Questão de Segurança da Informação — Eventos e Incidentes de Segurança (NBR ISO/IEC 27001, 27002 e outras) — FGV 2024

Priorização de Incidentes no NIST SP 800-61

Gabarito: letra B. O fator de priorização descrito no enunciado — que considera o tamanho do incidente, os recursos afetados e o tempo/esforço necessários para o restabelecimento — é a recuperabilidade do incidente (recoverability), um dos critérios que o NIST SP 800-61 define para classificar e priorizar o tratamento de incidentes. A norma norte-americana, embora não seja uma norma ISO, é um guia de referência amplamente cobrado em concursos, e a recuperabilidade mede exatamente a complexidade e o custo de recuperação após o incidente.

O NIST SP 800-61 (Computer Security Incident Handling Guide) é um guia do National Institute of Standards and Technology que estabelece diretrizes para o gerenciamento de incidentes de segurança cibernética. Dentro do processo de resposta a incidentes, a priorização é uma etapa crucial: nem todo incidente merece o mesmo nível de atenção, e a norma sugere critérios objetivos para decidir qual incidente tratar primeiro. Entre esses critérios estão o impacto funcional (quão gravemente o incidente afeta as funções do negócio), o impacto na informação (se dados confidenciais foram comprometidos) e a recuperabilidade — que é o foco desta questão.

A recuperabilidade avalia o quão difícil e demorado será restaurar o sistema ou serviço afetado ao seu estado normal. Quanto maior o incidente e mais recursos ele afeta, maior tende a ser o esforço de recuperação — e, portanto, maior a prioridade. É um conceito intuitivo: um incidente que derruba um servidor crítico por horas tem alta recuperabilidade (exige muito tempo e recursos para voltar ao normal), enquanto um incidente menor, como um alerta falso, tem baixa recuperabilidade. A banca explora justamente a confusão entre os vários critérios de priorização, e a chave está em identificar qual deles se refere ao "tamanho do incidente e o tipo de recursos que ele afeta" e ao "tempo e recursos gastos no restabelecimento".

Para fixar: a priorização no NIST SP 800-61 considera três fatores principais — impacto funcional (o quanto o incidente afeta as operações), impacto na informação (o quanto a confidencialidade, integridade e disponibilidade dos dados são afetadas) e recuperabilidade (o esforço necessário para restaurar). A recuperabilidade é o único que fala diretamente do esforço de restabelecimento, o que a torna a resposta correta. As demais alternativas se referem a outras fases ou conceitos do ciclo de vida de resposta a incidentes, como veremos a seguir.

Alternativa A — ❌ Incorreta

A sinalização de incidentes não é um fator de priorização, mas sim uma etapa do processo de resposta — refere-se à detecção e comunicação do incidente (por exemplo, o relato de eventos de segurança). A priorização ocorre após a sinalização, quando o incidente já foi identificado e precisa ser classificado. A banca troca o conceito de "sinalização" (fase de detecção) pelo de "priorização" (fase de avaliação), mas são momentos distintos do ciclo de vida.

Alternativa B — ✅ Correta ⟵ GABARITO

A recuperabilidade do incidente é exatamente o fator descrito no enunciado: considera o tamanho do incidente, os recursos afetados e o tempo/esforço necessários para o restabelecimento. Quanto maior o impacto e mais recursos envolvidos, maior a recuperabilidade e, portanto, maior a prioridade de tratamento. É um dos critérios que o NIST SP 800-61 define para priorizar incidentes, ao lado do impacto funcional e do impacto na informação.

Alternativa C — ❌ Incorreta

A preparação contra os incidentes é uma fase anterior à ocorrência do incidente — envolve o planejamento, a definição de políticas, a formação da equipe de resposta (CSIRT) e a implementação de ferramentas de detecção. Não é um fator de priorização, pois não diz respeito ao incidente em si, mas à prontidão da organização. A banca confunde a fase de preparação (do ciclo de vida) com os critérios de priorização (que ocorrem durante o incidente).

Alternativa D — ❌ Incorreta

O impacto da informação envolvida é, de fato, um dos critérios de priorização do NIST SP 800-61, mas não é o que o enunciado descreve. O impacto na informação refere-se ao grau de comprometimento da confidencialidade, integridade e disponibilidade dos dados — por exemplo, se houve vazamento de dados sensíveis. O enunciado fala especificamente do "tamanho do incidente e o tipo de recursos que ele afeta" e do "tempo e recursos gastos no restabelecimento", o que corresponde à recuperabilidade, não ao impacto na informação. A banca troca os dois critérios para confundir o candidato.

Alternativa E — ❌ Incorreta

A funcionalidade envolvida no incidente refere-se ao impacto funcional — ou seja, o quanto o incidente afeta as funções do negócio (por exemplo, se um serviço crítico ficou indisponível). Embora seja outro critério de priorização do NIST SP 800-61, ele não corresponde ao que o enunciado descreve. O impacto funcional mede a extensão da interrupção das operações, enquanto a recuperabilidade mede o esforço de restabelecimento. A banca troca o conceito de "funcionalidade" (impacto funcional) pelo de "recuperabilidade", que é o fator correto.

Gabarito: letra B