Esta política apresenta um fluxo orientador para lidar com eventos de segurança. Medidas e responsáveis específicos dependem dos serviços afetados e da avaliação concreta do risco.
01 / Preparar
Definir responsáveis, níveis de acesso, cuidados com credenciais, cópias de segurança pertinentes e canais de comunicação é a base para responder adequadamente a incidentes. Prestadores e clientes devem conhecer suas responsabilidades no contexto contratual.
Controles devem ser adequados ao porte da operação e ao risco do tratamento.
02 / Identificar e registrar
Ao detectar um evento, é importante registrar quando surgiu, quais sistemas foram afetados, quais evidências estão disponíveis e se há indícios de exposição de dados pessoais. A coleta deve evitar alteração desnecessária de evidências e divulgação indevida de informações.
Um alerta inicial não é conclusão de que houve violação ou vazamento.
03 / Conter e recuperar
- Restringir acessos comprometidos e redefinir credenciais quando necessário.
- Isolar sistemas ou integrações afetadas, conforme a gravidade.
- Acionar provedores e responsáveis que possam auxiliar a contenção.
- Restaurar operações com verificação de integridade e monitoramento adicional.
04 / Avaliar riscos e responsabilidades
A análise considera categoria, sensibilidade, volume e contexto dos dados; quantidade de titulares; possibilidade de danos; medidas de proteção já existentes e eficácia da contenção.
Quando um incidente envolver dados de cliente sob papel de operador, a lemons deverá observar suas obrigações de comunicação ao controlador, a quem cabem as decisões e notificações regulatórias pertinentes.
05 / Comunicar com precisão
Incidentes que possam acarretar risco ou dano relevante aos titulares podem exigir comunicação à ANPD e às pessoas afetadas nos termos da LGPD e do Regulamento de Comunicação de Incidente de Segurança. A regra geral regulamentar prevê três dias úteis, ressalvadas hipóteses e condições legais específicas; a contagem e a necessidade de notificação exigem avaliação de cada caso.
Comunicações devem conter informações confirmadas, sem especulação ou divulgação desnecessária de detalhes que agravem vulnerabilidades.
06 / Registrar e melhorar
Após o controle da situação, é recomendável documentar o ocorrido, decisões tomadas, prazos, evidências, medidas corretivas e lições aprendidas. O regulamento da ANPD prevê manutenção de registro de incidentes com dados pessoais pelo período aplicável, em regra de ao menos cinco anos.
Revisões de procedimentos e fornecedores reduzem a chance de recorrência, sem pressupor segurança absoluta.
Clareza não
é detalhe.
Uma política só faz sentido quando pode ser compreendida e aplicada.
Conheça todos os documentos ↗