DOU 16/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023031600326 326 Nº 52, quinta-feira, 16 de março de 2023 ISSN 1677-7042 Seção 1 Estação de trabalho (desktop): computador de mesa do tipo PC (do inglês, personal computer ou computador pessoal) de propriedade ou sob tutela da ANS, incluindo os softwares e respectivas licenças, disponibilizado a um agente público para execução de atividades do interesse da ANS. Evento de segurança da informação: ocorrência identificada de um sistema, serviço ou rede, que indica uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação. G Gestor da informação: servidor público responsável por informações produzidas pelos processos de negócio sob sua responsabilidade. Grau de sigilo: gradação de segurança atribuída a dados e informações em decorrência de sua natureza ou conteúdo. I Impacto: efeito negativo oriundo da quebra de um dos princípios da segurança da informação (confidencialidade, integridade e disponibilidade). No contexto de atuação da ANS, considera-se também autenticidade e a legalidade como propriedades da informação a serem resguardadas. Informação custodiada: informação sob a guarda e responsabilidade de pessoa natural ou jurídica. Internet: rede global de computadores com a finalidade de compartilhamento de conteúdo, vendas, propagandas, entretenimento entre outros. Considerada um meio de transmissão não seguro, é também usada para ataques a instituições, propagação de malwares, fraudes bancárias, etc. IPS: sigla em inglês para Sistema de Prevenção de Intrusão. Uma solução de segurança capaz de detectar e bloquear o tráfego de pacotes infectados por códigos maliciosos comparando o padrão de tráfego com assinaturas de ameaças conhecidas. J Janela de Backup: período de tempo requerido para a geração do backup (total, diferencial ou incremental). L Link de Internet: serviço de capacidade limitada provido por terceiros para prover o acesso à Internet. Log: registro de evento realizado por um usuário, serviço ou sistema armazenado em um local específico. Login: processo de autenticação e autorização ao qual o usuário é submetido antes de ter acesso a um sistema computacional. M Medida de contenção: controle e/ou ação tomada para evitar que danos causados por um determinado incidente continuem aumentando com o passar do tempo. Além disso, tais medidas visam o reestabelecimento do sistema/serviço afetado, mesmo eu não seja em sua capacidade total. Medida de solução: controle e/ou ação tomada para sanar vulnerabilidades e problemas que sejam a causa-raiz de um ou mais incidentes de segurança da informação. Mensagem eletrônica: informações criadas, enviadas, encaminhadas, respondidas, lidas ou impressas através do serviço de correio eletrônico. Mídia de Backup: fita, cartucho ou outro tipo de suporte físico adotado para gravação e recuperação de dados. N Nível mínimo de serviço: acordo formal firmado entre a ANS e terceiros, com validade e reconhecimento legal que define especificações de serviços, prazos, formas de entrega e penalizações, para assegurar o nível apropriado de segurança da informação. Notebook: computador do tipo móvel de propriedade ou sob tutela da ANS, incluindo os softwares e respectivas licenças, disponibilizado a um agente público para execução de atividades do interesse da ANS. Nuvem: conceito de computação e processamento de dados que faz uso de recursos de computadores e servidores compartilhados e interligados por meio da Internet em infraestrutura privada ou pública. O OLAP: Online Analytical Processing ou Processamento Analítico em Tempo Real. OLTP: Online Transaction Processing ou Processamento de Transações em Tempo Real. P Perímetro de Segurança: área de segurança física ou lógica sob controle da ANS, com o objetivo de proteger os ativos e informações seja de vazamento ou acessos não autorizados. Privilégios: conjunto de ações permitidas a um usuário ou grupo de usuários em relação a um determinado elemento ou ambiente, como, por exemplo, permissão para ler, criar ou excluir arquivos em um determinado diretório. Princípio da segregação de funções: princípio que determina que funções de execução, validação, homologação, aprovação e auditorias não devem ser delegadas a um mesmo indivíduo ou grupo. Princípio do menor privilégio: princípio que determina que os usuários devem receber privilégios suficientes somente para execução de suas atividades profissionais. Prova de Conceito: do inglês Proof of Concept (PoC), é um termo utilizado para denominar um modelo prático que possa provar o conceito (teórico) estabelecido por uma pesquisa ou artigo técnico. Em Tecnologia da Informação (TI), o termo pode ser relacionado ao desenvolvimento de um protótipo como ferramenta para provar a viabilidade de um projeto de rede de computadores. Proxy: serviço intermediário entre clientes e servidores que possui finalidades como: compartilhar a conexão com a Internet, de modo que o proxy seja o único ativo realmente conectado à web; melhorar o desempenho do acesso a sites através de um cache proxy de páginas; bloquear acesso a páginas cujos conteúdos são proibidos pela Política de Segurança da Informação. Q Quebra de segurança: ação ou omissão, intencional ou acidental, que resulta no comprometimento da segurança da informação e da comunicação. R Recurso de Litígio: recurso do sistema de correio na nuvem para realização de cópias de segurança. Recursos de Tecnologia da Informação e Comunicação: equipamentos utilizados para acesso, gerenciamento, armazenamento, proteção, tratamento e interpretação de informações, incluindo servidores de rede, serviços de rede, sistemas, estações de trabalho, dispositivos móveis, equipamentos de conectividade, link de dados e outros. Recursos intangíveis: recursos que não aparecem nos registros contábeis da ANS e que não é possível valorá-los nem sequer aproximadamente, tais como reputação da ANS, confiança da sociedade, rotinas organizacionais, etc. Recursos tangíveis: recursos que se pode ver, se pode tocar, se pode valorar, tais como equipamentos, prédios e instalações. Rede interna: infraestrutura de rede sob controle da ANS, incluindo cabeamento, ativos de conectividade, servidores, estações de trabalho, dispositivos móveis, appliances, hardware e softwares. Rede local: conjunto de equipamentos interligados localmente com o objetivo de disponibilizar serviços aos usuários de rede da ANS. Rede sem fio: rede que permite a conexão entre computadores e outros dispositivos através da transmissão e recepção de sinais de rádio. Registros de auditoria (logs): evidência gerada automaticamente devido à ocorrência de uma ação. Repositório de informação: Local destinado ao armazenamento de informações independente da mídia em que se encontrem. Restore: procedimento que se utiliza das cópias de segurança produzidas durante o procedimento de Backup para promover a recuperação total ou parcial do conteúdo de um ou mais servidores. Risco: é a relação da probabilidade de uma vulnerabilidade ser explorada por um agente de ameaça com o respectivo impacto ao negócio. S Senha ou palavra-chave: é um conjunto de caracteres previamente convencionado entre duas partes como forma de reconhecimento para autenticar usuário. Serviço de correio eletrônico: sistema centralizado de troca de mensagens eletrônicas utilizado para criar, enviar, responder, encaminhar, ler, trocar ou imprimir informações entre indivíduos e grupos de indivíduos. Servidores: equipamentos responsáveis por disponibilizar acesso aos diversos serviços de rede, sejam eles aplicativos, armazenagem de dados ou tráfego. SGBD: Sistema gerenciador de banco de dados. Software: programa de computador desenvolvido para executar um conjunto de ações previamente definidas. Spam: e-mails não solicitados que, geralmente, são enviados para grande número de pessoas com conteúdo comerciais, políticos, ideológicos que podem conter códigos maliciosos, além de gerar sobrecarga no serviço de correio eletrônico. Storage: dispositivo com a finalidade de armazenamento de dados. T Tape Library: dispositivo de armazenamento que contém uma ou mais unidades de fita, certa quantidade de nichos para guardar cartuchos de fitas magnéticas, um leitor de código de barras para identificar cartuchos de fita e um método automatizado para inserir as fitas na unidade de leitura (um robô). Tentativa de invasão: processo de busca e identificação de vulnerabilidades em um sistema computacional, aliado a técnicas de obtenção de acesso não autorizado ou utilização. Termo de Responsabilidade e Sigilo: documento formal firmado entre a ANS e terceiros, com validade legal, que define questões de sigilo e responsabilidades, além das penalidades em casos de violações. TIC: Tecnologia da Informação e Comunicação. Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração; (LGPD, art. 5, X). Tratamento de Incidentes de Segurança em Redes Computacionais: serviço que consiste em receber, filtrar, classificar e responder às solicitações e alertas e realizar as análises dos incidentes de segurança, procurando extrair informações que permitam impedir a continuidade da ação maliciosa e a identificação de tendências. U URL: sigla em inglês que significa Universal Resource Locator, em português, Alocador Universal de Recursos. É o nome amigável utilizado para localizar recursos na Internet. Usuários: servidores ocupantes de cargo efetivo ou em comissão, requisitados e cedidos, desde que previamente autorizados, empregados de empresas prestadoras de serviços terceirizados, consultores, estagiários, e outras pessoas que se encontrem a serviço da Administração Pública Federal, utilizando em caráter temporário os recursos tecnológicos da ANS, formalizado por meio da assinatura do Termo de Responsabilidade e Sigilo. V VM (Virtual Machine): recurso capaz de utilizar um único hardware para criar e executar vários computadores otimizando a utilização dos recursos. VTL (Virtual Tape Library): equipamento que simula uma tape library através da utilização de discos rígidos em lugar de mídias de backup convencionais, possibilitando otimização dos processos de backup e restore. W Webmail: sistema que permite ao usuário acessar sua caixa postal de e-mail a partir de um navegador web. Wi-Fi: do Inglês, Wireless Fidelity. Termo usado para se referir genericamente a redes sem fio que utilizam qualquer um dos padrões 802.11. Vide definição de Rede Sem Fio. Workflow ou fluxo de trabalho: é a sequência de passos necessários para que se possa atingir a automação de processos de um negócio, de acordo com um conjunto de regras definidas, envolvendo a noção de processo, permitindo que este possa ser transmitido de uma pessoa para outra. ANEXO II TERMO DE RESPONSABILIDADE E SIGILO DA AGÊNCIA NACIONAL DE SAÚDE SUPLEMENTAR Eu, [USUÁRIO], inscrito no CPF/MF nº [CPF/MF], pelo presente instrumento, comprometo-me perante a Agência Nacional de Saúde Suplementar, doravante denominada ANS, na qualidade de usuário do ambiente computacional de propriedade da mesma, ao seguinte: 1. Conhecer e cumprir o disposto na Resolução Administrativa - RA nº 81, de 13 de março de 2023 que dispõe sobre a Política de Segurança da Informação da ANS, em toda a sua abrangência; 2. Conhecer e cumprir o disposto na Lei Geral de Proteção de Dados Pessoais - LGPD (Lei nº 13.709, de 14 de agosto de 2018), que dispõe sobre o tratamento de dados pessoais com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural; 3. Tratar a informação como patrimônio e recurso que tem valor para a ANS, de modo a não praticar quaisquer atos que possam afetar a confidencialidade ou a integridade dessas informações; 4. Guardar sigilo e zelar pela privacidade das informações confidenciais a que tiver acesso, sem divulgá-las para pessoas não autorizadas; 5. Em casos em que haja dúvida acerca da natureza confidencial ou não de uma informação, sempre tratá-la como sigilosa, até que venha a ser expressamente autorizado pelo representante legal da ANS a proceder de maneira diferente; 6. Utilizar com responsabilidade e devida cautela os dados e informações impressas ou nos sistemas informatizados da ANS, certificando-me de bloquear minha estação de trabalho e guardar documentos que exigem sigilo sempre que me ausentar do local de trabalho, bem como não transferir nenhum tipo de arquivo ou dado que pertença à ANS para outro local ou mídia, salvo quando expressamente autorizado, de forma a evitar sua exposição a pessoas não autorizadas; 7. Acessar somente as informações disponibilizadas pela ANS às quais estou autorizado, podendo responder, perante esta Agência, auditorias ou autoridades do país, por acessos ou tentativas de acessos indevidos realizados com a minha identificação/autenticação e por uso indevido da informação; 8. Utilizar, exclusivamente para o desempenho das minhas atividades profissionais junto à ANS, as informações disponibilizadas e os sistemas/produtos cuja propriedade ou direito de uso foram adquiridos por esta Agência; 9. Estar ciente de que toda informação armazenada e processada no ambiente computacional da ANS pode ser monitorada, registrada e utilizada em procedimentos de auditoria; 10. Guardar segredo de minha autenticação de acesso (senha) ao ambiente computacional, não cedendo, não transferindo, não divulgando e nem permitindo o seu conhecimento por terceiros, sendo responsável por todas as ações realizadas através desse acesso; 11. Informar à ANS sempre que exista a suposição de revelação da minha autenticação de acesso (senha) a terceiros; 12. Utilizar apenas produtos fornecidos pela ANS, com cópias originais e contratados/adquiridos oficialmente e autorizados para o meu uso; 13. Seguir as orientações da unidade responsável pela gestão de tecnologia da informação e comunicação na ANS relativas à instalação, manutenção e uso adequado dos equipamentos;