Tecnologia, cibersegurança e dados

Resposta a incidente cibernético

Plano de resposta testado, régua de classificação definida e comunicação ao regulador e ao titular feita no prazo e com registro.

Resposta a incidente cibernético é o processo que transforma evento em decisão: detectar, classificar, conter, erradicar, recuperar, comunicar e registrar aprendizado. O valor aparece na hora do problema. Sem plano exercitado, a instituição perde as primeiras horas discutindo quem autoriza desligar o ambiente, quem fala com o cliente e quem aciona o regulador. A Resolução CMN 4.893/2021 exige plano de resposta a incidentes, classificação dos incidentes relevantes, registro e comunicação ao Banco Central. A LGPD obriga comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante, no prazo e no formato definidos em regulamento da autoridade.

O erro mais caro é de classificação. Incidente relevante fica registrado como evento operacional comum, a comunicação não sai, e a instituição descobre o tamanho do problema quando o supervisor pergunta. O segundo erro é o plano nunca exercitado: contato desatualizado, cadeia de decisão indefinida e nenhuma linha sobre preservação de evidência forense. O terceiro é confundir comunicação de incidente com dados pessoais e comunicação prudencial, que têm fato gerador, destinatário e prazo diferentes, e uma não dispensa a outra. O NIST SP 800-61 organiza o ciclo de tratamento e a ISO/IEC 27035 trata de gestão de incidentes. O registro precisa sustentar a linha do tempo reconstruída depois.

A MERC revisa o plano contra o desenho real da operação, monta a régua de classificação com exemplos concretos e constrói a matriz de comunicação, com gatilho, destinatário, prazo e responsável. Conduz exercício de mesa com tecnologia, risco, jurídico e comunicação, e documenta as falhas observadas sem suavizar. Revisa incidentes passados para verificar se a classificação foi consistente e se o registro sustenta a decisão tomada. Entrega plano revisado, régua de classificação, matriz de comunicação e relatório do exercício. A firma atua em avaliação, controle, governança e evidência, e não substitui o advogado do cliente na interlocução formal com a autoridade.

O que examinamos

• Régua de classificação de incidente com exemplos aplicados
• Matriz de comunicação com gatilho, prazo e responsável
• Cadeia de decisão e acionamento fora do horário comercial
• Preservação de evidência e registro da linha do tempo
• Exercício periódico do plano com falhas documentadas
• Revisão de incidentes passados e da classificação aplicada

Norma aplicável

A Resolução CMN 4.893/2021 exige plano de resposta a incidentes, classificação dos incidentes relevantes e comunicação ao Banco Central. A LGPD, Lei 13.709/2018, obriga comunicar incidente com risco relevante à ANPD e ao titular, no prazo e no conteúdo fixados em regulamento da autoridade.

Entregável

Plano de resposta revisado, régua de classificação, matriz de comunicação e relatório do exercício conduzido com as áreas.