É preciso mais. Embora um dos princípios norteadores da proteção de dados seja a prevenção (art. 6º, inciso VIII), focar somente nela como forma de evitar incidentes de segurança não é suficiente para a Lei Geral de Proteção de Dados. E mais, falham as empresas que somente focam na prevenção.

Nenhum negócio atual está isento de riscos e nenhum poderá oferecer 100% de segurança digital. Tanto é assim que a questão não é ?se? a organização será afetada por um incidente, mas ?quando? será. E quando chegar este momento, é preciso um plano.

Por isso, somente focar na prevenção é uma estratégia de alto risco para o negócio.

Adotar um Plano de Resposta aos Incidentes é mais um dos processos que devem ser adotados pelas organizações. Além disso, é preciso que estes processos demonstrem de forma clara quais serão as medidas a serem implementadas para a mitigação do incidente.

Afinal, quais foram as medidas que a organização adotou para mitigar aquele ataque cibernético e a preservar a continuidade dos serviços?

O ideal é que as organizações tenham processos dentro do seu Plano de Respostas focado em três momentos:

 

Prevenção Detecção  

 

Reação

 

Prevenir não impossibilita que incidentes de segurança ocorram. A partir de agora, o recomendável é que a postura das organizações seja de orientar os processos operacionais partindo do pressuposto que os sistemas serão atacados um dia.

Portanto, somente prevenir não é o suficiente. É preciso que se tenham protocolos organizados de respostas que façam com que a empresa ganha tempo (respostas ágeis) e dinheiro (evitando prejuízos financeiros e reputacionais).