Simulação de resposta a incidente de segurança
O momento mais perigoso de um incidente de segurança raramente é a invasão. É o silêncio que se instala depois dela, o intervalo de horas em que o controlador decide a quem contar, o que admitir e quanto risco aceitar correr. A invasão é fato técnico; a resposta é decisão jurídica.
Esta avaliação não mede o que a turma sabe sobre a Lei Geral de Proteção de Dados, e sim a capacidade de decidir bem quando os fatos ainda estão incompletos e o relógio regulatório já corre.
A turma inteira assume, em conjunto, o papel de uma única equipe de resposta a incidente dentro de uma organização controladora de dados pessoais. Essa escolha é deliberada e fiel à realidade. Quando o incidente acontece, não há grupos concorrentes apresentando teses; há uma só organização, obrigada a falar com uma só voz perante a Autoridade Nacional de Proteção de Dados, perante os titulares e perante a imprensa, ainda que internamente convivam interesses divergentes entre o jurídico, a segurança da informação, a comunicação e a alta direção.
O professor não participa da equipe. O professor é o ambiente hostil, ao mesmo tempo o atacante, o jornalista, o regulador e o titular indignado, introduzindo fatos novos à medida que a equipe se compromete com decisões.
O exercício reproduz exatamente aquilo que a prática exige do encarregado e do jurídico interno, que é tomar decisão sob informação incompleta e pressão temporal, sabendo que cada escolha estreita o leque de escolhas seguintes e que a coerência entre elas será cobrada quando o cenário virar.
- 1
Diagnosticar o incidente e classificá-lo quanto a risco e relevância, distinguindo a violação de segurança em si do potencial de risco ou dano relevante que aciona o dever de comunicar.
- 2
Decidir, de forma fundamentada, a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, com domínio do prazo, do conteúdo mínimo e dos meios exigidos.
- 3
Desenhar contenção técnica e organizacional imediata sem destruir prova e sem agravar a exposição.
- 4
Antecipar a exposição contratual, regulatória e reputacional, propondo tratamento proporcional para cada frente.
- 5
Documentar internamente o incidente e propor revisão de processos, convertendo a crise em ciclo de melhoria.
- 6
Sustentar decisões coerentes diante de fatos supervenientes, ajustando a estratégia sem se contradizer.
Vocês são a equipe jurídica que irá dialogar com os seguintes papéis:
Encarregado (DPO)
Coordena a resposta, decide o teor e o momento das comunicações, é o canal com a Autoridade e com os titulares e zela pela coerência entre as áreas.
Jurídico interno
Faz o enquadramento legal do incidente, dimensiona a exposição contratual e a litigiosa e prepara a linha de defesa perante a Autoridade.
Segurança da informação
Conduz a contenção técnica e a perícia, preserva registros de acesso e prova, estima escopo e vetor de entrada.
Comunicação institucional
Cuida da relação com a imprensa, da nota pública, do canal de atendimento ao titular e da consistência entre o discurso interno e o externo.
Alta direção
Decide sobre alocação de recursos, apetite a risco corporativo e questões de fronteira, como eventual negociação com o atacante.
| TEMPO | ETAPA | FOCO |
|---|---|---|
| 5 min | Entrega da ficha e organização | Leitura do cenário, divisão de papéis, primeira leitura de risco. |
| 5 min | Plano inicial de resposta | Apresentação oral dos seis eixos com base apenas no que se sabe. |
| 5 min | Rodadas de complicação | Injeção sequencial dos fatos novos e reabertura das decisões. |
| 5 min | Consolidação | A equipe fecha a versão final do plano e justifica as mudanças. |
| 15 min | Devolutiva e provocações | Debate guiado pelas provocações da seção 7 e fechamento ético. |
Próximo passo
Acessar a Ficha do Cenário →
