DOU 16/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023031600325 325 Nº 52, quinta-feira, 16 de março de 2023 ISSN 1677-7042 Seção 1 Art. 34. É condição para acesso aos ativos de informação digital da ANS a adesão formal aos termos da PSI/ANS previstos nos Anexos II a VIII sem prejuízo do cumprimento de outras exigências formais aplicáveis a cada caso, na forma da legislação específica. Art. 35. O usuário promoverá a execução dos controles para garantir a segurança dos ativos de informação e processos que estejam sob a sua responsabilidade, conforme estabelecido nas hipóteses listadas abaixo, sem prejuízo dos demais regramentos previstos nesta PSI/ANS. I - tratar a informação como patrimônio e recurso que tem valor para a ANS e consequentemente para a Administração Pública Federal, de modo a não praticar quaisquer atos que possam afetar a confidencialidade ou a integridade dessas informações; II - guardar sigilo, proteger e zelar pela privacidade das informações confidenciais a que tiver acesso, sem divulgá-las para pessoas não autorizadas; III - em caso de dúvida acerca do nível de sigilo/restrição, sempre tratá-las como reservadas, observando as questões legais envolvidas; IV - utilizar com responsabilidade e devida cautela os dados e informações independentemente de seu formato (impressos, digitais, orais) ou mídias de armazenamento; V - não transferir ou compartilhar nenhum tipo de arquivo ou dado que pertença, esteja custodiado ou seja de responsabilidade da ANS para outro local ou mídia, salvo quando expressamente autorizado por esta Autarquia; VI - utilizar as informações a que tiver acesso exclusivamente para o desempenho das atividades laborais ou de pesquisa às quais foram cedidas; VII - caso o acesso às informações seja provido por meio de acesso ao ambiente computacional da ANS, o usuário deverá guardar segredo e proteger as credenciais de acesso (login e senha) ao ambiente computacional, não cedendo, transferindo, divulgando ou permitindo o seu conhecimento para terceiros, sendo responsável por todas as ações realizadas por meio desse acesso; VIII - em casos em que o acesso às informações seja provido por meio de acesso ao ambiente computacional da ANS, esta se reserva o direito de monitorar todas as atividades do usuário; IX - o usuário deve informar a ANS sempre que exista a suspeita de revelação ou vazamento de credenciais de acesso bem como dos dados pessoais cedidos, por meio do endereço eletrônico [email protected]; X - comunicar a ANS a ocorrência de qualquer incidente ou violação das regras acima, ainda que não intencional, bem como qualquer evento que implique em possível impedimento de cumprir os procedimentos de segurança estabelecidos, por meio do endereço eletrônico [email protected]. Art. 36. Os gestores responsáveis pelos processos inerentes à gestão da segurança da informação devem receber capacitação especializada. Art. 37. Os contratos firmados pela ANS devem conter cláusulas que determinem a observância da PSI/ANS. Art. 38. Os usuários e demais colaboradores devem reportar à unidade responsável pela gestão de TIC na ANS os incidentes que afetem a segurança dos ativos ou o descumprimento da PSI/ANS. Art. 39. Em casos de quebra de segurança da informação em qualquer dos recursos de TIC, a unidade responsável pela gestão de TIC deverá ser formal e imediatamente acionada, para tomar as providências necessárias, a fim de sanar as causas, podendo, inclusive, determinar a restrição temporária do acesso às informações ou ao uso dos recursos de TIC da ANS. CAPÍTULO III DISPOSIÇÕES FINAIS Art. 40. Os recursos de TIC disponibilizados pela ANS devem ser utilizados estritamente dentro dos propósitos institucionais. Parágrafo único. É vedado a qualquer usuário o uso dos recursos de TIC: I - para fins particulares ou de terceiros, entretenimento, veiculação de opiniões político-partidárias, religiosas, discriminatórias e afins; II - em prejuízo da integridade, da confidencialidade ou da disponibilidade das informações criadas, tratadas, manuseadas, armazenadas, transportadas, descartadas ou custodiadas pela ANS; e III - em ações que, de qualquer modo: a) venham a constranger, assediar, ofender, caluniar, ameaçar, violar direito autoral ou causar prejuízos a qualquer pessoa física ou jurídica; b) atentem contra a moral e a ética; ou c) prejudiquem o cidadão ou a imagem da ANS. Art. 41. Os usuários e demais colaboradores devem seguir as diretrizes desta Resolução Administrativa e normativos correlatos, no sentido de garantir a segurança das informações da ANS e a realização dos controles previstos. Art. 42. Recebida notícia de prática de atos que representam violação às normas de segurança da informação, a Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais da ANS - ETIR/ANS deverá registrar o evento por meio de Relatório de Incidente e propor ao gestor da unidade responsável pela gestão de TIC na ANS as medidas a serem adotadas. §1º A ETIR/ANS poderá sugerir, como medida cautelar, ações para afastar o risco iminente à segurança da informação, incluindo a suspensão dos privilégios de acesso aos recursos de TIC. §2º O gestor de TIC na ANS deverá encaminhar, de imediato, o Relatório de Incidente para as providências cabíveis: I - à unidade responsável pela apuração e responsabilização de servidores públicos da ANS, caso haja indícios de envolvimento de agentes públicos, no exercício de cargo ou função na ANS; II - ao fiscal ou comissão gestora do contrato, caso haja indícios de envolvimento de empresas contratadas pela ANS ou de seus colaboradores; e III - à unidade responsável pela gestão de carreira e desenvolvimento de recursos humanos na ANS, caso haja indícios de envolvimento de estagiários. §3º O gestor da unidade responsável pela gestão de TIC na ANS deverá encaminhar, de imediato, o Relatório de Incidente de Segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais ao Encarregado pelo tratamento de dados pessoais da ANS. §4º Em caso de risco ou dano relevante e iminente à segurança da informação e aos titulares de dados pessoais, o Encarregado pelo tratamento de dados pela ANS poderá, motivadamente, adotar providências acauteladoras sem a prévia manifestação do agente responsável, que deverá ser cientificado. §5º O agente responsável poderá no prazo de cinco dias a contar da data de cientificação oficial apresentar impugnação contra a providência acauteladora adotada ao Diretor de Gestão da ANS, que decidirá no prazo de quarenta e oito horas. §6º No curso dos procedimentos investigatórios que forem abertos para a adoção de providências administrativas, deverão ser observados os reflexos cíveis e criminais que decorrerem do incidente relatado. Art. 43. Quaisquer situações não previstas devem ser avaliadas pela equipe da unidade responsável pela gestão de TIC, a fim de mensurar os impactos na disponibilidade, segurança, integridade e desempenho do ambiente computacional da ANS. Art. 44. A Diretoria de Gestão, com o auxílio da unidade responsável pela gestão de TIC na ANS, sempre que necessário ou a cada três anos, apresentará proposta de revisão da PSI/ANS, que será submetida à deliberação de Comitê de Governança Digital, para posterior encaminhamento à Diretoria Colegiada. Art. 45. A inobservância das determinações constantes nesta Resolução Administrativa será passível de sanções administrativas, cíveis e penais, conforme a legislação vigente. Art. 46. Os casos omissos serão resolvidos pela Diretoria Colegiada. Art. 47. Fica revogada a Resolução Administrativa nº 62, de 2 de junho de 2015. Art. 48. Esta Resolução da Diretoria Colegiada entra em vigor em 03 de abril de 2023. PAULO ROBERTO REBELLO FILHO Diretor-Presidente ANEXO I GLOSSÁRIO DE SEGURANÇA DA INFORMAÇÃO DA ANS A Agentes públicos com dispositivos móveis corporativos: servidores ou empregados da Administração Pública Federal, que utilizam dispositivos móveis de computação de propriedade dos órgãos ou entidade a que pertencem. Agentes públicos com dispositivos móveis particulares: servidores ou empregados da Administração Pública Federal que utilizam dispositivos móveis de computação de sua propriedade. Os dispositivos particulares utilizados para atividades profissionais e de interesse da ANS que, desta maneira, se submetem aos padrões corporativos de software e controles de segurança, são considerados como dispositivos corporativos. Alias: endereço de correio eletrônico cuja função é encaminhar mensagens para uma ou mais contas de correio. Ambiente lógico: ambiente composto por softwares e dados em que estão alocadas as informações gerenciadas pela ANS. Anexo: arquivo em formato digital inserido em uma mensagem eletrônica. Antimalware: software especializado na prevenção, detecção e remoção de códigos maliciosos, baseado em uma lista de assinaturas de códigos maliciosos pré- definida. Antispam: Hardware ou software especializado na prevenção, detecção e remoção de spams. Appliance: equipamento que integra hardware e software customizados e configurados de acordo com a função específica que desempenha em um sistema ou rede de computadores. Artefato malicioso: qualquer programa de computador, ou parte de um programa, construído com a intenção de provocar danos, obter informações não autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores. Ativo de informação: Conjunto de recursos físicos (computadores, impressoras, documentos impressos, discos rígidos, máquinas em geral e etc) e lógicos (softwares, arquivos de texto, planilhas, pdf´s e etc) corporativos organizados e gerenciados de forma centralizada pela ANS. B Backup anual: backup processado no último dia do ano, com retenção dos últimos cinco anos. Backup Diferencial: cópia dos arquivos criados ou alterados desde o evento do último Backup Full. O Backup Diferencial é executado diariamente e precisará do último conjunto do Backup Full e do último conjunto de Backup Diferencial para executar a restauração. Backup Full: cópia completa de todo e qualquer dado ou sistema presente no servidor em questão, independente de quando e se foram ou não efetuadas alterações. Este procedimento é comumente adotado para marcar o início de um ciclo de cópias subsequentes, e garante a salvaguarda da totalidade dos dados. Backup Incremental: cópia dos arquivos criados ou alterados desde o evento do último Backup, seja ele o Full ou o Incremental anterior. O Backup Incremental é executado diariamente e precisará do último conjunto do Backup Full e de todos os conjuntos de Backup Incrementais para executar a restauração. C Cache Proxy: serviço de armazenamento local de páginas web e demais conteúdos da Internet pelo servidor proxy. O proxy armazena temporariamente conteúdos acessados previamente pelos usuários a fim de aumentar a velocidade de acesso aos dados e reduzir o consumo de banda de Internet, além de possibilitar também o acesso off-line de determinados conteúdos. Caixa Postal: área destinada ao armazenamento centralizado e exibição de mensagens eletrônicas recebidas e enviadas. Cessão de bases de dados: ato de disponibilizar cópia, total ou parcial, de dados da ANS, mediante aprovação do gestor competente. Ciclo de vida da informação: compreende as fases de criação, manuseio, armazenamento, transporte, consumo e descarte de informações. Classificação da informação: atribuição, pela autoridade competente, de grau de sigilo dado à informação, documento, material, área ou instalação, considerando critérios previamente definidos e acordados. Colaborador: qualquer contratado de empresa terceirizada, ainda que não usuário de recursos de TIC. Concedente: responsável pela autorização de acesso às informações, ambientes ou recursos. Credenciais de acesso: conjunto de informações fornecidas pelo usuário para autenticar-se junto a um sistema computacional. Pode ser composta por algo que o usuário sabe (login e senha), algo que o usuário possui (token, smartcard, certificados digitais) ou quem o usuário é (biometria). CTIR GOV: Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federal, subordinado ao Departamento de Segurança de Informação e Comunicações - DSIC do Gabinete de Segurança Institucional da Presidência da República - GSI. D Dado: qualquer registro de conteúdo armazenado em meio magnético. Pode compreender software, dados propriamente ditos (arquivos, bancos de dados), conteúdo multimídia ou qualquer outro passível de armazenamento em meio magnético. Dados confidenciais: dados que contenham informações de natureza restrita. São exemplos de dados confidenciais informações que permitam a identificação de pessoa, mesmo que por meio de associação entre dados diferentes, planejamentos estratégicos, evidências de auditorias, entre outros. Dado estruturado: são os dados que estão armazenados, de maneira organizada. Esta organização é geralmente feita por colunas e linhas, mas pode variar de acordo com a fonte de dados. Geralmente, são armazenados em tabelas componentes de bancos de dados ou arquivos acessados por aplicações. Dado não estruturado: quando não é possível identificar uma organização clara dos dados armazenados. Ex. documentos de texto, mensagens de correio eletrônico, conteúdo multimídia (imagem, vídeo, áudio) armazenado em formato digital. Em conjunto, têm como características grandes volumes, rápido crescimento e dificuldade de manipulação pelas ferramentas de gerenciamento de bancos de dados ou aplicações que processam arquivos de dados. Disaster Recovery: conjunto de políticas e procedimentos para permitir a recuperação ou continuidade da operação da infraestrutura de tecnologia e sistemas vitais na sequência de um desastre natural ou provocado pelo homem. Dump: estrutura de tabela e/ou dados de um banco de dados. E Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais - ETIR: grupo de pessoas com a responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes de computadores. Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).