Como registrar um incidente de segurança

Registrar incidentes é uma daquelas coisas que ninguém quer usar e todo mundo precisa ter. O módulo existe por dois motivos: cumprir a obrigação legal quando dados pessoais estão envolvidos, e demonstrar às normas de segurança que a empresa tem um processo de resposta que funciona.

A própria tela explicita o alcance: registro de incidentes de segurança e privacidade, com referência à legislação brasileira e europeia de proteção de dados e às normas de segurança, e com uma frase que resume a lógica de todo o módulo: a avaliação de violação decide se a notificação à autoridade é necessária.

Registre agora, classifique depois

A orientação mais importante deste tutorial está no subtítulo da própria tela de registro: registre o que se sabe agora, porque a classificação e a avaliação de violação acontecem na página do caso conforme a investigação avança.

Isso resolve o maior obstáculo prático ao registro de incidentes. As pessoas evitam abrir o registro porque acham que precisam ter todas as respostas. Não precisam. Um incidente registrado com informação incompleta é infinitamente melhor que um incidente não registrado, porque a obrigação nasce do fato, não do registro: adiar a abertura só consome o tempo que você teria para investigar e decidir.

Use Reportar incidente assim que houver suspeita razoável.

O que preencher no registro inicial

Título. Obrigatório. Descreva o fato de forma reconhecível, do tipo acesso indevido à base de clientes por credencial vazada.

Descrição. O que se sabe até agora. Não hesite em escrever que a extensão ainda está sendo apurada.

Severidade. Crítica, Alta, Média ou Baixa. Pode ser revista depois.

Detectado em. O momento em que a empresa tomou conhecimento, que não é o momento em que você abriu o registro. Preencha com cuidado: essa data ancora a história do caso e é o que a autoridade observa ao avaliar se houve demora. O prazo de notificação em si tem outra âncora, explicada no tutorial Prazos de notificação e o que o auditor espera ver.

Natureza. O que foi afetado:

Responsável. Quem conduz o caso. Existe a opção de atribuição automática, que direciona ao encarregado de dados.

🖼️ Imagem: formulário de registro de incidente.

O campo que muda tudo: dados pessoais

Aqui está a decisão mais consequente do formulário. O campo de dados pessoais aceita três valores:

A tela avisa explicitamente o que acontece: dados pessoais suspeitos ou confirmados iniciam o relógio de avaliação, e se o risco aos titulares for confirmado, o checklist de notificação à autoridade e o prazo são ativados na página do caso.

Duas orientações que valem muito:

Na dúvida, marque Suspeito. É exatamente para isso que essa opção existe. Marcar como Nenhum por conveniência, e descobrir depois que havia dados pessoais, significa ter perdido tempo de um prazo legal.

Suspeito não é uma acusação. É um estado de investigação, e você o ajusta quando souber. A plataforma trata os dois estados iniciais da mesma forma para fins de contagem, justamente para não punir a prudência.

O que acontece depois de criar

O incidente entra com status Investigando e recebe um código próprio. A partir daí, todo o trabalho acontece na página do caso: classificação, avaliação de violação, checklist, notificação e encerramento.

O tutorial Acompanhar, classificar e encerrar um incidente cobre esse percurso.

Incidentes que a plataforma cria

O estado vazio da tela menciona um segundo caminho: além de reportar manualmente, é possível conectar verificações que falham para criar um incidente automaticamente.

É útil para falhas técnicas que merecem tratamento formal em vez de virar apenas um alerta. Vale lembrar que um incidente criado assim precisa do mesmo trabalho humano de classificação e avaliação que um reportado à mão.

O que registrar, e o que não

A dúvida legítima é o volume. Registrar tudo transforma o módulo em ruído; registrar pouco esvazia a demonstração de que existe processo.

Um critério que funciona:

O último caso é o mais esquecido e um dos mais comuns na prática. Uma planilha com dados de clientes enviada por e-mail para a pessoa errada é um incidente de privacidade, mesmo sem qualquer invasão.

🖼️ Imagem: lista de incidentes, com os indicadores no topo.

Prepare antes de precisar

Vale uma recomendação que não é sobre a tela. Defina hoje quem faz o quê durante um incidente, e registre isso em um documento publicado: quem decide que houve incidente, quem conduz, quem fala com a autoridade, quem fala com clientes.

Não se organiza isso no meio de um incidente, especialmente com prazo curto correndo. As normas de segurança pedem esse plano, e a plataforma guarda o documento e as evidências de que ele foi seguido.

Problemas comuns

O título é obrigatório. É o único campo que impede a criação.

Não sei a severidade ainda. Escolha a mais provável e ajuste depois. Nada trava por causa disso.

Não sei se envolve dados pessoais. Marque Suspeito. É a resposta correta para essa situação.

Errei a data de detecção. Corrija o quanto antes. Ela não define o prazo de notificação, e é o que sustenta a explicação de eventual demora.

⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. O enquadramento de um incidente, a necessidade de notificação e os prazos aplicáveis devem ser avaliados com assessoria jurídica qualificada.