Simulado de Resposta a Incidentes

Rode o simulado de mesa que seu plano de resposta a incidentes precisa sobreviver. A Joy facilita um incidente de segurança realista, injeta novos desdobramentos conforme seu time decide e depois dá coaching contra o plano — o que você conduziu bem, o passo que faltou e a seção do playbook para apertar.

Para Times de Segurança e Resposta a Incidentes Gestores de TI e Infraestrutura CISOs e Líderes de Segurança Novos Respondentes
Prompt de exemplo para o assistente Joy

/roleplay um simulado de mesa de resposta a incidentes a partir do nosso plano de resposta a incidentes: [uma nota de ransomware encontrada em um servidor de arquivos compartilhado na manhã de segunda-feira]. Facilite o cenário, injete novos desdobramentos conforme decidimos e depois nos dê coaching contra o plano.

Como pode ficar

/roleplayum simulado de mesa de resposta a incidentes a partir do nosso plano de resposta a incidentes: uma nota de ransomware encontrada em um servidor de arquivos compartilhado na manhã de segunda-feira. Facilite o cenário, injete novos desdobramentos conforme decidimos e depois nos dê coaching contra o plano.

Eu facilito; seu time conduz a resposta, e eu injeto um novo desdobramento cada vez que você se compromete com uma jogada, depois saio de cena para dar coaching contra o seu plano de resposta a incidentes. Aqui está a cena: é segunda-feira, 7h52. Um técnico de helpdesk relata que o FS-03, o servidor de arquivos compartilhado da engenharia, está mostrando um README_RESTORE.txt em todas as pastas e o pessoal não consegue abrir os arquivos. Ninguém tocou no plano de resposta a incidentes ainda.

Facilitator
Os backups rodaram durante a noite, e os usuários ainda estão fazendo login no FS-03. Qual é a primeira jogada do seu time?
Declarar um incidente de segurança e acionar o líder de RI de plantão para trabalharmos o plano, não improvisarmos. Isolar o FS-03 da rede na hora — tirar do switch em vez de desligar, para preservarmos memória e disco para a perícia. Avisar o helpdesk para impedir que o pessoal mapeie ou mexa nesse compartilhamento.
Facilitator
O FS-03 está isolado às 8h04. Dois minutos depois, o monitoramento sinaliza o mesmo arquivo README aparecendo no FS-05, em outro prédio, e uma gerente manda e-mail perguntando por que o time dela está sem acesso e se é seguro continuar trabalhando. Para onde você vai?
Isto está se espalhando, então não é mais um servidor só. Amplie a contenção: peça ao time de rede para segmentar a VLAN dos servidores de arquivos e bloquear a conta de serviço que a gente acha que está fazendo as gravações, e depois verifique se o FS-05 usa essa mesma conta. Encaminhe a gerente para o líder de comunicação — uma mensagem única dizendo que estamos cientes e investigando, e sim, parem de trabalhar nos compartilhamentos afetados. Comece o log do incidente com carimbos de hora agora, para não reconstruirmos depois.

Coaching

  • Você declarou antes de fazer qualquer outra coisa. A Seção 3 do plano faz da declaração o gatilho que destrava a escala de plantão e a autoridade para isolar, então abrir com ela — em vez de cutucar o servidor em silêncio primeiro — está exatamente certo.
  • Tirar o FS-03 da rede sem desligá-lo preservou evidência volátil. O passo de contenção do plano aponta isso especificamente; um desligamento bem-intencionado aqui teria destruído a memória de que a seção de perícia depende. Bom instinto.
  • Quando pulou para o FS-05, você redelimitou o escopo em vez de ficar preso ao primeiro host, e foi atrás da conta de serviço compartilhada em vez de perseguir os servidores um por um. É o sequenciamento de contenção-antes-de-erradicação que o plano pede.
  • Uma coisa para apertar: você começou o log do incidente tarde. O plano quer um log com carimbo de hora aberto na declaração — o isolamento das 8h04 e o alastramento para o FS-05 já deveriam estar nele. E você não nomeou quem decide sobre a notificação; a Seção 6 coloca o relógio de violação reportável sobre o comandante do incidente, e ninguém assumiu esse papel ainda.

Quer uma injeção mais difícil: o atacante manda ao seu CEO uma amostra de arquivos exfiltrados e um prazo de 48 horas, então agora é extorsão e não só criptografia?

Quer aumentar o risco? Aponte para a sua política de notificação de violação e simule as decisões de quem-avisamos-e-quando assim que dados de clientes forem confirmados como expostos.

Um exemplo ilustrativo. Seu resultado vai refletir suas fontes, dados e pedidos. Este é um exemplo resumido. Um /roleplay ao vivo avança um turno por vez e continua enquanto você praticar.

Construa prontidão de resposta pela prática

O Simulado de Resposta a Incidentes coloca seu time dentro de um incidente de segurança ao vivo — uma nota de ransomware em um servidor de arquivos, credenciais vazadas por um golpe de phishing, um bucket de armazenamento exposto — e faz o time conduzir. A Joy facilita, injeta um novo desdobramento cada vez que o time se compromete com uma jogada e depois sai de cena para dar coaching de cada decisão contra a seção específica do seu plano de resposta a incidentes.

  1. Aponte a Joy para seu plano de resposta a incidentes

    Adicione seu plano de resposta a incidentes, a matriz de escalonamento e os modelos de comunicação ao Knowledge Center, ou conecte a fonte. A Joy embasa cada cenário e cada nota de coaching no seu playbook, papéis e limiares reais.

  2. Peça um simulado

    Diga à Joy o incidente que você quer ensaiar — uma nota de ransomware, credenciais vazadas, um alerta de exfiltração de dados — e que você quer facilitado como um exercício de mesa. A Joy monta a cena e assume a cadeira de facilitadora.

  3. Rode ao vivo

    A Joy apresenta a situação e, conforme seu time se compromete com cada decisão, injeta o próximo desdobramento — o atacante avança, um cliente percebe, o jurídico faz uma pergunta. Você toma as decisões em tempo real, por texto ou voz, e uma escolha errada aqui não custa nada.

  4. Receba coaching e rode de novo

    Depois da troca, a Joy sai de cena para o debrief: o que o time conduziu bem, o passo que faltou e a seção do plano por trás de cada decisão. Mude o incidente ou aumente o risco e vá de novo.

  5. Deixe tudo a um clique para o seu time

    Salve este pedido como um comando personalizado no assistente que seu time já usa, para que qualquer pessoa rode em um passo.

Deixe do seu jeito

Incidentes Realistas

Tirados dos incidentes que os times de fato enfrentam: ransomware, roubo de credenciais, um bucket exposto, um erro interno. Nada de violação limpa de livro didático, só pressão plausível e informação incompleta.

Injeções ao Vivo

A Joy adiciona um novo desdobramento cada vez que o time se compromete com uma jogada, então o simulado segue em movimento como um incidente real, em vez de pausar à espera da resposta perfeita.

Embasado no Seu Plano

Cada cenário e cada nota de coaching remete à seção exata do seu plano de resposta a incidentes e da matriz de escalonamento que a governa. Nada de checklist genérico de violação.

Dificuldade Adaptativa

Comece com um incidente limpo e bem delimitado, depois avance para os confusos — indicadores ambíguos, um respondente acionado que está inacessível, prioridades em conflito. A Joy encontra o time onde ele está.

Ransomware e Extorsão

Ensaie o isolamento, o caminho da decisão de pagar ou não, a validação de backups e o relógio da notificação quando os arquivos estão criptografados e a nota está na tela.

Comprometimento de Credenciais

Trabalhe um golpe de phishing que vazou um login — revogação de sessão, delimitação do raio de impacto e resets forçados antes que o atacante avance.

Exposição de Dados

Pratique a resposta a um bucket de armazenamento exposto ou a uma exportação enviada errado: contenção, o que conta como reportável e quem é avisado e quando.

Interno e Terceiros

Simule os casos mais difíceis de delimitar — o acesso de um funcionário de saída, uma conta de fornecedor comprometida — em que a ameaça está dentro de uma fronteira confiável.

Perguntas Frequentes

Como um simulado de mesa facilitado por IA melhora a resposta a incidentes?

Um plano de resposta a incidentes escrito diz às pessoas o que fazer, mas nunca testa se elas conseguem fazer sob pressão. O JoySuite facilita um exercício de mesa ao vivo em que seu time toma decisões reais, encara novos desdobramentos injetados conforme o incidente se desenrola e recebe coaching imediato ligado à seção exata do seu plano — para que a primeira rodada de verdade não seja o dia de uma violação real.

Quais cenários de incidente o time pode praticar?

Os simulados cobrem ransomware e extorsão, comprometimento de credenciais por phishing, exposição de dados por um bucket ou exportação mal configurados e casos mais difíceis de delimitar, internos e de terceiros. A Joy monta cada cenário a partir do seu próprio plano de resposta a incidentes, matriz de escalonamento e modelos de comunicação, para que a prática combine com os incidentes e os papéis que seu time de fato tem.

Como deixo isto disponível para o meu time inteiro?

Salve o pedido como um comando personalizado no assistente que seu time já usa, para que qualquer pessoa comece o mesmo simulado em um passo. A prática é autodirigida: rode um exercício de mesa antes de uma auditoria, depois de integrar um novo respondente ou sempre que o time precisar das repetições.

O simulado se adapta a diferentes papéis e níveis de experiência?

Sim. A Joy começa com um incidente limpo e bem delimitado e avança para os confusos e ambíguos conforme o time responde, e pode focar nas decisões que um papel específico é dono — o respondente isolando um host, o comandante do incidente declarando ou o líder de comunicação redigindo a mensagem de contenção.

O modo de voz está disponível para os simulados de resposta a incidentes?

Sim. O time pode rodar o simulado em voz alta, do jeito que soa uma ponte de crise de verdade, com pessoas falando por cima umas das outras e decisões tomadas verbalmente. O modo de voz deixa o ensaio mais perto da pressão de um incidente real do que digitar deixa.

Receitas Relacionadas

TI e Segurança

Cenários de Tratamento de Dados

Pratique decisões de tratamento de dados com roleplay e coaching da Joy.
TI e Segurança

Roleplay de Engenharia Social

Ensaie resistir a phishing e pretexting com feedback instantâneo.
TI e Segurança

Base de Conhecimento de TI

Respostas instantâneas para perguntas comuns de TI a partir da sua documentação.

Pronto para tornar seu plano de resposta a incidentes algo que seu time de fato já rodou?

Entre na lista de espera e seja o primeiro a experimentar este fluxo de trabalho quando o JoySuite for lançado.

Entrar na Lista de Espera Ver Todas as Receitas