O que contém
- O âmbito e o que conta como incidente.
- A equipa, com substitutos e contactos guardados fora dos seus sistemas principais.
- Os níveis de gravidade e quem é chamado em cada um.
- Os passos de cada fase.
- A comunicação interna, aos clientes, aos reguladores e à imprensa: quem diz o quê.
- Os prazos legais e contratuais.
- O tratamento das provas.
- Como encerrar e aprender.
As fases
A revisão 2 da NIST SP 800-61 (2012) descrevia quatro fases. A revisão 3, publicada em abril de 2025, substitui-a e alinha a resposta a incidentes com as funções do NIST Cybersecurity Framework 2.0. As quatro fases continuam a ser uma base simples para redigir um plano:
- Preparação: ferramentas, contactos, formação.
- Deteção e análise: confirmar, classificar, registar.
- Contenção, erradicação e recuperação: parar, eliminar a causa, repor em segurança.
- Atividade pós-incidente: rever o que aconteceu e melhorar.
Prazos legais a incluir
- RGPD: 72 horas para notificar à autoridade uma violação de dados pessoais a notificar.
- NIS2: alerta precoce em 24 horas, notificação em 72 horas, relatório final no prazo de um mês.
- HIPAA: sem demora injustificada e no prazo de 60 dias de calendário.
- DORA: prazos fixados pelas normas técnicas para os incidentes graves relacionados com as TIC.
Testá-lo
Faça um exercício de simulação em sala pelo menos uma vez por ano, com a direção e com quem vai falar com os clientes. Atualize o plano com o que aprender, e depois de cada incidente real.
Perguntas
- Qual a diferença entre um evento e um incidente?
- Um evento é algo observado, como uma tentativa de início de sessão falhada. Um incidente é um evento que prejudica ou ameaça a segurança e exige resposta.
- Quem deve liderar a resposta a incidentes?
- Um gestor de incidentes designado, com um substituto, com autoridade para tomar decisões como desligar um sistema.