, como o redesenho do plano de continuidade de negócio e iniciativas de adaptação à directiva NIS2, reforçando a protecção dos seus sistemas e dados.

Pode partilhar um pouco do seu percurso profissional e o que o levou a assumir funções na área da cibersegurança e, em particular, no Grupo Nabeiro?
David Marques – O meu percurso profissional relacionado com cibersegurança começou em 2006, mais ou menos, quando comecei a trabalhar numa área específica, em Digital Forensics and Incident Response. Nessa ocasião, fiz algumas formações fora de Portugal, pois não existia praticamente oferta formativa nesta área localmente. Trabalhei alguns anos em DFIR e, posteriormente, com o tempo, passei a endereçar outras áreas, como auditorias de segurança, testes de intrusão, gestão de vulnerabilidades, várias áreas dentro da resposta a incidentes, sempre focado em serviços de cariz tecnológico. Mais tarde, em 2012/2013 passei a fazer também consultoria, focada em segurança da informação, protecção de dados e continuidade de negócio, onde ajudava os nossos clientes a alinharem-se com normas internacionais e boas práticas ao nível de governance.

A cibersegurança cresceu, e com o tempo passei a gerir toda a entrega de serviços da nossa unidade de negócios de cibersegurança. Um dos nossos clientes curiosamente era o Grupo Nabeiro, e acabei por aceitar um convite que me foi endereçado para criar a área de cibersegurança dentro do Grupo, com o objectivo de criar a equipa, um programa e aumentar a maturidade geral de todo o ecossistema de cibersegurança das várias entidades do Grupo.

Quais foram as maiores mudanças que sentiu na sua função nos últimos anos?
As maiores mudanças estão relacionadas com a forma como a cibersegurança é vista hoje e como era vista há cerca de 10 anos. Hoje é relativamente fácil falar de cibersegurança com diferentes interlocutores dentro de uma organização, algo que não acontecia no passado. A cibersegurança era vista como mais um tema dentro do IT, com relevância relativamente baixa e um custo relativamente elevado. Logicamente isso mudou muito nos últimos anos, com ataques de Ransomware a afectar inúmeras organizações e a mostrar o impacto muito elevado que a cibersegurança ou a falta dela pode ter, assim como a mediatização de diversos ciberataques contribui muito para mudar completamente a percepção que o negócio tinha em relação a este tema.

Como se percepcionou o verdadeiro impacto no negócio, a função que tem a responsabilidade de cibersegurança tem uma visibilidade, atenção e impacto muito maior, sendo que hoje é mais fácil falar sobre cibersegurança com a gestão de topo das organizações, dado que a grande maioria compreende bem os riscos envolvidos para o negócio.

Com tudo isto, também reconheço que existiu uma pressão muito maior sobre todos profissionais de cibersegurança e especialmente para aqueles que têm responsabilidades pela sua gestão transversal, porque o nível de ameaça é tipicamente superior ao nível de investimento das organizações. Ainda assim, é indiscutível que esta função evoluiu de forma muito positiva ao longo dos últimos anos.

Quais são hoje os principais riscos de cibersegurança para um grupo que combina indústria, logística, distribuição e relação directa com clientes empresariais?
Os maiores riscos estão relacionados com a potencial indisponibilidade dos sistemas que suportam essas actividades críticas de negócio, e que podem afectar o core dos serviços, ou seja, a produção, venda e distribuição dos nossos produtos. Qualquer indisponibilidade que afecte, especialmente sistemas produtivos, tem um impacto significativo. Nesse sentido, existe uma preocupação bastante significativa com os riscos operacionais que possam afectar a produção, como ameaças externas que não controlamos de todo, algumas delas até sendo potenciadas pelo ambiente geopolítico, por isso, tentamos estar muito atentos a temas como a gestão de risco dos nossos terceiros, controlos de acessos, devices não geridos, e damos muito foco às duas portas de entrada típicas num cenário de ataque, ou seja, a identidade e as vulnerabilidades, onde procuramos gerir o melhor possível ambas.

Como é feita a protecção dos ambientes industriais e sistemas OT (produção, fábricas, automação) face ao aumento de ataques a infraestruturas industriais?
A protecção de ambientes industriais é bastante diferente do mundo IT, pela sua especificidade. Um dos factores mais importantes e que procuramos apostar é a correcta segregação destes ambientes, e tentar garantir que apenas circula no mundo OT quem efectivamente deve lá estar, sejam pessoas e/ou devices. Além da segregação, um dos desafios na protecção destes ambientes é que a obsolescência é gerida de uma forma completamente distinta, o tempo de vida dos equipamentos é muito maior, o que significa que a gestão de vulnerabilidades e obsolescência é muito mais complexa. Aplicar um patch num equipamento desta natureza é um processo muito mais complexo, quando sequer é viável fazê-lo. Por isso, a forma de mitigar estes desafios passa por ter uma monitorização mais apertada deste ecossistema, para tentar detectar, de forma precoce, qualquer anomalia/alerta que potencialmente possa escalar para um incidente de segurança. Dado todo este contexto, não pensamos em expor para a internet quaisquer equipamentos industriais, porque isso seria um convite claro para ter problemas sérios. Em resumo, diria que apostamos na segregação de ambientes, controlos de acesso e monitorização como as formas mais eficazes de minimizarmos o risco de incidentes neste tipo de ambientes mais críticos.

Como garantem a segurança da informação ao longo da cadeia de valor, desde a produção até ao cliente final?
Na prática, para responder a este desafio e também aos requisitos da NIS2, montámos um programa de gestão de risco de terceiros, em que definimos um conjunto de critérios para a definição da criticidade do parceiro/fornecedor em termos de cibersegurança, ou seja, do impacto que poderá ter para o Grupo em caso de comprometimento. Dependendo da sua criticidade, fazemos um tipo de avaliação das práticas de cibersegurança do parceiro/fornecedor diferente, para entendermos o nível de maturidade do ponto de vista de cibersegurança. Com base nessa avaliação e em algumas outras fontes de threat intelligence, definimos um scoring de risco para esse parceiro/fornecedor. Após isso, dependendo do score de risco, existem algumas opções, como a aceitação do risco, a recomendação para implementação de algumas práticas de higiene de cibersegurança, como múltiplo factor de autenticação, entre outras, ou em última análise, a recomendação para o negócio de pesquisa por um fornecedor alternativo que tenha um nível de risco mais baixo. Tudo isto leva em conta vários factores, como a própria dimensão e área de negócio do parceiro/fornecedor, pois não é expectável que todos tenham níveis de maturidade semelhantes. Por último, é importante referir que ao longo da cadeia de valor existem parceiros/fornecedores que podem ser muito relevantes para o negócio, mas pouco relevantes do ponto de vista de cibersegurança e vice-versa, tendo em conta a sua especificidade.

Que tipo de incidentes considera hoje mais críticos para a continuidade do negócio do Grupo Nabeiro?
Como a própria pergunta menciona, qualquer incidente que coloque em causa a continuidade das operações core torna-se muito disruptivo, e essa é a nossa maior preocupação. Nesse sentido, preocupa-nos bastante potenciais incidentes de Ransomware, que afectem a rede IT, mas ainda mais que potencialmente afectem a rede industrial, pois isso significa uma paragem na produção, e todos os restantes processos críticos que daí dependem. Além disso, temos uma preocupação bastante grande com os dados dos nossos clientes e colaboradores, portanto, qualquer incidente que seja provocado por exploração de vulnerabilidades em portais do Grupo são muito significativos do ponto de vista de cibersegurança. Evidentemente tentamos aplicar uma lógica de defesa em diversas camadas, para caso alguma falhe, possamos ter capacidade de detecção em algum momento da cadeia de ataque, de forma conseguir bloquear ou limitar o seu impacto.

Como trabalham a sensibilização em cibersegurança junto de equipas operacionais e industriais?
Temos feito um esforço bastante grande em termos de sensibilização de cibersegurança, apesar dos desafios enormes devido a dispersão geográfica e linguística que temos e que torna o caminho mais complexo. Ainda assim, estas equipas recebem as acções de sensibilização que todos os restantes colaboradores recebem, e elas incluem simulações de phishing, acções de sensibilização online de menor ou maior dimensão, partilha regular de artigos sobre as ameaças mais comuns, quer no contexto profissional, quer no contexto pessoal, e inclusivamente tivemos acções de sensibilização/formação presenciais com todos os recursos dessas áreas, para garantir uma maior proximidade e entendimento dos desafios particulares, e adaptar o mais possível quaisquer políticas de cibersegurança que sejam implementadas àquilo que são as necessidades operacionais, e desta forma, reduzir qualquer fricção existente e tentar ter um espírito colaborativo.

Nos próximos anos, qual considera ser o maior desafio para a protecção de ambientes industriais e cadeias de produção cada vez mais digitais?
Temos dois grandes desafios do meu ponto de vista, um deles a convergência entre o universo OT e o universo IT. Naturalmente, para as organizações serem mais eficientes e competitivas, existe uma necessidade de interligação entre estes dois mundos, para obtenção de dados, monitorização, criação de automatismos, entre outras necessidades, o que significa que a nossa superfície de ataque aumenta e em pontos com uma criticidade enorme, sendo que já sabemos que gerir identificação e correcção de vulnerabilidades num ecossistema OT é inerentemente distinto do universo IT. Portanto, a protecção desses pontos de interligação entre estes dois ambientes é muito importante, assim como a capacidade de monitorização e detecção no ambiente OT, pois poderá ocorrer um ataque propagar-se para a rede OT, com impactos muito substanciais.

Um outro desafio que vem na sequência do acima é a visibilidade e monitorização dos ambientes OT, ou seja, tendo em conta a convergência, necessitamos de uma visibilidade muito maior do que em momentos em que existia segregação completa, e tendo em conta que estamos a falar de protocolos industriais específicos, com limitações de larguras de banda, limitações de logging, telemetria limitada e muitas vezes ferramentas que ainda não são adequadas para ambos os ambientes, isso levanta um desafio para conseguir efectuar uma monitorização adequada do ambiente industrial do ponto de vista de cibersegurança e que temos que encontrar formas de ultrapassar gradualmente.

Existe algum projecto que está a implementar internamente que tenha foco na cibersegurança?
Estamos com vários projectos em curso com foco na cibersegurança, e que alguns abrangem apenas o universo IT, mas outras são transversais, ou até com algum foco em ambiente industrial. Neste momento, estamos a efectuar um redesign completo do nosso Plano de Continuidade de Negócio, de forma a adaptá-lo às mudanças existentes do ponto de vista de negócio, de ameaça externa e também de alterações significativas em termos de IT interno, e este é transversal e cobre inclusivamente o ambiente industrial. Além disso, temos um projecto muito transversal, com diversas iniciativas para alinhamento e cumprimento da NIS2, que iniciou em 2025 e estende-se por dois anos, com um roadmap bem definido. Por último destacaria um projecto transversal para a classificação e protecção da informação não estruturada que circula dentro do ecossistema do Grupo, seja em ambientes onpremise, seja na Cloud.