Incidente de cibersegurança: o que fazer? Checklist prática

Num incidente de cibersegurança, os primeiros minutos valem mais do que as horas seguintes. E quem está presente quando tudo começa raramente é a equipa de TI — é o colaborador que clicou no anexo, que viu o pedido de resgate no ecrã ou que recebeu um alerta de início de sessão estranho. Este guia da HJFR define um procedimento básico de resposta a incidentes, com uma checklist simples que qualquer pessoa consegue seguir, sem conhecimentos técnicos. No final, pode descarregar gratuitamente a checklist em PDF (pronta a imprimir e afixar) e o procedimento completo em formato editável, para adaptar à sua organização.

O que conta como incidente de cibersegurança?

Um incidente é qualquer evento que comprometa — ou possa comprometer — a confidencialidade, a integridade ou a disponibilidade dos sistemas e dos dados da organização. Na prática, reconhece-se melhor pelos exemplos:

• Phishing — clicou numa ligação ou anexo suspeito, ou introduziu credenciais numa página duvidosa;
• Ransomware — pedido de resgate no ecrã, ficheiros cifrados ou com nomes e extensões estranhos;
• Conta comprometida — alertas de início de sessão que não reconhece, emails enviados que não escreveu, pedidos de autenticação (MFA) que não solicitou;
• Comportamento anómalo — lentidão súbita, janelas que abrem sozinhas, programas desconhecidos, cursor a mover-se sozinho;
• Equipamento perdido ou roubado — portátil, telemóvel ou pen USB com dados da organização;
• Fraude por email ou telefone (BEC/vishing) — pedidos urgentes de pagamentos ou de dados, supostamente da administração, de clientes ou de fornecedores;
• Exposição acidental de dados — email enviado ao destinatário errado, pasta partilhada aberta ao público.

Regra simples: na dúvida, trate como incidente e comunique. Um falso alarme custa minutos; um incidente ignorado pode custar a empresa.

A regra de ouro

O procedimento, passo a passo

Seis passos, pela ordem certa. Foram pensados para qualquer colaborador — não é preciso «saber de informática» para os cumprir.

1. Pare

Pare de usar o equipamento. Não feche janelas nem sessões, não apague emails, ficheiros ou histórico. Não desligue o computador da corrente — a memória pode conter evidências essenciais à investigação.

2. Isole da rede

Desligue o cabo de rede e o Wi-Fi (ou ative o modo de voo). Em teletrabalho, desligue o equipamento do router. Só corte a alimentação se a equipa técnica o indicar. Se não souber como isolar, peça ajuda de imediato — pedir é sempre melhor do que adivinhar.

3. Comunique de imediato

Avise o contacto interno definido — TI, segurança ou chefia. Se o email puder estar comprometido, use o telefone ou fale pessoalmente. Nunca assuma que outra pessoa já reportou: minutos fazem a diferença entre um posto de trabalho afetado e a rede inteira cifrada.

4. Registe o que aconteceu

Anote a hora, o que estava a fazer, em que clicou ou o que abriu, e as mensagens apresentadas no ecrã. Fotografe o ecrã com o telemóvel — não faça capturas de ecrã no próprio equipamento afetado.

5. Não tente resolver sozinho

Não execute antivírus nem «limpezas», não reinstale, não restaure cópias de segurança, não mude palavras-passe no equipamento afetado, não pague resgates e não responda ao atacante. Cada uma destas ações pode destruir evidências ou agravar o dano.

6. Siga as instruções da equipa

Quando a equipa de resposta indicar, mude as palavras-passe a partir de um equipamento seguro, começando pelas contas críticas (email, acessos da organização, banca), e confirme que a autenticação multifator (MFA) está ativa.

Checklist do colaborador

Este é o resumo de bolso do procedimento. Imprima, afixe junto aos postos de trabalho e garanta que todos a conhecem antes de precisarem dela.

Descarregue a checklist pronta a imprimir (PDF, A4) ou o procedimento completo em formato editável, com os campos para preencher os contactos internos da sua organização:

E depois? As cinco fases da resposta

Comunicado o incidente, a responsabilidade passa para o responsável designado — interno ou externo. Em traços largos, a resposta segue cinco fases:

1. Avaliar e conter — identificar sistemas e dados afetados, isolar o necessário e trocar credenciais expostas a partir de equipamentos seguros;
2. Cumprir obrigações legais:
   • violação de dados pessoais — notificar a CNPD no prazo de 72 horas (art. 33.º do RGPD);
   • reportar o incidente ao CERT.PT / CNCS (cert@cert.pt);
   • entidades abrangidas pela diretiva NIS2 — alerta precoce ao CSIRT competente em 24 horas;
   • suspeita de crime — queixa à Polícia Judiciária;
3. Erradicar — remover a causa: malware, contas comprometidas, vulnerabilidade explorada;
4. Recuperar — repor sistemas a partir de cópias de segurança íntegras e monitorizar reincidências;
5. Aprender — registar o incidente, rever o que falhou e atualizar procedimentos e formação.

Prepare a sua organização antes do incidente

Um plano escrito durante a crise vale pouco. Cinco medidas de preparação mínima:

• Contacto de reporte definido, com substituto, afixado e conhecido por todos;
• Cópias de segurança 3-2-1 — 3 cópias, 2 suportes diferentes, 1 fora da rede — testadas com regularidade;
• MFA ativo em todas as contas e palavras-passe únicas geridas num gestor de palavras-passe;
• Atualizações de segurança aplicadas sem demora;
• Formação e simulações regulares, apoiadas por monitorização capaz de detetar cedo o que os olhos não veem.

Na HJFR ajudamos micro, pequenas e médias empresas a preparar-se para o pior dia — da definição do plano de resposta e gestão de ameaças à monitorização contínua e à formação de colaboradores. Quer pôr este procedimento a funcionar na sua organização? Fale connosco.