Incidentes de Segurança da Informação: o que são e como responder

Entenda como agir segundo a ISO 27035 e a LGPD para evitar multas e danos à reputação

Os incidentes de segurança da informação estão entre as principais causas de sanções aplicadas pela Agência Nacional de Proteção de Dados (ANPD).Mas afinal, o que caracteriza um incidente? Como agir corretamente e quando é necessário comunicar à ANPD?

O que é um incidente de segurança da informação

De acordo com a ISO/IEC 27035-3:2025, um incidente de segurança é qualquer evento adverso confirmado que comprometa a confidencialidade, integridade, disponibilidade ou autenticidade das informações.

A ANPD adota o mesmo conceito para dados pessoais, considerando incidente qualquer evento que:

“comprometa a segurança de dados pessoais e possa causar risco ou dano relevante aos titulares” (art. 48 da LGPD).

Exemplos comuns:

• Acesso não autorizado a sistemas corporativos ou bancos de dados;

• Envio incorreto de e-mails com informações sensíveis;

• Roubo ou perda de dispositivos contendo dados pessoais;

• Ataques ransomware que paralisam operações;

• Publicação acidental de planilhas com dados de clientes.

Nem todo incidente é um “vazamento de dados” — mas todo vazamento é um incidente.

Incidentes e LGPD: quando comunicar à ANPD

Segundo o art. 48 da LGPD, o controlador de dados pessoais deve comunicar à ANPD e aos titulares afetados em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024, quando o incidente:

1. for confirmado;

2. envolver dados pessoais; e

3. possa causar risco ou dano relevante aos titulares (como fraude, discriminação, dano moral ou reputacional).

A comunicação deve ser feita pelo encarregado (DPO) ou representante legal da empresa, via Sistema SEI! da ANPD, disponível em:

👉 https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis

A falta ou atraso injustificado pode gerar sanções administrativas, incluindo advertência, multa ou até suspensão do tratamento de dados.

Como responder a um incidente segundo a ISO 27035

A ISO 27035 define um ciclo de gestão de incidentes baseado em cinco etapas principais:

Etapa	Ação	Resultado Esperado
1. Preparação	Criar políticas, papéis e planos de resposta (PSI, classificação de incidentes, treinamentos).	Organização pronta para agir.
2. Identificação e notificação	Detectar o evento e confirmar se é incidente de segurança.	Registro imediato e análise preliminar.
3. Avaliação e classificação	Avaliar impacto, gravidade e dados afetados.	Priorizar tratamento e decidir comunicação.
4. Resposta e contenção	Mitigar danos, isolar sistemas, recuperar serviços e coletar evidências.	Contenção do incidente e mitigação de riscos.
5. Aprendizado e melhoria	Revisar causas, documentar lições e ajustar controles.	Melhoria contínua e prevenção futura.

Essas etapas são integradas ao ciclo PDCA da ISO 27001, garantindo rastreabilidade e governança de segurança.

O que deve constar na comunicação à ANPD

A comunicação deve ser clara, objetiva e feita em linguagem simples, contendo:

1. Descrição da natureza e categoria dos dados afetados;

2. Medidas técnicas e de segurança aplicadas;

3. Riscos e impactos potenciais aos titulares;

4. Medidas corretivas ou de mitigação;

5. Data do conhecimento do incidente;

6. Dados de contato do encarregado (DPO).

Boas práticas para prevenir e tratar incidentes

• Implantar uma Política de Segurança da Informação (PSI);

• Utilizar controles técnicos de acordo com a ISO 27001/27002;

• Adotar criptografia, backups e gestão de acessos;

• Definir procedimentos internos de resposta a incidentes;

• Simular cenários (testes de tabletop ou phishing);

• Treinar colaboradores regularmente;

• Manter registro no RoPA de incidentes e medidas corretivas.

No DPONOTE, incidentes podem ser registrados e relacionados a atividades de risco, controles, RoPA e planos de ação — garantindo rastreabilidade e evidências para auditorias LGPD ou ISO.

Como a MainSafe podem ajudar

MainSafe – Consultoria em Segurança e Privacidade

• Implementação de planos de resposta a incidentes conforme ISO 27035 e LGPD;

• Apoio na comunicação formal à ANPD e aos titulares;

• Condução de auditorias de segurança e conformidade;

• Treinamentos sobre incidentes e gestão de crises.