Incidentes – Como registrar um incidente de segurança
Registrar incidentes é uma daquelas coisas que ninguém quer usar e todo mundo precisa ter. O módulo existe por dois motivos: cumprir a obrigação legal quando dados pessoais estão envolvidos, e demonstrar às normas de segurança que a empresa tem um processo de resposta que funciona.
A própria tela explicita o alcance: registro de incidentes de segurança e privacidade, com referência à legislação brasileira e europeia de proteção de dados e às normas de segurança, e com uma frase que resume a lógica de todo o módulo: a avaliação de violação decide se a notificação à autoridade é necessária.
Registre agora, classifique depois
A orientação mais importante deste tutorial está no subtítulo da própria tela de registro: registre o que se sabe agora, porque a classificação e a avaliação de violação acontecem na página do caso conforme a investigação avança.
Isso resolve o maior obstáculo prático ao registro de incidentes. As pessoas evitam abrir o registro porque acham que precisam ter todas as respostas. Não precisam. Um incidente registrado com informação incompleta é infinitamente melhor que um incidente não registrado, porque a obrigação nasce do fato, não do registro: adiar a abertura só consome o tempo que você teria para investigar e decidir.
Use Reportar incidente assim que houver suspeita razoável.
O que preencher no registro inicial
Título. Obrigatório. Descreva o fato de forma reconhecível, do tipo *acesso indevido à base de clientes por credencial vazada*.
Descrição. O que se sabe até agora. Não hesite em escrever que a extensão ainda está sendo apurada.
Severidade. Crítica, Alta, Média ou Baixa. Pode ser revista depois.
Detectado em. O momento em que a empresa tomou conhecimento, que não é o momento em que você abriu o registro. Preencha com cuidado: essa data ancora a história do caso e é o que a autoridade observa ao avaliar se houve demora. O prazo de notificação em si tem outra âncora, explicada no tutorial Prazos de notificação e o que o auditor espera ver.
Natureza. O que foi afetado:
| Natureza | O que significa |
|---|---|
| Confidencialidade | Alguém acessou o que não devia |
| Integridade | Dados foram alterados ou corrompidos |
| Disponibilidade | Sistema ou dado ficou inacessível |
| Múltipla | Mais de uma das anteriores |
Responsável. Quem conduz o caso. Existe a opção de atribuição automática, que direciona ao encarregado de dados.
O campo que muda tudo: dados pessoais
Aqui está a decisão mais consequente do formulário. O campo de dados pessoais aceita três valores:
| Valor | Quando usar |
|---|---|
| Nenhum | O incidente não envolve dados pessoais |
| Suspeito | Pode envolver, ainda não se sabe |
| Confirmado | Envolve, confirmado |
A tela avisa explicitamente o que acontece: dados pessoais suspeitos ou confirmados iniciam o relógio de avaliação, e se o risco aos titulares for confirmado, o checklist de notificação à autoridade e o prazo são ativados na página do caso.
Duas orientações que valem muito:
Na dúvida, marque Suspeito. É exatamente para isso que essa opção existe. Marcar como Nenhum por conveniência, e descobrir depois que havia dados pessoais, significa ter perdido tempo de um prazo legal.
Suspeito não é uma acusação. É um estado de investigação, e você o ajusta quando souber. A plataforma trata os dois estados iniciais da mesma forma para fins de contagem, justamente para não punir a prudência.
O que acontece depois de criar
O incidente entra com status Investigando e recebe um código próprio. A partir daí, todo o trabalho acontece na página do caso: classificação, avaliação de violação, checklist, notificação e encerramento.
O tutorial Acompanhar, classificar e encerrar um incidente cobre esse percurso.
Incidentes que a plataforma cria
O estado vazio da tela menciona um segundo caminho: além de reportar manualmente, é possível conectar verificações que falham para criar um incidente automaticamente.
É útil para falhas técnicas que merecem tratamento formal em vez de virar apenas um alerta. Vale lembrar que um incidente criado assim precisa do mesmo trabalho humano de classificação e avaliação que um reportado à mão.
O que registrar, e o que não
A dúvida legítima é o volume. Registrar tudo transforma o módulo em ruído; registrar pouco esvazia a demonstração de que existe processo.
Um critério que funciona:
| Registre | Não precisa registrar |
|---|---|
| Acesso indevido, confirmado ou suspeito | Tentativa de acesso bloqueada pelo controle, que é o controle funcionando |
| Vazamento ou exposição de dados | Alerta de monitoramento sem impacto |
| Perda de equipamento com dados | Lentidão momentânea |
| Indisponibilidade relevante de serviço | Falha de teste que já tem item de ação |
| Ação de código malicioso | |
| Envio de dado pessoal para o destinatário errado |
O último caso é o mais esquecido e um dos mais comuns na prática. Uma planilha com dados de clientes enviada por e-mail para a pessoa errada é um incidente de privacidade, mesmo sem qualquer invasão.
Prepare antes de precisar
Vale uma recomendação que não é sobre a tela. Defina hoje quem faz o quê durante um incidente, e registre isso em um documento publicado: quem decide que houve incidente, quem conduz, quem fala com a autoridade, quem fala com clientes.
Não se organiza isso no meio de um incidente, especialmente com prazo curto correndo. As normas de segurança pedem esse plano, e a plataforma guarda o documento e as evidências de que ele foi seguido.
Problemas comuns
O título é obrigatório. É o único campo que impede a criação.
Não sei a severidade ainda. Escolha a mais provável e ajuste depois. Nada trava por causa disso.
Não sei se envolve dados pessoais. Marque Suspeito. É a resposta correta para essa situação.
Errei a data de detecção. Corrija o quanto antes. Ela não define o prazo de notificação, e é o que sustenta a explicação de eventual demora.
⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. O enquadramento de um incidente, a necessidade de notificação e os prazos aplicáveis devem ser avaliados com assessoria jurídica qualificada.
Este artigo foi útil?