DOU 16/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023031600324 324 Nº 52, quinta-feira, 16 de março de 2023 ISSN 1677-7042 Seção 1 CAPÍTULO I DISPOSIÇÕES GERAIS Art. 1º Esta Resolução Administrativa institui a Política de Segurança da Informação da Agência Nacional de Saúde Suplementar - PSI/ANS, seus objetivos e diretrizes. Parágrafo único. Esta Resolução Administrativa é composta pelos seguintes Anexos: I - Anexo I: Glossário de Segurança da Informação, que estabelece as conceituações necessárias ao adequado entendimento da PSI/ANS; II - Anexo II: Termo de Responsabilidade e Sigilo da Agência Nacional de Saúde Suplementar, que deverá ser firmado por todos os servidores e colaboradores; III - Anexo III: Termo de Responsabilidade e Consentimento Livre e Esclarecido para o uso de Sistemas de Informação de Propriedade ou Custodiados pela Agência Nacional de Saúde Suplementar, que deverá ser firmado por todos os servidores e colaboradores com acesso aos sistemas corporativos; IV - Anexo IV: Termo de Confidencialidade para Troca de Informações entre Órgãos da Administração Pública, que deverá ser firmado por qualquer órgão público com acesso às informações da ANS; V - Anexo V: Termo de Concordância e Veracidade, que deverá ser firmado por qualquer usuário externo declarando estar ciente de todas as normas aplicáveis ao processo eletrônico; VI - Anexo VI: Termo de Confidencialidade para Empresas Contratadas, que deverá ser firmado juntamente com a celebração de contratos administrativos para prestação de quaisquer serviços à ANS; VII - Anexo VII: Termo de Confidencialidade para Pessoas Jurídicas Privadas, que deverá ser firmado por pessoas que requeiram acesso às informações geradas ou de posse da ANS; e VIII - Anexo VIII: Termo de Confidencialidade para Pesquisadores, que deverá ser firmado por pessoas que requeiram acesso às informações geradas ou de posse da ANS para fins de pesquisas ou desenvolvimento de trabalhos acadêmicos. Art. 2º É objetivo da PSI/ANS prover a ANS de diretrizes para a segurança da informação, estabelecendo responsabilidades e atitudes adequadas para manuseio, tratamento, controle e proteção contra a indisponibilidade, a divulgação, a modificação e o acesso não autorizados a dados e informações. Parágrafo único. Cabe à ANS zelar pela confidencialidade, integridade e disponibilidade dos dados e das informações, observada a Lei nº 12.527, de 2011, e a Lei nº 13.709, de 2018 e a RA nº 80/2022 e alterações posteriores. Art. 3º Esta Resolução Administrativa se aplica a: I - todas as unidades da ANS; II - qualquer pessoa natural ou jurídica que administre ou tenha alguma participação na utilização, gestão, manutenção e sustentação dos recursos de Tecnologia da Informação e Comunicação - TIC por ela providos; III - qualquer outro colaborador, ainda que não tenha acesso formal aos recursos de TIC; e IV - órgãos e entidades da Administração Pública na condição de cessionário para utilização das informações de propriedade ou custodiadas pela ANS. Parágrafo único. As disposições desta Resolução Administrativa devem ter ampla divulgação, de forma a garantir que todos entendam suas responsabilidades e ajam de acordo com as práticas aqui definidas, na forma que segue: I - quando a pessoa natural tiver acesso aos recursos de TIC a divulgação se dará de forma automatizada em seu primeiro acesso; II - quando a pessoa natural não tiver acesso aos recursos de TIC a divulgação se dará por meio de unidade responsável pelo credenciamento de acesso físico às dependências da ANS; III - na hipótese do inciso IV do caput, a divulgação da norma se dará pela unidade responsável pela cessão das informações. CAPÍTULO II DAS DIRETRIZES Seção I Das Diretrizes Gerais Art. 4º A PSI/ANS se rege pelas seguintes diretrizes relacionadas a: I - propriedade da informação; II - classificação da informação; III - permissão de acesso; IV - proteção de dados pessoais; V - responsabilidades sobre os ativos de informação; VI - gestão de continuidade de negócio; e VII - monitoramento dos recursos de TIC. Parágrafo único. Toda informação produzida ou custodiada pela ANS é de sua responsabilidade e deve ser protegida adequadamente. Seção II Das Diretrizes da Propriedade da Informação Art. 5º As informações a que se referem o parágrafo único do art. 4º, produzidas ou custodiadas pela ANS, devem seguir as diretrizes descritas na PSI/ANS e a legislação em vigor. Art. 6º Na cessão ou compartilhamento das informações e bases de dados produzidas e custodiadas pela ANS, o gestor da informação deverá providenciar, conforme a legislação aplicável: I - a instrução do processo para autorização de acesso às informações ou base de dados; e II - o tratamento de documentos e informações relativos às solicitações de acesso. §1º A cessão ou compartilhamento das informações e bases de dados produzidas e custodiadas pela ANS com pessoas naturais ou jurídicas, agentes e colaboradores de órgãos ou entidades privadas ou da Administração Pública, condiciona- se à autorização específica de acesso mediante a celebração do competente Termo, segundo as modalidades previstas nos incisos II a VIII do art. 1º. §2º A celebração dos Termos previstos nos incisos II a VIII, do art. 1º, não é suficiente, por si só, para autorizar o acesso às informações e bases de dados, sendo obrigatória a satisfação de requisitos e condições específicas, além da observância de restrições de acesso e sigilo, relativos a cada tipo de informação ou base de dado, e segundo a legislação pertinente. §3º Eximem-se da necessidade de autorizações específicas terceiros que prestem serviços à ANS regulamentados por contrato de prestação de serviços e que apresentem o Termo de Confidencialidade constante do Anexo VI. Seção III Das Diretrizes da Classificação da Informação Art. 7º As informações a que se referem o parágrafo único do art. 4º devem ser classificadas quanto aos aspectos de confidencialidade, integridade e disponibilidade, segundo o estabelecido na legislação vigente, na classificação documental e na informação a ser prevista na Política de Gestão Documental e da Informação da ANS. Art. 8º O processo de classificação da informação deve ser implementado e mantido, visando estabelecer os controles de segurança necessários a cada informação custodiada ou de propriedade da ANS ao longo de seu ciclo de vida. Parágrafo único. Toda informação criada ou custodiada pela ANS deve ser protegida, conforme a classificação das informações. Art. 9º A classificação atribuída à informação da ANS deve ser periodicamente revisada e revalidada, garantindo sua atual idade e atribuição adequada de controles. Art. 10. A classificação da informação será de responsabilidade de cada unidade regimental, e contará com o apoio das áreas organizacionais autora e a gestora da informação, segundo as regras regimentais de competência. Parágrafo único. Todo usuário ou colaborador que identificar informação pessoal classificada em desconformidade com a legislação deve buscar orientação com a Assessoria de Proteção de Dados e Informações - APDI. Seção IV Das Diretrizes da Permissão de Acesso Art. 11. Todos os recursos de TIC sob responsabilidade da ANS devem ter um gestor formalmente designado por autoridade competente. Art. 12. Para efeito desta Resolução Administrativa, considera-se usuário o agente da ANS que utiliza os recursos de TIC. Parágrafo único. O usuário deve ter uma conta de acesso, única e intransferível, cuja concessão será regulamentada em norma específica. Art. 13. Os privilégios de leitura, modificação ou eliminação das informações devem ser definidos pelo gestor da informação. Art. 14. A autorização, o acesso e o uso da informação e dos recursos de TIC devem ser controlados e limitados ao cumprimento das atribuições de cada usuário, de modo que qualquer outra forma de uso necessite de autorização específica pelo gestor da informação. Art. 15. É de responsabilidade da chefia imediata informar os níveis de acesso às informações e aos recursos de TIC, no caso de mudança nas atribuições de determinado usuário, para a imediata adequação. Art. 16. Nos casos de desligamento da ANS ou de afastamento temporário do usuário, os acessos às informações e aos recursos de TIC devem ser cancelados e os acessos privilegiados desabilitados. §1º Nos afastamentos temporários, será mantido o acesso ao correio eletrônico e ao Sistema Eletrônico de Informações - SEI. §2º As unidades administrativas são responsáveis por informar à unidade responsável pela gestão de TIC na ANS sobre a admissão, alteração de cargos ou funções, afastamento e o desligamento de usuários e demais colaboradores da ANS. Seção V Das Diretrizes das Responsabilidades sobre os Ativos de Informação Art. 17. As responsabilidades de segurança devem ser atribuídas no ingresso do usuário e demais colaboradores na ANS e monitoradas durante a vigência de cada vínculo, conforme termos de compromisso firmados nos termos dos Anexos II, III, IV, e VI a VIII. Art. 18. Os usuários e demais colaboradores não poderão revelar ou divulgar dados ou informações sigilosas ou restritas dos quais tiveram conhecimento no exercício da função, mesmo após se desligarem de suas atribuições. Seção VI Das Diretrizes de Gestão de Continuidade de Negócio Art. 19. A gestão de continuidade de negócio em segurança da informação e comunicação no âmbito da ANS deve ser estabelecida, visando reduzir a possibilidade de interrupção causada por desastres ou falhas nos recursos de TIC que suportam as operações da ANS. Art. 20. O processo de gestão de risco deve ser estabelecido com vistas a minimizar possíveis impactos associados aos ativos, cujo processo deve possibilitar a seleção e a priorização dos ativos a serem protegidos, bem como a definição e a implementação de controles para a identificação e o tratamento de possíveis falhas de segurança. Art. 21. As medidas de proteção devem ser planejadas e os custos da aplicação de controles devem ser balanceados de acordo com os danos potenciais de falhas de segurança. Art. 22. Toda informação institucional eletrônica deve ser armazenada nos repositórios determinados, tais como servidores de arquivo da rede local e repositórios em nuvem, disponibilizados pela ANS. Parágrafo único. Se a informação institucional não for eletrônica, deve ser mantida em local que a salvaguarde adequadamente, conforme os critérios e procedimentos a serem estabelecidos pela Política de Gestão Documental e da Informação da ANS. Art. 23. No descarte de informações institucionais devem ser observadas as políticas, as normas, os procedimentos internos, a classificação que a informação possui, bem como a temporalidade a ser prevista na Política de Gestão Documental e da Informação da ANS. Art. 24. Os recursos disponibilizados para o ciclo de vida da informação na ANS devem dispor de mecanismos que minimizem os riscos inerentes a problemas de segurança, a fim de evitar ocorrências, de natureza incidental ou intencional, que afetem os princípios da integridade, da disponibilidade e da confidencialidade das informações. Art. 25. Os recursos de Tecnologia da Informação e Comunicação - TIC utilizados nas atividades da ANS devem ser inventariados, identificados de forma individual e, onde aplicável, ter documentação atualizada e plano de manutenção preventiva, de forma a assegurar a sua integridade e disponibilidade. Seção VII Das Diretrizes de Monitoramento dos Recursos de TIC Art. 26. O uso dos recursos de TIC disponibilizados pela ANS é passível de monitoramento e auditoria, por meio de softwares utilitários específicos e devem ser implementados e mantidos mecanismos que permitam a rastreabilidade desse uso. Art. 27. A entrada e a saída de ativos de informação digital nas dependências da ANS devem ser declaradas para o devido registro pela área responsável pelo controle de patrimônio da Agência. Art. 28. É vedado o ingresso de ativos de informação pessoais no ambiente lógico da ANS. Parágrafo único. A utilização de rede sem fio deverá ser previamente autorizada pela ANS. Seção VIII Da Gestão, do Gerenciamento e da Abrangência da PSI Art. 29. Compete à unidade responsável pela gestão de TIC da ANS promover estudos sobre a revisão das diretrizes da PSI/ANS e legislação aplicável, com vistas à preservação da disponibilidade, da integridade e da confidencialidade das informações da ANS. Parágrafo único. Caberá à Diretoria de Gestão editar, manuais de procedimentos padrão, que determinem metodologias e procedimentos obrigatórios a todos os servidores e colaboradores da ANS, para tratar dos aspectos operacionais sobre as seguintes matérias, ouvido o Comitê de Governança Digital - CGD, instituído pela Diretoria Colegiada da ANS - DICOL, através da RA n° 70 de 23 de dezembro de 2020: I - ao controle de acesso lógico; II - ao uso de recursos de Tecnologia da Informação e Comunicação - TIC, inclusive as ferramentas de comunicação eletrônica e a rede global de computadores (internet) disponibilizada pela ANS; III - segurança de infraestrutura física de TIC; IV - instalação e configuração de aplicações; V - tratamento de cópias de segurança; VI - segurança contra código malicioso (malware); VII - segurança da informação em contratos de prestação de serviços; VIII - segregação de função em relação a níveis de acesso e privilégios; IX - conscientização dos usuários sobre segurança da informação; X- procedimentos para custódia de equipamentos; e XI - uso de ativos de informação da ANS em dispositivos pessoais. Art. 30. A PSI/ANS se aplica ao ambiente de trabalho e aos recursos tangíveis e intangíveis da Agência, estabelecendo responsabilidades e obrigações a todos os usuários que tenham acesso a informações e ativos de sua propriedade ou sob sua responsabilidade. Art. 31. As diretrizes de segurança da informação da PSI/ANS se aplicam às informações sob responsabilidade da ANS independentemente do meio e da etapa do ciclo de vida da informação em que estiver. Art. 32. A PSI/ANS deve ser difundida a todos os usuários e demais colaboradores por um processo permanente de conscientização em Segurança da Informação, que será realizado pela área responsável pela gestão de TIC da ANS. Art. 33. É dever do usuário e dos demais colaboradores conhecer e cumprir a PSI/ANS.