Política de respostas a incidentes

Este documento tem como objetivo definir as diretrizes pelas quais o Ceisc deverá responder a um incidente de segurança, garantindo uma resposta rápida, organizada e eficiente ao evento, atendendo às leis de privacidade e proteção de dados nacionais, permitindo minimizar suas consequências para todos os envolvidos. O objetivo principal da Política de Resposta a Incidentes é identificar ameaças na empresa, responder a elas antes que possam se espalhar e remediá-las antes que possam causar danos.

Definições gerais - das politicas

Para uma melhor compreensão deste documento, serão adotadas as seguintes definições:

Agente de Tratamento: de acordo com a LGPD, são agentes de tratamento aqueles que podem ter alguma ação no tratamento de um incidente que coloque em risco a segurança dos dados pessoais. Tais agentes abrangem:

Controlador: pessoa natural ou jurídica, de direito público ou privado, responsável pelas decisões sobre o tratamento de dados pessoais;
Operador: é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. Dependendo do contexto, uma mesma operação de tratamento de dados pessoais pode ter mais de um operador ou controlador envolvido.
Encarreagado de Proteção de Dados (DPO): a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Autoridade Nacional de Proteção de Dados (ANPD): os artigos 55-A e seguintes da LGPD definem a Autoridade Nacional de Proteção de Dados (ANPD), entidade responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional, conforme as atribuições descritas no art. 55-J da LGPD e no Decreto nº 10.474, de 26 de agosto de 2020

Dado Pessoal: é toda informação relacionada a pessoa natural identificada ou identificável. <br>Incidente: evento, ação ou omissão que tenha permitido ou possa vir a permitir acesso não autorizado, interrupção ou mudança nas operações (inclusive pela tomada de controle), destruição, dano, deleção ou mudança da informação protegida, remoção ou limitação de uso da informação protegida ou, ainda, apropriação, disseminação e publicação indevida de informação protegida de algum ativo de informação crítico ou de alguma atividade crítica por um período de tempo inferior ao tempo objetivo de recuperação.

Incidente de Segurança: O National Institute of Standards and Technology (NIST), define um incidente de segurança como uma violação ou ameaça de violação da política de segurança computacional, política de uso aceitável ou padrões de prática de segurança. Para fins desta política, são considerados incidentes de segurança:

Vazamento ou roubo de dados por meio de invasão/ataque interno ou externo à infraestrutura física ou lógica do Ceisc;
Acesso a dados por pessoas não autorizadas;
Perda ou corrupção de dados ocasionado por queda de energia, raios, inundações e outras catástrofes naturais;
Alteração ou exclusão indevida de dados;
Descarte incorreto de documentos sigilosos, podendo ou não conter dados pessoais.
Tratamento incorreto de dados pessoais, fora da finalidade declarada;

LGPD: Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), cujo objetivo é proteger os direitos fundamentais de privacidade e de liberdade de cada indivíduo.

Relatório Final: é um relatório que deve conter todas as evidências e ações de tratamento do incidente de segurança e que deve ser elaborado na última etapa da resposta ao incidente.

Time de Resposta a incidentes (TRI): Equipe responsável por planejar fluxo de ações e responder a incidentes de segurança, conforme previsto na Política de Segurança da Informação da empresa.

Etapas de resposta a incidentes de segurança

O Ceisc adotará o ciclo de vida de resposta a incidentes:

1. Preparação - Identificação, previsão e definição de Planos de Ação contra incidentes. Volta-se para esta etapa após concluída a atividade pós-incidente, seguindo o ciclo PDCA para melhoria contínua.

2. Detecção e Análise - Detecção de anomalias que possam representar risco adverso ao Ceisc.Nesta etapa ocorrerá a classificação do incidente e, caso envolva dados pessoais, a notificação aos titulares de dados e à ANPD.

3. Contenção, Erradicação e Recuperação - Fase em que são implementadas ações para conter os efeitos do incidente, sua erradicação e recuperação; nesta etapa são identificadas as origens de ataques e coletadas as evidências para posterior elaboração de documentação. Conforme os dados coletados, volta-se à etapa de detecção e análise para reclassificar o incidente, caso aplicável.

4. Atividade Pós-Incidente e Lições Aprendidas - Documentação para ajustamento de processos internos e conformidade regulatória.

Fluxo de resposta a incidentes

1. Preparação: O incidente será avaliado internamente com o objetivo de obter informações iniciais sobre impacto do evento; natureza, categoria e quantidade de titulares de dados pessoais afetados; categoria e quantidade de dados afetados, consequências do incidente para os titulares e a entidade, criticidade e probabilidade; além disso, é necessário preservar todas as evidências do incidente.

2. Detecção e Análise: O colaborador que identificar o incidente deverá comunicar ao gestor imediato, que acionará o Time de Resposta a Incidentes (TRI).O TRI deverá comunicar ao encarregado de proteção de dados (DPO) a existência do incidente, caso envolva dados pessoais.

i. Do prazo para comunicação: a partir da identificação da ocorrência de um incidente, contatar imediatamente o DPO, pelos meios de comunicação convenientes (Ex.: ligação telefônica/ chamada via WhatsApp), solicitando sua presença às dependências da empresa.

ii. Comunicar ao controlador, nos termos da LGPD, a existência do incidente, caso envolva dados pessoais.

iii. Comunicar à ANPD e aos titulares de dados pessoais, em até 2 dias úteis, contados da data de conhecimento do incidente (conforme art. 48 da LGPD) a existência do incidente, em caso de risco ou dano relevante aos titulares;

3. Contenção, Erradicação e Recuperação - Tomada de ações baseadas nos controles dos ativos de TI da organização, para conter o incidente, limitando seu alcance e coletando evidências para posterior análise e documentação.

4. Elaborar documentação (lições aprendidas) para fins de cumprimento do princípio de responsabilização e prestação de contas tanto aos titulares como a prestação de informações sobre o incidente à ANPD (Art. 6º, X da LGPD).