Tabletop Exercise para vazamento de dados: como testar a resposta às exigências da LGPD

Uma suspeita de vazamento de dados pessoais pode mobilizar diferentes áreas de uma empresa antes mesmo que a investigação consiga determinar o que aconteceu.

Enquanto segurança procura evidências, jurídico e privacidade precisam avaliar possíveis obrigações regulatórias. A comunicação também pode ser pressionada por clientes, parceiros e pela própria liderança.

Nesse contexto, um Tabletop Exercise permite testar se a organização está preparada para investigar o incidente, avaliar riscos e cumprir suas obrigações sem depender de improviso.

O que a LGPD exige em um incidente de segurança?

A Resolução CD/ANPD nº 15/2024 regulamenta a comunicação de incidentes de segurança com dados pessoais no Brasil.

Segundo a norma, o controlador deve comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares os incidentes que possam acarretar risco ou dano relevante.

A obrigatoriedade não se aplica indistintamente a qualquer alerta de segurança.

É necessário confirmar a ocorrência do incidente, identificar se houve comprometimento de dados pessoais e avaliar os riscos envolvidos, considerando fatores como a natureza das informações e os possíveis impactos aos titulares.

Nos casos sujeitos à obrigação, a regra geral estabelece prazo de três dias úteis para comunicação à ANPD e aos titulares, contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, ressalvados prazos específicos previstos em lei.

A regulamentação também permite, em situações justificadas, o envio de uma comunicação preliminar à ANPD, com complementação posterior.

Como transformar essas exigências em um Tabletop Exercise?

Imagine que uma ferramenta de monitoramento identifique uma exportação incomum de informações em uma plataforma de clientes.

A investigação inicial sugere que uma credencial pode ter sido comprometida, mas ainda não há elementos suficientes para determinar quem realizou a operação ou quais registros foram acessados.

O exercício pode evoluir a partir desse cenário.

Primeiro, os participantes precisam identificar quais evidências são necessárias para confirmar o incidente. Em seguida, devem avaliar as categorias de dados potencialmente afetadas, os possíveis danos aos titulares e a necessidade de medidas adicionais de proteção.

Durante a dinâmica, também é possível apresentar novas informações: a confirmação de acesso não autorizado, a identificação de dados sensíveis ou uma solicitação de esclarecimento feita por um cliente.

Cada acontecimento exige uma reavaliação da situação.

O objetivo é verificar se os procedimentos existentes permitem construir um entendimento confiável e fundamentar as decisões regulatórias e operacionais.

O que precisa ser observado?

Um exercício voltado à LGPD deve avaliar especialmente a integração entre segurança da informação, jurídico, encarregado de dados e comunicação.

Algumas questões são particularmente relevantes:

·       A empresa consegue identificar quais dados pessoais foram afetados?

·       Existem registros suficientes para reconstruir o incidente?

·       Os critérios de avaliação de risco ou dano relevante estão definidos?

·       A organização sabe preparar uma comunicação adequada aos titulares?

·       O processo permite cumprir os prazos aplicáveis, mesmo quando a investigação ainda está em andamento?

Além das respostas apresentadas, é importante registrar quais informações foram utilizadas, quais procedimentos precisaram ser consultados e onde surgiram dificuldades.

Preparação regulatória também exige preparação operacional

O Tabletop Exercise não substitui a investigação técnica nem a análise jurídica de um incidente. Sua contribuição está em testar como essas atividades funcionariam de maneira integrada durante uma situação real.

A empresa passa a compreender melhor quais informações precisa reunir, quais processos precisam ser aperfeiçoados e como reduzir a distância entre identificar um problema e conseguir avaliá-lo adequadamente.

A Setrix desenvolve Tabletop Exercises adaptados aos riscos, às operações e às necessidades de cada organização, ajudando a transformar cenários de crise em oportunidades concretas de preparação.

Fontes

1.       ANPD — Comunicação de Incidente de Segurança - https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis

2.       Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança - https://bibliotecadigital.mj.gov.br/bitstream/1/12879/2/RES_ANPD_2024_15.html

3.       CISA — CTEP Package Documents - https://www.cisa.gov/resources-tools/resources/ctep-package-documents

4.       NIST SP 800-61 Rev. 3 — Incident Response Recommendations - https://csrc.nist.gov/pubs/sp/800/61/r3/final