Incidentes – Acompanhar, classificar e encerrar um incidente

Depois de registrado, o incidente vive na sua página de caso. É lá que a investigação é documentada, a decisão sobre notificação é tomada, e o encerramento é formalizado.

A página tem uma característica que vale entender desde já: ela não deixa você encerrar um caso pela metade. Isso é proteção, não obstáculo.

Os três status

Se uma mudança de status não for permitida, a plataforma informa que aquela transição não é possível. E um incidente encerrado não aceita mais alterações.

Classificação

O bloco de classificação reúne a severidade, a Natureza do que foi afetado, o estado dos Dados pessoais, o Risco aos titulares, a quantidade de Titulares afetados e a Fundamentação da avaliação de risco.

Esses campos amadurecem junto com a investigação. É esperado que a primeira versão seja incompleta e que a última seja precisa.

A avaliação de violação é a decisão central

Em Avaliar violação você decide se o incidente representa risco relevante aos titulares dos dados. É a decisão que determina se existe obrigação de notificar a autoridade.

As três opções de risco:

A tela diz algo que merece destaque: registrar “sem risco” é, por si só, uma decisão auditável.

Essa frase é a chave do módulo. Concluir que não houve risco relevante é uma resposta legítima e frequente. O que não é aceitável é não ter concluído nada. Um incidente com dados pessoais e sem avaliação registrada é o achado mais grave que se pode ter aqui, porque significa que ninguém decidiu.

Por isso, use o campo de fundamentação. Escreva por que você concluiu o que concluiu. Exemplos do que sustenta uma avaliação:

• Os dados expostos eram apenas nomes corporativos e e-mails de trabalho, já públicos.
• O acesso foi de um funcionário autorizado, fora do procedimento, sem cópia ou uso dos dados.
• O arquivo estava criptografado e a chave não foi comprometida.

Quando a avaliação conclui que a notificação é exigida, um aviso passa a acompanhar o caso, indicando essa obrigação.

O checklist de notificação

Quando a notificação é exigida, o caso ativa um checklist que espelha o conteúdo mínimo exigido pela lei para a comunicação à autoridade. Os itens cobrem:

1. A natureza dos dados pessoais afetados.
2. As informações sobre os titulares envolvidos.
3. As medidas técnicas e de segurança utilizadas.
4. Os riscos relacionados ao incidente.
5. Os motivos da demora, se houver.
6. As medidas adotadas para reverter ou mitigar os efeitos.

O quinto item costuma ser ignorado e é o que mais protege a empresa. Se houve atraso, explicá-lo é muito melhor que silenciar. Atraso com justificativa registrada é uma situação; atraso sem explicação é outra.

Preencher o checklist tem um efeito prático que economiza muito trabalho: quando chegar a hora de redigir a comunicação, o conteúdo já está organizado.

Registrar a notificação

Depois de notificar a autoridade, use Registrar notificação à autoridade e informe o número de protocolo recebido.

Guarde esse número. Ele é a prova de que a comunicação aconteceu, e é o primeiro item que um auditor ou a própria autoridade vai pedir. Registrada a notificação, o caso passa a exibir a data em que ela ocorreu.

Se a avaliação concluiu que a notificação não é exigida, o caso reflete isso, e a fundamentação passa a ser a peça que sustenta a decisão.

Linha do tempo

Todos os passos ficam registrados em ordem: registro do incidente, classificação, avaliação de violação, atualizações do checklist, notificação à autoridade, comunicação aos titulares, mudanças de status, vínculos com outros registros e encerramento.

Esta é a parte mais valiosa da página para fins de auditoria. Ela demonstra o que foi feito e quando, que é a única forma de comprovar que o processo de resposta é real e não um documento na gaveta.

Controles evidenciados

Um bloco mostra os controles que o incidente evidencia, e a página é explícita: o incidente e a sua trilha de auditoria alimentam automaticamente os controles de notificação de violação e resposta a incidentes.

Vale internalizar o que isso significa. Tratar um incidente corretamente na plataforma não é apenas cumprir a obrigação daquele caso: é gerar a evidência de que o processo existe e funciona. Um incidente bem conduzido comprova controles que, de outra forma, exigiriam documentos e explicações.

É por isso que vale conduzir até o fim mesmo incidentes pequenos.

Encerrar

Para encerrar, a plataforma pede duas coisas:

Causa raiz. Por que aconteceu. Não o sintoma, a causa. “Credencial vazada” é sintoma; “não havia segundo fator nas contas administrativas” é causa.

Resumo da contenção. O que foi feito para conter e evitar recorrência.

E existem duas travas que impedem um encerramento incompleto:

• Se o checklist de conteúdo mínimo não estiver completo, a plataforma pede que você o complete antes de encerrar.
• Se houver notificação pendente, ela pede que a notificação seja registrada antes.

As duas parecem incômodas no momento e são exatamente o que evita o pior cenário: um incidente marcado como resolvido, com obrigação legal em aberto e ninguém sabendo.

Uma prática que rende

Ao registrar a causa raiz, considere abrir um risco no registro de riscos, vinculado ao controle correspondente.

O incidente conta o que aconteceu uma vez. O risco trata da possibilidade de acontecer de novo. Auditores valorizam muito ver essa ligação, porque ela demonstra aprendizado e não apenas reação.

Problemas comuns

Essa mudança de status não é permitida. As transições seguem uma ordem. Confira em que estado o caso está.

Complete o checklist antes de encerrar. Trava deliberada. Faltam itens do conteúdo mínimo.

Registre a notificação antes de encerrar. Há notificação pendente segundo a avaliação registrada.

Este incidente está encerrado. Casos encerrados são imutáveis. Se algo novo apareceu, o caminho é registrar um novo incidente vinculado.

Não consigo gerar um código. Falha momentânea. Tente novamente.

⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. A avaliação de risco aos titulares, a necessidade de notificação, o seu conteúdo e os prazos aplicáveis devem ser definidos com assessoria jurídica qualificada.