IN GSI/PR 7/2022: o fluxo de notificação em 72h

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

A IN GSI/PR 7/2022 é a referência mais concreta para notificação de incidentes na administração pública federal. O prazo de 72 horas é real — mas o escopo não é “toda empresa do Brasil”. Entender essa diferença evita tanto omissão quanto alarmismo.

1. Escopo

A norma se aplica aos órgãos e entidades da administração pública federal abrangidos pelo SISP, além de prestadores de serviços que tratem informações desses órgãos. Utilities estaduais, municipais e empresas privadas devem verificar suas próprias obrigações regulatórias e contratuais — inclusive ANEEL, ONS e a LGPD.

2. O prazo de 72h

Incidentes de segurança da informação devem ser notificados ao CTIR Gov em até 72 horas. O relógio começa quando o incidente é confirmado, não quando o ataque é detectado pela primeira vez. A notificação não substitui a contenção, a preservação de evidências ou a comunicação institucional.

3. O que notificar

• Ransomware e indisponibilidade de serviços essenciais.
• Comprometimento de e-mail corporativo (BEC) e fraude eletrônica.
• Vazamento de dados pessoais ou informações sensíveis.
• Ataques à cadeia de suprimentos com impacto no órgão.

4. Fluxo em seis passos

1. Confirmar e classificar: severidade, serviços afetados, dados envolvidos e impacto cidadão.
2. Conter: isolar segmentos, bloquear acessos e preservar logs. Não “limpar” máquinas antes da coleta.
3. Acionar o jurídico e a autoridade: definir quem assina a notificação e qual canal será usado.
4. Preencher o formulário do CTIR Gov: dados do órgão, descrição, impacto, medidas adotadas e contatos.
5. Registrar evidências: hash de artefatos, linha do tempo, decisões e comunicações.
6. Acompanhar e corrigir: atualizações, causa raiz, plano de ação e comunicação pública.

5. Checklist mínimo

• Contatos nominais do CTIR Gov, jurídico, TI e comunicação.
• Modelo de notificação pré-preenchido e aprovado.
• Inventário de serviços essenciais e dependências.
• Backups imutáveis e teste de restauração.
• Trilha de auditoria com retenção definida.

6. Cuidados

Não inclua senhas, chaves ou dados pessoais desnecessários na notificação. Use o canal oficial e mantenha registro do protocolo. Se houver fraude financeira, avalie também boletim de ocorrência e MED junto ao banco.

Guia relacionado: o passo a passo completo, com linha do tempo e checklist, está em Notificação ao CTIR Gov em 72 horas.