Estabeleça definições e categorizações específicas para atividades de segurança, como o que constitui um evento em comparação com um incidente e quando um incidente se transforma em uma crise.

Inclua uma matriz de gravidade que priorize cada categoria de incidente, defina quando um incidente se enquadra em cada nível de gravidade e especifique o cronograma de resposta necessário.

Especifique as funções e responsabilidades da equipe principal de resposta a incidentes, incluindo autoridades de decisão, executivos seniores, diretores, consultores jurídicos externos, especialistas em perícia digital, relações públicas e provedores de seguro cibernético.

Mantenha um plano de comunicação que inclua as partes interessadas internas e um modelo aprovado por um advogado especificando um plano adequado de quem contatar primeiro e quando.

Defina um cronograma recorrente de treinamento, teste e manutenção que inclua exercícios simulados de mesa que abordem diferentes vetores de ataque para manter sua equipe e seus procedimentos prontos.

Os ambientes corporativos de nuvem e híbridos apresentam desafios únicos para a resposta a incidentes devido à arquitetura distribuída e ao modelo de responsabilidade compartilhada. Um modelo de nuvem empresarial descreve o que incluir para segurança multilocatário, identidade e ameaças baseadas em API, além de investigar incidentes em cargas de trabalho temporárias. Esses modelos incorporam ferramentas nativas da nuvem para monitoramento e análise forense, definem procedimentos para coordenação com provedores de serviços de nuvem e estabelecem protocolos para preservação de evidências em ambientes dinâmicos. Você pode conferir orientações específicas para a nuvem na página da Web Cloud Security Alliance Cloud Incident Response Framework e analisar fluxos de trabalho de resposta a incidentes padronizados na página de recursos Cybersecurity Incident and Vulnerability Response Playbooks da CISA.

Baixe o manual de resposta a incidentes da CISA (PDF)

Os modelos de resposta a incidentes de segurança de computadores e TI empresarial se concentram na proteção de endpoints e na segurança de rede em infraestruturas locais e híbridas. Esses modelos resumem procedimentos abrangentes para lidar com infecções de malware, tentativas de acesso não autorizado e violações de dados que afetam estações de trabalho e servidores. Eles incluem etapas detalhadas para isolar os sistemas afetados, coletar evidências forenses de discos rígidos e memória e restaurar as operações, mantendo a cadeia de custódia. Para orientações básicas, acesse a página da publicação mais recente do NIST, Incident Response Recommendations and Considerations (SP 800-61 Rev. 3).

Faça o download do guia NIST SP 800-61 Rev. 3 (PDF)

Os modelos criados para gerentes de cibersegurança e líderes de segurança enfatizam a coordenação estratégica e a comunicação entre várias equipes e partes interessadas. Esses frameworks resumem o que incluir em matrizes de escalonamento para envolver a liderança executiva, modelos para notificações regulatórias e procedimentos para gerenciar relações públicas durante incidentes de alto perfil. Eles também oferecem orientação sobre alocação de recursos, gerenciamento de fornecedores e relatórios pós-incidente para conselhos e órgãos regulatórios. Para uma lista de verificação de planejamento concisa, acesse a página de recursos Noções básicas do plano de resposta a incidentes (IRP) da CISA.

Baixe o guia de noções básicas do plano de resposta a incidentes da CISA (PDF)

Os modelos de resposta a incidentes de saúde abordam os desafios exclusivos de proteger os dados dos pacientes e manter os sistemas de cuidados clínicos críticos. Esses modelos descrevem os requisitos de notificação de violação da HIPAA, procedimentos para lidar com ataques de ransomware em dispositivos médicos e protocolos para manter o atendimento ao paciente durante interrupções do sistema. Eles incluem orientações específicas para trabalhar com fornecedores de registros eletrônicos de saúde, coordenar com trocas regionais de informações de saúde e gerenciar incidentes que possam afetar a segurança do paciente. Você pode navegar por kits de ferramentas de preparação específicos do setor no hub de recursos de práticas de cibersegurança do setor de saúde HHS 405(d).

Baixe o guia de práticas de segurança cibernética do setor de saúde do HHS (PDF)

O modelo do Departamento de Tecnologia da Califórnia (CDT) oferece uma estrutura abrangente projetada para agências estaduais e organizações do setor público que gerenciam serviços públicos essenciais. Esse modelo enfatiza a coordenação entre agências, os requisitos de transparência pública e os procedimentos para proteger os dados dos cidadãos, incluindo protocolos para coordenação com escritórios estaduais de gerenciamento de emergências e manutenção da continuidade dos serviços públicos durante ataques cibernéticos. Você pode conhecer outras políticas de segurança do setor público no Hub de recursos de segurança da informação do Departamento de Tecnologia da Califórnia.

Faça o download do modelo (DOC)

O modelo do National Institutes of Health (NIH) atende aos requisitos especializados de proteção de dados de pesquisa sensíveis e manutenção da integridade de ambientes de computação científica e clínica. O framework resume o que documentar ao relatar e responder a incidentes, incluindo protocolos de pesquisa afetados, impactos em ensaios clínicos, ações de contenção e medidas corretivas em institutos de pesquisa. Para saber mais sobre o contexto da política e as diretrizes de denúncia, acesse a página NIH Office of Science Policy Incident Reporting (em inglês).

Faça o download do modelo (DOCX)

As instituições acadêmicas enfrentam desafios distintos ao equilibrar ambientes de pesquisa abertos com requisitos de segurança. O modelo da Universidade de Connecticut (UConn) aborda incidentes que afetam diversas comunidades do campus, incluindo estudantes, professores e pesquisadores. Ele descreve procedimentos para lidar com incidentes durante períodos acadêmicos críticos, proteger registros de estudantes de acordo com a FERPA e coordenar respostas em departamentos de TI descentralizados. Confira a página da web dedicada ao plano abaixo para ver como a UConn estrutura os procedimentos de resposta em todo o campus.

Analise a página da web do modelo de plano de resposta a incidentes da UConn

Personalize as seções do modelo para corresponder à estrutura e aos fluxos de trabalho operacionais da sua organização. Atribua pessoas específicas, com substitutos designados, a cada função definida para que todas as partes interessadas entendam suas responsabilidades exatas durante um incidente de segurança ativo.

Preencha as listas de contatos com informações de contato principais e fora de banda atuais para todas as partes interessadas internas e externas, incluindo líderes de segurança, líderes de TI, patrocinadores executivos, fornecedores críticos, consultoria jurídica externa, contratos de retenção para resposta a incidentes e órgãos reguladores que você possa precisar notificar.

Defina os critérios de classificação de incidentes e os limites de encaminhamento com base na avaliação de risco da sua organização, especificando parâmetros mensuráveis para o que constitui um incidente de segurança menor, maior ou crítico.

Desenvolva runbooks técnicos acionáveis para os cenários de ameaça mais prováveis, como ransomware, comprometimento de credenciais ou exfiltração de dados na nuvem, detalhando procedimentos passo a passo para triagem, contenção, erradicação e recuperação.

Agende revisões e atualizações regulares do plano, incorporando as lições aprendidas com incidentes de segurança reais, mudanças na infraestrutura, atualizações de pessoal e exercícios de simulação.