Backup, pen drive e a planilha da chefia
Um servidor da DPU mantém, em seu computador, uma planilha com dados de assistidos (nome, CPF e renda) e uma pasta com 4 GB de documentos digitalizados. Ele faz backup manual copiando os arquivos para um pen drive pessoal, uma vez por mês, sempre sobrescrevendo a versão anterior. Na semana passada, recebeu um e-mail com anexo de um suposto tribunal, abriu o arquivo e, dois dias depois, os arquivos da pasta começaram a aparecer com extensão alterada e a planilha não abria. O antivírus estava desatualizado havia 40 dias. A chefia pede um diagnóstico e um plano de correção em 24 horas.
1. Identifique as falhas de segurança e de backup do caso, distinguindo-as.
Read the worked answer
Falhas de segurança da informação:
- Phishing/engenharia social: e-mail com anexo de suposto tribunal explorando a confiança na instituição; a abertura do anexo é o vetor provável da infecção.
- Antivírus desatualizado por 40 dias: ausência de atualização de assinaturas e de correções, reduzindo a detecção.
- Dados pessoais sensíveis sem controle adequado: CPF e renda de assistidos em estação de trabalho, sem menção a criptografia ou controle de acesso.
- Uso de dispositivo pessoal para guardar dados institucionais, sem autorização nem controle.
Falhas de backup:
- Frequência mensal é incompatível com a criticidade dos dados: perda potencial de até 30 dias de trabalho.
- Sobrescrita da versão anterior: não há versionamento nem histórico; se o arquivo copiado já estiver corrompido ou cifrado, o backup replica o problema.
- Backup manual e dependente de uma pessoa: sem rotina automatizada nem verificação.
- Inexistência de teste de restauração: não se sabe se o backup é recuperável.
- Ausência de cópia off-line/remota e de regra de retenção.
Observação: as duas dimensões se conectam - um backup mal desenhado não protege contra ransomware, porque a cópia sobrescrita tende a conter o arquivo já comprometido.
2. Proponha um plano de backup em regra 3-2-1 adaptado à unidade, indicando o que fazer com o pen drive atual.
Read the worked answer
Regra 3-2-1: três cópias, em dois tipos de mídia, sendo uma fora do local.
Aplicação:
- Cópia 1 (produção): arquivos na estação/rede institucional, com controle de acesso e criptografia para dados pessoais.
- Cópia 2 (local): servidor de arquivos da unidade ou disco externo institucional, com backup automatizado diário e versionamento (retenção mínima de 30 dias), jamais por sobrescrita.
- Cópia 3 (off-line/remota): repositório institucional fora da unidade ou mídia off-line guardada em local distinto, com rotação.
Rotina: backup diário incremental e semanal completo; registro de execução; teste de restauração trimestral documentado.
Pen drive atual: não deve continuar como backup principal nem ser conectado à rede antes de verificação; deve ser tratado como mídia possivelmente contaminada, submetido a varredura em ambiente isolado e, se contiver dados pessoais, ter o conteúdo apagado de forma segura após a preservação do que for necessário. Uso de dispositivo pessoal deve ser vedado, salvo autorização expressa.
3. Descreva a sequência de resposta ao incidente nas primeiras 24 horas, considerando preservação de evidências e comunicação.
Read the worked answer
Primeiras 24 horas:
- Conter: isolar a máquina da rede (desconectar cabo/Wi-Fi) sem desligá-la nem apagar arquivos; não formatar nem reinstalar.
- Preservar evidências: registrar data e hora, o e-mail recebido, o nome do anexo, as extensões alteradas e as mensagens de erro; fazer imagem ou cópia dos arquivos afetados antes de qualquer limpeza.
- Acionar: comunicar imediatamente a chefia e a área de tecnologia/segurança da instituição, seguindo o fluxo interno; se houver indício de acesso a dados pessoais, avaliar comunicação aos titulares e à autoridade competente, conforme a norma aplicável.
- Erradicar e recuperar: com apoio técnico, executar varredura com antivírus atualizado em ambiente controlado; restaurar os arquivos a partir de backup anterior ao incidente, verificando integridade antes de reintroduzir na rede.
- Trocar credenciais eventualmente expostas e revisar permissões de acesso à pasta.
- Documentar: relatório do incidente com causa provável, dados afetados, ações e prazos.
- Prevenir: atualizar antivírus e sistema, treinar a equipe sobre anexos suspeitos e revisar a política de backup.
Ponto crítico: não sobrescrever o pen drive nem os arquivos antes da coleta de evidências.