Política de resposta a incidentes

Resposta a incidentes de segurança

Quem avisa quem, em quanto tempo, e o que fica registrado.

Minuta v0.9 (21/09/2026), em revisão com o jurídico. Passa a valer como versão 1.0 depois da revisão do contador e do jurídico.

Escopo. Qualquer evento que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais ou de conteúdo de clientes do CapiCAR: acesso indevido, vazamento, perda de dados, indisponibilidade prolongada, comprometimento de credencial, incidente em suboperador.

Responsáveis. Responsável pelo incidente: Ronan Campos (CEO) — substituto: [a definir]. Encarregado de dados (DPO): Ronan Campos, comercial@idgeo.farm. Canal para reportar (interno e externo, inclusive pesquisadores de segurança): comercial@idgeo.farm, assunto "INCIDENTE"; resposta em até 1 dia útil.

Prazos.

Detecção e registro (hora 0): abrir registro com data/hora, o que foi observado, quem detectou; congelar logs e trilhas.
Contenção (até 4 h): revogar sessões e credenciais afetadas, bloquear acesso, isolar componente; se for suboperador, acionar o canal dele.
Avaliação (até 24 h): dados e titulares afetados, origem, risco (baixo / médio / alto); decidir se há "risco ou dano relevante" (LGPD art. 48).
Comunicação a controladoras (até 24 h do conhecimento): organizações clientes cujos dados foram afetados, conforme o DPA cláusula 9.
Comunicação à ANPD e aos titulares (até 3 dias úteis): quando houver risco ou dano relevante (Res. CD/ANPD 15/2024), com natureza dos dados, titulares envolvidos, medidas técnicas usadas, riscos, motivos de eventual atraso e medidas tomadas; o texto aos titulares é em linguagem simples e diz o que fazer.
Erradicação e recuperação (até 7 dias): correção da causa, restauração a partir de backup quando necessário, verificação.
Relatório final (até 30 dias): causa-raiz, linha do tempo, dados afetados, o que muda; publicado às controladoras afetadas e, em versão resumida, em /seguranca quando o incidente for público.

Classificação. Baixo: sem dado pessoal exposto (ex.: indisponibilidade curta). Médio: dado pessoal de poucos titulares ou de baixo risco (nome, e-mail de usuário). Alto: identidade de produtor, CPF, recibo do CAR, credenciais, ou muitos titulares. Alto e médio seguem os itens 4 e 5; baixo, só registro e relatório.

Evidências. Todo incidente fica em registro imutável (data, ações, decisões, quem) por 5 anos.

Exercício. Simulação anual (tabletop) com o cenário "credencial de gestor vazada" e "restauração do banco"; resultado datado em /seguranca.