Procedimentos de Incidentes

1. Procedimentos de Incidentes: Objetivo e Enquadramento Legal

Os presentes Procedimentos de Incidentes destinam-se a estabelecer uma abordagem estruturada para a gestão de incidentes de segurança e de violações de dados pessoais.

Os principais objetivos são:

• Identificar incidentes e atividades suspeitas;
• Avaliar a natureza, gravidade e impacto das ocorrências;
• Aplicar medidas de contenção e mitigação;
• Recuperar os serviços afetados;
• Preservar informação relevante para investigação;
• Avaliar as obrigações de comunicação a clientes e autoridades;
• Documentar as decisões e medidas adotadas;
• Reduzir a probabilidade de repetição de incidentes semelhantes.

Estes procedimentos complementam a Política de Segurança da Informação, a Política de Proteção de Dados e o Acordo de Tratamento de Dados.

2. Definições

Para efeitos destes procedimentos, são utilizados os seguintes conceitos:

• Evento de segurança: ocorrência observada num sistema ou serviço que pode justificar análise técnica.
• Incidente de segurança: ocorrência que comprometa ou possa comprometer a confidencialidade, integridade ou disponibilidade de sistemas, serviços ou informação.
• Incidente de cibersegurança significativo: incidente que preencha os critérios legais de significância aplicáveis à entidade e à atividade em causa.
• Violação de dados pessoais: violação de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, nos termos do artigo 4.º, n.º 12, do RGPD.
• Incidente de disponibilidade: interrupção ou degradação relevante do funcionamento de serviços.
• Incidente de integridade: alteração, corrupção ou manipulação indevida de dados, código ou configurações.
• Incidente de confidencialidade: acesso ou divulgação não autorizada de informação.
• Contenção: medidas destinadas a limitar a propagação e o impacto do incidente.
• Recuperação: reposição dos serviços e das condições adequadas de funcionamento.

Um incidente técnico não constitui necessariamente uma violação de dados pessoais. Do mesmo modo, uma violação de dados pessoais não implica automaticamente uma obrigação de notificação à autoridade de controlo.

3. Âmbito de Aplicação

Os Procedimentos de Incidentes aplicam-se aos sistemas e serviços sob responsabilidade ou controlo operacional da WebDig Host, incluindo:

• Serviços de alojamento web;
• Websites e aplicações geridas;
• Serviços de correio eletrónico;
• Servidores e sistemas operativos;
• Bases de dados;
• Serviços DNS;
• Sistemas de cópias de segurança;
• Painéis de controlo e ferramentas de administração;
• Plataformas de faturação e suporte;
• Sistemas de monitorização e segurança;
• Componentes de rede e serviços auxiliares.

Os incidentes podem ter origem em falhas técnicas, erros de configuração, vulnerabilidades, atividades maliciosas, utilização indevida dos serviços ou falhas de fornecedores externos.

Quando o incidente tenha origem numa aplicação administrada pelo cliente, a intervenção da WebDig Host depende das características do serviço e das responsabilidades contratuais aplicáveis.

4. Tipos de Incidentes e Classificação

A classificação dos incidentes permite estabelecer prioridades de análise e resposta, tendo em conta a natureza da ocorrência e os riscos identificados.

4.1. Tipologia dos incidentes

• Disponibilidade: falhas de serviços, interrupções e degradação de desempenho;
• Confidencialidade: acesso ou divulgação não autorizada de informação;
• Integridade: alteração indevida de dados ou configurações;
• Autenticação: comprometimento de contas, palavras-passe, sessões ou chaves;
• Malware: infeções, ransomware, backdoors e outras ameaças;
• Abuso: spam, phishing, ataques informáticos ou utilização indevida de recursos;
• Fornecedores: ocorrências em serviços externos com impacto na infraestrutura.

4.2. Níveis de severidade

Os incidentes podem ser classificados operacionalmente nos seguintes níveis:

• Baixa: impacto reduzido e localizado, sem comprometimento significativo dos serviços;
• Média: impacto moderado, com necessidade de intervenção técnica e acompanhamento;
• Alta: comprometimento relevante de sistemas, dados ou serviços, exigindo resposta prioritária;
• Crítica: ameaça grave à segurança, disponibilidade ou continuidade dos serviços, exigindo medidas urgentes.

5. Princípios Gerais de Gestão de Incidentes

A gestão de incidentes de segurança assenta nos seguintes princípios:

• Rapidez: identificação e resposta em tempo adequado à gravidade da ocorrência;
• Proporcionalidade: aplicação de medidas ajustadas ao risco;
• Segurança: proteção dos sistemas e limitação de danos;
• Rastreabilidade: registo das informações e decisões relevantes;
• Confidencialidade: acesso restrito às informações relacionadas com incidentes;
• Cooperação: articulação com clientes, fornecedores e autoridades, quando necessário;
• Conformidade: avaliação das obrigações legais aplicáveis;
• Melhoria contínua: utilização das conclusões para reforçar a segurança.

A resposta deve procurar equilibrar a necessidade de intervenção imediata com a preservação de evidências e a continuidade dos serviços.

6. Deteção, Registo e Escalada Inicial

A identificação de potenciais incidentes pode resultar de mecanismos automáticos, verificações técnicas ou comunicações externas.

6.1. Fontes de deteção

• Alertas de monitorização;
• Registos de sistemas e aplicações;
• Firewalls e mecanismos de proteção;
• Ferramentas de segurança de servidores;
• Sistemas de filtragem de correio eletrónico;
• Comunicações de clientes;
• Informações de fornecedores;
• Avisos de entidades especializadas;
• Verificações técnicas e administrativas.

6.2. Registo inicial

Quando seja identificado um potencial incidente, devem ser recolhidas as informações disponíveis e relevantes para a respetiva análise.

O registo pode incluir:

• Data e hora da deteção;
• Sistema ou serviço afetado;
• Descrição da ocorrência;
• Origem da informação;
• Impacto inicialmente observado;
• Medidas urgentes eventualmente adotadas.

6.3. Escalada

Os incidentes são encaminhados para os responsáveis técnicos ou de segurança adequados, de acordo com a gravidade e os sistemas envolvidos.

Quando existam indícios de violação de dados pessoais, a avaliação deve considerar também as obrigações previstas no RGPD e a necessidade de intervenção da função de proteção de dados.

7. Análise, Decisão e Ativação da Resposta

Após a identificação inicial, a WebDig Host procura determinar a natureza e extensão do incidente.

A análise pode incluir:

• Identificação dos sistemas afetados;
• Determinação da origem provável;
• Avaliação do impacto nos serviços;
• Identificação de contas comprometidas;
• Análise de dados potencialmente afetados;
• Avaliação do risco para clientes e terceiros;
• Definição de medidas de contenção;
• Identificação das necessidades de comunicação.

A resposta pode envolver responsáveis técnicos, gestão, prestadores especializados e responsáveis pelas matérias de proteção de dados, conforme a natureza do incidente.

As decisões devem considerar a gravidade da ocorrência, a urgência da intervenção e os riscos associados à manutenção dos serviços afetados.

8. Contenção, Erradicação e Recuperação

A resposta técnica a incidentes pode compreender diferentes fases, adaptadas às características da ocorrência e às necessidades dos serviços afetados.

8.1. Contenção

As medidas de contenção destinam-se a limitar a propagação ou agravamento da ocorrência.

Podem incluir:

• Bloqueio de endereços IP;
• Restrição de acessos;
• Suspensão temporária de contas;
• Isolamento de serviços;
• Alteração ou revogação de credenciais;
• Aplicação de regras adicionais de segurança;
• Interrupção de processos maliciosos.

8.2. Erradicação

Após a contenção, são avaliadas as medidas necessárias para eliminar as causas identificadas.

Estas podem incluir:

• Remoção de software malicioso;
• Correção de vulnerabilidades;
• Atualização de componentes;
• Revisão de configurações;
• Eliminação de acessos não autorizados;
• Substituição de credenciais comprometidas.

8.3. Recuperação

A recuperação procura restabelecer as condições adequadas de segurança e funcionamento.

Conforme o incidente, poderá envolver:

• Reposição de serviços;
• Restauro de dados a partir de cópias de segurança disponíveis;
• Verificação de integridade;
• Testes de funcionamento;
• Monitorização reforçada;
• Reintrodução gradual de sistemas em produção.

9. Comunicação Interna e Registo de Decisões

As informações relevantes sobre incidentes devem ser documentadas de forma adequada à natureza e gravidade da ocorrência.

Os registos podem incluir:

• Data e hora dos eventos;
• Descrição dos sistemas afetados;
• Informações técnicas relevantes;
• Classificação da ocorrência;
• Decisões tomadas;
• Medidas de contenção e recuperação;
• Comunicações realizadas;
• Conclusões da análise.

O acesso à informação deve respeitar o princípio da necessidade de conhecimento.

Os registos que contenham dados pessoais são tratados de acordo com as regras de proteção de dados aplicáveis.

10. Procedimentos de Incidentes de Cibersegurança e Notificação NIS2

A Diretiva (UE) 2022/2555 (NIS2) estabelece um enquadramento europeu de gestão de riscos e comunicação de incidentes de cibersegurança.

Em Portugal, devem ser consideradas as disposições do regime jurídico nacional de cibersegurança e os respetivos requisitos de aplicação.

As obrigações específicas dependem da qualificação da entidade, dos serviços prestados e dos critérios legais aplicáveis.

10.1. Avaliação da obrigação de notificação

Quando seja identificado um incidente potencialmente significativo, a WebDig Host avalia:

• A natureza dos serviços afetados;
• A duração e extensão da perturbação;
• O número de clientes ou utilizadores afetados;
• Os efeitos sobre a disponibilidade e segurança;
• A existência de impacto económico ou operacional relevante;
• Os critérios legais de significância aplicáveis;
• A necessidade de comunicação à autoridade competente.

10.2. Prazos de comunicação

Quando sejam aplicáveis as obrigações de notificação de incidentes significativos previstas no enquadramento NIS2, o regime europeu estabelece, em termos gerais, as seguintes fases:

• Alerta precoce: sem demora injustificada e, em qualquer caso, no prazo de 24 horas após a tomada de conhecimento do incidente significativo;
• Notificação do incidente: sem demora injustificada e, em qualquer caso, no prazo de 72 horas após a tomada de conhecimento, sem prejuízo de regras específicas aplicáveis;
• Relatório final: em regra, no prazo de um mês após a apresentação da notificação do incidente, observando os mecanismos de relatório de progresso quando o incidente ainda esteja em curso.

Os prazos, destinatários, conteúdos e procedimentos concretos devem ser determinados segundo o regime nacional e as disposições setoriais efetivamente aplicáveis.

Estas obrigações são distintas das notificações de violações de dados pessoais previstas no RGPD.

11. Procedimentos para Violações de Dados Pessoais (RGPD)

Quando um incidente envolva dados pessoais, a WebDig Host avalia se ocorreu uma violação de dados pessoais nos termos do artigo 4.º, n.º 12, do Regulamento Geral sobre a Proteção de Dados (RGPD).

As responsabilidades de comunicação dependem de a WebDig Host atuar como responsável pelo tratamento ou como subcontratante.

11.1. WebDig Host como responsável pelo tratamento

Quando a WebDig Host determina as finalidades e os meios do tratamento, compete-lhe avaliar as obrigações previstas nos artigos 33.º e 34.º do RGPD.

Quando uma violação de dados pessoais seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares, a autoridade de controlo competente deve ser notificada sem demora injustificada e, sempre que possível, no prazo de 72 horas após a tomada de conhecimento.

Quando a notificação seja efetuada após esse prazo, devem ser indicados os motivos do atraso.

Se a violação não for suscetível de resultar em risco para os direitos e liberdades das pessoas singulares, a notificação à autoridade de controlo poderá não ser exigível, sem prejuízo das obrigações de documentação previstas no RGPD.

11.2. WebDig Host como subcontratante

Quando trata dados pessoais por conta de um cliente, a WebDig Host deve informar o responsável pelo tratamento sem demora injustificada após tomar conhecimento de uma violação de dados pessoais.

A comunicação deve disponibilizar a informação conhecida e relevante, podendo ser complementada à medida que sejam obtidos novos elementos.

A WebDig Host presta a assistência legal e contratualmente exigível ao cliente, tendo em conta a natureza do tratamento e as informações ao seu dispor.

As condições específicas encontram-se previstas no Acordo de Tratamento de Dados.

11.3. Documentação das violações

As violações de dados pessoais devem ser documentadas nos termos do artigo 33.º, n.º 5, do RGPD, incluindo os factos relevantes, os efeitos identificados e as medidas corretivas adotadas.

Esta obrigação de documentação não depende exclusivamente da existência de notificação à autoridade de controlo.

12. Comunicação aos Titulares de Dados

Quando uma violação de dados pessoais seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento deve comunicar a violação aos titulares sem demora injustificada, salvo quando se verifiquem as exceções previstas no artigo 34.º do RGPD.

A comunicação deve utilizar linguagem clara e simples e incluir a informação legalmente exigida.

Quando a WebDig Host atua como responsável pelo tratamento, avalia diretamente esta obrigação.

Quando atua como subcontratante, presta ao cliente a assistência aplicável, sem substituir automaticamente o responsável pelo tratamento nas suas obrigações legais.

As medidas recomendadas aos titulares podem incluir, conforme a natureza do incidente:

• Alteração de palavras-passe;
• Revogação de sessões comprometidas;
• Ativação de autenticação multifator;
• Vigilância perante tentativas de phishing;
• Outras medidas proporcionais aos riscos identificados.

13. Cooperação com Autoridades e Entidades Setoriais

A WebDig Host coopera com as autoridades legalmente competentes, nos termos das obrigações aplicáveis.

Consoante a natureza do incidente, poderão estar envolvidas entidades como:

• Comissão Nacional de Proteção de Dados (CNPD): autoridade de controlo em matéria de proteção de dados pessoais;
• Centro Nacional de Cibersegurança (CNCS): entidade com competências relevantes no âmbito da cibersegurança;
• Autoridades judiciais e policiais: quando existam fundamentos legais para a sua intervenção;
• Outras autoridades competentes: conforme a atividade e o enquadramento jurídico aplicável.

As comunicações devem respeitar os requisitos legais, a confidencialidade das informações e a proteção dos dados pessoais.

Quando existam incidentes com impacto em vários clientes, poderão ser emitidas comunicações gerais de segurança, sem divulgação desnecessária de informação confidencial.

14. Preservação de Provas, Registos e Análise Forense

A preservação de informação técnica relevante pode ser necessária para compreender a origem, extensão e consequências de um incidente.

As medidas de preservação podem incluir:

• Conservação de registos de eventos;
• Recolha de informações sobre acessos;
• Preservação de configurações relevantes;
• Registo das alterações efetuadas durante a resposta;
• Conservação de evidências técnicas disponíveis;
• Utilização de snapshots, quando tecnicamente disponíveis e adequados;
• Recurso a análise forense especializada, quando necessário.

Quando as evidências possam assumir relevância judicial ou administrativa, devem ser adotadas medidas adequadas para preservar a sua integridade e rastreabilidade.

A recolha e conservação de informações devem respeitar os princípios de necessidade, proporcionalidade e proteção de dados.

15. Testes, Exercícios e Melhoria Contínua

A eficácia dos procedimentos de resposta a incidentes deve ser avaliada de acordo com os riscos e as necessidades operacionais da WebDig Host.

As atividades de melhoria podem incluir:

• Revisão de incidentes anteriores;
• Análise de alertas e eventos de segurança;
• Verificação de configurações;
• Testes técnicos de recuperação;
• Avaliação de procedimentos;
• Exercícios de resposta a cenários relevantes, quando realizados;
• Revisão das medidas de prevenção e mitigação.

A realização de testes formais ou exercícios periódicos depende do planeamento operacional e dos requisitos legais ou contratuais aplicáveis.

O presente documento não constitui uma declaração de realização de auditorias ou exercícios externos com uma periodicidade específica.

16. Formação e Sensibilização

A sensibilização para riscos de segurança constitui uma componente importante da prevenção e resposta a incidentes.

As pessoas com acesso autorizado a sistemas ou informações da WebDig Host devem conhecer as regras de segurança relevantes para as suas funções.

Os temas de sensibilização podem incluir:

• Identificação de mensagens fraudulentas;
• Proteção de credenciais;
• Reconhecimento de atividades suspeitas;
• Comunicação de incidentes;
• Proteção de dados pessoais;
• Utilização segura de sistemas e dispositivos;
• Confidencialidade da informação.

A formação e os mecanismos de sensibilização devem ser proporcionais às funções desempenhadas e aos riscos identificados.

17. Responsabilidades e Governação

A responsabilidade pela gestão de incidentes é organizada de acordo com a estrutura operacional da WebDig Host.

As funções relevantes podem incluir:

• Gestão: definição de prioridades, tomada de decisões e disponibilização dos recursos necessários;
• Administração técnica: identificação, análise, contenção e recuperação de sistemas;
• Segurança operacional: acompanhamento de alertas e aplicação de medidas de proteção;
• Proteção de dados: avaliação das implicações relacionadas com dados pessoais e articulação com as obrigações do RGPD;
• Fornecedores: cooperação na resolução de incidentes que afetem componentes sob a sua responsabilidade;
• Clientes: comunicação de ocorrências e colaboração nas medidas relativas aos serviços sob a sua administração.

As funções podem ser desempenhadas pela mesma pessoa ou por diferentes intervenientes, consoante a dimensão da organização e a natureza da ocorrência.

O Encarregado de Proteção de Dados, quando formalmente designado, desempenha as funções previstas no RGPD, sem assumir automaticamente a responsabilidade operacional pela resposta técnica.

18. Articulação com Continuidade de Negócio e Recuperação

A gestão de incidentes deve considerar os requisitos de continuidade e recuperação dos serviços afetados.

As medidas podem incluir:

• Identificação dos serviços prioritários;
• Avaliação das dependências técnicas;
• Utilização de cópias de segurança disponíveis;
• Reposição de componentes afetados;
• Verificação da integridade dos dados;
• Validação do funcionamento dos serviços;
• Monitorização após a recuperação.

A existência de redundância, failover, cópias de segurança e outros mecanismos depende das características da infraestrutura e dos serviços contratados.

Os tempos de recuperação e a disponibilidade de dados recuperáveis não são uniformes para todos os serviços.

As condições específicas devem ser consultadas nos planos e contratos aplicáveis.

19. Documentação, Arquivo e Prazos de Conservação

A WebDig Host pode conservar registos relacionados com incidentes para finalidades de segurança, cumprimento de obrigações legais, documentação de decisões e defesa de direitos.

Os registos podem abranger:

• Descrição e classificação do incidente;
• Data e hora de deteção;
• Sistemas e serviços afetados;
• Medidas técnicas adotadas;
• Comunicações com clientes;
• Notificações a autoridades, quando aplicáveis;
• Resultados da investigação;
• Medidas corretivas e preventivas.

Os períodos de conservação dependem das finalidades, das obrigações legais e contratuais e das necessidades legítimas de documentação e defesa de direitos.

O acesso aos registos deve ser limitado às pessoas autorizadas.

Quando contenham dados pessoais, os registos ficam sujeitos às regras previstas na Política de Privacidade.

20. Atualizações dos Procedimentos de Incidentes

A WebDig Host poderá rever os presentes Procedimentos de Incidentes para refletir:

• Alterações legislativas ou regulamentares;
• Evolução das ameaças informáticas;
• Alterações na infraestrutura;
• Novos mecanismos de segurança;
• Recomendações de autoridades competentes;
• Conclusões de incidentes anteriores;
• Alterações nas condições dos serviços.

As versões atualizadas serão disponibilizadas no website.

Quando existam alterações com impacto contratual relevante, serão observados os deveres de informação e comunicação legalmente aplicáveis.