Plano de resposta a incidentes

Tradução de cortesia. Prevalece a versão em inglês.

Este plano indica o que a LFW faz quando um incidente de segurança é suspeito ou confirmado, nos próprios sistemas ou no site de um cliente. É curto porque a LFW é pequena: uma pessoa age, e esta é a ordem em que ela age.

Versão 1.0, 6 de outubro de 2026. Faz parte das práticas publicadas na página Confiança. As etapas de resposta para o site de um cliente seguem o anexo de gestão (em inglês).

1. O que conta como incidente

Um acesso não autorizado a um sistema que a LFW administra ou em que trabalha; o comprometimento do site de um cliente; a perda ou a exposição de dados de clientes ou visitantes; uma credencial da LFW que possa ter vazado; ou uma falha do processo de publicação da LFW que deixe um site indisponível.

Um relato de vulnerabilidade sem sinais de exploração é tratado pela política de divulgação de vulnerabilidades, não por este plano, a menos que mostre que dados foram alcançados.

2. Quem age, e quando

Leland Fiegel, fundador da LFW, é responsável por todo incidente. Não há escalas de plantão nem atendimento fora do horário comercial: a LFW age em horário comercial. De segunda a sexta, das 9h às 17h, horário da costa leste dos EUA (das 6h às 14h no Pacífico), exceto feriados federais. Não oferecemos atendimento fora desse horário nem plantão.

Fora desse horário, a hospedagem do cliente monitora e dá suporte aos servidores 24 horas por dia, segundo as próprias condições, e um cliente pode relatar um comprometimento no Portal do cliente a qualquer hora. A LFW começa a restauração do site comprometido de um cliente a partir do backup da hospedagem no dia útil seguinte.

3. Notificação

Se a LFW confirmar um incidente de segurança que afete os dados ou o site de um cliente, avisa esse cliente em até 24 horas após a confirmação, por escrito, por e-mail aos contatos registrados, com o que se sabe, o que ainda não se sabe e o que a LFW está fazendo.

Quando o contrato de um cliente ou a lei definem um prazo menor ou um contato designado, vale o que eles definem. A LFW cumpre as leis aplicáveis sobre notificação de violações de dados e apoia a notificação que o cliente envia diretamente às pessoas afetadas.

Um pesquisador de segurança que relata um problema segundo a política de divulgação recebe uma resposta em até dois dias úteis, depois é informado do plano e da data em que a correção estará no ar.

4. Etapas para os sistemas da LFW

Conter. Revogar as sessões ou os tokens envolvidos; trocar todo segredo que possa ter sido exposto; se necessário, bloquear o tráfego na Cloudflare ou parar o serviço.

Preservar. Guardar os logs do servidor web e os registros da aplicação do período em questão. Fazer um snapshot de backup antes de alterar qualquer coisa, para que o estado no momento da descoberta fique preservado.

Restaurar. Voltar à versão anterior, mantida no servidor, ou restaurar os dados a partir do snapshot íntegro mais recente. Os backups são feitos todos os dias e a cada publicação, com uma cópia externa.

Corrigir e verificar. Publicar a correção pelo processo normal de publicação e suas verificações, depois confirmá-la no site no ar com as verificações do LFW Monitor e manualmente.

5. Etapas para o site de um cliente

Conter. Endurecer as regras do firewall na Cloudflare e no Wordfence, redefinir com o cliente as sessões e as credenciais de administração do site, e colocar o site em modo de manutenção se ele estiver prejudicando ativamente os visitantes.

Restaurar. Restaurar a partir do backup íntegro mais recente da hospedagem, começando no dia útil seguinte, como prevê o contrato de gestão. O plano da hospedagem determina até quando um backup retrocede.

Investigar. Ler o registro de atividades e os logs de acesso da hospedagem para estabelecer como e quando o site foi alcançado. Uma análise forense mais aprofundada e uma limpeza além da restauração são um projeto, orçado por escrito antes do início do trabalho, como prevê o anexo.

Fechar a brecha. Atualizar ou remover o componente explorado, confirmar a regra do firewall que o cobre e verificar o site de novo com o LFW Monitor.

6. O relatório por escrito

Todo incidente gera um relatório confidencial por escrito: o que aconteceu, quando foi descoberto, o que foi feito e quando, quais dados estavam envolvidos e o que mudou depois para que não se repita. O cliente recebe esse relatório quando o incidente for no site dele ou afetar os dados dele.

As entradas do registro público de alterações descrevem a correção, nunca os detalhes do incidente. Quando um incidente muda uma prática da página Confiança, a versão e a data da política mudam.

7. Pôr este plano à prova

O processo de publicação é posto à prova a cada implantação: uma nova versão passa nas verificações das suas rotas antes que o tráfego passe para ela, e a versão anterior continua disponível. Os backups são verificados no momento em que são feitos, e o repositório de backups é verificado toda semana.

A LFW ainda não fez um exercício de restauração planejado em uma cópia dos dados de produção, e diz isso aqui em vez de declarar um teste anual.