Plano de resposta a incidentes de ransomware para PME

Um plano de resposta a incidentes de ransomware para pequenas e médias empresas precisa de seis etapas testadas, não de um documento de 200 páginas. A Simples Solução TI, que atende Rio de Janeiro e São Paulo, aplica o modelo do NIST SP 800-61 com metas de contenção em minutos e recuperação em horas. Decisões antecipadas reduzem o desespero e o custo final do ataque.

• Defina responsáveis e contatos de emergência antes do ataque; decisão sob pressão é a mais cara.
• Isole na ordem: máquina infectada, credenciais e backups — nunca comece pelo administrador.
• Backup imutável (WORM) fora da rede transforma ransomware em problema de horas, não de semanas.
• Teste o plano com tabletop a cada 3 meses e meça o RTO real de restauração.

O que um plano de resposta a ransomware deve conter?

Um bom plano para PME tem três blocos: contatos e papéis, ordem de contenção e roteiro de recuperação. Sem esses três, o documento não sobrevive ao primeiro ataque. O plano deve caber em três páginas e estar acessível offline para a equipe de TI.

• Contatos e papéis: o nome, telefone e backup de quem decide isolar, restaurar ou comunicar o incidente às autoridades. Inclua o encarregado de dados (DPO) se a empresa processa dados de saúde ou LGPD.
• Ordem de contenção: a sequência de ações de isolamento, com responsável e prazo para cada uma. Defina exceções para evitar que o administrador desative a contenção sem aprovação.
• Roteiro de recuperação: de onde restaurar, em que ordem de sistemas e quem valida cada serviço. O CRM e o e-mail têm prioridade sobre relatórios internos.
• Canais de comunicação: um grupo sinalizado e um modelo de mensagem para clientes, funcionários e imprensa. Nunca decida o texto no meio do incidente.

Quem faz cada papel numa PME sem time de segurança?

Em empresas pequenas, os papéis são divididos entre um diretor-patrono, a equipe de TI (interna ou terceirizada) e a área de comunicação. A Simples Solução TI coordena a resposta para clientes com contrato de suporte gerenciado, assumindo a parte técnica e deixando o diretor com duas decisões-chave.

• Diretor/comitê: autoriza contenção ampla, contato com seguradora e decisão de pagar resgate — que não é recomendada. Em PME, essa decisão precisa ter um suplente.
• Equipe de TI/fornecedor: executa a contenção, analisa a causa através de MITRE ATT&CK e coordena a restauração. O fornecedor deve ter um canal de emergência 24 horas.
• Comunicação/RH: informa funcionários e clientes, preserva evidências de e-mails e evita que fotos de telas infectadas vazem nas redes sociais.
• Jurídico/DPO: avalia obrigações de notificação à ANPD e às autoridades, e ativa o seguro cibernético. A LGPD exige comunicação à autoridade em determinados casos.

Quais são os 3 primeiros passos nos primeiros 10 minutos?

Os 10 primeiros minutos definem se o ransomware vai ficar confinado ou se espalhar pela rede. Execute três passos em ordem: isolar a máquina, revogar credenciais e desconectar backups.

1. Isolar a estação de trabalho da rede, sem desligá-la, para preservar memória e logs. Desligar elimina evidências do incidente.
2. Bloquear a conta do usuário infectado no Active Directory e forçar a troca de senha em outros sistemas. Credenciais roubadas são o principal vetor de movimentação lateral.
3. Desconectar os backups do ambiente, incluindo a trilha de monitoramento, para garantir uma cópia limpa de restauração. Backups conectados são criptografados junto.

Isolar ou derrubar tudo? As primeiras decisões de contenção

A decisão de isolar um host ou derrubar a rede inteira depende do tempo de detecção e da evidência de movimentação lateral. Use esta régua:

Quais ferramentas de segurança reduzem o risco de ransomware?

Um plano de resposta só funciona se houver visibilidade do ataque. Ferramentas de EDR e autenticação multifator (MFA) impedem que credenciais roubadas sejam suficientes para propagar o ransomware.

• MFA ativado: use autenticação em duas etapas em e-mail, VPN e acesso administrativo. Credencial roubada sem MFA não abre a porta para a segunda etapa.
• Segmentação de rede: use VLANs para separar setores e servidores críticos. A segmentação limita a movimentação lateral do atacante.
• Firewall com detecção de intrusão: bloqueie conexões de saída para IPs de comando e controle. Ferramentas como pfSense ou firewalls corporativos com IDS/IPS ajudam a cortar a comunicação com o atacante.

Por que backup imutável define o tamanho do estrago?

O backup imutável impede que o ransomware criptografe a cópia de recuperação, porque arquivos não podem ser alterados nem apagados por um prazo fixo. Ele transforma o ataque de um evento de perda total em um problema operacional de restauração.

• Imutabilidade (WORM): use S3 Object Lock na AWS, Blob Storage com versionamento no Azure ou repositórios reforçados do Veeam. A janela de retenção deve ser maior que os ciclos de backup.
• Offline e segmentado: o backup não pode estar montado na mesma rede do Active Directory. Dados importantes devem ter uma cópia fora do escritório ou em nuvem isolada.
• Regra 3-2-1: mantenha 3 cópias, em 2 mídias diferentes, com 1 fora do site. Empresas que seguem isso recuperam sem pagar resgate.
• Teste de restauração: restaure um arquivo ou uma máquina virtual mensalmente. Backup que não é testado é uma esperança, não uma estratégia.

A CISA, agência do governo americano, publica o Stop Ransomware com orientações oficiais, e o NIST SP 800-61 detalha cada fase da resposta. Para empresas brasileiras dos segmentos de contabilidade e saúde, a Simples Solução TI integra backup imutável, firewall e resposta a partir da consultoria de TI.

Como testar o plano sem parar a operação?

Testar não é lançar um ransomware na produção; é fazer um tabletop exercise de 60 minutos com as pessoas certas. Nesse simulado, você narra um ataque e observa quem pergunta 'o que eu faço agora'.

1. Liste um ataque real: phishing com credencial roubada e movimentação lateral. Use a cadeia do MITRE ATT&CK para dar realismo ao roteiro.
2. Apresente o cenário em etapas e peça decisões em tempo real: isolar, preservar, avisar clientes. Marque quanto tempo cada decisão levou.
3. Compare as decisões com o plano e corrija os pontos de gargalo. O objetivo é que, no ataque real, as ações sejam quase automáticas.
4. Meça o tempo médio para detectar (MTTD) e o tempo médio para recuperar (MTTR) simulados. Use esses números para melhorar o SLA com seu provedor.

Como se comunicar com clientes e funcionários durante o incidente?

A comunicação precisa impedir pânico e cumprir a LGPD. Defina um único porta-voz, um modelo de mensagem e um canal oficial de preferência fora do e-mail corporativo comprometido.

• Mensagem aos funcionários: explique que as estações podem ficar suspensas e proíba o uso de dispositivos pessoais na rede. O silêncio gera boatos.
• Mensagem aos clientes: informe se dados sensíveis foram acessados e o que está sendo feito. Clientes de escritórios contábeis precisam saber quando o service desk voltará a atender.
• Canais: use telefone e um site fora do domínio, não o e-mail corporativo. O ransomware costuma assumir o Exchange ou o Office 365.
• Autoridade: avalie em conjunto com o jurídico se a notificação à ANPD é obrigatória. A LGPD prevê comunicação em prazos legais para incidentes de risco.

O que fazer depois de conter o incidente?

Depois de conter, o trabalho muda para erradicação, recuperação e lições aprendidas. Tratar a causa raiz impede o segundo ataque, que costuma ocorrer semanas depois.

• Preserve evidências: colete logs, imagens de memória e o arquivo de notas de resgate. Eles são necessários para seguro, polícia e provedores de segurança.
• Remova a causa raiz: revogue todas as credenciais e busque backdoors. O ransomware pode ter usado PowerShell ou ferramentas de administração remota como AnyDesk.
• Restaure por ordem de prioridade: valide backup, confira a integridade e retorne sistemas com RTO definido. Backup imutável é o caminho mais rápido.
• Atualize o plano: registre o que falhou no tabletop e na resposta real. Plano que não muda após o incidente é uma peça de arquivo.

Estudo de caso: escritório contábil não pagou resgate

Um escritório contábil no Rio de Janeiro, com 30 estações, detectou ransomware em 2 servidores de arquivos. O plano previu isolamento por VLAN, backup imutável em nuvem e comunicação com clientes antes de qualquer anúncio; a restauração de 1,2 TB levou 14 horas e não houve resgate.

Quais métricas mostram se o plano de resposta é bom?

Um plano é avaliado por três números: MTTD, MTTR e o custo total por incidente. Defina metas realistas e revise depois de cada teste.

• MTTD (tempo médio para detectar): tempo entre o clique no phishing e o alerta no EDR. Meta para PME: menos de 1 hora.
• MTTR (tempo médio para recuperar): do início da contenção até o sistema principal de volta. Meta: 24 horas com backup imutável.
• RPO (ponto de recuperação): quantidade máxima de dados perdida aceitável. RPO de 15 minutos com backup contínuo.
• Custo por incidente: inclui horas de TI, horas de funcionários parados e multas. Use o histórico da seguradora e referências publicadas para dimensionar.

Perguntas frequentes

O que é um plano de resposta a incidentes de ransomware?

É um documento que define quem faz o quê, em que ordem, durante um ataque. Ele inclui contatos de emergência, passos de contenção, lista de backups e critérios para envolver autoridades e seguro cibernético.

Quanto custa implementar esse plano em uma PME?

O custo varia de R$ 2.000 a R$ 15.000, dependendo da existência de backup imutável e da complexidade da rede. Planejar custa menos que 1 dia de operação parada, que em PME passa de R$ 5.000 em média.

Devo pagar o resgate em um ataque de ransomware?

Não é recomendado: pagar não garante a chave e financia novos ataques. As autoridades, como o FBI, não recomendam pagar porque não há garantia de recuperação e o crime é financiado.

Quais são as primeiras pessoas a acionar durante um ataque?

Acione primeiro o fornecedor de TI ou time interno, depois o gestor com poder de decisão e, se houver, o encarregado de dados (DPO). A ordem evita que alguém apague evidências ou pague resgate sem análise técnica.

Com que frequência devo testar o plano de resposta?

Recomenda-se um tabletop exercise a cada 3 meses e um teste de restauração completa de backup pelo menos 1 vez por ano. Testes práticos revelam backups corrompidos e senhas de recuperação perdidas.

O seguro cibernético cobre ransomware?

Muitas apólices cobrem perda de lucro e custos de recuperação, mas exigem controles prévios como MFA e backup testado. Leia as cláusulas de exclusão e os requisitos de segurança antes de assinar.

Qual a diferença entre plano de resposta e política de segurança?

A política define regras permanentes, como uso de senha e backup; o plano define ações durante o incidente, com prazos e responsáveis. Empresas maduras têm os dois documentos integrados.