Plano de resposta a incidentes: o que deixar pronto antes do ataque
O que o plano precisa ter, as fases da resposta pelo NIST, um exemplo com ransomware e o que a LGPD exige quando o incidente atinge dados pessoais.
Em resumo: Plano de resposta a incidentes é o documento que define, antes de um ataque, como a empresa detecta, contém, erradica e se recupera de um incidente de segurança: quem lidera e decide, como o incidente é classificado, quem é avisado e quando, que playbooks seguir, como preservar evidências, como restaurar os sistemas e como aproveitar as lições aprendidas. A principal referência é o NIST SP 800-61 Rev. 3, alinhado ao NIST CSF 2.0. Quando o incidente atinge dados pessoais e pode causar risco ou dano relevante aos titulares, a LGPD exige comunicar o incidente à ANPD e aos titulares, em três dias úteis, pela Resolução CD/ANPD nº 15/2024.
O que é um plano de resposta a incidentes?
É o roteiro para pôr em prática a capacidade de resposta a incidentes da empresa, nas palavras do NIST SP 800-61 Rev. 3, a publicação do NIST sobre o tema. O plano diz quem faz o quê, quem decide e como se comunica quando um incidente acontece, para que essas decisões não sejam tomadas pela primeira vez no meio da crise.
Nem todo evento é incidente. O NIST chama de evento qualquer ocorrência observável, como uma tentativa de login; de evento adverso, o que tem consequência negativa; e de incidente, a ocorrência que compromete, de fato ou de forma iminente, a integridade, a confidencialidade ou a disponibilidade de uma informação ou de um sistema, ou que viola as políticas de segurança. Ransomware, sequestro de conta, negação de serviço e vazamento de dados são exemplos.
Quando o incidente atinge dados pessoais, vale também a definição da ANPD: "qualquer evento adverso confirmado" que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (Resolução CD/ANPD nº 15/2024, art. 3º).
Segundo o NIST, os incidentes hoje são frequentes e a recuperação costuma levar semanas ou meses. Por isso a resposta deixou de ser tarefa de uma equipe isolada e passou a fazer parte da gestão de riscos da empresa inteira, da diretoria aos fornecedores.
Política, plano, playbooks e plano de continuidade: qual a diferença?
São documentos diferentes que precisam conversar. Para o NIST, os procedimentos e playbooks seguem a política e o plano de resposta, e o plano de resposta deve ser sincronizado com o de continuidade de negócios, porque incidentes podem abalar a resiliência do negócio.
| Documento | Para que serve | O que costuma ter |
|---|---|---|
| Política de resposta a incidentes | Diz por que e com que regras a empresa responde, com o compromisso da direção | Propósito, escopo, definições de evento e incidente, papéis e autoridades (quem pode desconectar ou desligar um ativo), critérios de prioridade e severidade e medidas de desempenho |
| Plano de resposta a incidentes | Põe a política em prática: é o roteiro da capacidade de resposta | Papéis, classificação, comunicação, playbooks, evidências, recuperação e lições aprendidas, com os recursos e o apoio da direção de que o plano precisa |
| Procedimentos e playbooks | Explicam como executar cada tarefa, passo a passo | Passos para os tipos de incidente mais comuns, como ransomware, e para processos urgentes, como reimplantar a plataforma de autenticação |
| Plano de continuidade de negócios e de recuperação de desastres | Reduz a interrupção da operação em situações graves, não só em ataques | Análise de impacto ao negócio, avaliação de riscos e planos de continuidade das operações |
O que é essencial em um plano de resposta a incidentes?
Cada empresa monta o plano conforme a missão, o tamanho e a estrutura, mas estas oito partes vêm das recomendações do NIST SP 800-61 Rev. 3, que organiza a resposta pelas funções do NIST CSF 2.0, e do #StopRansomware Guide, da CISA.
Quais são as fases da resposta a incidentes?
O ciclo clássico do NIST, da revisão 2 do SP 800-61 (2012), tem quatro fases. A revisão 3, de abril de 2025, organiza a resposta pelas seis funções do NIST CSF 2.0 e põe a melhoria contínua no centro: as lições de qualquer etapa voltam para todas as outras. O próprio NIST faz a correspondência entre os dois modelos, abaixo, e recomenda usar o que melhor servir à empresa.
Preparação
O que precisa estar pronto antes?
CSF 2.0: Governar, Identificar e ProtegerPolítica, plano, equipe, contatos, ferramentas, backups e exercícios. No modelo novo, a preparação é parte da gestão de riscos de cibersegurança, mais ampla que a resposta.
Na prática
- Plano e playbooks aprovados
- Backups criados, protegidos e testados
- Exercícios e testes do plano
Detecção e análise
É um incidente? De que tamanho?
CSF 2.0: DetectarOs eventos são monitorados, correlacionados e analisados. Quando batem com os critérios do plano, o incidente é declarado e começa a triagem.
Na prática
- Correlação de eventos e inteligência de ameaças
- Declaração pelos critérios do plano
- Estimativa do impacto e do alcance
Contenção, erradicação e recuperação
Como parar o ataque e voltar a operar?
CSF 2.0: Responder e RecuperarConter impede que o incidente se espalhe; erradicar remove a persistência, as contas invadidas e as falhas exploradas; recuperar restaura os sistemas a partir de backups limpos, na ordem dos serviços essenciais.
Na prática
- Contenção automática e manual
- Evidências preservadas e comunicações feitas
- Restauração verificada antes de voltar à produção
Atividade pós-incidente
O que muda depois?
CSF 2.0: Identificar (Melhoria)Relatório pós-incidente e reunião de lições aprendidas com todos os envolvidos. As melhorias voltam ao plano, aos playbooks e às detecções.
Na prática
- Relatório pós-incidente
- Causa raiz tratada
- Plano e playbooks revisados
Como o plano funciona num ataque de ransomware?
Ransomware é um malware que criptografa arquivos e sistemas para cobrar resgate. Muitas vezes, os atacantes também copiam os dados e ameaçam publicá-los, a chamada dupla extorsão. A sequência segue o checklist do #StopRansomware Guide, da CISA, do FBI, da NSA e do MS-ISAC, com a comunicação adaptada à LGPD. A ANPD cita o sequestro de dados (ransomware) como exemplo de incidente de segurança.
- Antes Preparação
Backups offline e plano à mão
Mantenha backups offline e criptografados dos dados críticos e teste a restauração, porque o atacante procura os backups que consegue alcançar para apagá-los ou criptografá-los. Guarde imagens-padrão para reconstruir sistemas e uma cópia impressa e offline do plano e do plano de comunicação, aprovados por escrito pelo principal executivo.
Backups offline - Passo 1 Detecção e análise
Isolar os sistemas afetados
Identifique os sistemas atingidos e isole-os na hora; se vários parecerem afetados, tire a rede do ar no switch. Combine as ações por um canal fora da rede, como o telefone, para não alertar o atacante. Desligue um equipamento só se não for possível desconectá-lo, porque isso apaga as evidências da memória.
Isolamento - Passo 2 Detecção e análise
Priorizar e caçar o atacante
Priorize a restauração pela lista de sistemas críticos e confirme que dados estavam neles. Procure o que veio antes do ransomware: malware precursor, contas novas ou com privilégio elevado, acessos remotos estranhos, ferramentas que apagam as cópias de sombra e sinais de dados saindo da rede.
Threat hunting - Passo 3 Comunicação
Acionar quem precisa saber
Siga o plano de comunicação: direção, TI, provedor de segurança gerenciada, seguradora e autoridades. Se dados pessoais foram afetados e o incidente pode causar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares corre em três dias úteis.
LGPD - Passo 4 Contenção e erradicação
Preservar evidências e cortar o acesso
Faça imagem de disco e captura de memória de uma amostra dos equipamentos afetados e guarde os registros. Identifique os sistemas e as contas da invasão inicial, desative acessos que o atacante pode usar, como VPN e acesso remoto, procure mecanismos de persistência e consulte as autoridades sobre decifradores conhecidos.
Forense digital - Passo 5 Contenção e erradicação
Reconstruir e trocar as senhas
Reconstrua os sistemas na ordem dos serviços críticos, a partir das imagens-padrão, troque as senhas dos sistemas e das contas afetados e corrija as falhas exploradas. O fim do incidente é declarado pelos critérios definidos no plano.
Reconstrução - Passo 6 Recuperação e pós-incidente
Restaurar sem reinfectar e aprender
Reconecte os sistemas e restaure os dados dos backups offline, na ordem de prioridade, sem reinfectar o que já está limpo. Registre as lições aprendidas e atualize políticas, planos, procedimentos e os próximos exercícios.
Lições aprendidas
E pagar o resgate? A CISA, o FBI, a NSA e o MS-ISAC não recomendam: o pagamento não garante que os dados serão decifrados, que os sistemas deixarão de estar comprometidos nem que os dados não vão vazar.
Quando o incidente precisa ser comunicado à ANPD e aos titulares?
A LGPD manda o controlador comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48). O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, diz quando isso acontece: o incidente confirmado precisa poder afetar significativamente os interesses e os direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes critérios (art. 5º).
Afetar significativamente inclui impedir o exercício de direitos ou o uso de um serviço e causar danos materiais ou morais, como discriminação, fraude financeira ou roubo de identidade. Incidente só com dados anonimizados não precisa ser comunicado, e uma vulnerabilidade sozinha não é incidente; a exploração dela pode ser.
Comunicado ou não, todo incidente com dados pessoais entra no registro do controlador, guardado por no mínimo cinco anos (art. 10 do regulamento).
O que comunicar, a quem e em quanto tempo?
A obrigação é do controlador. A comunicação à ANPD é feita pelo encarregado ou por um representante constituído, com o documento de vínculo ou a procuração, no formulário eletrônico do peticionamento do SEI!ANPD, em versão preliminar ou completa (ANPD). Os prazos contam de quando o controlador sabe que o incidente afetou dados pessoais.
| Para quem | Prazo | Como | O que informar |
|---|---|---|---|
| ANPD | Três dias úteis; o complemento fundamentado pode vir em até vinte dias úteis | Formulário eletrônico da ANPD, pelo encarregado ou por representante constituído | Natureza e categoria dos dados; número de titulares, com crianças, adolescentes e idosos à parte; medidas de segurança antes e depois; riscos e impactos; motivos da demora; medidas para reverter ou mitigar; datas do incidente e do conhecimento; encarregado; controlador e operador; descrição e causa principal; total de titulares tratados nas atividades afetadas |
| Titulares | Três dias úteis; a declaração de que foram avisados vai à ANPD em até três dias úteis depois desse prazo | Direta e individual, em linguagem simples, por telefone, e-mail, mensagem ou carta; se não for possível, no site, em aplicativos, nas redes sociais e nos canais de atendimento por no mínimo três meses | Natureza e categoria dos dados; medidas de segurança; riscos e impactos; motivos da demora; medidas para reverter ou mitigar; data do conhecimento; contato e encarregado |
| Registro interno | Guardado por no mínimo cinco anos, inclusive para incidentes não comunicados | Mantido pelo controlador; a ANPD pode pedir, a qualquer tempo, informações adicionais sobre o incidente, como o relatório de tratamento do incidente | Data do conhecimento; circunstâncias; natureza e categoria dos dados; número de titulares; avaliação do risco; medidas de correção; forma e conteúdo da comunicação ou motivo de não comunicar |
Fonte: Resolução CD/ANPD nº 15/2024, arts. 6º, 8º, 9º e 10. Os prazos de três e de vinte dias úteis contam em dobro para agentes de tratamento de pequeno porte, e lei específica pode fixar outro prazo; setores regulados têm regras próprias, como o financeiro e o elétrico. A ANPD pode determinar a ampla divulgação do incidente e medidas para reverter ou mitigar os efeitos e, ao avaliar a gravidade, considera se o controlador comprovou medidas técnicas que tornaram os dados afetados ininteligíveis para terceiros, como a criptografia (LGPD, art. 48).
Como montar o plano de resposta a incidentes: checklist
Use a lista para montar o plano ou para conferir o que falta no que já existe.
- Escreva a política de resposta a incidentes, com o compromisso da direção, o escopo, as definições e quem tem autoridade para desconectar ou desligar ativos.
- Nomeie quem lidera cada incidente e os papéis de tecnologia, jurídico, comunicação, RH e donos dos ativos, com os contatos de cada um.
- Defina os critérios para declarar um incidente e para classificar o tipo e a severidade.
- Escreva playbooks para os incidentes mais comuns, como ransomware, vazamento de dados e sequestro de conta.
- Monte o plano de comunicação, com modelos de comunicado, canais fora da rede e o fluxo da LGPD: quem avalia o risco, quem comunica o incidente à ANPD e aos titulares e em quanto tempo.
- Defina como coletar e guardar evidências e mantenha o registro de todos os incidentes com dados pessoais por cinco anos.
- Mantenha backups offline, criptografados e testados e sincronize o plano com o de continuidade de negócios e de recuperação de desastres.
- Deixe em contrato o que cabe a cada fornecedor na resposta: SOC ou MDR, equipe de resposta contratada, nuvem e operadores de dados pessoais.
- Guarde uma cópia impressa e offline do plano, aprovada por escrito pelo principal executivo.
- Teste o plano com exercícios de mesa e revise-o depois de cada incidente relevante e de tempos em tempos.
Como a Vortex apoia a resposta a incidentes?
A Vortex Security responde a incidentes pelo Cyber Defense Center, o NG-SOC Convergente, que monitora, detecta e responde a ameaças 24x7x365 em IT, OT e IA, e pelas linhas de resposta e resiliência da Jornada Detectar e Responder e do Security Consulting. A Vortex é Líder no ISG Provider Lens® 2026 em Next-Gen SOC/MDR Services (Midmarket), no Brasil.
Perguntas frequentes
O que é um plano de resposta a incidentes?
É o documento que define, antes de um ataque, como a empresa detecta, contém, erradica e se recupera de um incidente de segurança: quem lidera e decide, como o incidente é classificado, quem é avisado e quando, que playbooks seguir, como preservar evidências e como restaurar os sistemas. Para o NIST, é o roteiro da capacidade de resposta a incidentes da empresa.
O que é essencial em um plano de resposta a incidentes?
Papéis e autoridade, critérios de classificação e priorização, plano de comunicação e notificação, playbooks, regras de evidência e registro, critérios de recuperação, lições aprendidas e o que cabe a cada fornecedor. A CISA recomenda uma cópia impressa e offline, aprovada por escrito pelo principal executivo, para que o plano esteja à mão mesmo com a rede fora do ar.
Qual a diferença entre política, plano e playbook de resposta a incidentes?
A política diz por que e com que regras a empresa responde, com o compromisso da direção, o escopo e as autoridades. O plano põe a política em prática: papéis, classificação, comunicação, evidências e recuperação. Os playbooks dão o passo a passo de cada tipo de incidente. Pelo NIST SP 800-61 Rev. 3, os procedimentos seguem a política e o plano.
Quais são as fases da resposta a incidentes segundo o NIST?
Na revisão 2 do NIST SP 800-61, de 2012, são quatro: preparação; detecção e análise; contenção, erradicação e recuperação; e atividade pós-incidente. A revisão 3, de abril de 2025, organiza a resposta pelas funções do NIST CSF 2.0: Governar, Identificar e Proteger preparam; Detectar, Responder e Recuperar formam a resposta; e a categoria Melhoria, da função Identificar, leva as lições aprendidas a todas as funções. O NIST recomenda usar o modelo que melhor servir à empresa.
A LGPD exige plano de resposta a incidentes?
A LGPD exige medidas de segurança para proteger os dados pessoais (art. 46) e a comunicação de incidentes que possam causar risco ou dano relevante (art. 48), e cita "planos de resposta a incidentes e remediação" entre os itens de um programa de governança em privacidade (art. 50). A Resolução CD/ANPD nº 15/2024 pede comunicação em três dias úteis e registro de todos os incidentes com dados pessoais por cinco anos, o que é difícil de cumprir sem um plano (LGPD).
Qual é o prazo para comunicar um incidente à ANPD?
Três dias úteis, contados de quando o controlador sabe que o incidente afetou dados pessoais, tanto para a ANPD quanto para os titulares (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). Se faltar informação, a comunicação pode ser preliminar e complementada, de forma fundamentada, em até vinte dias úteis. Agentes de tratamento de pequeno porte têm esses prazos em dobro, e lei específica pode fixar outro prazo.
Todo incidente de segurança precisa ser comunicado à ANPD?
Não. Só o incidente confirmado, com dados pessoais, que possa afetar significativamente os direitos dos titulares e envolva dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, sob sigilo ou em larga escala. Cabe ao controlador avaliar o risco (ANPD). Mas todo incidente com dados pessoais precisa ficar registrado por no mínimo cinco anos, mesmo sem comunicação (Resolução CD/ANPD nº 15/2024, art. 10).
Quem comunica o incidente à ANPD?
O controlador, por meio do encarregado (DPO) ou de um representante constituído, com o documento de vínculo ou a procuração, no formulário eletrônico da ANPD, pelo peticionamento do SEI!ANPD. Se o incidente acontece num operador, ele avisa o controlador sem demora e passa as informações necessárias para a comunicação.
Um ataque de ransomware precisa ser comunicado à ANPD?
Depende do caso. A ANPD cita o sequestro de dados (ransomware) como exemplo de incidente de segurança, porque incidente inclui a perda e a indisponibilidade de dados pessoais, não só o vazamento. Ele precisa ser comunicado quando atinge dados pessoais e pode causar risco ou dano relevante; a própria ANPD dá o exemplo da indisponibilidade prolongada do sistema de uma rede hospitalar, que impede o acesso aos dados dos pacientes.
Vale a pena pagar o resgate de um ransomware?
A CISA, o FBI, a NSA e o MS-ISAC não recomendam pagar. Segundo o #StopRansomware Guide, o pagamento não garante que os dados serão decifrados, que os sistemas deixarão de estar comprometidos nem que os dados não vão vazar. O que reduz a pressão é ter backups offline, criptografados e testados e um plano ensaiado.
Qual a diferença entre plano de resposta a incidentes e plano de continuidade de negócios?
O plano de resposta trata do incidente de segurança: detectar, conter, erradicar, recuperar e comunicar. O plano de continuidade busca reduzir a interrupção da operação em situações graves, de qualquer origem, com análise de impacto ao negócio, avaliação de riscos e planos de continuidade das operações. O NIST recomenda sincronizar os dois, porque incidentes podem abalar a resiliência do negócio.
Como funciona a resposta a incidentes com um serviço terceirizado?
Num modelo de responsabilidade compartilhada: a empresa transfere parte das responsabilidades a um provedor, como um MSSP que detecta, responde e ajuda a recuperar. Pelo NIST SP 800-61 Rev. 3, o contrato deve definir a divisão de responsabilidades, o fluxo de informação, a coordenação e a autoridade do provedor para agir em nome da empresa, como desativar um serviço para conter o incidente. A comunicação à ANPD continua sendo obrigação do controlador.
De quanto em quanto tempo testar e revisar o plano?
O NIST não fixa um prazo: recomenda revisar e atualizar os planos de tempos em tempos ou quando surgir a necessidade de uma melhoria importante, e usar exercícios, como os de mesa, para avaliar o programa e preparar a equipe e os fornecedores. A CISA recomenda exercitar o plano regularmente. Cada incidente também traz lições para o plano.
Fontes
Páginas consultadas em 08/11/2026.
- NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management, abril de 2025.
- NIST Cybersecurity Framework (CSF) 2.0, CSWP 29, 26/2/2024.
- #StopRansomware Guide, CISA, MS-ISAC, NSA e FBI, versão 3.0, outubro de 2023.
- Lei nº 13.709/2018 (LGPD), texto atualizado da Câmara dos Deputados.
- Resolução CD/ANPD nº 15/2024: Regulamento de Comunicação de Incidente de Segurança, Diário Oficial da União, 26/4/2024.
- Comunicação de incidente de segurança, ANPD.
Quer saber se a sua empresa está pronta para responder a um incidente?
Conte como a sua empresa detecta e responde a incidentes hoje e um especialista da Vortex entra em contato.
Atualizado em