Checklist CTIR Gov: pronto para notificar em 72 horas

Publicado em 13 de novembro de 2026 · Versão 1.0 · Revisão editorial e de conformidade

Resposta direta: este checklist organiza o que precisa existir antes, durante e depois da notificação de um incidente ao CTIR Gov. Ele foi desenhado para órgãos e entidades federais abrangidos pelo SISP, nos termos da IN GSI/PR 7/2022, e pode ser adaptado por outros entes como referência de maturidade — sem tratar a norma como obrigação automática fora do seu escopo.

1. Antes da crise: governança e contatos

• Fluxo de notificação aprovado, com critérios de severidade e de acionamento da crise.
• Contatos nominais e suplentes do CTIR Gov, jurídico, TI, comunicação, alta direção e controle interno.
• Papéis definidos: quem decide, quem coleta evidências, quem redige, quem assina e quem fala com a imprensa.
• Canal de plantão que funcione fora do horário comercial, fins de semana e feriados.
• Modelo de notificação pré-preenchido e validado pelo jurídico.
• Política de comunicação com cidadãos, titulares de dados, órgãos de controle e parceiros.
• Registro de decisões e de versões do plano, com data e responsável.

2. Antes da crise: inventário e evidências

• Inventário de serviços essenciais e dependências entre sistemas, fornecedores e pessoas.
• Inventário de ativos críticos: servidores, estações, redes, contas privilegiadas e sistemas de controle.
• Backups imutáveis ou offline, com teste de restauração documentado.
• Trilha de auditoria com retenção definida, relógio sincronizado e proteção contra alteração.
• Contatos e cláusulas de segurança dos fornecedores críticos, incluindo prazo de notificação.
• Documentação de arquitetura de rede e dos acessos remotos autorizados.
• Lista de dados pessoais tratados e base legal correspondente.

3. Na confirmação do incidente (0–2 horas)

• Registrar o horário da confirmação — esse é o marco do prazo de 72 horas.
• Classificar severidade, serviços afetados, dados envolvidos e impacto ao cidadão.
• Acionar o responsável pela crise e o jurídico; abrir sala de decisão e canal único de comunicação.
• Conter o avanço sem destruir evidências: isolar segmentos, bloquear contas e revogar sessões.
• Preservar logs, imagens, artefatos, e-mails e registros de acesso antes de qualquer limpeza.
• Verificar se há dados pessoais ou informação classificada envolvida.
• Definir quem será o ponto de contato com o CTIR Gov e com a ANPD, se aplicável.

4. Notificação (até 72 horas)

• Usar o canal oficial vigente do CTIR Gov e confirmar o procedimento de envio.
• Descrever o ocorrido, o impacto conhecido, as medidas adotadas e os dados afetados.
• Informar contatos responsáveis e a melhor forma de retorno.
• Enviar a primeira notificação mesmo que a análise não esteja concluída; atualizar depois.
• Registrar número de protocolo, data, hora, versão enviada e anexos.
• Avaliar, em paralelo, a comunicação à ANPD e aos titulares quando houver dados pessoais com risco relevante.
• Guardar hashes e cópias dos arquivos enviados, com controle de acesso.

5. Depois da notificação (7–30 dias)

• Enviar atualizações quando houver mudança relevante de impacto, causa ou medidas.
• Concluir a análise de causa raiz e registrar evidências técnicas.
• Executar o plano de ação com responsáveis, prazos e critérios de aceite.
• Revisar acessos, segmentação, backup e detecção com base no que falhou.
• Atualizar o plano de resposta e o modelo de notificação com as lições aprendidas.
• Comunicar a conclusão aos órgãos competentes, quando aplicável, e ao controle interno.
• Realizar exercício de mesa para testar as mudanças implementadas.

6. Registro mínimo da notificação

Sem registro, não há como demonstrar diligência. A tabela abaixo é um mínimo; adapte ao regime do seu órgão e ao canal oficial.

7. Erros que invalidam o processo

• Esperar o entendimento completo: a primeira notificação pode ser preliminar e atualizada.
• “Limpar” o ambiente antes da forense: destrói a evidência que sustenta a notificação e a investigação.
• Notificar sem protocolo: sem registro, não há como demonstrar diligência.
• Tratar CTIR Gov e ANPD como o mesmo fluxo: são destinatários, conteúdos e prazos diferentes.
• Prometer prazo de recuperação: comunicação pública deve ser factual e coordenada com o jurídico.
• Deixar o checklist sem teste: contatos desatualizados e papéis ambíguos aparecem justamente na crise.

Perguntas frequentes

Fontes

• IN GSI/PR 7/2022 — requisitos de segurança da informação e notificação de incidentes.
• CTIR Gov — canal oficial de notificação de incidentes.
• Lei 13.709/2018 (LGPD) e regulamentação da ANPD sobre comunicação de incidentes.
• Decreto 11.856/2023 — Política Nacional de Cibersegurança (PNCiber).
• NIST SP 800-61 — Computer Security Incident Handling Guide.
• CISA — Incident and Vulnerability Response Playbooks.