Resumo

  • O registro público de Graciela Martínez Giordano no LACNIC conecta três ideias práticas que muitas vezes aparecem separadas nos relatos de resiliência cibernética. Uma instituição coordenadora regional precisa declarar o que pode e o que não pode fazer; precisa cultivar relações de confiança antes de um evento urgente; e precisa converter experiência em procedimentos, comunicação e treinamento que outras organizações possam usar. No lançamento do WARP, em 2014, Martínez foi identificada como responsável por um serviço criado para coordenar o tratamento de incidentes, intermediar informações de forma confidencial e emitir alertas, embora não tivesse autoridade para agir nos sistemas dos membros. Esse limite não tornou o serviço passivo. Ele definiu onde a coordenação poderia agregar valor sem substituir as organizações que mantinham o controle operacional.O registro de lançamento do LACNICcoloca essa escolha institucional no início da trajetória.

  • A mesma filosofia pode ser acompanhada em evidências posteriores sem transformar uma história coletiva em uma narrativa de herói. Os números do primeiro ano do WARP pertencem à instituição; o simpósio regional de 2019 pertence a uma parceria LACNIC-FIRST e ao seu comitê de programa; e o relato de 2024 de credenciais é descrito em um registro conjunto com linguagem coletiva de LACNIC. A contribuição individual de Martínez é mais clara quando o registro identifica sua liderança, atribui a ela o raciocínio, a nomeia como autora ou relata de forma independente seu trabalho de capacitação. O plano de gestão de incidentes de 2023 de Martínez conecta esses elementos: preparação, detecção, contenção, recuperação, obrigações legais e de comunicação e aprendizado após um evento tornam-se uma disciplina repetível em vez de um conjunto de respostas improvisadas.O planosustenta uma conclusão limitada: a capacidade regional cresce quando limites, confiança e aprendizado se reforçam mutuamente.

Coordenação sem comando

A resposta a incidentes regionais tem uma dificuldade estrutural que não se resolve apenas com competência técnica. As organizações que precisam trocar alertas, indicadores e assistência prática não abrem mão do controle de suas redes quando integram uma comunidade regional. Elas continuam responsáveis por seus próprios sistemas, políticas e usuários. Uma instituição coordenadora, portanto, precisa ser útil sem fingir possuir autoridade que pertence a outro lugar.

Ela precisa reduzir o intervalo entre um sinal confiável e a organização capaz de agir, ao mesmo tempo em que protege informações cuja divulgação descuidada poderia agravar o problema. Isso é menos dramático do que a imagem de uma equipe central assumindo o comando, mas aproxima-se mais do que aparece no trabalho descrito nas publicações da LACNIC.

O registro de Martínez é valioso porque torna essa tensão visível. As evidências públicas não tratam a resiliência regional como produto de uma pessoa intervindo em cada evento. Elas apresentam uma sequência de escolhas institucionais: definir o limite de um serviço, viabilizar troca confidencial, evitar esforço duplicado, conectar equipes regionais com uma comunidade profissional mais ampla e preservar lições em orientações e treinamento. A FIRST registrou depois que Martínez liderou a criação do LACNIC CSIRT com sua estrutura, mas mesmo essa descrição independente é linguagem de liderança em um empreendimento institucional, não autoria solitária de cada resultado.O relato de 2025 da FIRSTé mais sólido quando lido ao lado do registro operacional, e não como substituto dele.

Um serviço definido por seus limites

Quando a LACNIC anunciou o WARP em novembro de 2014, identificou Martínez como responsável pelo novo centro de tratamento de incidentes da região. O anúncio descreveu um serviço destinado a coordenar e facilitar a gestão de incidentes, funcionar como intermediário de informações confidenciais e emitir alertas antecipados. Igualmente importante, registrou o que o WARP não faria. Não havia autorização para atuar nos sistemas dos membros da LACNIC, e não haveria tratamento remoto ou presencial direto em suas redes.A publicação de lançamentotorna esses limites parte da descrição do serviço, não um detalhe posterior.

À primeira vista, uma lista de exclusões pode parecer redução de capacidade. Em um ambiente regional distribuído, ela pode ser, ao contrário, a base de uma coordenação legítima. Uma instituição que extrapola sua autoridade corre risco de atrasar a resposta, confundir responsabilidades ou desestimular a divulgação. Uma instituição que define seus limites pode oferecer uma resposta mais clara para questões urgentes: quem decide? Quem pode receber com segurança a informação? Quem pode conectar a organização afetada com expertise relevante? Que alerta pode ser compartilhado sem expor detalhes sensíveis?

O limite direciona o trabalho para essas perguntas.

O intermediação confidencial é especialmente importante nesse modelo. Uma organização sob incidente pode ter informação útil para colegas, mas arriscada para circulação ampla. Ela também pode precisar de ajuda para localizar o contraparte correto sem identificar publicamente um sistema afetado. O papel anunciado do WARP permitiu ficar entre isolamento e comando. Ele podia facilitar uma transição de confiança e coordenar intercâmbio enquanto a organização-membro preservava o controle de seu ambiente. O valor não estava em possuir toda alavanca técnica.

Estava na capacidade de conectar informação, responsabilidade e ação sem fundi-las em um único escritório.

Esse papel delimitado ajuda a explicar por que confiança reaparece repetidamente na análise profissional posterior de Martínez. Confiança não é complemento sentimenta na resposta técnica. É o que permite que um coordenador com poder limitado seja útil. Se o coordenador não pode exigir participação e não pode entrar em outra rede, sua efetividade depende de organizações que escolham divulgar, responder, verificar e agir. O desenho de 2014, assim, ligou humildade institucional a capacidade prática.

Limites de autoridade não eram independentes da velocidade de resposta; ajudavam a criar condições para que a informação chegasse ao proprietário certo sem disputa por controle.

O primeiro ano como teste operacional

Em abril de 2016, a LACNIC publicou um relato do primeiro ano de atividade do WARP. O texto identificou Martínez como líder do centro e informou que o WARP tratou de mais de 140 incidentes envolvendo recursos de Internet na região. A mesma publicação disse que os workshops AMPARO incorporados ao WARP haviam treinado perto de 150 especialistas. Esses números pertencem ao WARP e ao programa mais amplo. Eles não devem ser convertidos em contagem pessoal de casos nem usados como prova de que uma líder realizou cada resposta.O relato anual da LACNICsustenta uma leitura mais útil: o desenho de coordenação saiu do anúncio e entrou em prática institucional contínua.

O total de incidentes mostra demanda por um ponto de entrada capaz de receber, conectar e encaminhar informações. Ele não mede sozinho o efeito final de cada intervenção, e a publicação não justifica alegações sobre perdas evitadas. O que ela estabelece é que o limite do serviço era compatível com atividade real. O WARP não precisava de autoridade sobre sistemas de membros para participar de maneira significativa em mais de 140 casos. Seu papel podia ser exercido por notificação, coordenação, troca confidencial e encaminhamento, enquanto decisões operacionais permaneciam com as organizações responsáveis.

A cifra de treinamento fica ao lado da cifra de incidentes porque representam horizontes temporais diferentes. O tratamento de um novo caso resolve uma necessidade imediata. O treinamento de especialistas muda a capacidade disponível para a próxima demanda. Incorporar os workshops AMPARO ao esforço do WARP tratou educação como parte da infraestrutura de resposta, não como atividade de alcance isolado. A instituição não estava apenas movendo informação durante incidentes; também ajudava mais profissionais a reconhecer, comunicar e gerenciar eventos futuros.

O raciocínio atribuído a Martínez no relato do primeiro ano afina essa conexão. Ela sustentou, em essência, que a velocidade importa na resposta a incidentes e que coordenação e compartilhamento de informação ajudam organizações a não repetir trabalho. Não foi uma alegação de que a coordenação garante determinado resultado. Foi um diagnóstico operacional: em tempo escasso, partes paralelas não deveriam descobrir repetidamente os mesmos fatos em isolamento se a troca de confiança permitir que seus esforços sejam complementares. A atividade relatada deu base concreta a esse raciocínio.

Confiança como infraestrutura de resposta

Confiança torna-se operacional quando altera o que as pessoas estão dispostas a compartilhar, a rapidez com que respondem e se aceitam um alerta como credível. Um coordenador regional depende dos três fatores. Ele precisa de confiança suficiente dos participantes para receber informação sensível, familiaridade profissional suficiente para localizar o contraparte adequado e disciplina para compartilhar apenas o que é apropriado. Essas condições não podem ser fabricadas no momento de uma mensagem urgente. Precisam ser construídas por contato repetido, troca útil e respeito aos limites institucionais.

Os escritos posteriores de Martínez descreveram confiança, comunidade e capacidade construtiva como chaves para uma Internet mais resiliente e conectaram confiança prévia a coordenação mais rápida durante incidentes. Esse argumento é consistente com o desenho inicial do WARP, mas adiciona uma dimensão temporal importante. Relações construídas em períodos ordinários tornam-se rotas de ação sob pressão.Sua análise profissional de 2026não prova efeito numérico universal, mas registra claramente a filosofia: cooperação durante um evento é mais eficaz quando os participantes já aprenderam a trabalhar juntos.

O relato do primeiro ano do WARP ilustra por que isso importa. Se duas organizações investigam atividade relacionada sem se conhecer ou sem um intermediário confiável, podem repetir o mesmo trabalho, omitir contexto útil ou perder tempo para localizar um contato responsável. A coordenação pode reduzir esse atrito, mas só se a troca for tratada como credível e suficientemente confidencial. O papel de intermediação do WARP e a ausência de autoridade se unem aqui. Os participantes podiam envolver um facilitador sem transferir controle, e a utilidade desse facilitador dependia de administrar a relação com responsabilidade.

Confiança também disciplina o coordenador. Ela não é permissão para coletar ou circular tudo. O limite do serviço exige julgamento sobre o que deve ficar confidencial, o que pode virar alerta e qual organização tem legitimidade para agir. Uma instituição confiável preserva essas distinções mesmo quando a urgência pressiona para apagá-las. Nesse sentido, a contenção é parte da confiabilidade. As organizações tendem a compartilhar novamente quando a troca anterior respeitou sua autoridade e protegeu seu contexto sensível.

Da parceria à prática regional

Em 2019, a FIRST documentou o primeiro simpósio regional produzido em parceria com a LACNIC. O evento de três dias combinou treinamento técnico, conteúdo de resposta e prevenção, material com acessibilidade para diferentes participantes e networking estruturado. A FIRST identificou Martínez como membro de ligação, chefe do WARP na LACNIC e membro do comitê de programa. Atribuiu a ela a visão de que o simpósio era um resultado da parceria e uma forma de melhorar a interação entre os CSIRTs da América Latina e Caribe e a comunidade global de segurança.O relato do simpósio da FIRSTapoia, assim, uma justificativa ao nível pessoal e um resultado coletivo.

O limite da atribuição é importante. Uma parceria entregou o evento, e um comitê conformou o programa. O papel documentado de Martínez e sua explicação não devem ser ampliados para afirmar que ela sozinha criou ou conduziu o simpósio. Preservar o caráter conjunto torna o evento mais relevante para a tese de resiliência regional. Seu propósito foi criar contato de trabalho entre linhas institucionais e geográficas. O método encarnava o mesmo princípio que promovia: a capacidade emergia por organizações conectadas, não por um ator central absorvendo todos os papéis.

Depois disso, evidência independente colocou o trabalho de Martínez em contexto profissional mais amplo. Uma agenda da ITU de 2022 para um cyberdrill listou-a como líder do LACNIC CSIRT, registrou seu papel de capacitação AMPARO e trouxe um tema principal de keynote focado na equipe.O perfil de palestrante da ITUcorrobora seu papel público, embora não deva ser usado para inventar resultados do evento. Sua significância é mais estreita: uma organização intergovernamental reconheceu a mesma identidade profissional e área de responsabilidade descritas pela LACNIC e pela FIRST.

O anúncio de 2025 da FIRST acrescenta outro marcador independente. Ele informou que a sua diretoria elegeu Martínez Giordano para a diretoria, atribuiu a ela treinamento de mais de 1.000 profissionais e a coorganização de nove simpósios regionais da FIRST, além de registrar que ela liderou a criação do LACNIC CSIRT usando o framework da FIRST. Esses são os dados e avaliações da FIRST. Devem permanecer atribuídos à FIRST, e não como total próprio autoverificado. Lidos com atenção, mostram continuidade no tipo de trabalho: construção institucional, formação e pontes entre comunidades regionais e globais de resposta.

A progressão de um simpósio isolado para atividade recorrente relatada de forma independente não prova que toda lacuna regional foi fechada. Mostra como uma parceria pode se tornar prática. Um encontro único cria contato; colaboração recorrente pode aprofundar expectativas compartilhadas e familiaridade profissional. Esse é o tecido de conexão que uma instituição coordenadora limitada precisa. A instituição ainda não comanda redes de membros. Ela fica mais capaz de ajudar porque mais participantes conhecem os canais, entendem normas e podem traduzir um alerta em ação dentro de sua própria autoridade.

O incidente de credenciais como estudo de decisão

Uma publicação conjunta da LACNIC, de julho de 2024, assinada por Martínez e Alfredo Verderosa, oferece o caso com data mais clara no registro. O relato informou que mais de 574 credenciais tinham sido oferecidas para venda, que 120 logins não autorizados no MiLACNIC tiveram sucesso e que 20 desses acessos envolveram contas usadas para gerir recursos. Informou também que aproximadamente um em cada cinco membros não usava autenticação de dois fatores. São números agregados da publicação conjunta. Nenhuma conta, credencial, vítima ou artefato técnico é necessário para entender o problema de decisão.O relato conjuntofornece o escopo relevante e mantém um limite público de alto nível.

As restrições eram em camadas. Havia um problema de acesso imediato que exigia contenção e restauração. Havia uma questão investigativa sobre como o acesso havia ocorrido. Havia uma necessidade de comunicação porque os membros precisavam entender o risco e as etapas protetivas disponíveis. Por fim, havia um problema de adoção de longo prazo: uma parcela relevante de membros não havia habilitado uma proteção disponível. Tratar tudo como um único tema técnico homogêneo ocultaria quem precisava decidir e que tipo de ação cada etapa exigia.

Segundo o registro, a LACNIC criou um grupo de trabalho de incidente, bloqueou contas comprometidas, trabalhou com organizações afetadas para restaurar acesso, investigou o padrão e avisou os membros. A publicação afirmou que a investigação não encontrou evidência de brute force e não registrou comprometimento de sistemas da LACNIC; atribuiu o acesso não autorizado a credenciais comprometidas oferecidas em mercados negros. Essas conclusões devem ser repetidas apenas na medida em que o relato as apresenta. Elas não estabelecem que nenhum dano ocorreu de qualquer tipo, nem sustentam alegações sobre culpabilidade ou consequências a terceiros.

A sequência de resposta reflete coordenação delimitada. A LACNIC pôde agir sobre acessos sob seu controle e trabalhar com organizações afetadas, enquanto essas organizações permaneceram participantes da restauração. A redação é coletiva e a autoria é conjunta. Seria, portanto, impreciso afirmar que Martínez bloqueou pessoalmente cada conta, conduziu cada etapa investigativa ou restaurou o acesso de toda organização. A conexão dela com o caso é forte e específica — ela assinou o registro operacional conjunto — mas as ações permanecem a resposta documentada da LACNIC.

O relato também descreveu ações futuras: um plano faseado, baseado em pesquisa, para tornar a autenticação de dois fatores obrigatória e um sistema planejado de alertas sistemáticos sobre senhas comprometidas. O elemento da pesquisa importa porque a medida afetava uma comunidade com contextos variados. Uma abordagem em fases reconhece que uma exigência de segurança pode ser necessária e ainda assim exigir comunicação, preparação e sequenciamento. Isso transforma uma fraqueza descoberta em processo de mudança institucional em vez de tratar o incidente como encerrado quando o acesso é restaurado.

As evidências param no plano. Não está demonstrado que todas as fases foram concluídas depois, como cada membro respondeu ou se a mudança produziu redução mensurada de incidentes. Uma cobertura responsável não deve preencher essa lacuna com certeza não comprovada. O valor do caso está nas decisões publicamente documentadas: contenção imediata, restauração coordenada, investigação, alerta, avaliação de adoção e mudança planejada. Cada uma responde a uma parte diferente da limitação.

O caso também demonstra por que o intercâmbio de informação precisa ser acionável. Um aviso de que credenciais podem ser expostas é apenas um passo. As organizações precisam saber qual ação cabe a elas, enquanto a LACNIC deve agir dentro de suas próprias responsabilidades. A comunicação agregada pode elevar a consciência sem expor vítimas ou publicar detalhes que possibilitem direcionamento. O relato mantém esse limite. Fornece informação suficiente para explicar o tema e a resposta institucional sem transformar prova operacional em espetáculo.

Por fim, o incidente conecta confiança à governança. Membros precisavam receber um aviso de uma instituição reconhecida, organizações afetadas precisavam cooperar na restauração do acesso e uma comunidade mais ampla precisava preparar-se para uma mudança de segurança faseada. Nenhuma dessas interações depende de a LACNIC comandar sistemas externos. Elas dependem de relações credíveis e responsabilidade clara. O caso, assim, traz os princípios anteriores do WARP para um contexto posterior: autoridade delimitada não impede ação decisiva; ela define onde a ação ocorre e como as partes coordenam.

Contenção sem superestimar

As narrativas de incidente frequentemente ficam mais limpas à medida que circulam. Ações coletivas passam a ser atribuídas a um líder visível, um plano documentado vira reforma concluída, e uma descoberta de investigação limitada cresce em alegação de que todo o dano foi prevenido. O relato de 2024 exige a disciplina oposta. Ele é detalhado o bastante para mostrar uma sequência de resposta, e ao mesmo tempo sua linguagem preserva incerteza e responsabilidade compartilhada. Essa combinação o torna um caso útil justamente porque resiste a um desfecho triunfalista.

As medidas imediatas — criação de grupo de trabalho, bloqueio de contas comprometidas, restauração de acesso com organizações afetadas, investigação e aviso aos membros — podem ser descritas como etapas de contenção e resposta reportadas pela LACNIC. Elas não podem ser atribuídas individualmente a Martínez. A autoria conjunta dela significa que ela ajudou a apresentar o registro institucional; isso não apaga as equipes e organizações indicadas pela redação coletiva.

Da mesma forma, a ausência de evidência de brute force e de comprometimento de sistemas LACNIC relatada é achado delimitado, não prova de que toda consequência possível esteja ausente.

Essa contenção não é apenas cautela editorial. Ela espelha o princípio de autoridade no centro do trabalho da instituição. Atribuição precisa informa ao leitor onde esteve a responsabilidade. Reconhece que organizações afetadas participaram da restauração e que um grupo de trabalho, e não uma só pessoa, conduziu a resposta. Em um campo baseado em troca confiável, exagerar quem fez o quê pode distorcer justamente os relacionamentos que permitiram a resposta.

As medidas voltadas ao futuro exigem o mesmo cuidado. A publicação documentou um plano de autenticação de dois fatores em fases e um sistema de alerta planejado. Sem uma atualização temporal no registro aceito, a conclusão posterior e o efeito observado permanecem em aberto. Chamar o plano de resultado colapsa intenção, implementação e medição em uma única alegação. Manter essas etapas separadas permite que o registro público faça algo mais útil: mostrar como uma instituição avançou de evidência a mudança proposta, deixando verificação posterior para evidência posterior.

Transformando incidentes em disciplina de gestão

Em novembro de 2023, a publicação de Martínez, “Plan: Security Incident Management”, apresenta uma visão estruturada do que precisa cercar a ação técnica. A orientação cobre preparação, relato e triagem, comunicação, detecção, contenção, recuperação, lições pós-incidente, notificações legais e relatório executivo.O plano publicadodeve ser lido como orientação de gestão, não como prova de que cada organização implementou cada etapa. Sua importância é que torna a resposta repetível e dá responsabilidades diferentes um lugar em uma mesma disciplina.

A preparação vem primeiro porque uma organização não consegue tomar todas as decisões sob pressão do evento. Ela precisa de papéis definidos, caminhos de escalonamento e expectativas sobre quais informações podem ser compartilhadas. O relato e a triagem transformam um sinal em um assunto avaliado, não em um alarme sem prioridade. Detecção e contenção tratam do que está acontecendo; recuperação trata do retorno a um estado operacional aceitável. A ordem não promete que incidentes reais seguirão caminho limpo. Ela busca evitar que a ação urgente sufoque a coordenação necessária.

A comunicação atravessa a sequência em vez de ficar na margem. Equipes técnicas precisam de compreensão comum do evento, líderes precisam de informação adequada à decisão, partes afetadas podem precisar de avisos, e exigências legais podem moldar tempo e conteúdo. Uma prática repetível torna essas audiências visíveis antes que silêncio ou divulgação excessiva criem um segundo problema. Também reforça o limite de autoridade: nem todos devem receber o mesmo nível de detalhe, e nem todo participante tem atribuição para a mesma decisão.

O estágio pós-incidente fecha o ciclo de aprendizado. Um incidente pode ser contido sem que a instituição esteja mais preparada para o próximo. Lições precisam ser identificadas, atribuídas e incorporadas em procedimentos, comunicação ou treinamento. É aqui que o plano de gestão se conecta ao registro regional mais amplo. O WARP combinou tratamento de incidentes com workshops AMPARO; a parceria LACNIC-FIRST conectou profissionais por meio de simpósios; e o relato de 2024 levou uma lacuna observada de adoção para um plano de mudança por fases.

Publicações diferentes descrevem atividades diferentes, mas todas tratam experiência como material para capacidade futura.

Notificações legais e relatório executivo também mostram por que a resposta regional não se reduz a uma checklist técnica. Decisões ocorrem dentro de responsabilidades organizacionais e legais. Líderes podem precisar alocar recursos ou aceitar risco; obrigações legais podem definir o que deve ser comunicado; equipes técnicas podem necessitar de autoridade para contenção. Trazer esses fios na mesma prática não centraliza toda decisão. Esclarece as transições entre pessoas que já têm responsabilidades diferentes.

A contribuição do plano é, portanto, memória processual. Pessoas mudam, incidentes diferem e a pressão prejudica a lembrança. Uma disciplina escrita ajuda uma organização a preservar as perguntas que devem ser feitas: os papéis estão claros? O evento foi triado? Quem precisa saber? O que pode ser contido com segurança? O que a recuperação exige? O que deve ser aprendido e comunicado depois? Essas perguntas ajudam a transformar a experiência regional em algo mais durável do que uma anedota.

A comunicação faz parte da resposta

A comunicação pode acelerar ação, mas também pode expor informação sensível, criar confusão ou insinuar autoridade que o emissor não possui. O registro público em torno de Martínez trata a comunicação como função gerida da resposta. O WARP foi anunciado como ponto de intermediação confidencial e alertas; o plano de 2023 inclui comunicação, notificações legais e relatórios executivos; e o registro de 2024 descreve avisos aos membros ao lado de contenção e investigação. São contextos diferentes, porém todos colocam o movimento de informação dentro da resposta em vez de após ela.

As audiências não são intercambiáveis. Uma organização afetada pode precisar de instruções específicas sobre restauração de acesso. A membresia mais ampla pode precisar de um alerta preventivo. Executivos podem precisar de relato conciso de escopo, decisões e incerteza residual. Advogados podem precisar de fatos ligados a obrigações de notificação. Pares podem precisar de uma lição higienizada que melhore sua preparação. Boa coordenação distingue essas necessidades e envia informação suficiente para ação sem circular detalhes que criem novo risco.

A publicação de 2024 demonstra esse equilíbrio em nível público. Ela relata limites agregados e a resposta coletiva, enquanto retém dados de contas e vítimas. Comunica a ausência de certas evidências investigativas sem transformar essa constatação em garantia universal. E descreve mudanças planejadas como planos. Essas escolhas preservam credibilidade. Uma mensagem é mais útil quando o leitor consegue identificar quais fatos estão estabelecidos, quais ações ocorreram e quais etapas futuras ainda exigem conclusão.

Para uma instituição regional, a credibilidade se acumula. Um alerta bem delimitado facilita a confiança no próximo alerta; o tratamento respeitoso de informação sensível torna futuras divulgações mais prováveis; o reconhecimento claro de incerteza reduz o custo de eventuais correções. A comunicação, assim, é parte da infraestrutura relacional da qual depende troca rápida que não pode ser exigida por comando. Não é um enfeite ao lado do trabalho técnico. É uma das formas pelas quais um coordenador ganha a cooperação contínua que não consegue impor.