A maioria dos planos de resposta a incidentes foi escrita para um cenário de ameaças que já não existe. Ransomware que levava dias para se espalhar, e-mails de phishing com erros óbvios, tentativas de fraude que um funcionário treinado normalmente identificava. A IA mudou o cronograma e o disfarce. Não mudou o fato de que a maioria das empresas ainda descobre o quanto está preparada só durante o próprio incidente.

Expandimos nosso serviço de Preparação para Incidentes Cibernéticos este ano justamente por causa do que temos visto nos ambientes dos nossos clientes. Este texto explica o motivo, e o que um plano de preparação precisa incluir agora que a IA faz parte da ameaça, não só da defesa.

Como a IA está mudando a própria ameaça

Nenhuma das categorias abaixo é nova. O que é novo é a velocidade e a escala com que a IA permite que os atacantes as executem:

  • Phishing e fraude de e-mail corporativo escritos por IA: mensagens sem erros de ortografia, sem frases estranhas, com linguagem ajustada ao jeito que sua empresa realmente escreve internamente
  • Fraude com deepfake de voz e vídeo: uma voz clonada autorizando uma transferência, uma chamada de vídeo fabricada pedindo acesso urgente, ambas convincentes o bastante para enganar funcionários treinados para reconhecer a versão antiga e mais grosseira desse golpe
  • Ransomware acelerado por IA: reconhecimento e movimentação lateral que antes levavam dias para os atacantes agora levam horas, reduzindo drasticamente a janela que sua equipe tem para detectar e conter uma invasão antes que ela se espalhe
  • Ataques às ferramentas de IA que você usa: prompt injection, envenenamento de dados e manipulação de modelos direcionados aos sistemas de IA que sua própria empresa adotou, uma categoria que quase nenhum plano de incidentes escrito antes de 2024 considera

O ponto em comum é a velocidade. A IA reduz o tempo entre o primeiro comprometimento e o impacto total no negócio. Um plano que parte do princípio de que você tem um dia inteiro para reagir antes que isso importe é um plano feito para uma ameaça que já não se aplica à maioria das empresas.

Ter um plano não é o mesmo que estar pronto

Toda empresa que avaliamos tem alguma versão de um documento de resposta a incidentes. A maioria não o abre há mais de um ano. Poucas testaram se as pessoas citadas nele realmente sabem o que devem fazer, ou se as etapas técnicas ainda correspondem aos sistemas em produção atualmente.

Resposta a incidentes é um processo de negócio, não um processo de TI. O documento importa menos do que saber se a liderança, a área de comunicação e a equipe técnica já ensaiaram tomar decisões juntas sob pressão. Um exercício de simulação revela falhas que um plano escrito esconde: quem tem autoridade para tirar um sistema do ar, quem fala com os clientes, quem decide se paga um resgate, e por quanto tempo a empresa consegue operar em modo degradado antes que receita ou segurança sejam afetadas.

O que um plano de contingência de verdade precisa cobrir

Manter a empresa operando durante um incidente, e não apenas se recuperar dele depois, exige alguns pontos que a maioria dos planos ignora:

  • Procedimentos manuais de contingência para os processos que quebram primeiro quando os sistemas caem: receber pagamentos, fazer check-in de clientes, despachar equipes, tudo que mantém a receita rodando sem o software que você normalmente usa
  • Um plano de comunicação escrito com antecedência, incluindo comunicados prontos para clientes, funcionários e órgãos reguladores, para que ninguém precise redigir um comunicado público pela primeira vez enquanto ainda lida com o incidente
  • Backups realmente testados, isolados dos sistemas que um atacante comprometeria, e restauráveis dentro de um prazo que a empresa consiga suportar
  • Responsáveis pela decisão com autoridade real, definidos antes do incidente, não improvisados durante ele
  • Prazos de notificação regulatória já incorporados, já que a LGPD e outras obrigações de notificação no Brasil têm janelas legais curtas que não param para uma crise

É isso que nossa Avaliação de Preparação para Incidentes entrega: não mais um documento para guardar na gaveta, mas planos, playbooks e uma equipe ensaiada que sabe o que fazer quando o alerta chega.