Plano de Resposta a Incidentes — Cataloga-ai

Versão: 1.0

Data: 2026-04-25

Responsável: DPO + Segurança da Informação

Aprovação: CEO

1. DETECÇÃO

1.1 Fontes de Alerta

1.2 Canais de Recebimento

• Email: security-incidents@cataloga-ai.com.br (monitorado 24/7 via alertas de celular)
• Slack: Canal #security-incidents (notificações push ativadas)
• Telefone: +55 11 9XXXX-XXXX (DPO) e +55 11 9YYYY-YYYY (CTO)

2. TRIAGEM — SEVERITY MATRIX

Matriz de Severidade

Fluxo de Classificação

Incidente detectado
    ↓
DPO + CTO avaliam:
- Tipo de dado afetado (PII sensível? Dados financeiros? Credenciais?)
- Volume estimado (quantos registros/titulares?)
- Exfiltração confirmada ou suspeita?
- Impacto operacional (sistema down? Perda de integridade?)
    ↓
Atribuir severity (P0/P1/P2/P3)
    ↓
Disparar runbook correspondente

3. CONTENÇÃO

3.1 Procedimentos por Severity

P0 — Crítico

Ações imediatas (primeiros 15 minutos):

1. Isolar serviço comprometido

• Vercel: desabilitar deployment afetado via dashboard
• Supabase: revogar API keys comprometidas (Dashboard > Settings > API)
• Redis: flush cache se houver suspeita de poisoning (redis-cli FLUSHALL)

1. Revogar credenciais

• Rodar script /scripts/revoke-all-admin-sessions.sh
• Forçar re-autenticação de todos lojistas via invalidação de refresh tokens
• Rotacionar secrets do GitHub Actions, Vercel, Supabase

1. Bloquear IPs suspeitos

• Adicionar IPs à blocklist do Cloudflare (ou WAF usado)
• Regra temporária: bloquear tráfego de países não esperados (se aplicável)

1. Preservar evidências

• Snapshot imediato de logs (Supabase, Vercel, Redis) — não deletar nada
• Backup de banco de dados (somente leitura, para análise forense)

Responsáveis: CTO + DevOps + DPO

P1 — Alto

Ações em 1 hora:

1. Isolar conta/serviço comprometido

• Desabilitar usuário admin específico
• Segmentar acesso: limitar APIs apenas a IPs whitelistados temporariamente

1. Revogar credenciais específicas

• Resetar senha do admin comprometido
• Rotacionar API key do serviço afetado (ex: Asaas webhook secret)

1. Audit trail

• Filtrar logs de acesso do usuário/IP suspeito nas últimas 72h
• Identificar quais dados foram acessados

1. Comunicação interna

• Alertar time via Slack #security-incidents
• Briefing com CEO e DPO

Responsáveis: DPO + Backend Lead

P2 — Médio

Ações em 4 horas:

1. Patch de vulnerabilidade

• Aplicar correção de CVE ou desabilitar endpoint exposto
• Deploy urgente se necessário

1. Review de logs

• Confirmar se houve tentativa de exploração
• Verificar acessos anômalos nas últimas 24h

1. Monitoramento aumentado

• Configurar alertas adicionais para o vetor de ataque identificado

Responsáveis: DevOps

P3 — Baixo

Ações em 24 horas:

1. Documentar incidente

• Registrar no issue tracker de segurança
• Avaliar se exige mudança de controles

1. Monitoramento passivo

• Observar se há repetição do padrão

Responsáveis: DevOps ou DPO

4. ERRADICAÇÃO

4.1 Remoção de Acesso Não Autorizado

1. Confirmar que credenciais comprometidas foram revogadas

• Testar login com credenciais antigas (deve falhar)
• Verificar que sessions antigas foram invalidadas

1. Remover backdoors/malware

• Scan de servidor com antivírus atualizado
• Revisar código deployado vs. repositório Git (diff completo)
• Verificar cron jobs e scheduled tasks não autorizados

1. Fechar vetor de ataque

• Se SQL injection: parametrizar queries vulneráveis
• Se credencial fraca: forçar MFA para todos admins
• Se misconfiguration: corrigir permissões (princípio least-privilege)

4.2 Análise Forense Básica

Checklist:

• [ ] Linha do tempo completa do incidente (primeiro acesso → último acesso)
• [ ] Lista de IPs envolvidos (atacante + possíveis cúmplices)
• [ ] Dados acessados/exfiltrados (tabelas, volumes, campos específicos)
• [ ] Método de acesso (credencial roubada, exploit, engenharia social)
• [ ] Duração da exposição (tempo entre brecha aberta e detecção)

Ferramentas:

• Logs agregados: Elasticsearch + Kibana (se disponível) ou grep em exports
• Análise de tráfego: logs do Cloudflare/WAF
• Banco de dados: query audit logs do Supabase

Responsável: CTO + consultor externo de forense (se P0)

5. RECUPERAÇÃO

5.1 Restore de Backup

Quando aplicar:

• Dados foram alterados maliciosamente (ex: registros deletados, corrompidos)
• Ransomware criptografou dados
• Não há confiança na integridade atual do banco

Procedimento:

1. Selecionar ponto de restore

• Último backup antes da janela de comprometimento
• Validar integridade do backup (checksum MD5/SHA256)

1. Ambiente de teste

• Restaurar em ambiente staging primeiro
• Validar que não há payload malicioso no backup

1. Produção

• Restaurar em produção com downtime planejado
• Comunicar downtime a lojistas com antecedência mínima de 2h (se viável)

SLA de restore:

• P0: até 4 horas após decisão de restore
• P1: até 12 horas

Responsável: DevOps + CTO

5.2 Validação de Integridade

Checklist pós-restore:

• [ ] Queries de sanidade: contagem de registros por tabela (deve bater com snapshot pré-incidente)
• [ ] Teste de login: 5 usuários aleatórios (lojistas) conseguem logar
• [ ] Teste de funcionalidade crítica: criar pedido, processar pagamento, enviar WhatsApp
• [ ] Verificar que não há sinais de reinfecção (scan completo)

5.3 Retorno ao Operacional

Critérios para declarar "incidente resolvido":

• [ ] Vetor de ataque confirmadamente fechado
• [ ] Sem sinais de acesso não autorizado nas últimas 24h
• [ ] Sistemas funcionando normalmente (uptime 99.9% nas últimas 4h)
• [ ] Comunicações obrigatórias enviadas (ANPD, titulares, lojistas)
• [ ] Post-mortem agendado

Responsável: DPO declara "all clear" após aprovação de CTO e CEO

6. COMUNICAÇÃO

6.1 Decision Tree — Quando Notificar

Incidente classificado
    ↓
Dados pessoais foram acessados/vazados?
    NÃO → Apenas comunicação interna → FIM
    SIM ↓
    ↓
Risco aos direitos/liberdades dos titulares?
    (ex: dados financeiros, dados sensíveis, risco de fraude, dano reputacional)
    NÃO → Apenas comunicação interna + registro no RIPD → FIM
    SIM ↓
    ↓
NOTIFICAR ANPD EM 72H (Art. 48 LGPD)
    ↓
Risco ALTO aos titulares?
    (ex: dados financeiros vazados, risco de fraude iminente)
    SIM → NOTIFICAR TITULARES TAMBÉM
    NÃO → Avaliar caso a caso com DPO + jurídico

6.2 Prazos e Responsáveis

6.3 Conteúdo Obrigatório — Notificação ANPD

Conforme LGPD Art. 48, deve incluir:

1. Descrição da natureza dos dados pessoais afetados
2. Informações sobre os titulares envolvidos (quantidade estimada, categorias)
3. Indicação das medidas técnicas e de segurança utilizadas para proteção
4. Riscos relacionados ao incidente
5. Motivos da demora (se ultrapassar 72h — justificar)
6. Medidas que foram ou serão adotadas para reverter ou mitigar os efeitos

Importante: Não omitir informações relevantes. Transparência é obrigatória.

6.4 Comunicação com Lojistas (Papel Duplo)

Cataloga-ai tem dois papéis:

• Controlador dos dados dos lojistas (nome, email, CNPJ, dados de pagamento deles)
• Operador dos dados dos clientes finais dos lojistas

Cenário 1: Vazamento de dados dos lojistas (ex: lista de emails de assinantes)

→ Cataloga-ai é controlador → notifica ANPD + lojistas afetados

Cenário 2: Vazamento de dados dos clientes finais (ex: lista de consumidores que compraram via checkout)

→ Cataloga-ai é operador → notifica os lojistas (que são controladores) + ANPD

→ Lojistas decidem se notificam seus clientes finais

Template: comunicado-lojistas.md cobre ambos cenários.

7. PÓS-INCIDENTE

7.1 Post-Mortem (Obrigatório para P0 e P1)

Prazo: Até 7 dias após resolução do incidente

Participantes: DPO, CTO, DevOps, Backend Lead, CEO (se P0)

Agenda:

1. Timeline detalhada (do primeiro sinal ao "all clear")
2. Root cause analysis

• Por que aconteceu? (vulnerabilidade técnica, erro humano, processo falho)
• Por que não foi detectado antes?

1. O que funcionou bem

• Quais controles mitigaram o dano?
• Tempo de resposta foi adequado?

1. O que falhou

• Onde os controles existentes não funcionaram?
• Gaps de monitoramento/alertas?

1. Action items

• Melhorias técnicas (ex: adicionar MFA, corrigir permissões)
• Melhorias de processo (ex: adicionar alerta para tipo X de evento)
• Treinamento (se houve fator humano)
• Responsável e prazo para cada item

Formato: Template post-mortem-template.md (disponível em 05-templates-comunicacao/)

7.2 Registro de Lições Aprendidas

Onde registrar: Planilha Incident Log (Google Sheets compartilhado com DPO, CTO, CEO)

Campos:

7.3 Atualização de Controles

Obrigatório: Revisar e atualizar os seguintes documentos em até 30 dias:

• [ ] 04-seguranca-informacao.md — adicionar novos controles técnicos
• [ ] 05-resposta-incidentes.md (este documento) — atualizar runbooks se processo mudou
• [ ] 06-politica-tratamento-interna.md — adicionar regras se houve fator humano
• [ ] Treinamento — incluir caso real no próximo treinamento trimestral

Responsável: DPO + CTO

7.4 Auditoria Forense Externa (P0 apenas)

Se incidente P0, contratar auditoria externa:

• Quando: Até 15 dias após resolução
• Escopo: Validação independente de que vetor foi fechado + recomendações
• Budget: Até R$ 50.000 (aprovação CEO obrigatória)
• Deliverable: Relatório executivo + plano de remediação

Fornecedores sugeridos:

• KPMG Cyber Security
• Deloitte Cyber Risk
• Tempest Security Intelligence

8. ANEXOS

8.1 Templates de Comunicação

Disponíveis em 05-templates-comunicacao/:

1. notificacao-anpd.md — Formulário estruturado para notificação à ANPD
2. notificacao-titulares.md — Email para consumidores finais afetados
3. comunicado-lojistas.md — Email para lojistas (clientes B2B) afetados
4. comunicado-interno.md — Mensagem para time interno (Slack/email)
5. post-mortem-template.md — Estrutura para reunião pós-incidente

8.2 Contatos Emergenciais

8.3 Ferramentas e Acessos

8.4 Checklist Rápido (Laminated Card)

Para P0:

✅ Isolar serviço (15 min)
✅ Revogar credenciais (15 min)
✅ Bloquear IPs (15 min)
✅ Preservar logs (30 min)
✅ Comunicar CEO + DPO (30 min)
✅ Avaliar notificação ANPD (4h)
✅ Preparar comunicação titulares (24h)
✅ Post-mortem (7 dias)

9. APROVAÇÕES E REVISÕES

Próxima revisão obrigatória: 2027-04-25 (anual) ou após qualquer incidente P0/P1

FIM DO DOCUMENTO