Checklist das primeiras 24 horas de um vazamento de dados

Um vazamento de dados exige ação rápida, mas não improvisada. Este checklist ajuda a conter o incidente, preservar evidências, avaliar o risco e preparar a comunicação de incidente ANPD quando ela for necessária.

1. Registre o marco de ciência do incidente

Nem todo incidente de segurança é um vazamento confirmado. Uma credencial comprometida, um e-mail enviado ao destinatário errado, um sistema exposto na internet ou um ransomware podem envolver dados pessoais e exigir apuração.

O primeiro registro deve indicar quando a empresa tomou ciência de que havia um incidente com possível impacto sobre dados pessoais. Anote data, hora, quem identificou, qual sistema estava envolvido e qual fato foi observado.

Para aprofundar: Quanto cobrar por um projeto de LGPD.

Esse marco é essencial para controlar o prazo incidente LGPD. O Regulamento de Comunicação de Incidente de Segurança da ANPD estabelece que, havendo risco ou dano relevante aos titulares, o controlador deve comunicar o incidente à ANPD e aos titulares em até três dias úteis contados da ciência.

Crie um registro simples, mesmo que as informações ainda estejam incompletas:

• Data e hora da ciência.
• Pessoa ou equipe que identificou o problema.
• Sistema, fornecedor ou processo afetado.
• Descrição inicial do ocorrido.
• Medidas tomadas nos primeiros minutos.
• Responsável pela investigação e pelas decisões.
• Data e hora de cada atualização.

Não espere terminar a investigação para iniciar esse registro. O erro comum é reconstruir a linha do tempo dias depois, com informações desencontradas e sem evidência suficiente.

2. Contenha o acesso sem apagar a evidência

A prioridade das primeiras horas é impedir que o incidente continue. Isso não significa desligar tudo ou apagar arquivos. Uma contenção mal executada pode destruir logs, dificultar a investigação e impedir a empresa de demonstrar o que fez.

Siga esta ordem:

1. Isole o ativo afetado da rede, quando houver suspeita de invasão, malware ou acesso remoto indevido. Sempre que possível, preserve a máquina ligada para evitar perda de informações voláteis.
2. Revogue sessões, tokens e acessos suspeitos. Desative temporariamente contas comprometidas ou permissões excessivas.
3. Troque credenciais expostas, inclusive de e-mail, acesso remoto, painel de hospedagem, banco de dados e ferramentas em nuvem.
4. Suspenda integrações ou exportações que possam continuar transmitindo dados.
5. Preserve logs de autenticação, acesso, alterações, downloads, envio de e-mails e eventos do sistema.
6. Registre quem tomou cada medida, em que horário e com qual justificativa.

Se houver fornecedor envolvido, como hospedagem, sistema de gestão, plataforma de pagamento ou ferramenta de atendimento, abra chamado formal e peça preservação de logs. O operador deve cooperar com o controlador e informar rapidamente fatos relevantes, conforme o contrato e suas atribuições no tratamento de dados.

Evite formatar equipamentos, restaurar backups por cima do ambiente afetado ou excluir contas antes de coletar os registros necessários. Se for indispensável restaurar um serviço para manter a operação, registre a decisão e guarde cópias do estado anterior quando tecnicamente possível.

3. Faça o levantamento mínimo nas primeiras horas

Quem busca “vazamento de dados o que fazer” costuma tentar descobrir tudo antes de agir. Nas primeiras 24 horas, o objetivo é obter informação suficiente para decidir sobre contenção, risco e comunicação, não produzir um relatório perfeito.

Responda, ainda que de forma preliminar, às perguntas abaixo:

Quais dados foram envolvidos?

Liste as categorias de dados: nome, CPF, telefone, e-mail, endereço, dados bancários, informações de login, documentos, dados de saúde ou registros de atendimento.

Destaque dados pessoais sensíveis, definidos pela LGPD como aqueles relacionados, por exemplo, à origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, biometria ou filiação sindical. Dados de crianças e adolescentes também exigem atenção reforçada.

Quantas pessoas podem ter sido afetadas?

Não é preciso ter um número fechado no primeiro momento. Registre uma estimativa, sua origem e o grau de confiança: uma planilha específica, todos os clientes ativos, uma base de candidatos ou apenas um atendimento.

Também identifique se os titulares são clientes, pacientes, alunos, empregados, candidatos, fornecedores ou crianças. O contexto altera a avaliação do impacto.

Houve acesso, cópia, perda ou exposição pública?

Diferencie as situações. Um arquivo apagado pode afetar disponibilidade. Uma conta acessada indevidamente pode afetar confidencialidade. Uma base publicada, indexada por buscadores ou compartilhada em grupo aberto aumenta a chance de uso indevido.

Verifique se há indícios de download, compartilhamento, acesso externo ou apenas falha interna descoberta antes da exploração. Não trate ausência de log como prova de que ninguém acessou.

Qual processo e sistema originaram o incidente?

Em vez de começar por uma lista solta de campos, localize o processo real: matrícula, atendimento, admissão, cobrança, checkout ou seleção de candidatos. Depois identifique os sistemas, pessoas, fornecedores e integrações que participam dele.

Isso acelera a correção. Se a origem foi uma exportação manual de cadastro, a medida é diferente da necessária para uma vulnerabilidade em um sistema acessível pela internet.

Para não improvisar no dia do incidente, conheça o roteiro de incidente do Mapadados.

4. Avalie se há risco ou dano relevante aos titulares

A LGPD exige que o controlador comunique incidentes de segurança que possam acarretar risco ou dano relevante aos titulares. Não existe uma regra automática baseada apenas na quantidade de pessoas ou no tipo de dado.

A avaliação deve ser registrada e considerar o conjunto das circunstâncias:

• Natureza dos dados e possibilidade de fraude, discriminação, constrangimento ou prejuízo financeiro.
• Presença de dados sensíveis, dados de crianças ou informações protegidas por dever de sigilo.
• Quantidade e perfil dos titulares afetados.
• Facilidade de identificar as pessoas a partir dos dados expostos.
• Possibilidade de uso indevido, como golpes, invasão de contas ou falsificação.
• Alcance da exposição, inclusive publicação pública ou envio a terceiros não autorizados.
• Medidas de proteção existentes, como criptografia efetiva, controle de acesso e revogação rápida.
• Ações de mitigação já adotadas e sua efetividade.

Dados criptografados, sem exposição da chave, podem reduzir o risco. Já uma planilha com nome, CPF, telefone e informações financeiras enviada a terceiros desconhecidos tende a exigir análise mais rigorosa.

Quando houver risco ou dano relevante, faça a comunicação de incidente ANPD em até três dias úteis. Se a apuração ainda estiver em andamento, comunique com os dados disponíveis, explique o que ainda está sendo investigado e complemente as informações posteriormente.

Não espere a certeza absoluta sobre todos os fatos para cumprir o prazo. O erro mais grave é tratar o prazo como se começasse apenas após o relatório técnico final.

5. Prepare a comunicação à ANPD e aos titulares

A comunicação à ANPD deve ser objetiva, consistente com os registros internos e atualizada quando surgirem novos fatos. O controlador responde por essa obrigação, ainda que um fornecedor tenha causado ou identificado o incidente.

A comunicação deve apresentar, entre outros pontos, a descrição do incidente, as categorias de dados e titulares envolvidos, as medidas de segurança utilizadas, os riscos relacionados, as providências adotadas e os dados de contato do encarregado ou canal equivalente.

Estrutura do aviso ao titular

A mensagem ao titular deve usar linguagem simples. Evite termos técnicos sem explicação, frases vagas como “ocorreu uma instabilidade” e orientações que transfiram toda a responsabilidade para a pessoa afetada.

Use esta estrutura:

Leitura complementar: Como fazer o inventário de dados pessoais.

1. Informe o que ocorreu e quando a empresa identificou o fato.
2. Diga quais dados podem ter sido envolvidos, sem expor novamente os dados na mensagem.
3. Explique os possíveis impactos de forma concreta.
4. Descreva o que a empresa já fez para conter e corrigir o problema.
5. Oriente medidas que o titular pode tomar, quando necessárias, como trocar senha ou desconfiar de contatos em nome da empresa.
6. Informe canal de contato do encarregado ou equipe responsável.
7. Indique que haverá atualização se a investigação trouxer informação relevante.

Exemplo de redação: “Identificamos acesso não autorizado a um ambiente que armazenava seus dados cadastrais. Até o momento, há possibilidade de envolvimento de nome, e-mail e telefone. Bloqueamos o acesso, revisamos as credenciais e seguimos investigando o ocorrido. Recomendamos atenção a mensagens que solicitem pagamentos ou códigos em nome da empresa. Dúvidas podem ser enviadas para [canal de contato].”

6. No dia seguinte, feche lacunas e ajuste o plano

Após a contenção inicial, consolide a linha do tempo, valide o escopo e documente a decisão sobre comunicação. Esse trabalho pode demandar algumas horas ou mais de um dia, conforme o número de sistemas, fornecedores e processos envolvidos, mas precisa ter responsáveis e prazos definidos.

Faça uma reunião curta com tecnologia, operação, jurídico ou encarregado. Revise o que falhou: credencial compartilhada, permissão excessiva, ausência de autenticação adicional, exportação sem controle, fornecedor sem retorno rápido ou inexistência de logs.

Registre lições e transforme-as em plano de ação com dono, prazo e evidência de conclusão. Medidas recorrentes incluem revisão de acessos, melhoria de logs, treinamento de equipes, ajuste de contratos com operadores, testes de restauração e atualização do plano de resposta a incidente.

Não encerre o caso apenas porque o sistema voltou a funcionar. A empresa precisa manter o registro do incidente, das decisões, das comunicações e das correções adotadas para demonstrar diligência perante titulares, clientes e autoridades.

Conclusão

Nas primeiras 24 horas, a empresa precisa registrar a ciência do fato, conter o acesso, preservar evidências, levantar o impacto mínimo e decidir rapidamente se há risco ou dano relevante que exige comunicação. Agir rápido não é agir sem método.

O Mapadados ajuda a relacionar processos reais, sistemas, responsáveis e planos de ação, facilitando a identificação do que foi afetado quando um incidente ocorre. Para entender como isso funciona na rotina da sua operação ou carteira de clientes, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Mapadados.