Prepare o acionamento antes da ocorrência
Um plano de resposta precisa funcionar quando a equipe está sob pressão e parte dos sistemas pode estar indisponível. Defina como qualquer servidor relata uma suspeita, quem recebe o alerta e como acionar apoio fora da rotina habitual. O canal deve ser conhecido, simples e capaz de funcionar mesmo que o correio eletrônico institucional esteja afetado.
Mantenha contatos profissionais de tecnologia, responsáveis pelos serviços, proteção de dados, gestão, comunicação e fornecedores relevantes. Registre substitutos e a autoridade para interromper uma integração ou ativar uma contingência. Uma lista sem teste de contato pode falhar justamente quando for necessária. Revise também quem consegue acessar contratos e informações técnicas durante uma indisponibilidade.
Este roteiro apresenta organização preventiva e primeira atuação, sem substituir investigação especializada. Uma prefeitura pode usá-lo para descobrir lacunas e definir responsabilidades. Não deve aplicar comandos técnicos genéricos em produção sem compreender a causa e o impacto. O procedimento de contenção depende do ambiente e da ocorrência, especialmente quando serviços essenciais compartilham a mesma infraestrutura.
Diferencie suspeita, incidente e impacto
Ao receber o alerta, abra um registro com horário, origem da informação, serviço afetado e fatos observados. Separe o que foi confirmado do que ainda é hipótese. Uma página fora do ar pode decorrer de manutenção, falha operacional ou ataque. Uma mensagem suspeita não prova que houve acesso indevido, mas merece avaliação e encaminhamento.
Peça descrição objetiva, sem incentivar o servidor a reproduzir a falha ou abrir arquivos suspeitos. Capturas e mensagens relevantes devem ser preservadas em canal autorizado, com acesso limitado. Evite circular dados expostos em grupos amplos para demonstrar a gravidade; essa prática pode ampliar o próprio incidente.
Na triagem, identifique quais serviços dependem do componente afetado, quais usuários podem estar expostos e se há indícios de propagação. Registre um responsável pela coordenação e um próximo momento de atualização. A equipe precisa saber onde encontrar a versão corrente dos fatos, para não trabalhar com relatos contraditórios vindos de vários canais.
Contenha com critério e preserve evidências
A contenção busca reduzir o dano e impedir continuidade da ocorrência. Pode envolver restringir um acesso, suspender uma integração ou isolar um componente, conforme avaliação técnica autorizada. Antes de uma medida ampla, examine dependências e alternativas. Desligar um sistema indiscriminadamente pode interromper outros serviços ou apagar informação necessária à investigação.
Documente a decisão, quem autorizou, o horário e o efeito observado. Preserve registros relevantes com integridade e controle de acesso. Não apague arquivos, formate equipamentos ou altere configurações apenas para fazer o sintoma desaparecer. A recuperação deve ser planejada junto com a preservação das evidências necessárias para entender o alcance.
Se um fornecedor opera parte do ambiente, acione o contato contratual e solicite informação específica: período afetado, componentes envolvidos, dados potencialmente alcançados e providências tomadas. Expressões como “tudo normalizado” não bastam para concluir uma análise. A prefeitura precisa relacionar a resposta técnica ao serviço e às pessoas que dependem dele.
Organize a continuidade do atendimento
Liste os serviços que não podem esperar e as alternativas autorizadas. Uma contingência pode permitir registro assistido ou fila controlada, desde que preserve segurança, rastreabilidade e tratamento posterior. Não improvise uma planilha pública com dados pessoais nem migre documentos sensíveis para contas particulares para manter a operação.
Explique ao atendimento o que continua disponível, o que está suspenso e como registrar solicitações durante o período. Defina como esses registros serão reconciliados depois, para evitar perda ou duplicidade. A pessoa que já fez um pedido não deve ser orientada a repetir tudo sem que a equipe saiba o que aconteceu com o registro anterior.
Observe dependências entre órgãos e sistemas. Uma integração interrompida pode afetar jornadas que parecem distantes do ponto inicial. O guia de interoperabilidade no setor público mostra por que contratos de dados, responsáveis e contingência precisam ser definidos antes de conectar serviços. Durante o incidente, esse mapa reduz tentativas improvisadas de descobrir quem depende de quem.
Avalie a comunicação de dados pessoais
Nem todo incidente digital envolve dados pessoais, e nem toda vulnerabilidade configura um incidente confirmado. Quando houver indícios de dados pessoais afetados, envolva o controlador e os responsáveis por proteção de dados para avaliar alcance e risco. A análise deve considerar as circunstâncias concretas e as regras pertinentes, sem reduzir a decisão a uma contagem de arquivos.
A orientação vigente da ANPD sobre comunicação de incidentes informa prazo de três dias úteis para comunicação à Agência e aos titulares nos casos exigidos, ressalvada legislação específica. A contagem está ligada ao conhecimento pelo controlador de que o incidente afetou dados pessoais. A equipe deve verificar o enquadramento e registrar esse momento com precisão.
Não espere uma investigação completa para começar a avaliar as obrigações. O regulamento admite complementação fundamentada de informações nas condições previstas, e a comunicação inicial precisa ser conduzida pelo responsável adequado. O operador deve informar o controlador sem demora injustificada. Acionar um fornecedor não transfere automaticamente a responsabilidade de avaliar e comunicar o incidente.
Comunique fatos e orientações úteis
Defina uma pessoa ou equipe para consolidar mensagens, com apoio técnico e de proteção de dados. Informe o que é conhecido, quais serviços estão afetados, que providência o usuário precisa tomar e onde encontrará atualização. Não atribua causa, autoria ou ausência de vazamento sem evidência suficiente. Uma afirmação precipitada pode precisar de correção e prejudicar a confiança.
Separe o aviso operacional sobre indisponibilidade da comunicação legal sobre dados pessoais. Eles podem tratar da mesma ocorrência, mas têm finalidade, conteúdo e destinatários distintos. Um comunicado genérico no portal não deve ser considerado suficiente, por si só, para todas as obrigações aplicáveis aos titulares afetados.
Preserve uma linha do tempo das mensagens e decisões. Se uma informação mudar, explique a atualização de forma clara. Evite detalhes que facilitem exploração ou exponham pessoas. A transparência útil oferece contexto e orientação sem comprometer a investigação ou criar nova exposição de dados.
Retome por critérios e aprenda com o caso
A retomada exige verificar se a causa foi tratada, os acessos foram revisados e os serviços funcionam no fluxo completo. Restaurar uma cópia não demonstra, sozinho, que o ambiente está seguro. Faça a validação com responsáveis técnicos e de negócio, considerando também dados recebidos na contingência e integrações que ficaram paradas.
Depois da estabilização, revise o que atrasou a resposta: contatos desatualizados, registros insuficientes, contratos vagos ou dependências desconhecidas. Transforme cada lacuna em ação com responsável e evidência de conclusão. Exercícios simulados com cenários fictícios ajudam a testar o plano sem expor dados reais nem provocar interrupções.
No Grupo Edge, cibersegurança e governança de IA são frentes de expansão, sem alegação de serviço de resposta já disponível. As páginas de prefeituras e secretarias e quem somos delimitam o posicionamento. O primeiro resultado deste roteiro deve ser clareza de responsabilidade e preparação institucional, com apoio especializado quando necessário.
Perguntas frequentes
Toda indisponibilidade exige comunicação à ANPD?
Não. É necessário avaliar se houve incidente com dados pessoais e se estão presentes os critérios de comunicação previstos na regulamentação. A indisponibilidade operacional também pode exigir avisos aos usuários por outros motivos.
O fornecedor pode assumir sozinho a avaliação?
O fornecedor deve fornecer informações e cumprir suas responsabilidades, mas a prefeitura precisa identificar o papel do controlador e conduzir as decisões que lhe cabem.