Ransomware com vazamento de dados clínicos

Cenário

Ransomware criptografa servidores clínicos. Grupo anuncia exfiltração de prontuários em dark web. Imprensa recebe tip. Pacientes começam a ligar.

Fase 1 — Contenção e avaliação (0–24h)

• Isolar sistemas afetados; preservar evidências forenses.
• Ativar DPO e jurídico. Notificar conselho administrativo.
• Inventariar volume e tipo de dados comprometidos (categorias especiais: saúde, genômica).
• Avaliar se há evidência de exfiltração real ou apenas encriptação.

Fase 2 — Disclosure regulatório (até 3 dias úteis)

• ANPD: comunicação preliminar obrigatória em até 3 dias úteis do conhecimento do incidente (Art. 48 LGPD + Resolução CD/ANPD nº 15/2024, art. 6º); complementação em até 20 dias úteis.
• Incluir: tipo de incidente, categorias de dados, número estimado de titulares, medidas adotadas.
• Documento interno: linha do tempo detalhada para uso jurídico.

Fase 3 — Comunicação às partes (3–7 dias)

• Titulares afetados: carta individual ou comunicado público dependendo da escala.
• Corpo clínico: briefing interno antes de qualquer comunicação pública.
• Parceiros e conveniadas: comunicado técnico com impacto operacional.

Fase 4 — Gestão de imprensa

• Comunicado oficial único. Porta-voz designado. Sem especulação sobre autores.
• Tom: transparência, ação concreta, proteção ao paciente como prioridade.
• Monitoramento 24/7 de cobertura. Resposta proporcional a imprecisões.

Limites

Não especular publicamente sobre suspeitos. Não confirmar volume exato se ainda em investigação forense. Não negociar com atacantes sem orientação jurídica e policial.