Redação de um Relatório de Incidente

Um relatório de incidente documenta o que aconteceu, o impacto, a resposta adotada e as recomendações. Ele atende a públicos jurídicos, regulatórios, administrativos e técnicos. Um relatório bem redigido demonstra competência e permite que a organização aprenda com o ocorrido.

Seções padrão de um relatório de incidente:

1. Resumo executivo
2. Linha do tempo dos eventos
3. Análise técnica
4. Avaliação do impacto
5. Ações de resposta adotadas
6. Análise da causa raiz
7. Recomendações
8. Apêndices (evidências, IOCs)

O resumo executivo é escrito para a liderança não técnica. Ele deve responder, em 1 a 2 parágrafos:

• O que aconteceu e quando?
• O que foi afetado?
• O que foi feito a respeito?
• Qual é o status atual?

Não use jargão. Quantifique o impacto (X registros, Y horas de indisponibilidade, custo de $Z).

A linha do tempo é a base factual do relatório. Inclua:

• Marca temporal (UTC, especifique o fuso horário)
• O que aconteceu (fato observável)
• Fonte da informação (referência de registro, ferramenta, testemunha)

Mantenha os fatos separados da interpretação. Exemplo: "14:32 UTC — alerta do IDS acionado no host 10.0.1.5 (ref.: evento do SIEM com ID 8842)"

A seção técnica documenta as táticas, técnicas e procedimentos do invasor:

• Método de acesso inicial (fraude por e-mail, exploração, roubo de credenciais)
• Ferramentas e software malicioso utilizados (com hashes)
• Etapas da movimentação lateral
• Dados acessados ou extraídos
• Mecanismos de persistência instalados

Mapeie os elementos ao modelo MITRE ATT&CK para obter uma comunicação padronizada.

Quantifique o impacto nos três pilares da CIA:

• Confidencialidade: quais dados foram acessados ou roubados? PII, IP, dados financeiros?
• Integridade: algum dado foi modificado?
• Disponibilidade: qual foi o tempo de indisponibilidade?
• Financeiro: custos diretos, multas regulatórias, perda de clientes
• Reputacional: divulgação pública, cobertura da mídia

Inclua todos os indicadores de comprometimento para uso defensivo:

A causa raiz deve ser específica: "O invasor obteve acesso inicial por meio de um e-mail de phishing que contornou a filtragem de e-mails devido à ausência da aplicação de DMARC no domínio da vítima." As recomendações devem ser concretas, priorizadas e atribuídas a responsáveis com prazos.

Muitos incidentes acionam a obrigação de notificar:

• GDPR: notifique a autoridade supervisora no prazo de 72 horas após tomar conhecimento
• HIPAA: notifique o HHS no prazo de 60 dias (as pessoas afetadas também devem ser notificadas em até 60 dias)
• PCI-DSS: notifique as bandeiras de cartão no prazo de 24 horas após a suspeita de comprometimento

Classifique o relatório adequadamente — ele contém informações sensíveis sobre vulnerabilidades e as táticas, técnicas e procedimentos do invasor. Distribua-o somente com base na necessidade de saber. A assessoria jurídica deve analisá-lo antes de qualquer distribuição externa. As cópias internas devem ter registro de acessos.

As recomendações do relatório devem ser acompanhadas até a conclusão. Atribua a cada recomendação um responsável, uma data de conclusão e uma prioridade. Acompanhe o status no seu sistema de acompanhamento de problemas. Reavalie as recomendações após 30, 60 e 90 dias. Recomendações não implementadas se tornam uma responsabilidade jurídica em incidentes futuros.

Um relatório de incidente documenta o que aconteceu (linha do tempo), como aconteceu (análise técnica), o impacto (tríade da CIA), o que foi feito (ações de resposta) e o que deve ser corrigido (recomendações). O resumo executivo não é técnico. Os IOCs são documentados para reutilização defensiva. Os prazos de notificação regulatória devem ser cumpridos. Para serem executáveis, as recomendações precisam de responsáveis e datas de conclusão.