Durante um incidente ativo, o time de segurança troca indicadores, logs, hipóteses e até trechos de conversas com parceiros, fornecedores e autoridades quase a cada hora. O Traffic Light Protocol, conhecido como TLP, é o mecanismo que define quem pode repassar cada informação recebida, e a ausência de uma política clara de marcação transforma uma troca técnica legítima em vazamento involuntário. Equipes de SOC, CSIRT, liderança de tecnologia e encarregados de dados são os mais afetados, porque costumam estar dos dois lados da mesma troca. A ação prioritária é definir, antes da próxima crise, quem marca cada artefato, quem pode ampliar uma divulgação e como registrar essa decisão com rastreabilidade.

O protocolo nasceu para facilitar o compartilhamento de informação potencialmente sensível entre profissionais de segurança, do emissor (source) para um ou mais destinatários (recipients). Ele é padronizado pelo FIRST, a organização que reúne equipes de resposta do mundo inteiro, e a versão 2.0 é a vigente desde agosto de 2022. Apesar do nome simples, o TLP é aplicado de forma errada com frequência: rótulos copiados sem critério, e-mails reencaminhados que mudam de cor no meio do caminho e documentos inteiros sem qualquer marcação, como se o risco de difusão fosse zero.

O que o TLP realmente decide

A definição central do padrão é enxuta: os rótulos existem para indicar os limites de compartilhamento que o destinatário deve aplicar à informação que recebeu. A decisão de circulação já foi tomada pelo emissor no momento do envio, e o trabalho de quem recebe é executar essa orientação, não reinterpretá-la. O padrão é explícito ao dizer que o TLP não é um esquema formal de classificação, não trata de termos de licenciamento, nem de regras de manuseio ou criptografia.

Essa distinção importa na operação diária. Um documento interno que exige destruição em prazo determinado, segredo de justiça ou controle de exportação continua precisando do seu esquema próprio. O TLP responde a uma pergunta só: com quem mais esta informação pode ser compartilhada. Quando as duas camadas são confundidas, o time perde o vocabulário comum que permitiria negociar trocas rápidas com parceiros justamente no momento em que a velocidade importa.

O padrão também reconhece o uso em intercâmbios automatizados, como plataformas de indicadores do tipo MISP. Nesses sistemas, o detalhamento técnico fica a cargo dos projetistas, desde que o significado de cada rótulo permaneça fiel ao padrão. Isso evita que um conector rebatize um indicador recebido e dilua o controle que o emissor original definiu.

Quem marca e quem autoriza

A autoridade sobre a marcação é do emissor. O padrão coloca na fonte a responsabilidade de garantir que os destinatários entendam e consigam seguir a orientação de compartilhamento, e permite que a fonte especifique restrições adicionais, que passam a ser obrigatórias para quem recebe. O caminho inverso também está previsto: se o destinatário precisa compartilhar além do que o rótulo permite, deve obter permissão explícita da fonte. Ampliar a divulgação sem consultar quem originou a informação é violação do protocolo, não flexibilidade operacional.

Na prática, isso vira governança interna de incidente. Um caso em andamento costuma gerar relatório técnico, comunicado a clientes, atualização para a diretoria e registro para o post-mortem, cada um com público, prazo e risco diferentes. Vale definir no plano de resposta quem marca cada artefato, por exemplo, o coordenador do incidente marca relatórios técnicos e a liderança valida o material que sai da organização, e registrar cada decisão no mesmo repositório de evidências do caso. Sem esse registro, a organização não consegue reconstruir depois quem autorizou o quê, exatamente a pergunta que aparece em auditoria, fiscalização ou disputa contratual.

O pedido de ampliação merece trilha própria. Um modelo simples, com quem pede, qual rótulo original, para qual público se quer divulgar e a resposta da fonte, reduz a tentação de resolver na pressa por mensagem direta. Quando a fonte não responde, a resposta é não, e o material permanece no limite original.

Cores, públicos e limites

A tabela resume cada marcação válida na versão vigente e o limite prático de difusão. Os rótulos devem ser escritos em caixa alta, sem espaços, e mantidos no idioma original mesmo quando o conteúdo é traduzido para o português.

Marcação Pode compartilhar com Não pode
TLP:RED Apenas os destinatários diretos presentes na troca Qualquer repasse fora do círculo original
TLP:AMBER+STRICT Membros da própria organização, por necessidade de saber Clientes, parceiros e canais externos
TLP:AMBER Organização e seus clientes, por necessidade de saber Comunidade ampla e canais públicos
TLP:GREEN Comunidade de segurança, em canais não acessíveis ao público Publicação em site, rede social ou lista aberta
TLP:CLEAR Qualquer público, sem restrição adicional Nada, salvo regras normais de direito autoral

Leitura rápida: o vermelho é exceção e se usa quando agir sobre a informação traria risco significativo à privacidade, à reputação ou à operação das organizações envolvidas. TLP:RED não autoriza nenhuma divulgação adicional, e a recomendação prática da CISA é trocar esse tipo de material verbalmente ou presencialmente sempre que possível. AMBER+STRICT fecha o círculo na organização, enquanto o AMBER comum estende o alcance aos clientes da organização que recebe, justamente para que consigam se proteger. O GREEN circula na comunidade por canais não públicos, com uma definição importante: quando a comunidade não é definida, assume-se a comunidade de segurança e defesa cibernética. O CLEAR pode ir ao mundo.

Procedimento para o próximo incidente

Um roteiro curto, executável em qualquer organização que já tenha um mínimo de processo de resposta:

  • P1: publique a política interna de TLP com a definição de quem marca cada tipo de artefato e o canal oficial para pedir ampliação de divulgação.
  • P1: padronize a sinalização no dia a dia. Em mensagens, o rótulo entra imediatamente antes da informação, de preferência no assunto do e-mail. Em documentos, entra no cabeçalho e no rodapé de cada página, em corpo de texto legível e alinhado à direita para não se confundir com carimbos existentes.
  • P1: inclua a pergunta de marcação nos templates de relatório de incidente, comunicado a clientes e pedido de apoio a fornecedor, para que nenhum artefato saia sem rótulo.
  • P2: treine o time nos limites reais de cada cor, com ênfase em que cliente entra no AMBER comum e não no AMBER+STRICT.
  • P2: revise as marcações da base de indicadores e das regras de detecção compartilhadas. Ao repassar conteúdo técnico entre equipes, como as regras descritas no guia de auditd sem ruído, defina também o rótulo mínimo esperado pelo destinatário.
  • P2: registre no post-mortem quantas ampliações de divulgação foram pedidas, quantas foram negadas e por quê, para calibrar a política com dados do próprio ambiente.

Erros que anulam a marcação

Alguns deslizes aparecem com frequência e anulam o valor do protocolo:

  • Reencaminhar mensagem trocando a cor, como baixar um AMBER para GREEN para facilitar a vida do time vizinho.
  • Usar o TLP como se fosse classificação de sigilo oficial, misturando-o com prazos de destruição ou controles de acesso interno.
  • Marcar um e-mail inteiro com um rótulo só quando ele contém trechos de cores diferentes, sem delimitar onde cada bloco começa e termina.
  • Aplicar TLP:RED por padrão em tudo, o que bloqueia a colaboração e incentiva o time a burlar o processo.
  • Deixar a comunidade indefinida num GREEN, o que transforma cada leitor em intérprete do limite.
  • Achatar AMBER e AMBER+STRICT como se fossem iguais, expondo informação que a fonte quis manter dentro da organização.

Fontes