Preparar-se para um incidente antes que ele aconteça
O que escrever com antecedência
Quem lidera, quem fala com os clientes, quem enfrenta o regulador e como se comunica fora dos sistemas que podem estar comprometidos. Uma lista de contatos dos fornecedores críticos e detalhes do seguro, se houver.
Procedimentos básicos: como cortar o acesso, como revogar tokens, como congelar um ambiente preservando as evidências.
A ordem das ações
Parar a propagação, preservar as evidências, avaliar o escopo, corrigir e só então voltar ao normal. Não delete um sistema comprometido antes de coletar o necessário — é destruição de evidências que vai voltar para você.
Documente cada ação com um horário. Isso é depois a base do relatório.
Notificação
Há casos com obrigação de notificar autoridades e afetados, às vezes num prazo curto. Verifique isso com antecedência com quem é qualificado — não no meio do incidente.
Indo mais fundo
Faça um simulacro de mesa uma vez por ano: um cenário, um relógio e todos os titulares de funções na sala. O simulacro sempre revela duas ou três lacunas básicas — uma permissão que ninguém tem, um contato que saiu ou um procedimento que depende de um sistema que, no próprio cenário, não está disponível.