Incidentes: ciclo NIST 800-61; evento × incidente; CSIRT; LGPD art. 48

A ideia que organiza o assunto

O título do tópico promete o ciclo do NIST SP 800-61 e a distinção entre evento e incidente. Medido contra os 40 itens do corpus, nenhum dos dois carrega o tópico: o guia do NIST é citado nominalmente em 3 itens, e o par evento × incidente decide 2. O art. 48 da LGPD, que também está no título, não é cobrado em nenhum item — a LGPD aparece duas vezes, e nas duas por outro dispositivo.

O peso real está em outro lugar, e é aqui que o tópico se ganha:

do que os 40 itens realmente tratam	itens
continuidade, desastre, contingência e recuperação	11
normas brasileiras de governo (LGPD, GSI/CTIR Gov, CNJ, nuvem)	8
equipes de resposta: papel, composição, limites de atuação	8
ordem das fases (NIST, SANS, plano brasileiro)	9
evento × incidente	2

Ninguém decora quatro corpos normativos diferentes. O que funciona é notar que os itens errados, quase todos, caem em uma de três perguntas.

Quando? Cada atividade tem exatamente um endereço na linha do tempo do incidente: antes dele (preparação, política, equipe montada), durante (detectar e analisar, conter, erradicar, recuperar) e depois (lições aprendidas). A banca pega uma atividade verdadeira e a move uma casa — mede o impacto na contenção, recupera antes de erradicar, monta a equipe de resposta na manutenção.

Quem? A equipe técnica trata o incidente. A direção decide. A autoridade pública investiga e pune. O provedor executa o que foi pactuado. O regulador tem plano próprio. Item que dê ao CSIRT poder de investigar crime, ou que ponha o Banco Central no plano de quem ele mesmo regula, erra por esta pergunta.

Quanto? Nenhuma norma de incidente promete tudo. Ela promete reduzir probabilidade e impacto, comunicar de forma controlada e registrar para aprender. Quando o item diz eliminar, garantir, sigilo absoluto, exclusivamente ou apenas, está prometendo mais — ou menos — do que a norma entrega.

Dezessete dos dezenove itens errados do tópico caem em uma dessas três perguntas.

Como funciona

O ciclo do NIST SP 800-61. São quatro fases, e a terceira é tripla: preparação; detecção e análise; contenção, erradicação e recuperação; atividade pós-incidente. A contagem confunde porque as três ações do meio parecem fases autônomas — não são, e é por isso que o ciclo tem quatro etapas e não seis. A ordem interna do trio também não é decorativa: contém para estancar o dano enquanto ainda não se sabe tudo, erradica para remover a causa (apagar o artefato, fechar a brecha, eliminar as contas criadas pelo atacante) e recupera para devolver o ambiente à operação normal. Restaurar antes de erradicar é reconstruir o sistema com o invasor ainda dentro.

A preparação é a única fase inteiramente anterior ao incidente. É ali que se definem políticas, procedimentos, ferramentas, canais e — o ponto mais cobrado — os níveis de autoridade da equipe, inclusive a autoridade para confiscar ou desconectar equipamentos e para monitorar atividade suspeita. O guia manda escrever isso na política da organização, antes, por escrito, porque no meio do incidente não há tempo de negociar competência.

Dimensionar o impacto pertence à detecção e análise: é o que permite priorizar. A contenção vem depois e consome esse diagnóstico — só se escolhe estratégia de contenção quando já se sabe o que foi atingido.

O ciclo do SANS. O Incident Handler’s Handbook usa seis fases: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas. A diferença que cai é a subdivisão da contenção em curto prazo e longo prazo. Curto prazo é o que se faz primeiro: isolar o segmento infectado, desviar o tráfego para servidores de contingência — medidas rápidas e reversíveis, feitas para ganhar tempo, não para serem elegantes. Só depois vêm o backup do sistema comprometido, para preservar evidência, e a contenção de longo prazo.

Evento × incidente, e a direção da seta. Esta distinção rende pouco em quantidade e muito em confusão, porque a inclusão só vale em um sentido:

Um evento adverso, confirmado ou apenas sob suspeita, relacionado à segurança de sistemas ou de redes, é tratado como incidente de segurança. A confirmação vem da análise; exigi-la de antemão impediria acionar o tratamento na janela em que ele é mais eficaz.
Mas nem todo incidente de rede é evento de segurança da informação. Enlace rompido, congestionamento e falha de equipamento são incidentes de rede que não comprometem confidencialidade, integridade, disponibilidade ou autenticidade.

Larga na entrada, estreita na triagem. Uma seta vale, a outra não.

A equipe de resposta. O núcleo é técnico — especialistas em segurança, administradores de sistemas e de redes —, mas a resposta depende de áreas que não são técnicas: jurídico, recursos humanos, comunicação social, segurança física, alta direção. Por isso a composição é aberta a perfis técnicos e administrativos, sem vedação prévia de carreira, e por isso o reforço temporário por especialistas externos (forense aprofundada, engenharia reversa) é previsto, com controle contratual e de acesso, e não proibido.

O que a equipe não faz é tão cobrado quanto o que ela faz. Ela detecta, analisa, contém, erradica, recupera e preserva evidência. Investigação criminal é ato de autoridade pública; a decisão de acionar a justiça é da organização, por suas áreas jurídica e de direção. E a equipe não é só reativa: alertas, boletins, avaliação de vulnerabilidades, conscientização e endurecimento de configuração são serviços proativos, e o aprendizado pós-incidente é medida preventiva voltada à próxima ocorrência.

O FIRST CSIRT Services Framework tem três níveis nomeados, e a prova troca o nível mantendo o nome. No topo, áreas de serviço: gerenciamento de eventos, gerenciamento de incidentes, gerenciamento de vulnerabilidades, consciência situacional e transferência de conhecimento. No meio, serviços. Na base, funções — a atividade concreta, como a análise de mídia ou de superfície, que examina o artefato sem executá-lo e produz suas características, sua assinatura, a intenção maliciosa, o impacto e as medidas de mitigação.

A cadeia normativa brasileira. Quatro camadas que caem juntas e se confundem:

LGPD. O programa de governança em privacidade é facultativo na adesão (o verbo da lei é poderá) e tem conteúdo mínimo obrigatório uma vez adotado — e entre esses mínimos estão os planos de resposta a incidentes e remediação. Somadas às medidas de segurança e à comunicação do incidente relevante, essas exigências só são executáveis sobre um processo formal de gestão de incidentes.
Decreto n.º 10.748/2021 — ReGIC. Institui a Rede Federal de Gestão de Incidentes Cibernéticos, coordenada pelo GSI por meio do CTIR Gov. A participação de órgãos e entidades da administração federal direta, autárquica e fundacional é obrigatória; a de empresas públicas e sociedades de economia mista é voluntária, por adesão. Os órgãos devem comunicar imediatamente ao CTIR Gov vulnerabilidades e incidentes que impactem ou possam impactar os serviços prestados ou contratados — não apenas os mais graves.
O plano, e quem fica de fora. O PGIC-APF orienta as equipes dos órgãos e entidades federais exceto as agências reguladoras, o Banco Central do Brasil e a Comissão Nacional de Energia Nuclear: esses três têm planos setoriais, porque são normativos sobre seus setores e centralizam as notificações das entidades reguladas. No plano, resposta é o trio contenção, erradicação e recuperação.
Nuvem e Judiciário. Em nuvem, o processo de tratamento de incidentes é elaborado junto ao provedor, não herdado dele, e comunicado à equipe de gerenciamento da nuvem — contratar não transfere responsabilidade, só distribui execução. No Judiciário, as normas do CNJ alcançam todos os órgãos à exceção do STF, e é nesse recorte que a instituição obrigatória de ETIR se impõe.

Continuidade, que é onde o tópico realmente pesa. Três planos, três perguntas diferentes:

O plano de continuidade de negócios mantém o negócio funcionando, com TI ou sem ela.
O plano de contingência cobre o intervalo entre a falha e o restabelecimento: descreve como operar em modo degradado — inclusive voltando ao procedimento manual, em papel ou planilha — enquanto o sistema é recuperado. Aceita solução pior, desde que temporária e desde que o serviço essencial siga de pé.
O plano de recuperação de desastres é o procedimento documentado que restabelece dados e serviços de TI: o que fazer, em que ordem, por quem, em que prazo. Estrutura-se em prevenir, detectar e recuperar — detectar tarde encarece a recuperação, e por isso a detecção não é acessória.

Nenhum deles elimina o risco. O plano reduz probabilidade e impacto e aceita perda residual: a própria existência de um RPO maior que zero mostra que alguma perda é tolerada por projeto. E o becape entra na estratégia sem esgotá-la — ele preserva o dado, não a infraestrutura de destino.

O que decide os itens

As três perguntas, e o que cada uma responde:

pergunta	o que verificar	erro típico
Quando?	a atividade está na fase certa da linha do tempo	recuperar antes de erradicar; medir impacto na contenção; montar a equipe na manutenção
Quem?	papel técnico × poder de decisão × autoridade pública × provedor × regulador	CSIRT investigando crime; BACEN dentro do PGIC-APF; provedor como único responsável
Quanto?	a força do comando: reduzir e comunicar, não eliminar e silenciar	eliminar qualquer possibilidade; sigilo absoluto; exclusivamente; apenas

Ciclos lado a lado:

	NIST SP 800-61	SANS Handbook	Plano brasileiro (PGIC)
fases	4	6	prevenção, preparação, tratamento, resposta
antes do incidente	preparação	preparação	prevenção e preparação
descobrir e medir	detecção e análise	identificação	tratamento
agir	contenção, erradicação e recuperação (uma fase)	contenção (curta e longa), erradicação, recuperação	resposta = contenção + erradicação + recuperação
depois	atividade pós-incidente	lições aprendidas	lições aprendidas

Fase por atividade — a tabela que resolve os itens de “quando”:

atividade	fase
definir política, papéis e níveis de autoridade	preparação
montar a equipe e o plano de resposta	preparação (e, no SDLC, fase de liberação)
levantar a linha de base do ambiente	preparação
dimensionar o impacto e priorizar	detecção e análise
isolar segmento, desviar tráfego para failover	contenção de curto prazo
preservar evidência e fazer o backup do sistema	entre contenção curta e longa
remover artefato, fechar brecha, matar contas do atacante	erradicação
restaurar dados e serviços, trocar senhas em massa	recuperação
apurar causa raiz e realimentar controles e treinamento	pós-incidente

Evento × incidente — evento adverso suspeito conta como incidente de segurança; incidente de rede não é automaticamente evento de segurança da informação.

PCN × plano de contingência × DRP — manter o negócio × operar em modo degradado no intervalo × restabelecer dados e serviços de TI.

Equipe de resposta: pode × não pode:

pode	não pode
detectar, analisar, conter, erradicar, recuperar	investigar criminalmente
preservar e documentar evidência	decidir o acionamento da justiça
prevenir: alertas, varreduras, conscientização	punir, autuar, processar
receber perfis não técnicos e reforço externo temporário	substituir a polícia, o MP ou a direção

Níveis do FIRST — área de serviço (topo) × serviço (meio) × função (base). Gerenciamento de incidentes de segurança da informação é área; análise de mídia ou de superfície é função.

Análise de artefato — superfície (examina sem executar) × dinâmica ou de tempo de execução (observa executando) × engenharia reversa (desmonta o código).

Quem responde na nuvem — o provedor pela segurança da nuvem (instalações, hardware, virtualização, rede, transporte); o usuário pela segurança na nuvem (dados, classificação, identidades, configuração, o que se coleta e como se processa). Tratamento de incidentes: pactuado entre os dois, formalizado antes.

TLP — RED só para os presentes nomeados; AMBER, divulgação limitada à organização do destinatário e a clientes que precisem se proteger; GREEN, dentro da comunidade; CLEAR (antigo WHITE), sem restrição.

Normas brasileiras, quem alcança quem:

norma	alcança	não alcança
PGIC-APF (Decreto n.º 10.748/2021)	órgãos e entidades federais direta, autárquica e fundacional	agências reguladoras, BACEN e CNEN — que têm planos setoriais
ReGIC	participação obrigatória da administração direta, autárquica e fundacional	empresas públicas e sociedades de economia mista: voluntária, por adesão
normas do CNJ	todo o Poder Judiciário	o STF

Comandos que a prova troca — net session lista as sessões de clientes conectados ao computador; net share lista os compartilhamentos locais; net view lista os de uma máquina remota.

COBIT 5 — registrar, classificar, priorizar, investigar e diagnosticar chamados é DSS02 (requisições de serviço e incidentes); achar a causa raiz de incidentes recorrentes é gestão de problemas; alterar o ambiente é gestão de mudanças.

Números que caem

Nenhum item do tópico foi derrubado por número trocado. Estes valem pela memória, não pela pegadinha:


fases do ciclo NIST SP 800-61	4 (a terceira é tripla)
fases do SANS Incident Handler’s Handbook	6
ações que compõem a resposta no plano brasileiro	3: contenção, erradicação e recuperação
subdivisões da contenção no SANS	2: curto e longo prazo
áreas de serviço do FIRST CSIRT Services Framework	5
níveis hierárquicos do FIRST	3: área de serviço, serviço, função
níveis do TLP	4: RED, AMBER, GREEN, CLEAR
planos de resposta a incidentes na LGPD	art. 50, § 2º, I — conteúdo mínimo do programa de governança
ReGIC e CTIR Gov	Decreto n.º 10.748/2021
ETIR no Judiciário	Portaria CNJ n.º 162/2021
excluídos do PGIC-APF	3: agências reguladoras, BACEN, CNEN

Como a CEBRASPE derruba você aqui

Medido sobre os 19 itens errados dos 40 do tópico. Três padrões respondem por 17 deles; numero_errado, excecao_omitida, escopo_ampliado e relacao_causal não ocorrem nenhuma vez.

Regra invertida — 6 de 19 (32%). A banca pega uma recomendação da norma e a vira do avesso, mantendo o resto da frase intacto: “A etapa de recuperação antecede a etapa de erradicação”, “convém evitar o uso de casos de incidentes atuais de segurança da informação em treinamentos ou palestras”, “é recomendável evitar (…) a integração temporária de especialistas externos”, “a definição dessa autoridade não cabe no escopo das políticas de resposta a incidentes”, “não reduz a probabilidade de ocorrência de desastres”, e o item que troca o exceto das do decreto por um e das, pondo agências reguladoras, Banco Central e CNEN dentro do plano do qual a lei os exclui. A defesa: quando o item fizer a norma proibir algo, desconfie — o 800-61 e a 27002 quase nunca proíbem, eles condicionam. E quando o item reproduzir quase literalmente um dispositivo longo, procure primeiro a ressalva que sumiu.

Promessa demais ou de menos — 6 de 19 (32%). O operador que fecha a frase é o que a derruba, e os elementos listados costumam ser todos verdadeiros: “Todo incidente de rede é um evento de segurança da informação classificado”, “envolve exclusivamente os incidentes de violação de dados e interrupção de serviços”, “o sigilo absoluto dos fatos ocorridos após a detecção e contenção”, “restringem-se aos causados por falhas em equipamentos e softwares”, “apenas dos incidentes que impliquem perda de vidas ou vazamento de informação restrita”, “eliminar qualquer possibilidade de desastre ou perda de dados”. A defesa é mecânica: troque eliminar por reduzir, absoluto por controlado, exclusivamente por entre outros, e releia. Se a frase melhorar, o item estava errado. E leia a lista pelo que falta — foi por isso que “desastres de TI” sem causa natural caiu.

Ator ou fase errada — 5 de 19 (26%). A ação descrita existe e está correta; o dono é que não é aquele. Fases: “Na etapa de contenção (…) é feita a detecção do impacto”, “Na fase de suporte e manutenção” para constituir a equipe de resposta. Atores: “investigar criminalmente os incidentes ocorridos e decidir sobre o acionamento da justiça” atribuído ao CSIRT; a função recuperar do NIST CSF descrita sob o nome de proteger. Ferramentas: “exibe pastas compartilhadas que estão disponíveis no sistema” dito do net session. A defesa é sempre a mesma: leia a descrição, nomeie você mesmo a fase, o ator ou o comando, e só então olhe o nome escrito no item.

Nível trocado dentro do mesmo vocabulário — 2 de 19 (11%). O termo certo, uma camada acima ou abaixo: “é uma função oferecida pelo First CSIRT Services Framework” para o que é área de serviço; “têm permissão para disseminá-lo livremente” para o TLP:AMBER, que é a definição do CLEAR. Frameworks com níveis nomeados e escalas com degraus são o terreno desse erro — decore o vocabulário exato de cada camada e a ordem exata de cada escala.

O que a medição desmente. Vale registrar o que não derruba ninguém aqui, porque é onde o candidato costuma gastar tempo: nenhum item foi decidido por prazo, percentual ou versão trocada, e o eixo evento × incidente — que dá nome ao tópico — decide 2 itens em 40. A ordem das fases, a autoridade de cada ator e a força do verbo valem muito mais estudo do que a definição de evento.

Erros clássicos

Contar seis fases no NIST. São quatro; contenção, erradicação e recuperação formam uma fase. Contar as ações como etapas autônomas é a distorção mais barata do tópico — e é o que faz o candidato aceitar uma ordem invertida sem perceber.

Achar que plano nenhum reduz probabilidade, ou que algum elimina risco. Os dois erros são simétricos e a banca usa os dois. O plano de gestão de incidentes atua antes também: preparação, detecção precoce e lições aprendidas corrigem a fraqueza que provocaria a próxima ocorrência. E nenhum plano elimina a possibilidade de desastre — se eliminasse, não haveria o que recuperar.

Confundir os três planos. PCN mantém o negócio; contingência opera em modo degradado no intervalo; DRP restabelece dados e serviços de TI. Item que faça um deles bastar sozinho, ou que exija da contingência o desempenho do ambiente original, está errado por essa linha.

Achar que becape é estratégia de recuperação completa. Ele preserva o dado. Restaurar exige um ambiente de destino — instalações, energia, rede, servidores, sistemas operacionais, licenças —, que é objeto do site alternativo e do DRP.

Dar poder de polícia ao CSIRT. A equipe preserva evidência e sustenta a decisão; quem investiga crime é a autoridade, e quem decide acionar a justiça é a organização.

Tratar o CSIRT como puramente reativo. Prevenção é serviço de catálogo, não gentileza: alertas, boletins, avaliação de vulnerabilidades, conscientização.

Achar que sigilo é a regra depois do incidente. Depois de detectar e conter, o plano exige registro, comunicação às partes afetadas, notificação a autoridades quando a lei manda e divulgação interna das lições. O que se protege é a informação sensível e a cadeia de custódia — confidencialidade regulada, não silêncio. Pela mesma razão, casos reais de incidentes devem alimentar o treinamento de conscientização.

Esquecer que o BACEN fica de fora do PGIC-APF. Agências reguladoras, Banco Central e CNEN têm planos setoriais próprios. Para quem vai prestar concurso no Banco Central, este é o dispositivo com maior chance de cair e maior chance de ser lido no automático.

Esquecer a ressalva do STF. Norma do CNJ alcança todo o Judiciário menos o Supremo Tribunal Federal. O item certo menciona a ressalva; o errado a suprime ou a estende a outro tribunal superior.

Achar que contratar nuvem transfere a responsabilidade pelo incidente. O processo de tratamento é elaborado junto ao provedor e comunicado formalmente; a responsabilidade permanece do órgão, a execução é que se divide.