Cenário 01 / 10 · NIST SP 800-61 REV. 3

Ransomware em hospital

Um hospital regional perde acesso ao agendamento e a uma pasta compartilhada de imagens; os sistemas de leito continuam funcionando, mas a dependência deles não foi confirmada.

Cenário fictício para estudo; nenhuma pessoa ou sistema real é descrito.

Limite de segurança e autoridade

Mantenha decisões de segurança clínica com a liderança clínica; não desconecte equipamentos nem restaure sobre evidências sem aprovação.

01 / 05

Preparação

GV · ID · PR

Um hospital regional perde acesso ao agendamento e a uma pasta compartilhada de imagens; os sistemas de leito continuam funcionando, mas a dependência deles não foi confirmada.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Aster Equipe de evidências	Preparou a rota de evidências	Nomeou fontes somente de leitura e responsáveis para: Às 08h20, uma estação mostra uma nota de extorsão; duas pastas ficam ilegíveis. Alertas de endpoint e registros de backup discordam sobre o primeiro horário afetado.	O primeiro alerta precisa de origem e horário verificáveis.
Birch Equipe de serviço	Ensaiou a continuidade segura	Testou em isolamento uma versão de: Restaure o agendamento em ambiente isolado a partir de um backup limpo selecionado; reconecte somente após testar o fluxo clínico.	Recuperação apressada pode agravar o impacto no serviço.
Cobalt Equipe de decisão	Definiu autoridade e escalonamento	Atribuiu responsáveis e condições de aprovação para: Mantenha decisões de segurança clínica com a liderança clínica; não desconecte equipamentos nem restaure sobre evidências sem aprovação.	Segurança, privacidade e comunicação exigem decisão atribuída.

02 / 05

Detecção e análise

Às 08h20, uma estação mostra uma nota de extorsão; duas pastas ficam ilegíveis. Alertas de endpoint e registros de backup discordam sobre o primeiro horário afetado.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Aster Equipe de evidências	Avaliou o sinal	Preservou origem, horário UTC e confirmação independente de: Às 08h20, uma estação mostra uma nota de extorsão; duas pastas ficam ilegíveis. Alertas de endpoint e registros de backup discordam sobre o primeiro horário afetado.	Um alerta é pista, não prova de causa ou abrangência.
Birch Equipe de serviço	Mediu impacto nos usuários	Comparou o serviço real com a linha de base: Um hospital regional perde acesso ao agendamento e a uma pasta compartilhada de imagens; os sistemas de leito continuam funcionando, mas a dependência deles não foi confirmada.	Alertas técnicos sozinhos não comprovam impacto operacional.
Cobalt Equipe de decisão	Abriu caso delimitado	Registrou fatos confirmados, incógnitas, responsável e horário da próxima revisão.	As equipes se coordenam sem exagerar as evidências.

03 / 05

Resposta e contenção

Mantenha decisões de segurança clínica com a liderança clínica; não desconecte equipamentos nem restaure sobre evidências sem aprovação.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Aster Equipe de evidências	Preservou e delimitou evidências	Guardou registros originais e definiu caminho limitado para: Isole estações e pastas afetadas confirmadas em ordem aprovada pelo responsável, preservando cópias de discos e registros.	A contenção não deve destruir a base da revisão posterior.
Birch Equipe de serviço	Aplicou o controle aprovado	Executou: Isole estações e pastas afetadas confirmadas em ordem aprovada pelo responsável, preservando cópias de discos e registros.	Mudança reversível e aprovada reduz danos sem ampliar o escopo.
Cobalt Equipe de decisão	Autorizou e comunicou	Registrou aprovador, pessoas afetadas e limite: Mantenha decisões de segurança clínica com a liderança clínica; não desconecte equipamentos nem restaure sobre evidências sem aprovação.	Ações exigem autoridade clara e aviso proporcional.

04 / 05

Recuperação

Restaure o agendamento em ambiente isolado a partir de um backup limpo selecionado; reconecte somente após testar o fluxo clínico.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Aster Equipe de evidências	Verificou persistência	Comparou nova telemetria com: A equipe clínica consegue concluir um agendamento e recuperar uma imagem; o monitoramento não mostra nova criptografia.	Serviço aparentemente saudável ainda pode estar comprometido.
Birch Equipe de serviço	Restaurou em etapas	Executou: Restaure o agendamento em ambiente isolado a partir de um backup limpo selecionado; reconecte somente após testar o fluxo clínico.	O retorno gradual testa dependências antes de ampliar o acesso.
Cobalt Equipe de decisão	Aceitou o resultado operacional	Pediu aprovação do responsável somente após: A equipe clínica consegue concluir um agendamento e recuperar uma imagem; o monitoramento não mostra nova criptografia.	Recuperação é decisão de serviço, não apenas painel verde.

05 / 05

Melhoria

ID.IM

Ensaiar isolamento de backups, responsabilidade pela restauração e contingência clínica antes do próximo incidente.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Aster Equipe de evidências	Transformou incerteza em teste	Documentou lacuna de evidência e propôs: Ensaiar isolamento de backups, responsabilidade pela restauração e contingência clínica antes do próximo incidente.	Uma lição exige verificação futura mensurável.
Birch Equipe de serviço	Ensaiou o controle alterado	Atribuiu responsável e data para testar: Ensaiar isolamento de backups, responsabilidade pela restauração e contingência clínica antes do próximo incidente.	Item não testado não é melhoria verificada.
Cobalt Equipe de decisão	Fechou registro de decisões	Aprovou recursos, acompanhou o responsável e verificou depois o controle.	O aprendizado deve alimentar Governar, Identificar e Proteger.

Critério de aceitação da recuperação

A equipe clínica consegue concluir um agendamento e recuperar uma imagem; o monitoramento não mostra nova criptografia.

Melhoria a verificar

Ensaiar isolamento de backups, responsabilidade pela restauração e contingência clínica antes do próximo incidente.