Plano de resposta a incidentes de segurança

Plano de resposta a incidentes de segurança

Como detectar, classificar, conter e comunicar um incidente com dados pessoais, com os prazos e destinatários exigidos pelo art. 48 da LGPD.

Procedimento exigido na prática pelo art. 48 da LGPD: o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante.

Documento operacional — escrito para ser seguido sob pressão, não para ser bonito.

• Responsável: Valmor Martins do Nascimento (Encarregado)
• Contato: [email protected]

1. Detectar

Sinais que disparam este plano:

• Acesso não autorizado a banco ou Storage.
• Credencial exposta (chave de service role, token de provedor, senha).
• Falha de RLS permitindo leitura de dado alheio.
• Arquivo privado acessível sem autorização.
• Comportamento anômalo em ai_request_logs ou page_views (volume atípico).
• Aviso de terceiro: pesquisador, cliente, provedor.

2. Conter (primeiras horas)

Ordem importa — conter antes de investigar.

1. Revogar a credencial comprometida. Chave de service role: rotacionar no painel do Supabase e atualizar a variável no Cloudflare.
2. Encerrar sessões ativas, se houver suspeita de sequestro de conta.
3. Fechar o vetor: corrigir a policy, o endpoint ou a permissão.
4. Preservar evidência antes de limpar: exportar logs relevantes; anotar horários com fuso.
5. Não apagar rastros — eles são necessários para dimensionar o incidente e para a comunicação à ANPD.

3. Classificar

Considerar alta por padrão quando envolver: dados de pagamento, documentos enviados em orçamento, conteúdo de conversas de IA, ou qualquer volume acima de algumas dezenas de titulares. Na dúvida, escalar.

4. Comunicar

À ANPD

Prazo: em prazo razoável, conforme regulamentação vigente da ANPD — confirmar o prazo atual no portal, pois já foi objeto de mudança. Não esperar ter todas as respostas: comunicar com o que se sabe e complementar depois.

Conteúdo mínimo (art. 48 §1º):

1. Descrição da natureza dos dados afetados.
2. Informações sobre os titulares envolvidos.
3. Medidas técnicas e de segurança utilizadas para proteção dos dados.
4. Riscos relacionados ao incidente.
5. Motivos da demora, se a comunicação não foi imediata.
6. Medidas adotadas para reverter ou mitigar os efeitos.

Canal: portal da ANPD — gov.br/anpd.

Aos titulares

Modelo:

Assunto: Comunicado sobre um incidente de segurança

Identificamos em [data] um incidente que pode ter exposto os seguintes dados seus: [lista específica].

O que aconteceu: [descrição em linguagem simples, sem jargão].

O que já fizemos: [contenção e correção].

O que recomendamos que você faça: [ação concreta — trocar senha, observar extrato, desconfiar de contato em nosso nome].

Comunicamos a Autoridade Nacional de Proteção de Dados. Dúvidas: [email protected].

Arvore da Vida Comercio e Confeccoes Ltda (Green.go Ecodesign)

Regras: comunicar individualmente quando os titulares forem identificáveis; ser específico sobre quais dados; não minimizar; não prometer o que não se pode cumprir.

5. Registrar

Todo incidente, mesmo de gravidade baixa, gera um registro com: data e hora da detecção, como foi detectado, dados e titulares afetados, causa raiz, contenção aplicada, comunicações feitas, e correção definitiva.

Esse histórico é o que demonstra diligência numa eventual fiscalização — a ausência de registro é interpretada como ausência de controle.

6. Corrigir a causa raiz

Incidente encerrado só depois de:

• Correção permanente aplicada (não só o paliativo da contenção).
• Verificação de que o mesmo vetor não existe em outro lugar do sistema.
• Atualização do registro de tratamento e do RIPD, se o incidente revelou risco não mapeado.
• Se aplicável, teste automatizado ou verificação que detecte a regressão.

Contatos úteis