Capítulo 24 — Resposta a incidentes

Capítulo 24 — Resposta a incidentes

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Fases"]
  N1["24.2 O plano"]
  N2["24.3 Decisões de contenção"]
  N3["24.4 Exercício"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Fases"]
  N1["24.2 O plano"]
  N2["24.3 Decisões de contenção"]
  N3["24.4 Exercício"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Fases]
    |
    v
[24.2 O plano]
    |
    v
[24.3 Decisões de contenção]
    |
    v
[24.4 Exercício]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) descrever as fases da resposta a incidentes; (2) preparar um plano de resposta; (3) praticar a resposta com um exercício.

24.1 Fases

Aisha estuda as fases da resposta a incidentes: preparação, detecção e análise, contenção, erradicação, recuperação e lições aprendidas. O Cybersecurity Framework 2.0 do NIST agrupa os resultados relacionados nas suas funções Responder e Recuperar. Na Ashfield, um incidente poderia ser um comprometimento por phishing, um ransomware, um notebook perdido ou um funcionário que usa mal seu acesso. O Dr. Carrow explica que as fases dão estrutura sob pressão, quando as pessoas, de outra forma, agem de maneira incoerente ou esquecem passos importantes. Ela escreve no diário um exemplo da Ashfield para cada fase, o que a ajuda a ver como um comprometimento por phishing passaria pela detecção, pela contenção, pela recuperação e pelas lições aprendidas.

24.2 O plano

Aisha redige um plano de resposta a incidentes para a Ashfield. Ele define o que conta como incidente, quem lidera a resposta, como contatar as pessoas-chave fora do expediente, quando informar o conselho, os reguladores, os associados e a seguradora e onde encontrar os procedimentos técnicos. Ela mantém o plano principal em quatro páginas, com os contatos na primeira página. O Dr. Carrow observa que os planos são usados sob estresse, então a brevidade e a clareza importam. O diretor executivo aprova o plano, e uma cópia impressa é guardada em cada agência.

24.3 Decisões de contenção

A contenção limita o dano, mas pode atrapalhar o negócio. Se um ransomware for encontrado num computador de uma agência, desconectar a rede da agência impede a propagação, mas interrompe ali o atendimento aos associados. Aisha escreve uma orientação de decisão: isolar primeiro o computador afetado e depois a agência, se for detectada propagação, com o diretor executivo informado de qualquer isolamento no nível da agência. Ela aprende que combinar as regras de decisão com antecedência evita atrasos e discussões durante um incidente. Ela acrescenta ao plano um fluxograma simples, que mostra cada ponto de decisão e quem decide, para que a pessoa de plantão possa segui-lo rapidamente, mesmo sem conhecimento técnico.

24.4 Exercício

Aisha conduz um exercício de mesa com os gerentes da Ashfield. O cenário: um funcionário de finanças comunica um e-mail do diretor executivo pedindo um pagamento urgente a um novo fornecedor. Os gerentes discutem suas ações. Eles percebem que o plano não diz quem decide se o banco deve ser contatado para sustar um pagamento. Aisha acrescenta isso ao plano. O Dr. Carrow observa que os exercícios encontram as lacunas a baixo custo, antes que um incidente real as encontre. Os gerentes concordam em repetir o exercício todos os anos, com um cenário diferente escolhido pelo gerente de TI.

Exemplo resolvido

Aisha aprende as fases da resposta, redige um plano de quatro páginas, escreve regras de decisão para a contenção e conduz um exercício que revela uma decisão faltante sobre sustar pagamentos.

Caso sintético. Os planos e os exercícios são sintéticos.

Erros e limites

Um plano de incidentes que nunca é exercitado costuma conter lacunas.

Exercícios

• EX070 — Extensão do plano. Qual é a extensão do plano principal? Rubrica: 3 = quatro páginas;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX071 — Primeira contenção. O que é isolado primeiro num caso de ransomware? Rubrica: 3 = o computador afetado;; 2 = parcialmente correto;; 1 = a agência;; 0 = nenhuma.

• EX072 — Lacuna do exercício. Que lacuna o exercício revelou? Rubrica: 3 = quem decide contatar o banco para sustar um pagamento;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 24 (capítulo 24 de 40)

← Capítulo 23 · Índice das aulas · Capítulo 25 →

Continue para a próxima aula já escrita.