Os Estados Unidos elevaram a proteção de sua infraestrutura elétrica ao nível de segurança nacional. Em uma nova ordem executiva assinada em 26 de agosto, o governo de Donald Trump declarou emergência nacional diante dos riscos associados ao fornecimento estrangeiro de equipamentos utilizados no sistema de transmissão de energia elétrica do país.

A decisão tem como alvo uma questão que ultrapassa a engenharia elétrica: a possibilidade de que equipamentos conectados à infraestrutura energética contenham vulnerabilidades digitais capazes de permitir acesso remoto, sabotagem ou interrupção do fornecimento de energia.

Segundo a Casa Branca, determinados atores estrangeiros estariam criando ou explorando vulnerabilidades no chamado bulk-power system, estrutura responsável pela transmissão em larga escala da eletricidade que sustenta serviços de emergência, infraestrutura crítica, defesa e a economia americana.

O governo americano também relaciona o problema ao avanço acelerado de data centers, inteligência artificial, manufatura avançada e produção de defesa, setores que aumentam a dependência dos Estados Unidos de uma oferta de energia abundante e confiável.

Da cibersegurança para a segurança energética

A nova política mostra como a fronteira entre segurança digital e segurança física está cada vez mais difícil de separar.

Um equipamento utilizado em uma subestação elétrica deixou de ser apenas um componente eletromecânico.

Com sistemas digitais, conectividade remota, softwares, firmware e recursos de automação incorporados, uma vulnerabilidade tecnológica pode representar também um risco operacional para toda uma infraestrutura.

A ordem americana cita justamente a possibilidade de equipamentos conterem backdoors digitais capazes de permitir que um país estrangeiro obtenha acesso remoto aos sistemas.

Na prática, isso significa que a segurança de uma rede elétrica passa a depender não apenas de quem opera a infraestrutura, mas também de quem fabrica seus componentes e controla as tecnologias embarcadas nesses equipamentos.

Quais equipamentos entram no radar?

A abrangência da medida é significativa.

A definição utilizada pelo governo americano inclui uma série de equipamentos presentes em subestações, centros de controle e instalações de geração de energia.

Entre eles estão:

• transformadores de subestação;
• reatores;
• capacitores;
• inversores conectados à rede;
• sistemas de armazenamento de baterias;
• sistemas de alimentação ininterrupta;
• geradores;
• disjuntores de alta tensão;
• equipamentos de medição;
• sistemas de proteção;
• turbinas;
• sistemas de controle industrial;
• unidades terminais remotas;
• controladores lógicos programáveis;
• dispositivos eletrônicos inteligentes;
• sistemas de controle distribuído.

A ordem também permite considerar software, firmware, recursos de acesso remoto, mecanismos de atualização e serviços de manutenção quando representarem risco para a segurança da rede.

O problema não está apenas no equipamento

Um dos pontos mais importantes da decisão americana é a ampliação do conceito de cadeia de suprimentos.

O risco não está necessariamente em um equipamento apresentar uma falha conhecida.

A preocupação é que a dependência tecnológica de fornecedores estrangeiros possa criar uma porta de entrada para ameaças futuras.

Isso inclui desde componentes físicos até:

software + firmware + atualizações + manutenção + acesso remoto + fornecedores.

Essa combinação transforma a cadeia de suprimentos em uma extensão da superfície de ataque cibernético.

O próprio Departamento de Energia dos EUA reconhece que a digitalização crescente da rede elétrica amplia a superfície de ataque e pode permitir incidentes capazes de interromper o fornecimento, danificar equipamentos especializados e ameaçar a segurança das pessoas.

Governo poderá restringir equipamentos estrangeiros

A ordem autoriza o secretário de Energia dos Estados Unidos, em coordenação com outras autoridades, a determinar quais transações envolvendo equipamentos estrangeiros representam risco.

Quando enquadradas nos critérios definidos pela ordem, determinadas operações poderão ser proibidas.

Isso inclui aquisição, importação, transferência ou instalação de equipamentos estrangeiros utilizados no sistema de transmissão em massa.

A restrição não é automática para todo produto estrangeiro.

O governo deverá avaliar se determinado equipamento, fornecedor ou transação apresenta risco considerado excessivo de:

• sabotagem;
• subversão;
• acesso não autorizado;
• ação maliciosa remota;
• interrupção da cadeia de suprimentos;
• danos à infraestrutura crítica;
• impactos sobre a segurança nacional.

Equipamentos já instalados também podem ser avaliados

A medida não se limita a novas compras.

O governo americano poderá estabelecer condições para a continuidade do uso, operação, manutenção, atualização ou substituição de equipamentos estrangeiros já instalados.

Entre as medidas possíveis estão identificar, isolar, monitorar, proteger, desconectar, substituir ou remover determinados equipamentos.

A decisão, entretanto, deverá considerar fatores como confiabilidade da rede, segurança, disponibilidade de substitutos e continuidade dos serviços essenciais.

Esse ponto pode gerar uma consequência importante para empresas do setor energético: inventariar equipamentos e compreender a origem tecnológica de cada componente passa a ser uma questão estratégica.

IA aumenta a importância da energia — e também o risco

A ordem executiva estabelece uma relação direta entre o crescimento da inteligência artificial e a necessidade de proteger a infraestrutura energética.

Data centers utilizados para IA demandam enormes quantidades de eletricidade.

Ao mesmo tempo, a expansão da computação avançada aumenta a importância estratégica da infraestrutura que fornece energia para esses centros.

O governo americano afirma que o crescimento de data centers, inteligência artificial, manufatura avançada e produção de defesa elevou a dependência do país de eletricidade abundante e confiável.

Isso cria um paradoxo.

Quanto mais a economia depende de IA e infraestrutura digital, mais crítica se torna a segurança da infraestrutura física que mantém esses sistemas funcionando.

Uma interrupção prolongada de energia poderia afetar simultaneamente data centers, telecomunicações, serviços financeiros, hospitais, indústria, transporte e estruturas governamentais.

Estados Unidos querem reduzir dependência externa

A iniciativa também possui uma dimensão industrial.

A ordem determina que o Departamento de Energia apresente recomendações para revisar regras de aquisição do governo federal com o objetivo de priorizar infraestrutura energética fabricada nos Estados Unidos.

O prazo estabelecido é de até 180 dias para essas recomendações.

Além disso, o Departamento de Energia terá até 120 dias para publicar regras destinadas a implementar as novas autoridades previstas na ordem.

O movimento combina, portanto, três estratégias:

cibersegurança + segurança energética + política industrial.

Uma mudança de paradigma para CISOs

A decisão americana também traz uma mensagem para os profissionais de segurança da informação.

Tradicionalmente, a atuação de um CISO estava fortemente concentrada em redes corporativas, endpoints, aplicações, identidade e dados.

Mas a convergência entre TI e tecnologia operacional (OT) está ampliando esse perímetro.

Uma empresa de energia pode ter sistemas corporativos protegidos e, ainda assim, possuir riscos em:

• controladores industriais;
• sensores;
• sistemas SCADA;
• equipamentos de subestação;
• dispositivos conectados;
• firmware;
• fornecedores;
• sistemas de acesso remoto.

O desafio passa a ser entender a infraestrutura como um sistema ciberfísico.

O risco pode chegar ao Brasil?

Embora a ordem seja direcionada ao sistema elétrico dos Estados Unidos, o debate possui relevância internacional.

O setor elétrico brasileiro também utiliza uma combinação de equipamentos físicos, sistemas digitais, automação industrial, telecomunicações e tecnologias fornecidas por diferentes fabricantes.

Além disso, a expansão de data centers, computação em nuvem e inteligência artificial aumenta a importância da disponibilidade energética para a economia digital.

Isso coloca uma questão estratégica para empresas brasileiras:

quem fabrica os equipamentos que controlam nossa infraestrutura crítica e quais mecanismos existem para verificar sua segurança?

A discussão não significa que equipamentos estrangeiros sejam automaticamente inseguros.

O ponto é outro: origem, cadeia de fornecimento, atualizações, acesso remoto, firmware e capacidade de auditoria precisam fazer parte da avaliação de risco.

O novo campo de batalha da cibersegurança

A decisão dos Estados Unidos mostra que a proteção de uma infraestrutura crítica já não pode ser pensada apenas como um problema de firewall ou antivírus.

O risco começa muito antes.

Pode estar na fabricação de um componente, no código embarcado, na atualização de firmware, na manutenção remota ou em um fornecedor localizado a milhares de quilômetros.

A própria estratégia americana para proteção da infraestrutura energética vem tratando ameaças de atores estatais, grupos criminosos e outros adversários como um problema crescente para o setor de energia.

A energia virou um ativo digital

A transformação da rede elétrica em uma infraestrutura cada vez mais conectada cria uma nova realidade.

Um ataque cibernético não precisa necessariamente derrubar um servidor para causar impacto.

Pode atingir um sistema de controle, alterar uma configuração, interromper uma operação ou comprometer um componente crítico.

É por isso que a decisão americana representa mais do que uma mudança nas regras de importação.

Ela sinaliza uma transformação na forma como governos passam a enxergar a infraestrutura energética:

a rede elétrica também é uma infraestrutura digital — e sua proteção começa na cadeia de suprimentos.

---

FAQ Santotech

Por que os EUA declararam emergência nacional para proteger a rede elétrica?

O governo americano afirma que determinados atores estrangeiros podem explorar vulnerabilidades em equipamentos utilizados no sistema de transmissão de energia, criando riscos de sabotagem, acesso remoto e interrupção do fornecimento.

A medida proíbe todos os equipamentos estrangeiros?

Não. A ordem estabelece mecanismos para restringir determinadas transações envolvendo equipamentos estrangeiros quando forem considerados riscos excessivos à segurança nacional, infraestrutura crítica ou operação do sistema elétrico.

Quais equipamentos podem ser afetados?

A medida abrange diversos equipamentos, incluindo transformadores, inversores, sistemas de armazenamento de energia, geradores, sistemas de controle industrial, PLCs, dispositivos eletrônicos inteligentes e outros componentes do sistema de transmissão.

Equipamentos já instalados poderão ser retirados?

Em determinadas situações, sim. A ordem permite que o governo estabeleça medidas para identificar, isolar, monitorar, desconectar, substituir ou remover equipamentos considerados de risco, levando em conta a confiabilidade e a continuidade do serviço.

O que a inteligência artificial tem a ver com a segurança da rede elétrica?

O crescimento de IA e data centers aumenta a demanda por eletricidade confiável. Com isso, uma interrupção da infraestrutura energética pode produzir impactos ainda maiores sobre a economia digital. A própria Casa Branca cita IA e data centers entre os fatores que aumentaram a dependência americana de energia confiável.

O Brasil deveria se preocupar com esse movimento?

A decisão americana reforça uma tendência global de tratar infraestrutura crítica, cadeia de suprimentos e cibersegurança como temas integrados. Para empresas brasileiras, isso pode significar maior atenção à origem dos equipamentos, segurança de fornecedores, firmware, atualizações e acessos remotos

LEIA O COMUNICADO AMERICANO AQUI

FONTE: CISO ADVISOR