Última revisão: 13 de novembro de 2026
Em uma frase: resposta a incidentes OT é a mobilização técnica e organizacional para estabilizar a operação, conter o adversário, preservar evidências e restaurar com segurança — sem transformar a crise em um segundo incidente.
Se houver um incidente em andamento: priorize a segurança das pessoas, a estabilidade dos serviços essenciais e a preservação de evidências. Não formate máquinas, não pague resgate por iniciativa isolada e acione o jurídico antes de comunicar publicamente.
1. Quando acionar
- Ransomware com impacto em estações, servidores ou sistemas de supervisão.
- Alteração não autorizada de lógica, configuração ou parâmetros em PLC, RTU ou IED.
- Acesso remoto suspeito de fornecedor, conta privilegiada comprometida ou sessão não reconhecida.
- Comunicação anômala entre rede industrial e internet, ou entre OT e corporativo.
- Indisponibilidade recorrente sem causa explicada por falha de equipamento.
- Suspeita de exfiltração de dados de engenharia, diagramas, projetos ou historador.
- Incidente em fornecedor que tem acesso à sua rede ou aos seus dados.
2. As primeiras 24 horas
| Janela | Objetivo | Ações críticas |
|---|---|---|
| 0–2 h | Estabilizar e organizar | Acionar o time, definir líder técnico, abrir registro, confirmar escopo e ativar comunicação reservada |
| 2–6 h | Conter sem destruir | Isolar segmentos, revogar acessos, bloquear caminhos de propagação e preservar logs e imagens |
| 6–12 h | Entender o impacto | Identificar ativos afetados, dados envolvidos, serviços essenciais e dependências externas |
| 12–24 h | Decidir e comunicar | Definir prioridades de recuperação, avaliar notificações e alinhar mensagem com jurídico e direção |
3. O que fazemos
- Triagem e comando: organizamos a resposta, definimos papéis e mantemos um registro único de decisões.
- Contenção: isolamos o que precisa ser isolado, com critério operacional e plano de reversão.
- Forense OT: analisamos PLCs, RTUs, HMIs, IEDs, estações de engenharia, switches e historadores.
- Análise de causa raiz: identificamos vetor inicial, caminho de propagação e falhas de controle.
- Recuperação: validamos backup, firmware, configuração e integridade antes de religar.
- Apoio à notificação: organizamos evidências e conteúdo para CTIR Gov, ANPD, ANEEL, ONS ou clientes, conforme aplicável.
- Comunicação: apoiamos mensagens factuais para direção, clientes, cidadãos e imprensa, em coordenação com o jurídico.
4. Forense em ambiente industrial
Forense OT não é forense de TI com outro nome. O ambiente tem protocolos, equipamentos e restrições diferentes:
- Controladores: lógica, configuração, firmware e artefatos de projeto.
- Redes industriais: Modbus, DNP3, IEC 61850, PROFINET, EtherNet/IP e tráfego leste-oeste.
- Estações de engenharia: projetos, credenciais, histórico de download e ferramentas do fornecedor.
- Historiadores: séries temporais, lacunas, alterações de configuração e acesso.
- Dispositivos de borda: VPN, firewalls, gateways e modems celulares.
A coleta precisa ser feita com cuidado para não alterar o estado do controlador nem interromper o processo. Em muitos casos, a análise começa por cópias, logs e imagens, não por acesso direto ao equipamento em operação.
5. Notificações e obrigações
| Destinatário | Quando avaliar | O que preparar |
|---|---|---|
| CTIR Gov | Órgãos e entidades federais abrangidos pelo SISP | Descrição, impacto, medidas, dados e contatos |
| ANPD e titulares | Incidente com dados pessoais e risco relevante | Dados afetados, risco, medidas e comunicação |
| ANEEL / ONS | Agentes do setor elétrico, conforme obrigação aplicável | Impacto operacional, continuidade e medidas |
| Clientes e parceiros | Contratos, cadeia de suprimentos e serviços compartilhados | Fatos, impacto, ações e ponto de contato |
| Órgãos de controle | Quando houver dever de comunicação ou solicitação | Registro de decisões, evidências e providências |
Os fluxos são independentes. Notificar um destinatário não substitui os demais. O jurídico deve confirmar o que é obrigatório no seu regime.
6. Depois da crise
- Relatório de causa raiz com evidências e linha do tempo.
- Plano de ação com responsáveis, prazos e critérios de aceite.
- Revisão de acessos, segmentação, backup, detecção e resposta.
- Exercício de mesa para testar as mudanças.
- Atualização do plano de continuidade e dos contatos de emergência.
7. Como se preparar antes da crise
Contratar resposta a incidentes durante a crise é possível, mas mais caro e mais lento. Um retainer bem desenhado define:
- Canal de acionamento e critérios de severidade.
- Tempo de resposta e escalonamento.
- Documentos e acessos que precisam estar prontos.
- Regras de confidencialidade e de coleta de evidências.
- Simulações periódicas e revisão do plano.
Perguntas frequentes
Vocês atendem 24 horas por dia?
O regime de plantão, os horários e o tempo de resposta são definidos em contrato. Não prometemos cobertura que não esteja formalizada. O importante é que o canal e o escalonamento estejam claros antes da crise.
Podemos acionar sem contrato prévio?
É possível avaliar, mas a mobilização depende de disponibilidade, escopo e instrumento contratual. Para órgãos públicos, os procedimentos de contratação aplicáveis precisam ser observados.
Vocês pagam ou negociam resgate?
Não. A decisão sobre pagamento é da organização, com orientação jurídica e das autoridades competentes. Nosso papel é conter, investigar, recuperar e reduzir o impacto.
É possível recuperar sem backup?
Às vezes, com reconstrução de configuração, firmware e lógica a partir de documentação e engenharia. É mais lento, mais caro e nem sempre completo. Backup testado continua sendo o caminho mais confiável.
Como preservar evidências sem parar a operação?
Priorizando coleta passiva, cópias, logs e imagens, com autorização e cuidado para não alterar o estado dos controladores. A estratégia depende do equipamento e do risco operacional.
Vocês ajudam na comunicação com a imprensa?
Apoiamos a organização dos fatos e a coerência técnica da mensagem. A decisão e a condução da comunicação institucional são da organização, com seu jurídico e sua assessoria.
Escopo, prazos e condições de acionamento são definidos em contrato. Este conteúdo descreve o serviço e não substitui orientação jurídica nem avaliação técnica da sua instalação.
Como citar esta página
SeniorFlow. Resposta a Incidentes OT. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/servicos/resposta-incidentes-ot
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.