DOU 09/10/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023100900029 29 Nº 193, segunda-feira, 9 de outubro de 2023 ISSN 1677-7042 Seção 1 garantir o adequado dimensionamento e otimização da capacidade dos recursos de TIC, considerando as seguintes diretrizes específicas: §1°. O inventário de demandas e necessidades deve ser entendido como um insumo essencial para o planejamento setorial de TIC e deve ser elaborado a partir da visão do demandante, considerando os objetivos e requisitos de negócio a serem atendidos. §2°. Considerando o caráter finito dos recursos, todas as demandas devem sofrer processo de avaliação e priorização, objetivando garantir o alinhamento das prioridades organizacionais e seu balanceamento com a capacidade da área de TIC. §3°. Investimentos em expansão e/ou criação de programas e políticas públicas devem ser acompanhados de investimentos proporcionais na expansão da capacidade dos recursos de TIC, de modo a garantir a adequada sustentabilidade de sua operacionalização. Art. 19. Deverá ser executado um processo de gerenciamento da capacidade e desempenho objetivando garantir que os serviços e infraestruturas de TIC atendam aos requisitos relacionados à evolução das demandas institucionais e à manutenção e evolução do desempenho atual e futuro, considerando, no mínimo, o seguinte: I - Deve ser desenvolvido e mantido um Plano de Capacidade envolvendo todos os recursos necessários para entregar os serviços de TIC a curto, médio e longo prazos - de forma aderente à evolução dos requisitos e necessidades do negócio. II - Antes da entrada em produção de um novo serviço, produto ou sistema de TIC deve ser elaborado um Plano de Capacidade para adequado dimensionamento e alocação dos recursos de TIC necessários à sua operacionalização. III - Nenhum novo serviço, produto ou sistema de TIC deve ser colocado em produção antes de cumpridas as seguintes etapas, no mínimo: a) homologação pelo gestor de negócio; b) aprovação técnica pela Diretoria de Tecnologia da Informação, incluindo elaboração e aprovação do Plano de Capacidade e provisionamento dos recursos de TIC adequados; c) classificação quanto ao nível de criticidade; e d) definição e implementação dos fluxos de suporte técnico e negocial, considerando a classificação de criticidade. SUBSEÇÃO VIII - DA GESTÃO DE PROJETOS DE TIC Art. 20. A gestão de projetos de TIC deve ter por objetivo assegurar que os projetos sejam adequadamente aprovados, planejados, executados e revisados com vistas à ótima realização dos benefícios e a redução dos riscos, considerando as seguintes diretrizes específicas: I - deve ser executado um processo de gestão de projetos de TIC, preferencialmente, como parte integrante de um processo institucional de gestão de projetos, cumprindo, no mínimo, as etapas de planejamento, execução, monitoramento e controle; II - o escopo, os custos, o uso de recursos e o cumprimento de prazos devem ser gerenciados durante a execução de todos os projetos de TIC; III - todos os projetos de TIC de alta materialidade ou alta relevância devem ser submetidos a um processo de gestão de riscos - incluindo o acompanhamento pelo Comitê de Governança Digital; IV - todos os projetos de TIC deverão estar devidamente alinhados com as estratégias, planos e prioridades institucionais, contribuindo para o cumprimento da missão e o alcance das metas da organização; V - o balanceamento do portfólio de projetos deverá utilizar critérios relacionados ao alinhamento com a estratégia organizacional, os retornos de curto, médio e longo prazos, os tipos de benefícios esperados, o grau de riscos e o impacto para a imagem institucional; VI - o desempenho dos projetos e programas de TIC, incluindo seus indicadores, deverá ser reportado periódica e preferencialmente de forma ativa, a todas as partes interessadas envolvidas; §1°. O processo de gestão de projetos deve ser periodicamente avaliado com relação ao grau de cumprimento de suas práticas, bem como avaliação de suas práticas quanto ao seu grau de eficiência, eficácia e efetividade - de modo a subsidiar aplicação de ajustes e sua melhoria contínua. §2°. Deve ser disponibilizado pela DIRTI painel gerencial destinado à alta administração para acompanhamento dos projetos de TIC, como foco naqueles classificados como prioritários e/ou estratégicos; §3°. Os riscos de projetos devem ser mapeados, avaliados e monitorados tanto como parte do processo de gestão de projetos como no contexto do processo de gestão de riscos de TIC. SUBSEÇÃO IX - DA GESTÃO DE PADRÕES E DE ARQUITETURAS DE TIC Art. 21. As atividades, processos e arquiteturas de TIC devem ser referenciadas em padrões técnicos devidamente aprovados, documentados e comunicados, observadas as seguintes diretrizes específicas: I - o modelo padronizado de arquitetura de TIC deverá ser composto por arquitetura de negócio, arquitetura da informação, arquitetura de aplicações e arquitetura de tecnologia; II - devem ser estabelecidos e observados processos adequados para prospecção tecnológica e definição dos padrões técnicos e das arquiteturas de TIC, com o apoio do Comitê de Governança Digital e do Subcomitê Executivo de Tecnologia da Informação e Comunicação; III - o modelo de arquitetura deve ser gerenciado e revisado periodicamente para assegurar o seu alinhamento ao cenário tecnológico e aos objetivos estratégicos institucionais; IV - sempre que possível e tecnicamente viável deverão ser utilizados padrões de arquitetura com baixo acoplamento, priorizando-se modelos abertos, componíveis, modulares, reutilizáveis, interoperáveis e facilmente escaláveis em detrimento dos padrões de arquitetura monolíticos, pouco flexíveis e de difícil manutenção; V - no que couber, o modelo de arquitetura deve considerar os padrões de interoperabilidade e de governo eletrônico, definidos e mantidos pelos órgãos governantes superiores; §1°. Os padrões e arquiteturas corporativas devem ser observados por toda a organização, ainda que nos projetos executados com terceiros utilizando recursos próprios das áreas. §2°. Os processos de gestão de padrões e de arquiteturas de TIC devem ser periodicamente avaliados com relação ao grau de cumprimento de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade, de modo a subsidiar aplicação de ajustes e sua melhoria contínua. SUBSEÇÃO X - DA GESTÃO DE SERVIÇOS DE TIC Art. 22. A gestão de serviços de TIC deve contemplar, no mínimo, todo o conjunto de processos cujo objetivo é assegurar que o provimento desses serviços seja feito de modo alinhado às necessidades corporativas, com qualidade adequada e otimização de custos e riscos, considerando as seguintes diretrizes específicas: I - a prestação de serviços corporativos de TIC deverá ser realizada de forma centralizada pela Diretoria de Tecnologia e Inovação - prioritariamente por meio de uma Central de Serviços unificada; II - os serviços devem ser relacionados e formalizados em um Catálogo de Serviços, cujo objetivo é disponibilizar aos usuários dos serviços e ao pessoal de suporte de forma tempestiva, atualizada e acessível o rol completo dos serviços de TIC disponíveis e das informações relevantes a eles associadas, como pontos de contato e horários de utilização e os Acordos de Níveis de Serviço (ANS) estabelecidos; III - deve ser executado um processo de gestão de níveis de serviço com objetivo de definir, acordar, documentar, monitorar, reportar e analisar criticamente os serviços de TIC prestados, de modo a garantir que a sua entrega seja alcançável, gerenciada e alinhada com os requisitos de clientes e as necessidades do negócio; IV - o desempenho dos serviços de TIC deve ser periodicamente avaliado para verificar o grau de aderência aos níveis de serviço, bem como avaliar o desempenho dos próprios processos (eficiência, eficácia e efetividade) com vistas à realização de ajustes, aperfeiçoamentos e melhoria contínua; V - deve ser definido, mantido e executado um processo adequado de gestão de incidentes visando gerir o ciclo de vida de todos os incidentes e, para cada incidente, restabelecer o serviço de TIC aos usuários no menor prazo e com o menor impacto possível; VI - deve ser definido, mantido e executado um processo adequado de gestão de mudanças, com objetivo de permitir que mudanças necessárias sejam feitas com a mínima interrupção dos serviços e mínimo impacto nos níveis de serviço estabelecidos; VII - deve ser definido, mantido e executado um processo adequado de gestão de configuração e de ativos de serviço para manter informações relevantes sobre a configuração de ativos de TIC necessários à entrega dos serviços, incluindo os relacionamentos entre eles, durante todo seu ciclo de vida; e §1°. Os processos de gestão de serviços de TIC devem ser periodicamente avaliados com relação ao grau de cumprimento de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade de modo a subsidiar aplicação de ajustes e sua melhoria contínua. §2°. Os riscos operacionais relacionados aos serviços de TIC - referentes a possíveis impactos resultantes do baixo desempenho e/ou da indisponibilidade destes - devem ser identificados, avaliados e monitorados tanto como parte do processo de gestão de serviços como no âmbito do processo de gestão de riscos de TIC. SUBSEÇÃO XI - DA GESTÃO DA INFRAESTRUTURA DE TIC Art. 23. O gerenciamento da infraestrutura de TIC deve observar as seguintes diretrizes específicas: I - sempre que técnica e economicamente viável, deve ser priorizada a adoção de recursos de computação em nuvem (cloud computing), seja nuvem pública ou privada, nas modalidades de Infraestrutura como Serviço (IaaS), Plataforma como Serviço (PaaS) ou Software como Serviço (SaaS), com objetivo de otimizar o desempenho, reduzir a complexidade tecnológica, promover a orquestração entre ambientes e ampliar a capacidade, a gerenciabilidade, a escalabilidade e a elasticidade dos ambientes; II - práticas de integração entre desenvolvimento, segurança e operações (DevOps e DevSecOps) deverão ser viabilizadas através da implementação de ferramentas e arquiteturas adequadas, como foco na otimização da capacidade de gerenciamento automatizado, repetível e seguro, conforme critérios de qualidade e disponibilidade, tanto para recursos físicos quanto virtuais ou em nuvem, gerando fluxos de trabalho propícios às práticas de integração contínua (CI) e entrega contínua (CD); III - a rede de comunicação de dados e voz deve ser padronizada para toda a Autarquia, com convergência de tecnologias de voz sobre IP (VoIP) e comunicações unificadas (UC); IV - infraestruturas críticas devem ser mapeadas e devidamente protegidas, incluindo soluções de contingência e de recuperação de desastres; e V - os ativos de TIC devem inventariados, identificados e continuamente monitorados como parte do processo de gerenciamento de ativos. Parágrafo único. Os processos de gestão de infraestrutura de TIC devem ser periodicamente avaliados com relação ao grau de implementação de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade de modo a subsidiar aplicação de ajustes e sua melhoria contínua. SUBSEÇÃO XII - DA GESTÃO DE SISTEMAS E APLICAÇÕES Art. 24. O FNDE deve possuir e executar um processo de software, assim entendido como o processo de trabalho usado pela organização na produção e na gestão do ciclo de vida de sistemas e aplicações - abrangendo as atividades realizadas desde a demanda, o provimento (desenvolvimento ou aquisição), a operação, a sustentação até a eventual desativação. I - o processo de software deve considerar, no mínimo, as seguintes fases essenciais: a) descoberta: identificação, compreensão e análise do problema, necessidade e/ou oportunidade de geração de valor; b) desenho: definição dos objetivos do projeto, elaboração do escopo, priorização, definição e planejamento do Mínimo Produto Viável (MVP); c) construção: desenvolvimento iterativo e incremental do produto, de acordo com os requisitos definidos e priorizados - incluindo a validação técnica e negocial (testes) das entregas para garantir que atendem aos requisitos e não contenham erros; d) implantação: implementação da entrega em ambiente de produção; e) entrega: entrega do produto e/ou do incremento ao cliente, considerando a validação do valor gerado; e f) manutenção: manter o software atualizado e resolver quaisquer problemas que possam surgir. II - o processo ágil de software deverá ser caracterizado por: a) iteratividade: O processo é dividido em iterações curtas, geralmente de duas a quatro semanas. Isso permite que a equipe entregue software em funcionamento de forma rápida e frequente. b) incrementalidade: O software é desenvolvido de forma incremental, ou seja, a cada iteração, uma nova funcionalidade é adicionada ao software. Isso permite que a equipe entregue software de alta qualidade de forma gradual. c) participação do cliente: O cliente é envolvido no processo de desenvolvimento desde o início. Isso permite que o cliente dê feedback sobre o software em desenvolvimento e garante que o software atenda às suas necessidades. III - o processo de software deve tratar, ainda, dos seguintes aspectos: a) gestão da documentação; b) gestão da configuração; c) gestão da qualidade; d) gestão da segurança; e) gestão da disponibilidade; e d) gestão do portfólio (ciclo de vida). IV - sempre que tecnicamente viável, todos os sistemas e aplicações do FNDE devem possuir funcionalidade de gestão unificada de usuários (Single-Sign-On) e serem integrados ao Login Único do Governo Federal (Acesso Gov.br); V - todos os sistemas e aplicações corporativas do FNDE devem possuir um gestor negocial formalmente designado e com atribuições claramente fixadas e compreendidas - com foco no gerenciamento do produto do ponto de vista do negócio; e VI - os sistemas e aplicações de software destinadas ao uso corporativo pelo FNDE devem sofrer processo de classificação segundo a criticidade, considerando os aspectos como impacto para o negócio e a continuidade de serviços públicos essenciais, com objetivo de definir processos e níveis mínimos de serviço adequados a cada conjunto de soluções. Parágrafo único. O processo de classificação de criticidade de sistemas e aplicações deve ser submetido à aprovação e acompanhamento pelo Comitê de Governança Digital. Art. 25. O provimento de sistemas e aplicações de software compreende as seguintes modalidades: I - desenvolvimento: construção de soluções, com recursos próprios e/ou de terceiros, para atender as necessidades corporativas das áreas-meio e/ou das áreas- fim; II - aquisição: adoção, por meio de processo de contratação, de soluções prontas ou customizáveis; III - evolução ou adaptação: melhoria de qualidade, incorporação de novas funcionalidades, mudança nas regras de negócio ou adaptação a novas tecnologias; IV - sustentação: alteração de solução existente a partir de intervenções corretivas, análise e solução de incidentes e requisições de serviço relacionadas às soluções que não impliquem em mudanças de regras de negócio ou alterações estruturais de suas funcionalidades. V - internalização: incorporação de soluções de software desenvolvidas externamente, quer de forma específica para atendimento das necessidades da Autarquia, cedidas por outros entes públicos ou privados, ou, ainda, de soluções de código aberto (open source), por quaisquer meios ou instrumentos legais admissíveis; §1°. Independentemente da modalidade adotada, a abordagem gerencial, segundo a responsabilidade das unidades envolvidas, deve considerar as seguintes alternativas: