Equipes de segurança que ainda fundamentam seus planos de resposta a incidentes no guia clássico do NIST operam com uma referência aposentada. O instituto retirou a validação da edição antiga do documento e a substituiu por uma versão reconstruída sobre o Cybersecurity Framework, o modelo que organiza a segurança em funções de governança, identificação, proteção, detecção, resposta e recuperação. A mudança alcança quem mantém política de resposta, matriz de escalonamento, roteiros de simulação e contratos que citam aderência normativa. A prioridade imediata é trocar a referência do plano e revisar as decisões de governança que a nova edição coloca em primeiro plano.
O que mudou no guia
A edição antiga organizava o trabalho em torno de um ciclo operacional: preparação, detecção e análise, contenção com erradicação e recuperação, e atividade pós-incidente. Era, no essencial, um manual de como conduzir o processo. A edição vigente segue outra lógica: é um perfil da comunidade do CSF que posiciona a resposta dentro do programa amplo de tratamento de risco da organização. Na prática, o documento novo incorpora a resposta a incidentes nas atividades de gestão de risco de cibersegurança descritas no Cybersecurity Framework, em vez de tratá-la como processo isolado das operações técnicas.
A transição tem data marcada. A edição vigente do guia do NIST foi publicada em abril de 2025 e substitui a edição anterior, publicada em agosto de 2012, que permanece acessível apenas como registro histórico, conforme a notificação de retirada na página oficial. Quem audita, contrata ou presta consultoria citando a revisão antiga como norma vigente está, desde então, apoiado em documento retirado — detalhe que costuma aparecer em auditorias de maturidade e em questionários de fornecedor. A página oficial da edição atual descreve o objetivo: preparar a organização, reduzir o número e o impacto dos incidentes e melhorar a eficiência da detecção, da resposta e da recuperação.
Por que a mudança importa
O deslocamento mais relevante é de escopo, não de técnica. A função de governança do CSF traz para o centro do debate perguntas que a edição antiga tratava de forma periférica: quem tem autoridade para declarar um incidente, quais critérios de severidade estão atrelados ao risco do negócio e de que forma a alta direção participa das decisões de contenção com impacto operacional. Essas perguntas não são burocracia. Autoridade e evidência são o que separa um plano executável de um documento de prateleira quando o relógio corre contra a equipe, como a análise sobre resposta a incidentes já mostrou.
Há também efeito contratual e de compra. Contratos, propostas e acordos de nível de serviço que prometem resposta conforme o guia antigo precisam de revisão, porque o objeto de referência deixou de existir como publicação vigente. O mesmo vale para material de treinamento interno e para os cenários usados em exercícios de mesa, que herdaram critérios de priorização da década passada.
Um terceiro efeito é de métrica. Quando a resposta passa a ser medida como parte do tratamento de risco, indicadores como tempo de contenção deixam de ser fim em si mesmos e passam a conversar com apetite de risco, impacto financeiro e tolerância a interrupção declarada pela direção. Times que reportam apenas contagem de tickets perdem a oportunidade de mostrar valor em linguagem de negócio.
Como revisar seu plano
A revisão não exige reescrever tudo. O trabalho é mapear cada seção do plano vigente para as funções do framework e identificar lacunas de governança. A tabela abaixo resume o encaixe:
| Etapa do guia antigo | Função no CSF 2.0 | O que revisar no plano |
|---|---|---|
| Preparação | Govern e Identify | Matriz de decisão, autoridade declarada, orçamento e inventário de ativos críticos |
| Detecção e análise | Detect | Regras de triagem, qualidade de logs e critérios de confirmação |
| Contenção e erradicação | Respond | Critérios de contenção, comunicação e registro de decisões |
| Recuperação | Recover | Metas de restauração, verificação de integridade e retorno ao normal |
| Atividade pós-incidente | Govern | Lições aprendidas com decisão registrada e ajuste de risco |
Com o mapa pronto, siga um procedimento curto:
- Substitua a referência normativa em política, procedimento e contrato pela edição atual, com data de entrada em vigor.
- Documente quem declara incidente, quem aprova contenção invasiva e quem autoriza comunicação externa — em nomes e papéis, não em áreas genéricas.
- Revise os critérios de severidade para que reflitam risco ao negócio, não apenas complexidade técnica.
- Ajuste os cenários de exercício de mesa para cobrir decisões de governança, não só resposta técnica.
Catálogo de serviços do CSIRT
Para times internos que precisam justificar escopo e capacidade, a referência complementar vem do FIRST. O CSIRT Services Framework do FIRST, disponível na versão 2.1, descreve modelos, capacidades, serviços e resultados esperados de equipes de resposta, com versões dedicadas a CSIRTs e a PSIRTs de produto. O documento é usado na prática para definir o catálogo inicial de serviços de uma equipe nova e para negociar com as áreas de negócio o que fica dentro e fora do escopo do time.
A combinação dos dois documentos cobre o par pergunta e estrutura: o NIST responde como a resposta se conecta ao risco da organização; o FIRST responde quais serviços uma equipe precisa oferecer para sustentar essa conexão. Um plano revisado sobre as duas bases resiste melhor a auditoria e a crise real.
Prioridades práticas
Organize a atualização em duas ondas:
- P1 — atualizar a referência normativa em política e contratos; confirmar autoridade declarada e matriz de decisão; revisar critérios de severidade atrelados a risco.
- P2 — reescrever roteiros de simulação; alinhar indicadores de resposta ao relatório de risco; revisar descrições de serviço do time com base no framework do FIRST.
O ponto de partida continua sendo a decisão sobre quem decide quando um incidente começa. A nova edição do guia apenas torna essa decisão impossível de adiar: sem governança explícita, o resto do plano é coreografia sem palco.