O TCE-PI sofreu um incidente de segurança que comprometeu dados sensíveis de seus funcionários. A equipe de resposta a incidentes foi acionada e seguiu todas as fases típicas de um tratamento de incidentes, que incluem: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas. Durante a execução dessas fases, cada etapa foi meticulosamente conduzida para garantir que o impacto fosse minimizado e a restauração dos sistemas fosse segura e eficiente. Com base nas fases mencionadas do tratamento de incidentes, assinale a opção que corresponde, corretamente, à etapa de contenção.
- A)Tomar medidas imediatas para remover as causas do incidente.
Errada, porque remover as causas do incidente é etapa de erradicação, não de contenção.
- B)Implementar uma solução temporária para isolar o incidente e minimizar o impacto.
Certa, pois contenção busca isolar o incidente e reduzir seu impacto com medidas temporárias.
- C)Criar políticas e preparar a equipe para lidar com o incidente da maneira mais rápida e eficiente possível.
Errada, porque preparar a equipe e definir políticas pertence à fase de preparação.
- D)Avaliar as falhas no processo de resposta e preparar um relatório para melhorar as práticas de segurança a longo prazo.
Errada, porque avaliar falhas e produzir relatório faz parte das lições aprendidas.
- E)Coletar informações de arquivos de log, sistemas de detecção de intrusões e outras fontes, para determinar se há um desvio da norma.
Errada, porque coletar logs e evidências para verificar desvio da normalidade é etapa de identificação/deteção.
Gabarito: B
Em tratamento de incidentes, as fases costumam seguir uma lógica bem prática: preparar, identificar, conter, erradicar, recuperar e aprender com a bagunça. Parece roteiro de filme, mas na vida real a ordem importa muito. Primeiro você percebe o problema, depois evita que ele se espalhe, elimina a causa, volta ao normal e, por fim, registra lições para não repetir o erro. A fase de contenção é justamente a de frear o estrago. Aqui, a ideia não é ainda "limpar tudo", mas sim isolar o incidente, reduzir seu alcance e impedir que ele se propague para outros sistemas, usuários ou dados. Em termos simples: antes de consertar, você segura a porta para o problema não correr pela casa inteira. Por isso, a alternativa B está correta: implementar uma solução temporária para isolar o incidente e minimizar o impacto descreve exatamente a contenção. É uma medida provisória, estratégica e voltada a controlar o dano, enquanto a equipe se organiza para as próximas etapas. As demais opções misturam fases diferentes. Erradicar é remover a causa do incidente; preparar a equipe é preparação; analisar falhas e fazer relatório é lições aprendidas; e coletar logs para verificar desvio da norma é identificação. Essa sequência é bem alinhada à doutrina clássica de resposta a incidentes, como a orientação do NIST SP 800-61, bastante cobrada em provas.