DOU 15/06/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023061500073 73 Nº 112, quinta-feira, 15 de junho de 2023 ISSN 1677-7042 Seção 1 6.4. A notificação de incidente poderá ser feita por qualquer usuário, sem necessidade de prévia autorização do gestor, através do formulário de solicitação de atendimento do suporte técnico aos usuários, ou por comunicação à ETIR, via e-mail para [email protected]. 6.5. Os usuários devem notificar, o mais breve possível, os incidentes de segurança da informação e vulnerabilidades de que tenham conhecimento (observada ou suspeita). 6.6. Vulnerabilidades, ou fragilidades suspeitas, não deverão ser objeto de teste ou prova pelos usuários, sob o risco de violar a POSIN e/ou provocar danos aos serviços, ou aos recursos tecnológicos. 6.7. As equipes da Coordenação Geral de Tecnologia da Informação (CGTI) responsáveis pelo monitoramento dos ativos, serviços e sistemas devem notificar os incidentes a eles relacionados à ETIR, para o devido registro e encaminhamento. 6.8. O Ministério do Meio ambiente e Mudança do Clima poderá receber notificações externas (como, por exemplo, do CTIR.BR, CSIRT ou de outras empresas) sobre incidentes (ocorridos ou suspeitos) por meio de sistemas gerenciadores de demandas, e- mail, telefone, etc., que deverão ser remetidas ao setor responsável pela SI para o devido encaminhamento. 6.9. O tratamento da informação deve ser realizado de forma a viabilizar e assegurar a disponibilidade, integridade, confidencialidade e autenticidade da informação, com retorno das operações à normalidade no menor prazo possível, bem como evitar futuras ocorrências, com a proposição de ações de solução, quando existentes. 6.10. A ETIR deve conduzir, apoiada pelas outras áreas do Ministério do Meio ambiente e Mudança do Clima, investigação do incidente e artefatos maliciosos, propondo e implementando as ações de contenção e comunicação às áreas afetadas e coletando os dados necessários. 6.11. A coleta de evidência dos incidentes de segurança da informação deve ser realizada pela ETIR ou por pessoal competente e por ela autorizado. 6.12. Quando o incidente de segurança da informação decorrer de suspeita de descumprimento da POSIN, será observado o sigilo durante todo o processo, ficando, as evidências, informações e demais registros, restritos aos envolvidos na investigação. 6.13. Quando houver indícios de ilícitos criminais durante o gerenciamento dos incidentes de segurança, o Comitê de Segurança da Informação (CSIN) deverá ser comunicado para avaliação das providências cabíveis. 6.14. O encerramento do incidente de segurança da informação será realizado pelo setor responsável pela SI, com comunicação a todas as áreas interessadas e ao CTIR.BR, na forma e nos casos definidos pelo referido órgão. 6.15. A avaliação do processo de gestão de incidentes de SI ocorrerá através do histórico de incidentes, com verificação das oportunidades de melhoria. 6.16. O desenho do processo de Gestão de Incidentes de SI, a descrição das atividades, os respectivos papéis e responsabilidades dos envolvidos no processo, bem como os modelos de documentos a serem utilizados nas etapas do processo, serão publicados no Portal de Governança de TI, após aprovação pelo Comitê de Governança Digital (CGD). 6.17. O processo será revisto anualmente, ou em menor prazo, quando necessário, e eventuais alterações propostas nos documentos acima indicados serão, após aprovação pelo CSIN, objeto de imediata divulgação na forma do item anterior. 7. MONITORAMENTO E AUDITORIAS 7.1. As auditorias ordinárias ou extraordinárias serão coordenadas pelo Gestor de Segurança da Informação (GSIN) e os relatórios serão encaminhados ao CSIN e ao CG D. 7.2. As auditorias extraordinárias deverão ser precedidas de autorização do CSIN. 7.3. Os procedimentos constantes desta norma deverão ter monitoramento contínuo da CGTI, visando à melhoria contínua. 8. ATUALIZAÇÃO DA NORMA 8.1. O disposto na presente norma será atualizado sempre que alterados os procedimentos da Gestão de Incidentes de Segurança da Informação, observada, ainda, a periodicidade prevista para a revisão da POSIN. ANEXO VII NORMA DE SEGURANÇA DA INFORMAÇÃO - NSI 007/2023 GESTÃO DE CONTINUIDADE DE TIC 1. OBJETIVO 1.1. Estabelecer diretrizes e padrões para Gestão de Continuidade de Tecnologia da Informação e da Comunicação (TIC) no âmbito do Ministério do Meio Ambiente e Mudança do Clima. 2. MOTIVAÇÕES 2.1. Alinhamento às normas, regulamentações e melhores práticas relacionadas à matéria. 2.2. Correto direcionamento e dimensionamento de recursos tecnológicos para prover a Gestão de Continuidade de TIC. 2.3. Manutenção de nível aceitável de resiliência dos serviços e sistemas de TIC, frente a eventos que possam causar sua interrupção, contribuindo para contínua melhoria da prestação dos serviços do Ministério do Meio ambiente e Mudança do Clima. 2.4. Estabelecer procedimentos de gestão para assegurar a continuidade das operações de TIC. 3. REFERÊNCIAS NORMATIVAS 3.1. Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021 que dispõe sobre os processos relacionados à gestão de segurança da informação (SI) nos órgãos e nas entidades da administração pública federal (APF). 3.2. Norma Técnica ABNT NBR ISO/IEC 27001:2013, que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da SI dentro do contexto da organização. 3.3. Norma Técnica ABNT NBR ISO/IEC 27002:2013, que fornece diretrizes para práticas de gestão de SI. 3.4. Norma Técnica ABNT NBR ISO/IEC 22301:2020, que normatiza o sistema de gestão de continuidade de negócios e especifica os requisitos para planejar, estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar continuamente um sistema de gestão documentado para se proteger, reduzir a possibilidade de ocorrência, preparar-se, responder e recuperar-se de incidentes de interrupção quando estes ocorrerem. 3.5. Instrução Normativa nº 1, de 04 de abril de 2019, que dispõe sobre o processo de contratação de soluções de TIC pelos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo Federal. 4. CONCEITOS E DEFINIÇÕES 4.1. Para os fins desta Norma, adota-se os conceitos e definições constantes do Glossário de Segurança da Informação, conforme Portaria GSI/PR nº 93, de 18 de outubro de 2021. 5. DIRETRIZES 5.1. A gestão de continuidade de TIC visa a: 5.1.1. Reduzir o risco e minimizar o impacto de interrupções dos serviços e sistemas de TIC que suportam as atividades criticas do Ministério do Meio ambiente e Mudança do Clima. 5.1.2. Manter os sistemas e serviços críticos de TIC em um nível minimamente operável e aceitável durante a ocorrência de um desastre, de forma a não interromper a prestação dos serviços do Ministério do Meio ambiente e Mudança do Clima. 5.1.3. Definir procedimentos para que as atividades críticas operem em nível de contingência quando da ocorrência de um desastre, ou interrupção não programada, até que a situação retorne à normalidade. 5.2. A gestão de continuidade de TIC deve observar o resultado das análises de riscos de TIC e da análise de impacto de negócio realizadas, de forma a nortear as estratégias de continuidade. 5.3. Será elaborado Plano de Continuidade de TIC, com vistas a documentar os procedimentos necessários à operação em nível de contingência e comunicações necessárias, bem como o retorno à normalidade quando da ocorrência de interrupções dos serviços e sistemas de TIC. 5.4. Devem ser fornecidos recursos humanos, tecnológicos e financeiros para a manutenção e melhoria contínua da gestão de continuidade de TIC. 6. PROCESSO DE GESTÃO DE CONTINUIDADE DE TIC 6.1. O processo de Gestão de Continuidade de TIC é composto pelas seguintes etapas: 6.1.1. Planejamento: compreende a análise dos processos críticos para o negócio, a fim de estabelecer quais atividades do Ministério do Meio ambiente e Mudança do Clima são essenciais para a prestação dos serviços, quais deverão ser tratadas na Continuidade de TIC e quais estratégias serão utilizadas durante a ocorrência de um incidente. Compreende também a avaliação da necessidade de revisão dos planos já instituídos, seja em virtude do tempo decorrido desde sua aprovação, seja em razão de mudanças na infraestrutura, nos procedimentos ou nos testes realizados; 6.1.2. Execução: abrange a elaboração, ou revisão dos planos pelas equipes técnicas, com a descrição dos cenários, das falhas e os procedimentos técnicos para lidar com os problemas, a aprovação dos planos, seu armazenamento e divulgação; 6.1.3. Verificação: abrange a realização de testes periódicos dos Planos desenvolvidos e a análise dos incidentes críticos ocorridos (desastres) a fim de subsidiar a etapa de Melhoria; 6.1.4. Melhoria: compreende a identificação das oportunidades de melhoria e seu encaminhamento a consideração superior, com vistas a dar inicio a novo ciclo do processo. 6.2. O desenho do processo de Gestão de Continuidade de TIC, a descrição das atividades, respectivos papéis e responsabilidades dos envolvidos no processo, bem como os modelos de documentos e indicadores definidos para o processo serão publicados no Portal de Governança de TI, após aprovação do Comitê de Governança Digital (CG D ) . 6.3. O processo será revisto anualmente, ou em menor prazo, quando necessário, e eventuais alterações propostas nos documentos acima indicados serão, após aprovação pelo Comitê de Segurança da Informação (CSIN), objeto de imediata divulgação na forma do item anterior. 7. PLANO DE CONTINUIDADE DE TIC 7.1. O Plano de Continuidade de TIC é composto pelos Planos de Continuidade Operacional e pelos Planos de Recuperação de Desastres. 7.2. O Plano de Continuidade de TIC deve ser periodicamente testado, de forma a garantir sua efetividade. 7.3. O Plano de Continuidade de TIC deve ser revisado no mínimo uma vez por ano ou, ainda, em função dos resultados de testes realizados, ou após mudança significativa nos ativos de informação (infraestrutura tecnológica, processo, atividades, etc.). 7.4. O Plano de Continuidade de TIC será acionado quando verificadas interrupções parciais, ou totais, que impactem as atividades criticas do Ministério do Meio ambiente e Mudança do Clima. 7.5. Ocorrido o incidente, considerados os serviços, sistemas, ou ativos afetados e a criticidade, as equipes técnicas responsáveis acionarão os Planos de Continuidade Operacional para a manutenção da continuidade das atividades, ainda que de forma contingencial, e os Planos de Recuperação de Desastre para retorno das atividades à normalidade. 7.6. A comunicação às partes interessadas observará as orientações contidas nos Planos de Continuidade Operacional. 7.7. Os ativos e serviços afetados pelo incidente serão monitorados pelas equipes responsáveis, a fim de subsidiar o fornecimento de informações à autoridade superior. 7.8. A ativação do Plano de Continuidade de TIC será encerrada após a comunicação de retorno à normalidade dos serviços, sistemas ou ativos afetados. 8. MONITORAMENTO E AUDITORIAS 8.1. As auditorias ordinárias, ou extraordinárias, serão coordenadas pelo Gestor de Segurança da Informação (GSIN) e os relatórios serão encaminhados ao CSIN e ao CG D. 8.2. As auditorias extraordinárias deverão ser precedidas de autorização do CSIN. 8.3. Os procedimentos constantes desta norma deverão ter monitoramento contínuo da CGTI visando à melhoria contínua. 9. ATUALIZAÇÃO DA NORMA 9.1. O disposto na presente norma será atualizado sempre que alterados os procedimentos de Gestão de Continuidade de TIC, observada, ainda, a periodicidade prevista para a revisão da POSIN. INSTITUTO BRASILEIRO DO MEIO AMBIENTE E DOS RECURSOS NATURAIS RENOVÁVEIS PORTARIA Nº 146, DE 12 DE JUNHO DE 2023 Altera a redação da Portaria nº 5, de 19 de novembro de 2021, que aprovou o Programa de Gestão, na modalidade teletrabalho, no âmbito do Ibama, e da Portaria nº 19, de 10 de maio de 2022, que estabeleceu orientações específicas e a Tabela de Atividades aplicáveis ao Programa de Gestão, na modalidade teletrabalho, do Ibama. O PRESIDENTE DO INSTITUTO BRASILEIRO DO MEIO AMBIENTE E DOS RECURSOS NATURAIS RENOVÁVEIS - IBAMA, no uso de suas atribuições, e tendo em vista o disposto no Decreto nº 11.095, de 13 de junho de 2022, e na Lei nº 11.284, de 2 de março de 2006, bem como o que consta nos autos do Processo nº 02001.015236/2021-07, resolve: Art. 1º Os arts. 7º, 13 e 32 da Portaria nº 5, de 19 de novembro de 2021, passam a vigorar acrescidos dos seguintes dispositivos: I -"Art.7º (...) § 4º Da negativa, pela chefia imediata, do pedido de participação no Programa de Gestão, na modalidade teletrabalho, formulado pelo servidor, caberá recurso ao Dirigente Máximo da respectiva Unidade Organizacional, bem como, em face de uma nova negativa, ao Presidente do Ibama." (NR) II - "Art. 13 (...) X - verificar se o servidor atende e permanece atendendo aos requisitos técnicos para a participação no Programa de Gestão, na modalidade de teletrabalho, ou se incorre em alguma das vedações para aderir ao Programa; XI - julgar se as atividades a serem desempenhadas pelo servidor são compatíveis com a modalidade teletrabalho do Programa de Gestão." (NR) III - "Art. 32 (...) § 1º-D A Comissão de Gestão do Teletrabalho - COGEST a que alude o art. 33-A desta Portaria realizará análise de conformidade legal dos pedidos de autorização para o exercício de atividades na modalidade de teletrabalho no exterior. ..............................................................." (NR) Art. 2º O art. 32 da Portaria nº 5, de 19 de novembro de 2021, passa a vigorar com as seguintes alterações: I - "Art. 32 Servidores aptos interessados na adesão ao Programa de Gestão na modalidade teletrabalho, exclusivamente em regime de execução integral, poderão desempenhar as atividades pactuadas em outro município da mesma unidade federativa de exercício, desde que haja autorização específica da chefia imediata, ou fora da unidade federativa de exercício, porém dentro do território nacional, desde que haja autorização específica do Dirigente Máximo da respectiva Unidade Organizacional, ou, ainda, no exterior, desde que haja autorização específica do Presidente do Ibama, consignada em ato de pessoal publicado em Boletim de Serviço, vedada, em todos os casos, a subdelegação." (NR) Art. 3º A Portaria nº 19, de 10 de maio de 2022, passa a vigorar com as seguintes alterações: