As primeiras horas
Quando se deteta um incidente de segurança real, as primeiras horas decidem quase tudo. E são as piores para improvisar: há pressão, informação incompleta e muitas pessoas a perguntar ao mesmo tempo. Sem um guião, perde-se tempo no básico: quem coordena, a quem se avisa, o que se pode desligar, quem fala com os clientes.
As fases do guião
Um guião de resposta segue fases reconhecíveis:
- Detetar e classificar: é um incidente real?, que gravidade tem? A gravidade decide a quem se avisa e com que urgência.
- Conter: limitar o dano. Isolar um sistema, desativar uma credencial, bloquear um acesso. Estas decisões estão autorizadas de antemão no guião, para não esperar aprovações a meio do incidente.
- Investigar: o que aconteceu, desde quando, o que alcançou. Aqui nota-se se os registos existiam e estavam protegidos.
- Erradicar: eliminar a causa: o acesso do atacante, a vulnerabilidade, a configuração fraca. Rodar tudo o que possa ter ficado comprometido.
- Recuperar: voltar ao serviço normal com segurança, com os procedimentos de desenhar para falhar.
- Aprender: análise sem culpados e ações permanentes.
Papéis escritos
O guião diz quem coordena (uma só pessoa decide), quem investiga, quem comunica (dentro e fora) e quem decide o que o guião não prevê. Também diz a quem há que avisar fora e em que prazo: clientes afetados, fornecedores e, quando a regulação o exige, as autoridades.
Ensaiar
Um guião que nunca foi ensaiado tem os mesmos problemas que uma cópia de segurança que nunca foi restaurada. Os ensaios podem ser simples: uma sessão de duas horas em que se apresenta um cenário («uma credencial de administração aparece num repositório público») e a equipa percorre o guião passo a passo. Cada ensaio encontra algo para corrigir, e isso é exatamente o que se procura.
Falta uma última ideia, a que une toda a série: que a segurança não seja vivida como um travão.
Como o aplicamos: Cibersegurança.