Proteção de infraestrutura crítica: do campo de batalha à rede elétrica

Durante décadas, defesa cibernética e proteção de infraestrutura crítica foram tratadas como disciplinas separadas, com orçamentos separados, equipes separadas e doutrinas separadas. Essa separação já não se sustenta. No século XXI, um ataque a uma subestação elétrica, a uma estação de tratamento de água ou a um backbone de telecomunicações produz efeitos estratégicos comparáveis aos de uma ação militar convencional — e, em alguns cenários, mais duradouros. A pergunta que importa deixou de ser se a defesa deve operar sobre infraestrutura civil, e passou a ser como fazê-lo com o mesmo rigor, a mesma disciplina e a mesma evidência que se exige de qualquer operação militar.

A Zendrix nasceu nessa convergência. A plataforma foi construída para operar onde a consequência é real: no campo de batalha e na rede elétrica, na fronteira e no data center que sustenta serviços essenciais. Este artigo descreve como a mesma base tecnológica atende defesa e infraestrutura crítica civil, e por que isso é uma escolha de engenharia — não uma conveniência de mercado.

Quando a consequência deixa o domínio digital

Em segurança cibernética tradicional, o pior resultado costuma ser perda de dados, indisponibilidade temporária ou dano reputacional. Em infraestrutura crítica, o pior resultado é físico: equipamentos destruídos, fornecimento interrompido, vidas em risco. Essa diferença muda tudo no desenho de um sistema autônomo.

A plataforma opera com invariantes de segurança física: limites explícitos que descrevem o que não pode acontecer no mundo real — faixas de operação de equipamentos, restrições de processo e condições de contorno de instalações sensíveis. Nenhuma ação cibernética cujo efeito físico não possa ser modelado e contido é executada. Se o efeito de uma ação não pode ser previsto com confiança suficiente, a ação não é declarada bem-sucedida nem autorizada a prosseguir. Essa regra é estrutural, não configurável: ela não depende de julgamento caso a caso no calor da operação.

Essa disciplina também protege o próprio operador. Em ambientes onde um comando errado pode danificar equipamentos caros ou interromper serviços essenciais, a capacidade de recusar uma ação é tão valiosa quanto a capacidade de executá-la. Autonomia responsável não é freio: é o que permite operar perto do limite sem cruzar a linha.

Quatro setores, quatro gramáticas de risco

Energia, água, telecomunicações e serviços financeiros compartilham a característica de serem sistemas ciberfísicos com efeitos em cascata, mas cada um tem sua própria gramática de risco. A plataforma trata essa diversidade com perfis setoriais.

No setor elétrico, os invariantes giram em torno de estabilidade e integridade: frequência, tensão, limites de transformadores e sequências de manobra que não podem ser violadas. No saneamento e recursos hídricos, o foco está em pressão, qualidade e continuidade de processos que admitem pouca margem de erro. Em telecomunicações, o que se protege é a disponibilidade de caminhos críticos e a integridade da sinalização que mantém a rede coerente. No setor financeiro, os invariantes são de liquidação e integridade: operações que não podem ser revertidas exigem garantias que vão além da disponibilidade.

Em todos os casos, o princípio é o mesmo: o perfil setorial define o envelope no qual a autonomia pode operar. Fora do envelope, a decisão escala para autoridade humana. O sistema não improvisa sobre o que não compreende, e não trata setores distintos como se falassem a mesma língua.

Dual-use como princípio, não como conveniência

A capacidade dual-use da Zendrix não é um subproduto: é o desenho. A mesma plataforma que apoia agências governamentais e instituições aliadas na defesa de redes e sistemas sensíveis sustenta operadores de infraestrutura crítica que precisam manter serviços essenciais funcionando sob pressão — inclusive sob ataque.

Isso inclui operação em ambientes isolados, onde nenhuma nuvem chega: instalações sensíveis, embarcações, fronteiras e plantas industriais com requisitos de soberania. A plataforma mantém cognição, estado e verificação de integridade localmente, com exercícios periódicos que comprovam a capacidade de operar sem conectividade externa. Soberania, nesse contexto, não é retórica: é a diferença entre continuar operando e depender de uma conexão que pode não existir.

Evidência, controle humano e interoperabilidade

Nenhuma capacidade é declarada sem evidência. A plataforma mantém trilha de auditoria resistente a adulteração, assina criptograficamente os artefatos que produz e verifica a integridade do que executa. Operadores podem reconstruir o que aconteceu, por que aconteceu e sob qual autoridade — requisito tanto de defesa quanto de reguladores setoriais.

Decisões com risco de vida sempre exigem autoridade humana. O restante flui em velocidade de máquina, porque paralisia também é uma falha. E a interoperabilidade é nativa: padrões abertos como STIX 2.1 e TAXII 2.1 permitem que instituições diferentes — nacionais e aliadas — compartilhem inteligência sem abrir mão da soberania sobre seus dados. Colaborar sem se expor é uma exigência operacional, não um luxo diplomático.

Antes de levar autonomia a qualquer ambiente ciberfísico, aplicamos um conjunto de perguntas cujo valor está em poder ser respondido com evidência, e não com opinião:

• Qual é o pior efeito físico possível de uma ação errada — e como ele é contido antes de acontecer?
• Quem responde pela decisão quando o sistema não tem certeza suficiente para agir sozinho?
• Como um auditor reconstrói, meses depois, o que foi feito, por que foi feito e sob qual autoridade?
• A instituição continua operando se a conectividade externa desaparecer por completo?

Nenhuma dessas perguntas é exclusiva da defesa. Todas são igualmente pertinentes para a concessionária que opera uma subestação, a operadora que sustenta uma rede de emergência e a instituição financeira que liquida transações em escala nacional. É por isso que tratamos infraestrutura crítica e defesa como um único domínio de engenharia: os requisitos são os mesmos, apenas as consequências mudam de nome.

A mesma tecnologia que defende o país mantém a luz acesa — e o critério para confiar nela é idêntico nos dois casos: evidência verificável, controle humano onde importa e soberania de ponta a ponta.