Ataques cibernéticos: primeiras 48 horas exigem preparo corporativo

Fraudes digitais e ataques cibernéticos exigem decisões rápidas que podem afetar a segurança dos dados, a continuidade das operações e a reputação das empresas. Nas primeiras 48 horas após um incidente, a organização precisa identificar a extensão do problema, conter os danos, preservar evidências e avaliar as medidas legais e regulatórias aplicáveis.

A capacidade de resposta depende, sobretudo, de procedimentos previamente estabelecidos para orientar a tomada de decisões sob pressão. Para Geyson Bruno Giglio Silva, sócio proprietário da SER Compliance, a preparação anterior ao incidente é determinante para uma resposta eficaz.

O especialista defende que as empresas estabeleçam um plano de gestão de crise capaz de responder a três questões fundamentais: 1) quem decide; 2) o que deve ser feito primeiro; e 3) quem precisa ser informado. Entre os elementos necessários estão a definição de responsabilidades, os critérios para acionamento da equipe de crise, os procedimentos de contenção e investigação, a matriz de obrigações legais e regulatórias e o plano de comunicação.

Após um ataque ser identificado, Giglio recomenda registrar o momento em que a empresa tomou conhecimento do incidente, acionar os responsáveis, conter a ameaça e preservar as provas, sem apagar registros técnicos ou formatar equipamentos. “É necessário verificar se houve comprometimento de dados pessoais, identificar as categorias e o volume de informações afetadas e avaliar os riscos aos titulares.”

A partir dessa análise, a companhia precisa seguir as regras de notificação. A Resolução CD/ANPD 15/2024 estabelece, como regra geral, prazo de três dias úteis para a comunicação de incidentes que atendam aos critérios regulamentares, contado a partir do conhecimento de que tenham afetado dados pessoais.

Tecnologia, jurídico e comunicação na crise

Segundo o especialista, a resposta também depende da atuação integrada entre tecnologia, jurídico e comunicação. “As equipes técnicas investigam o ataque e identificam os sistemas e dados afetados, enquanto o jurídico e a área de privacidade avaliam as obrigações legais, os riscos e a preservação das evidências.”

O setor de comunicação, por sua vez, deve preparar mensagens destinadas aos diferentes públicos com base em fatos confirmados, alinhadas à avaliação jurídica e técnica. São áreas que não devem trabalhar isoladamente e precisam compartilhar as mesmas informações e coordenar as decisões para evitar contradições e declarações sem respaldo nos fatos.

A prevenção exige inventário de dados, mapeamento dos processos de tratamento de informações pessoais, avaliação de fornecedores e previsão contratual de responsabilidades e prazos de notificação. “É recomendável estabelecer controles e planos de ação, mapear os públicos mais expostos aos impactos reputacionais, definir previamente fornecedores de perícia e assessoria especializada e realizar simulações periódicas com a liderança”, completa Giglio.

Essas medidas permitem identificar falhas antes de uma crise e estruturar uma resposta compatível com os riscos jurídicos, cibernéticos e reputacionais da organização.

Serviço

Evento: Fenalaw 2026 Painel: “Mapa de Riscos Corporativos: Dimensões Jurídicas, Cibernéticas e Reputacionais” (Compliance, Governança & Riscos Corporativos) — com Geyson Bruno Giglio Silva — 29/10, às 14h20, no Auditório 7 Datas: 27, 28 e 29 de outubro Local: Transamérica Expo Center Endereço: Avenida Dr. Mário Vilas Boas Rodrigues, 387, Santo Amaro, São Paulo Inscrições e informações: www.fenalaw.com.br