Exibir código-fonte para Plano de Respostas a Incidentes

= Plano de resposta a incidentes =

<div style="margin-left:0cm;margin-right:0cm;"><span style="background-color:#ffffff;">Esse plano de resposta a incidentes (IRP) visa lidar com os vários tipos de incidentes que afetam a TI diariamente, definindo processos para análise e tomada decisões sobre como respondê-los e mitigá-los. </span></div>

<div style="margin-left:0cm;margin-right:0cm;"><span style="background-color:#ffffff;">Esse documento contempla um modelo que pode ajudar a delinear instruções para que seja possível detectar, responder e limitar os efeitos dos incidentes.</span></div>


== Incidente e resposta ==


<div style="margin-left:0cm;margin-right:0cm;"><span style="background-color:#ffffff;">Um incidente é um evento que pode ser, ou pode levar a uma interrupção, perda ou crise de negócios.</span></div>

<div style="margin-left:0cm;margin-right:0cm;"><span style="background-color:#ffffff;">Resposta a incidentes é um processo que visa reagir a ameaças a infraestruturas de TI a nível de software e hardware, como por exemplos os mais variados tipos de ataques cibernéticos, falhas de software, indisponibilidades de redes, servidores e aplicações, violações de segurança e acesso.</span></div>

<div style="margin-left:0cm;margin-right:0cm;"><span style="background-color:#ffffff;">Para um correto tratamento dos incidentes, as etapas a seguir são indispensáveis.</span></div>
* <span style="background-color:#ffffff;">Identificar o incidente: Geralmente começa com um alerta de uma ferramenta de monitoramento ou a abertura de um chamado de suporte por um usuário. </span>
* <span style="background-color:#ffffff;">Avaliar a gravidade e prioridade: É necessário atribuir níveis de gravidade e impacto para poder definir a prioridade das ações. </span>


<div style="margin-left:1.884cm;margin-right:0cm;"></div>

<center>
{| class="wikitable"  style="border-spacing:0;width:75%"
|- 
! Gravidade !! Impacto !! Exemplos
|-
|align=center| 1
|align=center| Alto
||
Um serviço voltado para todos os clientes está indisponível.
Perda de dados ou de integridade dos dados.
A confidencialidade ou a privacidade foi violada.
Vazamento de informações gerando riscos à LGPD.
Faturamento parado.
|-
|align=center| 2
|align=center| Médio
|| Alguns serviços voltados para alguns clientes estão indisponíveis.
|-
|align=center| 3
|align=center| Baixo
||
Baixa performance na camada de software.
Baixa performance na camada de infraestrutura.
Funcionalidades não essenciais que há uma solução paliativa.
|-
|}
</center>

<div style="margin-left:1.884cm;margin-right:0cm;"><span style="background-color:#ffffff;">Qual é a diferença entre gravidade e prioridade?</span></div>


<div style="margin-left:1.884cm;margin-right:0cm;"><span style="background-color:#ffffff;">Gravidade é uma medida de impacto. Qual impacto o incidente tem para os usuários? O deixa o usuário impossibilitado de fazer seu trabalho? A empresa não consegue faturar ou cumprir seus compromissos perante seus clientes e fornecedores?</span></div>


<div style="margin-left:1.884cm;margin-right:0cm;"><span style="background-color:#ffffff;">Prioridade é uma medida da urgência. Qual a rapidez que precisamos solucionar esse incidente? Qual ponto precisa ser tratado primeiro?</span></div>


* <span style="background-color:#ffffff;">Definir canais de comunicação: Definir quem são os interessados nas equipes internas e no cliente e comunicar sobre o incidente.</span>
* <span style="background-color:#ffffff;">Acionar os recursos para tratamento do incidente: Acionar os recursos disponíveis para avaliar o tipo do incidente e iniciar imediatamente a análise de acordo com o tipo. </span>


<div style="margin-left:1.884cm;margin-right:0cm;"><span style="background-color:#ffffff;">O incidente por ser tipado como sendo a nível de software ou infraestrutura. Não sendo possível tipar, deverá ser acionado ambos os times para uma análise conjunta. </span></div>


* <span style="background-color:#ffffff;">Solucionar o incidente: </span>O incidente poderá ser considerado resolvido quando o impacto estiver encerrado.

== Responsabilidades ==


<div style="margin-left:0cm;margin-right:0cm;">As ações de resposta a incidentes precisam ser geridas para que se proporcione um fluxo organizado de trabalho. O Comitê de Resposta a Incidentes será composto por um time de gerenciamento (Identificação e Gerenciamento) sustentado por outros dois times, sendo um a nível de software (Produto) e outro a nível de infraestrutura (TI). Esses dois times serão compostos por diversos recursos, de seja equipes internas (CIGAM) ou equipes externas (consultoria ou suporte especializado):</div>


<div style="text-align:center;">[[Image:PlanoRespostaIncidentes.png|top]]</div>


=== Time de Identificação e Gerenciamento  ===


<div style="margin-left:0cm;margin-right:0cm;">Será o responsável pela gestão dos incidentes. A gestão de incidentes é algo fundamental, pois quanto mais rápido os problemas forem solucionados, maior a produtividade e menor serão as perdas.</div>

<div style="margin-left:0cm;margin-right:0cm;">É nesse time que é tomado conhecimento sobre o incidente e é feita a comunicação com os demais envolvidos bem como os direcionamentos necessários para a solução o mais breve possível.</div>

<div style="margin-left:0cm;margin-right:0cm;">A equipe deve contar com uma pessoa que tem habilidade de se comunicar com todos os envolvidos, seja o reclamante do incidente ou colaboradores envolvidos na solução. Geralmente é o responsável por atualizar o status de cada etapa ou ação. </div>

<div style="margin-left:0cm;margin-right:0cm;">Esse time é a principal fonte de informações sobre o incidente e do andamento das ações. </div>

<div style="margin-left:0cm;margin-right:0cm;">Algumas habilidades necessárias: </div>
* Boa comunicação
* Planejamento
* Conhecimento das políticas de segurança, requisitos e padrões
* Habilidade em resolver problemas
* Conhecimento das equipes
* Liderança, principalmente em situações de alto estresse


<div style="margin-left:0cm;margin-right:0cm;">Alguns procedimentos que serão de sua responsabilidade:</div>
* Documentação: Criar uma OS/Item e documentar todas as informações do incidente.
* Planejamento: Planejar o envolvimento dos demais recursos para analisar o incidente.
* Tarefas: De posse das informações da análise do incidente, decidir quais são as tarefas necessárias e quem irá desempenhá-las.
* Monitoramento: Acompanhar o andamento das tarefas e obter informações para prover documentação e comunicação.
* Retrospectivas: Após solucionar o incidente, entender as causas e direcionar aos responsáveis para que se tome ações efetivas para minimizar a recorrência e melhorar os pontos de falhas.


=== Time de Produto ===


<div style="margin-left:0cm;margin-right:0cm;">Deve ter como responsável um líder de arquitetura de software de nível técnico sênior. </div>

<div style="margin-left:0cm;margin-right:0cm;">É responsável por analisar as camadas a nível de software e desenvolver teorias sobre o que pode estar gerando falhas ou problemas com seus respectivos motivos, decidindo ações de mudanças e liderando o time técnico durante o incidente.</div>

<div style="margin-left:0cm;margin-right:0cm;">Possui diversos recursos a sua disposição conforme o diagrama visto anteriormente.</div>

<div style="margin-left:0cm;margin-right:0cm;">Trabalha em estreita colaboração com o Time TI e o Time de Identificação e Gerenciamento.</div>


=== Time de TI ===


<div style="margin-left:0cm;margin-right:0cm;">Deve ter como responsável um líder de tecnologia de nível técnico sênior. </div>

<div style="margin-left:0cm;margin-right:0cm;">É responsável por analisar as camadas a nível de infraestrutura e desenvolver teorias sobre o que pode estar gerando falhas ou problemas com seus respectivos motivos, decidindo ações de mudanças e liderando o time técnico durante o incidente.</div>

<div style="margin-left:0cm;margin-right:0cm;">Possui diversos recursos a sua disposição conforme o diagrama visto anteriormente.</div>

<div style="margin-left:0cm;margin-right:0cm;">Trabalha em estreita colaboração com o Time Produto e o Time de Identificação e Gerenciamento.</div>


== Recomendações ==


<div style="margin-left:0cm;margin-right:0cm;">Os incidentes, na ampla maioria das vezes, causam a indisponibilidade de algum recurso utilizado em produção, os quais podem gerar perdas financeiras por cada minuto que estiver indisponível. Por isso é extremamente importante um bom gerenciamento para que seja possível uma resposta rápida, eliminando atrasos e custos desnecessários.</div>


=== Conjunto de ferramentas  ===


<div style="margin-left:0cm;margin-right:0cm;">O conjunto de ferramentas para reposta a incidentes contém todos os recursos necessários para o que os times possam resolver o incidente. Nesse conjunto pode estar incluído documentações, padronizações e softwares capazes de auxiliar em alguma tarefa que seria humanamente impossível ou muito demorada. </div>

<div style="margin-left:0cm;margin-right:0cm;">Uma relação simples das ferramentas e recursos disponíveis pode agilizar muito, como por exemplo uma listagem contendo o seguinte:</div>
# Documentação de políticas de segurança 
# Documentação de requisitos de software e hardware
# Especificação do CIGAM
# Contatos dos colaboradores nas equipes 
# Contatos dos colaboradores no cliente
# Endereços e credenciais para acesso a ambientes e ferramentas


=== Estabilizar primeiro ===


<div style="margin-left:0cm;margin-right:0cm;">Podemos olhar para o exemplo de um médico, que ao invés de tratar todos os problemas simultaneamente, ele prioriza uma ação a curtíssimo prazo que irá parar o sangramento e estabilizar o paciente, para em seguida, focar em cuidados mais específicos. </div>

<div style="margin-left:0cm;margin-right:0cm;">Olhando esse exemplo a nível de TI, podemos dizer que parar o sangramento poderá significar reiniciar um servidor, reinstalar um software, voltar uma versão de software ou ainda, ativar recursos de contingência.</div>


=== Não faça sozinho ===


<div style="margin-left:0cm;margin-right:0cm;">Os resultados de uma pessoa trabalhando sozinha certamente nunca serão tão bons e rápidos quando comparado aos resultados de equipes trabalhando em conjunto. É importante identificar nas equipes as qualidades e afinidades dos conhecimentos com o problema, de modo que se possa atuar em pontos separados, mas sempre alinhados com o todo.</div>

<div style="margin-left:0cm;margin-right:0cm;">A cultura do ''herói'' nesse tipo de trabalho comprovadamente não consegue resultados rápidos.</div>


=== Causa raiz  ===


<div style="margin-left:0cm;margin-right:0cm;">Geralmente um incidente não tem apenas um único ponto como causa raiz, pois é muito comum a dificuldade de identificar de maneira rápida todas as causas. A ação de procura da causa raiz deve primeiro ter o objetivo de entender o maior número de pontos possíveis acerca do incidente. É importante entender os fatores que levaram a falha a acontecer ou de não ter impedido de acontecer.</div>

<div style="margin-left:0cm;margin-right:0cm;">Ambientes com várias camadas de software e hardware, complexos e com ciclos contínuos de mudanças são os mais suscetíveis a falhas e os mais difíceis de se encontrar a causa raiz.</div>

<div style="margin-left:0cm;margin-right:0cm;">É necessário sempre adotar uma estratégia considerando que em algum momento irá acontecer alguma falha. As equipes que assumem esse pensamento têm muito mais facilidade para lidar com os incidentes.</div>

<div style="margin-left:0cm;margin-right:0cm;">Adote o caos, promova a estabilidade. </div>

<div style="margin-left:0cm;margin-right:0cm;">O objetivo sempre precisa ser entender o que deu errado e nunca de buscar culpados. Quando se descobre a causa raiz, o achado são pontos para melhoria e não o nome de um culpado.</div>


== Procedimentos ==


<div style="margin-left:0cm;margin-right:0cm;">Os procedimentos a seguir garantem um correto tratamento dos incidentes, desde a sua abertura até seu encerramento, e podem ser aplicados nos seguintes tipos de incidentes:</div>
* Incidentes de Software: Camadas de software, seja desenvolvida ou de terceiros.
* Incidentes de Infraestrutura: Camadas de infra física ou virtualizada.
* Incidentes de Segurança: A<span style="background-color:#ffffff;">taques cibernéticos, indisponibilidades de recursos, violações de segurança e acesso.</span>


=== Detecção ===


<div style="margin-left:0cm;margin-right:0cm;">O processo de detecção consiste em determinar a natureza do comprometimento, disponibilizando detalhes dos sistemas comprometidos. A avaliação inicial dos incidentes pode auxiliar na investigação de um incidente de modo a confirmar a existência de um comprometimento e das suas consequências.</div>

<div style="margin-left:0cm;margin-right:0cm;">Algumas ações:</div>
* Identificar todos os sistemas e serviços afetados relacionados com o incidente.
* Identificar que tipo de informação e processos podem ter sido afetados.
* Identificar versão do serviço ou sistema comprometido.
* Verificar se houve alta utilização da rede ou conexões externas em horários não convencionais podem revelar atividades suspeitas, passíveis de investigação.


=== Contenção ===


<div style="margin-left:0cm;margin-right:0cm;">A etapa de contenção tem por objetivo limitar ou atenuar os danos causados por um incidente previamente detectado. Com a implementação de medidas de contenção, deseja-se evitar que um dado incidente afete os demais recursos ou, ainda, impeça o funcionamento de serviços críticos.</div>

<div style="margin-left:0cm;margin-right:0cm;">Algumas ações:</div>
* Remover dados do sistema de arquivos que são valiosos.
* Desconectar o sistema comprometido ou isolar a rede afetada.
* Desativar sistema é, em casos específicos, uma solução aconselhável para evitar maiores perdas.
* Alterar políticas de roteamento e acessos dos equipamentos de redes de maneira a bloquear o fluxo previamente utilizado pelo incidente.


=== Erradicação ===


<div style="margin-left:0cm;margin-right:0cm;">O objetivo da etapa de erradicação é eliminar a causa do incidente. Nessa etapa se deseja remover a fragilidade utilizada para comprometer os sistemas relacionados com o incidente de segurança.</div>

Algumas ações:
* Garantir que as causas do incidente foram removidas, assim como todas as atividades, arquivos e recursos associados ao incidente.
* Assegurar a remoção de todos os métodos de acesso utilizado pelo atacante.


=== Recuperação ===


<div style="margin-left:0cm;margin-right:0cm;">A recuperação tem o objetivo de retornar qualquer sistema comprometido completamente ao seu estado normal de operação. Essa etapa inclui retornar ao estado operacional das redes afetadas, e restaurar os dados de aplicações e de usuários, além da integridade do sistema. </div>

<div style="margin-left:0cm;margin-right:0cm;">Os principais objetivos do estágio de recuperação incluem: </div>
* Restaurar a integridade do sistema.
* Garantir que o sistema foi recuperado corretamente e que suas funcionalidades estejam ativas.
* Implementar medidas para evitar novos comprometimentos.