Responda a incidentes e recupere-se

Incidentes são um quando, não um se. Uma boa resposta é principalmente preparação: saber quem decide, como falar com essas pessoas (quando o e-mail pode estar comprometido), o que registrar e onde estão os backups.

A NIST SP 800-61 Rev. 3 (2025) enquadra a resposta a incidentes pelas seis funções do CSF 2.0: Govern, Identify, Protect preparam você; Detect percebe os incidentes; Respond cuida deles (analisar, conter, erradicar, comunicar); Recover restaura as operações - e as lições aprendidas realimentam tudo. As fases clássicas continuam descrevendo o trabalho durante um incidente:

1. Detecção e análise - isto é real? O que foi afetado? Como começou?
2. Contenção - impeça que se espalhe: isole máquinas, desative contas, bloqueie endereços.
3. Erradicação - remova a causa: malware, backdoors, as credenciais roubadas.
4. Recuperação - restaure a partir de backups limpos e monitore de perto.
5. Lições aprendidas - uma revisão sem culpados que melhora as defesas.

As quadrilhas de ransomware atacam os backups primeiro. A regra 3-2-1: mantenha pelo menos 3 cópias dos dados, em 2 tipos diferentes de armazenamento, com 1 cópia fora do local. Muitas equipes acrescentam 1 cópia imutável ou offline (que não pode ser alterada nem apagada, nem mesmo por uma conta de administrador) e 0 erros nos testes de restauração.

Um backup que você nunca restaurou é uma esperança, não um plano. Teste as restaurações regularmente e cronometre-as - você consegue cumprir o tempo de recuperação de que o negócio precisa?