DOU 15/02/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023021500063 63 Nº 33, quarta-feira, 15 de fevereiro de 2023 ISSN 1677-7042 Seção 1 IV - Replicação de dados em nuvem: o CRCES replica uma fração da massa de dados do sistema gestor para uma aplicação na nuvem, esse compartilhamento torna possível disponibilizar ao profissional da Contabilidade os "serviços online". V - Backup de dados em nuvem: os dados replicados para a aplicação em nuvem geram um backup em ambiente segregado, na própria nuvem onde está hospedada a massa de dados do serviço. O armazenamento na nuvem é um modelo de computação que armazena dados na Internet por meio de um provedor de computação que gerência e opera o armazenamento físico de dados. É importante ressaltar que no armazenamento em nuvem é de responsabilidade do usuário realizar backup e controlar o acesso aos dados. 9. PENALIDADES Técnicos do Setor de TI identificarão os usuários que descumprirem qualquer item deste Manual de segurança da informação. As penalidades serão aplicadas observando o seguinte: I - o usuário que apagar, destruir, modificar ou de qualquer forma inutilizar, total ou parcialmente, arquivo ou programa de computador, de forma indevida ou não autorizada, fizer uso indevido dos equipamentos de informática, bem como praticar ato em desacordo com os termos da presente norma fica sujeito às punições cabíveis nos termos da lei. II - o usuário infrator poderá ser notificado e a ocorrência da transgressão imediatamente comunicada ao seu chefe imediato e a Diretoria do CRCES. III - todos os usuários ao tomarem conhecimento de qualquer incidente de segurança da informação, devem informar o ocorrido, imediatamente, à administração. IV - na primeira transgressão o empregado será notificado, sobre o item que transgrediu e orientado para não mais infringir, sob pena de sofrer outras sanções. V - na segunda transgressão o empregado será notificado novamente, mais com cópia para chefia imediata, do descumprimento das normas estabelecidas neste documento. Caso na infração cometida esteja caracterizando qualquer tipo de crime (acesso a sites de pedofilia, racismo, etc.), tomar-se-ão providências previstas em lei. VI - O usuário arcará pelos danos causados pelo mau uso dos computadores e dos recursos do CRCES, mediante apuração cabível, nos termos da lei. 10. DISPOSIÇÕES FINAIS O CRCES se reserva no direito de monitorar o tráfego através das suas redes de comunicação, incluindo o acesso à Internet. O CRCES se reserva no direito de verificar, sempre que julgar necessário, a obediência às normas ou procedimentos citados neste documento. O uso indevido dos serviços de correio eletrônico, tratados neste documento, é passível de sanção disciplinar, de acordo com a legislação vigente. Será de responsabilidade de cada usuário zelar pelo fiel cumprimento ao estabelecido na presente norma. Todos os equipamentos do CRCES devem ser mantidos em boas condições e possuir proteção de forma a preservar seus componentes internos. A saída de equipamentos do CRCES deve ser registrada utilizando documento de saída de equipamento assinada pelo superior imediato. 11. REFERÊNCIAS LEGAIS 1 - Lei Federal n.º 8.159, de 08 de janeiro de 1991, que dispõem sobre a Política Nacional de Arquivos Públicos e Privados. 2 - Lei Federal n.º 10.406, de 10 de janeiro de 2002 - Código Civil. 3 - Lei Federal n.º 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados-LGPD. 4 - Decreto Federal n.º 4.453, de 27 de dezembro de 2002, que dispõe sobre a salvaguarda de dados, informações, documentos e materiais sigilosos de interesse da segurança da sociedade e do Estado no âmbito da Administração Pública Federal. 5 - Decreto n.° 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação. 6 - Norma ABNT/NBR ISO 27.701/2019. RESOLUÇÃO CRCES Nº 451, DE 15 DE DEZEMBRO DE 2022 Institui a Política de Gestão de Incidentes de Segurança da Informação no âmbito do Conselho Regional de Contabilidade do Espírito Santo - C R C ES . O PLENÁRIO DO CONSELHO REGIONAL DE CONTABILIDADE DO ESPÍRITO SANTO, no uso de suas atribuições legais e regimentais, nos termos do inciso XVIII, art. 11, da Resolução n.º 342/2014; CONSIDERANDO a necessária conformidade do CRCES aos termos da Lei Geral de Proteção de Dados Pessoais, Lei n.º 13.709, de 14 de agosto de 2018; CONSIDERANDO a Portaria CRCES n.º 59, de 17 de maio de 2022, que criou o Comitê de Segurança da Informação (CSI) no âmbito do Conselho Regional de Contabilidade do Espírito Santo; CONSIDERANDO que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; CONSIDERANDO que os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação prevista nesta política em relação aos dados pessoais, mesmo após o seu término; resolve: Art. 1º. Instituir a Política de Gestão de Incidentes de Segurança da Informação por meio do Manual de Gestão de Incidentes de Segurança da Informação, nos termos do Anexo desta Resolução. Art. 2º. Esta Resolução entra em vigor na data de sua assinatura. CARLA CRISTINA TASSO Presidente do Conselho ANEXO MANUAL DE GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO 1. INTRODUÇÃO Este manual estabelece a Política de Gestão de Incidentes de Segurança da Informação do Conselho Regional de Contabilidade do Espírito Santo com o objetivo de fixar as diretrizes e definir o processo de Gestão de Incidentes de Segurança da Informação relacionada ao seu ambiente tecnológico. A Gestão de Incidentes de Segurança da Informação, definida nesta Política, tem seu escopo limitado às situações relacionadas ao ambiente, ativos, projetos e processos de Tecnologia da Informação e comunicação. 2. TERMINOLOGIA Além das terminologias já especificadas no art. 5º da Lei Geral de Proteção de Dados Pessoais - LGPD, os seguintes termos são utilizados nesta Política de Gestão e Comunicação de Incidentes de Segurança da Informação do CRCES: 1 - Artefato malicioso: qualquer programa de computador, ou parte de um programa, construído com a intenção de provocar danos, obter informações não autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores; 2 - Ativo da informação: qualquer dispositivo de software ou hardware que agrega valor ao negócio e compõe a infraestrutura de rede de dados do CRCES, assim como os locais onde se encontram estes dispositivos, gestão do pessoal que a eles possuem acesso, além dos processos envolvidos na gestão e operacionalização dos ativos de informação; 3 - Equipe de tratamento e resposta a incidentes em redes computacionais: grupo de pessoas com a responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes de computadores; 4 - Evento de segurança da informação: qualquer ocorrência identificada em um sistema, serviço ou rede que indique uma possível falha da política de segurança, falha das salvaguardas, ou mesmo uma situação até então desconhecida que possa se tornar relevante em termos de segurança; 5 - Incidente de segurança da informação: evento ou conjunto de eventos de segurança da informação, indesejados ou inesperados, confirmados ou sob suspeita, que tenham grande probabilidade de comprometer as operações e ameaçar a segurança da informação; 6 - Medida de contenção: controle e/ou ação adotada para evitar que danos causados por um determinado incidente continuem aumentando com o passar do tempo. Além disso, tais medidas visam o restabelecimento do sistema/serviço afetado, mesmo que não seja em sua totalidade; 7 - Medida de solução: controle e/ou ação adotada para sanar vulnerabilidades e problemas que sejam a causa-raiz de um ou mais incidentes de segurança da informação; 8 - TI: Tecnologia da Informação; 9 - Tratamento de incidentes de segurança em redes computacionais: serviço que consiste em receber, filtrar, classificar e responder às solicitações e alertas e realizar as análises dos incidentes de segurança, procurando extrair informações que permitam impedir a continuidade da ação maliciosa e, também, a identificação de tendências; 10 - Usuário: pessoa física ou jurídica que opera algum sistema informatizado do C R C ES ; 11 - Vulnerabilidade: fragilidade de um ativo ou grupo de ativos de informação que pode ser explorada negativamente por uma ou mais ameaças. 3. DIRETRIZES A Gestão de Incidentes de Segurança da Informação tem como principal objetivo assegurar que incidentes de segurança da informação sejam identificados, registrados e avaliados em tempo hábil, com a tomada de medidas de contenção e/ou solução adequadas. Logo, esta Política abrange os eventos, confirmados ou suspeitos, relacionados à segurança de sistemas ou redes computacionais, que comprometam o ambiente tecnológico do Conselho Regional de Contabilidade do Espírito Santo, seus ativos, informações e processos de negócio, bem como aqueles que contrariam a sua Política de Segurança da Informação, e dos quais decorram interrupção, parcial ou total, de serviço essencial ao desempenho das atividades, vulnerabilidades de segurança, divulgação, alteração ou destruição de informações e/ou prática de ato definido como infração administrativa. O CRCES providenciará dispositivos de monitoramento, ferramentas de segurança e detecção de intrusão, a fim de subsidiar a Gestão de Incidentes de Segurança da Informação. 4. EQUIPE ENVOLVIDA O Comitê de Segurança da Informação (CSI) tem como missão, entre outras, prover capacidade adequada para resposta e tratamento de incidentes de segurança da informação em ambiente tecnológico. Todos os usuários do ambiente tecnológico do CRCES são público-alvo do Comitê de Segurança da Informação (CSI). A autonomia do Comitê de Segurança da Informação (CSI) é compartilhada. A equipe recomendará, no mínimo, os procedimentos a serem executados ou as medidas de recuperação durante um ataque e apresentará as ações a serem tomadas (ou as repercussões se as recomendações não forem seguidas). De acordo com a gravidade do incidente, a proposição deverá, ainda, ser submetida à Presidência do CRCES, que decidirá em conjunto as ações a serem adotadas. São atribuições do Comitê de Segurança da Informação (CSI) entre outras constantes em outros documentos: I - investigar e propor ações de contenção de segurança da informação relacionadas aos ativos de tecnologia da informação; II - receber e analisar as informações sobre vulnerabilidades, artefatos maliciosos e tentativas de intrusão, com definição de estratégias e ações para sua detecção ou correção; III - fornecer informações aos envolvidos sobre a ocorrência e, aos usuários, orientações de prevenção de incidentes de segurança da informação; IV - divulgar alertas ou advertências diante da ocorrência de um incidente de segurança da informação ou, de forma proativa, em face de vulnerabilidades e incidentes conhecidos e que posam gerar impactos nas atividades dos usuários; V - interagir com outras equipes e órgãos relacionados ao tratamento de incidentes de segurança, e participar de fóruns e redes nacionais e internacionais a respeito do tema. 5. PROCEDIMENTO DE GESTÃO DE INCIDENTES DE SEGURANÇA DA I N FO R M AÇ ÃO O procedimento de Gestão de Incidentes de Segurança da Informação é contínuo e aplicado na implementação e operação da gestão de segurança da informação e será composto pelas seguintes etapas: I - detecção e registro: compreende o recebimento, registro e autorizações necessárias para o encaminhamento da investigação; II - investigação e contenção: compreende a investigação e tratamento do incidente, coleta de dados, comunicação às áreas afetadas, proposição e aplicação de ações de contenção, quando necessárias; III - encerramento: compreende a análise do incidente, com verificação da necessidade de outras ações, providências ou comunicações e, após seu cumprimento, o encerramento do incidente; IV - avaliação de incidentes: compreende a avaliação do histórico de incidentes, com consolidação das informações e indicadores e verificação das oportunidades de melhoria e lições aprendidas. Os incidentes, notificados ou detectados, devem ser objeto de registro, com a finalidade de assegurar a manutenção do histórico e auxiliar na geração de indicadores. A notificação de incidente poderá ser feita por qualquer usuário, sem necessidade de prévia autorização do gestor, diretamente ao Encarregado pelo Tratamento de Dados Pessoais, pelo telefone ou pelo e-mail [email protected], que a reportará ao Comitê de Segurança da Informação. Os usuários devem notificar, o mais breve possível, os incidentes de segurança da informação e vulnerabilidades de que tenham conhecimento (observada ou suspeita). Vulnerabilidades ou fragilidades suspeitas não deverão ser objeto de teste ou prova pelos usuários, sob risco de violar a Política de Segurança da Informação e/ou provocar danos aos serviços ou recursos tecnológicos. A equipe de TI, responsável pelo monitoramento dos ativos, serviços e sistemas deve notificar os incidentes a eles relacionados ao Comitê de Segurança da Informação, para o devido registro e encaminhamento. O CRCES poderá receber notificações externas sobre incidentes (ocorridos ou suspeitos) por meio de e-mail, telefone, etc, que deverão ser remetidas ao Encarregado pelo Tratamento de Dados Pessoais, para o devido encaminhamento. O tratamento da informação deve ser realizado de forma a viabilizar e assegurar a disponibilidade, integridade, confidencialidade e autenticidade da informação, com retorno das operações à normalidade no menor prazo possível, bem como evitar futuras ocorrências, com a proposição de ações de solução, quando existentes. O Comitê de Segurança da Informação deve conduzir a investigação do incidente e artefatos maliciosos, propondo e implementando as ações de contenção, comunicando as áreas afetadas e coletando os dados necessários e evidências dos incidentes de segurança da Informação. Quando o incidente de segurança da informação decorrer de suspeita de descumprimento da Política de Segurança da Informação, será observado o sigilo durante todo o procedimento, ficando as evidências, informações e demais registros restritos aos envolvidos na investigação. Quando houver indícios de ilícitos criminais durante o gerenciamento dos incidentes de segurança, a Presidência do CRCES deverá ser comunicada, para avaliação das providências cabíveis. O encerramento do procedimento de incidente de segurança da informação será comunicado a todas as áreas interessadas e a avaliação do procedimento de gestão de incidentes de segurança da informação ocorrerá através do histórico de incidentes, com verificação das oportunidades de melhoria. O desenho do procedimento de Gestão de Incidentes de Segurança da Informação, a descrição das atividades, os respectivos papéis e responsabilidades dos envolvidos no processo, bem como os modelos de documentos a serem utilizados nas etapas do procedimento, serão publicados e divulgados a todos os usuários. O procedimento será revisto anualmente ou em menor prazo, quando necessário, e eventuais alterações propostas nos documentos acima indicados serão objeto de imediata divulgação na forma do item anterior. 6. REVISÃO E ATUALIZAÇÃO DA POLÍTICA A Política de Gestão de Incidentes de Segurança da Informação deverá ser revista e atualizada, sempre que necessário, com vistas a se manter em sintonia com as regras de negócios, com as melhores práticas do mercado, leis, regulamentos e demais aspectos.