DOU 15/06/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023061500068 68 Nº 112, quinta-feira, 15 de junho de 2023 ISSN 1677-7042 Seção 1 ANEXO I NORMA DE SEGURANÇA DA INFORMAÇÃO NSI 001/2023 CONTROLE DE ACESSO À INTERNET 1. OBJETIVO 1.1. Estabelecer diretrizes e padrões para o acesso à internet no âmbito do Ministério do Meio Ambiente e Mudança do Clima. 2. MOTIVAÇÕES 2.1. Alinhamento às normas, regulamentações e melhores práticas relacionadas à matéria. 2.2. Proteção da Rede Nacional de Computadores do Ministério do Meio Ambiente e Mudança do Clima. 2.3. Correto direcionamento e dimensionamento de recursos tecnológicos para prover o serviço de acesso à internet. 2.4. Orientações gerais para gestores e usuários de serviços de Tecnologia da Informação (TI) do Ministério do Meio Ambiente e Mudança do Clima. 3. REFERÊNCIAS NORMATIVAS 3.1. Instrução Normativa nº 1, de 27 de maio de 2020, do GSI/PR, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal. 3.2. Instrução Normativa GSI/PR nº 6, de 23 de dezembro de 2021 que estabelece diretrizes de SI para o uso seguro de mídias sociais nos órgãos e nas entidades da administração pública federal. 3.3. Norma Complementar nº 07/IN01/DSIC/GSIPR, de 15 de julho de 2014, que estabelece diretrizes para a implementação de controles de acesso à Segurança da Informação e Comunicações, nos órgãos e entidades da Administração Pública Federal (APF), direta e indireta. 3.4. Norma Técnica ABNT NBR ISO/IEC 27001:2013, que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da SI dentro do contexto da organização. 3.5. Norma Técnica ABNT NBR ISO/IEC 27002:2013, que fornece diretrizes para práticas de gestão de segurança da informação. 3.6. Instrução Normativa nº 1, de 04 de abril de 2019, que dispõe sobre o processo de contratação de soluções de Tecnologia da Informação e Comunicação (TIC) pelos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação (SISP) do Poder Executivo Federal. 4. CONCEITOS E DEFINIÇÕES 4.1. Para os fins desta Norma, adota-se os conceitos e definições constantes do Glossário de Segurança da Informação, conforme Portaria GSI/PR nº 93, de 18 de outubro de 2021. 5. DIRETRIZES 5.1. O acesso à internet dar-se-á, exclusivamente, pelos meios autorizados, configurados pela Coordenação Geral de Tecnologia da Informação (CGTI). 5.2. O acesso à internet é disponibilizado pelo Ministério do Meio Ambiente e Mudança do Clima para uso nas atividades relacionadas ao trabalho, observado o disposto na Política de Segurança da Informação e seus anexos. 5.3. É expressamente proibido: 5.3.1. Utilização intencional de aplicações, ou serviços, para burlar as ferramentas de controle e segurança do Ministério do Meio Ambiente e Mudança do Clima. 5.3.2. Utilização de proxies externos, ou similares, sem a autorização da CGT I . 5.3.3. Utilizar programas de troca de mensagens em tempo real (bate-papo), ou programas para troca de conteúdo via rede ponto-a-ponto (peer-to-peer), exceto programas homologados pela CGTI, ou autorizados pelo Comitê de Segurança da Informação (CSIN). 5.3.4. Utilizar programas e/ou acessar páginas de áudio e vídeo em tempo real, ou sob demanda, que não estejam relacionados às atividades laborais, exceto programas, ou páginas homologadas pela CGTI, ou autorizados pelo CSIN. 5.3.5. Acessar sítios que representem ameaça de segurança, ou que possam comprometer, de alguma forma, a integridade da rede de computadores do Ministério do Meio Ambiente e Mudança do Clima. 5.3.6. Acessar ou fazer download de arquivos não relacionados ao trabalho, em especial de músicas, imagens, vídeos, jogos e programas de qualquer tipo. 5.3.7. A liberação de acesso aos sítios e serviços bloqueados, quando necessários ao desempenho das atribuições funcionais do usuário, dependerá de solicitação, devidamente justificada, à área de Tecnologia da Informação, que a submeterá, quando for o caso, ao CSIN para deliberação. 5.3.8. Acessar páginas de conteúdo considerado ofensivo, ilegal, impróprio, ou incompatível com as atividades funcionais, tais como: pornografia, pedofilia, racismo, jogos e páginas de distribuição e de compartilhamento de software. 5.3.8.1. As restrições de que tratam o item 5.3 podem ser flexibilizadas em virtude do trabalho, desde que previamente autorizada pelo CSIN, ou pela SPOA, em processo de solicitação devidamente documentado pela área requisitante. 5.4. Todo tráfego de internet será controlado de forma automática e poderá ser inspecionado por soluções de segurança implementadas pela CGTI, tais como: filtros de conteúdo, proxy, DLP, dentre outras; configuradas de acordo com os limites estabelecidos nesta POSIN, em normas e em outra legislação pertinente ao tema. 5.5. À critério da SPOA, poderão ser adotadas medidas visando à manutenção da disponibilidade e da qualidade do acesso à internet, seja em situações normais de funcionamento, seja em situações de contingência, tais como: 5.5.1. Bloqueios totais, ou parciais e/ou priorização de acessos a determinados sítios e serviços; 5.5.2. Limitação de banda de tráfego de dados; e 5.5.3. Bloqueios de recursos de acesso remoto. 5.6 - As medidas identificadas no item 5.5, quando implementadas, serão comunicadas às equipes de suporte técnico, a fim de possibilitar o repasse de informações aos usuários interessados. 5.7. Os processos de contratações de serviço de acesso à internet devem ser gerenciados pela CGTI de modo a garantir a implementação dos recursos de Segurança da Informação (SI). 5.7.1. Desde que verificadas a viabilidade técnica e econômica, sempre que identificada a necessidade, poderão ser contratados os serviços de links redundantes para garantir a alta disponibilidade do serviço de acesso à internet. 5.7.1.1. O link redundante é um link alternativo, ou auxiliar, que serve como suporte, ou opção ao link principal de uma rede em caso de uma queda. 5.7.1.2. O link redundante poderá ser configurado para atuar de forma agregada ao link principal, ampliando, assim, a capacidade do serviço de acesso à internet ofertado pelo link principal. 6. MONITORAMENTO E AUDITORIAS 6.1. Por motivos de segurança, todo acesso à internet fornecido pelo Ministério do Meio Ambiente e Mudança do Clima será monitorado e os registros serão mantidos pela CGTI. 6.2. Em caso de indícios de descumprimento das diretrizes previstas nesta norma, desde que devidamente apresentados os registros dos indícios, poderá ser solicitada, por qualquer servidor ao CSIN, a realização de auditoria extraordinária. 6.3. Os relatórios decorrentes das auditorias ordinárias e extraordinárias serão encaminhados ao CSIN, para os devidos fins. 6.4. Os registros de acessos dos usuários poderão ser analisados pela CGTI para investigação de incidentes que comprometam a segurança das informações institucionais. 6.5. Os registros de acesso dos usuários poderão ser fornecidos aos órgãos de segurança para investigações quanto a incidentes de segurança. 6.6. Os registros de acesso poderão ser disponibilizados a outras instituições, desde que para atender a determinações judiciais. 7. ATUALIZAÇÃO DA NORMA 7.1. O disposto na presente norma será atualizado sempre que alterados os procedimentos de controle de acesso à internet, observada, ainda, a periodicidade prevista para a revisão da POSIN. ANEXO II NORMA DE SEGURANÇA DA INFORMAÇÃO - NSI 002/2023 SERVIÇO DE CORREIO ELETRÔNICO INSTITUCIONAL 1. OBJETIVO 1.1. Estabelecer diretrizes e padrões para utilização do serviço de correio eletrônico institucional no âmbito do Ministério do Meio Ambiente e Mudança do Clima. 2. MOTIVAÇÕES 2.1. Alinhamento às normas, regulamentações e melhores práticas relacionadas à matéria. 2.2. Proteção da Rede Nacional de Computadores do Ministério do Meio Ambiente e Mudança do Clima. 2.3. Correto direcionamento e dimensionamento de recursos tecnológicos para prover o serviço de acesso à internet. 2.4. Orientações gerais para gestores e usuários de serviços de tecnologia da Informação do Ministério do Meio Ambiente e Mudança do Clima. 3. REFERÊNCIAS NORMATIVAS 3.1. Instrução Normativa nº 1, de 27 de maio de 2020, do GSI/PR que dispõe sobre a Estrutura de Gestão da SI nos órgãos e nas entidades da APF. 3.2. Norma Complementar nº 07/IN01/DSIC/GSIPR, de 15 de julho de 2014, que estabelece diretrizes para a implementação de controles de acesso à Segurança da Informação e Comunicações, nos órgãos e entidades da APF, direta e indireta. 3.3. Norma Técnica ABNT NBR ISO/IEC 27001:2013, que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da SI dentro do contexto da organização. 3.4. Norma Técnica ABNT NBR ISO/IEC 27002:2013, que fornece diretrizes para práticas de gestão de SI. 3.5. Instrução Normativa nº 1, de 04 de abril de 2019, que dispõe sobre o processo de contratação de soluções de Tecnologia da Informação e Comunicação - TIC pelos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo Federal. 4. CONCEITOS E DEFINIÇÕES 4.1. Para os fins desta Norma, adota-se os conceitos e definições constantes do Glossário de Segurança da Informação, conforme Portaria GSI/PR nº 93, de 18 de outubro de 2021. 5. DIRETRIZES 5.1. CAIXAS POSTAIS DE CORREIO ELETRÔNICO (criação, alteração e exclusão). 5.1.1. As caixas postais são identificadas unicamente por meio de seu endereço eletrônico. 5.1.2. No âmbito deste Ministério, o domínio do endereço eletrônico é "mma.gov.br". 5.1.3. A capacidade máxima de armazenamento padrão das caixas postais será de 100 gigabytes (GB). 5.1.4. Somente serão criadas: caixa postal institucional pessoal, caixa postal institucional da unidade, ou caixa postal de sistema, ou serviço. 5.1.5. As solicitações de criação, alteração e exclusão de caixas postais devem ser encaminhadas à Coordenação Geral de Tecnologia da Informação (CGTI). 5.2. CAIXA POSTAL INSTITUCIONAL PESSOAL. 5.2.1. A caixa postal institucional pessoal é destinada ao envio e recebimento de correspondências relacionadas às atividades laborais dos usuários, não devendo ser utilizada como repositório de documentos, de forma que: I - Documentos de interesse institucionais recebidos na caixa postal institucional pessoal devem ser imediatamente encaminhados para a caixa postal da unidade, ou inseridos no SEI; II - Todos os e-mails enviados com o uso da caixa postal institucional pessoal deverão ser encaminhados com a identificação mínima do nome e cargo do remetente, preferencialmente com o uso do modelo de assinatura fornecido pelo Ministério do Meio Ambiente e Mudança do Clima. 5.2.2. Servidores efetivos 5.2.2.1. Todo servidor lotado no Ministério do Meio Ambiente e Mudança do Clima terá uma caixa postal institucional pessoal. 5.2.2.2. A criação de caixa postal institucional pessoal de servidor será feita pela CGTI, após a formalização da demanda pela chefia imediata ou pela Coordenação Geral de Gestão de Pessoas (CGGP). 5.2.2.3. O identificador do endereço de correio eletrônico será formado pelo primeiro nome e pelo último sobrenome do servidor, separados pelo sinal de ponto. 5.2.2.4. Em situações justificadas, o identificador dos endereços de correio eletrônico poderá ser formado segundo outra ordem, ou abreviação do nome do usuário. 5.2.2.5. A adequação dos endereços de correio eletrônico que não correspondam ao padrão estabelecido por esta norma será solicitada à CGTI pelo usuário interessado. 5.2.2.6. A caixa postal institucional pessoal de servidores será excluída definitivamente nos casos de: falecimento, exoneração, demissão, redistribuição, aposentadoria, remoção, permuta, vacância por posse em outro cargo inacumulável e cessão permanente a outro órgão, ou retorno ao órgão originário. 5.2.2.7. Ocorridos os fatos descritos no item anterior, incumbe à CGGP comunicá-los à CGTI, no prazo de até 5 (cinco) dias da publicação do ato respectivo, exceto nos casos de demissão, quando a comunicação deverá ocorrer de imediato à ciência do afastamento pela CGGP. 5.2.2.8. Não ocorrerá a exclusão da caixa postal institucional pessoal nos casos de licenças, ou quando solicitada a manutenção da caixa postal pela CGGP. 5.2.2.9. A exclusão da caixa postal institucional pessoal será realizada somente após comunicada, pela CGGP, a decisão administrativa definitiva. 5.2.2.10. Nos demais casos de que trata o item 5.2.2.6, incumbe à CGTI: I - no prazo de 5 (cinco) dias, informar ao servidor da data da exclusão definitiva da respectiva caixa postal; II - no prazo de 20 (vinte) dias, excluir definitivamente a caixa postal. 5.2.2.11. Em caso de cessão temporária, a caixa postal institucional pessoal será bloqueada durante o período em que o servidor esteja em exercício em outro órgão, desde que não seja solicitada a manutenção do serviço pela CGGP. 5.2.3. Servidores temporários 5.2.3.1. Todo servidor temporário poderá ter uma caixa postal institucional pessoal, desde que solicitada pela chefia imediata. 5.2.3.2. A criação de caixa postal institucional pessoal de servidor será feita pela CGTI, após a formalização da demanda, que deve ser solicitada pela chefia imediata. 5.2.3.3. O identificador do endereço de correio eletrônico será formado pelo primeiro nome e pelo último sobrenome do servidor, separados pelo sinal de ponto. 5.2.3.4. Em situações justificadas, o identificador dos endereços de correio eletrônico poderá ser formado segundo outra ordem ou abreviação do nome do usuário. 5.2.3.5. A adequação dos endereços de correio eletrônico que não correspondam ao padrão estabelecido nesta norma será solicitada à CGTI, pelo usuário interessado. 5.2.3.6. A caixa postal institucional pessoal de servidores será excluída definitivamente nos casos de: falecimento, exoneração, demissão, redistribuição, aposentadoria, remoção, permuta, vacância por posse em outro cargo inacumulável e cessão permanente a outro órgão, ou retorno ao órgão de origem. 5.2.3.7. Ocorridos os fatos descritos no item anterior, incumbe à CGGP comunicá-los à CGTI, no prazo de até 5 (cinco) dias úteis da publicação do ato respectivo, exceto nos casos de demissão, quando a comunicação deverá ocorrer de imediato à ciência do afastamento pela CGGP.