DOU 16/08/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Seção 1

Nº 156, quarta-feira, 16 de agosto de 2023

ISSN 1677-7042

CAPÍTULO IV

CO M P E T Ê N C I A

Art. 7º Compete ao Comando de Defesa Cibernética (ComDCiber):

I - designar os integrantes da Equipe de Coordenação Setorial da Defesa (ECS/Def) no prazo de até trinta dias a contar da data de publicação desta Portaria, nos termos do disposto no Decreto nº 10.748, de 2021;

II - supervisionar a atuação da Equipe de Coordenação Setorial da Defesa (ECS/Def) na articulação com as Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) da Marinha do Brasil (MB), do Exército Brasileiro (EB), da Força Aérea Brasileira (FAB), do Ministério da Defesa e de outros órgãos do setor Defesa que passem a integrar a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) e com o Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR/GOV);

III - apoiar as atividades das Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) relacionadas ao setor Defesa, nos termos do disposto no inciso VII do art. 15 do Decreto nº 9.637, de 26 de dezembro de 2018; e

IV - prover os meios necessários para a capacitação e o aperfeiçoamento técnico dos membros da Equipe de Coordenação Setorial da Defesa (ECS/Def), bem como prover a infraestrutura necessária à sua operação.

Parágrafo único. No âmbito do Ministério da Defesa e das Forças Singulares, compete ao Comando de Defesa Cibernética (ComDCiber) do Exército Brasileiro, na condição de órgão central do Sistema Militar de Defesa Cibernética (SMDC), operar a Equipe de Coordenação Setorial da Defesa (ECS/Def) na coordenação com as Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) a ela vinculadas e na articulação com o Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (C TIR/GOV).

Art. 8º Compete à Equipe de Coordenação Setorial da Defesa (ECS/Def) no âmbito dos órgãos e entidades sob a sua coordenação:

I - divulgar medidas de prevenção, tratamento e resposta a incidentes cibernéticos;

II - compartilhar alertas sobre ameaças e vulnerabilidades cibernéticas;

III - divulgar informações sobre ataques cibernéticos;

IV - promover a cooperação entre os participantes da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC);

V - promover a celeridade na resposta a incidentes cibernéticos;

VI - comunicar imediatamente o Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR/GOV) sobre a existência de vulnerabilidades ou incidentes cibernéticos mais relevantes e que comprometam, real ou potencialmente, a Disponibilidade, a Integridade, a Confidencialidade e a Autenticidade (DICA) das informações inerentes aos serviços prestados ou contratados, nos termos do disposto no inciso IX do art. 17 do Decreto nº 9.637, de 2018;

VII - requerer às Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) do setor Defesa informações sobre as vulnerabilidades ou incidentes cibernéticos mais relevantes e que comprometam a Disponibilidade, a Integridade, a Confidencialidade e a Autenticidade (DICA) das informações que transitam pelas redes, a serem definidos pelas próprias instituições que as operam com base na gestão de riscos das suas Infraestruturas Críticas (IC);

VIII - notificar o Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR/GOV) quanto aos incidentes cibernéticos mais relevantes e que impactam a Disponibilidade, a Integridade, a Confidencialidade e a Autenticidade (DICA) das informações que transitam pelas redes, com base nas notificações obtidas das equipes centrais das Forças Singulares e das demais Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) do setor Defesa;

IX - identificar outras entidades, públicas ou privadas, relevantes para a Gestão de Incidentes Cibernéticos nas áreas prioritárias do setor Defesa;

X - difundir lições aprendidas para a melhoria do processo de prevenção, tratamento e resposta a incidentes cibernéticos no âmbito da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC);

XI - distribuir sistemas colaborativos (hardware e software) com o objetivo de otimizar a difusão de informações relativas a incidentes cibernéticos, normatizando sua adoção e capacitando pessoal para a sua operação; XII - identificar proativamente vulnerabilidades cibernéticas existentes nos ativos de informação do Sistema Militar de Defesa Cibernética (SMDC);

XIII - fornecer informações relativas às Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) dos órgãos e entidades que deverão constar do Plano Setorial da Defesa para a Gestão de Incidentes Cibernéticos; e

XIV - elaborar, atualizar e divulgar o Plano Setorial para Gestão de Incidentes Cibernéticos da Defesa (PSGIC - Def), nos termos do art. 13 do Decreto nº 10.748, de 2021. Art. 9º Compete ao agente responsável da Equipe de Coordenação Setorial da Defesa (ECS/Def):

I - executar o tratamento de informação classificada;

II - possuir credencial de segurança;

III - zelar pela utilização de dispositivos que tenham criptografia baseada em algoritmo de Estado embarcada, quando disponíveis, nas comunicações com as Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR); IV - criar os procedimentos internos, gerenciar as atividades e distribuir tarefas para a Equipe de Coordenação Setorial da Defesa (ECS/Def); e V - assessorar o Comando de Defesa Cibernética (ComDCiber) na gestão de incidentes cibernéticos.

§ 1º Excepcionalmente, as equipes do Ministério da Defesa e das Forças Singulares poderão articular-se diretamente com o Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR/GOV), conforme estabelecido no Plano Setorial de Gestão de Incidentes Cibernéticos da Defesa (PSGIC-Def), hipótese em que deverão informar a Equipe de Coordenação Setorial da Defesa (ECS/Def) tempestivamente.

§ 2º As Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) centrais das Forças Singulares e as demais Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) diretamente vinculadas à Equipe de Coordenação Setorial da Defesa (ECS/Def), pelo princípio da oportunidade e de modo colaborativo, podem notificar, em função do tipo e do impacto, o incidente cibernético para o Gestor de Segurança da Informação de órgãos e entidades não integrantes da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) ou de outros setores que não o da Defesa. CAPÍTULO V

MODELO DE IMPLEMENTAÇÃO E COMPOSIÇÃO

Art. 10. A Equipe de Coordenação Setorial da Defesa (ECS/Def) exerce um papel de coordenação com as equipes centrais das Forças Singulares e com as Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) da Autoridade Certificadora de Defesa (AC-Defesa), da Seção de Comando e Controle do Estado-Maior das Forças Armadas (SC-1/EMCFA), da Escola Superior de Guerra (ESG), da Escola Superior de Defesa (ESD), do Hospital das Forças Armadas (HFA) e das equipes principais das entidades públicas ou privadas relacionadas ao setor Defesa que vierem aderir à Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC).

§ 1º As equipes centrais das Forças Singulares, bem como as demais Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) do setor Defesa são responsáveis por implementar as estratégias e exercer suas atividades de coordenação em suas respectivas áreas de responsabilidade.

§ 2º O processo de coordenação desenvolvido pela Equipe de Coordenação Setorial da Defesa (ECS/Def) envolve o recebimento de notificações de incidentes cibernéticos oriundas das equipes do setor, sua consolidação e compartilhamento das informações a elas inerentes, bem como o acompanhamento do tratamento e resposta e a geração de indicadores e estatísticas.

§ 3º O Plano Setorial para Gestão de Incidentes Cibernéticos da Defesa (PSGICDef) definirá como se dará a coordenação entre a Equipe de Coordenação Setorial da Defesa (ECS/Def) e as demais equipes centrais das Forças Singulares e Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) vinculadas diretamente, assim como as possibilidades de apoio da Equipe de Coordenação Setorial da Defesa (ECS/Def) à sua constituência para fins de prevenção, tratamento e resposta.

§ 4º A Equipe de Coordenação Setorial da Defesa (ECS/Def) adotará o modelo combinado ou misto, conforme a Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009. Art. 11. A Equipe de Coordenação Setorial da Defesa (ECS/Def) será composta pelos seguintes membros:

I - um oficial superior, preferencialmente, no último posto, com conhecimento em Gestão de Incidentes Cibernéticos que exercerá a função de agente responsável pela ECS/Def;

II - no mínimo dois oficiais e/ou Sargento (S Ten/Sgt) com conhecimento em Gestão de Incidentes Cibernéticos e gerencial, para compor a Turma Gerencial; e III - no mínimo quatro oficiais e/ou Sargento (S Ten/Sgt) com perfil técnico adequado às funções de prevenção, tratamento e resposta de incidentes de rede, além de conhecimento em administração de sistema ou de segurança, administração de banco de dados e de rede, para compor a Turma Técnica.

§ 1º O agente responsável Equipe de Coordenação Setorial da Defesa (ECS/Def) pode solicitar que oficiais e/ou Sargento (S Ten/Sgt) do Comando de Defesa Cibernética (ComDCiber) componham a turma de suporte, conforme a situação exigir, composta por militares com conhecimentos nas áreas jurídica, comunicação social, relações institucionais, inteligência e gestão de riscos, formando a Turma de Suporte (ad hoc).

§ 2º A Equipe de Coordenação Setorial da Defesa (ECS/Def) deve ser constituída por militares de carreira do Comando de Defesa Cibernética (ComDCiber), com caráter técnico e gerencial.

§ 3º Os integrantes da Equipe de Coordenação Setorial da Defesa (ECS/Def) devem ser indicados pelo Comandante de Defesa Cibernética (ComDCiber) e designados por meio de Boletim Interno do Comando de Defesa Cibernética (ComDCiber), dando ciência ao Ministério da Defesa.

§ 4º Para cada membro da Equipe de Coordenação Setorial da Defesa (ECS/Def) deve ser designado um suplente que deverá ser qualificado e orientado para a realização das tarefas e atividades de uma Equipe de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR).

§ 5º Os trabalhos da Equipe de Coordenação Setorial da Defesa (ECS/Def) são voltados para a Gestão de Incidentes Cibernéticos e desenvolvidos em dedicação integral, a fim de permitir o tratamento e a resposta oportuna e prevenir a escalada para situações de crise. § 6º O agente responsável da Equipe de Coordenação Setorial da Defesa (ECS/Def) exerce a função de assessor direto do Comando de Defesa Cibernética (ComDCiber).

CAPÍTULO VI

AU T O N O M I A

Art. 12. A Equipe de Coordenação Setorial da Defesa (ECS/Def) opera em regime de autonomia compartilhada com outros órgãos do Comando de Defesa Cibernética (ComDCiber), constituindo órgão de assessoramento no processo decisório relativo à Gestão de Incidentes Cibernéticos, no âmbito do Ministério da Defesa, das Forças Singulares e do Sistema Integrado de Dados de Infraestruturas Críticas (IC) relacionadas ao setor Defesa.

Art. 13. A Equipe de Coordenação Setorial da Defesa (ECS/Def) tem competência para recomendar medidas de prevenção, tratamento, resposta e procedimentos a serem executados ou as medidas de recuperação durante e pós-incidente cibernético no âmbito do Setor Defesa, bem como para discutir as ações a serem tomadas (ou as repercussões, caso as recomendações não sejam seguidas) com os outros órgãos do Comando de Defesa Cibernética (ComDCiber).

Art. 14. A tomada de decisão técnica relacionada a incidentes cibernéticos que não comprometam, real ou potencialmente, a continuidade da Disponibilidade, a Integridade, a Confidencialidade e a Autenticidade (DICA) das informações que transitam pela rede constitui competência do agente responsável da Equipe de Coordenação Setorial da Defesa (ECS/Def).

Art. 15. Cada órgão do setor Defesa tem autonomia para deliberar sobre o nome-fantasia de sua equipe central, bem como das demais Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) sob sua coordenação, conforme o modelo de capilaridade adotado.

CAPÍTULO VII

DOS CANAIS DE COMUNICAÇÕES

Art. 16. A articulação da Equipe de Coordenação Setorial da Defesa (ECS/Def) com as Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) para fins de notificações deve ocorrer conforme definido no Plano Setorial para Gestão de Incidentes Cibernéticos da Defesa (PSGIC - Def).

Art. 17. A Equipe de Coordenação Setorial da Defesa (ECS/Def) deve operar em conformidade com as melhores práticas nacionais e internacionais sobre a Gestão de Incidentes Cibernéticos, desde que não conflitem com as normas complementares e legislação previstas no âmbito da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC).

Art. 18. A Equipe de Coordenação Setorial da Defesa (ECS/Def) deve estar alinhada à prática do Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR/GOV) na Administração Pública Federal (APF) quanto ao uso de taxonomia comum para a identificação e classificação dos incidentes cibernéticos no âmbito do setor Defesa.

Art. 19. A troca de informações relacionadas a incidentes cibernéticos deve ocorrer, preferencialmente, através de correio eletrônico institucional de sua equipe central ou principal com o correio eletrônico institucional da Equipe de Coordenação Setorial da Defesa (ECS/Def) ([email protected]).

Art. 20. Havendo indisponibilidade do correio eletrônico constante no art. 19 desta norma, excepcionalmente, poderão ser utilizados outros canais de comunicações, como: I - voz; II - Inter-Network Operation Center Dial By Autonomous System Number (INOC- D BA ) ; III - mensagem instantânea;

IV - reunião por videoconferência; e

V - sítios eletrônicos e mídias sociais institucionais.

Art. 21. A comunicação do incidente cibernético à Equipe de Coordenação Setorial da Defesa (ECS/Def) não exime a responsabilidade de comunicação do fato aos Gestores de Segurança de Informação envolvidos e ao processamento das informações da forma estabelecida por cada instituição, garantindo o respeito à hierarquia da cadeia de comando CAPÍTULO VIII DISPOSIÇÕES FINAIS

Art. 22. A Equipe de Coordenação Setorial da Defesa (ECS/Def) deve obedecer ao disposto nas normas de SI estabelecidas pelo Gabinete de Segurança Institucional da Presidência da República (GSI/PR) que dispõem sobre Equipes de Prevenção, Tratamento e Resposta a Incidentes em Redes (ETIR) e padrões para notificação de incidentes cibernéticos ao Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (C TIR/GOV).

Art. 23. A eficácia das ações de Gestão de Incidentes Cibernéticos depende, fundamentalmente, da atuação colaborativa dos integrantes da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), incluindo não apenas o Ministério da Defesa, mas também a comunidade acadêmica, os setores público e privado e a base industrial de defesa.

20

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023081600020