incident-room/1.0.0 · atualizado em 9 de jul. de 2026

Incidentes e sala operacional

Como abrir, coordenar e encerrar incidentes com tasks, evidence e resposta rastreável.

O ADDA Incidents transforma sinais dispersos em uma resposta coordenada com responsáveis, tarefas, evidências e decisões visíveis.

Abrir um incidente cedo não significa dramatizar. Significa organizar o contexto, evitar ações duplicadas e manter um histórico operacional que outras equipes possam retomar.

A sala de incidente ganha valor quando integra mail, WAF, Access, evidence, reports, tasks, automations e manual candidates em um mesmo fluxo de trabalho.

Checklist

• Abrir incident quando a situação cruza módulos ou exige coordenação.
• Atribuir tasks e evidence no mesmo fluxo.
• Encerrar com estado, aprendizados e próximos passos visíveis.

Início rápido

1. Abra incident quando um achado deixa de ser um evento isolado.
2. Mova para o incidente evidence, tasks e artefatos relevantes.
3. Use o encerramento do incidente para deixar aprendizado operacional reutilizável.

Fluxo operacional

Abrir

Defina título, severidade e escopo sem esperar um contexto totalmente perfeito.

Criar cedo um fluxo de trabalho.

Orquestrar

Adicione tasks, evidence, reports ou automations conforme a situação.

Concentrar resposta e acompanhamento.

Encerrar e aprender

Documente a saída, as pendências e as melhorias para o manual ou produto.

Transformar resposta em capacidade institucional.

flowchart LR
  S1["Abrir"]
  S2["Orquestrar"]
  S3["Encerrar e aprender"]
  S1 --> S2
  S2 --> S3

Validadores e verificações

Executam uma leitura contextual desta superfície e devolvem passos sugeridos com foco operacional.

Rever cobertura de incidentes

Resumo operacional para abertura, escalonamento e encerramento da resposta.

Exemplos

Payload para abrir incidente

{
  "title": "Campaña de phishing contra acceso institucional",
  "severity": "red",
  "summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}

Links e referências

Rotas relacionadas

Incidentes no workspace SOC

APIs

/api/adda/v1/incidents
/api/adda/v1/incidents/[id]
/api/adda/v1/tasks

Docs e rotas de apoio

docs/ADDA_SOC_OPERATIVO.md
docs/ADDA_API.md

Problemas frequentes

• Responder a partir de várias vistas sem um incident gera rastros fragmentados.
• Encerrar um incident sem manual candidate ou aprendizado perde capacidade acumulada.

Ações sugeridas

• Promova a incident quando a situação cruzar mail, Access, WAF ou evidence.
• Use o encerramento para produzir tasks residuais ou melhorias no manual.

Reason codes úteis

Dicionário de score

severity

Prioridade institucional do sinal na escala ADDA.

action

Próximo passo operacional recomendado pelo motor.

reasonCodes

Motivos explicáveis que justificam a leitura.

Notas do protocolo

• Incidents organiza a coordenação; não substitui o critério técnico de cada módulo.

Histórico do artigo

9 de jul. de 2026

Novo artigo para incident room, tasks e aprendizado operacional.