Capítulo 9 — Resposta a incidentes e notificação

Capítulo 9 — Resposta a incidentes e notificação

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Processo"]
  N1["9.2 Notificação"]
  N2["9.3 Exercício"]
  N3["9.4 Aprendizado"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Processo"]
  N1["9.2 Notificação"]
  N2["9.3 Exercício"]
  N3["9.4 Aprendizado"]
  N0 --> N1 --> N2 --> N3 --> Q["EX041"]

[9.1 Processo]
    |
    v
[9.2 Notificação]
    |
    v
[9.3 Exercício]
    |
    v
[9.4 Aprendizado]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem

Você vai (1) construir um processo de resposta a incidentes para uma organização com várias unidades; (2) cumprir as obrigações de notificação; (3) aprender com os incidentes.

9.1 Processo

Elena escreve o processo de incidentes do Moorfield. Qualquer funcionário pode comunicar por um único número de telefone ou endereço de e-mail. A equipe central avalia a gravidade usando uma breve tabela. Os incidentes graves acionam um líder do incidente, um contato de comunicação e a notificação ao diretor de operações. O processo abrange a contenção, a investigação, a recuperação e o encerramento. Ela o alinha às funções Responder e Recuperar do NIST Cybersecurity Framework 2.0. O Dr. Qureshi aconselha manter o processo curto o bastante para ser usado sob pressão. O processo cabe em duas páginas, com uma tabela de gravidade.

9.2 Notificação

As violações de dados de saúde podem exigir a notificação aos reguladores e aos pacientes dentro de prazos rígidos, segundo a legislação de proteção de dados, que varia conforme o país. Elena trabalha com o encarregado de proteção de dados do Moorfield para definir quem decide se a notificação é necessária e como as evidências são reunidas rapidamente. O seguro cibernético também exige aviso imediato. Ela acrescenta uma lista de verificação para que essas obrigações sejam consideradas cedo, em vez de descobertas depois que os prazos já passaram. O encarregado de proteção de dados aprova a lista, e Elena a imprime no verso do processo de incidentes, para que os dois estejam sempre juntos. O número de notificação da seguradora é acrescentado à primeira página.

9.3 Exercício

Elena conduz um exercício: uma recepcionista de clínica comunica que pacientes estão recebendo mensagens de texto pedindo pagamento numa conta desconhecida, aparentemente enviadas pelo Moorfield. Os participantes rastreiam a causa até uma conta comprometida no fornecedor de mensagens de texto. Eles descobrem que o contrato do Moorfield não exige que o fornecedor notifique os incidentes prontamente. Elena acrescenta isso à revisão de fornecedores. O Dr. Qureshi observa que os exercícios muitas vezes revelam lacunas de fornecedores, porque os fornecedores raramente são incluídos no planejamento. O diretor de operações contata o fornecedor na semana seguinte para acordar novos termos.

9.4 Aprendizado

Depois de cada incidente real, Elena faz uma breve revisão sem culpa: o que aconteceu, por que os controles não o impediram, o que funcionou e o que vai mudar. Ela acompanha as ações até a conclusão. Ao longo de um ano, as revisões levam a melhorias na filtragem de e-mail, nos contratos com fornecedores e na expiração das contas dos substitutos. Ela aprende que os incidentes são lições caras, e que registrá-los e agir a partir deles é como uma organização extrai valor do custo. Ela mantém um registro das revisões e das ações, e o comitê de segurança confere o progresso das ações em aberto em cada reunião mensal.

Exemplo resolvido

Elena escreve um processo de incidentes curto para várias unidades, alinhado às funções Responder e Recuperar do CSF 2.0, acrescenta uma lista de verificação de notificação, conduz um exercício envolvendo um fornecedor e faz revisões sem culpa.

Caso sintético. Os incidentes são sintéticos; as regras de notificação variam conforme o país.

Erros e limites

Descobrir tarde os prazos de notificação pode transformar um incidente numa infração regulatória.

Exercícios

• EX041 — Canal de comunicação. Como os funcionários comunicam incidentes? Rubrica: 3 = um único número de telefone ou endereço de e-mail;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX042 — Alinhamento ao CSF. Que funções do CSF 2.0 orientam o processo? Rubrica: 3 = Responder e Recuperar;; 2 = parcialmente correto;; 1 = outras;; 0 = nenhuma.

• EX043 — Parceiro na notificação. Quem ajuda a decidir sobre a notificação? Rubrica: 3 = o encarregado de proteção de dados;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX044 — Lacuna do exercício. Que lacuna o exercício revelou? Rubrica: 3 = o fornecedor não era obrigado a notificar prontamente;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX045 — Resultado das revisões. Cite uma melhoria resultante das revisões. Rubrica: 3 = a expiração das contas dos substitutos;; 2 = uma;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 09 (capítulo 09 de 12)

← Capítulo 08 · Índice das aulas · Capítulo 10 →

Continue para a próxima aula já escrita.