O que é a retrospectiva de Operações de Segurança Cibernética?
A retrospectiva de Operações de Segurança Cibernética reúne sua equipe de operações de segurança para revisar o último ciclo: o que vocês detectaram, como responderam e como se recuperaram. Ela foi pensada para analistas de SOC, profissionais de resposta a incidentes, threat hunters e engenheiros de segurança que querem transformar as lições de alertas, incidentes e quase incidentes em correções. O quadro tem quatro colunas. Ameaças e Incidentes mostra o que aconteceu. Controles e Acertos registra as ferramentas e os processos que funcionaram. Lacunas e Vulnerabilidades trata dos pontos cegos e das fraquezas que apareceram. Ações e Hardening é onde vocês definem o que mudar, com um responsável para cada item. Se vocês já trabalham com MITRE ATT&CK ou NIST CSF, mapeiem as descobertas para esses frameworks e acompanhem o progresso de um ciclo para o outro. Mantenha o clima livre de culpa. As pessoas só vão falar do alerta que deixaram passar ou do quase incidente que causaram se souberem que a discussão é sobre sistemas e processos. Faça a retrospectiva depois de um incidente grave, no fim de um rodízio de plantão ou em uma agenda regular, e revise as ações do último ciclo antes de adicionar novas.
Formato da retrospectiva de Operações de Segurança Cibernética
Ameaças e Incidentes
Quais ameaças ou incidentes tratamos neste ciclo?
Liste os alertas, eventos e incidentes que a equipe tratou neste período. Peça que as pessoas se limitem ao que aconteceu, quando e o que foi afetado, sem apontar culpados. Assim todos partem dos mesmos fatos antes de discutir o que funcionou.
Controles e Acertos
Quais defesas, ferramentas ou processos funcionaram bem?
Nomeie os controles, as automações e as passagens de turno que protegeram vocês, e seja específico sobre qual ferramenta ou processo fez o trabalho. Em equipes de segurança é fácil pular os acertos, e registrá-los mostra o que vale continuar fazendo.
Lacunas e Vulnerabilidades
Onde tivemos pontos cegos ou fraquezas?
É aqui que aparecem lacunas de detecção, limitações de ferramentas, atritos de processo e riscos sem patch. Mantenha o clima livre de culpa para que as pessoas tragam os itens desconfortáveis. O que surge aqui costuma orientar a maior parte do plano de ação.
Ações e Hardening
O que faremos para melhorar nossa postura de segurança?
Transforme as lacunas em ações com responsável e prazo. Priorize por probabilidade e impacto, e vincule cada ação à lacuna que ela resolve para conferir o progresso na próxima vez.
Quando utilizar esta análise retrospectiva
- Depois de um incidente ou vazamento de segurança significativo, para registrar as lições sem buscar culpados.
- No fim de um rodízio de plantão ou de turnos do SOC, para revisar os alertas e as passagens de turno.
- Todo mês ou trimestre, para acompanhar lacunas recorrentes e verificar se as correções do último ciclo se mantiveram.
- Depois de um exercício de mesa, uma ação de red team ou um teste de intrusão, para chegar a um acordo sobre o que os resultados significam para a equipe.
- Quando vocês adotaram novas ferramentas ou práticas de SecOps e querem verificar se estão funcionando.
Perguntas sugeridas para quebra-gelo
- Se você fosse hacker por um dia, qual seria sua arma preferida e por quê?
- Qual foi a tentativa de phishing mais criativa que você já viu, e ela quase funcionou?
Quer um exercício de aquecimento que sua equipe faça, e não apenas responda em voz alta? Veja quebra-gelos gratuitos →
Ideias e dicas para sua reunião de retrospectiva
- Mantenha o clima livre de culpa. Fale de sistemas e processos, não de indivíduos, para que as pessoas admitam erros e quase incidentes.
- Mapeie as descobertas para um framework como MITRE ATT&CK ou NIST CSF para facilitar o acompanhamento das melhorias ao longo do tempo.
- Convide analistas, profissionais de resposta, engenheiros e um gestor. Cada função enxerga pontos cegos que as outras não percebem.
- Peça que as pessoas adicionem notas primeiro de forma privada ou anônima, para que analistas júnior apontem problemas sem se intimidar com os mais experientes.
- Defina um tempo para cada coluna e reserve a parte final da sessão para transformar lacunas em ações com responsáveis e prazos.
- Acompanhe as ações de uma retrospectiva para a outra para que vulnerabilidades recorrentes não passem despercebidas de um ciclo para o seguinte.
Perguntas frequentes
Quando devemos fazer uma retrospectiva de Operações de Segurança Cibernética?
Quanto tempo dura uma retrospectiva de Operações de Segurança Cibernética?
Qual é a diferença em relação a um postmortem de incidente tradicional?
Como manter a retrospectiva livre de culpa?
Quem deve participar de uma retrospectiva de Operações de Segurança Cibernética?
Podemos vincular as descobertas a frameworks de segurança?
Modelos relacionados
Converse abertamente sobre o que pesa no seu time e o que ajuda.
Retrospectiva Big Bang Blast
Revisite sua sprint, da primeira faísca às novas galáxias.
Retrospectiva Ada Lovelace
Celebre as vitórias no código e corrija os bugs do seu processo.
Retrospectiva Reddit Rewind
Relembre o ano do seu time em upvotes e downvotes.