Cenário 05 / 10 · NIST SP 800-61 REV. 3

Exportação suspeita de dados

Uma conta de funcionário exporta grande conjunto de dados de clientes fora do horário habitual; o titular diz que a tarefa pode ser autorizada.

Cenário fictício para estudo; nenhuma pessoa ou sistema real é descrito.

Limite de segurança e autoridade

Preserve privacidade e devido processo trabalhista; o nome da conta não prova intenção de uma pessoa.

01 / 05

Preparação

GV · ID · PR

Uma conta de funcionário exporta grande conjunto de dados de clientes fora do horário habitual; o titular diz que a tarefa pode ser autorizada.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Maple Equipe de evidências	Preparou a rota de evidências	Nomeou fontes somente de leitura e responsáveis para: Registros de auditoria mostram o job de exportação e o destino, mas não quem iniciou ou se o destinatário baixou os dados.	O primeiro alerta precisa de origem e horário verificáveis.
Nimbus Equipe de serviço	Ensaiou a continuidade segura	Testou em isolamento uma versão de: Restaure relatórios autorizados com conjunto de dados delimitado após confirmar finalidade, destino e direitos de acesso.	Recuperação apressada pode agravar o impacto no serviço.
Orion Equipe de decisão	Definiu autoridade e escalonamento	Atribuiu responsáveis e condições de aprovação para: Preserve privacidade e devido processo trabalhista; o nome da conta não prova intenção de uma pessoa.	Segurança, privacidade e comunicação exigem decisão atribuída.

02 / 05

Detecção e análise

Registros de auditoria mostram o job de exportação e o destino, mas não quem iniciou ou se o destinatário baixou os dados.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Maple Equipe de evidências	Avaliou o sinal	Preservou origem, horário UTC e confirmação independente de: Registros de auditoria mostram o job de exportação e o destino, mas não quem iniciou ou se o destinatário baixou os dados.	Um alerta é pista, não prova de causa ou abrangência.
Nimbus Equipe de serviço	Mediu impacto nos usuários	Comparou o serviço real com a linha de base: Uma conta de funcionário exporta grande conjunto de dados de clientes fora do horário habitual; o titular diz que a tarefa pode ser autorizada.	Alertas técnicos sozinhos não comprovam impacto operacional.
Orion Equipe de decisão	Abriu caso delimitado	Registrou fatos confirmados, incógnitas, responsável e horário da próxima revisão.	As equipes se coordenam sem exagerar as evidências.

03 / 05

Resposta e contenção

Preserve privacidade e devido processo trabalhista; o nome da conta não prova intenção de uma pessoa.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Maple Equipe de evidências	Preservou e delimitou evidências	Guardou registros originais e definiu caminho limitado para: Pause a exportação agendada com aprovação do responsável pelos dados e preserve apenas auditoria e acessos necessários.	A contenção não deve destruir a base da revisão posterior.
Nimbus Equipe de serviço	Aplicou o controle aprovado	Executou: Pause a exportação agendada com aprovação do responsável pelos dados e preserve apenas auditoria e acessos necessários.	Mudança reversível e aprovada reduz danos sem ampliar o escopo.
Orion Equipe de decisão	Autorizou e comunicou	Registrou aprovador, pessoas afetadas e limite: Preserve privacidade e devido processo trabalhista; o nome da conta não prova intenção de uma pessoa.	Ações exigem autoridade clara e aviso proporcional.

04 / 05

Recuperação

Restaure relatórios autorizados com conjunto de dados delimitado após confirmar finalidade, destino e direitos de acesso.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Maple Equipe de evidências	Verificou persistência	Comparou nova telemetria com: O responsável confirma o extrato permitido; registros não mostram nova exportação não autorizada e a revisão de acesso terminou.	Serviço aparentemente saudável ainda pode estar comprometido.
Nimbus Equipe de serviço	Restaurou em etapas	Executou: Restaure relatórios autorizados com conjunto de dados delimitado após confirmar finalidade, destino e direitos de acesso.	O retorno gradual testa dependências antes de ampliar o acesso.
Orion Equipe de decisão	Aceitou o resultado operacional	Pediu aprovação do responsável somente após: O responsável confirma o extrato permitido; registros não mostram nova exportação não autorizada e a revisão de acesso terminou.	Recuperação é decisão de serviço, não apenas painel verde.

05 / 05

Melhoria

ID.IM

Registre aprovações de exportação, campos mínimos, retenção e revisão independente de privacidade.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Maple Equipe de evidências	Transformou incerteza em teste	Documentou lacuna de evidência e propôs: Registre aprovações de exportação, campos mínimos, retenção e revisão independente de privacidade.	Uma lição exige verificação futura mensurável.
Nimbus Equipe de serviço	Ensaiou o controle alterado	Atribuiu responsável e data para testar: Registre aprovações de exportação, campos mínimos, retenção e revisão independente de privacidade.	Item não testado não é melhoria verificada.
Orion Equipe de decisão	Fechou registro de decisões	Aprovou recursos, acompanhou o responsável e verificou depois o controle.	O aprendizado deve alimentar Governar, Identificar e Proteger.

Critério de aceitação da recuperação

O responsável confirma o extrato permitido; registros não mostram nova exportação não autorizada e a revisão de acesso terminou.

Melhoria a verificar

Registre aprovações de exportação, campos mínimos, retenção e revisão independente de privacidade.