Conta crítica comprometida
Acesso de administrador, direção, finanças, correio eletrónico, cloud, VPN, ferramenta de negócio ou conta de prestador com privilégios.
Módulo · Gestão de incidentes
Conduzir um incidente com um diário de decisões datado
O módulo centraliza a situação, os papéis, as ações, os prazos e as decisões tomadas durante o incidente. Os elementos técnicos e as comunicações úteis podem ser associados à cronologia e exportados no fim da crise.
Diário datado · provas preservadas · notificação em 72 h enquadrada.
01 · SINAIS DE ALERTA
Quando a situação deve ser tratada como uma crise
Uma crise cibernética nem sempre começa com um ransomware visível. Pode começar com um sinal fraco, uma incoerência no negócio ou um alerta de um prestador.
Fraude ou transferência suspeita
IBAN falso, alteração de dados bancários, usurpação de fornecedor, ordem urgente ou validação sob pressão.
Fuga ou exposição de dados
Documentos de clientes, dados de RH, de saúde, contratos, dados pessoais, segredos comerciais ou ficheiros depositados fora de controlo.
Atividade anómala no sistema de informação
Alertas EDR, ligações invulgares, scripts desconhecidos, contas criadas, regras de correio, volume de rede anómalo.
Indisponibilidade do negócio
Ferramenta crítica bloqueada, produção parada, faturação indisponível, portal de clientes afetado ou prestador essencial em falha.
Pressão externa
Pedido de resgate, ameaça de divulgação, contacto dos media, cliente preocupado, seguradora, autoridade ou cliente contratante exigente.
02 · AS PRIMEIRAS 72 HORAS
Uma cronologia operacional, legível pela direção
O enquadramento inicial produz uma visão partilhada: preservar o que permitirá compreender, qualificar o perímetro, conter sem cegar, arbitrar a continuidade e depois estabilizar. Uma referência indicativa, a adaptar à natureza do incidente e às obrigações aplicáveis.
0 a 2 hPreservar & qualificarPreservar as provas, anotar os factos e as horas, identificar o perímetro atingido, evitar as ações irreversíveis, alertar os decisores-chave.
2 a 12 hConter & protegerIsolar os sistemas afetados, proteger os acessos sensíveis, verificar as contas privilegiadas, confirmar os impactos no negócio, organizar a célula.
12 a 24 hArbitrar & pilotarPriorizar as ações, decidir as medidas de continuidade, enquadrar a comunicação, documentar as decisões, preparar a remediação.
24 a 72 hEstabilizarConsolidar a remediação, verificar as cópias de segurança, acompanhar os indicadores de estabilização, preparar as lições aprendidas, planear o reforço.
03 · DOUTRINA
No início de um incidente, preservar a capacidade de compreender amanhã.
A prioridade não é compreender tudo de imediato, nem apagar tudo. É estabilizar, preservar, decidir e documentar, sem ter destruído as provas nem perdido o controlo das decisões.
Uma leitura compreensível pela direção, pela TI, pelo jurídico, pelas áreas de negócio e pelos parceiros envolvidos. Distingue-se sempre a constatação, a hipótese e a decisão.
04 · CÉLULA DE CRISE
Ligar o técnico, o jurídico, o negócio e a reputação
Estrutura-se a coordenação para evitar que cada interveniente tome uma decisão isolada com informações parciais.
DireçãoArbitragem, continuidade, orçamentos, exposição estratégica.
TI / segurançaPerímetro técnico, acessos, registos, contenção.
DPO / jurídicoDados pessoais, notificação, provas, contratos.
Áreas de negócioProcessos críticos, clientes, produção, prioridades no terreno.
ComunicaçãoMensagens internas, clientes, parceiros, postura pública.
Seguros / prestadoresParticipações, âmbito de intervenção, rastreabilidade.
05 · PROVAS
Preservar o que permitirá explicar, decidir e justificar
A prova não é apenas técnica. Inclui as decisões tomadas, os pedidos recebidos, as comunicações, os impactos no negócio e os elementos transmitidos por terceiros.
Vestígios técnicos
Registos, alertas, capturas EDR, ligações, contas, regras, ficheiros suspeitos.
Vestígios do negócio
Faturas, IBAN, trocas com fornecedores, tickets, operações, indisponibilidades.
Vestígios decisórios
Horas, validações, arbitragens, medidas cautelares, comunicações enviadas.
Vestígios externos
E-mails de clientes, mensagens de prestadores, seguradora, banco, plataforma, autoridade ou queixa.
06 · ARBITRAGENS
As perguntas que estruturam a decisão
Uma gestão de crise eficaz transforma a incerteza em decisões documentadas, mesmo quando a análise técnica ainda não está completa. Cada arbitragem junta-se ao diário de decisões.
É preciso isolar?
Que sistemas cortar, manter, vigiar ou transferir sem agravar a indisponibilidade do negócio?
É preciso notificar?
Que dados estão em causa, com que nível de certeza, e quem deve qualificar a obrigação?
É preciso comunicar?
Quem informa os colaboradores, clientes, parceiros, seguradoras ou clientes contratantes, e com que nível de detalhe?
É preciso reconstruir?
Que trajetória de restabelecimento, que pré-requisitos de segurança, que prioridade de negócio?
É preciso apresentar queixa?
Que elementos factuais e cronológicos podem ser conservados para apoiar o processo?
É preciso ativar o PCN/PRD?
Que processos são prioritários, que solução degradada, que limiar de retoma aceitável?
07 · PRAZOS & NOTIFICAÇÃO
Prazos cumpridos, uma notificação em 72 h enquadrada
Os playbooks incluem SLA de resposta e uma contagem decrescente regulamentar. O módulo recorda os prazos; não substitui a qualificação jurídica.
SLA de resposta
Cada playbook fixa marcos datados: tomada a cargo, enquadramento, célula aberta, medidas cautelares. Sabe em que ponto está.
Notificação em 72 h
Violação de dados pessoais: a contagem decrescente da CNIL é acompanhada, os elementos a reunir estão pré-estruturados. A decisão de notificar continua a ser qualificada com os seus interlocutores competentes.
Diário datado
Factos, ações e decisões são datados e rastreados à medida que acontecem: um fio datado, exportável para a seguradora, para o regulador ou para as lições aprendidas.
08 · ENTREGÁVEIS
Uma saída de crise utilizável em comité
O objetivo não é apenas «reparar». É preciso explicar o que aconteceu, o que foi decidido, o que continua incerto e o que tem de ser reforçado.
Síntese para a direção
Factos, impacto, decisões, riscos residuais, próximas etapas.
Cronologia do incidente
Sinal inicial, ações, provas, comunicações, decisões.
Registo de provas
Elementos recolhidos, fonte, data, utilidade, limites.
Plano de remediação
Prioridades a curto prazo, medidas estruturais, responsáveis, prazos.
Suporte para comité / seguradora
Leitura clara para arbitragem, acompanhamento ou transmissão enquadrada.
Lições aprendidas
Causas prováveis, desvios, pontos fortes, trajetória de resiliência.
09 · O QUE NÃO PROMETEMOS
Uma gestão de crise séria sabe dizer não
A credibilidade assenta numa qualificação prudente, em factos rastreáveis e numa distinção clara entre constatação, hipótese e decisão. Nenhum resultado é garantido.
Nenhuma atribuição precipitada
Identificar um autor ou um grupo exige elementos sólidos. Uma hipótese não deve tornar-se uma certeza.
Nenhuma garantia de recuperação
A retoma depende das cópias de segurança, do perímetro atingido, dos acessos ainda fiáveis e do estado real do sistema de informação.
Nenhuma decisão jurídica automatizada
Notificação, queixa, comunicação externa ou ativação do seguro têm de ser qualificadas com os interlocutores competentes.
Uma crise cibernética em curso?
Suspeita de intrusão, ransomware, conta crítica comprometida, fuga de dados: estabilize sem destruir as provas e apresente os factos antes de qualquer ação irreversível. Abrimos uma célula de crise e mantemos o fio das decisões.
Veja a gestão de incidentes no seu contexto.
Uma demonstração ao vivo de 30 minutos: playbooks datados, célula de crise, diário de decisões e notificação em 72 h, aplicados à sua organização. Sem compromisso.