As primeiras duas horas de uma crise cibernética

É habitual encontrar planos de cinquenta páginas que não servem quando o correio interno deixa de sair. O plano não falha por falta de detalhe. Falha porque ninguém ensaiou a única pergunta que importa: quem decide nos próximos 120 minutos? Os intervalos que se seguem são uma proposta de trabalho do autor, não um padrão obrigatório.

O que não é uma crise

Um evento técnico é um evento técnico. Converte-se em crise quando ameaça a continuidade, a confiança ou a legalidade da organização, e quando a informação disponível é pior do que a que o atacante já tem. Tratá-lo como um ticket de mesa de ajuda é a primeira má decisão.

As quatro frentes das primeiras duas horas

• Governo: quem entra na sala, quem fica de fora e quem tem autoridade para desligar um sistema de produção.
• Contenção: o que se isola, o que se preserva e o que não se toca para não destruir evidência.
• Continuidade: que operação mínima deve continuar de pé embora o sistema principal não volte hoje.
• Comunicação: o que se diz para dentro, o que se cala para fora e quem fala com reguladores ou clientes.

Se essas quatro frentes não tiverem dono na primeira hora, a organização improvisará quatro narrativas distintas. O atacante não precisa de mais.

Sequência 0–30, 30–60 e 60–120 minutos

Esta sequência não substitui o plano de resposta. Ordena o que não pode esperar. Cada bloco tem um produto, não uma reunião.

0–30 minutos: abrir a sala e fixar autoridade

1. Ativar o dono da crise. Se não houver dono pré-atribuído, o CEO assume até nomear um.
2. Abrir uma sala —física ou virtual— com registo de hora, assistentes e um único relator.
3. Declarar o canal oficial. Tudo o que ocorrer fora desse canal é rumor.
4. Separar contenção de investigação. Quem desliga não é quem reconstrói a cronologia.
5. Proteger evidência: não reiniciar «para ver se volta», não apagar logs, não formatar «por higiene».

30–60 minutos: conter sem cegar

1. Isolar o que está comprometido com critério de negócio, não com pânico de perímetro.
2. Identificar sistemas deliberadamente não tocados e documentar porquê.
3. Estimar, ainda que de forma tosca, o impacto no cliente, tesouraria, regulador e empregados.
4. Decidir que operação mínima se sustenta: pagamentos, atendimento crítico, despacho, folha de pagamentos.
5. Redigir uma frase de situação de não mais de quatro linhas, com hora.

60–120 minutos: continuidade e primeira comunicação

1. Confirmar quem fala para fora. Uma pessoa. O resto redireciona.
2. Decidir se há obrigação de notificar e em que prazo. O jurídico entra aqui, não como adorno.
3. Programar a próxima decisão, com hora. Uma crise sem relógio converte-se em tertúlia.
4. Listar o que ainda não se sabe e dizê-lo como tal. O vazio honesto evita a mentira útil.
5. Rever se é preciso um comunicado interno antes de um externo. O rumor interno também é um incidente.

Comité de crise: quem entra e quem não

Uma sala, não um chat. O CISO informa. O CEO decide. Jurídico e comunicação não são convidados de cortesia: são parte do governo. Tecnologia executa contenção. Continuidade diz que operação não pode cair. Se o presidente do conselho quiser entrar, que entre a escutar, não a reescrever o diagnóstico a cada vinte minutos.

• Entram: dono da crise, CISO ou equivalente, jurídico, comunicação, dono da operação crítica, relator.
• Entram a pedido: seguros, forense externo, regulatório, recursos humanos.
• Ficam de fora: quem não tem autoridade, quem não tem informação e quem só quer «estar a par» num fio de mensagens.

Decisões que não podem esperar

• Desliga-se a produção agora, ou observa-se com risco de maior comprometimento?
• Preserva-se evidência embora isso atrase a recuperação?
• Notifica-se um regulador, um cliente crítico ou um fornecedor agora, ou espera-se até à hora seguinte?
• Quem tem autoridade para pagar, negociar ou recusar um resgate, se o cenário for ransomware?

Checklist dos primeiros 120 minutos

• Dono da crise nomeado e presente.
• Sala aberta, relator atribuído, canal único.
• Sistemas afetados e sistemas não tocados, por escrito.
• Evidência protegida: logs, cópias, contas, artefactos.
• Operação mínima definida: o que continua, o que se detém.
• Frase de situação datada, de não mais de quatro linhas.
• Porta-voz único e lista de audiências (interna, clientes, regulador, imprensa).
• Próxima decisão programada, com hora.

Isso não substitui o forense. Evita que o conselho governe rumores. As primeiras duas horas não se ganham com heroísmo técnico. Ganham-se com critério. Amplio esta abordagem em La próxima crisis no avisará e na pergunta paralela do que deve perguntar um conselho sobre ransomware.

Registo de decisões — exemplo hipotético

• Hora 08:12. Declara-se incidente. Dono de crise: gerência geral. Relator atribuído.
• Hora 08:27. Canal oficial: sala de crise. Proíbe-se discutir o incidente em chats paralelos.
• Hora 08:41. Isola-se o servidor de correio. Não se reinicia. Preservam-se logs.
• Hora 09:10. Operação mínima: tesouraria e atendimento a clientes críticos por canal alternativo.
• Hora 09:35. Frase de situação de quatro linhas, com hora. Porta-voz único nomeado.
• Hora 10:00. Próxima decisão programada: notificar ou não o regulador, com jurídico presente.

Esta sequência alinha-se com a ideia de preparação, deteção, contenção, erradicação e recuperação que descreve a NIST SP 800-61 Rev. 3 para a gestão de incidentes. Não substitui esse quadro: traduz-o para as primeiras duas horas de um conselho.