DOU 15/06/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023061500066 66 Nº 112, quinta-feira, 15 de junho de 2023 ISSN 1677-7042 Seção 1 VIII - as atividades de tratamento de dados pessoais deverão observar também os princípios de: a) da boa-fé; b) da finalidade; c) da adequação; d) da necessidade; e) do livre acesso, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas. CAPÍTULO IV DAS DIRETRIZES GERAIS SEÇÃO I PRESSUPOSTOS BÁSICOS Art. 6º As diretrizes de segurança da informação estabelecidas nesta POSIN aplicam-se às informações armazenadas, acessadas, produzidas e transmitidas no âmbito do Ministério do Meio Ambiente e Mudança do Clima, e devem ser observadas por todos os usuários das informações. Parágrafo único. Independente da forma, ou do meio pelo qual a informação seja apresentada, ou compartilhada, ela sempre será protegida adequadamente, de acordo com a presente Política. Art. 7º Os recursos de tecnologia da informação e comunicação disponibilizados pelo Ministério do Meio Ambiente e Mudança do Clima serão utilizados estritamente para apoiar as atividades laborais dos servidores e colaboradores, em alinhamento ao previsto no Planejamento Estratégico Integrado do Ministério do Meio Ambiente e Mudança do Clima e de suas vinculadas. § 1º Os recursos disponíveis para o usuário deverão ser utilizados em atividades relacionadas às suas funções institucionais. § 2º É vedado a qualquer agente público do Ministério do Meio Ambiente e Mudança do Clima o uso desses recursos para fins pessoais (próprios ou de terceiros), entretenimento, veiculação de opiniões político-partidárias, ou religiosas, bem como para perpetrar ações que, de qualquer modo, possam constranger, assediar, ofender, caluniar, ameaçar, violar direito autoral, ou causar prejuízos a qualquer pessoa física, ou jurídica, assim como aquelas que atentem contra a moral e a ética, ou que prejudiquem o cidadão, ou a imagem desta entidade, comprometendo a integridade, a confidencialidade, a confiabilidade, a autenticidade, ou a disponibilidade das informações. SEÇÃO II DA GESTÃO DA SEGURANÇA DA INFORMAÇÃO Art. 8º A Gestão da Segurança da Informação não se limita à tecnologia da informação, compreendendo as ações e métodos que visam à integração das atividades de gestão de riscos, de gestão de continuidade do negócio, de tratamento de incidentes, de tratamento da informação, de conformidade, de credenciamento, de segurança cibernética, de segurança física, de segurança lógica, de segurança orgânica e de segurança organizacional aos processos institucionais estratégicos, táticos e operacionais do Ministério do Meio Ambiente e Mudança do Clima. Art. 9º A informação criada pelos usuários no exercício de suas atividades laborais é considerada um bem de propriedade do Ministério do Meio Ambiente e Mudança do Clima. Parágrafo único. As informações custodiadas em decorrência das competências do Ministério do Meio Ambiente e Mudança do Clima devem ser protegidas de acordo com a sua classificação e conforme as diretrizes descritas nesta Política e demais regulamentações em vigor. Art. 10. A utilização dos recursos de tecnologia da informação será monitorada com a finalidade de detectar e corrigir divergências entre as normas que integram a POSIN e as práticas e os procedimentos adotados, fornecendo evidências nos casos de incidentes de segurança, ou registros de incompatibilidades, para ajustes das práticas e orientações das equipes. § 1º Poderão ser realizadas auditorias ordinárias a pedido da Assessoria Especial de Controle Interno, cujos relatórios serão encaminhados ao Comitê de Segurança da Informação (CSIN) e ao Comitê de Governança Digital (CGD). § 2º As auditorias extraordinárias serão realizadas com o intuito de apurar eventos que deponham contra a segurança e contra as boas práticas no uso dos recursos de tecnologia da informação. SEÇÃO III DA PROPRIEDADE DA INFORMAÇÃO Art. 11. A propriedade da informação será regida pelas seguintes diretrizes: I - toda informação, criada, ou custodiada, que for manuseada, armazenada, transportada, ou descartada, por usuários que tenham acesso às informações do Ministério do Meio Ambiente e Mudança do Clima no exercício de suas atividades é de propriedade do órgão e será protegida segundo essas diretrizes e regulamentações em vigor, conforme a classificação das informações, sem prejuízo da autoria, conforme definido em lei; II - quando da obtenção de informação de terceiros, o gestor da informação providenciará, junto ao concedente e antes de seu uso, a documentação formal atinente aos direitos de acesso; III - na cessão de bases de dados nominais custodiadas ou na informação de propriedade do Ministério do Meio Ambiente e Mudança do Clima a terceiros, o gestor da informação providenciará a documentação formal relativa à autorização de acesso às informações; IV - a cessão de base de dados deverá atender, sempre que possível, os requisitos de proteção de dados, tais como a criptografia, a anonimização e a tokenização. § 1º Será respeitada a autodeterminação informativa dos titulares de dados pessoais. § 2º O uso compartilhado e a cessão de bases de dados contendo dados pessoais, pelo Poder Público, deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais, ou cumprir as atribuições legais do órgão, desde que sejam informadas as hipóteses em que, no exercício de suas competências, o tratamento de dados pessoais será realizado, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, disponibilizadas em veículos de fácil acesso, preferencialmente no sítio eletrônico do órgão. SEÇÃO IV DA CLASSIFICAÇÃO E TRATAMENTO DA INFORMAÇÃO Art. 12. A classificação e o tratamento da informação observarão os seguintes requisitos e critérios: I - o valor, os requisitos legais, a sensibilidade e a criticidade da informação para o Ministério do Meio Ambiente e Mudança do Clima; II - o conjunto apropriado de procedimentos para rotulação e tratamento da informação, que será definido e implementado de acordo com o critério de classificação adotado pelo Ministério do Meio Ambiente e Mudança do Clima. Art. 13. As informações criadas, manuseadas, armazenadas, transportadas ou descartadas no Ministério do Meio Ambiente e Mudança do Clima que se enquadrem nas hipóteses previstas na Lei nº 12.527, de 18 de novembro de 2011, serão classificadas com o grau de sigilo correspondente. Art. 14. O Ministério do Meio Ambiente e Mudança do Clima utilizará o Glossário de Segurança da Informação, aprovado pelo GSI/PR por meio da Portaria GSI/PR nº 93, de 26 de setembro de 2019, como referência na elaboração de normativos internos afetos à segurança da informação e correlatos. Art. 15. As informações sob gestão do Ministério do Meio Ambiente e Mudança do Clima serão asseguradas de maneira a serem adequadamente protegidas quanto ao acesso e ao uso, sendo que, caso sejam consideradas de alta criticidade, serão tomadas medidas especiais de tratamento, limitando sua exploração. Parágrafo único. Os dispositivos de proteção deverão ser implementados proporcionalmente ao grau de confidencialidade e de criticidade da informação, a fim de assegurar sua autenticidade, integridade e disponibilidade, independentemente de seu meio de origem, ou da forma pela qual seja veiculada. SEÇÃO V DA PROTEÇÃO DE DADOS PESSOAIS Art. 16. O tratamento de dados pessoais pelo Ministério do Meio Ambiente e Mudança do Clima deverá respeitar os princípios e requisitos estipulados pela Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709, de 14 de agosto de 2018. § 1º As unidades finalísticas deverão preencher e manter atualizado o Inventário de Dados Pessoais, contendo o registro das operações de tratamento de dados pessoais que realizarem, nos termos do art. 37 da LGPD, e em conformidade com as orientações prestadas pelo Encarregado pelo Tratamento de Dados Pessoais. § 2º O Ministério do Meio Ambiente e Mudança do Clima divulgará em seu sítio eletrônico a listagem resumida das hipóteses em que, no exercício de suas competências, será efetuado o tratamento de dados pessoais, com a identificação das finalidades almejadas. SEÇÃO VI DO TRATAMENTO DE INCIDENTES DE REDE Art. 17. A área de Tecnologia da Informação manterá uma Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR), com a responsabilidade de receber, analisar e responder notificações e atividades relacionadas a incidentes de segurança cibernética. SEÇÃO VII DA GESTÃO DE RISCOS Art. 18. O Processo de Gestão de Riscos em Segurança da Informação será implementado considerando, prioritariamente, os objetivos estratégicos, os processos, os requisitos legais e a estrutura do Ministério do Meio Ambiente e Mudança do Clima, alinhando-se à metodologia denominada PDCA (Plan - Do - Check - Act), observadas as diretrizes e normas específicas, no âmbito da Administração Pública Federal, para fomentar sua melhoria contínua. SEÇÃO VIII DA GESTÃO DE CONTINUIDADE Art. 19. As unidades do Ministério do Meio Ambiente e Mudança do Clima, com apoio das áreas técnicas e da Secretaria Executiva, devem manter um processo de gestão de continuidade das atividades e dos serviços, prevenindo sua interrupção e, em caso positivo, assegurando a sua retomada em tempo hábil. Art. 20. A área de Tecnologia da Informação do Ministério do Meio Ambiente e Mudança do Clima deverá manter um Plano de Contingências, formalizado e aprovado pelo CSIN, estabelecendo o conjunto de estratégias e procedimentos que devem ser adotados em situações que comprometam o andamento normal dos processos, e a consequente prestação dos serviços, de acordo com o grau de probabilidade de ocorrência do evento, ou sinistro. Parágrafo único. As medidas constantes no Plano de Contingências devem minimizar o impacto oriundo de situações inesperadas, desastres, falhas de segurança, dentre outras assemelhadas, até que se retorne à normalidade. SEÇÃO IX DO MONITORAMENTO, AUDITORIA E CONFORMIDADE Art. 21. O monitoramento, a auditoria e a conformidade observarão os seguintes aspectos: I - o uso dos recursos de tecnologia da informação disponibilizados pelo Ministério do Meio Ambiente e Mudança do Clima é passível de monitoramento e auditoria, devendo ser implementados e mantidos, sempre que possível, mecanismos que permitam a sua rastreabilidade; II - a entrada e a saída de ativos de informação do Ministério do Meio Ambiente e Mudança do Clima serão registradas e autorizadas por autoridade competente, mediante procedimento formal; e III - a área de tecnologia da informação manterá registros e procedimentos, como trilhas de auditoria e outros métodos que assegurem o rastreamento, acompanhamento, controle e verificação de acesso aos sistemas corporativos, à rede interna e à internet. SEÇÃO X DOS CONTROLES DE ACESSOS E USO DE SENHAS Art. 22. O controle de acesso inclui o credenciamento de usuário e a criação de senha segura, ou outro método de acesso seguro aos ativos de informação em uso no Ministério do Meio Ambiente e Mudança do Clima. Parágrafo único. O controle de acesso e o uso de senhas observará o seguinte: I - o usuário que utiliza os recursos de tecnologia da informação e comunicação terá uma conta específica de acesso, pessoal e intransferível, conforme norma interna; II - a autorização, o acesso, o uso da informação e dos recursos de tecnologia da informação e comunicações serão controlados e limitados ao cumprimento das atribuições de cada usuário, necessitando de prévia autorização formal do gestor de cada setor, ou unidade organizacional, para ser atribuído; III - no caso de desvinculação temporária, ou definitiva do usuário, os privilégios de acesso serão suspensos, ou cancelados; IV - os usuários serão orientados, de forma regular e periódica, a seguir as boas práticas de segurança da informação na seleção e no uso de senhas; V - é responsabilidade do Gestor, ou do Chefe da área requisitante que autorizou o cadastro do usuário, a comunicação à área de Tecnologia da Informação, quando do desligamento do usuário para que seja retirado o seu acesso aos recursos disponibilizados; VI - constitui falta gravíssima, sujeita às sanções administrativas cabíveis, o compartilhamento intencional, pelo usuário, de senha, ou meio de acesso ao perfil com privilégio de administrador, mantenedor ou desenvolvedor, bem como ao serviço digital essencial, ao sistema estruturante, à informação classificada ou ao dado pessoal. Art. 23. O acesso às instalações da rede de computadores do Ministério do Meio Ambiente e Mudança do Clima, composta por sala-cofre (datacenter), salas de racks do Edifício Sede e demais ambientes físicos onde estão localizados os equipamentos de rede (switches, roteadores e servidores de redes), deve observar as seguintes diretrizes: I - a entrada, ou retirada de qualquer equipamento do datacenter será precedida de preenchimento da solicitação de liberação e autorização formal deste instrumento pela autoridade competente da área de tecnologia da informação, de acordo com os termos do procedimento e controle de transferência patrimonial vigentes; II - as portas de acesso ao datacenter devem permanecer fechadas, com mecanismos de autenticação individual; III - a sala-cofre e demais compartimentos vinculados ao sistema de segurança, tais como sala de rack, sala-UPS, sala de máquinas condensadoras e sala do gerador, deverão ser mantidos limpos e organizados, evitando-se seu uso para finalidades alheias à sustentação da infraestrutura de tecnologia da informação; IV - o acesso ao datacenter sem identificação prévia só poderá ocorrer em situações de emergência, quando a segurança física do Datacenter estiver comprometida, como, por exemplo, em caso de incêndio, inundação ou abalo da estrutura predial; V - a área de tecnologia da informação deverá garantir, por meio de contratos de serviços de tecnologia da informação e comunicações, a atuação presencial, ou remota, de profissionais especializados nas áreas de segurança da informação e de sustentação de infraestrutura, devendo garantir a atuação presencial de, no mínimo, um profissional durante o horário comercial, com capacidade de identificar os equipamentos em operação, os alertas de falhas mecânicas dos equipamentos e dos dispositivos de energia elétrica e de climatização, além de ser responsável pelo acompanhamento e registro de todos os acessos físicos de pessoal à sala-cofre; VI - o acesso físico de terceiros ao datacenter deverá ocorrer com agendamento prévio e autorização da área de tecnologia da Informação do Ministério do Meio Ambiente e Mudança do Climae deverá ser realizado com acompanhamento de um servidor da área de tecnologia da Informação do órgão, ou de um profissional da empresa contratada para a sustentação do Datacenter;