Capítulo 9 — Comunicação, ética e relato | Profissionalizante Segurança de infraestrutura crítica e setores

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Quem precisa ser informado, e quando"]
  N1["9.2 Clientes críticos"]
  N2["9.3 Comunicação pública"]
  N3["9.4 Ética"]
  N4["9.6 Relatos à diretoria e ao conselho"]
  N5["9.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Quem precisa ser informado, e quando"]
  N1["9.2 Clientes críticos"]
  N2["9.3 Comunicação pública"]
  N3["9.4 Ética"]
  N4["9.6 Relatos à diretoria e ao conselho"]
  N5["9.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX041"]

[9.1 Quem precisa ser informado, e quando]
    |
    v
[9.2 Clientes críticos]
    |
    v
[9.3 Comunicação pública]
    |
    v
[9.4 Ética]
    |
    v
[9.6 Relatos à diretoria e ao conselho]
    |
    v
[9.7 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

identificar todas as obrigações de notificação que um incidente pode disparar — legais, regulatórias, contratuais, de seguro — e controlar os seus prazos;
escrever uma declaração provisória e um informe a um cliente crítico que sejam precisos, úteis e honestos quanto à incerteza;
aplicar princípios éticos à comunicação: veracidade, proporcionalidade, justiça com as pessoas e correção de erros;
relatar incidentes e a situação do programa à diretoria e ao conselho numa forma que apoie decisões.

Os Capítulos 1–8 construíram e exercitaram o programa internamente. Este capítulo se volta para fora.

9.1 Quem precisa ser informado, e quando

Um incidente num serviço essencial pode disparar vários relógios ao mesmo tempo. Pela NIS2, por exemplo, as entidades precisam enviar ao CSIRT nacional ou à autoridade competente um alerta inicial em até 24 horas depois de tomarem conhecimento de um incidente significativo, uma notificação do incidente em até 72 horas e um relatório final em até um mês após a notificação (Directive (EU) 2022/2555, Article 23). Outras jurisdições, setores e contratos fixam gatilhos e prazos diferentes; violações de dados pessoais podem acarretar obrigações separadas; as seguradoras costumam exigir aviso imediato. Um coordenador prepara de antemão um registro de notificações: cada obrigação, o seu gatilho, destinatário, prazo, conteúdo, dono e canal.

Dois detalhes decidem se você cumpre um prazo: o que dispara o relógio (detecção, conhecimento, determinação de que o incidente é "significativo") e quem registra esse momento. Combine os dois antes dos incidentes e registre o horário de início em UTC no log de decisões.

9.2 Clientes críticos

Hospitais, casas de repouso, pacientes de diálise, outras empresas de serviços públicos e serviços de emergência podem precisar agir antes do público. As suas necessidades são práticas: o que é afetado, o que devem fazer, por quanto tempo, quando vem a próxima atualização e para quem ligar. Os acordos com eles (Capítulo 2) muitas vezes prometem uma ligação num prazo curto. Mantenha os seus contatos testados e a mensagem livre de detalhes técnicos.

O acordo do Kestrel General Hospital promete uma ligação em até duas horas após qualquer evento que possa afetar o abastecimento ou a qualidade; os contatos são o plantão da infraestrutura predial e, fora do horário, o gerente de plantão do local.

9.3 Comunicação pública

Uma declaração provisória é uma mensagem curta e factual emitida cedo, antes que o quadro completo seja conhecido. Ela diz o que se sabe, o que a organização está fazendo, o que (se for o caso) o público deve fazer e quando virão mais informações. Ela não especula sobre causa ou autoria, não minimiza ("sem impacto") sem evidência e não revela detalhes úteis a um atacante. O líder de comunicação redige; o executivo aprovador aprova (Capítulo 6); as operações confirmam que qualquer afirmação de segurança ("a água é segura para beber") é verdadeira.

9.4 Ética

A comunicação sobre serviços essenciais tem o peso da segurança pública. Quatro princípios:

Veracidade — nunca afirme como fato o que é pressuposto; nunca negue o que você sabe.
Proporcionalidade — detalhe suficiente para que as pessoas se protejam, e não mais; evite causar alarme desnecessário e evite ajudar atacantes.
Justiça com as pessoas — não nomeie nem culpe publicamente um funcionário ou fornecedor com base em informações incompletas; o erro humano costuma ser um problema do sistema.
Correção — quando uma declaração se revelar errada, corrija-a pronta e visivelmente.

Internamente, uma cultura de relato sem culpa — as pessoas relatam erros e quase acidentes sem medo — dá ao coordenador os sinais precoces de que o relato externo depende.

9.5 Exemplo resolvido: os relógios de sábado (sintético)

No sábado, 13 de junho de 2026, às 21:40 UTC, o líder de incidente determina que um acesso não autorizado à rede de supervisão é um incidente significativo. As regras fictícias de Kestrel Vale espelham o padrão de 24 h / 72 h / um mês da NIS2; o acordo do hospital exige uma ligação em até 2 horas; a apólice de seguro exige aviso em até 48 horas. Na terça-feira à noite, a coordenadora confere o registro com o Laboratório 9.

Laboratório 9 (salve como lab09.py e execute com python3 lab09.py):

# Lab 9 - notification clocks after an incident (offline, standard library only; synthetic obligations)
# The deadlines are ILLUSTRATIVE for the fictional Kestrel Vale jurisdiction; real duties come from your own
# law, regulator and contracts. The 24 h / 72 h / one-month pattern mirrors EU NIS2 Article 23.
from datetime import datetime, timedelta, timezone
UTC = timezone.utc
aware = datetime(2026, 6, 13, 21, 40, tzinfo=UTC)        # incident judged significant (Saturday evening)
OBLIGATIONS = [  # name, hours after awareness, recipient
    ("Critical-customer call (contract)", 2,      "Kestrel General Hospital"),
    ("Regulator early warning",          24,     "Kestrel Vale CSIRT"),
    ("Insurer notice (policy)",          48,     "insurer"),
    ("Regulator incident notification",  72,     "Kestrel Vale CSIRT"),
    ("Regulator final report",           24*30,  "Kestrel Vale CSIRT"),   # 'one month' modelled as 30 days
]
SENT = {"Critical-customer call (contract)": datetime(2026, 6, 13, 23, 55, tzinfo=UTC),
        "Regulator early warning": datetime(2026, 6, 14, 18, 5, tzinfo=UTC),
        "Regulator incident notification": datetime(2026, 6, 16, 22, 30, tzinfo=UTC)}
NOW = datetime(2026, 6, 16, 23, 0, tzinfo=UTC)
for name, h, who in OBLIGATIONS:
    due = aware + timedelta(hours=h)
    sent = SENT.get(name)
    if sent:
        delta = (sent - due).total_seconds() / 3600
        state = f"sent {sent:%a %d %H:%M}Z, {'LATE by' if delta > 0 else 'early by'} {abs(delta):.2f} h"
    else:
        state = "OVERDUE - not sent" if NOW > due else f"open, {(due - NOW).total_seconds()/3600:.1f} h left"
    print(f"{name:35s} due {due:%a %d %b %H:%M}Z  {state}")

Saída esperada (Python 3.13.5):

Critical-customer call (contract)   due Sat 13 Jun 23:40Z  sent Sat 13 23:55Z, LATE by 0.25 h
Regulator early warning             due Sun 14 Jun 21:40Z  sent Sun 14 18:05Z, early by 3.58 h
Insurer notice (policy)             due Mon 15 Jun 21:40Z  OVERDUE - not sent
Regulator incident notification     due Tue 16 Jun 21:40Z  sent Tue 16 22:30Z, LATE by 0.83 h
Regulator final report              due Mon 13 Jul 21:40Z  open, 646.7 h left

Surgem três problemas. A ligação ao hospital atrasou 15 minutos: a coordenadora estava ao telefone com o oficial de plantão do regulador, e o líder de comunicação achava que ela ligaria para o hospital — o defeito dos dois responsáveis do Capítulo 6 na vida real. A seguradora nunca foi notificada: ninguém tinha a apólice no registro de notificações. A notificação de 72 horas ao regulador atrasou 50 minutos porque a aprovação do diretor-presidente foi pedida às 21:00 para um prazo às 21:40. O alerta inicial, preparado a partir de um modelo, saiu antes do prazo.

A coordenadora registra esses fatos no log de decisões, sem culpa, notifica imediatamente a seguradora com uma explicação e acrescenta duas ações para a revisão: incluir a obrigação do seguro no registro, com um dono, e fixar prazos internos para as aprovações (por exemplo, "aprovação pedida no máximo 6 horas antes do prazo externo"). O laboratório calcula os relógios; ele não decide o que conta como "tomar conhecimento" — isso continua sendo um julgamento documentado.

9.6 Relatos à diretoria e ao conselho

Um relatório curto de incidente para a diretoria cobre: o que aconteceu (fatos, com grau de confiança rotulado); impacto no serviço e nas pessoas; o que foi feito e decidido; obrigações cumpridas e perdidas; riscos atuais; decisões necessárias. Os relatórios do programa (mensais ou trimestrais) usam as métricas que conduzem decisões do Capítulo 5 e os principais riscos classificados por consequência do Capítulo 4.

Para o incidente de sábado, o relatório à diretoria mostraria que a ligação ao hospital atrasou quinze minutos, que a seguradora não foi avisada e que a notificação de 72 horas atrasou, com as causas encontradas e não nomes. Ele terminaria com as duas ações para o registro e os prazos de aprovação, pedindo à diretoria que confirme ambas. Mantenha-o em uma página e anexe os cálculos dos relógios, para que um leitor possa conferir cada horário sem confiar no resumo.

9.7 Atividade prática

Redija um registro de notificações para uma organização que você conheça, com pelo menos cinco obrigações. Para cada uma, escreva o que dispara o relógio e quem o registra. Marque qualquer obrigação cuja fonte você não verificou.

Inclua contratos e seguros, além da lei, já que o incidente de sábado mostrou que o prazo de aviso de uma seguradora pode ser perdido simplesmente porque ninguém o listou. Para cada obrigação, nomeie um dono, fixe um prazo interno de aprovação anterior ao externo e registre o documento-fonte com a sua cláusula. Verifique se duas obrigações são disparadas pelo mesmo momento; se forem, combine quem registra esse momento e em qual fuso horário. Revise o registro sempre que um contrato ou uma apólice for renovado.

9.8 Erros comuns e limites

Obrigações de notificação descobertas durante o incidente.
Nenhum prazo interno para as aprovações, de modo que o prazo externo é perdido.
Declarações provisórias que prometem "sem impacto" antes de haver evidência.
Nomear pessoas ou fornecedores prematuramente.
As obrigações legais reais variam; confirme as suas com a assessoria jurídica e com o seu regulador. Os relógios deste livro são ilustrativos.
Deixar uma ligação, como o informe ao hospital, a cargo de duas pessoas que pressupõem, cada uma, que a outra vai fazê-la.
Iniciar cada relógio a partir de um momento diferente porque ninguém combinou o que conta como tomar conhecimento.
Esquecer as obrigações contratuais e de seguro porque o registro só lista reguladores.

Exercícios — capítulo 9

EX041 — Leia o Laboratório 9. Objetivo: interpretar os relógios de notificação. Insumos: a saída do Laboratório 9. Passos: para cada obrigação, declarar a situação e a causa raiz de qualquer perda de prazo, usando a seção 9.5. Evidência esperada: cinco linhas. Rubrica: 3 = hospital atrasado 0,25 h (responsabilidade pouco clara), alerta inicial cumprido, seguradora em atraso (fora do registro), notificação atrasada 0,83 h (aprovação tardia), relatório final em aberto, com 646,7 h; as causas raiz são de processo, não de pessoas; 2 = apenas as situações; 1 = parcial; 0 = nada.

EX042 — Escreva uma declaração provisória. Objetivo: comunicar cedo e com honestidade. Insumos: a empresa está investigando um acesso não autorizado a sistemas que monitoram o tratamento da água; a equipe de operações está operando duas estações manualmente; os testes de qualidade da água estão normais. Passos: escrever uma declaração com menos de 120 palavras. Evidência esperada: declaração. Rubrica: 3 = apenas fatos, o que está sendo feito, o que os clientes devem fazer (nada, salvo orientação; como virão as atualizações), horário da próxima atualização, nenhuma especulação nem detalhe útil a um atacante, afirmação de segurança só conforme confirmada pelas operações; 2 = pequena especulação; 1 = "sem impacto, tudo bem"; 0 = nada.

EX043 — Informe o hospital. Objetivo: comunicação com um cliente crítico. Insumos: o mesmo incidente; a pressão na zona leste pode cair por até 4 horas amanhã, durante uma comutação controlada. Passos: escrever o roteiro da ligação. Evidência esperada: roteiro. Rubrica: 3 = efeito nos termos do hospital, horários, segurança da água, o que o hospital pode precisar fazer (água armazenada, prioridades), próxima atualização, contato 24 h; pergunta do que o hospital precisa; 2 = nenhuma pergunta ao hospital; 1 = detalhe técnico; 0 = nada.

EX044 — Dilema ético. Objetivo: aplicar os princípios. Insumos: um jornalista pergunta se o engenheiro de um fornecedor causou o incidente; evidências internas sugerem o envolvimento de um notebook roubado do fornecedor, não confirmado. Passos: escrever a resposta e justificá-la. Evidência esperada: resposta e raciocínio. Rubrica: 3 = recusa-se a atribuir ou nomear com base em informação não confirmada, explica que a investigação está em andamento, compromete-se a atualizar, o raciocínio cita veracidade e justiça; 2 = resposta correta sem raciocínio; 1 = nomeia o fornecedor; 0 = nada.

EX045 — Conserte o processo de aprovação. Objetivo: evitar notificações atrasadas. Insumos: seção 9.5. Passos: desenhar prazos internos e delegação para os três relógios externos. Evidência esperada: desenho. Rubrica: 3 = prazos internos antes de cada prazo externo, aprovadores substitutos nomeados para quando o diretor-presidente não estiver disponível, modelos preparados, início do relógio registrado em UTC pelo líder de incidente, seguradora incluída no registro; 2 = apenas os prazos; 1 = "ser mais rápido"; 0 = nada.

Síntese do capítulo

Os incidentes disparam vários relógios ao mesmo tempo; conheça-os de antemão, combine o que dispara cada um e quem o registra, e fixe prazos internos de aprovação anteriores aos externos. Clientes críticos precisam de mensagens práticas e cedo; o público precisa de declarações provisórias verdadeiras e proporcionais. Comunique sem culpa nem especulação, corrija os erros visivelmente e relate à diretoria com fatos, impacto, decisões e obrigações.