Capítulo 15 — Relatar um incidente e primeiras ações
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX057.
flowchart TD
N0["15.1 Primeiros passos"]
N1["15.2 Um bom primeiro relato"]
N2["15.3 Preservar as evidências"]
N3["15.4 Comunicação"]
N4["15.5 Deveres de notificação"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX057"]
Desenho lógico
flowchart LR
N0["15.1 Primeiros passos"]
N1["15.2 Um bom primeiro relato"]
N2["15.3 Preservar as evidências"]
N3["15.4 Comunicação"]
N4["15.5 Deveres de notificação"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX057"]
[15.1 Primeiros passos]
|
v
[15.2 Um bom primeiro relato]
|
v
[15.3 Preservar as evidências]
|
v
[15.4 Comunicação]
|
v
[15.5 Deveres de notificação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX057]
Objetivos de aprendizagem
Você vai (1) seguir os passos de primeira resposta da HPFL; (2) escrever um primeiro relato claro; e (3) explicar por que as evidências são preservadas antes de a recuperação começar.
15.1 Primeiros passos
Deixe as pessoas seguras: o supervisor decide se para ou isola a parte afetada da linha, usando os procedimentos normais. Depois ligue para o contato de incidentes da ficha da instalação. Registre o que vê à medida que avança. Não tente remover malware nem restaurar sistemas você mesmo.
Na HPFL, o supervisor da noite passou a linha para o controle local pelo painel e parou a embaladora antes que algo mais acontecesse. Tomás então fotografou a tela e ligou para o contato de incidentes. Seguir os passos em ordem mantém as pessoas seguras e deixa as evidências intactas.
15.2 Um bom primeiro relato
Ele responde: o que você percebeu, onde, quando, quais dispositivos, o que a linha está fazendo agora, o que já foi feito e a quem você avisou. Fatos curtos valem mais do que teorias longas. A NIST SP 800-82r3 enfatiza que a resposta a incidentes de TO precisa ser planejada com as operações, porque ações tomadas em pânico podem prejudicar o processo.
Na HPFL, o relato de Tomás coube em uma frase por ponto e foi enviado em minutos. As correções posteriores foram acrescentadas por escrito, sem alterar o primeiro relato. Guarde uma cópia de todo relato que você enviar, com o horário.
15.3 Preservar as evidências
Fotografe as telas, mantenha uma linha do tempo escrita e deixe os dispositivos como estão, a menos que a segurança exija o contrário. Se um dispositivo precisar ser isolado, o engenheiro faz isso por um método planejado — por exemplo, desabilitando uma porta do switch — e registra exatamente quando.
Mantenha a linha do tempo escrita na ordem em que os eventos aconteceram, com horários de uma única referência, como o seu relógio, e anote as diferenças de relógio conhecidas entre os dispositivos. As fotografias devem mostrar juntos o nome do dispositivo e a tela. Guarde as fotografias com a linha do tempo, num só lugar.
15.4 Comunicação
Use a lista de contatos da instalação. Não publique nada sobre o incidente em redes sociais ou grupos de conversa. Não contate fornecedores ou autoridades por conta própria, a menos que o líder do incidente peça.
Na HPFL, o líder do incidente decide quem fala com fornecedores, clientes e autoridades. Evite especular com os colegas sobre a causa, porque os boatos se espalham depressa no chão de fábrica. Se alguém de fora perguntar sobre o incidente, encaminhe a pessoa ao líder do incidente. Use os telefones da ficha da instalação, não números salvos por conta própria, porque eles são mantidos atualizados.
15.5 Deveres de notificação
Alguns setores e países exigem relatos a reguladores ou à CISA em prazos definidos; o líder do incidente cuida disso, mas é a sua linha do tempo que torna isso possível.
Na HPFL, a linha do tempo de Tomás, com os seus horários e fotografias, deu ao líder do incidente o que era necessário para qualquer notificação exigida. Mantenha-a precisa e completa e passe as correções ao líder por escrito assim que as encontrar. Os horários são o que mais importa: quando o evento foi percebido, quando foi relatado e quando a linha foi parada. Anote-os à medida que acontecem, em vez de reconstruí-los depois.
Exemplo resolvido (HPFL sintética)
Às 03:10, a HMI-1 mostra uma mensagem de resgate. Tomás avisa o supervisor da noite, que passa a linha para o controle local pelo painel e para a embaladora. Tomás fotografa a tela e liga para o contato de incidentes às 03:14. Seu relato diz: "03:10 tela de resgate na HMI-1; linha em controle local, embaladora parada às 03:12; nenhuma outra tela afetada vista; nada desconectado; supervisor informado."
Caso sintético — HPFL. O incidente é inventado.
Erros e limites
As listas de contatos ficam desatualizadas; confira-as trimestralmente. Um primeiro relato pode estar errado; corrija-o por escrito, em vez de apagá-lo.
Exercícios
- EX057 — Ordenar os passos. Ponha em ordem: ligar para o contato de incidentes; o supervisor deixa a linha segura; fotografar a tela; restaurar a IHM. Rubrica: 3 = segurança, fotografar, ligar; restaurar depois, pelos responsáveis; 2 = quase certo; 1 = restaurar primeiro; 0 = nenhum.
- EX058 — Melhorar um relato. Reescreva "a IHM foi hackeada, provavelmente russos" como um primeiro relato factual. Rubrica: 3 = horário, dispositivo, observação, estado da linha, ações, quem foi avisado; sem especulação; 2 = parcial; 1 = ainda especulação; 0 = nenhum.
- EX059 — Desconectar. Um colega quer desconectar imediatamente o cabo de rede da HMI-1. O que você diz? Rubrica: 3 = isolar só via supervisor/engenheiro, de forma planejada e registrada; segurança e evidências; 2 = esperar; 1 = fazer; 0 = nenhum.
- EX060 — Quem notifica. Quem decide se é preciso notificar os reguladores ou a CISA? Rubrica: 3 = o líder do incidente/a direção; o técnico fornece a linha do tempo; 2 = só o líder; 1 = o técnico sozinho; 0 = nenhum.
Síntese
Segurança primeiro, fatos registrados, evidências preservadas, as pessoas certas chamadas; a recuperação vem depois.
Continue estudando — capítulo 15 de 18
← Capítulo 14 · Índice de capítulos do curso · Capítulo 16 →
Siga para a próxima lição escrita.