Módulo 8 · 8.1
Um plano de incidentes e um cartão de incidente
Módulo 8: Quando algo corre mal · Tempo de leitura: 10 minutos
Objetivo de aprendizagem: Após esta lição, saberá criar um cartão de incidente e um plano de incidentes simples que funcionem mesmo quando os computadores, o e-mail e a lista de telefones deixarem de estar acessíveis.
Conceitos-chave: incidente, cartão de incidente, plano de incidentes, funções, lista de contactos, conter, preservar provas, comunicação, guardar offline, treinar (tabletop)
Porque é que trata disto agora, e não quando já está em chamas
Imagine: é segunda-feira de manhã, 07h45. No computador da caixa registadora da Padaria Exemplo aparece um ecrã vermelho com o texto de que todos os ficheiros foram encriptados. A pasta partilhada com as encomendas não abre. Alguém diz: "Liga ao técnico de informática." Mas o número dele está nos contactos da caixa de correio, e a caixa de correio está nesse mesmo computador. Outra pessoa quer desligar o computador de imediato. Uma terceira começa a ligar o disco de cópia de segurança para "repor tudo".
As três reações são compreensíveis, e duas delas pioram a situação. É quase sempre assim: sob pressão, as pessoas fazem o que lhes ocorre primeiro. Um incidente é qualquer acontecimento que ameace a disponibilidade, a fiabilidade ou a confidencialidade dos seus dados ou sistemas: uma conta de e-mail pirateada, ransomware, um portátil perdido, um e-mail com dados de clientes enviado à pessoa errada, um site que foi tomado por terceiros.
O objetivo de um plano não é que tudo corra bem. O objetivo é que, na primeira hora, não cometa erros que depois já não consegue corrigir, e que saiba a quem telefonar.
Cartão de incidente e plano de incidentes: a diferença
| Cartão de incidente | Plano de incidentes | |
|---|---|---|
| O quê | Uma folha A4 com os primeiros passos e os números | Algumas páginas com funções, acordos e desenvolvimento por tipo de incidente |
| Para quem | Toda a gente na empresa | O proprietário ou a pessoa que trata da informática |
| Onde | Em papel, na parede junto à impressora, na gaveta, como fotografia no telemóvel | Em papel e digital, com uma cópia fora da empresa |
| Quando | Os primeiros minutos | As primeiras horas e dias |
Para uma empresa de dois a vinte colaboradores, o cartão é o mais importante. O plano pode ser curto. O NCSC neerlandês tem um plano de resposta a incidentes de ransomware detalhado (ver Para saber mais); pode usá-lo como ponto de partida e reduzi-lo.
O que consta do cartão de incidente
Um bom cartão responde a cinco perguntas. Segue um modelo que pode usar.
CARTÃO DE INCIDENTE Padaria Exemplo versão: 1 data: ..-..-....
1. NOTOU ALGO ESTRANHO? (ecrã vermelho, e-mail estranho enviado, início de sessão falha,
pagamento desconhecido, portátil perdido, dados enviados ao destinatário errado)
-> Comunique IMEDIATAMENTE a: ............................ tel: ...............
Suplente: .......................................... tel: ...............
Comunicar é sempre bom. Ninguém é culpado por isso.
2. PRIMEIROS PASSOS (não tente reparar sozinho)
[ ] Retirar o cabo de rede / desligar o wifi / modo de avião. NÃO desligar o equipamento.
[ ] Desligar discos usb e de cópia de segurança. NÃO ligar.
[ ] Tirar fotografia ao ecrã (com o telemóvel).
[ ] Anotar: hora, o que viu, o que fez.
[ ] Não pagar, não responder ao extorsionário.
3. A QUEM TELEFONAMOS?
Apoio informático / administrador ............................ tel: ...............
Alojamento / e-mail ............................ tel: ...............
Banco (fraude, 24/7) ............................ tel: ...............
Seguradora (cibersegurança) ............................ apólice: .............
Polícia (queixa) ...............
Notificação de fuga de dados à CNPD https://www.cnpd.pt/ (no prazo de 72 horas)
Cliente/fornecedor importante: ................... tel: ...............
4. QUEM DECIDE E QUEM FALA?
Decide (desligar, restaurar, notificar, pagar): ..........................
Fala com clientes, imprensa, pessoal: ........................................
Mantém o registo: .....................................................
5. ONDE ESTÁ O QUÊ?
Cópias de segurança: .............................. (último teste: ..-..-....)
Acesso de emergência ao gestor de palavras-passe: ...........................................
Lista de sistemas e contas: ..........................................
Este plano (digital) + cópia fora da empresa: ..............................Algumas escolhas deste modelo merecem explicação.
- "Não desligar, mas sim desconectar." Em caso de ransomware, o NCSC neerlandês aconselha retirar imediatamente o dispositivo afetado da rede (cabo, wifi, rede móvel), mas não desligá-lo; o modo de suspensão pode ser usado. Na memória de trabalho ficam vestígios de que um investigador pode precisar, e por vezes até chaves de encriptação. Desconectar interrompe a propagação para outros dispositivos e para o disco de rede.
- "Não ligar os discos de cópia de segurança." Um disco ligado a um computador infetado também fica encriptado. Primeiro é preciso ter a certeza de que o ambiente está limpo (lição 8.3).
- "Comunicar é sempre bom." O colaborador que primeiro repara em algo é a sua melhor defesa. Se tiver medo de ser repreendido, espera, e perde horas valiosas. Ver também a lição 9.2.
- Números em papel. Precisamente num incidente grave, o e-mail, a agenda partilhada e por vezes até a central telefónica podem não funcionar. Um cartão que só exista na cloud desaparece nessa altura.
Em Portugal, contacte a polícia para apresentar queixa; em caso de perigo imediato, ligue 112, mas um ataque informático normalmente não é uma situação de emergência 112.
Funções: quem faz o quê
Numa empresa pequena, uma pessoa faz muitas vezes tudo. Mesmo assim, defina três funções, mesmo que duas tenham o mesmo nome:
- O decisor. Decide sobre desligar, restaurar, notificar a CNPD, contactar o banco, e a questão de contratar ou não um especialista externo. De preferência o proprietário ou diretor, com um substituto fixo.
- A linha técnica. O seu fornecedor de informática, o criador do site ou o colega com conhecimentos. Executa o que o decisor pede e aconselha. Combine previamente se o seu fornecedor de informática também ajuda em caso de incidente, com que rapidez, e quanto custa; esta é uma questão para a lição 7.2.
- O comunicador. Fala com clientes, pessoal e eventualmente a imprensa, para que exista apenas uma versão dos factos para o exterior. Em caso de fuga de dados, isto também inclui informar os titulares dos dados (lição 8.2).
Designe também alguém que mantenha um registo: hora, o que aconteceu, quem decidiu o quê. Pode parecer burocrático, mas vai precisar disso para a notificação à CNPD (que pergunta quando descobriu a fuga e o que fez), para a seguradora, para a queixa à polícia e para a avaliação posterior.
O plano: algumas regras por tipo de incidente
Além do cartão, escreva uma abordagem curta para cada incidente comum. Quatro são suficientes para começar:
| Incidente | Primeiros passos | Depois |
|---|---|---|
| Conta de e-mail tomada por terceiros (e-mails estranhos enviados, a palavra-passe não funciona) | Alterar a palavra-passe a partir de outro dispositivo limpo; terminar sessão em todas as sessões; verificar regras de reencaminhamento e filtros; ativar 2FA | Avisar os contactos; verificar que e-mails foram lidos ou enviados (possível fuga de dados, lição 8.2) |
| Ransomware | Desconectar, não desligar; desconectar as cópias de segurança; telefonar ao apoio informático; não pagar | Lição 8.3: investigação, recuperação limpa, queixa, No More Ransom |
| Portátil ou telemóvel perdido | Bloquear ou apagar remotamente; alterar as palavras-passe das contas guardadas; revogar sessões | O disco estava encriptado? Se não: possível fuga de dados (lição 8.2) |
| Pagamento suspeito ou fraude de faturas | Telefonar imediatamente ao banco (um estorno só costuma resultar se for rápido); telefonar ao fornecedor para um número conhecido | Queixa à polícia; a caixa de correio do fornecedor ou a sua foi pirateada? (lição 1.2) |
Registe também quais os sistemas mais importantes, por ordem. Na Padaria Exemplo, isso é, por exemplo: caixa e pagamento por cartão, encomendas do dia, e-mail, contabilidade, site. Na recuperação, comece pelo topo. Ver também RPO e RTO na lição 6.3.
Treinar: meia hora à mesa
Um plano que ninguém conhece não funciona. Um exercício tabletop custa meia hora: senta-se à mesa com as pessoas que têm uma função e simula um cenário, sem tocar em nada. O moderador (pode ser você mesmo) vai descrevendo passo a passo o que acontece.
Exemplo: "É sexta-feira, 16h30. O contabilista recebe um e-mail de um fornecedor habitual: o IBAN mudou, pede-se que a fatura pendente de 8.400 euros seja paga ainda hoje para o novo número. O que faz?" E depois: "É segunda-feira. O fornecedor telefona: não recebeu nada." Em cada passo pergunte: quem faz o quê, a quem telefona, onde está esse número?
No final, anote o que faltou. Quase sempre é um número de telefone, uma palavra-passe que só uma pessoa conhece, ou falta de clareza sobre quem decide. Atualize o cartão e coloque a nova data. Treinar uma vez por ano e rever o cartão é um bom ritmo para uma pequena empresa, e também após cada alteração importante (novo fornecedor de informática, novo programa de contabilidade).
Na prática: é assim que se apresenta
Inclua também no seu cartão os locais concretos onde pode intervir rapidamente junto dos seus próprios fornecedores. Na WebOké, isso é, por exemplo: ver e terminar sessões ativas em O meu WebOké, o plano de passos "O meu site foi pirateado" no manual do DirectAdmin, e a restauração de uma cópia de segurança. Noutros fornecedores de alojamento, e-mail e cloud existem funcionalidades semelhantes; procure-as antes de precisar delas, e anote onde se encontram.
Resumo
- Um cartão de incidente (uma folha A4, em papel) garante que todos, nos primeiros minutos, fazem o correto: comunicar, desconectar mas não desligar, não ligar as cópias de segurança, não pagar nada.
- Defina funções: quem decide, quem executa o trabalho técnico, quem comunica, quem mantém o registo.
- Escreva uma abordagem curta para cada incidente comum e a ordem dos seus sistemas mais importantes.
- Guarde os números e o plano também fora dos seus computadores.
- Treine anualmente meia hora à mesa e atualize o cartão.
Questionário
Exercício
Exercício D8.1: O seu próprio cartão de incidente. Utilize o modelo desta lição e preencha-o para a sua própria empresa: nomes reais, números e locais. Imprima-o, afixe-o e tire uma fotografia para o telemóvel. Depois, com um colega (ou sozinho), simule o cenário do IBAN desta lição em um quarto de hora, e anote o que lhe faltou.
Exercício D8.1: O seu próprio cartão de incidente
Faça assim: (1) Reproduza o modelo abaixo (a página do curso também o disponibiliza como página imprimível; não há envio para o servidor). (2) Preencha com nomes, números de telefone e locais reais. Ligue para pelo menos um número para confirmar que está correto (por exemplo, o número de fraude do seu banco, que normalmente consta no verso do cartão ou na aplicação). (3) Imprima o cartão, coloque-o num local fixo e tire uma fotografia para guardar no telemóvel. Guarde uma cópia fora da empresa (em casa ou junto de uma pessoa de confiança). (4) Simule, com um colega ou sozinho, em quinze minutos, o cenário do IBAN da lição (exercício de simulação).
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores funciona de forma semelhante.
- Manual DirectAdmin 18.2: O meu site foi pirateado: plano de ação
- Ajuda! O meu site foi pirateado. Como posso resolver ou evitar isso?
- Manual do WebOké 3.6: Ver e terminar sessões ativas
- NCSC neerlandês, O que fazer em caso de ataque de ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
- NCSC neerlandês, Plano de resposta a incidentes de ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
- Polícia neerlandesa, Fui vítima de ransomware: https://www.politie.nl/informatie/ik-ben-slachtoffer-van-ransomware.html