Um plano de resposta a incidentes precisa permitir que a equipe reduza o dano sem destruir evidências, preserve alternativas de recuperação e decida quando envolver jurídico, privacidade, fornecedores e liderança. O problema afeta organizações de qualquer porte; a ação prioritária é estabelecer uma autoridade de coordenação, um registro único do caso e critérios objetivos para contenção, comunicação e encerramento.
A resposta não começa quando alguém abre um chamado. Ela começa no desenho dos ativos, das dependências e das responsabilidades. Sem essa preparação, o time tende a trocar senhas sem avaliar sessões persistentes, desligar máquinas antes de coletar dados voláteis ou comunicar um incidente de privacidade antes de confirmar o alcance. O resultado pode ser mais interrupção, investigação incompleta e decisões contraditórias.
O plano deve decidir
O documento deve responder quem declara um incidente, quem coordena a investigação e quem pode autorizar medidas que afetem o negócio. Segurança pode recomendar o isolamento de um servidor, mas a autoridade para interromper uma operação crítica precisa estar definida antes da crise. O mesmo vale para revogar contas, bloquear integrações, restaurar cópias, contratar especialistas e fazer comunicações externas.
A equipe mínima costuma incluir segurança, infraestrutura, aplicações, identidade, privacidade, jurídico, comunicação e a área responsável pelo processo afetado. Fornecedores críticos também precisam de contatos e regras de escalonamento. Cada função deve ter um substituto, um canal alternativo e uma lista clara de decisões que pode tomar. E-mail corporativo e ferramentas de colaboração não podem ser os únicos meios de contato, porque podem estar indisponíveis ou sob controle do invasor.
O NIST SP 800-61 Rev. 3 recomenda integrar a resposta a incidentes à gestão de risco e ao Cybersecurity Framework. A consequência prática é abandonar planos isolados, mantidos apenas pela equipe técnica. Inventário de ativos, classificação de dados, dependências, objetivos de recuperação e riscos de terceiros devem influenciar a prioridade de cada ação.
Classifique antes de agir
Um alerta não é automaticamente um incidente confirmado. A triagem deve registrar o sinal observado, o ativo envolvido, a confiança da informação, o impacto possível e a urgência. Separe a hipótese de um fato comprovado: “possível uso indevido de uma conta administrativa” não equivale a “dados foram copiados”. Essa distinção mantém a investigação precisa e evita conclusões prematuras.
Também é necessário distinguir incidente técnico de incidente envolvendo dados pessoais. Uma falha de disponibilidade pode exigir contenção e recuperação, mas não necessariamente comunicação por privacidade. Já um acesso indevido a dados pessoais exige avaliar titulares afetados, categorias de dados, risco e obrigações legais. A ANPD informa que o controlador deve comunicar incidentes que possam causar riscos ou danos relevantes aos titulares e à própria Autoridade.
Na abertura do caso, crie uma ficha com identificador, horário de descoberta, fonte do alerta, sistemas afetados, responsável pela triagem e hipótese inicial. Em cada atualização, separe o que foi observado, o que foi inferido e o que ainda precisa ser confirmado. Essa disciplina reduz o risco de uma mensagem provisória ser tratada como conclusão definitiva.
Contenha sem perder contexto
A contenção deve responder a duas perguntas: qual medida reduz o dano agora e qual evidência pode ser perdida por causa dela? Revogar sessões, bloquear uma conta, retirar um equipamento da rede ou suspender uma chave pode ser urgente. Ainda assim, registre horário, responsável, justificativa, escopo e resultado de cada ação.
Antes de alterar um sistema, preserve os registros disponíveis quando isso não aumentar o risco. Colete informações de identidade, autenticação, alterações de privilégios, processos ativos, conexões, tarefas agendadas, regras de rede e acessos a dados. A preservação precisa ter cadeia de custódia proporcional ao caso: quem coletou, quando, de onde, por qual método e onde o material foi armazenado.
Não trate toda contenção como desligamento. Um servidor comprometido pode conter sinais necessários para entender persistência e impacto. Em outros casos, mantê-lo conectado oferece ao atacante uma oportunidade adicional. A escolha depende do risco operacional, da criticidade do ativo, da possibilidade de coleta remota e da existência de controles compensatórios. O plano deve fornecer opções, não uma receita única.
| Prioridade | Decisão | Evidência mínima |
|---|---|---|
| P1 | Reduzir acesso do invasor e proteger ativos críticos | Contas, sessões, conexões, alterações e horário |
| P1 | Preservar dados que podem desaparecer | Origem, método, responsável e armazenamento |
| P2 | Confirmar alcance e impacto no negócio | Ativos, dados, usuários, dependências e lacunas |
| P2 | Remover a causa e recuperar serviços | Validação, testes, autorização e resultado |
Comunique com critérios
Comunicação técnica, comunicação jurídica e comunicação pública cumprem funções diferentes. A atualização interna deve informar fatos confirmados, hipótese atual, impacto conhecido, ações executadas, riscos pendentes e próxima decisão. Não deve transformar uma estimativa em certeza nem distribuir detalhes operacionais para pessoas sem necessidade de acesso.
Quando houver dados pessoais, envolva o encarregado e o jurídico cedo, sem esperar que a investigação esteja perfeita. A página da ANPD orienta que a comunicação seja feita pelo encarregado ou representante legalmente constituído do controlador, pelo sistema de peticionamento indicado pela Autoridade. O time técnico deve fornecer uma descrição objetiva do evento, dos dados potencialmente envolvidos, das medidas adotadas e das incertezas ainda existentes.
Uma comunicação responsável não esconde lacunas, mas também não especula. Use formulações como “até o momento, foram identificados” e indique quando a avaliação será atualizada. Preserve o registro das versões enviadas, dos aprovadores e dos destinatários. Se novas evidências alterarem o risco, reavalie a comunicação em vez de manter uma mensagem desatualizada.
Recupere e aprenda
Recuperação não é apenas colocar o serviço no ar. Antes de restaurar, confirme que a causa foi removida, que credenciais comprometidas foram tratadas, que regras temporárias estão documentadas e que a cópia escolhida é confiável. Depois, monitore o ambiente para identificar repetição do comportamento, reativação de persistência ou uso de acessos esquecidos.
O encerramento deve exigir evidência suficiente para responder quem fez o quê, em qual ativo, quando, com que resultado, quais dados podem ter sido atingidos e que controles falharam. Se alguma pergunta permanecer sem resposta, registre a limitação e o risco residual. Isso é melhor do que declarar o caso resolvido apenas porque o serviço voltou.
Faça uma revisão sem transformar o processo em caça a culpados. Avalie tempo de detecção, tempo até a contenção, qualidade dos registros, decisões que dependeram de uma única pessoa, falhas de contato, dependências de fornecedores e eficácia dos backups. Converta cada descoberta em uma tarefa com proprietário, prazo e critério de verificação. Exercícios devem testar também canais alternativos, autoridade de decisão e comunicação, não apenas comandos técnicos.
Checklist para a próxima crise
- Confirmar coordenador, substitutos e canal alternativo.
- Registrar hipótese, ativo, horário, impacto possível e fonte do alerta.
- Definir a contenção com avaliação explícita de evidência perdida.
- Preservar registros, acessos e artefatos relevantes.
- Separar fatos confirmados, inferências e lacunas.
- Acionar privacidade e jurídico quando houver possibilidade de dados pessoais.
- Autorizar recuperação somente após validar causa, credenciais e cópia.
- Encerrar com risco residual, tarefas corretivas e responsáveis.
Um plano útil é curto o bastante para ser consultado sob pressão e detalhado o bastante para limitar decisões improvisadas. A maturidade aparece quando a organização consegue agir rapidamente sem perder rastreabilidade: conter o dano, preservar a investigação, cumprir obrigações e retornar à operação com confiança verificável.