Plano de Resposta a Incidentes de Segurança

PostAutomator — Versão 1.0 — Maio de 2026

Este documento define o plano de resposta a incidentes de segurança da PostAutomator, em conformidade com os Arts. 46, 47, 48 e 49 da Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e com a Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidentes de Segurança).

⚠️ Em caso de incidente confirmado, acione imediatamente:

DPO: dpo@postautomator.com.br — Prazo máximo para comunicação à ANPD: 3 dias úteis (Art. 48, §1º LGPD + Resolução CD/ANPD nº 15/2024)

1. Objetivo

Estabelecer um processo estruturado para detectar, responder, conter, erradicar e recuperar-se de incidentes de segurança que envolvam dados pessoais tratados pela plataforma PostAutomator, minimizando danos aos titulares e garantindo conformidade com a LGPD.

2. Definições

3. Classificação de Incidentes

Todo incidente é classificado em um dos quatro níveis de severidade, considerando o tipo de dado envolvido, o volume de titulares afetados e o risco potencial aos direitos e liberdades:

Nível Descrição Prazo de notificação
Crítico Vazamento de dados sensíveis (Art. 11 LGPD) ou de crianças/ adolescentes (Art. 14); exposição em larga escala (>100 titulares); acesso não autorizado a sistemas críticos; ransomware 24 horas (comunicação preliminar) / 3 dias úteis (comunicação completa)
Alto Vazamento de dados pessoais de 10 a 100 titulares; exposição acidental de credenciais; acesso não autorizado sem confirmação de exfiltração 3 dias úteis
Médio Vazamento de dados pessoais de 1 a 10 titulares; falha de segurança sem evidência de acesso não autorizado; perda de dados de backup Avaliar obrigação de comunicação; no máximo 15 dias
Baixo Tentativa de acesso não autorizado sem sucesso; varredura automatizada; eventos de segurança sem impacto a dados pessoais Não requer comunicação externa; registrar internamente

4. Equipe de Resposta

4.1 Composição

FunçãoResponsabilidadeContato
Coordenador de IncidentesLiderar a resposta, acionar a equipe, decidir classificação, aprovar comunicaçõesdpo@postautomator.com.br
DPO / EncarregadoAvaliar obrigação legal de comunicação, notificar ANPD e titularesdpo@postautomator.com.br
Equipe TécnicaConter, erradicar e recuperar sistemas; preservar evidências forensessuporte@postautomator.com.br
JurídicoAvaliar riscos legais, responsabilidade civil, apoio contratual com terceirosdpo@postautomator.com.br
ComunicaçãoGerenciar comunicação com usuários, imprensa, parceirossuporte@postautomator.com.br

4.2 Acionamento

Qualquer colaborador que detectar um incidente potencial deve comunicar imediatamente ao DPO pelo e-mail dpo@postautomator.com.br, com assunto iniciado por "[INCIDENTE]" e descrição inicial do ocorrido.

5. Processo de Resposta

5.1 Detecção e Análise

  1. Registro: toda suspeita de incidente é registrada no sistema de tickets com data/hora, descrição, sistemas afetados e comunicante.
  2. Triagem: o Coordenador classifica o incidente (Crítico/Alto/Médio/Baixo) em até 2 horas do recebimento.
  3. Análise inicial: determinar escopo, causa raiz, dados envolvidos, número de titulares afetados, se houve exfiltração.

5.2 Contenção

  1. Isolar sistemas afetados da rede (se aplicável).
  2. Revogar credenciais comprometidas e rotacionar chaves.
  3. Ativar bloqueio temporário de conta dos usuários afetados (se houver risco iminente).
  4. Fazer snapshot do estado atual dos sistemas para preservação de evidências.

5.3 Erradicação

  1. Remover a causa raiz do incidente (malware, acesso indevido, falha de configuração, vulnerabilidade).
  2. Aplicar patches de segurança necessários.
  3. Validar que a vulnerabilidade foi efetivamente corrigida (teste).

5.4 Recuperação

  1. Restaurar sistemas a partir de backups limpos e verificados.
  2. Reativar sistemas em ambiente monitorado.
  3. Validar integridade dos dados restaurados.

6. Comunicação do Incidente

6.1 Comunicação à ANPD

Conforme o Art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, incidentes classificados como Críticos ou Altos devem ser comunicados à ANPD no prazo máximo de 3 dias úteis da ciência.

A comunicação deve conter no mínimo:

Forma de comunicação: formulário eletrônico da ANPD (gov.br/anpd) ou e-mail para o canal oficial da Autoridade.

6.2 Comunicação aos Titulares

Quando o incidente representar risco ou dano relevante aos titulares, o DPO deve comunicá-los individualmente por e-mail, contendo:

📩 Modelo de comunicação ao titular (e-mail):

Assunto: [PostAutomator] Notificação de incidente de segurança
Prezado(a) [Nome],
A PostAutomator identificou um incidente de segurança envolvendo seus dados pessoais em [data]. Os dados potencialmente afetados incluem: [lista de dados].
Já adotamos as seguintes medidas: [medidas]. Recomendamos: [recomendações].
Para mais informações, contate nosso DPO: dpo@postautomator.com.br

7. Documentação e Registro

Todos os incidentes, independentemente da classificação, devem ser documentados em um Relatório de Incidente contendo:

Os registros devem ser mantidos por no mínimo 5 anos (Resolução CD/ANPD nº 15/2024, Art. 12).

8. Medidas Preventivas

9. Revisão e Atualização

Este plano deve ser revisado anualmente e sempre que ocorrer:

10. Referências

← Voltar