DOU 15/06/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023061500067 67 Nº 112, quinta-feira, 15 de junho de 2023 ISSN 1677-7042 Seção 1 VII - o acesso ao datacenter e às salas dos switches de rede deverá ser realizado com acompanhamento de um servidor da área de tecnologia da Informação, ou de funcionário de empresa contratada para a sustentação da infraestrutura de tecnologia da informação do Ministério do Meio Ambiente e Mudança do Clima; VIII - o acesso físico ao datacenter do Ministério do Meio Ambiente e Mudança do Clima durante feriados e finais de semana somente será permitido aos servidores da área de tecnologia da Informação e aos funcionários da empresa contratada para sustentação do datacenter para suporte emergencial, ou manutenções programadas, com autorização da autoridade responsável pela área de Tecnologia da Informação do Ministério do Meio Ambiente e Mudança do Clima; IX - todo o acesso remoto ao datacenter se dará por meio de esquema de autenticação e deverá ser identificado com registro contendo, no mínimo, as informações de usuário, data e hora, com registros de logs de acesso; X - todo o acesso físico ao datacenter deverá ser identificado com registro contendo, no mínimo, as informações de usuário, data e hora, em software de autenticação, ou, na falta deste, por meio de formulário próprio; XI - deverão ser ministrados treinamentos periódicos para as equipes de Brigada de incêndio e de eletricistas, de modo a capacitá-los a identificar os alarmes do sistema de segurança da sala-cofre e a comunicar as situações de emergência aos canais apropriados. SEÇÃO XI DO USO DE E-MAIL Art. 24. O correio eletrônico é um meio de comunicação corporativa do Ministério do Meio Ambiente e Mudança do Clima. § 1º As regras de acesso e utilização de e-mail institucional devem atender às orientações desta POSIN e aos seus anexos, bem como às demais normas internas e diretrizes do Governo Federal. § 2º A área de Tecnologia da Informação deverá manter o controle do uso e do cancelamento de acesso ao correio eletrônico. SEÇÃO XII DO ACESSO À INTERNET Art. 25. O acesso à rede mundial de computadores (Internet) no ambiente de trabalho deverá ser regido por norma interna, atendendo a esta POSIN, seus anexos e às demais orientações governamentais e à legislação em vigor. SEÇÃO XIII DA COMPUTAÇÃO EM NUVEM Art. 26. O uso de tecnologias de Computação em Nuvem deverá estar em conformidade com as diretrizes e normas específicas relacionadas à segurança da informação no âmbito da Administração Pública Federal. Parágrafo único. Ao Gestor de Segurança da Informação (GSIN), no âmbito de suas atribuições, cabe propor ações de segurança da informação e a implementação de tecnologias de computação em nuvem. SEÇÃO XIV DO USO, AQUISIÇÃO, DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMA DE I N FO R M AÇ ÃO Art. 27. O uso, a aquisição, o desenvolvimento e a manutenção de sistema de informação devem observar o seguinte: I - fica proibida, permanentemente, a instalação de quaisquer softwares sem licença de uso; II - a área de tecnologia da informação fica autorizada a desinstalar todo e qualquer software ilegal, ou que comprometa a segurança dos ativos de informação do Ministério do Meio Ambiente e Mudança do Clima; III - novos sistemas de informação, ou a melhoria dos sistemas existentes, devem obedecer à Metodologia de Desenvolvimento de Softwares do Ministério do Meio Ambiente e Mudança do Clima, bem como devem ser especificados com requisitos de controle de segurança, e em conformidade com as especificações de requisitos estabelecidos pelas áreas demandantes; IV - o gerenciamento de mudanças deve incluir a garantia de que suas implementações sejam realizadas em horários apropriados, preferencialmente, sem a perturbação dos processos de negócios cabíveis. Art. 28. Cabe à área de tecnologia da informação do Ministério do Meio Ambiente e Mudança do Clima, por meio de servidores designados, a supervisão, o monitoramento e a avaliação da conformidade técnica do desenvolvimento direto, ou terceirizado, de software, de forma a garantir que critérios de segurança, qualidade, conformidade, desempenho e privacidade sejam devidamente implementados. Parágrafo único. Os serviços de desenvolvimento, manutenção corretiva e manutenção evolutiva de sistemas deverão estar de acordo com as exigências constantes da Metodologia de Desenvolvimento de Sistemas do Ministério do Meio Ambiente e Mudança do Clima, e da Lei nº 13.709, 2018, cabendo, à área requisitante, definir os requisitos de negócio e à área de Tecnologia da Informação, avaliá-los quanto ao atendimento dos requisitos tecnológicos, de segurança e de privacidade, desde a concepção e por padrão (Privacy by Design e Privacy by Default); Art. 29. É responsabilidade dos gestores das unidades e dos gerentes de projetos, a comunicação formal à área de tecnologia da informação, quando da elaboração de iniciativas, ou de projetos que envolvam o desenvolvimento de sistemas, portais, ou de aplicativos de interesse do Ministério do Meio Ambiente e Mudança do Clima, mesmo que venham a ser desenvolvidos com o uso de recursos externos, ou mesmo quando os serviços forem executados por organizações parceiras, em sites de terceiros. SEÇÃO XV DA SENSIBILIZAÇÃO, CONSCIENTIZAÇÃO E CAPACITAÇÃO Art. 30. Cabe ao GSIN apoiar a Secretaria Executiva e a área de comunicação institucional, quanto ao desenvolvimento de um plano permanente de divulgação, sensibilização, conscientização e capacitação dos servidores sobre os cuidados e deveres relacionados à segurança da informação e comunicações. Art. 31. Os investimentos em capacitações em segurança da informação deverão ser estabelecidos de forma planejada e contemplados no Plano Anual de Capacitação do Ministério do Meio Ambiente e Mudança do Clima, com base na priorização dos riscos a serem tratados, considerando a probabilidade, severidade e relevância deles. CAPÍTULO V DAS COMPETÊNCIAS E RESPONSABILIDADES Art. 32. A estrutura de Gestão de Segurança da Informação no Ministério do Meio Ambiente e Mudança do Clima será composta pelo GSIN e CSIN. Art. 33. Compete ao CSIN aprovar a POSIN e demais normas de segurança da informação propostas pelo CSIN ou pelo GSIN. Art. 34. Compete à autoridade máxima do Ministério do Meio Ambiente e Mudança do Clima no âmbito da POSIN: I - promover a cultura de segurança da informação; II - instituir o CSIN; III - nomear o GSIN; IV - instituir a ETIR; V - reservar recursos orçamentários para as ações de segurança da informação, alinhadas à POSIN; VI - remeter os resultados consolidados dos trabalhos de auditoria de gestão de segurança da informação para o GSI/PR e demais instâncias pertinentes; VII - aplicar ações corretivas e disciplinares cabíveis nos casos de quebra de segurança. Art. 35. Compete ao GSIN do Ministério do Meio Ambiente e Mudança do Clima: I - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; II - acompanhar os trabalhos da ETIR; III - assessorar a alta administração na implementação da POSIN; IV - propor recursos necessários às ações de segurança da informação; V - estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação; VI - coordenar o CSIN; VII - incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à SI; VIII - manter contato direto com o Departamento de Segurança da Informação (DSI) do GSI/PR em assuntos relativos à segurança da informação; IX - verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação; X - coordenar a elaboração da POSIN e das normas internas de SI, observadas as normas afins exaradas pelo GSI/PR; XI - promover a divulgação da política e das normas internas de SI a todos os servidores, usuários e prestadores de serviços que trabalham Ministério do Meio Ambiente e Mudança do Clima; XII - participar da elaboração da POSIN e das normas internas de SI; XIII - deliberar sobre normas internas de SI. Parágrafo único. O papel de GSIN será exercido pelo Subsecretário de Planejamento, Orçamento e Administração (SPOA) do Ministério do Meio Ambiente e Mudança do Clima, e, em seus impedimentos legais, pelo seu substituto do cargo. Art. 36. Compete ao CSIN: I - assessorar na implementação das ações de SI no Ministério do Meio Ambiente e Mudança do Clima; II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre SI; III - propor alterações na POSIN e nas normas internas de SI; IV - participar da elaboração da POSIN e das normas internas de SI; V - deliberar sobre normas internas de SI. Art. 37. O CSIN poderá editar atos para definir a forma de seu funcionamento, observado o disposto no Decreto nº 9.637, de 26 de dezembro de 2018. CAPÍTULO VI DAS PENALIDADES Art. 38. Os incidentes, as violações de segurança e o descumprimento das normas estabelecidas nesta POSIN serão devidamente apurados e implicarão na responsabilização civil, penal e administrativa, conforme o caso, dos que estiverem envolvidos na evento, podendo ensejar, do ponto de vista administrativo, na apuração de responsabilidade, conforme os art. 124 e art. 143 da Lei nº 8.112, de 11 de dezembro de 1990. CAPÍTULO VII DA ATUALIZAÇÃO Art. 39. Esta portaria deverá ser revisada e atualizada a cada 03 (três) anos, a contar da data de sua publicação, ou a qualquer tempo por solicitação do CSIN. Art. 40. As Secretarias do Ministério do Meio Ambiente e Mudança do Clima terão o prazo de 90 (noventa) dias da data de sua publicação para submeterem as propostas de atualização, ou de criação das normas e procedimentos internos complementares sobre SI, no âmbito de suas atividades finalísticas, ou administrativas, ao CSIN, de modo a garantir a segurança das informações tratadas no exercício das atividades laborais de suas equipes, independentemente do ambiente em que tais informações sejam tratadas, tais como em reuniões de planejamento de ações, ou em reuniões estratégicas, no caso de instruções de processos licitatórios, na elaboração de manuais físicos e digitais, ou na divulgação painéis informativos, dentre outras. CAPÍTULO VIII DAS DISPOSIÇÕES FINAIS Art. 41. Integram esta POSIN, as Normas de Segurança da Informação - NSIs elencadas nos anexos a seguir: I - Anexo I NSI 001/2023 - Controle de Acesso à Internet - que estabelece diretrizes e padrões para o acesso à internet; II - Anexo II NSI 002/2023 - Serviço de Correio Eletrônico Institucional - que estabelece regras e padrões para a utilização do serviço de correio eletrônico; III - Anexo III NSI 003/2023 - Uso de Recursos de Tecnologia da Informação e Controle de Acesso - que estabelece diretrizes e padrões para a utilização dos recursos de tecnologia da informação e para o controle de acesso físico e lógico; IV - Anexo IV NSI 004/2023 - Política de backup e recuperação de dados - que estabelece diretrizes e padrões para os procedimentos de backup, testes e recuperação de dados; V - Anexo V NSI 005/2023 - Gestão de Riscos de Tecnologia da Informação e Comunicações - que estabelece as diretrizes da gestão de riscos relacionada ao ambiente tecnológico, aos projetos e processos de Tecnologia da Informação e Comunicações (TIC), e define o processo de Gerenciamento de Riscos de Segurança da Informação e Comunicações do Ministério do Meio Ambiente e Mudança do Clima; VI - Anexo VI NSI 006/2023 - Gestão de Incidentes de Segurança da Informação - que estabelece as diretrizes e define o processo de Gestão de Incidentes de Segurança da Informação relacionado ao ambiente tecnológico no âmbito do Ministério do Meio Ambiente e Mudança do Clima; e VII - Anexo VII NSI 007/2023 - Gestão de Continuidade de TIC - que estabelece as diretrizes e define o processo de Gestão de Continuidade de Tecnologia da Informação e Comunicações, aplicáveis ao ambiente tecnológico do Ministério do Meio Ambiente e Mudança do Clima. Art. 42. Os servidores e colaboradores do Ministério do Meio Ambiente e Mudança do Clima devem observar as diretrizes e responsabilidades estabelecidas nesta POSIN, nas normas e procedimentos complementares e nas melhores práticas de segurança da informação recomendadas por órgãos e entidades públicas e privadas, responsáveis pelo estabelecimento de padrões e de normas de segurança. Art. 43. Os servidores e colaboradores do Ministério do Meio Ambiente e Mudança do Clima devem comunicar aos gestores responsáveis pelos ativos da informação sobre qualquer ocorrência de incidente de segurança da informação de que tenham ciência. Art. 44. Os servidores e colaboradores do Ministério do Meio Ambiente e Mudança do Clima são responsáveis pela segurança dos ativos de informação que estejam sob sua custódia e por todos os atos executados com suas credenciais, tais como crachá, login, senha eletrônica, certificado digital e endereço de correio eletrônico, devendo comunicar imediatamente à ETIR sobre a perda, ou o extravio de documentos, ou de equipamentos que contenham informações institucionais, ou de senhas e credenciais de acesso. Art. 45. Os contratos, convênios, acordos, ajustes e demais instrumentos congêneres devem observar, no que couber, as seguintes diretrizes: I - conter cláusulas que estabeleçam a obrigatoriedade de observância desta POSIN; II - conter cláusulas que estabeleçam a obrigatoriedade de observância dos requisitos e princípios estabelecidos na Lei nº 13.709, de 2018; III - prever a obrigação da outra parte de divulgar esta POSIN e suas normas complementares aos seus empregados e prepostos envolvidos em atividades do Ministério do Meio Ambiente e Mudança do Clima; IV - no caso de obtenção de informações de terceiros, o gestor da área na qual a informação será utilizada deve, se necessário, providenciar, junto ao cedente, a documentação formal relativa à cessão de direitos sobre informações de terceiros, antes de seu uso. Art. 46. Após a publicação oficial, esta portaria será disponibilizada no Painel de Legislação Ambiental. Art. 47. Fica revogada a Portaria MMA nº 154, de 02 de maio de 2014. Art. 48. Esta Portaria entra em vigor na data de sua publicação. MARINA SILVA