Para agentes do setor elétrico, segurança cibernética é obrigação regulatória com duas frentes: a REN ANEEL 964/2021, que trata da política e da governança, e a rotina operacional do ONS para o Ambiente Regulado Cibernético, que traz controles técnicos concretos. Este guia explica o que cada uma pede e como o gestor pode organizar a conformidade sem colocar a operação em risco.

REN ANEEL 964/2021: quem deve cumprir

A Resolução Normativa ANEEL 964/2021 está em vigor desde 01/07/2022 e vale para concessionários, permissionários e autorizados do setor elétrico. Ela estabelece requisitos de segurança cibernética que precisam fazer parte da rotina da empresa.

Dois desses requisitos têm impacto direto na forma como a empresa avalia a própria segurança.

Modelo de maturidade aplicado anualmente (art. 4º, II)

O art. 4º, II, pede a adoção de um modelo de maturidade aplicado anualmente. Na prática, a empresa precisa medir, todo ano, em que nível está sua segurança cibernética e acompanhar a evolução.

Uma avaliação de maturidade só é útil se refletir a realidade. Questionários preenchidos apenas com base em políticas escritas tendem a apontar um nível acima do real. Avaliações técnicas independentes ajudam a confirmar se os controles declarados de fato funcionam.

Também vale manter o mesmo método de um ano para o outro. Trocar de modelo a cada ciclo impede comparar resultados e dificulta mostrar evolução. Guarde as evidências que sustentaram cada nota, para que a próxima aplicação parta de uma base conhecida.

Simulações para testes de resiliência (art. 4º, X)

O art. 4º, X, prevê simulações de cenários para testes de resiliência. A empresa deve testar como reage a situações adversas, e não apenas documentar planos.

Essas simulações podem combinar exercícios de mesa com a direção e as equipes de operação, testes técnicos em ambientes controlados e verificação dos procedimentos de recuperação. O resultado precisa ser registrado, com os ajustes que o exercício revelou.

A rotina RO-CB.BR.01 do ONS

A rotina operacional RO-CB.BR.01 do ONS se aplica ao Ambiente Regulado Cibernético. Enquanto a REN 964 trata da governança, a rotina do ONS descreve controles que precisam estar implementados. Os principais são:

• Separação de redes em zonas: o ambiente de operação deve estar segmentado das redes corporativas e de outros ambientes, com comunicação entre zonas controlada.
• Nenhum ativo exposto à internet: nenhum ativo do Ambiente Regulado Cibernético pode estar acessível diretamente pela internet.
• Inventário de ativos: a empresa precisa saber quais ativos compõem o ambiente.
• Gestão de atualizações: deve haver processo para avaliar e aplicar atualizações nos ativos.
• Autenticação multifator para contas privilegiadas: contas com privilégios elevados precisam de mais de um fator de autenticação.

Nenhuma das normas fala em pentest

Nem a REN ANEEL 964/2021 nem a rotina RO-CB.BR.01 usam a palavra "pentest". Mesmo assim, as duas pedem que a empresa saiba se seus controles funcionam. Uma política pode afirmar que as redes são segmentadas, mas apenas uma verificação independente confirma se a separação está correta. O inventário pode listar os ativos conhecidos, mas uma avaliação pode revelar equipamentos que ninguém registrou.

Por isso, avaliações de segurança feitas por empresa especializada são uma forma de gerar evidência para o modelo de maturidade anual e de alimentar as simulações de resiliência com cenários realistas.

Como organizar a governança na prática

Comece pelo inventário

O inventário é a base de tudo. Sem ele, não há como definir zonas, gerir atualizações ou garantir que nada está exposto à internet. Ele deve incluir equipamentos de campo, sistemas de supervisão, estações de engenharia, servidores e os pontos de conexão com redes externas, com responsável definido para cada item.

Documente as zonas e as conexões permitidas

Registre quais zonas existem, quais ativos pertencem a cada uma e quais comunicações entre zonas são autorizadas. Qualquer conexão fora dessa lista é uma exceção que precisa de justificativa, e o acesso remoto de fornecedores merece atenção especial.

Verifique a exposição à internet de forma recorrente

Mudanças de configuração, equipamentos novos e acessos temporários podem criar exposição sem que ninguém perceba. Inclua essa verificação na rotina, e não apenas na avaliação anual.

Estruture a gestão de atualizações

Em ambientes de operação, nem toda atualização pode ser aplicada imediatamente. O processo deve prever avaliação de impacto, teste prévio, janela de aplicação e registro das atualizações adiadas com as medidas compensatórias adotadas.

Revise as contas privilegiadas

Liste as contas com privilégios elevados, elimine as que não são mais necessárias, evite contas compartilhadas e confirme que a autenticação multifator está ativa em todas.

Conecte tudo ao ciclo anual

Os resultados das verificações e das avaliações técnicas devem alimentar o modelo de maturidade do art. 4º, II, e servir de base para os cenários das simulações do art. 4º, X. Assim, a conformidade vira um ciclo contínuo. Na página de compliance mostramos como ajudamos a organizar essas evidências.

Segurança da operação vem primeiro

Avaliar ambientes de operação exige cuidados diferentes dos usados em sistemas corporativos. Equipamentos de campo e sistemas de supervisão podem reagir mal a testes inadequados, e uma indisponibilidade tem consequência operacional.

Por isso, a avaliação deve ser planejada em conjunto com as equipes de operação, com regras claras sobre o que pode ser testado, em quais ambientes e em quais horários. Sempre que possível, testes mais intrusivos devem ser feitos em ambientes de homologação ou réplicas, e a verificação no ambiente real deve privilegiar métodos não intrusivos, como revisão de configurações e análise da arquitetura.

A avaliação das redes corporativas e da fronteira com o ambiente de operação segue a abordagem descrita em nossa página de pentest de infraestrutura.

O que pedir ao fornecedor

• Experiência comprovada em ambientes de operação, e não apenas em redes corporativas.
• Plano de teste por escrito, aprovado pela operação, com limites, janelas e critérios de interrupção.
• Escopo que cubra a separação de zonas, a exposição à internet, o inventário, a gestão de atualizações e as contas privilegiadas.
• Relatório que relacione os achados aos pontos da REN ANEEL 964/2021 e da rotina RO-CB.BR.01.
• Resumo executivo que possa ser usado no modelo de maturidade anual.
• Apoio no desenho de cenários para as simulações de resiliência.

Para comparar propostas, consulte nosso guia sobre como escolher uma empresa de pentest.

A LDL Security apoia concessionários, permissionários e autorizados na governança de segurança cibernética exigida pela ANEEL e pelo ONS. Conheça nossa página de pentest para o setor elétrico.

Perguntas Frequentes

A REN ANEEL 964/2021 exige pentest?

A resolução não usa a palavra "pentest". Ela pede, entre outros pontos, modelo de maturidade aplicado anualmente e simulações de cenários para testes de resiliência, e avaliações técnicas ajudam a sustentar esses dois requisitos.

Quem precisa cumprir a REN ANEEL 964/2021?

Concessionários, permissionários e autorizados do setor elétrico. A resolução está em vigor desde 01/07/2022.

O que a rotina RO-CB.BR.01 do ONS exige?

Para o Ambiente Regulado Cibernético, ela pede separação de redes em zonas, nenhum ativo exposto à internet, inventário de ativos, gestão de atualizações e autenticação multifator para contas privilegiadas.

Testar o ambiente de operação pode causar indisponibilidade?

Testes inadequados podem afetar equipamentos sensíveis. Por isso a avaliação deve ser planejada com a operação, priorizar métodos não intrusivos no ambiente real e usar réplicas ou homologação para testes mais invasivos.