NIST SP 800-61r3: a resposta a incidentes já não cabe num plano isolado

A resposta é um ciclo de risco com seis funções e dois ritmos

Govern, Identify e Protect operam continuamente: definem autoridade, prioridades, ativos, dependências, salvaguardas e preparação. Detect, Respond e Recover aceleram quando um evento cumpre o critério de incidente. As lições regressam ao primeiro grupo como mudança de risco, controlo e investimento.

Mantenha um ritmo operacional para restaurar e um ritmo de governação para decidir impacto, tolerância e comunicação. Misturá-los produz reuniões grandes sem decisões; separá-los sem interface produz decisões executivas baseadas em dados atrasados.

A matriz revela interfaces que um playbook narrativo costuma esconder

Para cada função, defina uma decisão observável e a evidência que permite entregá-la à função seguinte. Se a equipa não consegue indicar o artefacto de saída, o procedimento ainda depende de conversa e memória.

O exercício deve atravessar a organização e terminar com uma mudança verificável

Use um cenário que combine credenciais comprometidas, terceiro indisponível e dados potencialmente alterados. Introduza conflito entre recuperação rápida e necessidade de preservar evidência. A equipa passa quando toma decisões no nível certo e consegue demonstrar o estado alcançado.

Depois, selecione no máximo três mudanças, cada uma com dono, prazo e teste. Uma lista longa de lições sem verificação cria arquivo, não resiliência.

• Testar canais alternativos e diretório de contactos fora do ambiente afetado.
• Exigir confirmação técnica do efeito de contenção.
• Validar dados e transações antes de declarar recuperação.
• Repetir o cenário após a correção e comparar os quatro tempos.