Políticas de Compartilhamento e FIRST IEP

Nota do Capítulo 22, Compartilhamento e Colaboração.
Formaliza as políticas que governam a troca de inteligência: TLP 2.0 com os cinco rótulos e critérios de uso, o FIRST Intelligence Exchange Framework, os limites legais de LGPD e de direito concorrencial, com exemplo de política interna por nível.
Dialoga com a nota de Eventos, Objetos e Atributos MISP, que materializa estes rótulos como tags, com o controle PLT.5 do capítulo 15 e com o capítulo 12 sobre cultura de compartilhamento.

1. Contexto e Posicionamento na Biblioteca

Compartilhar inteligência sem política é trocar risco por risco: a organização ganha visibilidade de ameaças e, no mesmo movimento, expõe clientes, evidências e vantagem competitiva. A política de compartilhamento existe para tornar a decisão de publicar um evento tão rotineira quanto a decisão de criar um alerta, com rótulos padronizados, fluxos predefinidos e responsáveis nomeados. Esta nota cobre as três camadas da política: o protocolo de rotulagem TLP 2.0, as boas práticas de intercâmbio do FIRST IEF e as restrições legais brasileiras que limitam o que pode sair da organização.

O posicionamento na biblioteca é o de contrato entre a técnica e o institucional. A nota anterior do capítulo mostrou o objeto trocado no modelo de dados do MISP; esta nota define sob quais condições cada objeto pode sair, para quem e com qual aparato de controle. O conteúdo conecta-se ao controle PLT.5 do Framework CTH, que operacionaliza TLP no compartilhamento, e ao capítulo 12, que trata da cultura necessária para que a política seja cumprida e não apenas documentada.

2. TLP 2.0: os Cinco Rótulos em Detalhe

O Traffic Light Protocol 2.0, mantido pelo FIRST, é o padrão de facto para rotular sensibilidade em trocas de inteligência e foi redesenhado para operar em máquinas, com marcação estruturada em cabeçalhos de e-mail, metadados de documento e tags de plataforma. A versão 2.0 incorporou o rótulo AMBER+STRICT e clarificou as expectativas de manipulação de cada nível, encerrando ambiguidades comuns da versão anterior. A tabela a seguir resume os cinco rótulos com os critérios de uso em operação real.

Três regras práticas completam o protocolo no dia a dia. Primeira: o rótulo deve acompanhar o conteúdo em toda forma de disseminação, no assunto e cabeçalho do e-mail, no rodapé do documento, na tag do evento MISP e no campo de marking do STIX, porque rótulo que não viaja com o objeto não protege nada. Segunda: o rótulo é do remetente, e o destinatário não reclassifica para cima nem para baixo sem autorização explícita, embora possa restringir ainda mais dentro da própria organização. Terceira: todo material precisa de rótulo, inclusive o interno, porque a ausência de marcação cria a falsa sensação de que o item não é compartilhável, congelando informação que poderia circular em GREEN.

A escolha do rótulo em situações limítrofes deve favorecer o compartilhamento quando o dano potencial é baixo, porque o custo coletivo de subrotulagem aparece como comunidade surda a campanhas em curso. O caso inverso é absoluto: material que identifique vítima, cliente ou fonte é no mínimo AMBER, e evidência bruta sob acordo de confidencialidade é AMBER+STRICT por padrão.

2.1 Marcação aplicada em cada canal

O rótulo só cumpre seu papel quando a marcação acompanha o objeto em todos os canais por onde ele circula, e cada canal tem uma forma canônica de carregar a marcação. A tabela a seguir consolida as formas esperadas nos canais mais usados por um programa de CTI, e a política interna deve exigir a marcação simultânea em todos os canais envolvidos, porque a marca presente em um canal e ausente em outro cria dois públicos com regras diferentes para o mesmo objeto.

A inconsistência entre canais é a forma mais comum de vazamento por descuido, com o documento corretamente rotulado anexado a um e-mail sem marcação, ou a tag correta no MISP exportada para planilha sem rótulo algum. A regra editorial é que a marcação mais restritiva entre as formas presentes governa o objeto, e a revisão de publicação confirma as marcas antes do envio, canal por canal.

2.2 Reclassificação e escalonamento do rótulo

Rótulos envelhecem junto com o conteúdo, e a política precisa prever o ciclo de reclassificação para que inteligência útil não fique presa em AMBER eterno nem sensível escape em CLEAR antecipado. O momento de reclassificar é sempre decisão do remetente original, e a tabela a seguir organiza os casos típicos com suas condições.

A reclassificação para cima é rara e administrativa, acontecendo quando o uso do material revela sensibilidade não prevista, e exige registro do motivo porque altera obrigações de destinatários que já receberam o item. O calendário de revisão recomendado é trimestral para AMBER e AMBER+STRICT, verificando se o material ainda justifica restrição, e a revisão é executada pelo dono da política com lista gerada pelo MISP, que sabe exatamente o que está rotulado e há quanto tempo.

3. FIRST Intelligence Exchange Framework (IEF)

O TLP responde a uma pergunta, para quem posso passar, e não responde às outras: com quem estabelecer confiança, em que formato trocar, como automatizar, como resolver disputas e como medir valor. O FIRST Intelligence Exchange Framework existe para preencher esse espaço, reunindo princípios e práticas de intercâmbio que complementam a rotulagem, e funciona como checklist de maturidade para qualquer programa de compartilhamento. Aplicar o IEF na prática significa assegurar as seguintes condições:

• Acordo de intercâmbio explícito antes da primeira troca, cobrindo escopo, rótulos aceitos, formatos suportados, tratamento de dados pessoais e o que acontece com material sensível ao fim do incidente.
• Formatização da informação trocada, priorizando estruturas legíveis por máquina como STIX 2.1, MISP e CSV padronizado, porque texto corrido em e-mail não escala e não alimenta automação.
• Automação mínima do fluxo, com ingestão automática dos itens recebidos em TLP compatível e com exportação automática dos itens aprovados para publicação, evitando que o compartilhamento dependa de memória de analista.
• Ciclo de confiança declarado, com avaliação de fonte e credibilidade usando escalas como a admiralty-scale, de modo que cada item carregue sua própria qualidade e não apenas o selo da instituição.
• Canal de disputa e correção, para que um item errado, um IOC de serviço legítimo ou uma atribuição equivocada tenha caminho formal de retração entre as partes.
• Medição de valor bidirecional, registrando quanto a organização recebeu e quanto entregou, porque comunidades morrem quando todos escutam e ninguém fala.

A leitura operacional do IEF para o programa é que o compartilhamento é um processo gerenciado, com dono, métricas e melhoria contínua, e não uma etiqueta social de CSIRTs. O framework não substitui o TLP, ele o envolve: o rótulo governa o item individual, e o IEF governa o relacionamento inteiro entre as organizações. Para posicionar o próprio programa na jornada, a tabela a seguir descreve quatro níveis de maturidade de intercâmbio, com a característica dominante de cada um e a próxima evolução esperada.

Programas reais raramente são uniformes nesse espectro, e o diagnóstico útil mapeia o nível por par de intercâmbio, e não pela organização inteira, porque o mesmo time pode ser nível 3 com um consórcio setorial e nível 1 com um parceiro novo. O plano de evolução prioriza os pares de maior valor de inteligência, e não os parceiros mais simpáticos, o que é exatamente a disciplina que o IEF traz para a relação.

4. Limites Legais: LGPD e Direito Concorrencial

A primeira barreira legal brasileira é a Lei Geral de Proteção de Dados, e ela atinge o compartilhamento técnico com mais frequência do que se imagina. Endereços de e-mail de vítimas, nomes de funcionários em logs, IPs residenciais associados a pessoas e imagens de tela com dados de clientes são dados pessoais, e seu tráfego em comunidade de CTI é tratamento de dados, ainda que com finalidade defensiva. A disciplina mínima consiste em minimizar o dado antes de publicar, trocando nome por hash e mantendo o detalhamento apenas no evento interno; em escolher base legal defensável, tipicamente o interesse legítimo ou a proteção da segurança do titular, documentada no registro de operações; e em considerar o dever de notificação de incidente relevante à ANPD previsto na lei, que é obrigação da controladora e não se transfere a quem apenas recebeu o IOC.

A segunda barreira é o direito concorrencial, e o erro clássico é compartilhar preços, condições comerciais ou valores pagos em resgate dentro de círculos que incluem concorrentes diretos. Conversas sobre quanto cada empresa pagou a um grupo de ransomware, sobre descontos de negociadores ou sobre políticas de pagamento são coordenação de conduta comercial, e podem configurar infração à ordem econômica mesmo entre vítimas do mesmo ator. O compartilhamento seguro concentra-se em TTPs, IOCs, infraestrutura e lições de resposta, que não são termos de competição, e qualquer pauta que tangencie preço ou decisão comercial precisa de revisão prévia do jurídico com registro formal. A regra editorial da política interna deve ser explícita: canais de inteligência não são espaço para discutir condições de mercado, e o moderador do ISAC deve cortar e registrar qualquer deriva nesse sentido.

5. Exemplo de Política Interna de Compartilhamento por TLP

A política abaixo é um esqueleto pronto para adaptação, com decisões por nível em formato de tabela. Ela assume um programa com MISP, participação em um ISAC setorial e área jurídica integrada ao fluxo de publicação, e deve ser revisada semestralmente junto com o inventário de acordos vigentes.

O texto normativo correspondente precisa fixar poucas e claras regras, que cabem em uma página e devem ser lidas em todo onboarding do time de CTI e SOC, como ilustra o bloco seguinte.

POLITICA DE COMPARTILHAMENTO v1.0
1. Todo material produzido recebe rotulo TLP 2.0 antes de qualquer envio;
   material sem rotulo e tratado como AMBER ate classificacao.
2. Publicacao externa somente por canal aprovado na tabela de fluxos;
   envio pessoal de material GREEN ou superior por e-mail direto e proibido.
3. Material AMBER e AMBER+STRICT sai apenas pelo sharing group definido
   no MISP, com lista de destinatarios revisada a cada trimestre.
4. Dado pessoal identificado em IOC e minimizado antes da publicacao;
   duvidas sobre base legal são escaladas ao DPO com o evento em rascunho.
5. Preco, condicao comercial e valor pago em resgate sao tema proibido
   em qualquer canal de compartilhamento, inclusive interno com terceiros.
6. Recebimento de material de qualquer rotulo entra automaticamente no
   MISP local com tag de fonte, e a retracao de fonte tem prioridade de fila.

A política só vale se for auditável, e por isso cada publicação externa deve registrar evento, rótulo, canal, aprovador e data, informação que o MISP já produz nativamente e que o compliance deve coletar em revisão trimestral. Auditoria sem registro transforma a política em declaração de intenção, indefensável em incidente. O lado espelho da política é o recebimento, e a tabela a seguir fixa o tratamento por rótulo entrante, com prazo de triagem orientador.

O checklist de publicação completa o quadro operacional, e nenhum item sai antes das cinco verificações: rótulo confirmado por segunda pessoa, dado pessoal minimizado ou justificado, canal aprovado na tabela de fluxos, aprovador registrado com data, e tags do evento coerentes com o rótulo declarado. A disciplina parece pesada na primeira semana e vira hábito imediato, porque o MISP permite que quase todo o checklist seja verificação de campos já preenchidos na criação do evento.

6. Erros Comuns e Pontos de Atenção

Os desvios mais comuns na prática brasileira são de quatro tipos, e todos têm correção barata quando detectados cedo. Fique atento aos seguintes padrões:

• Rotulagem por intimidade: marcar GREEN para tudo que circula em grupo de mensagens instantâneas com pares conhecidos, ignorando que membros do grupo mudam e que a plataforma não é um canal de comunidade formal.
• AMBER tratado como GREEN: copiar IOCs de incidente com dados de terceiros para listas amplas, expondo a organização a responsabilidade civil e destruindo a confiança recebida.
• IEF ignorado no onboarding: comunidade nova começa a trocar sem acordo formal, e o primeiro conflito, um IOC ruim ou uma vaza, acontece sem regra para resolver.
• Troca informal de valores de resgate: discussão de quanto se pagou em grupo com concorrentes, risco concreto de infração concorrencial que precisa de corte imediato pelo moderador.
• Dado pessoal sem minimização: publicar e-mail completo da vítima quando o hash ou domínio do remetente basta para a defesa, tratamento desproporcional diante da LGPD.
• Política sem dono: documento bonito, ninguém responsável por aprovar publicações, e a decisão real vira a pressa do analista de plantão.

O ponto de atenção estrutural é que a política cresce na direção do custo percebido: quando publicar é burocrático demais, o time para de compartilhar, e quando é fácil demais, começa o vazamento. O equilíbrio vem dos fluxos predefinidos por rótulo, que tiram a decisão do caso a caso e a colocam em regra estável.

7. Integração com o Restante da Biblioteca

A nota de Eventos, Objetos e Atributos MISP mostra onde os rótulos desta política vivem no modelo de dados, como tags tlp e como distribuição e sharing groups, e a nota de Interoperabilidade explica como o marking sobrevive, ou se perde, nas conversões para STIX 2.1. O controle PLT.5 do capítulo 15 operacionaliza o compartilhamento segmentado descrito aqui, e o capítulo 12, nas notas de cultura e de privacidade, cobre o lado humano e regulatório que determina se a política é seguida no calor de um incidente.

No lado de resposta, o DAIR e o KRAFF do capítulo 23 consomem material que esta política classifica, e o momento RED do aviso de campanha ativa corresponde à fase de contenção de um incidente real. O capítulo 16, no exercício integrado de SOC, é o lugar seguro para treinar essas decisões de rotulagem sob pressão, antes que o primeiro incidente verdadeiro teste a política sem ensaio.