Plano de Resposta a Incidentes de Segurança

O Plano de Resposta a Incidentes de Segurança da Rybená Tecnologias Assistivas Ltda. estabelece o procedimento formal para detecção, classificação, resposta, comunicação e registro de incidentes de segurança da informação e de dados pessoais. Este plano complementa a Política de Segurança da Informação e a Política de Privacidade e LGPD e aplica-se a todos os colaboradores, prestadores e ambientes que suportam a Solução Rybená.

1. Objetivo e Escopo

Estabelecer tratamento padronizado, tempestivo e rastreável de eventos adversos de segurança, garantindo:

• Contenção e erradicação rápidas, minimizando impacto sobre a confidencialidade, integridade e disponibilidade dos serviços e dados;
• Comunicação adequada às partes interessadas, incluindo clientes institucionais, titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD), nos prazos legais e contratuais;
• Registro e preservação de evidências para auditoria, fiscalização e aprendizado institucional.

2. Definição de Incidente

Considera-se incidente de segurança qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação da segurança de sistemas ou de dados (pessoais ou corporativos), que possa acarretar risco para as operações da Rybená ou de seus clientes, ou para os direitos e liberdades dos titulares de dados.

Exemplos: acesso não autorizado, comprometimento de credenciais, indisponibilidade provocada por ataque, exploração de vulnerabilidade, vazamento ou exposição de dados, malware, ataque de negação de serviço, uso indevido de recursos.

3. Classificação e Prazos de Resposta

A severidade é reavaliada durante o tratamento e pode ser elevada ou reduzida com registro da justificativa.

4. Papéis e Responsabilidades

• Equipe de Segurança da Informação: detecção, triagem, contenção, erradicação e registro do incidente; coordenação da comunicação interna e externa.
• Head de Engenharia: liderança da resposta; decisões críticas (incluindo isolamento de sistemas e acionamento da recuperação); escalação à Diretoria.
• Equipe de Suporte: atendimento a afetados, comunicação operacional com clientes e verificação pós-recuperação.
• Encarregado de Proteção de Dados (DPO): avaliação e condução das notificações à ANPD e aos titulares, quando aplicável ([email protected]).
• Diretoria: comunicação em incidentes críticos e decisões sobre negócio.

5. Ciclo de Resposta

1. Detecção e Identificação: monitoramento contínuo (SIEM, alertas em tempo real, correlação de eventos, análise comportamental, relatos internos e de clientes); registro imediato do evento com data/hora, escopo e severidade preliminar.
2. Contenção: isolamento do sistema, conta ou componente afetado para prevenção de propagação; preservação de evidências (logs, imagens, artefatos).
3. Erradicação: remoção completa da causa raiz (revogação de credenciais, aplicação de patches, correção de configurações, remoção de artefatos maliciosos).
4. Recuperação: restauração dos sistemas (conforme procedimentos de backup e o Plano de Continuidade de Negócios), validação da integridade e retorno gradual ao serviço normal, com monitoramento reforçado.
5. Lições Aprendidas: análise pós-incidente documentada (cronologia, causa raiz, impacto, eficácia da resposta), plano de ação com responsáveis e prazos, e atualização de controles quando aplicável.

6. Comunicação e Notificação

Comunicação interna

Alertas automáticos para a Equipe de Segurança; acionamento do Head de Engenharia em incidentes de severidade Alta ou Crítico; comunicação à Diretoria em incidentes Críticos.

Comunicação a clientes institucionais

Comunicação ao ponto focal contratual de cada cliente institucional conforme os prazos pactuados, incluindo comunicação imediata quando exigido em contrato, com descrição do incidente, escopo, medidas de contenção adotadas e plano de erradicação/recuperação.

Notificação à ANPD (art. 48 da LGPD; Resolução CD/ANPD nº 15/2024)

Em até 3 (três) dias (72 horas) da ciência de incidente de segurança que possa acarretar risco ou dano relevante a titulares de dados, com o conteúdo mínimo: descrição da natureza do incidente, dados do controlador, informações do encarregado, consequências possíveis, medidas técnicas e organizativas de mitigação e medidas de comunicação aos titulares.

Comunicação aos titulares (art. 48 da LGPD)

Quando o incidente puder acarretar risco ou dano relevante aos titulares, com linguagem clara, categorias de dados afetados, medidas adotadas e recomendações de proteção. Dispensada nas hipóteses legais (determinação da autoridade, medidas mitigatórias suficientes ou tratamento sigiloso por força de lei).

7. Registro e Evidências

Todo incidente é registrado com identificação única, cronologia, severidade, ações executadas, responsáveis e resultado. Os registros de acessos, incidentes e eventos cibernéticos são mantidos por 5 (cinco) anos, em conformidade com requisitos contratuais aplicáveis a clientes institucionais; os demais logs de segurança são mantidos pelo mínimo de 365 dias. As trilhas de auditoria são protegidas contra adulteração.

8. Testes e Melhoria Contínua

• Simulados periódicos de resposta a incidentes, incluindo cenários de comprometimento de credenciais e indisponibilidade;
• Revisão anual deste plano, ou após incidentes de severidade Alta/Crítico, mudanças tecnológicas relevantes ou alterações regulatórias;
• Métricas de acompanhamento: tempo médio de detecção, tempo médio de contenção e percentual de plano de ação concluído.

9. Disposições Finais

Este plano entra em vigor na data de sua publicação e substitui procedimentos anteriores sobre o tema. O descumprimento sujeita-se às medidas disciplinares previstas na Política de Segurança da Informação, sem prejuízo das responsabilidades civil e penal cabíveis.