Duração prevista: 90 minutos, em sessão presencial.
Todos os casos, instituições, endereços, registos e números usados nesta lição são fictícios e servem apenas de exercício.
Como o tempo desta lição está distribuído
- Acolhimento e objectivos: 10 minutos.
- Exposição: 25 minutos.
- Trabalho prático: 40 minutos.
- Partilha e síntese: 15 minutos.
Como trabalhamos na sala: um computador por pessoa. Quando não for possível, no máximo duas pessoas por computador, alternando quem executa a meio do trabalho, de modo que ambas façam. Na partilha apresentam dois grupos, com tempo limitado; os restantes entregam por escrito e recebem comentário do formador. Marcar a lição como concluída é registo de aprendizagem e não é registo de assiduidade.
Objectivos da lição
- Preencher as sete secções obrigatórias de um plano de resposta a incidentes para a instituição fictícia, com nomes de funções, contactos alternativos e critérios de accionamento.
- Definir os níveis de gravidade e, para cada um, quem decide, em quanto tempo se reúne a equipa e quem é informado.
- Escrever o procedimento de preservação de evidência que acompanha o plano, com ordem de recolha, registo de custódia e regra de trabalho sobre cópias.
- Identificar, no plano fictício fornecido, pelo menos cinco lacunas que o tornariam inútil numa madrugada.
Explicação
Um plano de resposta a incidentes serve para tirar decisões do momento de pânico e passá-las para um momento de calma. Se durante o incidente for preciso discutir quem manda, o plano falhou antes de começar. Sete secções resolvem a maior parte: âmbito e definição do que conta como incidente; funções e responsabilidades com nomes; níveis de gravidade e critérios de accionamento; contactos e canais alternativos; procedimentos por tipo de incidente; preservação de evidência; e comunicação, interna e externa.
Funções, não pessoas apenas: coordenação do incidente, análise técnica, comunicação, ligação à direcção, registo cronológico. Numa equipa de três pessoas, uma acumula funções — o que importa é que esteja escrito quem acumula o quê e quem substitui cada um. Um plano com um único nome em todas as linhas falha no dia em que essa pessoa está de férias ou é ela própria a conta comprometida.
Canais alternativos são frequentemente esquecidos. Se o incidente afecta o correio electrónico institucional, convocar a equipa por correio institucional não funciona. O plano tem de indicar um segundo canal acordado, com números de telefone verificados, e essa lista tem de existir em papel, porque pode não haver acesso aos sistemas.
A preservação de evidência entra no plano e não num documento à parte, porque as decisões de contenção afectam a evidência. A regra escrita antes: recolher primeiro o volátil, calcular resumo criptográfico no momento, trabalhar sobre cópias, preencher a folha de custódia por peça. Quando houver hipótese de consequências disciplinares ou de participação às autoridades, quem decide é a direcção com apoio jurídico; a equipa técnica recolhe, preserva e documenta, e não decide sozinha nem antecipa qualificações jurídicas.
Por fim, um plano que nunca foi ensaiado é uma intenção. O ensaio de mesa, de noventa minutos, com um cenário e as pessoas reais, revela em cada edição o mesmo tipo de problemas: contactos desactualizados, ninguém sabe onde estão as cópias, ninguém tem acesso fora do horário, e a lista de sistemas críticos não existe. É trabalho barato com retorno alto.
Caso fictício: o plano de Muteva, aprovado em 2023 e nunca usado
Muteva tem um plano de resposta a incidentes de quatro páginas, aprovado em 2023. Define incidente como «qualquer evento que afecte os sistemas», nomeia como responsável «o sector de informática» e manda «comunicar de imediato à direcção».
Não tem níveis de gravidade, não tem contactos, não diz quem decide fora do horário, não fala de evidência e não indica onde estão as cópias de segurança. Na madrugada de 3 de Setembro, ninguém o abriu — e, se o tivesse aberto, não teria encontrado uma única instrução accionável.
Não é um plano mau por falta de vontade: é um plano escrito para ser aprovado, e não para ser usado. A diferença nota-se nos detalhes aborrecidos: nomes, números, horas e critérios.
Anexo A — Plano de resposta actual de Muteva (extracto fictício com lacunas)
Material de entrada. Contém lacunas deliberadas que a actividade pede para encontrar.
«1. Objecto. O presente plano estabelece os procedimentos a adoptar em caso de incidente informático.
2. Definição. Considera-se incidente qualquer evento que afecte o normal funcionamento dos sistemas.
3. Responsabilidade. Compete ao sector de informática detectar, analisar e resolver os incidentes.
4. Comunicação. Todos os incidentes são comunicados de imediato à direcção.
5. Recuperação. Os sistemas são repostos logo que possível, com recurso às cópias de segurança.
6. Disposições finais. O presente plano é revisto sempre que necessário.»
Anexo B — Dados da instituição para preencher o plano (fictícios)
Usar exclusivamente estes dados; não inventar contactos nem entidades.
Equipa de informática: r.sitoe (responsável, telefone 82-000-0001), a.chirindza (administradora de sistemas, 82-000-0002), j.matola (técnico de apoio, 82-000-0003).
Direcção: directora de serviços (82-000-0010), chefe de gabinete (82-000-0011).
Horário de funcionamento: 07h30 às 15h30, de segunda a sexta-feira. Fora deste horário não há escala definida.
Sistemas críticos por ordem declarada: directório de contas, base de dados de processos, portal de marcação, servidor de ficheiros, correio electrónico.
Cópias: disco externo no armário da sala técnica, cópia semanal à sexta-feira, feita manualmente pelo técnico de apoio; chave do armário com o responsável.
Fornecedores: empresa de desenvolvimento da aplicação (contrato terminado), fornecedor de correio em nuvem (apoio por portal), fornecedor de internet (linha de apoio 800-000-000).
Trabalho prático
Trabalho em grupos de três pessoas, com os anexos A e B em papel, com 40 minutos de trabalho, seguidos de 15 minutos de partilha e síntese em plenário.
Exercício em papel. Esta parte é análise documental sobre material fornecido. Não é o laboratório e não pode ser registada como prática executada em ambiente.
Passo 1 (10 minutos). Leiam o anexo A e listem as lacunas que tornariam o plano inútil numa madrugada. Escrevam pelo menos cinco, cada uma com a consequência prática.
Passo 2 (20 minutos). Escrevam as sete secções do plano novo usando apenas os dados do anexo B. Nas funções, indiquem titular e substituto. Nos níveis de gravidade, indiquem quem decide, em quanto tempo a equipa se reúne e quem é informado.
Passo 3 (10 minutos). Escrevam o procedimento de preservação de evidência que acompanha o plano, em não mais de dez linhas, e a regra sobre quem decide em matéria de participação a terceiros.
Produto esperado: Lista de lacunas com consequências, plano de sete secções preenchido com dados do anexo B e procedimento de preservação de evidência.
Como o produto é apreciado
- Entre as lacunas identificadas estão a ausência de níveis de gravidade, de contactos, de decisor fora do horário, de canal alternativo e de tratamento de evidência.
- Cada função tem titular e substituto; nenhuma linha fica com uma só pessoa.
- O plano prevê canal alternativo ao correio institucional, com números do anexo B.
- Os níveis de gravidade têm critério observável e não apenas adjectivos.
- O procedimento de evidência inclui ordem de volatilidade, resumo no momento da recolha e trabalho sobre cópias.
- A decisão de participar a terceiros é atribuída à direcção com apoio jurídico, sem invocar prazos legais inventados.
Síntese em leitura fácil
- O plano existe para não se discutir quem manda durante o incidente.
- Cada função tem titular e substituto. Um nome sozinho falha no dia de férias.
- Se o correio estiver em baixo, o plano tem de dizer por onde se fala. Em papel.
- Recolher a evidência pela ordem certa faz parte do plano, não é assunto à parte.
- Plano nunca ensaiado é intenção. Um ensaio de mesa por ano revela sempre falhas.
Verificação formativa
Estas perguntas não contam para a nota final e não são perguntas do exame final. Servem para a pessoa formanda confirmar o que percebeu.
- O plano diz «comunicar de imediato à direcção». Porque é que isto não chega?
- Durante a recolha, a equipa percebe que o caso pode ter consequências disciplinares. O que muda no procedimento técnico?
Respostas comentadas da verificação formativa
As respostas abaixo pertencem às perguntas de verificação formativa desta lição. Não são perguntas nem respostas do exame final e não têm efeito na nota. Tente responder primeiro e só depois compare.
Pergunta 1. O plano diz «comunicar de imediato à direcção». Porque é que isto não chega?
Resposta: Porque não diz a quem, por que via, com que informação mínima, nem o que fazer se não houver resposta. Fora do horário, «a direcção» não é um contacto. Uma instrução accionável indica nome, número, canal alternativo e prazo para escalar.
Comentário: A qualidade de um plano mede-se pela quantidade de decisões que já não é preciso tomar durante o incidente.
Pergunta 2. Durante a recolha, a equipa percebe que o caso pode ter consequências disciplinares. O que muda no procedimento técnico?
Resposta: O procedimento técnico não muda: continua a recolher pela ordem de volatilidade, com resumos e folhas de custódia. O que muda é quem decide os passos seguintes — a direcção, com apoio jurídico — e o rigor no registo, porque a evidência pode ser examinada por terceiros.
Comentário: A equipa técnica não qualifica juridicamente nem decide participações. Recolhe, preserva e documenta, para que quem decide possa decidir com base sólida.
Referências consultadas
- NIST Cybersecurity Framework — quadro voluntário de segurança cibernética — https://www.nist.gov/cyberframework (consultado em 22 de Setembro de 2026).
Síntese da equipa: Quadro de adesão voluntária organizado em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Serve para organizar o trabalho de segurança e conversar sobre risco com a direcção; não é lei nem certificação.
Estas referências são quadros e guias técnicos internacionais de adesão voluntária. Não são lei moçambicana, não criam prazos nem obrigações legais e não conferem qualquer certificação.