botbook/docs/chapter-11-Incident Management.md

id	title	sidebar_label	sidebar_position
incident-management	Cap. 11 - Gestão de Incidentes	11. Gestão de Incidentes	11

Gestão de Incidentes

11.1 Introdução à Gestão de Incidentes

A gestão de incidentes de segurança da informação é um componente crítico do sistema de gestão de segurança da informação (SGSI) da Pragmatismo. Este processo estruturado permite identificar, reportar, avaliar e responder efetivamente a incidentes de segurança, minimizando danos potenciais e prevenindo recorrências futuras.

Este capítulo estabelece as diretrizes e procedimentos para a gestão de incidentes na Pragmatismo, alinhados com os requisitos das normas ISO 27001, HIPAA e LGPD, garantindo a proteção adequada das informações e a continuidade dos negócios.

11.1.1 Definição de Incidente de Segurança da Informação

Um incidente de segurança da informação é definido como um evento único ou uma série de eventos indesejados ou inesperados de segurança da informação que têm uma probabilidade significativa de comprometer as operações de negócio e ameaçar a segurança da informação.

Exemplos incluem:

• Violações de dados
• Acesso não autorizado a sistemas ou informações
• Interrupção de serviços digitais
• Comprometimento de credenciais
• Ataques de malware, ransomware ou phishing
• Modificação não autorizada de dados
• Perda ou roubo de equipamentos contendo informações sensíveis
• Falhas em sistemas críticos com impacto na confidencialidade, integridade ou disponibilidade da informação

11.2 Integração com o Ciclo de Vida de Desenvolvimento de Software (ALM)

A gestão de incidentes na Pragmatismo está intrinsecamente conectada ao nosso ciclo de vida de desenvolvimento de software (Application Lifecycle Management - ALM). Esta integração é fundamental para uma empresa que desenvolve soluções como o General Bots.

11.2.1 Pontos de Intersecção entre Gestão de Incidentes e ALM

1. Detecção Precoce: As atividades de monitoramento contínuo do ALM ajudam na detecção precoce de vulnerabilidades que poderiam levar a incidentes.

2. Análise de Causa Raiz: Os incidentes relacionados ao software são analisados dentro do contexto do ALM para identificar falhas no processo de desenvolvimento.

3. Resolução Integrada: Correções para incidentes de segurança em software são incorporadas diretamente no pipeline de desenvolvimento.

4. Feedback para Melhoria Contínua: Os dados de incidentes alimentam o processo de melhoria do ALM, refinando práticas de desenvolvimento seguro.

5. Rastreabilidade: A integração permite rastrear como e quando as vulnerabilidades foram introduzidas e corrigidas no código.

11.2.2 DevSecOps na Gestão de Incidentes

A Pragmatismo adota uma abordagem DevSecOps, incorporando segurança em todo o ciclo de desenvolvimento:

• Segurança como Código: Controles de segurança automatizados são integrados aos pipelines de CI/CD
• Testes de Segurança Automatizados: Realizados regularmente para identificar vulnerabilidades antes que se tornem incidentes
• Monitoramento em Tempo Real: Detecção proativa de comportamentos anômalos em aplicações em produção
• Resposta Rápida: Capacidade de corrigir vulnerabilidades rapidamente com processos ágeis de desenvolvimento

11.3 Estrutura da Equipe de Resposta a Incidentes (CSIRT)

11.3.1 Composição da Equipe

A Pragmatismo estabeleceu uma Equipe de Resposta a Incidentes de Segurança Computacional (CSIRT) multidisciplinar, composta por:

Papel	Responsabilidades
Gerente de Incidentes	Coordenação geral da resposta a incidentes, tomada de decisões críticas, comunicação com a alta direção
Especialistas em Segurança	Análise técnica de incidentes, identificação de vulnerabilidades, implementação de correções técnicas
Analistas de Desenvolvimento	Identificação e correção de problemas de segurança no código e na arquitetura do software
Representante de TI	Suporte na infraestrutura técnica, restauração de sistemas e backups
Representante Jurídico	Avaliação de implicações legais e conformidade com LGPD, HIPAA e outras regulamentações
Especialista em Comunicação	Gestão de comunicações internas e externas durante incidentes significativos
Representante de RH	Tratamento de incidentes relacionados a funcionários, treinamentos e conscientização

11.3.2 Modelos de Atuação

A CSIRT da Pragmatismo opera em diferentes modelos dependendo da severidade do incidente:

• Modelo Distribuído: Para incidentes de baixa severidade, especialistas trabalham remotamente
• Modelo Centralizado: Para incidentes críticos, a equipe se reúne em sala de crise dedicada
• Modelo Híbrido: Combinação de recursos locais e remotos para otimizar a resposta

11.4 Processo de Gestão de Incidentes

O processo de gestão de incidentes da Pragmatismo segue as melhores práticas da ISO 27001 e está alinhado com os requisitos de HIPAA e LGPD:

11.4.1 Preparação e Planejamento

• Documentação de Procedimentos: Procedimentos detalhados para diferentes tipos de incidentes
• Recursos Necessários: Ferramentas, sistemas e recursos humanos para resposta eficaz
• Treinamento e Conscientização: Programa contínuo de capacitação da equipe CSIRT e de todos os colaboradores
• Simulações Periódicas: Exercícios práticos para testar a eficácia dos procedimentos
• Catalogação de Ativos: Inventário atualizado de ativos de informação críticos

11.4.2 Identificação e Notificação

A Pragmatismo implementou múltiplos canais para identificação e notificação de incidentes:

• Monitoramento Automatizado: Sistemas SIEM, IDS/IPS, análise de logs
• Notificação por Colaboradores: Portal de segurança para reporte de incidentes
• Alertas de Parceiros e Clientes: Canal dedicado para comunicação externa
• Varreduras de Vulnerabilidades: Identificação proativa de falhas de segurança
• Linha Direta de Segurança: Número de telefone dedicado para relato de incidentes urgentes

Fluxo de Notificação

1. Identificação de evento suspeito
2. Registro inicial no sistema de tickets
3. Avaliação preliminar pela equipe de primeira resposta
4. Classificação e priorização
5. Escalonamento conforme necessário

11.4.3 Classificação e Priorização

Os incidentes são classificados de acordo com:

Categorias de Incidentes

Categoria	Descrição	Exemplos
Tentativa de Acesso	Tentativas de comprometer sistema ou informação	Ataques de força bruta, exploração de vulnerabilidades
Uso Indevido	Uso não autorizado de sistemas ou dados	Uso de credenciais roubadas, elevação de privilégios
Vazamento de Dados	Exposição não autorizada de informações	Envio acidental de dados sensíveis, exfiltração de dados
Malware	Software malicioso que afeta sistemas	Vírus, ransomware, backdoors
Indisponibilidade	Interrupção de serviços ou sistemas	Ataques DDoS, falhas em aplicações
Violação de Política	Descumprimento de políticas internas	Compartilhamento indevido de senhas, bypass de controles

Níveis de Severidade

Nível	Descrição	Impacto	Tempo de Resposta
Crítico	Impacto severo no negócio, risco significativo	Afeta dados sensíveis de clientes, interrupção total de serviços críticos	Imediato (até 30 minutos)
Alto	Impacto substancial em departamentos ou serviços importantes	Comprometimento parcial de dados, interrupção de serviços importantes	2 horas
Médio	Impacto moderado, afeta processos específicos	Acesso não autorizado a dados não críticos, degradação de desempenho	8 horas
Baixo	Impacto limitado, facilmente contornável	Pequenas violações de política, incidentes isolados	24 horas

11.4.4 Contenção, Erradicação e Recuperação

Estratégias de Contenção

A contenção visa limitar os danos de um incidente em andamento:

• Contenção Imediata: Ações rápidas para isolar sistemas comprometidos

  • Desconexão de rede
  • Bloqueio de contas comprometidas
  • Desativação de serviços afetados

• Contenção a Curto Prazo: Medidas para estabilizar o ambiente

  • Implementação de filtros adicionais
  • Instalação de patches de emergência
  • Redirecionamento de tráfego

• Contenção a Longo Prazo: Medidas permanentes

  • Redesenho de arquitetura
  • Implementação de novos controles de segurança

Erradicação

Após a contenção, o processo de eliminação das causas do incidente:

1. Identificação do vetor de ataque e vulnerabilidades exploradas
2. Remoção de malware ou código malicioso
3. Correção de vulnerabilidades em aplicações (especialmente relevante para o General Bots)
4. Hardening de sistemas afetados
5. Revisão e reforço de controles de segurança

Recuperação

Restauração segura dos sistemas e serviços afetados:

1. Restauração de dados a partir de backups verificados
2. Ativação gradual de sistemas com monitoramento intensivo
3. Validação da segurança antes do retorno à produção
4. Monitoramento estendido para detecção de atividades suspeitas persistentes

Considerações Específicas para Aplicações de Software

Para incidentes que afetam o General Bots ou outras aplicações da Pragmatismo:

• Roll-back para versões estáveis anteriores quando necessário
• Deploy emergencial de patches de segurança
• Sandbox para teste acelerado de correções
• Integração com sistema de CI/CD para implementação rápida de correções

11.4.5 Análise Pós-Incidente

Após a resolução do incidente, a Pragmatismo realiza uma análise detalhada:

Análise de Causa Raiz

Metodologia estruturada para identificar:

• Causa técnica direta do incidente
• Falhas em processos ou controles
• Fatores humanos e organizacionais

Documentação e Lições Aprendidas

Cada incidente é documentado em relatório contendo:

• Timeline detalhada do incidente
• Ações tomadas e sua eficácia
• Impacto técnico e de negócio
• Recomendações para evitar recorrência

Atualização de Processos e Controles

Com base nas lições aprendidas:

• Revisão e atualização de políticas de segurança
• Melhoria em procedimentos de resposta
• Implementação de novos controles técnicos
• Ajustes no programa de conscientização em segurança

11.5 Conformidade Regulatória na Gestão de Incidentes

11.5.1 Conformidade com ISO 27001

A gestão de incidentes da Pragmatismo atende aos requisitos do controle A.16 da ISO 27001:

Controle ISO 27001	Implementação na Pragmatismo
A.16.1.1 Responsabilidades e procedimentos	Definição clara de papéis e responsabilidades da CSIRT
A.16.1.2 Notificação de eventos de segurança	Múltiplos canais de notificação e sistema centralizado de registro
A.16.1.3 Notificação de fragilidades de segurança	Processo para relato de vulnerabilidades por colaboradores e terceiros
A.16.1.4 Avaliação e decisão sobre eventos	Sistema de classificação e priorização de incidentes
A.16.1.5 Resposta a incidentes	Procedimentos detalhados para diferentes tipos de incidentes
A.16.1.6 Aprendizagem com incidentes	Análise pós-incidente e implementação de melhorias
A.16.1.7 Coleta de evidências	Procedimentos forenses e de preservação de evidências

11.5.2 Conformidade com LGPD

Para incidentes envolvendo dados pessoais, procedimentos específicos em conformidade com a LGPD:

• Notificação à ANPD: Para incidentes que possam acarretar risco ou dano relevante aos titulares

  • Prazo: Em tempo hábil, conforme determinação da ANPD
  • Conteúdo: Descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, medidas de segurança utilizadas, riscos relacionados ao incidente, medidas adotadas para reverter ou mitigar os efeitos do incidente

• Comunicação aos Titulares: Quando o incidente puder acarretar risco ou dano relevante

  • Linguagem clara e acessível
  • Informações sobre as medidas de proteção tomadas

• Documentação: Registro detalhado para demonstração de compliance

  • Evidências das medidas implementadas
  • Cronologia das ações tomadas
  • Fundamentação para decisões sobre notificação

11.5.3 Conformidade com HIPAA

Para incidentes envolvendo informações de saúde protegidas (PHI):

• Determinação de Violação: Processo de avaliação para determinar se um incidente constitui uma violação reportável

  • Análise de probabilidade de comprometimento de PHI
  • Documentação da análise e conclusão

• Notificação: Em caso de violação confirmada

  • Para indivíduos afetados: Sem atraso indevido, máximo de 60 dias após a descoberta
  • Para HHS (equivalente nos EUA): Para violações afetando mais de 500 indivíduos, notificação simultânea
  • Para mídia: Quando violação afeta mais de 500 residentes de um estado ou jurisdição

• Conteúdo da Notificação: Informações requeridas pela HIPAA

  • Descrição do incidente
  • Tipos de PHI envolvidos
  • Passos que os indivíduos podem tomar para se proteger
  • Medidas tomadas para mitigar danos e evitar recorrências
  • Procedimentos para obter informações adicionais

11.6 Ferramentas e Tecnologias de Suporte

A Pragmatismo implementou um conjunto integrado de ferramentas para suportar a gestão eficiente de incidentes:

11.6.1 Detecção e Monitoramento

• Sistema SIEM (Security Information and Event Management): Correlação de eventos de segurança em tempo real
• EDR (Endpoint Detection and Response): Monitoramento avançado de endpoints
• IDS/IPS (Intrusion Detection/Prevention System): Detecção e bloqueio de atividades maliciosas na rede
• Análise de Comportamento de Usuários (UEBA): Identificação de comportamentos anômalos
• Monitoramento Contínuo de Vulnerabilidades: Scans regulares de infraestrutura e aplicações

11.6.2 Gestão e Documentação

• Sistema de Tickets de Incidentes: Rastreamento do ciclo de vida completo dos incidentes
• Base de Conhecimento: Registro de incidentes passados e resoluções
• Dashboard de Status de Incidentes: Visibilidade em tempo real
• Ferramenta de Análise de Causa Raiz: Suporte estruturado para investigações
• Sistema de Comunicação Segura: Para coordenação da equipe durante incidentes

11.6.3 Integração com DevSecOps

• Ferramentas de SAST/DAST: Análise estática e dinâmica de segurança no código
• Gerenciamento de Vulnerabilidades: Integração com ciclo de desenvolvimento
• Análise de Composição de Software (SCA): Detecção de vulnerabilidades em componentes de terceiros
• Monitoramento de Segurança em CI/CD: Verificações automatizadas no pipeline
• Feedback de Segurança em PRs: Análise automatizada em pull requests

11.7 Procedimentos Específicos por Tipo de Incidente

A Pragmatismo desenvolveu procedimentos detalhados para tipos comuns de incidentes:

11.7.1 Resposta a Malware

1. Isolamento: Desconexão imediata do sistema infectado da rede
2. Identificação: Análise do tipo e comportamento do malware
3. Contenção: Verificação de propagação para outros sistemas
4. Erradicação: Remoção do malware usando ferramentas especializadas
5. Recuperação: Restauração do sistema a partir de backup limpo
6. Lições Aprendidas: Identificação do vetor de infecção e implementação de proteções adicionais

11.7.2 Resposta a Vazamento de Dados

1. Confirmação e Escopo: Verificação de quais dados foram expostos e afetados
2. Contenção: Bloqueio do acesso não autorizado à fonte de dados
3. Avaliação Legal: Determinação de obrigações de notificação (LGPD/HIPAA)
4. Notificação: Comunicação aos titulares dos dados e autoridades, conforme necessário
5. Mitigação: Ações para minimizar danos aos afetados
6. Revisão de Controles: Fortalecimento das medidas de proteção de dados

11.7.3 Resposta a Vulnerabilidades em Aplicações

Especialmente relevante para o produto General Bots:

1. Avaliação de Impacto: Determinação da exploitabilidade e potencial dano
2. Priorização: Classificação com base em criticidade e impacto no negócio
3. Desenvolvimento de Patch: Criação e teste da correção em ambiente seguro
4. Implementação: Deployment do patch seguindo procedimentos de mudança
5. Verificação: Confirmação da efetividade da correção
6. Divulgação Responsável: Comunicação aos clientes afetados

11.7.4 Resposta a Incidentes de Acesso Não Autorizado

1. Detecção: Identificação da violação através de alertas ou anomalias
2. Contenção: Bloqueio imediato das contas comprometidas
3. Investigação: Análise da extensão do acesso e atividades realizadas
4. Remediação: Reforço das defesas e controles de acesso
5. Recuperação: Restauração da segurança e integridade dos sistemas
6. Análise Forense: Determinação do método de comprometimento

11.8 Métricas e Melhoria Contínua

11.8.1 Indicadores-chave de Desempenho (KPIs)

A Pragmatismo monitora os seguintes KPIs para avaliar a eficácia da gestão de incidentes:

KPI	Descrição	Meta
Tempo Médio para Detecção (MTTD)	Tempo entre o início do incidente e sua identificação	< 2 horas
Tempo Médio para Resposta (MTTR)	Tempo entre a detecção e o início da resposta	< 30 minutos
Tempo Médio para Resolução (MTTS)	Tempo total até a resolução completa	Depende da severidade
Taxa de Resolução na Primeira Intervenção	Incidentes resolvidos sem escalonamento	> 75%
Taxa de Recorrência	Incidentes similares que ocorrem novamente após resolução	< 5%
Cobertura de Análise Pós-Incidente	Percentual de incidentes que passam por análise completa	100% para médio/alto/crítico

11.8.2 Processo de Melhoria Contínua

A gestão de incidentes da Pragmatismo segue o ciclo PDCA (Plan-Do-Check-Act):

1. Plan (Planejar):

   • Definição de políticas e procedimentos
   • Estabelecimento de métricas e metas
   • Planejamento de recursos e treinamentos

2. Do (Fazer):

   • Implementação dos processos definidos
   • Execução das atividades de resposta
   • Coleta de dados e métricas

3. Check (Verificar):

   • Análise de métricas e tendências
   • Avaliação da eficácia dos processos
   • Identificação de áreas para melhoria

4. Act (Agir):

   • Implementação de melhorias identificadas
   • Ajuste de processos e controles
   • Atualização de documentação

11.8.3 Revisões Periódicas

• Revisões Trimestrais: Análise de tendências e eficácia operacional
• Revisões Anuais: Avaliação estratégica e alinhamento com objetivos de negócio
• Auditorias: Verificação independente de conformidade com normas e regulamentos

11.9 Treinamento e Conscientização

11.9.1 Programa de Treinamento da CSIRT

A Pragmatismo mantém um robusto programa de capacitação para todos os membros da equipe de resposta a incidentes:

• Treinamento Básico: Obrigatório para todos os membros

  • Fundamentos de gestão de incidentes
  • Procedimentos internos e ferramentas
  • Técnicas de investigação inicial

• Treinamento Avançado: Para especialistas técnicos

  • Análise forense digital
  • Técnicas avançadas de detecção de intrusão
  • Resposta a ameaças persistentes avançadas (APTs)

• Treinamento Específico por Função: Baseado em responsabilidades

  • Legal: Requisitos regulatórios e notificações
  • Comunicação: Gestão de crise e comunicação
  • Técnico: Análise de malware, resposta a ransomware

11.9.2 Conscientização Organizacional

Programa abrangente para todos os colaboradores:

• Treinamento de Indução: Para novos colaboradores
• Refreshers Anuais: Atualizações de procedimentos e ameaças emergentes
• Simulações de Phishing: Testes práticos regulares
• Boletins de Segurança: Comunicações sobre ameaças atuais
• Portal de Segurança: Recursos e guias acessíveis

11.10 Documentação e Registros

11.10.1 Documentação Requerida

A Pragmatismo mantém a seguinte documentação:

• Política de Gestão de Incidentes: Documento principal definindo diretrizes gerais
• Procedimentos Operacionais Padrão (POPs): Instruções detalhadas para diferentes tipos de incidentes
• Matriz de Escalonamento: Definição clara de quem contatar em cada situação
• Formulários e Templates: Para documentação consistente de incidentes
• Registros de Incidentes: Histórico completo de todos os incidentes e respostas

11.10.2 Retenção de Registros

Em conformidade com requisitos legais e regulatórios:

Tipo de Registro	Período de Retenção	Método de Armazenamento
Incidentes de Baixa Severidade	1 ano	Sistema de tickets
Incidentes de Média Severidade	3 anos	Sistema de tickets e arquivo seguro
Incidentes de Alta/Crítica Severidade	5 anos	Sistema de tickets e arquivo seguro com criptografia
Incidentes envolvendo dados pessoais (LGPD)	6 anos	Arquivo seguro com criptografia e controle de acesso
Incidentes envolvendo PHI (HIPAA)	6 anos	Arquivo seguro com criptografia e controle de acesso

11.11 Referências e Recursos Adicionais

11.11.1 Normas e Frameworks

• ISO/IEC 27001:2013 - Seção A.16: Gestão de incidentes de segurança da informação
• ISO/IEC 27035: Gestão de incidentes de segurança da informação
• NIST SP 800-61: Guia de tratamento de incidentes de segurança da informação
• SANS Incident Handler's Handbook
• COBIT 5 for Information Security

11.11.2 Legislação Aplicável

• Lei Geral de Proteção de Dados (LGPD) - Lei nº 13.709/2018
• Health Insurance Portability and Accountability Act (HIPAA)
• Marco Civil da Internet - Lei nº 12.965/2014

11.11.3 Recursos Internos

• Wiki de Segurança da Pragmatismo
• Biblioteca de Playbooks de Resposta a Incidentes
• Base de Conhecimento de Incidentes Resolvidos

11.12 Apêndices

Apêndice A: Fluxograma de Resposta a Incidentes

graph TD
    A[Detecção do Incidente] --> B{Avaliação Inicial}
    B -->|Não confirmado| C[Falso Positivo - Documentar]
    B -->|Confirmado| D[Classificação e Priorização]
    D --> E{Severidade?}
    E -->|Baixa| F[Resposta Padrão]
    E -->|Média| G[Resposta Elevada]
    E -->|Alta/Crítica| H[Resposta de Emergência]
    F --> I[Contenção e Erradicação]
    G --> I
    H --> I
    I --> J[Recuperação]
    J --> K[Análise Pós-Incidente]
    K --> L[Implementação de Melhorias]
    L --> M[Fechamento do Incidente]

Apêndice B: Modelo de Relatório de Incidente

# RELATÓRIO DE INCIDENTE DE SEGURANÇA

## 1. INFORMAÇÕES GERAIS
- ID do Incidente: [ID único]
- Data/Hora de Detecção: [DD/MM/AAAA HH:MM]
- Data/Hora de Resolução: [DD/MM/AAAA HH:MM]
- Severidade: [Baixa/Média/Alta/Crítica]
- Categoria: [Tipo de incidente]
- Sistemas Afetados: [Lista de sistemas]

## 2. DESCRIÇÃO DO INCIDENTE
[Descrição detalhada do que ocorreu]

## 3. CRONOLOGIA DE EVENTOS
[Timeline detalhada]

## 4. AÇÕES TOMADAS
[Detalhamento das ações de resposta]

## 5. IMPACTO
- Impacto Técnico: [Descrição]
- Impacto no Negócio: [Descrição]
- Dados Afetados: [Tipos e quantidades]

## 6. ANÁLISE DE CAUSA RAIZ
[Detalhamento das causas identificadas]

## 7. LIÇÕES APRENDIDAS
[Principais aprendizados]

## 8. RECOMENDAÇÕES
[Ações recomendadas para prevenir recorrência]

## 9. ANEXOS
[Lista de evidências e documentação relacionada]

Apêndice C: Lista de Verificação para Classificação de Severidade

Fatores a considerar ao classificar a severidade de um incidente:

1. Impacto nos Dados

   • Quantidade de dados afetados
   • Sensibilidade dos dados (PHI, dados pessoais, informações financeiras)
   • Potencial para uso malicioso dos dados expostos

2. Impacto Operacional

   • Número de sistemas afetados
   • Criticidade dos sistemas para operações
   • Duração estimada da interrupção
   • Existência de workarounds

3. Impacto Regulatório

   • Obrigações de notificação
   • Potenciais penalidades
   • Prazos regulatórios

4. Impacto na Reputação

   • Visibilidade externa do incidente
   • Percepção dos clientes e parceiros
   • Potencial cobertura da mídia

5. Impacto Financeiro

   • Custos diretos de remediação
   • Potenciais perdas de receita
   • Responsabilidades legais