O Traffic Light Protocol (TLP) é uma norma desenvolvida pelo Forum of Incident Response and Security Teams (FIRST) para indicar os limites de partilha de informação potencialmente sensível.
A versão 2.0 foi publicada em 5 de agosto de 2022, tornou-se a versão de referência nesse mês e substituiu integralmente a versão 1.0 em 1 de janeiro de 2023.
O TLP utiliza quatro etiquetas — TLP:RED, TLP:AMBER, TLP:GREEN e TLP:CLEAR — que permitem à fonte indicar com quem os destinatários podem partilhar a informação recebida. TLP:AMBER pode ainda ser acompanhado da restrição adicional TLP:AMBER+STRICT.
O protocolo é utilizado na comunicação de incidentes, vulnerabilidades, indicadores de compromisso, ameaças, riscos e outras informações cuja divulgação inadequada possa prejudicar pessoas ou organizações.
O TLP não é um regime legal de classificação de segurança e não determina, por si só, medidas de armazenamento, encriptação, licenciamento ou proteção técnica.
Também não substitui obrigações legais ou regulamentares, segredos profissionais ou comerciais, acordos de confidencialidade, classificações de segurança, políticas internas, regras de proteção de dados pessoais, direitos de autor ou condições de licenciamento.
A etiqueta TLP deve, por isso, ser utilizada em conjunto com as restantes regras aplicáveis à informação.
Fonte: pessoa ou organização que produz ou transmite a informação e lhe atribui uma etiqueta TLP.
Destinatário: pessoa ou organização que recebe a informação e deve respeitar os limites de partilha indicados pela fonte.
Organização: grupo unido por uma relação formal de pertença e sujeito a políticas comuns. Pode corresponder, por exemplo, a uma empresa, organismo público ou organização de partilha de informação.
Clientes: pessoas ou entidades que recebem serviços de cibersegurança da organização destinatária. Estão incluídos, por omissão, no âmbito de TLP:AMBER, mas não em TLP:AMBER+STRICT.
Comunidade: grupo que partilha objetivos, práticas e relações informais de confiança. Pode abranger os profissionais de cibersegurança de determinado setor, região ou país. Quando a comunidade não estiver expressamente definida, deve entender-se como referência à comunidade de cibersegurança e defesa.
TLP:RED destina-se a informação que não possa ser utilizada eficazmente sem representar um risco significativo para a privacidade, reputação ou atividade das organizações envolvidas.
A informação apenas pode ser conhecida pelos destinatários individuais especificamente abrangidos pela comunicação e não pode ser partilhada com outras pessoas. Numa reunião, fica limitada às pessoas presentes.
TLP:AMBER destina-se a informação que exija apoio para ser utilizada eficazmente, mas cuja divulgação fora das organizações envolvidas possa representar riscos para a privacidade, reputação ou atividade.
Os destinatários podem partilhá-la dentro da sua organização e com os seus clientes, exclusivamente com as pessoas que necessitem de a conhecer para proteger a organização ou os clientes e prevenir danos adicionais.
TLP:AMBER+STRICT restringe a partilha, segundo o princípio da necessidade de conhecer, à organização destinatária. A informação não pode ser transmitida aos clientes da organização.
Esta designação é uma restrição adicional de TLP:AMBER e utiliza a mesma cor âmbar; não constitui uma quinta etiqueta com uma cor autónoma.
TLP:GREEN destina-se a informação útil para aumentar a sensibilização dentro de uma comunidade mais ampla.
Os destinatários podem partilhá-la com pares e organizações parceiras pertencentes à mesma comunidade, mas não podem divulgá-la fora dessa comunidade nem publicá-la em canais acessíveis ao público.
TLP:CLEAR destina-se a informação que apresente um risco previsível mínimo ou inexistente de utilização indevida e que possa ser divulgada publicamente.
A informação pode ser partilhada sem restrições decorrentes do TLP, sem prejuízo das regras aplicáveis em matéria de direitos de autor, proteção de dados, confidencialidade, segredo ou outras limitações legais. Na versão 2.0, TLP:CLEAR substituiu a antiga designação TLP:WHITE.
Quando forem utilizadas cores, as etiquetas devem ser apresentadas sobre fundo preto #000000:
TLP:RED — texto #FF2B2B.
TLP:AMBER e TLP:AMBER+STRICT — texto #FFC000.
TLP:GREEN — texto #33FF00.
TLP:CLEAR — texto #FFFFFF.
A designação textual continua a ser indispensável. A cor, isoladamente, não identifica corretamente uma etiqueta e pode não ser percetível numa impressão sem cor ou através de tecnologias de apoio.
A fonte deve considerar a identidade e o número de destinatários, a finalidade da comunicação, a necessidade de intervenção de terceiros, os danos possíveis decorrentes de divulgação indevida, a existência de dados pessoais ou segredos comerciais e as obrigações legais, contratuais e profissionais aplicáveis.
Não deve ser aplicada uma etiqueta mais restritiva do que o necessário, porque isso pode impedir a adoção atempada de medidas de proteção. Também não deve ser escolhida uma etiqueta demasiado permissiva quando a divulgação possa causar danos.
As etiquetas devem conservar a sua designação original, mesmo quando o restante conteúdo seja traduzido. Devem ser escritas em maiúsculas e sem espaço depois dos dois pontos.
Designações como “TLP Red”, “TLP: Red” ou traduções das etiquetas não correspondem ao formato definido pela FIRST.
Em correio eletrónico, plataformas de comunicação ou sistemas de mensagens, a etiqueta e quaisquer restrições adicionais devem surgir imediatamente antes da informação a que se aplicam.
A etiqueta deve também, sempre que possível, constar do assunto da mensagem. Quando apenas uma parte esteja abrangida, deve ficar claramente identificado o início e, quando necessário, o fim dessa parte.
Nos documentos abrangidos pelo TLP, a etiqueta e as restrições adicionais devem constar do cabeçalho e do rodapé de todas as páginas.
A FIRST recomenda que a etiqueta tenha tamanho igual ou superior a 12 pontos, seja alinhada à direita e utilize as cores normalizadas, com contraste adequado para pessoas com baixa visão.
Quando uma comunicação inclua informações com etiquetas diferentes, cada parte deve ser identificada de forma inequívoca. Se não for possível separar os conteúdos, deve ser aplicado ao conjunto o limite de partilha mais restritivo.
A etiqueta não deve ser removida ou alterada pelo destinatário sem autorização da fonte.
A fonte pode estabelecer restrições adicionais às previstas na etiqueta. Essas restrições devem ser claras, compatíveis com a etiqueta utilizada e respeitadas pelos destinatários.
Se o destinatário necessitar de partilhar a informação para além dos limites permitidos, deve obter autorização expressa da fonte.
Ao receber informação marcada com TLP, o destinatário deve confirmar a etiqueta aplicável, limitar o acesso segundo a necessidade de conhecer, impedir o reencaminhamento ou publicação indevidos, conservar a etiqueta nas cópias e aplicar medidas de segurança proporcionais ao risco.
Como o TLP não determina medidas técnicas, podem ser necessários controlos adicionais, como limitação de acessos, encriptação, registo de operações e utilização de canais seguros.
Em caso de dúvida ou de necessidade de partilha mais ampla, deve ser consultada a fonte. Uma divulgação indevida deve ser comunicada à fonte e aos responsáveis internos competentes.
O TLP não prevalece sobre a lei, decisões judiciais ou ordens de autoridades competentes. Quando exista uma obrigação de divulgação incompatível com a etiqueta, deve confirmar-se a validade e o alcance dessa obrigação, limitar a divulgação ao necessário e informar a fonte quando isso seja permitido.
A etiqueta não cria, isoladamente, um dever legal de confidencialidade. Esse dever pode resultar da lei, de contrato, de segredo profissional, das políticas aplicáveis ou da relação estabelecida entre as partes.
O Centro Nacional de Cibersegurança respeita a FIRST TLP 2.0 como norma orientadora para a classificação e partilha de informação no âmbito da sua missão de CSIRT.
A sua utilização facilita a cooperação entre organizações, equipas de resposta a incidentes, autoridades, fornecedores e clientes, mas não constitui, por si só, prova do cumprimento de obrigações legais ou normativas.
As organizações devem aprovar regras internas para atribuição e tratamento das etiquetas, definir quem pode classificá-las ou alterá-las, formar os intervenientes relevantes, incluir a marcação nos modelos de comunicação e estabelecer canais adequados a cada nível de partilha.
Devem ainda controlar a divulgação a terceiros, prever autorizações excecionais, tratar divulgações indevidas e substituir referências antigas a TLP:WHITE por TLP:CLEAR.
FIRST — Traffic Light Protocol, versão 2.0
FIRST — Publicação do Traffic Light Protocol, versão 2.0, em 5 de agosto de 2022
Centro Nacional de Cibersegurança — TLP 2.0, Guia de Uso e Definições
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
