Episódio #379 – 10 recomendações para gestão de incidentes

Notas do episódio

Visite nossa campanha de financiamento coletivo e nos apoie! Conheça o Blog da BrownPipe Consultoria e se inscreva no nosso mailing Neste episódio, Guilherme Goulart e Vinicius comentam 10 recomendações cruciais para a gestão de incidentes, e você irá descobrir como preparar sua organização para lidar com ameaças digitais de forma eficaz.​ Aprofundando na gestão de incidentes, este episódio detalha a importância da segurança da informação e a conformidade com a LGPD. A conversa explora desde a elaboração de políticas de segurança e o treinamento de funcionários até o desenvolvimento de planos de contingência e a necessidade de testes de invasão. A discussão sobre resposta a incidentes e a correta comunicação de incidentes oferece insights para mitigar riscos de segurança, identificar vulnerabilidades e proteger dados pessoais. Entender esses processos é fundamental para uma estratégia robusta de cibersegurança e análise de risco. Para mais conteúdos, siga e avalie nosso podcast em sua plataforma de áudio preferida. ShowNotes: E-book da BrownPipe – Gestão de Incidentes: Entre riscos e dados pessoais Episódio #371 – 1º Encontro de Encarregados da ANPD, com a participação de Guilherme Goulart Artigo – The Psychology of Security de Bruce Scheneier 📝 Transcrição do Episódio (00:03) Com isso, acho que já podemos começar, Vinícius. Primeira… Ô, diga, diga, diga. Antes, antes, antes. Quem der boa tarde para nós ali no chat do YouTube, eu vou dar boa tarde no vídeo. Então, boa tarde ao nosso amigo Hamilton, que já estava enchendo de perguntas lá no grupo do Telegram. Boa tarde, Hilton. O Hilton sugere 12,5 itens. Eu gostei. 12,5 itens, só que o último item vai ficar aquela coisa, só metade do item e para por ali. Mas é isso aí, legal. Vamos lá. Bom, a primeira, então, a primeira recomendação, a primeira indicação aqui é: (00:43) Tenha em mente que incidentes vão ocorrer. Isso não é catastrofismo, não é desejar coisa ruim para você que está nos escutando, mas sim uma consideração verificável na própria realidade. Porque se a gente tem ambientes cada vez mais complexos, se nós temos pessoas trabalhando nesses ambientes com vários níveis diferentes, tanto de conhecimento quanto de comprometimento, se nós temos ambientes que também são regulados por regulações, por legislações diferentes e, principalmente, se nós temos hoje uma migração do crime físico, digamos assim, para o crime e para o ambiente digital. (01:29) E, claro, destacando que incidentes ocorrem não somente quando a gente tem agentes maliciosos, criminosos atuando para realizar invasões, exfiltrações de dados. Nós temos incidentes que podem ocorrer por vias acidentais. Nós temos incidentes que podem ocorrer até mesmo pela falta de treinamento de funcionários. Exato. Os incidentes não intencionais, Guilherme. Os incidentes de segurança que são como esses, assim, há uma falta de treinamento que acaba, no fundo… (02:06) …sendo essa falta de treinamento uma vulnerabilidade, e ela acaba resultando em uma ameaça que, de repente, é uma operação inadequada do sistema, até com perda de informações ou coisa parecida, por exemplo. E, de repente, isso se concretiza não porque a pessoa teve a intenção de causar um problema no sistema, mas porque, pela falta de treinamento que ela tinha, ela acabou concretizando aquela ameaça de operar erroneamente o sistema e causar perda de dados, por exemplo, ou uma indisponibilidade. Então, imagina de repente alguém que está iniciando em uma empresa na TI… (02:41) …gerenciando lá serviços de API, por exemplo, um gateway de API, uma central de gerenciamento de APIs, e de repente essa pessoa, ao entrar nesse painel para ver como é, de repente, ela desabilita a API de um cliente, de uma integração ou coisa parecida, ela vai causar um incidente de indisponibilidade, ainda que não intencionalmente, sem ter a intenção maliciosa de causar um prejuízo para a empresa. Lembrando, até no nosso guia a gente traz um exemplo ocorrido na Itália. E isso ocorre todo dia. Ontem mesmo eu recebi uma mensagem… (03:20) …assim: quando um grupo, um usuário vai enviar mensagens para um grupo de pessoas, ele, em vez de enviar via CCO (cópia oculta), ele envia com cópia para todo mundo, revelando o endereço de todo mundo ali naquele contexto. No exemplo italiano, a questão estava relacionada ao fato de que aquelas pessoas tinham uma determinada doença, então, entre todos aqueles destinatários, todos eles entre si ficaram sabendo que os outros destinatários possuíam aquela doença, fazendo com que aquele incidente fosse um incidente que… (03:56) …envolvesse dados pessoais. A gente vai falar um pouquinho depois sobre esse aspecto. Então, as fontes são muito variadas, sobretudo quando a gente começa a falar em nuvem e, até mais recentemente, quando a gente começa a falar em Inteligência Artificial. A gente tem que considerar que, a depender do uso que se faz dos modelos ou até mesmo como esses modelos são treinados, nós podemos, sim, ter incidentes tanto no seu uso, seja pela exfiltração de dados, pelo vazamento de dados, a possibilidade de outras pessoas receberem… a possibilidade de treinar os modelos com… (04:32) …informações que não deveriam estar lá. E aí outras pessoas passam a receber eventuais dados que não deveriam ser disponibilizados por esse meio. E também na própria questão do treinamento, as formas que você tem hoje como treinar e a ubiquidade quase de dados pessoais nesses ambientes e nos materiais que são usados para treinar esses modelos, também isso pode representar um incidente. Então, o ponto é esse: ambientes complexos e, principalmente, um aspecto psicológico. Nós temos muitas pessoas, e isso acho que acontece em qualquer área… (05:10) …as pessoas em posições de comando, em posições de gerenciamento, que não têm condições de avaliar adequadamente ou até mesmo de considerar as avaliações feitas pelas equipes de segurança. Porque quem toma as decisões, no final das contas, é o Board da empresa, a Diretoria da empresa, a gerência da empresa. Os tomadores de decisão também precisam ser conscientizados, mas muitas vezes nós temos pessoas que não consideram o risco. E o ser humano é muito ruim na hora de medir risco. É um comportamento psicológico. Até tem um artigo muito interessante do Bruce Schneier chamado… (05:46) …”Psychology of Security”, que ele diz justamente isso: nós somos péssimos para gerir riscos e para nos posicionar perante a riscos. Então, quando a gente coloca todos esses elementos juntos, a gente pode dizer com bastante certeza, assim, que incidentes vão ocorrer. Podem ser pequenos, mas também podem ser muito graves. Então, ter isso em conta, afastando aquela ideia de que “não, isso não vai acontecer comigo”, é uma primeira recomendação que a gente coloca. Tem um… quando até essa questão dos acidentes ocorrerem ou não… Essa de ter em mente que eles vão ocorrer, muitas… (06:22) …vezes a gente pode conversar com algumas pessoas de uma determinada empresa, do ambiente, e assim: “não, a gente nunca teve um incidente”. Só que daí tu começas a perguntar: “Vocês já tiveram uma situação parecida com esta?”. Ou parecida, algumas situações hipotéticas. “Ah, isso já aconteceu”. Pois é, isso é um incidente. Então, às vezes o pessoal acha que nunca aconteceu nada porque nunca pensou em certas ocorrências como sendo incidentes de fato. Aproveitando, Guilherme, o intervalo aqui entre um item e outro, vou dar uma boa tarde para o Hugo… (06:56) …que diz que acabou de entrar. Quando ele mandou a mensagem, disse que tinha acabado de entrar e já tinha dado gatilho lá para ele. Buenas, vamos para o próximo. Tem, sim, sim. Número dois: investir na preparação para incidentes é mais econômico ou mais barato do que arcar com os custos de um incidente não gerenciado. Isso está ligado também um pouco com a primeira, sobretudo acerca desse aspecto de tomadores de decisão acharem que, às vezes, a preparação, ou seja, o valor que ele vai ter que gastar tanto com treinamento, com produção de políticas, com consultoria, isso não… (07:34) …é uma coisa que se produz do nada. Pode achar que muitas vezes esse é um custo desnecessário. Só que, eu acho que é uma ideia bem simples de entender: quando a sua empresa não está preparada, quando ela não está nem um pouco preparada — e é bastante comum que empresas, mesmo hoje com a vigência da LGPD, não estejam preparadas —, a depender da intensidade ou do grau do incidente, vai ser muito mais caro você buscar tanto remediar o incidente depois que ele ocorreu. Porque é comum que incidentes graves possam escalar para situações que podem demandar a… (08:15) …ativação de planos de continuidade. Então, é comum que quem não tenha planos de gestão de incidentes também não tenha planos de gestão de continuidade. Então, o que acaba acontecendo é que é mais caro. No final das contas, é mais caro pagar para ver, porque não é possível saber quais os tipos de ameaças que podem atingir aquele ambiente. Como não se realizou ali uma análise de eventuais vulnerabilidades naquele ambiente, também você não sabe o quão vulnerável você está. E você meio que fica numa situação em que você não estava… (08:57) …preparado para reagir a ela. Você não sabe o que fazer, você não sabe sequer que precisa comunicar em alguns incidentes, conforme a gente vai ver depois, a órgãos governamentais ou até mesmo por necessidades contratuais. Porque, dependendo do tipo de serviço que você presta ou que você contrata, pode ser necessário também realizar comunicações para parceiros de negócio. Então, imaginar — e elas estão ligadas, Vinícius — primeiro que não vai acontecer contigo e, depois, que “ah, eu não preciso gastar com isso”, é um erro bastante grande. E veja, nós dizemos isso… (09:31) …porque nós já vimos situações, nós já atuamos em situações que acabou ficando mais caro, mais difícil, mais complexo. É uma dor de cabeça maior, no final das contas. E não é só mais caro porque de repente o fornecedor ou prestador de serviço vai demandar uma urgência de atuação dele, ou seja, ele vai ter que te passar na frente de várias outras coisas que ele está fazendo, presume-se. E é natural que quem tem, por exemplo, uma relação mais duradoura com um prestador de serviço acaba, obviamente, tendo ganhos em termos econômicos. Tu acabas otimizando melhor o teu custo com esses serviços. (10:09) Agora, quando eventualmente alguém que tu não tens relação nenhuma e tu precisas e tens que ser atendido com urgência, normalmente isso vai custar mais caro, sim. Não há dúvida nenhuma. Mas esses custos, eles não são só relacionados à questão do fornecedor, diretamente aquele pelo serviço cobrado. Eles também acabam surgindo de outras coisas, Guilherme. Às vezes tu vais contratar coisas que tu não precisas. Às vezes tu vais contratar um serviço que, na correria, não vai te atender, porque tu não vais ter tempo de… (10:41) …ficar avaliando o fornecedor, ficar buscando alguma referência. Então, tu vais ter que meio que buscar, ver o site e ver se o site, aparentemente, o que diz no site, se é confiável, se parece ser confiável, se as frases são bonitas o suficiente. E, de repente, ver a lista de clientes lá que a empresa atendeu e pensar: “Não, eu acho que dá para confiar”. E vai lá e faz uma proposta. Não vai ter tempo de ficar tomando propostas para poder comparar e analisar com calma enquanto o incidente está acontecendo. Claro que, às vezes, uma boa indicaçao te salva. Então, se tem alguém que já conhece… (11:15) …uma empresa como a Brown Pipe, por exemplo, já conhece uma empresa que já tem uma, teve uma boa experiência com ela e tal e compartilha contigo, isso acaba te salvando a pele muitas vezes. Mas, então, tu tens essa questão, tu tens esses outros custos, digamos assim, meio que indiretos da coisa, que resultam muitas vezes também de uma verificação malfeita ou de uma análise malfeita do incidente. Aí, de repente, tu tomas as decisões que ou não seriam necessárias ou seriam insuficientes, e isso tudo acaba redundando em custo depois, acaba redundando em retrabalho. (11:55) E o próprio custo do incidente concretizado, direto, Vinícius. Você pode ter perda de clientes, você pode ter perda de confiança no mercado, você pode ter multas. A gente fala sobre um custo mais indireto, mas o custo direto por si só já pode ser bastante razoável. E esse custo indireto também. Então, realmente, tu te preparares para, eventualmente, acontecer um incidente — e a gente vai ter alguns itens ali adiante —, preparar não é só comprar software. A gente tem várias coisas a serem feitas, mas eu… (12:33) …não vou adiantar os itens, Guilherme. Aproveitando, o Hamilton nos mandou uma pergunta aqui, Vinícius. Eu vou fazer, você pode fazer uma observação aqui sobre ela, que seria quase como uma 11ª, ele está falando que queria 12, então já tem mais uma aqui: “Podemos dizer que incidentes de segurança ajudam a conscientizar a organização sobre a importância da cibersegurança, visto que frequentemente há um aumento no orçamento de segurança após o incidente?”. Já que a gente está falando sobre valor, valores e tal. Aí tem uma coisa que… (13:04) …eu posso dizer que fui eu que falei, inclusive. Tem registros disso, fotográficos inclusive, há mais de uma década. Eu chamei de “a montanha-russa da segurança”. De tanto observar, a partir dos anos 2000, mais ou menos, que eu já atuo nessa questão de consultoria em segurança da informação e tal, e ver incidente acontecer lá no início, bem mais operacional do que hoje, que é mais focado em consultoria mesmo. E por observação, ou seja, pela nossa própria experiência, o que a gente observou é que sim, quando acontece um incidente, a empresa tende… (13:46) …a fazer um investimento em segurança. Se ela não tinha, ela de repente descobre que pode fazer ou que deve fazer. Se ela tinha e, obviamente, se aconteceu, foi insuficiente, ela sim, coloca mais recursos ali naquele momento. Então, tu imaginas que essa é a subida do investimento. Tem a subida do investimento na segurança, por isso que é a subida da montanha-russa. Aí tu chegas lá em cima, no pico, que as coisas se estabilizaram, o incidente foi controlado, as operações estão normais, a gente pode se acalmar. E aí, em vez de se ter — claro, não se precisa se manter no mesmo… (14:24) …nível de investimento que se chegou no pico da montanha-russa —, tu podes baixar um pouco e manter uma média ali. Mas o que normalmente acontece? A coisa despenca lá para baixo de novo, muito próximo dos níveis originais. A isso a gente viu várias vezes acontecendo. E aí passa um tempo, fica no vale lá da montanha-russa, naquela parte de baixo, aí daqui a pouco acontece um outro incidente e bate lá em cima no pico de novo. Então, isso é algo que a gente percebe pela nossa experiência de mais de 20 anos, a gente percebe claramente… (15:03) …que acontece. E não é muito difícil entender o porquê. Aconteceu comigo uma vez uma certa situação, envolvendo… estava dirigindo na estrada. E aconteceu uma situação que me botou… eu quase me acidentei. E aquilo me assustou, me causou um susto muito grande, eu fiquei bastante impactado por aquela ocorrência, principalmente ali nas primeiras vezes que eu fui viajar depois daquele incidente. Então, eu estava cuidando muito mais, eu estava muito mais alerta, eu estava… entende? Eu estava com cheio de cuidados, mais do que o normal. E olha que eu não dirijo, eu não… (15:41) …sou louco na direção. Mas passou um tempo, Guilherme, aquele meu investimento todo em cuidar na hora de dirigir, aquilo lá voltou para o estado normal da minha média da direção. Então, é natural a gente fazer isso. Agora, não é o ideal, porque essa montanha-russa faz com que a gente gaste muito mais do que o necessário. Vai lá para baixo, não investe o mínimo que seria necessário, daqui a pouco tem que gastar muito de novo, em vez de manter a coisa estável. E a própria segurança, a gente já falou disso mais de uma vez nos episódios iniciais lá do Segurança Legal, que a segurança é um atributo negativo, Guilherme. (16:27) Porque, enquanto tem problema para ser resolvido, é aí que a empresa procura. E olha quantas vezes nos procuraram já por problemas já existentes. Quando tem problema, tu tens uma coisa que queres resolver. No momento que tu resolveste o problema e não acontece mais incidente, porque tu atingiste um nível de segurança razoável e estás mantendo aquele nível, a impressão que dá é que a segurança não está mais servindo para nada, porque não tem mais nada acontecendo. E aí não tem mais nada acontecendo, e tu… “Eu não preciso mais, não preciso mais disso aqui, não vou mais investir nisso aqui”. Aí, tu, de novo, cavas um vale lá na montanha-russa. Então, é delicado isso. Sim, Hamilton, isso é um ponto bem… (17:06) …interessante que tu colocas. Porque, e mesmo o investimento em infra — a gente sabe que o Hilton trabalha nessa área —, mesmo o investimento em infra a gente vê isso acontecendo. Se faz, a coisa quebra, se a infra fica ruim, ruim, ruim, ruim… olha, ou investe ou vai parar de funcionar. Aí o pessoal investe. Mas, em vez de manter, deixa cair de novo para depois ter que comprar tudo de novo. Então, é um comportamento que a gente vê repetidas vezes no mercado. Sim, sem dúvida nenhuma. Isso também está conectado com a questão da psicologia da segurança. Segurança, a gente… (17:41) …sabe que é uma área muito complexa, porque ela envolve diversas outras áreas: economia, psicologia, direito, a própria Ciência da Computação. Então você tem uma área transdisciplinar, e não é só uma questão puramente técnica. E então isso está ligado com a questão da psicologia e de como as pessoas percebem os riscos no seu dia a dia, e tomam ou não decisões. Porque, se você for uma pessoa ligeiramente inteligente, você vai perceber como ter uma atitude segura em relação à sua saúde: você evita beber demais, você evita… (18:18) …fumar. Então, às vezes, esses riscos que estão um pouco mais longe daquele imediato passam a ser percebidos pelas pessoas como coisas que não vão te atingir. Mas antes de passar para a próxima, para que a gente traga um pouco de dados sobre essa percepção que a gente coloca aqui: tem um estudo bastante interessante da ISACA, que é o “State of Cybersecurity”, que eles fazem por ano. E o ano de 2024 tem vários números lá sobre a percepção de pessoas que atuam na área de cibersegurança. E eles dizem que uma das fontes de estresse para as pessoas que… (18:54) …atuam com segurança da informação, atingindo 45% dos respondentes, foi que o “budget is too low”, ou seja, o investimento ali é baixo demais. Não estamos inventando isso, não é algo que está fora do que a ISACA está dizendo numa análise mundial. O Hugo colocou no chat ali agora há pouco, ele colocou: “a psicologia do risco mais o cobertor curto”. Sim. E a falta… eu adicionaria… qual o nome? Hugo. Eu adicionaria ainda, Hugo, uma falta, muitas vezes, de formação de pessoas que não têm até o próprio conhecimento na área para também tomar decisões informadas. Vamos para a… (19:37) …próxima, Vinícius? Bora. Bom. Elabore uma política e procedimentos para gestão de incidentes. Precisa. Ou seja, como é que se faz, no final das contas? Via de regra, esse tipo de atividade da segurança, a própria LGPD coloca essa diferenciação, mas outras normas técnicas também diferenciam isso. Você tem medidas de segurança que podem ser consideradas medidas técnicas e você tem medidas de segurança que são consideradas operacionais ou administrativas, digamos assim. Então, as técnicas são aquelas muito mais ligadas à operação de ferramentas… (20:20) …propriamente ditas, ao uso, à escolha, à seleção de ferramentas propriamente ditas. Só que, nessa outra parte, a administrativa ou a organizacional, ela vai se basear, sim, em uma série de políticas. Inclusive, essa é uma das nossas áreas de atuação. Então, a primeira política no âmbito da segurança, que seria, se a gente fosse comparar com o arcabouço jurídico de um estado, de um país, a política de segurança ela estaria lá no topo da pirâmide, ela seria a Constituição do país. Então, a política de segurança é a Constituição da segurança da… (20:57) …informação de uma organização. E essa política, ela vai prever uma série de outras políticas que ficam abaixo dela. Então, você pode ter políticas de backup, você vai ter políticas de continuidade, você vai ter política de uso de recursos digitais, uso de ferramentas digitais, você vai ter política de trabalho remoto, outras políticas de conformidade, ou seja, aquelas que se relacionam com a LGPD e outras regulamentações, sobretudo no setor bancário. E é aí que entra a política de gestão de incidentes. E note que nós destacamos aqui “política e procedimentos”, porque… (21:38) …a política, ela sempre vai ser… claro, ela está no âmbito de uma organização, de uma atividade, mas ela acaba sendo um tipo de documento muito mais… não quer dizer, não tão operacional quanto os procedimentos em si. Ou seja, os procedimentos são aquelas coisas práticas, guias e “to-do”, ou seja, como você faz exatamente uma determinada coisa. E as políticas, elas vão ser mais organizativas. Então, essa política vai prever, por exemplo, que todos os incidentes dentro de uma instituição devem ser adequadamente registrados e tratados. Então, você vai criar, por meio dessa política, um ciclo… (22:20) …de atividades em que você vai ter… ela também vai constituir um grupo, um time de resposta a incidentes. E esse time, e claro, isso vai variar muito a depender do tipo de organização, do tamanho da organização, do tamanho dos setores envolvidos. Nem todas as instituições, as organizações, têm setores de segurança da informação, mas hoje é crucial que você tenha não somente esses documentos, mas também times habilitados a lidar com esses incidentes e conseguir percorrer esse incidente por toda a sua vida útil. Porque, veja, ele vai ser identificado, ele… (22:59) …vai ser tratado. Em algumas vezes, eu posso até identificar uma atividade que eu imaginei que era um incidente ou que me foi comunicada como incidente, mas não era um incidente. Eu verifiquei, fiz uma investigação preliminar ali, vi que era outra coisa, sei lá, desclassifico. E esses dados também vão servir como dados de inteligência para no futuro eu conseguir ver se estou, de repente, recebendo muitas notificações de incidente que não são incidentes, eu preciso, sei lá, melhorar meu treinamento, ou estou recebendo poucas, enfim. Ou seja, você consegue começar a produzir… (23:29) …indicadores, que vão compor ali, até em situações mais amplas, o teu sistema de gestão de segurança da informação. Mas o fato é que não é possível lidar com gestão de incidentes sem políticas, que daí vão prever como eles vão ser tratados, as categorias nas quais eles vão ser classificados, o envolvimento de quais cargos. Com a LGPD, que é o próximo aqui, mas os cargos que vão ficar envolvidos. Ou seja, é um documento crucial para que qualquer organização que queira gerir bem. Eu diria que não tem como fazer gestão de incidente sem uma política. (24:09) Então, fica essa recomendação aí. Essa questão de elaborar a política, ela esbarra no velho problema do pessoal não querer ser meio avesso à documentação. Porque tem um documento, no final das contas, tu vais ter que escrever um documento. E tem que ser um documento que tenha consequências daquilo que vai ser escrito. Se for mal escrito, não vai servir para nada no momento que tiver que ser acionado. Então, tu precisas de tempo para pensar no que tu queres colocar ali, o que deve ser colocado na estrutura e, propriamente, escrever. (24:50) Então, tu já tens uma certa resistência à própria questão pura e simples da documentação. E a questão do cobertor curto que o Hugo coloca, agora nesse momento aqui, que eu puxo essa questão do cobertor com relação ao tempo. Então, assim: “Ah, eu não tenho tempo de parar para escrever um documento desses, eu tenho um monte de coisa para fazer. Entende? Eu tenho que cuidar lá da migração não sei o quê, eu tenho que cuidar lá da nova estrutura que a gente está montando, eu tenho que ver como é que resolve um novo problema que surgiu, porque eu preciso agora disponibilizar de um jeito diferente o acesso a um determinado… (25:27) …serviço”. Então, isso aqui acaba ficando… não só isso aqui, a documentação em si do ambiente acaba ficando para segundo plano. Quantos são os lugares que têm uma documentação atualizada das coisas mais básicas, que é infraestrutura de rede, arquitetura de um sistema, arquitetura dos seus recursos? Quanto mais chegar num processo de ter uma política e procedimentos bem claramente definidos. Então, até coisas básicas, muitas vezes, a gente não encontra, como uma política de backup, uma coisa que é bem operacional, do dia a dia. E não é… (26:07) …o que vai… um dia vai ter que se acionar. Uma política de backup é coisa para o dia a dia. Então, realmente, tem uma dificuldade bastante grande de se investir recurso, tempo. Tempo é recurso. Tu estás investindo, claro, o tempo da tua equipe para fazer isso. E a equipe, por conta própria, não tem como ela: “Ah, eu vou fazer isso aqui”. Não, tem que ter um suporte, tem que ter um apoio de quem está mais acima. Em última análise, até do Board da própria empresa, de demandar esse tipo de coisa e entender que isso é importante e dizer: “Não, recursos devem ser alocados para isto”. (26:44) Então, é algo bem delicado essa questão de documentação e planejamento. É bem delicado, mas é necessário. Não tem muito o que fazer, tem que fazer. Pode seguir, Guilherme, para a seguinte. Considere as regulamentações vigentes como, por exemplo, a LGPD. A LGPD, na verdade, pessoal, ela foi um grande marco não só para a proteção de dados no país, ou seja, a gente não tinha uma lei específica para isso, embora algumas coisas estivessem diluídas em outras leis: Marco Civil, sei lá, Código de Defesa do Consumidor. Mas o que a gente tem aqui é que… (27:30) …dentro da gestão e da proteção de dados, foram previstas na própria LGPD e em uma série de outras resoluções e regulamentações já vigentes, também criadas pela ANPD, que é a Autoridade Nacional de Proteção de Dados, nós temos a imposição de uma série de medidas de segurança. Então, nós temos um pressuposto aqui, na verdade: que toda a atividade que tratar dados pessoais precisará, necessariamente, de possuir medidas de segurança da informação. E veja, medidas técnicas e medidas administrativas ou organizacionais, como eu comentei antes. (28:13) Medidas essas que precisam, inclusive, ser demonstráveis. E esse é um paradigma também diferente aqui do pessoal da segurança da informação. Porque quando se fala de segurança em proteção de dados, não basta aplicar as medidas, você tem que demonstrar a todo tempo, pela via do princípio da responsabilidade e prestação de contas, que você está tomando medidas aptas para tratar aquela categoria de dados naquele cenário de riscos. Então, veja que políticas, quando a gente fala nos documentos da ANPD que já foram publicados de recomendações de segurança… (28:51) …ou recomendações para agentes de pequeno porte, política de segurança está lá, é uma das primeiras. E aí é engraçado, porque se a ANPD considera que política de segurança é o mínimo que eu devo ter para agentes de tratamento de pequeno porte, o que dirá para os de grande porte? E nós sabemos que há agentes de tratamento de grande porte que não têm políticas aplicadas no ambiente. Então, por que a LGPD é importante além disso? Porque, a partir de agora, nós temos também a obrigatoriedade não somente de registro de todos os incidentes… (29:34) …de segurança que envolvem dados pessoais. Então, notem, já respondendo também — a gente sabe que é uma dúvida do Hamilton aqui — sobre a questão de comunicação de incidentes aqui de maneira geral. A LGPD e a resolução de comunicação de incidentes obrigam o agente de tratamento e a empresa, consequentemente, a não somente registrar todos os incidentes que tenham envolvido dados pessoais. E hoje, como a gente sabe, a grande maioria das empresas que prestam serviço, por exemplo, na internet, é muito raro que elas não estejam tratando dados pessoais. Então, nesse sentido, é bastante comum que incidentes de… (30:23) …segurança envolvam dados pessoais. E basta a gente… você aí, ouvinte, pensar nos últimos incidentes que você verificou, e você consegue verificar se houve ou não dados pessoais envolvidos. E, por envolver, nós já temos tanto a obrigatoriedade do registro interno — então, aí um diálogo com a política de gestão de incidentes —, essa política, ela vai dialogar com a resolução de comunicação de incidentes, com um prazo ali de três dias úteis para comunicação. Então, deve ser algo que funcione adequadamente. Ou seja, você precisa identificar os incidentes, tratá-los… (31:03) …em tempo hábil e, se for o caso, comunicar tanto a Autoridade Nacional quanto as pessoas atingidas, os titulares de dados pessoais, toda vez que esses incidentes tiverem… toda vez que esses incidentes atingirem de forma grave ou causarem risco grave para essas pessoas. Então, notem, se ocorreu um incidente e esse incidente teve dados pessoais — a gente sabe que essa acaba sendo a regra —, aplica-se toda essa regulamentação acerca da LGPD, as obrigatoriedades, inclusive de manter, porque a LGPD vai dizer, e a resolução vai dizer que você precisa manter o registro dos incidentes, inclusive aqueles que não forem comunicados. (31:50) Então, esse é o paradigma. Então, sim, a LGPD precisa fazer parte da sua gestão de incidentes. Se não havia ainda um motivo para você lidar com gestão de incidentes, saiba que a lei manda que você faça isso agora. E o Hilton ainda comenta que algumas empresas nem sabem que tiveram um incidente e acabam sabendo antes pela mídia. Ou seja, a mídia comunica antes os incidentes. E aí entra uma coisa bem interessante, Hilton, que a gente já comentou в outros episódios aqui com relação a essa, que é também uma responsabilidade da mídia. Porque o que o pessoal quer é ter o… (32:28) …dar a notícia antes e ter clique, ter a galera acessando. Mas a gente acaba tendo, como é que vou dizer assim, muitas vezes, uma exaltação, quase que uma exaltação do atacante. Quando a gente vê essas matérias, os grupos de mídia. Tem alguns grupos aí que… porque o que acontece? A empresa… se coloque no lugar de quem sofreu um incidente. Pode até saber que aconteceu e estar lidando com a coisa ainda. Então, dificilmente está todo mundo preparado para tratar o incidente, Guilherme. Então… (33:10) …o pessoal entra, muitas vezes, em pânico. A equipe entra em pânico porque o pessoal fica naquela: “O que que eu vou dizer? O que que aconteceu?”. Dá uma tonteada, assim acontece. E aí, de repente, tu tens que lidar com uma mídia, com um site, com um jornal, etc., que entra em contato contigo dizendo que vai publicar uma matéria sobre o incidente que aconteceu contigo, do qual ele quer saber qual é a tua posição até tal hora, porque a matéria vai para o ar de qualquer jeito. Ou nem entra, às vezes. (33:53) O pessoal joga… Ou nem entra em contato, pode até acontecer. Mas o pessoal adora fazer aquela: “Até o momento da publicação desta matéria, não recebemos… a empresa X não se pronunciou”. “X”, está dizendo. Não é o X, Twitter. Não posso nem mais usar “X” agora. Azar do Elon Musk, que botou o nome de uma letra na empresa dele. Azar, não estou nem aí. A empresa X virou lugar-comum. Então, tem esse… imaginem esse processo de ter que se manifestar dando detalhes que tu nem sabes ainda exatamente o que aconteceu. Estás recém… (34:35) …levantando, tem que olhar com cuidado, porque às vezes tu olhas, achas que é uma coisa, aí tu investigas um pouco melhor, vês que foi outra. Então, de repente, tu te manifestares muito cedo também sobre as causas ou os detalhes de um ataque pode fazer com que dês informação incorreta. E, por outro lado, o atacante não tem escrúpulos nenhum de dizer o que quiser dizer para ser reconhecido ou de alguma forma assim. Então, ele não tem nenhum compromisso com o que ele vai dizer. Agora, já a empresa mentindo… pode até estar mentindo, cara. Pode até estar mentindo. E… (35:09) …aí a coisa complica para o lado da empresa. Porque, poxa, eu tenho que provar que tu não foste atacado? Exato. Prova. Provar que tu foste atacado até é possível, com exposição de dados e tal. Provar que tu não foste atacado é uma coisa um tanto complicada. O Lucas Silva acaba de nos mandar um salve. Uma boa tarde, Lucas, seja muito bem-vindo, cara. Valeu por estar com a gente aí na… Obrigado, cara. Na live da gravação desse Episódio 379. 378, Vinícius? Agora não lembro mais. Sim, sim. Lembrando que nós estamos num dia de trabalho à tarde, que também… (35:57) …sempre é bom contar com o esforço. A gente sabe que o horário não é o melhor, mas assim… 379, perdão. 379. Ah, viu? A gente sabe agora. Já que tu puxaste essa, a gente sabe que o horário não é o melhor, a gente sabe que não é, mas é o horário que a gente consegue fazer com certa tranquilidade isso aqui. Então, buenas, vamos para a próxima, Guilherme. Vamos. A próxima é a número cinco. A número cinco: treine funcionários para reconhecer e tratar incidentes. Isso aqui se vincula com aquilo que eu não quis adiantar muito lá na número um, que o Guilherme comentou, que foi: tenha em mente que incidentes irão ocorrer. Se você está nos ouvindo desde o começo, eu comentei lá que, às vezes… (36:37) …o pessoal acha que não aconteceu nada porque não reconheceu a existência do incidente. E não é que não reconheceu por uma vontade. Muitas vezes, o pessoal не entende que aquilo é um incidente de segurança. Então, eu vou dar um exemplo aqui que a gente já viu mais de uma vez, em mais de uma situação, em que você tem, por exemplo, um ambiente de teste de uma determinada aplicação. Esse ambiente de teste, ele não tem nenhuma vinculação com o ambiente de produção, porém, como acontece em 100% dos casos, ele tem os dados de produção, ainda que… (37:15) …desatualizados, ainda que não seja do último dia, ele tem os dados de produção para que os testes possam ser feitos. E aí, de repente, esse ambiente de teste está com uma configuração mais relaxada de segurança e acaba permitindo que certos dados acabem sendo expostos. Então, o que acontece nesses casos? O pessoal acha que não aconteceu um incidente porque se trata do ambiente de produção. Mas isso é um incidente de segurança. Não importa que o ambiente é de teste, se os dados que saíram do ambiente de teste são dados do ambiente de… (38:02) …produção, ainda que dados que não estão atualizados. Você tem um incidente de segurança. E se esses dados forem dados pessoais, aí encaixa no que o Guilherme acabou de falar. O incidente de segurança com envolvimento de dados pessoais. Então, esse treinamento é importante porque, daqui a pouco, alguém не entende que um relatório impresso com a listagem de devedores, por exemplo, ou uma listagem num hospital, como eu vi certa vez, uma listagem de pacientes com HIV positivo grudado na parede… Exato. Sim. Tu achas que não, mas sim. (38:48) É verdade, a gente já comentou isso. Isso foi há muitos anos e eu comentei aqui no Segurança Legal num outro episódio. Então, assim, é um incidente de segurança. Tu não podes ter uma lista de pessoas HIV positivo grudadas num local com circulação pública. Como é que eu sei que era circulação pública? Porque era um ambiente que eu estava dentro, saca? Eu vi a lista. Então, não é algo… não é porque está no papel, na mídia física, que não é um incidente de segurança. Então, a gente tem vários aspectos, notem. Não é só o e-mail lá que o cara mandou sem querer para todo mundo com os dados… (39:20) …o cara expor esses dados na parede, num ambiente fisicamente pouco controlado, é um incidente de segurança também. E esse aí é grave, Guilherme, porque esse aí acaba envolvendo dados pessoais sensíveis, esse que eu comentei, porque é dado de saúde. Então, é algo bem delicado. Eu vou… eu estou com uma tosse horrível, estou conseguindo, segurei até agora sem nenhuma crise. Eu estou sentindo a crise vir, então vocês fiquem com o Guilherme, que eu já volto. Ponha só o meu vídeo aí. O Guilherme vai me ouvir tossindo, mas vocês não vão. O que eu… (39:56) …ia dizer é que, justamente, cada uma dessas recomendações daria um episódio autônomo. O problema e a questão do treinamento, ela também é colocada como uma boa prática, sobretudo pelas regras lá dos agentes de tratamento de pequeno porte. Então, se é indicado para o pequeno porte e você é mais do que pequeno porte e não tem, preocupe-se muito. Porque aquilo é o baseline que a ANPD está dizendo que deve ser. Então, o treinamento de segurança de maneira geral e a própria questão de treinamento para reconhecer ameaças, que seria… (40:32) …outra coisa aqui. Essa perspectiva aqui é do sujeito comunicar internamente. Como nós temos… Desculpa, só antes de seguir, puxar um comentário do Hamilton aqui. Ele diz que vive batendo nisso, nessa questão dos dados de produção em ambiente de homologação. Ele cita: “Vivo batendo nisso, ambiente de homologação não fica exposto para a internet”, diz ele. E, de fato, cara. E mesmo não ficando exposto para a internet, tem que cuidar, porque às vezes tu tens esse ambiente não está exposto para a internet, mas está acessível para as pessoas, para os funcionários. (41:08) Tu tens gente trabalhando remotamente, daqui a pouco o pessoal está baixando esses dados e, a partir daí, tu perdes o controle. Então, esse é um outro ponto, Guilherme. Quando a gente fala de prestar um serviço em segurança da informação, a empresa que presta esse serviço, como a Brown Pipe, por exemplo, ela tem que ser muito séria no sentido dos cuidados que ela toma com os dados que ela, eventualmente, obtém acesso no curso do seu trabalho, na execução das suas atividades. Porque, senão, tu podes ter um incidente de segurança lá no terceiro, que de repente teve acesso às informações de homologação e acabou expondo. (41:47) Então, isso é bastante delicado. Agora, vai lá. E eu expandiria também os treinamentos para outras partes que, eventualmente, se relacionam com os teus ambientes. Os ambientes podem ser muito diferentes. E nós temos um cliente em especial que tem muitas outras empresas se conectando aos serviços dele, o que demanda um cuidado maior sobre o treinamento dessas centenas ou milhares de pessoas que, eventualmente, podem adotar práticas inadequadas. Então, você tem o treinamento para evitar incidentes, você tem o treinamento para reportar incidentes, que é… (42:23) …mais isso que a gente está falando. Então, passa a ser importante você, inclusive, conscientizar os seus usuários sobre o que é um incidente. Porque, repito, a gente tende a achar que incidente é um cara que invadiu, ou ransomware, que também é um incidente gravíssimo. Mas, e a gente faz um acompanhamento semanal aqui de decisões da União Europeia até para municiar aqui possíveis recomendações e tal, para… como a questão de tratamento de dados se dá em outros lugares do mundo. E uma das multas de autoridades estrangeiras que sempre… (42:56) …ocorre são pessoas perdendo notebooks ou computadores que не estão criptografados. Teve um que foi muito engraçado: o sujeito, ele manda o notebook dentro de um pacote, não criptografado. O pendrive estava criptografado, só que ele mandou a senha junto com o mesmo pacote. Não adiantou nada. Foi multado por conta dessa não separação de canais. Então, a questão é essa. E esses treinamentos, eles devem ser repetidos e adequados. E uma coisa: a gente sabe que um dos nossos valores aqui enquanto empresa é empatia, solidariedade e… (43:37) …empatia. Eu estava relendo ontem os nossos materiais aqui. Nós também temos que nos colocar no lugar das outras pessoas que, eventualmente, estão tendo que passar por treinamentos que não são da área delas, que elas não entendem o porquê estão fazendo aquilo. Então, nós, enquanto profissionais dessa área, também temos que nos colocar nos sapatos dos outros, no sentido de ter também essa empatia, essa solidariedade. Porque, às vezes, a forma como o treinamento é realizado não ajuda, viu, pessoal? Pode piorar a situação. Mas, enfim, fecha parênteses aqui. Vamos… (44:08) …para a próxima, Vinícius. Bora, bora, bora lá. Bom, a sexta, então: monitore alertas e comunicados de entidades externas relevantes, como clientes, fornecedores, parceiros e órgãos reguladores. Na verdade, são várias coisas, mas eu queria destacar, já te passo a palavra, que é uma questão que está ligada com a quinta. Na verdade, tudo isso está ligado, faz parte de um assunto só. Mas se tiver algum que não está, a gente errou, é um problema, botou errado. Porque o que acontece? É muitíssimo comum, ou seja, se há um problema, os teus funcionários… (44:48) …não estarem treinados para te reportar. E aí também tem a ligação com a política, ou seja, eles precisam saber como reportar. Você precisa também, naquela política lá, prever quais vão ser os canais. Nós também precisamos ter… as organizações também precisam se acostumar — e isso eu acho impressionante, a gente é da área, a gente entende a seriedade disso, mas eu acho impressionante como as empresas se negam, às vezes com comportamentos deliberados mesmo, a lidar com comunicados feitos por partes externas. Porque uma coisa é você acompanhar comunicados… (45:24) …de entidades relevantes, ouvir o Segurança Legal para saber o que está acontecendo, seguir, claro, e ver ameaças pelo mundo, acompanhar novos CVEs, acompanhar zero-days. Ou seja, você tem que ficar antenado. Mas também você precisa olhar para aquilo que o mundo externo está te comunicando ativamente. É muito comum que a gente tente… gravamos um episódio sobre isso, inclusive, sobre comunicações de vulnerabilidade. O número… porque é comum que você comunique a empresa e a empresa не faça nada. Então, conectando tudo isso, a tua política… (46:01) …que a gente comentou lá antes, ela deve prever mecanismos e canais para que você consiga tratar rápida e adequadamente comunicados realizados por partes externas, inclusive qualquer usuário da internet, qualquer pessoa que, eventualmente: “Olha, eu sou usuário do teu serviço aqui, notei uma vulnerabilidade, notei uma situação…”. Aconteceu. Claro, você vai ter que filtrar, você vai ter que lidar, eventualmente, com… mas assim, é uma fonte riquíssima de situações. E mesmo que entre ali, sei lá, num ano, dois ou três comunicados úteis, se aquilo evitar que você passe pelos… (46:40) …efeitos de um incidente grave, já valeu a pena. Então, essa é a recomendação aqui. E aqui a gente tem o episódio 50, Guilherme. Acabei de compartilhar o link para quem está no YouTube. Ah, não, eu não vi aqui, cara. Eu não vi. Pera que eu vejo. Vai falando que eu vejo aqui. Mas é 50 e 2014. A gente gravou esse episódio falando justamente disso. A gente citou duas situações lá que a gente entrou em contato para gravar o episódio. Então, nós catamos dois lugares com problemas de segurança e comunicamos o problema para os dois. (47:16) E que fique bem claro, isso é uma coisa bem importante. A gente fez isso… eu fiz como pessoa física. Eu não mandei e-mail com Brown Pipe, coisa parecida, para justamente não parecer aquela história de quebrar a janela para oferecer vidraça nova. “Já viu como dá para quebrar tua janela? Então, aqui está a vidraça”. E estou vendendo grade. Isso não se faz. Oferecemos o serviço, só avisamos, sem nenhum compromisso. Então, a gente entrou em contato com eles como pessoa física, como se fosse um cliente das duas empresas. E uma delas foi bem legal, eles corrigiram o problema. (47:48) E a outra… a gente não conseguiu. Lembro que a gente apanhou para caramba, a gente não conseguiu comunicar. E teve um, ao longo desses anos, eu não sei se foi antes ou depois desse episódio, Guilherme… ah, foi em 2014, só para… 2014. Teve uma situação aí de um, com um banco, que uma pessoa entrou em contato com o banco, inclusive ouvinte nosso, não sei se tu lembras disso, e falou do que tinha acontecido e pediu assim: “Olha, eu tentei comunicar, tentei conversar…”. E os caras entraram numa de ser agressivos comigo, entende? “O que que tu fizeste?” (48:26) “Como sabia? Como é que ele sabia?”. Então, assim, poxa, o cara está entrando em contato… Nunca mais esse cara vai ligar para essa empresa avisando de um problema que ele percebeu na internet. Nunca mais. Porque, cara, ele não vai correr o risco. E eu, sabendo disso, eu também não vou fazer, entende? Se eu soubesse, um dia, “cara, vou ficar quieto, esses caras reagem mal para caramba quando dá um problema”. Então, isso aqui se vincula, Guilherme, acho que esses dois itens, aquela… acho que, como tu disseste, essa coisa de entender esses comunicados e os funcionários treinados para reconhecer… (48:56) …esses comunicados e agir de forma adequada é muito importante. Porque, às vezes, o cara na ponta, o que primeiro atende, não sabe o que dizer. Aí, às vezes, morre ali, que foi o que aconteceu no caso do episódio 50. Numa das, a gente não conseguiu chegar no pessoal da TI. E, às vezes, pode ser que a pessoa não saiba o que fazer, ela consegue passar para alguém da TI, e o cara da TI, que seja o cara da segurança ou do sistema, da infra, etc., alguém, o gerente da área, o diretor de área, etc., reage daquele jeito, assim: como não sabe como reagir, parte para cima… (49:33) …do cara que está comunicando. Ou como um outro banco fez uns anos atrás: desafia o atacante a fazer de novo. “Não, não aconteceu nada, eu desafio ele a fazer de novo”. E o cara, no dia seguinte, deu mais comprovação de que tinha invadido de novo. E o banco teve que tirar o home banking do ar. Então, assim, a forma de reconhecer essas comunicações e de reagir a isso vai além só da questão técnica, gente. Acho que, no fim das contas, essa relação com o mundo exterior, com o teu cliente que te comunica, ela é extremamente importante. Vamos adiante. (50:11) Bom, a sete. Bora. Seja transparente, comunique incidentes a partes interessadas de forma adequada e em tempo hábil. Era também uma questão que o Hamilton colocou antes. E também muito comum, aqui no Brasil e em outros lugares também, é necessário dizer, mas aqui no Brasil também é bastante comum que as organizações achem que elas vão conseguir esconder o incidente, sobretudo quando elas, de fato, tomaram consciência técnica, ou seja, que elas têm informações adequadas, informações sérias, corretas, de que o incidente efetivamente… (50:55) …ocorreu. Hoje, no estado de governança, no estado de conformidade que nós vivemos hoje, sobretudo por LGPD e, mais para o ambiente financeiro, eu posso me referir que é uma área que a gente atua também, ou seja, instituições financeiras, não há mais espaço para você se omitir no âmbito da comunicação. Porque a gente tem que entender, e as empresas sabem muito bem disso, que a ocorrência de um incidente, ela é quase sempre uma demonstração de que algo errado aconteceu. Sim. E, claro, tem incidentes que dá para se dizer que são inevitáveis, tem riscos… (51:37) …que são incontroláveis. Tem as próprias questões envolvendo a própria enchente aqui no Rio Grande do Sul, que já modificaram o próprio cenário de riscos físicos. Diga, Vinícius. Porém, sobre o ocorrido aqui no Rio Grande do Sul, a gente chamou a atenção até para um site que tem, não lembro agora o nome do site, que tem esses riscos mapeados, as áreas de… Ministério da Infraestrutura, eu acho. Sim, eu não lembro. Tem que olhar. A gente gravou um episódio sobre essas ocorrências e a gente citou esse, inclusive deu o link lá do site… (52:16) …e tal, que mostrava que esses riscos de alagamento nas regiões em que eles aconteceram, principalmente na região metropolitana, eles já tinham sido mapeados, e o risco não era baixo, era alto. Então, assim, não dá para… ali na… como é que é o nome daquela rua ali junto, bem no centro de Porto Alegre, junto ao cais, que tem os armazéns? Sim, sim, mas segue. Mauá. Na Mauá, não dá para tu pegares e montares um escritório junto da Mauá, botar teus computadores todos no térreo, teus servidores todos no térreo, tua infraestrutura toda… (52:57) …no térreo, e dizer: “Ah, não, nunca vai acontecer nada”. Sendo que tem risco mapeado para vermelho, de que é alta a possibilidade de enchente, de alargamento. Então, não é exatamente uma surpresa. Não é uma situação de negligência. Mas por que muitas empresas resistem? Porque comunicar o incidente vai ser a admissão, de alguma forma, de que algo errado ocorreu. E, muitas vezes, é bastante comum, inclusive, que a empresa comunique o incidente, mas não comunique o que ocorreu. E há um espaço aí para o grande público, eu reconheço… (53:36) …isso, para você, sim, reservar certas informações. Porque se você der todos os detalhes do incidente, você pode estar se expondo a outras ameaças que poderiam, levando em consideração essa informação que, muitas vezes, é sigilosa. Mas veja que a própria ocorrência do incidente, não há mais espaço para que você o mantenha escondido. Até porque, a LGPD, mais uma vez, incidentes que envolvem dados pessoais, eles devem ser, não só registrados internamente, mas se houver, diz o próprio artigo 48, que eu já tinha falado antes aqui, ou seja, incidentes… (54:17) …que possam acarretar risco ou dano relevante aos titulares devem ser comunicados em tempo hábil, três dias úteis, para a autoridade nacional e para os próprios titulares, para que eles possam, eventualmente, tomar medidas de proteção. Então, quando você deixa de comunicar, e você, inclusive, deixa de comunicar ao mundo externo e à própria autoridade, você está se colocando numa posição de fragilidade jurídica muito grande e de desconformidade. Porque se alguém anunciar, isso vai ser pior, porque você vai ter que dar explicações do porquê você não… (54:53) …comunicou. Inclusive, mais sobre os prazos: se você não conseguir cumprir o prazo, você precisa dar informações qualificadas sobre por que aquele prazo não foi cumprido. Aí você vai dizer: “Ah, mas a autoridade ainda не ofereceu grandes multas”. Olha, gente, a gente consegue, tem sistemas abertos de informação aberta da ANPD. Estão sendo diariamente comunicados diversos incidentes para a autoridade, e a autoridade está tomando medidas. Isso é público. Você entra lá no site da ANPD, você consegue ver… (55:32) …essas informações. É público. Inclusive, foi uma das respostas da ANPD ao aumento da publicidade de suas ações. Então, vejam, as coisas estão acontecendo. E eu ligo lá com o dois: quem investe na preparação é mais econômico. Eles, esses aqui, estão íntimos. Ou seja, не esconda, que pode ser pior. Tu acabaste respondendo já a pergunta que o Hamilton fez. O Hamilton fez um batalhão de perguntas aqui agora. Vou pegar a penúltima dele aqui: “Aqui mesmo no podcast, sempre comentamos que a comunicação interna e externa durante a gestão do incidente é crucial”. (56:06) “Podem dar umas dicas para minimizar o estrago de uma comunicação evasiva?”. Aquela história de: “Ah, não aconteceu nada”. Aí vem, “não teve nenhum problema”. Aí vem algo e desmente que teve. Acho que tu já respondeste essa questão, Guilherme. E, de fato, tem essa calibragem do quanto tu vais abrir quando acontece o incidente. Ela tem que ser muito bem feita, tem que ser muito bem estudada. Não é só uma questão técnica de TI, Guilherme, porque tu tens as regulações, LGPD, por exemplo. Tu vais ter que entrar em contato, eventualmente, com a ANPD. Mas tu também tens uma decisão a… (56:43) …ser tomada ali de até que ponto a gente vai abrir, que informações a gente vai dar, o que é necessário, claro, o que é ético, pesar isso com relação ao impacto que isso pode ter no negócio. Tem um monte de variáveis. Eu não estou dizendo, notem, eu não estou defendendo que o impacto no negócio é correto que se sobreponha à questão ética. Mas a gente sabe muito bem que, eventualmente, vai acontecer essa discussão. A discussão não cabe, muitas vezes, a uma decisão da TI. É algo mais estratégico da empresa mesmo. (57:31) Envolve o DPO e, às vezes, pode ficar fora da demanda do DPO. O DPO pode dizer: “Ó, vocês deveriam fazer tal coisa”. Estou comunicando. Nota, Vinícius, que a estratégia de comunicação está ligada a um planejamento realizado na montagem das políticas. Vão chegar incidentes que vão demandar algum tipo de comunicação, e as suas políticas devem estar adequadamente preparadas sobre quando escalar, como escalar e os rumos, inclusive critérios. O que nós faríamos seria isso: você vai colocar critérios a serem tomados nas… (58:12) …decisões de comunicações. Tecnicamente falando, para a ANPD, só para concluir, para a ANPD você não pode esconder. Para ela, você vai ter que dar tudo que ela pedir. Para o público externo, eventualmente, alguns detalhes você vai poder omitir, mas não a própria inexistência. Mas aí tu percebes que, eu acho que o caso concreto, a situação do caso concreto, vai se impor. E, sim, o correto é avisar a ANPD. Mas eu não posso também ignorar o fato de que talvez as empresas vão modular isso, até que ponto… Entende? “Eu acho que eu vou… (58:48) …correr o risco de não comunicar e vou deixar quieto para não me expor”. A gente não está, de jeito nenhum, recomendando isso. Longe da gente. É pior. Então, assim, é bem delicado. O Hugo faz um questionamento aqui, Guilherme, que eu vou juntar com uma do Hamilton aqui. O Hugo escreve o seguinte: “O time de resposta técnica, idealmente, é diferente do time de comunicação. Infelizmente, nem todas as empresas podem ter essa especialização de tarefas”. Sim. E o outro comentário do Hamilton aqui: “Sei que hoje temos times enxutos na defesa, e o time de resposta a incidentes costuma ser o mesmo… (59:24) …Uma organização deve lidar com ameaças…”. Ele puxa uma outra coisinha aqui, um pouco mais longa. Mas, pegando aqui essa questão dos times diferentes. Resposta a incidentes, gente, envolve todo mundo na empresa. Não é coisa só para o pessoal da TI, não é só para o time de respostas a incidentes. Ela envolve toda a organização. Quem tem que puxar isso é o time de respostas a incidentes. A questão dos treinamentos, a questão das políticas… (1:00:00) …garantir que todo mundo está entendendo tudo direitinho, estabelecer uma cultura de resposta a incidentes e tudo mais. Agora, a atuação no incidente, desde a detecção do incidente, o tratamento, acaba envolvendo, sim, toda a equipe. E essa questão da comunicação, eu diria que mesmo uma empresa que не tenha uma equipe completamente separada só para a comunicação, tem que ter, no mínimo, na política de respostas a incidentes, uma atribuição de quem vai coordenar essa comunicação. Porque a pior coisa que tu podes ter é um… (1:00:38) …monte de gente dando respostas diferentes para atores externos diferentes. Falar uma coisa para a ANPD, falar outra coisa, de repente, para um site que te questiona se aconteceu ou algo assim, ou uma coisa que tu falas para um parceiro de negócio. Então, tem que tomar… é bom centralizar isso. Eu vou ter que tossir aqui, Guilherme. Lê a próxima, que eu comento. Só deixa eu tossir. Leremos, então, a próxima. Desenvolva planos de contingência para indisponibilidades, incluindo aquelas relacionadas a serviços de nuvem. Claro que aqui a gente adentra… (1:01:15) …um pouquinho em contingência e talvez gestão de continuidade, mas é inevitável ultrapassar talvez um pouquinho esse… Não é que… é o seguinte: não existe resposta a incidentes só dizendo que tem que responder ao incidente em quanto tempo. Tu tens que saber o que tu vais fazer quando vais responder ao incidente. Então, depende da natureza do incidente, tu vais ter que acionar certos procedimentos, tu vais ter que acionar certos planos de contingência, dependendo do… Tu podes ter desde um incidente que envolve um e-mail que vazou, passou no teu DLP lá… (1:01:49) …de pessoas que estão envolvidas ali com as suas operações. Até alguém, de repente, que não usou segundo fator de autenticação na console administrativa da tua nuvem. Tu não usaste uma senha forte, tu não usaste um token físico para proteger o acesso à tua conta, e alguém abusou de um acesso, obteve acesso e saiu destruindo todos os teus servidores, tua infra lá na nuvem. Então, o que tu fazes? Onde é que tu vais buscar informação de como tu deves reagir nesses momentos? Então, não adianta só ter essa política de resposta a incidentes se… (1:02:34) …tu não tiveres os teus planos de contingência, teus manuais operacionais do que fazer. Como é que eu recupero um backup? “Ah, eu не lembro, tenho que perguntar para o Guilherme, que é quem faz o backup, que está de férias”. Está de férias. Ou nem está de férias. E o Guilherme: “Cara, como é que a gente faz para recuperar aqui? Cara, a gente… quanto tempo leva para recuperar esse negócio?”. E o Guilherme vai dizer: “Cara, não sei. A gente está levando umas horas para fazer um backup incremental, mas eu não tenho ideia de quanto tempo vou levar para recuperar isso, nem o espaço total que eu vou precisar. Deixa eu ver”. Então, assim, poxa, são procedimentos, são coisas… (1:03:10) …que já deveriam estar muito bem estabelecidas para, quando chegar no pior momento, tu conseguires saber o que fazer. Porque a pior coisa que pode acontecer, Guilherme, é no momento de estresse tu teres que montar os teus procedimentos de cabeça. É a pior bucha, como a gente pode falar. A chance de tu cometeres erros é bastante razoável. E nós já passamos por isso. Nós dois já trabalhamos de forma bem mais operacional, 24×7, inclusive, em alguns clientes há alguns anos. E a gente sabe muito bem qual é a sensação de tu estares no meio… (1:03:45) …de um fogaréu, tentando encontrar o problema, ver o que aconteceu. E nós estamos falando de infra, nem estamos falando de ataque propriamente dito. Mas entender o que aconteceu para tentar restaurar as coisas ao seu estado anterior, ao seu estado normal de funcionamento, ou minimamente próximo do estado normal de funcionamento. E o estresse pega, не tem jeito, ainda mais quando tu ficas horas em cima de uma situação. Então, ter as coisas bem escritas, te dizendo o que fazer, o passo a passo, é muito bom, é muito interessante. E aí, se tu me permites, Vinícius, rapidinho… (1:04:22) …te interrompendo. Isso também fica ligado ao treinamento. É uma das coisas, inclusive, que a gente colocou no nosso guia. Atividades de resposta a incidentes, a depender do nível, do grau de criticidade do incidente, vão ser situações de intenso estresse para todos os envolvidos. Então, treinamentos e até situações em que você faz simulações podem ser úteis. Ligando lá com o treinamento também. Mas, em outros, até você pode precisar, sim, ter todas essas políticas e todos esses procedimentos impressos, porque você não sabe… você pode… (1:05:01) …precisar desse negócio impresso. E pode não ter onde tirar. Então, sei lá, dependendo do incidente, você… Então, acho que se liga um pouco ao que você colocou aí, Guilherme. Deixa eu… um exemplo muito singelo que eu uso na minha estrutura do meu lar, que está aqui, meu lar. Está aqui, minhas cópias físicas das coisas. Eu tenho aqui o Ventoy, para quem não conhece, é bem interessante. Ventoy, com Y. Não vai aparecer, ele vai cortar. Não, ele aparece. Ventoy, bem interessante. Tem um monte de imagem… (1Š:05:38) …de Windows, Linux e tudo mais para botar aqui em caso de emergência. E, o mais importante, eu tenho os mapas da minha rede, que é um pouco complexa aqui, por incrível que pareça. Eu tenho switch redundante, tenho um monte de coisa redundante aqui, VLAN, tem um monte de coisa aqui. E aí eu tenho um pendrive, que é o disaster recovery. Nele, eu tenho todo o meu mapa, meus mapas em PDF, as cópias das configurações de tudo que eu preciso. E olha, é uma coisa simples, é uma coisa minha, pessoal. Está criptografado, óbvio, claro. Sem dúvida, tem senhas, tem tudo aqui dentro. Então… (1:06:19) …se der algum problema qualquer, eu não preciso sair catando os documentos na internet, onde é que eles estão e tal. Eu vou direto aqui, eu coloco o pendrive, abro, vejo os documentos, está beleza. E olha que eu tenho a rede praticamente na cabeça, ainda assim é importante ter ela acessível aqui. Não tem papel, mas numa mídia offline aqui, que eu posso acessar a qualquer momento. A nona seria: registre adequadamente todos os incidentes e aprenda com eles. E aqui eu estou puxando um pouco a brasa para o meu assado aqui, da área da LGPD, Vinícius. Porque veja, a… (1:07:00) …resolução que hoje nós temos, o regulamento de comunicação de incidentes… eu já comentei antes, ele sugere… não, ele demanda, ele ordena, ele obriga, você impõe. Tem que ficar botando para reforçar. Exige que você mantenha todos os incidentes registrados, mesmo aqueles que não foram comunicados. Isso aí eu comentei antes na parte da política, que é a terceira recomendação, que é muito importante que você faça o registro desses incidentes. E a política deve colocar quais… (1:07:46) …são os critérios que você vai utilizar para classificá-los. E esses critérios podem variar de organização para organização. Mas hoje, um dos critérios é: envolveu dados pessoais ou não envolveu dados pessoais? Porque a própria atuação posterior, se envolver dados pessoais, logicamente vai trazer para a gestão desse incidente o encarregado. O encarregado tem essa obrigação também de participar dos incidentes. Então, isso tudo deve ficar registrado. Você deve estar apto a, a qualquer momento, poder conseguir demonstrar ou explicar e demonstrar como aqueles incidentes estão sendo tratados. Não só por conta da ANPD, que é importante, sim. O que… você vai ter que cumprir a regra que provém da lei, então você vai ter que cumprir. Mas não só por isso. Você pode ser demandado a fazer essas demonstrações por parceiros de negócio, por outras autoridades reguladoras, seja no ambiente financeiro, instituições financeiras. Mas pensem que, eventualmente, você pode, inclusive, ser processado e ter que dar demonstrações de que você conduz um certo tipo de operação técnica na área de… (1:09:01) …segurança da informação e que você consegue comprovar como tal coisa está sendo realizada. Então, é por isso que o registro adequado é importante para essas situações de proteção e de atendimento a regras legais, de conformidade para outras entidades reguladoras. Mas acho que tem esse outro elemento também, que é muito deixado para trás: aprenda com os incidentes. O que… e aí o Vinícius talvez possa falar também um pouco mais, mas assim, de que adianta você resolver um incidente que teve como causa raiz uma vulnerabilidade e não resolver… (1:09:38) …aquela vulnerabilidade? Então, a fase posterior, depois que você conseguiu reconstituir o ambiente ao seu estado original, seu estado normal, desativou lá as medidas de contingência, “bom, está tudo funcionando direitinho”. E agora, o que eu faço para que isso não aconteça mais? Acho que esse é o paradigma dessa nona recomendação. E nota que isso é até relativamente fácil, até acontece. A questão de uma certa ocorrência de uma vulnerabilidade ser corrigida quando gera um incidente, isso é até relativamente comum. Agora, o que fica, o buraco que fica… (1:10:20) …pela falta desse aprendizado é tu repetires aquela vulnerabilidade. Aquela vulnerabilidade no teu ambiente, ela pode ter origem na falta de conhecimento de operação de um determinado equipamento ou de uma determinada configuração de serviços, uma falta de entendimento de como funciona um determinado protocolo. Ela pode estar relacionada ao desenvolvimento. Então, quem desenvolve, OK, corrige aquela vulnerabilidade, mas não entendeu qual é a origem daquela vulnerabilidade. Ou seja, que tipo de decisão de arquitetura de software ou decisão na… (11:11:02) …hora de desenvolver que gerou aquele incidente. E aí, fazendo um jabá aqui para a Brown Pipe, Guilherme, quando a gente faz os nossos relatórios de vulnerabilidade, que a gente faz um pentest, por exemplo, agora puxando a brasa para o meu assado, a gente sempre coloca um monte de informação que vai para além da correção, além da necessidade de correção, para garantir que seja entendida a origem do problema, o tipo de decisão ou o tipo de padrão de desenvolvimento que gerou a ocorrência daquela vulnerabilidade, para que não aconteça mais a inserção de novas vulnerabilidades semelhantes… (1:11:42) …àquela ou da mesma natureza daquela que foi corrigida. Então, isso é bem comum, isso é bastante comum. Então, realmente, é uma boa fonte de economia ou de perda de dinheiro para a empresa, para a organização, você aprender ou deixar de aprender com os incidentes que já ocorreram. No momento em que acontece um incidente ou que você sofre um pentest, encontra os problemas, você gastou, investiu naquilo. Se a tua equipe não aprende com aquilo ali, ou se tiver uma rotação muito… um turnover muito grande na… (1:12:23) …equipe, e o pessoal que vai chegando novo não vai sendo preparado dentro daquela experiência que já foi acumulada, vai acontecer de novo. E tu vais ter que investir de novo e vais ter que gastar de novo com os mesmos problemas. Gasta por causa de outros problemas, mas não por causa dos mesmos problemas. Aí, realmente, tu vais estar perdendo dinheiro. Certo. Então, a décima e última. Só o Hugo aqui mandou uma mensagem no chat dizendo: “Incidente tem que indicar ações corretivas para que não aconteça novamente. Beleza. E com o prazo… (1:13:02) …estipulado de acordo com o grau de complexidade para correção”. Exatamente. Prazo é outra coisa. Outra coisa importante é a questão, Hugo, de que você pode também, seja de forma voluntária, ou porque eventualmente um gestor vai achar que aquilo não é importante, ou porque as equipes acabaram deixando de dar cumprimento às políticas de gestão de incidentes, e a gestão também entende que isso não é importante, a coisa acaba ficando para trás. Às vezes, até por conta de outras demandas que a equipe tem. Isso é bastante comum para quem atua com segurança. (1:13:40) Inclusive, aquele documento da ISACA coloca isso: falta de tempo é algo que, infelizmente, atinge muito. São atividades… às vezes, trabalhar com segurança é complicado também porque, às vezes, é difícil de planejar muito bem o teu trabalho, a depender das circunstâncias. É difícil de você computar, inclusive, os tempos necessários, ou ocorrem muitos imprevistos com segurança. Então, me parece que é um pouco também da atividade essa questão do tempo, infelizmente. Claro, tem formas de organizar e tudo mais. Por falar em tempo, Guilherme… você precisa… vamos… (1t:14:13) …para a última. E aí eu vou deixar a décima e última para que você comente, Vinícius, que é: como atividade preventiva, considere testes de invasão e auditorias. “Como assim? Mas a gente não está falando de gestão de incidentes nem de jabá da Brown Pipe?”. A gente está falando das duas coisas: de incidentes e também do jabá da Brown Pipe. Mas não somente por conta do jabá, porque a gente entende que é importante. É óbvio que vai ser importante aqui. Tem tantas outras empresas que você pode contratar… (1:14:51) …no lugar da Brown Pipe. Eu não recomendo, mas, enfim. Testes de invasão e auditorias de segurança, de maneira geral, eles ajudam a te dar uma consciência de qual o teu estado, como tu estás, como teus sistemas estão. “Ah, mas o pentest vai dizer quais são as vulnerabilidades que tu tens”. Se ele se resumir a isso, ele não é um bom pentest. Um bom pentest, ele vai além de te indicar as vulnerabilidades, ele vai te dar uma visão de como está a qualidade do teu desenvolvimento, ou do desenvolvimento do terceiro que tu estás contratando para fazer uma aplicação para ti. Porque não adianta só encontrar as vulnerabilidades que existem hoje, corrigi-las e pronto. (1:15:35) Adianta, é bom fazer. Mas se tu só fazes isso e percebes que, de repente, “Olha, a natureza das vulnerabilidades que estão sendo encontradas aqui indica um time que não está maduro com relação à segurança”, algumas vezes até com relação ao próprio desenvolvimento. Assim, quando tem erros ou situações muito, muito básicas dentro de um sistema, tu percebes que é falta de experiência, que tem que se consolidar melhor a equipe. Então, se tu não tens essa visão, se tu não entendes isso, não tens esse feedback e não o utilizas, consequentemente, para ajustar a equipe… (1:16:09) …tu vais ter problema de novo. Então, sim, tem que consertar o pneu furado para a gente não estragar a roda do carro. Mas não adianta tu consertares o pneu furado e continuares andando na mesma estrada cheia de “miguelitos”. Vai furar de novo. Entende? Não adianta, estás indo por um caminho que não é bom, vai furar novamente. Então, é necessário realmente fazer bom uso desses recursos, como pentest e auditoria, para justamente evitar que os problemas, as eventuais vulnerabilidades que existem no sistema ou no teu ambiente como um todo, acabem dando origem ao incidente de segurança que vai ter que disparar todo o teu plano de resposta a incidentes, teus planos de contingência, eventualmente comunicação com a ANPD. Você percebe que, às vezes… não, aquilo que o Guilherme colocou lá no início: “Tenha em mente que incidentes irão ocorrer” e “Investir na preparação para incidentes”. OK, ajuda. Mas se você não… por que deixar o incidente chegar ali? Dá para investir um pouco mais antes, claro, para não ter que acionar o teu plano de resposta a incidentes, para não ter que acionar o teu plano de contingência, que é o mundo ideal. E aí, de novo… (1:17:29) …a segurança como atributo negativo. A gente só consegue mostrar quando ela só aparece mesmo quando falha. Porque se tudo isso aqui andar direitinho… para tu não esqueceres o teu plano de resposta a incidentes, que aí entra lá no item cinco, de treinar e tal. Aquele treinamento tem que manter isso vivo, ativo ao longo do ano. Senão, na hora que tiver que acionar… “não treinei”. Passa um ano, não aconteceu incidente nenhum, aí tu tens que acionar, ninguém sabe nem por onde começar. Então, se não acontecer nada… a gente torce… (1:18:05) …para que não aconteça. Você investe na prevenção, faz pentest, faz auditoria, ajusta. E tem que ajustar, preparar os planos de contingência, preparar o de resposta a incidentes. Se der tudo certo, não vai ser necessário acontecer nada. Não vai acontecer nada? Não. Mas esse é o ponto. Tudo certo. Essa é uma das grandes dificuldades desse tipo de atuação que envolve, mais nessa… quando você, preventivamente, deve evitar certas coisas. Eu gosto do exemplo da saúde. É comum, você também… acontece com a sua saúde. (1Š:18:44) Se você fizer tudo certo, você vai estar vivo. Sim. Aí vem aquela coisa: “Ah, esse negócio… eu fiquei cuidando, nunca comi carne com gordura, não sei o quê, e nunca tive nada. Eu sempre lavo as mãos, mas quer saber? Olha, nunca aconteceu, então vou parar de lavar as mãos, não está adiantando. Eu lavo as mãos e não acontece nada”. Mas é um pouco uma brincadeira para, repito mais uma vez, esse artigo que é bem interessante do Schneier, “Psychology of Security”, que lida um pouco sobre como as nossas… (1:19:18) …ou como nós reagimos a riscos de maneira geral. Ele avalia, inclusive, aquelas situações sobre “por que as pessoas têm mais medo de andar de avião do que de andar de carro?”, embora o risco de você sofrer um acidente de carro seja muito maior do que de avião. Brutalmente maior, muito maior. Então, essas observações da área, um pouco da economia comportamental, também entram aqui nessas nossas avaliações, Guilherme, no final. Diga. Tem um comentário aqui do Hugo, justamente… (1Š:19:54) …sobre a questão do treinamento recorrente. Ele fala: “Vocês mencionaram as simulações. Fazemos isso no trabalho e ajudam bastante”. Claro, olha só. Mas se tu não fizeres simulação e não tiver incidente, meu Deus do céu, já era. E ele coloca ainda: “Durante as simulações, você pode analisar se os treinamentos e as políticas estão a contento”. Obviamente, há uma limitação. Corretíssimo, Hugo. Porque quando tu simulas, tu vês como o pessoal se comporta. Se o comportamento não seguiu aquilo que o treinamento espera como resultado, ou a política não foi… (1:20:31) …o teu plano de resposta a incidentes não pode ser seguido porque, de repente, não existe mais um recurso, não existe um determinado ativo no ambiente… Opa, o plano está desatualizado, a gente tem que atualizar. É um negócio aqui que a gente não tem nem mais como fazer, porque não existe mais isso aqui. Então, a gente acaba… acaba sendo bem importante essas simulações. Bom, lembrando então, pessoal, já nos dirigindo aqui para o fim, essa foi a… a gente agradece ao pessoal que nos acompanhou durante essa gravação. (1:21:10) Essa live. Valeu a companhia do Hugo, do Hamilton, do Lucas também. Muito bom, pessoal, obrigado demais. A gente agradece demais. Lembrando que essa também é uma oportunidade desse guia que a gente lança aqui sobre gestão de incidentes, entre riscos e dados pessoais. Aí, depois, vai finalizar toda essa parte técnica, depois os links vão ficar todos disponíveis aqui. Se você estiver assistindo tanto no YouTube, quanto depois lá no feed ou pelo Spotify, você vai conseguir achar o link. Essas 10 recomendações que a gente trouxe, elas… (1:21:45) …estão lá no fim do documento, mas vocês encontrarão algumas das coisas que falamos de uma forma mais organizada. Se você quiser também refletir um pouco mais, é aquela coisa, a leitura também… você ouvir uma pessoa falando é uma coisa, mas você ler sobre aquilo te ajuda também a construir o conhecimento de uma forma diferente. Então, fica essa nossa contribuição aí para o mercado da segurança. A gente espera que vocês gostem. Vinícius, quer falar aqui? Eu vou compartilhar… (1:22:10) …rapidamente aqui a visão do manual. Então, está aqui a capinha dele e tal. Você pode ver os tópicos que a gente colocou aqui dentro, o sumário dele: Introdução, Afinal, o que é um incidente de segurança?, a definição do que é, Por que sua empresa deve estar preparada para um incidente de segurança?, Qual o papel da LGPD na preparação para incidentes?, Como preparar uma empresa?, Participação do primeiro encontro de encarregados da ANPD que o Guilherme participou. Então, tem um link lá que é bastante interessante e, depois, um vídeo da apresentação. É um vídeo… (1:22:47) …um link para o vídeo. E tem, óbvio, a gente fez um, depois desse evento que teve na ANPD, a gente gravou um episódio sobre a tua participação lá, Guilherme, que a gente expandiu, inclusive, a discussão. Eu não sei se tu tens o número do episódio à mão aí. Sim, é bem fácil de achar aqui, eu já coloco ele aqui. Vamos ver aqui. Primeiro encontro de encarregados ANPD. Este aqui foi sobre… 371. Esse aqui foi sobre… deixa eu ver se a gente não gravou um outro. Não, é esse aqui mesmo. Ah, então vou compartilhar ali no YouTube o link… (1:23:31) …pro 371, que é esse episódio que a gente acabou de comentar. Então, está bom, pessoal, é isso aí. Muito bom tê-los aqui conosco ao vivo. Também agradecemos a todos aqueles e aquelas que nos acompanharam até aqui e nos encontraremos no próximo episódio do podcast Segurança Legal. Até a próxima. Até a próxima. A gente continua transmitindo aqui, Guilherme. Eu só vou… estão se despedindo do pessoal que está aqui. Valeu, abraço aqui no chat. E a gente vai encerrar a transmissão em 5, 4, 3, 2, 1. [Música]