Quando um computador exibe sinais de invasão, um e-mail corporativo é comprometido ou um serviço essencial fica indisponível, a primeira hora costuma definir o tamanho do prejuízo. Um plano de resposta a incidentes para PME não precisa ser um manual de cem páginas. Ele precisa dizer quem decide, o que deve ser preservado, como conter o risco e quando acionar apoio especializado.
O NIST atualizou em 2025 suas recomendações de resposta a incidentes no SP 800-61 Rev. 3. A publicação integra a resposta ao gerenciamento de riscos do negócio e organiza o ciclo em detectar, responder e recuperar, apoiado por preparação e melhoria contínua. Para uma pequena empresa, a tradução prática é simples: a equipe deve combinar decisões antes da crise.
Antes do incidente: defina papéis e contatos
O plano começa com uma lista curta de responsáveis. Nomeie quem coordena a resposta, quem pode interromper um sistema, quem conversa com fornecedores e quem informa a direção. Inclua contatos alternativos, porque o e-mail ou o aplicativo usado normalmente pode estar indisponível.
- Coordenador do incidente e substituto.
- Responsável técnico interno ou prestador de TI.
- Gestor do processo afetado, como financeiro, vendas ou atendimento.
- Responsável pela comunicação com direção, equipe e terceiros.
- Contatos de provedor de nuvem, internet, sistemas e seguradora, quando houver.
Também registre os ativos críticos e suas dependências. Um servidor pode parecer o foco, mas a operação talvez dependa igualmente do acesso à internet, do DNS, do sistema de autenticação e de uma conta administrativa.
Primeiros 15 minutos: confirme sem apagar rastros
O objetivo inicial é separar um incidente real de uma falha comum. Anote horário, usuário, equipamento, sintomas, mensagens exibidas e quem percebeu o problema. Faça capturas quando isso for seguro, mas não navegue por arquivos nem execute ferramentas aleatórias apenas para “ver se melhora”. Reiniciar, formatar ou apagar registros pode destruir evidências úteis.
- Abra um registro único com horário e decisões.
- Confirme quais usuários, equipamentos e serviços apresentam sintomas.
- Preserve mensagens, alertas e registros disponíveis.
- Não use o equipamento suspeito para trocar senhas ou avisar a equipe.
- Classifique o impacto inicial: localizado, múltiplos usuários ou operação crítica.
De 15 a 30 minutos: contenha com proporcionalidade
Conter não significa desligar toda a empresa automaticamente. Isole o equipamento afetado da rede quando houver risco de propagação. Bloqueie uma conta comprometida, revogue sessões e tokens e restrinja o acesso ao recurso atingido. A decisão deve considerar o dano de manter o serviço ativo e o dano de interrompê-lo.
Se pagamentos, dados sensíveis ou credenciais administrativas estiverem envolvidos, eleve a prioridade. Preserve uma rota de comunicação confiável e não compartilhe detalhes técnicos em grupos amplos. Cada ação deve entrar no registro: quem fez, quando, por quê e qual foi o resultado.
De 30 a 60 minutos: organize comunicação e recuperação
Com o risco inicial contido, estabeleça uma atualização objetiva para a direção: o que sabemos, o que ainda não sabemos, quais processos foram afetados, quais controles estão ativos e quando haverá novo informe. Evite atribuir causa ou responsável antes da análise.
- Defina a próxima janela de atualização.
- Priorize serviços usando impacto no negócio, não apenas ordem técnica.
- Escolha uma fonte confiável para restauração e valide sua integridade.
- Registre decisões que exigem aprovação da direção.
- Avalie obrigações contratuais e regulatórias com apoio jurídico apropriado, quando necessário.
Erros que aumentam o impacto
Os erros mais comuns são restaurar antes de compreender a causa, trocar senhas em dispositivo possivelmente comprometido, comunicar hipóteses como fatos e permitir que várias pessoas façam mudanças sem coordenação. Outro erro é depender de uma única pessoa que conhece o ambiente, mas não deixa documentação.
Teste o plano sem esperar uma crise
Faça um exercício de mesa trimestral com um cenário hipotético: por exemplo, uma conta do financeiro enviando mensagens incomuns e um computador apresentando alertas. Percorra os contatos, decisões e prioridades sem alterar o ambiente real. Ao final, registre lacunas e atribua prazo e responsável para cada correção.
A Howto pode apoiar a PME na documentação do ambiente, definição de responsáveis, monitoramento, continuidade e coordenação técnica com fornecedores. Conheça a Howto Tecnologia e avalie como transformar a resposta a incidentes em um processo, não em improviso.
Deixe um comentário