Aprenda a criar um Incident Response Plan proporcional à realidade da sua empresa, com responsáveis, critérios, comunicação, registros e testes alinhados à LGPD.

Quando uma conta de e-mail é invadida, um notebook desaparece ou um arquivo de clientes é compartilhado com a pessoa errada, a primeira dificuldade costuma ser menos técnica do que operacional: quem decide, quem investiga e quem comunica? Sem uma resposta combinada, minutos são gastos procurando contatos, discutindo responsabilidades e alterando evidências que poderiam esclarecer o ocorrido.

Um Incident Response Plan, ou plano de resposta a incidentes, organiza esse momento antes que ele aconteça. Ele não elimina falhas, não substitui controles de segurança e não transforma toda ocorrência em uma emergência. Seu valor está em estabelecer critérios para reconhecer sinais, atribuir responsabilidades, preservar informações, conter danos e decidir os próximos passos com base em fatos. Para uma pequena ou média empresa, isso significa criar um plano proporcional aos sistemas, aos dados e à capacidade real da equipe.

Principais pontos

• Um Incident Response Plan transforma decisões urgentes em responsabilidades e procedimentos definidos antes da crise.
• Pequenas empresas precisam priorizar cenários plausíveis, dados críticos e contatos confiáveis, não tentar cobrir todos os ataques possíveis.
• A análise de um incidente depende de saber quais dados existem, onde estão armazenados, quem acessa e quais fornecedores participam.
• Registros cronológicos separam fatos confirmados de hipóteses e melhoram a qualidade das decisões durante a resposta.
• Um plano só demonstra utilidade quando é testado, corrigido e atualizado após mudanças relevantes no negócio.
• A capacidade de responder a incidentes apoia a conformidade com a LGPD, mas não substitui a avaliação específica de cada ocorrência nem garante conformidade integral.

Sua empresa saberia o que fazer nas primeiras horas de um incidente?

Imagine uma clínica pequena que descobre, numa manhã de segunda-feira, que terceiros acessaram a conta de e-mail usada para enviar resultados de exames. A equipe talvez consiga trocar a senha rapidamente, mas ainda precisará descobrir quais mensagens foram abertas, preservar registros, acionar o provedor e avaliar possíveis impactos para pacientes. Um Incident Response Plan antecipa essas decisões sem fingir que todos os casos terão a mesma solução.

O plano não se limita a invasões sofisticadas. Ele pode ser acionado quando alguém envia uma planilha ao destinatário errado, quando um celular corporativo é perdido, quando um fornecedor acessa dados além do necessário ou quando um ransomware interrompe o atendimento. Um alerta suspeito ainda não confirma um incidente; mesmo assim, precisa receber um responsável, uma prioridade e um registro inicial. Essa triagem evita tanto o descaso com sinais relevantes quanto a reação exagerada a falhas sem impacto.

Para classificar a prioridade, use sinais observáveis em vez de impressões genéricas. Um evento tende a exigir resposta mais rápida quando envolve dados pessoais sensíveis ou em grande quantidade, credenciais privilegiadas, acesso ainda ativo, indisponibilidade de processo essencial, indícios de extração de dados, impacto em várias pessoas ou dependência de um fornecedor que não consegue explicar o ocorrido. O prazo de reação deve ser definido pela combinação entre urgência operacional e risco, e não por um número arbitrário de horas.

Uma classificação simples pode usar três perguntas: o acesso ou dano continua acontecendo? Quais processos, sistemas e pessoas foram afetados ou podem ter sido afetados? A equipe consegue conter o evento com os recursos disponíveis? Se a resposta indicar exposição ativa, serviço essencial interrompido ou risco relevante para titulares, trate o caso como prioritário e envolva a coordenação imediatamente. Se houver apenas um sinal inconclusivo, registre-o, atribua uma pessoa para investigar e defina um horário de reavaliação.

A relação com a LGPD aparece quando o evento pode afetar dados pessoais e os direitos das pessoas. O documento oficial aplicável da ANPD é o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024. Ele disciplina a comunicação à ANPD e aos titulares quando o incidente puder ocasionar risco ou dano relevante, estabelece prazo de comunicação de três dias úteis nas situações abrangidas e indica as informações que devem ser apresentadas. A avaliação precisa considerar o caso concreto e as regras vigentes, sem tratar o regulamento como um formulário universal.

Há sinais claros de que o improviso já se tornou um risco operacional:

• Ninguém sabe quem assume a coordenação fora do horário comercial ou quem substitui essa pessoa.
• A empresa depende de uma única pessoa para acessar sistemas críticos, credenciais de emergência ou contatos externos.
• Os contatos de fornecedores, provedores e especialistas não são conferidos quando há mudança de contrato, equipe, sistema ou responsável.
• Não existe um registro cronológico para fatos, decisões, evidências e comunicações.
• A direção não sabe quais dados podem estar envolvidos nem quais processos não podem ficar indisponíveis.

O que um plano precisa decidir antes da crise?

Depois de reconhecer a necessidade, defina o alcance do plano. Inclua os sistemas usados no atendimento, faturamento, armazenamento e comunicação, os dados pessoais tratados, os serviços contratados e as pessoas que podem acessar essas informações. Um inventário de dados é útil como instrumento contínuo de visibilidade: ajuda a registrar categorias de dados, finalidades, sistemas, fluxos, acessos e fornecedores. Ele não precisa ser confundido com o plano de resposta; o inventário alimenta a análise quando um incidente ocorre.

O Relatório de Impacto à Proteção de Dados Pessoais, por sua vez, não é um documento obrigatório para todo tratamento nem deve ser produzido apenas para preencher uma pasta. Ele é aplicável quando o tratamento puder gerar riscos às liberdades civis e aos direitos fundamentais, especialmente em operações de maior risco ou complexidade, e pode ser solicitado pela ANPD nas hipóteses pertinentes. Use-o para documentar avaliação de riscos e medidas de proteção quando o contexto justificar, sem apresentá-lo como substituto do inventário ou como garantia de conformidade.

Papéis claros reduzem disputas durante a pressão. Uma pessoa coordena a resposta; outra conduz a análise técnica; a gestão decide sobre continuidade do negócio; alguém mantém a linha do tempo; e um responsável orienta a comunicação. Em uma empresa com oito funcionários, uma mesma pessoa pode acumular funções, mas cada função precisa ter um substituto. A separação evita que uma decisão comercial seja tomada apenas por quem está corrigindo o sistema e permite que a coordenação continue mesmo quando alguém estiver indisponível.

Também defina a severidade com critérios verificáveis. Considere, pelo menos, a natureza e a quantidade dos dados, a sensibilidade das informações, o número e o perfil das pessoas afetadas, a duração do acesso, a possibilidade de identificação dos titulares, a interrupção de serviços essenciais, a extensão geográfica e a capacidade de contenção. Um incidente com acesso confirmado a dados sensíveis e serviço ainda exposto merece escalonamento mais rápido do que um alerta bloqueado sem evidência de acesso.

A autoridade decisória precisa estar explícita. O coordenador pode iniciar contenção de baixo risco, como suspender um compartilhamento indevido, mas decisões que interrompam o atendimento, desliguem um sistema crítico, contratem investigação externa ou envolvam comunicação externa devem ter aprovadores definidos. O plano deve registrar quem pode autorizar cada medida, qual substituto assume e em que circunstância a decisão deve subir para a direção.

Os canais também merecem planejamento. Se o e-mail corporativo estiver comprometido, ele não pode ser o único meio de acionamento. Mantenha contatos alternativos protegidos, telefones atualizados e uma forma de alcançar o suporte do provedor. Contratos com operadores e fornecedores devem refletir as obrigações e responsabilidades efetivamente pertinentes ao serviço: notificação sem demora indevida, cooperação na investigação, preservação e disponibilização de registros, apoio à contenção, confidencialidade, subcontratação e divisão de responsabilidades, quando aplicáveis. A expressão genérica “Regulamentação da ANPD” não basta; consulte o ato normativo pertinente e traduza suas exigências em tarefas contratuais concretas.

O registro mínimo precisa permitir reconstruir o que aconteceu e por que cada decisão foi tomada. Inclua identificador do incidente, data e hora, fonte do alerta, sistemas e fornecedores envolvidos, fatos confirmados, hipóteses separadas, dados potencialmente afetados, medidas executadas, evidências preservadas, responsáveis, aprovações, comunicações, impactos observados, recuperação e ações corretivas. Evite registrar senhas ou cópias desnecessárias de dados pessoais no relatório.

Um plano enxuto costuma incluir estes componentes:

Como transformar decisões em um fluxo de resposta aplicável?

Com o escopo e os papéis definidos, escreva o caminho que a equipe seguirá. Em vez de copiar um modelo genérico, comece pelos três cenários mais plausíveis para o negócio: conta comprometida, envio equivocado de arquivo, perda de dispositivo, falha de fornecedor ou indisponibilidade de sistema. Para cada cenário, associe os processos afetados, os dados envolvidos, o responsável inicial e a condição verificável que exige escalonamento.

A execução costuma avançar por fases conectadas. Preparação reúne acessos, contatos, cópias de segurança e ferramentas disponíveis. Identificação confirma o alerta e delimita o que se sabe. Contenção interrompe ou reduz a exposição. Correção remove a causa ou restabelece controles. Recuperação devolve o serviço a uma condição monitorada. A análise posterior converte falhas observadas em ajustes de processo, contrato ou treinamento. Essas fases não são necessariamente lineares: novas evidências podem exigir retorno à identificação ou à contenção.

Defina limiares que possam ser conferidos durante a pressão. Escale quando houver evidência de acesso não autorizado confirmado, comprometimento de conta administrativa, persistência do invasor, extração ou publicação de dados, envolvimento de dados sensíveis, indisponibilidade de processo essencial, impacto em mais de uma unidade ou incapacidade de conter o evento internamente. Preserve evidências antes de apagar, reinstalar ou restaurar um dispositivo quando isso não ampliar a exposição. Se a ameaça estiver ativa, priorize a contenção segura e registre quais evidências não puderam ser preservadas.

A avaliação de impacto também precisa de perguntas concretas: quais categorias de dados estavam no sistema, quais titulares podem estar envolvidos, o acesso foi apenas possível ou confirmado, durante quanto tempo, quais controles reduziram a exposição e quais consequências são plausíveis? Não transforme uma hipótese em fato. Atualize a classificação à medida que logs, informações de fornecedores e entrevistas forem confirmados.

Considere a situação da empresa de contabilidade que compartilhou uma pasta com documentos de clientes para um endereço externo. A equipe pode interromper o compartilhamento, preservar os registros de acesso e verificar quais arquivos estavam disponíveis. Depois, precisa separar fatos confirmados de suposições: o link foi aberto? Por quanto tempo? Havia documentos de identificação? A gestão deve avaliar os riscos antes de definir comunicações. Se a avaliação indicar risco ou dano relevante para titulares, o responsável deve considerar a comunicação à ANPD e aos titulares conforme a Resolução CD/ANPD nº 15/2024, observando o prazo e o conteúdo aplicáveis. A decisão, inclusive quando for não comunicar, deve ser registrada com sua justificativa.

A decisão sobre comunicação não deve depender apenas de uma pessoa de tecnologia. Envolva a direção, o responsável por proteção de dados ou encarregado quando houver, e apoio jurídico ou técnico conforme a complexidade. A mensagem deve distinguir fatos conhecidos, medidas já adotadas, orientações aos afetados e pontos ainda em investigação. Evite minimizar o evento, especular sobre causas não confirmadas ou divulgar dados adicionais por impulso.

Um roteiro operacional pode seguir esta ordem:

1. Receba o alerta, registre horário, origem e descrição inicial; atribua prioridade provisória.
2. Confirme o evento sem alterar desnecessariamente o ambiente afetado e separe fatos de hipóteses.
3. Preserve logs, imagens, mensagens e outros registros relevantes; contenha o acesso ou a indisponibilidade conforme o risco.
4. Avalie alcance, natureza dos dados, titulares potencialmente afetados, duração, consequências e capacidade de contenção.
5. Escale a direção e especialistas quando qualquer limiar definido for atingido ou quando a equipe não conseguir investigar com segurança.
6. Decida e documente comunicações segundo a Resolução CD/ANPD nº 15/2024 e outras obrigações aplicáveis ao caso.
7. Recupere o serviço de forma monitorada, valide os controles e registre ações corretivas, responsáveis e prazos.

Como testar o plano e evitar uma falsa sensação de preparo?

Um documento guardado em uma pasta não prova capacidade de resposta. Faça um exercício de mesa com duração aproximada de 30 minutos como sugestão editorial para um primeiro teste, não como uma duração universal ou uma recomendação oficial. Se o cenário for complexo, reserve mais tempo. O importante é delimitar o exercício, registrar o horário e observar decisões, dependências e lacunas sem simular ações perigosas em ambiente de produção.

Use um cenário hipotético compatível com sua operação. Alguém comunica a ocorrência, outra pessoa assume a coordenação e a equipe tenta localizar contatos, definir a primeira contenção e registrar os fatos. O objetivo não é avaliar pessoas, mas encontrar instruções ambíguas, acessos que falham quando o ambiente principal está indisponível e decisões que ficaram sem autoridade definida.

A aprovação do teste deve usar métricas observáveis. Verifique se o alerta foi registrado, se a coordenação e o substituto foram localizados, se a prioridade foi justificada, se os contatos funcionaram, se a equipe identificou sistemas e dados envolvidos, se a preservação de evidências foi considerada, se a comunicação foi encaminhada para aprovação correta e se cada ação recebeu responsável e prazo. O plano pode ser considerado adequado para aquela rodada quando todos os critérios críticos tiverem responsável, decisão documentada ou uma lacuna formalmente aceita pela direção.

O teste deve examinar o que costuma quebrar primeiro. O telefone do fornecedor ainda funciona? O substituto sabe onde estão as credenciais de emergência sem receber senhas em texto aberto? A empresa consegue distinguir clientes afetados de clientes apenas potencialmente envolvidos? A linha do tempo registra horário, fonte da informação, hipótese, decisão e responsável? Essas perguntas mostram se o plano é executável por uma equipe pequena, não apenas se está bem escrito.

Atribua responsabilidades para o pós-teste. O coordenador consolida os achados; a área técnica corrige falhas de acesso e preservação; a direção aprova mudanças que afetem orçamento ou continuidade; e o responsável por privacidade acompanha as implicações relacionadas a dados pessoais. Para cada falha, registre uma ação, um responsável, uma prioridade e um prazo realista. Reavalie as pendências até que estejam concluídas ou formalmente aceitas como risco.

A comunicação exige prudência. Evite minimizar o evento, especular sobre fatos não confirmados ou divulgar informações adicionais por impulso. Quando houver dados pessoais, consulte o Regulamento de Comunicação de Incidente de Segurança da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, e registre a análise sobre risco ou dano relevante, destinatários, conteúdo e prazo aplicáveis. A existência do plano não elimina a necessidade de avaliação jurídica ou técnica quando a situação ultrapassar a capacidade interna.

Revisões devem ocorrer depois de um teste, incidente real, troca de fornecedor, adoção de sistema novo, mudança relevante nos dados tratados ou alteração de responsáveis. Registre a versão, a data da revisão e as pessoas que aprovaram as alterações. Também proteja uma cópia do plano fora do ambiente que pode ficar indisponível; guardar a única versão no mesmo sistema afetado cria uma dependência evitável. A frequência de revisão deve acompanhar o risco e a velocidade de mudança da empresa, e não um limite fixo sem justificativa.

Erros recorrentes merecem uma verificação específica: modelos não adaptados aos sistemas reais, concentração das decisões na área de tecnologia, ausência de substitutos, comunicação prematura, falta de contratos claros, contatos desatualizados e confusão entre prevenção e resposta. O Glossário da ANPD pode ajudar a alinhar termos, mas não substitui a descrição das tarefas que sua equipe realmente consegue executar.

O primeiro passo viável é realizar um diagnóstico de maturidade, listar os ativos e tratamentos prioritários, nomear responsáveis e produzir uma versão inicial de poucas páginas. Depois, valide o fluxo com a direção e um exercício simples. Um diagnóstico ou plano pode apoiar a organização e a demonstração de responsabilidade, mas não garante conformidade integral com a LGPD. Se você buscar apoio externo, escolha um escopo claro, com entregáveis, responsáveis e limites definidos.

Perguntas frequentes

Incident Response Plan é obrigatório para cumprir a LGPD?

A LGPD não impõe um modelo único de documento com esse nome. Ainda assim, a capacidade de prevenir, identificar, avaliar e tratar incidentes envolvendo dados pessoais apoia a demonstração de responsabilidade e deve ser analisada conforme o contexto. Para comunicações de incidentes, consulte o Regulamento de Comunicação de Incidente de Segurança da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, e avalie as regras aplicáveis ao caso.

Qual é o documento oficial da ANPD sobre comunicação de incidentes?

O documento é o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024. Ele trata das comunicações à ANPD e aos titulares quando o incidente puder ocasionar risco ou dano relevante, incluindo critérios, informações, destinatários e prazo aplicáveis. Confirme sempre a versão vigente e as orientações oficiais no portal da ANPD.

Qual é o prazo para comunicar um incidente à ANPD?

Nas situações abrangidas pelo Regulamento de Comunicação de Incidente de Segurança, a comunicação deve ser feita no prazo de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. O prazo não elimina a necessidade de avaliar se o incidente pode ocasionar risco ou dano relevante, identificar os destinatários e reunir as informações exigidas. Em caso complexo, busque orientação especializada sem atrasar a análise.

Qual é a diferença entre inventário de dados e RIPD?

O inventário descreve dados, finalidades, sistemas, fluxos, acessos e fornecedores, sendo útil para dar visibilidade contínua aos tratamentos. O Relatório de Impacto à Proteção de Dados Pessoais documenta riscos e medidas de proteção em tratamentos que possam gerar riscos às liberdades civis e aos direitos fundamentais, especialmente em operações de maior risco ou complexidade. O RIPD não é automaticamente necessário para todo tratamento e pode ser solicitado pela ANPD nas hipóteses pertinentes.

Qual é a diferença entre um plano de resposta e uma política de segurança?

A política define diretrizes gerais, como responsabilidades e princípios de segurança. O plano organiza decisões durante um incidente específico. Um procedimento detalha uma tarefa, como bloquear uma conta, preservar registros ou restaurar um serviço.

Quais incidentes uma pequena empresa deve incluir?

Comece pelos eventos plausíveis para sua operação: conta comprometida, perda de dispositivo, envio equivocado, compartilhamento indevido, falha de fornecedor, malware e indisponibilidade de sistema. Priorize os que podem afetar dados pessoais, expor credenciais ou interromper processos essenciais.

Quem deve responder a um incidente envolvendo dados pessoais?

O plano deve nomear um coordenador e substituto, além de responsáveis por análise técnica, decisões de negócio, registros e comunicação. Em equipes pequenas, uma pessoa pode acumular funções, desde que os conflitos, aprovações e substituições estejam previstos.

O que fazer primeiro diante de uma suspeita de vazamento?

Registre horário e origem do alerta, preserve informações relevantes, evite alterações desnecessárias, proteja acessos comprometidos e delimite os fatos conhecidos. Depois, acione o responsável definido e avalie alcance, natureza dos dados, titulares potencialmente afetados e consequências antes de comunicar conclusões.

Quando envolver fornecedor, especialista técnico ou apoio jurídico?

Acione apoio externo quando a equipe não puder preservar evidências, investigar o ambiente, recuperar o serviço, interpretar obrigações ou avaliar impactos com segurança. Os critérios, os responsáveis por autorizar a contratação e os contatos devem estar definidos antes da crise.

Como saber se o caso precisa ser comunicado às pessoas afetadas ou à autoridade competente?

A decisão depende da natureza do incidente, dos dados envolvidos, das pessoas afetadas e das consequências possíveis. Avalie o risco ou dano relevante conforme o Regulamento de Comunicação de Incidente de Segurança da ANPD, registre a justificativa, observe destinatários e prazo aplicáveis e consulte apoio especializado quando necessário.

Com que frequência o plano deve ser testado?

Não existe uma frequência universal adequada para todos os negócios. Faça um exercício inicial de aproximadamente 30 minutos como sugestão editorial e repita após mudanças relevantes, incidentes reais, troca de fornecedores ou alteração dos sistemas e dados tratados. A duração deve aumentar quando o cenário exigir.

Uma empresa pequena consegue criar um plano sem contratar uma consultoria extensa?

Pode iniciar com recursos internos, desde que mapeie riscos reais, nomeie responsáveis, registre decisões e teste o fluxo. Apoio técnico ou jurídico pode ser necessário quando a complexidade ou o impacto ultrapassar a capacidade da equipe. Um plano ajuda na organização, mas não garante conformidade integral com a LGPD.

O que precisa ser registrado durante e depois de um incidente?

Registre horário, origem do alerta, sistemas envolvidos, fatos confirmados, hipóteses, evidências preservadas, medidas adotadas, responsáveis, decisões, aprovações, comunicações, recuperação e ações corretivas. A separação entre fato e hipótese melhora a avaliação posterior e sustenta a justificativa das decisões.

Conclusão

Um Incident Response Plan útil não precisa começar como um manual extenso. Ele precisa indicar quem age, quais sistemas e dados merecem prioridade, como conter o problema sem destruir evidências, quando escalar a decisão, quem aprova comunicações e como registrar o que aconteceu. Para uma pequena ou média empresa, o caminho mais seguro é começar com poucos cenários plausíveis, critérios verificáveis e contatos que possam ser acionados por canais alternativos.

O plano deve refletir a realidade do negócio, os contratos existentes e as regras aplicáveis ao incidente. Quando houver dados pessoais, a Resolução CD/ANPD nº 15/2024 e seu Regulamento de Comunicação de Incidente de Segurança devem integrar a análise sobre risco ou dano relevante, comunicação, destinatários, conteúdo e prazo. Um inventário de dados pode dar visibilidade aos fluxos cotidianos; um RIPD pode ser adequado para tratamentos que apresentem riscos relevantes, mas nenhum desses instrumentos substitui a avaliação do caso concreto.

Faça um diagnóstico de maturidade, transforme os resultados em responsáveis e controles concretos e valide o fluxo em um exercício de mesa com duração aproximada de 30 minutos, entendendo esse período como ponto de partida, não como exigência universal. O plano apoia a preparação e a demonstração de responsabilidade, mas não promete conformidade integral. Mantenha-o vivo à medida que o negócio, os sistemas, os fornecedores e os dados tratados mudarem.

Fontes

1. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.
2. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
3. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.
4. Glossário ANPD. Agência Nacional de Proteção de Dados (ANPD). Glossário com definições e termos utilizados na LGPD, útil para esclarecer conceitos e terminologias relacionadas à proteção de dados.