O guia "Incident Response Plan Basics", publicado pela CISA (Cybersecurity and Infrastructure Security Agency, a agência de cibersegurança dos Estados Unidos), ensina como montar um plano de resposta a incidentes (PRI): um documento escrito, formalmente aprovado pela liderança da empresa, que orienta o que fazer antes, durante e depois de um incidente de segurança confirmado ou suspeito. Segundo o material, antes de qualquer incidente acontecer a empresa deve treinar a equipe para reconhecer e relatar eventos suspeitos, revisar o plano com um advogado, mapear contatos de órgãos de segurança e da polícia, imprimir uma cópia do plano e da lista de contatos (já que e-mail e sistemas podem estar indisponíveis durante um ataque), escolher com antecedência um fornecedor técnico externo para investigar possíveis ataques, preparar um texto-base de resposta à imprensa, e revisar o plano a cada trimestre. Durante o incidente, o guia recomenda dividir a resposta em três papéis: um Gestor do Incidente, que lidera a resposta e a comunicação sem fazer o trabalho técnico; um Gestor Técnico, especialista que investiga e soluciona o problema; e um Gestor de Comunicação, que fala com clientes, imprensa e outras partes interessadas. Depois do incidente, o guia recomenda uma reunião de retrospectiva sem buscar culpados, focada em melhorar processos, seguida da atualização de políticas e do compartilhamento das lições aprendidas com toda a equipe.
Por que isso importa para uma PME brasileira: como mostrou o caso recente da rede varejista internacional Ahold Delhaize, noticiado nesta mesma edição, até empresas grandes com equipe de segurança dedicada levam dias para reagir e restaurar sistemas depois de um ataque — e a diferença entre uma reação organizada e um caos generalizado costuma estar, justamente, em ter decidido com antecedência quem faz o quê. Numa PME, não ter um plano mínimo significa descobrir na hora do aperto quem decide desligar um sistema, quem avisa o cliente e quem precisa notificar a ANPD dentro do prazo de três dias úteis em caso de incidente com dados pessoais — perdendo tempo precioso justamente quando ele mais importa.
O que fazer agora: você não precisa de um departamento de segurança para ter um plano — numa empresa pequena, a mesma pessoa pode acumular mais de um papel, desde que isso esteja combinado e escrito antes de um incidente acontecer. Defina, mesmo que informalmente, quem seria o responsável por coordenar a resposta, quem cuidaria da parte técnica (interna ou um fornecedor de confiança já combinado previamente) e quem falaria com clientes em caso de problema; converse com um advogado sobre as obrigações da LGPD em caso de incidente com dados pessoais antes que ele aconteça; mantenha uma lista impressa de contatos essenciais (fornecedor de TI, advogado, delegacia); e, uma vez por ano, reserve um horário para simular um cenário simples — como "nosso site saiu do ar depois de um ataque" — e discutir com a equipe o que cada um faria, exatamente como recomenda o guia da CISA.
Fonte primária: guia "Incident Response Plan Basics", CISA.
