Um plano de incidente que nunca foi exercitado continua por provar
O documento pode listar contactos e etapas corretas e falhar no primeiro conflito de autoridade, dependência de terceiro, canal indisponível ou decisão tomada com metade dos factos.
- Natureza
- Plano de exercício de mesa em 30 dias
- Referências
- Metodologia ENISA 2026, NIST SP 800-61r3, SP 800-84 e CSF 2.0
- Publicado e verificado
- 5 de agosto de 2026
- Limite
- Guia voluntário; adapte-o a riscos, obrigações, setor e segurança dos participantes
Em resumo
A metodologia publicada pela ENISA em fevereiro de 2026 estrutura exercícios do planeamento à avaliação. O NIST SP 800-61 Rev. 3 liga resposta a incidentes a todas as funções do CSF 2.0; o SP 800-84 continua disponível como guia de desenho e avaliação de exercícios. A proposta Velqory usa 30 dias para definir objetivo, construir um cenário credível, ensaiar um tabletop de 90 minutos e fechar ações com dono e reteste. Não é obrigação legal nem substitui testes técnicos: prova, de forma controlada, que pessoas, decisões e comunicação funcionam juntas.
- Defina uma capacidade observável — classificar, conter, comunicar ou recuperar — e não apenas “fazer um exercício”.
- Introduza informação incompleta e dependências sem complexidade que não teste o objetivo.
- Meça decisões, handoffs, evidência e tempo; presença e satisfação não provam prontidão.
- Dê a cada lacuna dono, prazo, critério de fecho e reteste.
Trinta dias chegam quando o exercício testa uma decisão delimitada
Escolha um serviço crítico, uma hipótese de falha e três decisões: quem classifica, quem autoriza contenção e quem aceita o regresso. Separe quem conduz o cenário de quem avalia.
Não é preciso malware funcional. Uma sequência de injects — alerta inicial, perda de canal, indício de terceiro e impacto no cliente — testa coordenação sem introduzir risco no ambiente real.
Plano de 30 dias com gates claros
- DIAS 1–5Definir objetivo e sucesso
Serviço, risco, decisões, participantes, restrições e métricas observáveis.
- DIAS 6–12Construir cenário e injects
Factos iniciais, incerteza, dependências, canais e momentos de escalada.
- DIAS 13–18Validar segurança e realidade
Revisão técnica, jurídica, operacional e go/no-go sem revelar respostas.
- DIAS 19–23Ensaiar facilitação
Testar duração, materiais, acessos, observação, contingência e registo.
- DIA 24Executar 90 minutos
Capturar decisão, hora, fundamento, dono, handoff e evidência.
- DIAS 25–30Fechar e atribuir
Hot wash, relatório, ações, prazos, critérios e data de reteste.
A grelha deve observar trabalho real, não confiança declarada
Fixe antes do exercício o que o observador consegue ver e a evidência que prova a capacidade. Se o critério só puder ser avaliado por opinião, reescreva-o. Use timestamps comuns e distinga atraso causado pelo cenário de falha do processo.
Capacidade, observação e aceitação
| Capacidade | Observar | Aceitar quando | Evidência |
|---|---|---|---|
| Classificar | Factos e limiares usados | Decisão explica incerteza | Registo de classificação |
| Autorizar | Conflitos e delegação | Autoridade certa decide sem pessoa única | Decisão e substituto |
| Conter | Dependências e dano colateral | Ação reduz risco e preserva prova | Plano e validação |
| Comunicar | Audiência, canal, precisão | Facto, estimativa e desconhecido ficam separados | Mensagem versionada |
| Recuperar | Critério de regresso | Dono valida, não apenas “online” | Checklist de recuperação |
| Aprender | Ação e reteste | Lacuna tem dono, prazo e prova | Plano de melhoria |
O exercício termina quando a lacuna é retestada
Faça um hot wash imediato para preservar factos e uma revisão posterior para separar sintomas de causas. Priorize falhas que bloqueiem decisão, contenção, comunicação ou recuperação.
Use o SP 800-61 Rev. 3 para integrar resposta com Govern, Identify, Protect, Detect, Respond e Recover. O SP 800-84, publicado em 2006, é útil para desenho de exercícios, mas não é a recomendação de resposta mais recente nem uma obrigação legal.
- Guardar cenário, versão, participantes, decisões e observações.
- Não publicar detalhes que criem risco operacional.
- Repetir o passo falhado num cenário reduzido.
- Levar padrões recorrentes ao perfil Current/Target e ao registo de risco.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01ENISA Cybersecurity Exercise MethodologyENISA · EU-ENISA
- 02Cybersecurity Preparedness DIYENISA · EU-ENISA
- 03NIST SP 800-61 Rev. 3 — Incident Response RecommendationsNIST CSRC · CY-NISTCSRC
- 04NIST SP 800-84 — Test, Training, and Exercise ProgramsNIST CSRC · CY-NISTCSRC
- 05Cyber Europe exercise programmeENISA · EU-ENISA
- 06NIST Cybersecurity Framework 2.0NIST CSRC · CY-NISTCSRC
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.