No agro, sistema parado significa caminhão na fila da balança, linha de produção parada e carga que não sai. Em maio de 2021, um ataque atingiu servidores da JBS USA na América do Norte e na Austrália; a empresa desligou todos os sistemas para conter a invasão e, dias depois, confirmou ter pago o equivalente a US$ 11 milhões de resgate.
Não há norma setorial de segurança cibernética para o agronegócio. O que vale é a LGPD, que exige medidas de segurança aptas a proteger dados de produtores, funcionários e clientes (art. 46), e, para companhia aberta, a CVM. Sendo exato sobre a CVM: o Formulário de Referência da Resolução CVM 80/2022 não usa a palavra cibernético, mas a lista de fatores de risco do item 4.1 é mínima e não exaustiva, e o Ofício-Circular Anual 2026 da área técnica orienta incluir ali os riscos cibernéticos, chama esses riscos de emergentes e lembra que fato capaz de influir na decisão do investidor deve ser divulgado imediatamente. No caso da JBS USA, a controladora brasileira publicou comunicado ao mercado. Os sistemas do setor juntam três mundos: ERP e portais de produtor e de fornecedor, com contratos, romaneios e dados bancários; a indústria de alimentos, onde o escritório conversa com a linha de produção; e a agricultura de precisão, com sensores, telemetria de máquinas e acesso remoto de fornecedores. O teste mostra por qual desses caminhos um invasor chega ao que para a operação.
O que você recebe
- Pentest do ERP exposto, do portal do produtor e dos aplicativos de campo
- Teste de segmentação entre a rede corporativa e a rede da fábrica, do frigorífico ou da unidade de recebimento
- Avaliação do acesso remoto de fornecedores de máquinas, automação e telemetria
- Teste de fraude na troca de dados bancários de produtores e fornecedores
- Avaliação do caminho de um invasor até servidores críticos e cópias de segurança
- Sumário executivo para a diretoria, relatório técnico e reteste
O que cobrimos
ERP e portais
Portal do produtor e do fornecedor, contratos, romaneios, adiantamentos e pagamentos.
Fronteira TI e OT
Escritório, linha de produção, câmaras frias, balanças e supervisório.
Campo conectado
Sensores, telemetria de máquinas e as plataformas na nuvem que recebem esses dados.
Acesso remoto e terceiros
VPNs, ferramentas de suporte de fornecedores e contas compartilhadas.
Indicado para
- Tradings e originadoras de grãos com portal de produtor
- Cooperativas agropecuárias com unidades de recebimento, lojas e indústria
- Indústrias de alimentos e frigoríficos com linha automatizada
- Companhias abertas do agro que descrevem risco cibernético no Formulário de Referência
Como conduzimos
Mapa da operação
Levantamos onde a safra depende de sistema: recebimento, classificação, indústria, expedição e pagamento.
Teste externo
ERP, portais, aplicativos e acessos remotos expostos à internet.
Caminho até a operação
Verificamos se um invasor que entra pelo escritório alcança a fábrica, as unidades e os backups.
Relatório
Achados priorizados pelo impacto na operação e no calendário da safra.
Reteste
Confirmação das correções, de preferência antes do pico da colheita.
Perguntas Frequentes
Existe norma que obrigue o agronegócio a fazer pentest?
Não há norma setorial de segurança cibernética para o agro. Valem a LGPD, que exige medidas de segurança aptas a proteger dados pessoais (art. 46), e, para companhia aberta, as regras de divulgação da CVM. Cooperativa de crédito ligada ao agro é outra história: segue a Resolução CMN 4.893, que exige pentest anual independente.
O que a CVM pede sobre risco cibernético?
O Formulário de Referência (Resolução CVM 80/2022) pede os fatores de risco que possam influenciar a decisão de investimento, numa lista mínima que não cita risco cibernético. O Ofício-Circular Anual 2026 da CVM orienta incluir os riscos cibernéticos no item 4.1 e lembra que fato capaz de influir de modo ponderável na decisão do investidor deve ser divulgado imediatamente.
O que aconteceu no caso da JBS?
Em 30 de maio de 2021, um ataque atingiu servidores que sustentavam os sistemas de TI da JBS USA na América do Norte e na Austrália. A empresa desligou todos os sistemas para isolar a invasão, voltou a operar com backups criptografados que não foram atingidos e, em 9 de junho, confirmou ter pago o equivalente a US$ 11 milhões de resgate.
Testar a fábrica ou a unidade de recebimento pode parar a operação?
Não deve. Equipamentos de automação, balanças e supervisório não recebem teste ativo sem aprovação e janela combinada; o trabalho principal é verificar se é possível chegar até eles a partir do escritório ou da internet.
Sensor e máquina conectada entram no escopo?
Entram as plataformas que recebem os dados, os acessos remotos e os equipamentos que a empresa controla. Produto de fornecedor só é testado com autorização dele, combinada antes do teste.