Comunicar e treinar
Comunicar/treinar os colaboradores sobre a existência do Comitê de Segurança da Informação e Proteção de Dados, suas atribuições e como devem agir os colaboradores em caso de incidentes.
Gestão de Crise e Resposta a Incidentes
Plano de Resposta a Incidentes
Plano de Gestão de Crise e Resposta a Incidentes do CREF11/MS, com as ações que devem ser colocadas em prática diante de um incidente de segurança envolvendo dados pessoais.
Este Plano de Gestão de Crise e Resposta a Incidentes descreve as ações que devem ser colocadas em prática caso o Conselho Regional de Educação Física da 11ª Região Mato Grosso do Sul - CREF11 enfrente um incidente de segurança envolvendo dados pessoais. Portanto, trata-se de um documento essencial para que o Conselho esteja preparado para agir em um cenário adverso de incidente de segurança envolvendo dados pessoais e atender às exigências da Lei Geral de Proteção de Dados (LGPD).
Vale destacar que este é um documento interno, ao qual todos os colaboradores têm acesso.
02
Escopo / Alcance
O CREF11 elaborou este Plano de Resposta a Incidentes para fortalecer o compromisso que assumiu com a preservação da privacidade e da segurança de informações coletadas e tratadas em suas instalações, bem como para estar preparada para enfrentar qualquer tipo de incidente de segurança envolvendo dados pessoais.
As ações descritas neste Plano contemplam todo o tratamento de dados pessoais coletados pela CREF11 de forma direta ou indireta, física ou eletrônica. Além disso, abrangem todos os indivíduos que de alguma forma cederam seus dados ao CREF11, como candidatos a vagas de emprego, colaboradores, profissionais registrados, fornecedores, parceiros comerciais, contratados/subcontratados e outros terceiros.
Em termos de abrangência, este Plano é válido e deve ser seguido em todos os locais do Brasil ou internacionais no qual o CREF11 realiza as suas operações finalísticas.
03
Constituição do Comitê de Resposta a Incidentes
Este comitê é responsável pela mitigação de problemas e decisão pelas medidas tomadas no caso de incidentes. No CREF11 esta função será assumida pelo Comitê de Segurança da Informação e Proteção de Dados que já está estabelecido e composto adequadamente.
04
Antes do Incidente: Preparação
Esta etapa inclui garantir que a resposta a incidentes esteja em vigor e as pessoas que constituem a equipe precisam ser adequadamente treinadas para suas funções durante um incidente de segurança:
Estruturar respostas
Estruturar previamente as respostas necessárias em caso de crise.
Atuação do DPO
O Encarregado de Dados (DPO) é quem fala com os colaboradores, com os titulares de dados, e comunica a ANPD se for o caso.
05
Papéis e Responsabilidades
01
Notificador
Pessoa ou sistema de monitoração que notifica incidente. A comunicação inicial do incidente pode ser proveniente de qualquer fonte, tais como e-mails, sistema, telefone, Canal de Privacidade, etc. Para uma melhor análise, a notificação pode vir acompanhada com evidências e documentos.
02
Comitê de Segurança da Informação e Proteção de Dados
- Manter este plano de resposta e recuperação sempre atualizado e de fácil entendimento sobre o que fazer se algum incidente acontecer;
- Coordenar ações envolvendo diversos departamentos, incluindo, além da TI, a diretoria, a assessoria jurídica, e a área de operação;
- Definir com suporte do Encarregado de Dados (DPO) os mecanismos de comunicação sobre como o Conselho deve alertar terceiros e, se apropriado, também a equipe interna;
- Testar o Plano de Resposta a Incidentes, simulando uma violação, envolvendo todas as áreas e seus atores, para sua atualização constante e garantia de sua eficácia em caso de um incidente.
06
Durante o Incidente — Início e triagem
1
Notificação do incidente
A comunicação inicial do incidente pode ser proveniente de qualquer fonte, tais como e-mails, telefone, mensagens, entre outros, e deve ser cadastrada com auxílio de membros Comitê de Segurança da Informação e Proteção de Dados.
2
Avaliação preliminar
Imediatamente, Comitê de Segurança da Informação e Proteção de Dados deve fazer a avaliação preliminar, descartando as notificações nulas ou improcedentes, tomando os devidos cuidados.
3
Informações e classificação inicial
Na avaliação preliminar, devem ser buscadas informações sobre os procedimentos e sistemas que foram impactados, a criticidade do impacto, quais os danos aparentes e o risco de a situação ser agravada se não houver ação imediata. Avaliar o tipo de crise causada pelo incidente.
3.1 Vazamento de dados pessoais
Causa: ataque hacker, falha de segurança, erro humano.
Impacto: exposição de dados de profissionais registrados, colaboradores, parceiros e fornecedores.
3.2 Perda de integridade ou indisponibilidade de dados
Causa: falha de sistema, ataque de ransomware, corrupção de bases.
Impacto: impossibilidade de acessar informações de profissionais registrados, colaboradores, parceiros e fornecedores.
3.3 Acesso indevido interno
Causa: servidor ou terceirizado com privilégios inadequados ou uso indevido de credenciais.
Impacto: uso não autorizado de dados pessoais, risco de responsabilização administrativa.
3.4 Uso inadequado de dados pessoais em processos administrativos
Causa: falha em anonimização, excesso de compartilhamento.
Impacto: exposição desnecessária de dados de profissionais registrados, parceiros e fornecedores.
3.5 Solicitações externas envolvendo dados
Causa: requisição de dados por agentes externos sem base legal adequada.
Impacto: conflito entre cumprimento de obrigações legais e proteção de dados pessoais.
4
Conforme a avaliação preliminar, incidentes que não apresentam riscos aumentados pela falta de ação imediata podem ser reencaminhados para trâmites regulares dos setores pertinentes, caso já haja um trâmite pré-estabelecido.
5
Em caso de incidentes que exigem resposta imediata ou melhor avaliação, o Comitê de Segurança da Informação e Proteção de Dados avança para as fases seguintes.
6
Em caso de incidente com vazamento ou mau uso de Dados Pessoais, o Comitê de Segurança da Informação e Proteção de Dados deve acionar imediatamente o Encarregado de Dados (DPO) para seguir o Processo de Comunicação de Incidente de Dados Pessoais para a ANPD (Agência Nacional de Proteção de Dados), atentando para o prazo de 3 (três) dias úteis a partir do conhecimento, pelo controlador, de que o incidente de segurança envolvendo dados pessoais pode acarretar risco ou dano relevante aos titulares. O Processo de Comunicação de Incidente de Dados Pessoais apresenta o passo a passo para comunicação à ANPD, assim como que tipo de informação deve ser comunicado tanto para o regulador como para os Titulares de Dados.
7
Caso um evento impacte um determinado Tratamento de Dados, o Encarregado de Dados (DPO) deverá atualizar o Relatório de Impacto à Proteção de Dados (RIPD) sobre o do tratamento de dados relacionado a este incidente de segurança.
07
Avaliação
Nessa fase, deve ser iniciada uma avaliação mais detalhada do incidente pelo Comitê de Segurança da Informação e Proteção de Dados, definindo sua criticidade de acordo com as seguintes classificações:
Impacto Grave
Incidente que afeta informações críticas e a continuidade do negócio, com potencial para gerar impacto negativo sobre a instituição, prejuízo financeiro significativo, multas severas etc.
Impacto Significativo
Incidente que afeta informações não críticas, sem impacto negativo à instituição e possível existência de multas, além de representar prejuízo financeiro controlável.
Impacto Mínimo
Incidente que afeta informações não críticas, sem impacto negativo à instituição e sem risco de multas ou perdas financeiras.
08
Atuação
O Comitê de Segurança da Informação e Proteção de Dados deve procurar identificar a causa do incidente, atores e ações envolvidas, além de vulnerabilidades exploradas, visando determinar quais serão as ações necessárias nas fases seguintes do Plano de Resposta ao incidente em questão. Para isso, pode ser importante engajar especialistas dos setores afetados para colaborar. Além disso, devem ser consultadas as lições aprendidas de eventos anteriores para identificar similaridades e ações tomadas naquelas ocasiões.
Resposta imediata
A atuação tem foco simultâneo na resposta imediata ao incidente com ações para contenção, erradicação e recuperação.
Gestão da crise
Gestão da crise propriamente dita com a devida comunicação interna e externa.
09
Contenção, Erradicação e Recuperação
Dependendo do evento, é necessário adotar uma estratégia de contenção e erradicação. Antes de adotar qualquer ação que possa interromper determinada operação, é necessário avaliar as partes afetadas e solicitar as devidas autorizações das partes envolvidas.
10.1
No caso de uma invasão ao servidor
10.1.1 Isolamento do incidente
O servidor ou serviço comprometido deve ser isolado imediatamente para evitar a disseminação do ataque. Todos os serviços, máquinas e recursos associados à conta comprometida devem ser desconectados.
10.1.2 Alteração das credenciais
Solicitação ao usuário afetado para que altere sua senha imediatamente. Além disso, as chaves de API ou tokens de acesso comprometidos devem ser revogados.
10.1.3 Verificação imediata de atividades suspeitas
Os logs de atividade da conta comprometida devem ser revisados para identificar quaisquer ações maliciosas realizadas. É preciso buscar, por exemplo, por atividades de login não autorizadas, modificações de configuração ou criação de recursos desconhecidos.
10.1.4 Verificação imediata dos recursos e permissões
É preciso fazer uma análise das permissões e papéis atribuídos à conta comprometida, verificando se houve alterações não autorizadas. Também é necessário verificar se há novos usuários, chaves de API ou contas de serviço adicionados sem autorização.
10.1.5 Análise de segurança do sistema
É preciso fazer uma análise completa da configuração de segurança do servidor, incluindo firewalls, controles de acesso e políticas de segurança, bem como a identificação de possíveis vulnerabilidades que possam ter sido exploradas durante o incidente.
10.1.6 Limpeza e remediação
Por fim, deve-se remover ou desativar quaisquer recursos criados ou modificados durante o incidente e que possam ser maliciosos, além de restaurar as configurações corretas para os recursos afetados e verificar a existência de backdoors ou configurações indesejadas.
10.2
No caso da invasão a uma conta de e-mail
10.2.1 Isolamento do incidente
É necessário isolar a conta comprometida, desconectando-a de todos os dispositivos e redes. Além disso, deve-se revogar imediatamente o acesso de qualquer aplicativo ou serviço suspeito vinculado à conta, bem como verificar, dentro do Painel de Configuração de Contas de e-mail, quais sessões ativas existem para a conta em questão (dispositivos, IPs, etc.).
10.2.2 Alteração de credenciais
Deve-se solicitar a alteração das credenciais ao usuário afetado de forma imediata. Conforme a urgência, o próprio time que estiver atuando no incidente pode fazer a alteração imediatamente e de forma forçada e mandatória, escolhendo uma senha forte e exclusiva.
10.2.3 Verificação imediata de atividades suspeitas
Revisão dos logs de atividade da conta comprometida para identificar quaisquer ações maliciosas realizadas e busca por atividades de login não autorizadas ou de dispositivos desconhecidos.
10.2.4 Comunicação com usuários
Deve-se notificar o usuário afetado sobre o incidente, instruindo-o a tomar as medidas necessárias para proteger sua conta pessoal.
10.2.5 Verificação de outros sistemas
É necessário verificar se a conta comprometida não foi usada para acessar outros sistemas ou serviços do Conselho. Além disso, é imprescindível alterar as senhas desses sistemas caso haja indícios de comprometimento.
10.2.6 Análise de segurança do sistema
Deve-se realizar uma análise de segurança completa dos sistemas e dispositivos relacionados à conta comprometida para identificar possíveis pontos de vulnerabilidade. Outra necessidade diz respeito à verificação de todos os itens de segurança, com a confirmação de que continuam ativos e habilitados no “tenant” e no “Usuário”.
10.2.7 Análise forense
Se necessário, deve ser feita uma análise forense para investigar a origem do incidente, identificar possíveis brechas de segurança e coletar evidências para futuras ações.
Análise Forense: aplicação de técnicas investigativas e analíticas para coletar, identificar, preservar, examinar e apresentar evidências digitais de forma adequada para uso em processos legais ou administrativos.
10
Recuperação
A recuperação é o conjunto de medidas realizadas para restaurar completamente os serviços, e pode ser feita de forma gradual, conforme viabilidade e decisão do responsável pelo sistema.
Para ambos os casos indicados acima, após a realização das medidas sugeridas nos itens 10.1 e 10.2, a reativação do usuário, acesso, máquinas e serviços que foram porventura desativados deve ser feita de forma controlada, analisando se serão percebidas atividades estranhas ou desconhecidas nos ambientes e recursos ativos.
Entre as medidas que devem ser adotadas para a recuperação do ambiente, as principais estão listadas abaixo:
11.1
Reativação dos serviços
- 11.1.1 Restauração do servidor comprometido a um estado seguro e verificação da correção de todas as vulnerabilidades;
- 11.1.2 Restauração da conectividade e dos serviços necessários no servidor conforme necessário;
- 11.1.3 Ligação dos dispositivos, reativação dos serviços desligados e restauração das configurações de firewall e rede;
- 11.1.4 Restauração dos dados utilizando backups confiáveis e verificação da integridade dos dados.
11.2
Teste da funcionalidade
- 11.2.1 Testes para garantir que os serviços e recursos reativados estejam funcionando corretamente;
- 11.2.2 Verificação dos aplicativos e sistemas dependentes, com relação à conectividade adequada aos recursos reativados;
11.3
Acompanhamento das ações
- 11.3.1 Documentação das ações tomadas durante o processo de reativação, incluindo datas, horários e detalhes das etapas realizadas. Isso será útil para referência futura, análise pós-incidente e para fortalecer os procedimentos de resposta a incidentes. Essa documentação deverá ser preparada em até 2 (dois) dias após a recuperação do incidente.
Preservação de evidências
Após o incidente, a preservação de evidências será útil para que o Comitê de Segurança da Informação e Proteção de Dados analise a ocorrência e aprimore o que deve ser feito para a prevenção e mitigação de novos incidentes.
Relatório Final
Também é responsabilidade do Comitê de Segurança da Informação e Proteção de Dados a elaboração do Relatório Final do Incidente e revisão dos procedimentos internos. O Relatório Final deverá ser elaborado em até 7 (sete) dias após a recuperação do incidente.
O Comitê de Segurança da Informação e Proteção de Dados tem ainda a responsabilidade de passar as informações obtidas durante a gestão do incidente para o desenvolvedor do serviço, administrador do servidor ou outros profissionais envolvidos para que sejam feitos os ajustes devidos a fim de mitigar problemas futuros.
11
Lições Aprendidas
Com o incidente contido e sua resolução encaminhada, o Comitê de Segurança da Informação e Proteção de Dados deve agendar e conduzir uma reunião de Lições Aprendidas com o objetivo de discutir erros e dificuldades encontradas; propor melhorias para os processos de segurança e de privacidade da informação da CREF11; avaliar a eficácia deste Plano de Resposta a Incidentes; e subsidiar a documentação da causa-raiz, bem como de outras provas.
A reunião de Lições Aprendidas deve ser realizada em até 15 (quinze) dias após a recuperação do incidente.
O problema ocorrido e as ações tomadas, assim como as lições aprendidas ou controles baseados na revisão da avaliação do Relatório de Impacto à Proteção de Dados (RIPD), se aplicável, devem ser incluídos no formulário de Registro de Incidentes, para que possam ser consultados em possíveis incidentes futuros.
12
Exceções
Todo pedido de exceção a este Plano deverá ser solicitado formalmente ao Comitê de Segurança da Informação e Proteção de Dados. O requerimento será analisado e, se aprovado, deverá ser por escrito, com as recomendações que a decisão julgar pertinentes.
13
Retenção de registros
O CREF11 documenta, arquiva e guarda os registros das atividades desenvolvidas e decisões proferidas em procedimentos administrativos ou judiciais decorrentes da aplicação deste Plano, no prazo legal, em conformidade com a legislação aplicável da jurisdição onde opera.
14
Histórico do documento
VersãoV1.0
Data29/07/2026
AutorSergio Woisky
Razão da emissãoElaboração inicial
VersãoV1.1
Data30/07/2026
AutorSergio Woisky
Razão da emissãoApós revisão J. Musso
