Todo incidente de segurança tem um momento em comum: aquele em que alguém percebe que algo deu errado e precisa decidir o que fazer, rápido, sob pressão. Quem tenta improvisar essa decisão na hora perde tempo, comete erros e piora o estrago. Quem tem um plano de resposta apenas segue o roteiro. Este guia mostra como escrever esse roteiro antes do fogo.
Um plano de resposta a incidentes não é um documento burocrático para arquivar. É o que separa uma reação organizada de um bombeiro correndo em círculos. E, como quase tudo em segurança, seu valor se decide antes de precisar dele.
Por que improvisar sai caro
No calor de um incidente, o cérebro trabalha pior. As decisões são urgentes, a informação é incompleta, e o custo do erro é alto. É o pior cenário possível para inventar um procedimento do zero. Perguntas simples viram travas: quem avisamos primeiro? Desligamos o sistema ou deixamos ligado para investigar? Quem pode falar com a imprensa?
O plano responde essas perguntas antes, com a cabeça fria. No dia, a equipe não decide, executa. Foi disso que tratei em as primeiras 24 horas de um ransomware: as primeiras horas decidem o desfecho, e elas correm melhor com roteiro.
As fases de uma resposta
Um bom plano organiza a resposta em fases claras, cada uma com ações definidas:
| Fase | O que se faz |
|---|---|
| Preparação | Montar o plano, os contatos e as ferramentas, antes de qualquer incidente |
| Detecção | Identificar que um incidente está acontecendo, e classificar a gravidade |
| Contenção | Impedir que o estrago se espalhe, isolando o que foi atingido |
| Erradicação | Remover a causa, o acesso do atacante e o que ele deixou |
| Recuperação | Voltar à operação normal, com cuidado para não reabrir a porta |
| Lição aprendida | Revisar o que aconteceu e melhorar o plano para a próxima |
A última fase é a mais pulada e uma das mais importantes. Cada incidente ensina algo, e quem não revisa repete o mesmo erro.
O que não pode faltar no plano
Um plano útil é específico e acionável, não uma teoria genérica. O mínimo que ele precisa ter:
- Quem faz o quê. Papéis definidos: quem coordena, quem investiga, quem comunica.
- Contatos, à mão. Telefones e responsáveis, inclusive fora do horário, e num lugar que sobreviva se os sistemas caírem.
- Critérios de gravidade. Nem todo incidente é crise; o plano precisa dizer o que é o quê.
- Passos de contenção prontos. O que isolar, como, e quem autoriza desligar o que.
- Plano de comunicação. Quem fala com clientes, com a equipe, e, se preciso, com as autoridades.
O plano que ninguém testou não existe
Um erro comum é escrever o plano, guardar na gaveta e considerar o trabalho feito. Um plano nunca testado costuma falhar na primeira vez que é usado, porque contatos mudam, sistemas mudam, e a equipe nunca praticou. A solução é simular: rodar exercícios onde a equipe encena um incidente e segue o plano, achando as falhas num ensaio, não numa crise real.
É o mesmo princípio do backup que ninguém testou: só se descobre que não funciona na hora em que ele era a última esperança.
Calma vem de preparo
A diferença entre uma organização que atravessa um incidente com dignidade e uma que entra em pânico raramente está na tecnologia. Está no preparo. O plano de resposta é o que permite agir com método quando tudo parece desabar, porque as decisões difíceis já foram tomadas antes, com tempo e cabeça fria. Escrever esse roteiro é admitir uma verdade madura: o incidente vai acontecer, e o que você controla é o quão pronto estará quando ele chegar.