Modelo de Plano de Resposta a Incidentes: O que Fazer nas Primeiras 24 Horas de uma Violação

A maioria das PMEs tem alguma versão de uma política de segurança. Muito poucas têm um plano de resposta a incidentes testado e acionável. A diferença se torna dolorosamente clara às 2h da manhã quando um funcionário liga para dizer que sua tela está bloqueada e há uma nota de resgate. Este guia fornece um framework de trabalho — não um teórico.

Fase 1: Detecção e Triagem Inicial (0–2 Horas)

As primeiras duas horas são para entender o escopo, não para consertar nada. A remediação prematura — como reiniciar as máquinas infectadas — pode destruir evidências forenses e dificultar a recuperação.

• Confirme que o incidente é real — descarte falsos positivos das ferramentas de monitoramento
• Identifique os sistemas afetados: quais máquinas, quais usuários, quais armazenamentos de dados
• Determine o tipo de incidente: ransomware, exfiltração de dados, acesso não autorizado, ameaça interna
• Ative sua equipe de resposta a incidentes — líder de TI, gerência, assessor jurídico se disponível
• NÃO reinicie as máquinas afetadas a menos que estejam se propagando ativamente — preserve o estado forense
• Inicie um registro do incidente: registre com carimbo de data/hora cada ação tomada a partir deste momento

Fase 2: Contenção (2–6 Horas)

A contenção significa parar a propagação sem destruir evidências. O objetivo é isolar os sistemas afetados do restante da rede enquanto se preserva a capacidade de investigar.

• Isole as máquinas afetadas da rede — desplugue o ethernet, desabilite o Wi-Fi no nível do switch se possível
• Revogue ou rotacione as credenciais de qualquer conta que possa estar comprometida
• Bloqueie IPs ou domínios maliciosos conhecidos no firewall
• Preserve imagens de disco dos sistemas afetados antes de iniciar qualquer remediação
• Identifique o vetor de ataque — e-mail de phishing, VPN comprometida, vulnerabilidade sem patch
• Notifique sua seguradora de cibersegurança — a maioria das apólices exige notificação dentro de 24–72 horas

Fase 3: Obrigações de Notificação (6–24 Horas)

As leis de notificação de violações de dados variam por estado e setor. A Lei de Proteção de Informações da Flórida exige notificação dentro de 30 dias após determinar que ocorreu uma violação. A HIPAA exige notificação dentro de 60 dias. O PCI DSS exige notificação imediata ao seu banco adquirente. Não notificar a tempo pode resultar em multas que superam o custo da própria violação.

• Empresas na Flórida: notifique as pessoas afetadas dentro de 30 dias (Lei de Proteção de Informações da Flórida)
• Entidades cobertas pela HIPAA: notifique o HHS e as pessoas afetadas dentro de 60 dias
• PCI DSS: notifique seu banco adquirente e as bandeiras de cartões imediatamente após a descoberta
• Documente seu cronograma de notificação — os reguladores vão solicitá-lo
• Envolva assessor jurídico antes de enviar qualquer notificação externa
• Prepare uma comunicação interna para os funcionários — o silêncio gera rumores

Fase 4: Erradicação e Recuperação

Só comece a erradicação depois que a contenção estiver confirmada e as imagens forenses estiverem preservadas. A erradicação significa remover a ameaça — malware, backdoors, contas comprometidas — completamente do seu ambiente. A recuperação significa restaurar os sistemas a partir de backups conhecidos como bons e verificar a integridade antes de reconectar à rede.

• Reconstrua os sistemas afetados a partir de imagens limpas — não tente 'limpar' máquinas infectadas com ransomware
• Restaure os dados a partir do backup limpo mais recente — verifique a integridade antes de usar
• Redefina todas as senhas em toda a organização, não apenas as contas afetadas
• Aplique o patch na vulnerabilidade que foi explorada antes de reconectar os sistemas
• Monitore intensivamente os sistemas restaurados por 30 dias após o incidente

A Revisão Pós-Incidente: Transformando a Dor em Prevenção

Dentro de duas semanas após a resolução, realize uma revisão formal pós-incidente. Documente o que aconteceu, como foi detectado, como foi o cronograma de resposta e quais lacunas o incidente expôs. Esta revisão não é sobre atribuir culpa — é sobre construir uma defesa melhor. Atualize seu plano de resposta a incidentes com base no que você aprendeu.