Plano de Resposta a Incidentes de Segurança
Última atualização: 23 de julho de 2026
Este plano descreve, em linguagem acessível, como a U.E. Evaristo Campelo de Matos se organiza para detectar, conter, comunicar e responder a incidentes de segurança envolvendo dados pessoais, em conformidade com o Art. 48 da LGPD (Lei nº 13.709/2018) e com as orientações da Autoridade Nacional de Proteção de Dados (ANPD).
Encarregado de Dados (DPO) — LGPD Art. 41
O Encarregado é o canal de comunicação entre a escola, os titulares de dados e a ANPD para assuntos relacionados à proteção de dados pessoais.
- Nome: Francisco Douglas
- E-mail: franciscodouglas.dev@outlook.com
Canal exclusivo para reporte de incidentes
Se você identificou uma possível exposição, vazamento, acesso indevido ou uso impróprio de dados pessoais tratados por este portal, comunique-nos imediatamente:
- E-mail do DPO: franciscodouglas.dev@outlook.com (assunto: “LGPD — Incidente de Segurança”)
- Assunto sugerido: descrição breve, data/hora e sistema/URL afetados
- Prazo interno de triagem: até 24 horas úteis
1. Ciclo de resposta
- Detecção — monitoramento contínuo de logs, alertas do banco de dados, avisos de scanners de dependências e denúncias externas.
- Triagem e classificação — o DPO avalia severidade, dados envolvidos e número estimado de titulares afetados (P0/P1/P2).
- Contenção — revogação de credenciais comprometidas, isolamento de serviços, ajuste de políticas RLS e desativação de rotas afetadas.
- Erradicação — correção da causa raiz (código, configuração, controle de acesso) e verificação de integridade dos backups.
- Recuperação — restauração dos serviços a partir de fontes seguras e validação end-to-end.
- Notificação — comunicação à ANPD e aos titulares em prazo razoável, conforme item 3.
- Lições aprendidas — post-mortem, atualização deste plano e do runbook técnico.
2. Papéis e responsabilidades
- Encarregado (DPO) — Francisco Douglas: coordena resposta, decide comunicações e é o ponto de contato com a ANPD.
- Direção da Escola — aprova comunicações externas e mobiliza recursos.
- Coordenação técnica — executa a contenção, correção e recuperação.
- Operadores (Supabase, Cloudflare) — acionados quando o incidente envolve a camada de infraestrutura contratada.
3. Notificação à ANPD e aos titulares (Art. 48)
Nos incidentes que possam acarretar risco ou dano relevante aos titulares, adotamos, em prazo razoável (referência interna: até 72 horas a partir da confirmação do incidente):
- Comunicação à ANPD pelos canais oficiais, contendo: natureza dos dados afetados, titulares envolvidos, medidas técnicas de proteção, riscos, medidas adotadas para reverter/mitigar efeitos e motivos de eventual atraso.
- Comunicação individualizada aos titulares afetados, por e-mail e/ou aviso no portal, com orientações de proteção (troca de senha, atenção a golpes, etc.).
4. Registro e auditoria
Todo incidente é registrado internamente com data/hora, escopo, ações tomadas e responsáveis. O runbook técnico completo (uso interno) está publicado em docs/incident-response.md e é revisado semestralmente.
5. Prevenção contínua
- Autenticação com verificação anti-bot (Cloudflare Turnstile) no login.
- Row-Level Security (RLS) em todas as tabelas com dados pessoais.
- Column-Level Security em dados sensíveis de profissionais.
- Cabeçalhos de segurança (CSP, HSTS, X-Frame-Options, Referrer-Policy).
- Backups automáticos assinados (HMAC) e testes periódicos de restauração.
- Rate-limiting em endpoints públicos e chat com IA.
- Logs de auditoria (audit_logs, admin_access_logs, alert_audit_logs).