Incidente de segurança: contenção vem antes da narrativa pública

Incidente de segurança não é sinônimo de “dados publicados na internet”. A quebra pode atingir confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. O Regulamento de Comunicação de Incidente da ANPD exige que o controlador avalie o evento e, quando presentes os critérios regulamentares, faça as comunicações cabíveis.

O primeiro objetivo é controlar o evento sem destruir a capacidade de entendê-lo. Desligar um sistema, apagar arquivos ou reinstalar máquinas por reflexo pode eliminar logs e ampliar a dificuldade de reconstrução.

A resposta precisa unir tecnologia, jurídico e operação

Uma sequência funcional costuma envolver:

1. registrar o alerta e quem tomou conhecimento;
2. conter acessos ou processos afetados;
3. preservar evidências e cronologia;
4. identificar sistemas, dados e titulares envolvidos;
5. avaliar possibilidade de risco ou dano relevante;
6. decidir e executar comunicações;
7. corrigir causa raiz e acompanhar efeitos posteriores.

A LGPD e a regulamentação da ANPD precisam ser lidas junto com a realidade técnica: o controlador só consegue avaliar impacto se souber o que realmente aconteceu.

Comunicação não deve vir antes da investigação mínima

A organização não precisa esperar uma perícia perfeita, mas deve evitar afirmações categóricas que ainda não foram sustentadas. “Nenhum dado foi acessado” é diferente de “até o momento, não identificamos evidência de acesso”. Essa precisão reduz contradições posteriores e melhora a comunicação com titulares.

A página sobre comunicação à ANPD trata do procedimento regulatório; vazamento de dados aprofunda a situação em que há exposição ou acesso indevido. Um mesmo plano de resposta precisa abarcar indisponibilidade, alteração e outras formas de incidente.

O dossiê da crise começa no primeiro minuto

Horários, decisões, responsáveis, evidências, medidas de contenção, versões de comunicados e alterações de escopo devem ser preservados. Essa memória permite justificar por que determinada providência foi tomada e evita que a empresa reconstrua o incidente apenas pela lembrança das pessoas envolvidas.

Depois da contenção, o trabalho continua: causa raiz, fornecedor, controles de acesso, backups, treinamento e processo de detecção precisam ser revistos. Incidente tratado apenas como episódio técnico tende a se repetir pela mesma falha de governança.

Fornecedores precisam entrar no plano antes da crise

Se o incidente nasce em nuvem, folha, CRM ou outro terceiro, a investigação depende de logs e pessoas que não estão sob gestão direta do controlador. Contratos e contatos de emergência devem prever cooperação, preservação de evidências e escalonamento. Descobrir durante a madrugada quem possui acesso ao fornecedor crítico consome justamente o tempo necessário para conter o evento.

A documentação da resposta também importa. Registrar horários, decisões, hipóteses descartadas e medidas executadas ajuda a reconstruir o evento sem depender da memória das equipes e evita versões contraditórias quando a análise evolui.