Incidente de segurança com dados: plano de resposta simples para ONGs
Equipe Nexus
Autor3 min de leitura
Pontos-Chave sobre Incidentes de Segurança
- Um incidente é qualquer evento que comprometa dados pessoais, não apenas ataque hacker.
- O plano existe antes do problema: quem decide, quem comunica, quem corrige.
- A comunicação à ANPD segue regulamento próprio; consulte o canal oficial.
- Registrar e aprender é parte da resposta.
Incidente não é só "invasão"
Na rotina de uma ONG, os incidentes mais comuns são banais: celular de voluntário perdido com listas de atendidos, planilha enviada à pessoa errada, e-mail com anexo aberto por engano, conta de um ex-voluntário ainda ativa. O que define o incidente é o efeito sobre os dados, e não a técnica envolvida.
Prepare antes: quatro decisões
- Quem coordena a resposta. Uma pessoa com autoridade para tomar decisões rápidas.
- Como a equipe reporta. Um canal simples e sem medo de punição, para que o problema apareça cedo.
- Quem é acionado. Diretoria, apoio de TI, assessoria jurídica, encarregado de dados, se houver.
- Onde fica o registro. Um documento onde cada incidente é anotado.
As primeiras horas
| Etapa | O que fazer |
|---|---|
| Identificar | Entender o que aconteceu, quando e que dados estão envolvidos |
| Conter | Revogar acessos, trocar senhas, bloquear o dispositivo, recolher arquivos |
| Avaliar | Quantas pessoas são afetadas? Há dados sensíveis ou de crianças? Qual o risco? |
| Decidir | Há necessidade de comunicar a ANPD e os titulares? |
| Registrar | Anotar fatos, decisões e responsáveis |
Comunicação à ANPD e aos titulares
A ANPD disponibiliza orientações e canal para a comunicação de incidentes de segurança, conforme regulamento publicado em 2024 (Resolução CD/ANPD nº 15). Fonte: ANPD — Comunicação de incidente de segurança. Consulte a página oficial para saber os critérios de comunicação, o conteúdo e os prazos aplicáveis, pois eles podem ser atualizados.
Quando a comunicação for necessária, use linguagem clara: o que ocorreu, que dados foram afetados, que medidas foram tomadas e o que a pessoa pode fazer para se proteger.
Depois: corrija a causa
Encerrar o incidente é só metade. Pergunte por que aconteceu e o que muda. Se foi um celular sem bloqueio, defina regras para dispositivos. Se foi um acesso não revogado, crie rotina de saída de voluntários e funcionários. Veja também segurança contra phishing e ransomware e backup e recuperação de dados.
Diferencial do Nexus Social: o registro de acessos permite reconstruir quem consultou o quê, o que ajuda a entender o alcance de um incidente.
Perguntas Frequentes
Todo incidente precisa ser comunicado à ANPD?
Não necessariamente. A obrigação depende dos critérios do regulamento da ANPD, como o risco ou dano relevante aos titulares. Consulte a página oficial e, em caso de dúvida, apoio jurídico.
Quem deve registrar o incidente?
A pessoa que coordena a resposta, com contribuição de quem identificou o problema.
Perdi um celular com listas de atendidos. O que faço primeiro?
Bloqueie ou apague o aparelho remotamente, troque as senhas das contas acessadas, avise o coordenador da resposta e registre o ocorrido.
Quer saber quem acessou os dados da sua ONG? Agende uma demonstração ou conheça o Nexus Social.
Fontes e Referências
- ANPD — Comunicação de incidente de segurança — Regulamento de comunicação de incidentes (Resolução CD/ANPD nº 15, de 24 de abril de 2024) (2024)
Escrito por Equipe Nexus
Equipe Nexus Social dedicada a compartilhar conhecimento e tecnologia para o fortalecimento do terceiro setor.