DOU 09/10/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023100900030 30 Nº 193, segunda-feira, 9 de outubro de 2023 ISSN 1677-7042 Seção 1 a) gestão centralizada: quando o desenvolvimento, a aquisição, a manutenção ou a internalização da solução forem realizados de forma direta e centralizada pela Diretoria de Tecnologia e Inovação; b) gestão descentralizada: quando o desenvolvimento, a aquisição, a manutenção ou a internalização da solução forem realizados diretamente por outras unidades internas, sob gestão técnica da Diretoria de Tecnologia e Inovação; e c) gestão compartilhada: quando o desenvolvimento, a aquisição, a manutenção ou a internalização da solução forem realizados com compartilhamento de responsabilidades entre a Diretoria de Tecnologia e Inovação e outras unidades internas. §2°. A aplicação de quaisquer das modalidades e abordagens de provimento de soluções de software para uso corporativo do FNDE, incluindo as soluções de caráter departamental, se sujeita à prévia análise e manifestação técnica da Diretoria de Tecnologia e Inovação. Art. 26. O desenvolvimento de soluções e produtos de software pelo FNDE deverá observar, ainda, as seguintes diretrizes específicas: I - o desenvolvimento de sistemas e aplicações de software deve ter foco na otimização dos processos de trabalho, na capacidade de integração entre soluções e na reutilização de dados e componentes; II - durante o processo de concepção e especificação de soluções de software devem ser considerados tanto os requisitos funcionais quanto os requisitos não funcionais relevantes, principalmente aqueles relacionados à segurança da informação, integração, disponibilidade, desempenho e usabilidade; III - o contexto de utilização e os domínios funcionais das aplicações devem ser respeitados de modo que suas regras de negócio e funcionalidades sejam consistentes com seu propósito (finalidade), objetivando a evitar redundâncias funcionais, proliferação de soluções altamente pontuais, perda de integridade de dados e elevação dos custos de desenvolvimento e manutenção; IV - os padrões técnicos e arquiteturais mantidos pela Diretoria de Tecnologia e Inovação devem ser obedecidos de modo a garantir a manutenibilidade e a capacidade de interoperabilidade entre os sistemas corporativos; V - direitos de propriedade intelectual devem cobrir códigos-fonte, documentos e outros elementos integrantes de soluções desenvolvidas especificamente para a instituição, com recursos próprios ou de terceiros, devendo o FNDE possuir a guarda e a gestão desses itens; VI - modelos de testes adequados devem ser utilizados para garantir a aderência das soluções às regras de negócio e aos requisitos especificados, como premissa para entrada em produção, independentemente do processo de desenvolvimento de software adotado; VII - sempre que possível, metodologias e práticas ágeis deverão ser priorizadas em detrimento das práticas tradicionais de engenharia de software, assegurando a adoção de ciclos de desenvolvimento mais curtos e a entrega de valor constante para a organização; e VIII - sempre que necessário deve ser aplicado o respectivo processo de capacitação de gestores e usuários para nivelamento de conhecimentos em relação aos sistemas e aplicações corporativas do FNDE. SUBSEÇÃO XIII - DA GESTÃO DE SEGURANÇA DA INFORMAÇÃO, PRIVACIDADE E PROTEÇÃO DE DADOS Art. 27. O processo de gerenciamento de segurança da informação, proteção de dados e privacidade deve buscar equilíbrio entre o estabelecimento de políticas fortes, capacidade de auditoria, capacitação e implementação de processos de gestão de riscos, considerando as seguintes diretrizes específicas: I - toda e qualquer informação e dado gerado, custodiado, manipulado, utilizado ou armazenado no FNDE deve ser considerado um ativo relevante para a organização, sendo objeto de proteção com vistas à preservação dos atributos de disponibilidade, integridade, confidencialidade e autenticidade, na forma das leis e das normas vigentes; II - todo ativo de informação deve ser classificado e tratado segundo sua classificação, de maneira a receber adequada proteção durante todo seu ciclo de vida (criação, coleta, utilização, custódia e descarte); III - todo acesso a dado deve ter a autorização expressa do gestor do dado, além da necessidade de assinatura de Termo de Responsabilidade para acesso a dados sensíveis, pessoais ou sigilosos, na forma da legislação vigente; IV - as medidas e controles de segurança devem ser estabelecidos considerando a relevância dos ativos, os níveis de risco associados, o ambiente, o valor e a criticidade das informações e dos dados, de forma proporcional e balanceada, visando sempre a prevenção à ocorrência de incidentes; V - pessoas e aplicações devem ter o menor privilégio e o mínimo acesso aos recursos necessários para realizar uma determinada tarefa, tendo como condição essencial a ciência expressa quanto às responsabilidades e compromissos decorridos deste acesso e o conhecimento das penalidades cabíveis pela inobservância das regras previstas; VI - todos os usuários são individualmente responsáveis pela segurança dos ativos sob sua custódia e pelo uso e guarda de suas credenciais de acesso, vedada a exploração de eventuais vulnerabilidades que, assim que identificadas, devem ser imediatamente comunicadas às instâncias competentes; VII - todos os contratos de prestação de serviços firmados pelo FNDE deverão conter cláusula específica sobre a obrigatoriedade de conhecimento e atendimento às diretrizes e normas vinculadas a gestão de segurança da informação, privacidade e proteção de dados, incluindo, sempre que possível, a assinatura de termo de responsabilidade pelas empresas contratadas e de termo de ciência pelos colaboradores diretamente envolvidas na execução dos serviços contratados. §1°. As diretrizes e objetivos dos processos de gestão de segurança da informação, privacidade e proteção de dados devem ser consolidadas em Política de Segurança da Informação e de Comunicações, que se desdobrará em normas complementares e procedimentos operacionais para cada segmento específico relevante. §2°. A gestão de segurança da informação deve ser suportada por ações e métodos que visem a integração das atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento das informações e dados, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e segurança organizacional dos processos institucionais estratégicos, táticos e operacionais. §3°. O uso dos recursos de Tecnologia da Informação e Comunicação disponibilizados pelo FNDE deve ser passível de monitoramento e auditoria, incluindo a análise regular de registros de eventos (log) com a aplicação, sempre que viável, de softwares utilitários específicos para monitoramento do uso de sistemas computacionais. §4°. Sempre que possível deverão ser implementados e mantidos mecanismos que permitam a rastreabilidade dos recursos de TIC através de estratégias como trilhas de auditoria, rastreamento, acompanhamento, controle e verificação de acessos para toda a rede e sistemas corporativos. §5°. Deve ser instituído o Subcomitê de Segurança da Informação, como estrutura multidisciplinar subordinada ao Comitê de Governança Digital, para tratar dos assuntos específicos relacionados ao conjunto de políticas, processos, procedimentos e controles relacionados à segurança da informação, segurança cibernética, privacidade e proteção de dados no âmbito do FNDE. §6°. Os processos de gestão de segurança da informação, privacidade e proteção de dados devem ser periodicamente avaliados com relação ao grau de implementação de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade de modo a subsidiar aplicação de ajustes e sua melhoria contínua. SUBSEÇÃO XIV - DA GESTÃO DA CONTINUIDADE DO NEGÓCIO Art. 28. Deve ser implementado um Programa de Gestão de Continuidade de Negócio (PGCN) visando estabelecimento de práticas e critérios de análise de impacto, contingência, recuperação e resiliência dos serviços e ambientes de TIC, de modo a mitigar a possibilidade de interrupção das atividades da Autarquia causada por desastres ou falhas em recursos de TIC que suportam processos operacionais da organização. §1°. O Programa de Gestão de Continuidade de Negócio - PGCN definirá os objetivos, princípios e diretrizes de alto nível que traduzirão a visão estratégica organizacional para a gestão da continuidade de negócio, além de orientar a elaboração dos planos correlatos, a análise de riscos e de impacto, as estratégias de continuidade segundo a cadeia de valor integrada, os procedimentos e as ações relacionadas ao retorno do ambiente ao seu estado de normalidade. §2°. A resiliência dos serviços e ambientes de TIC deve ser testada e revisada periodicamente, para refletir as mudanças tanto da estratégia corporativa quando das infraestruturas físicas e lógicas de TIC correlacionadas. §3°. Os processos de gestão de da continuidade do negócio devem ser periodicamente avaliados com relação ao grau de cumprimento de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade de modo a subsidiar aplicação de ajustes e sua melhoria contínua. SUBSEÇÃO XV - DA GESTÃO DE RISCOS, INTEGRIDADE, CONTROLE INTERNO E CO N FO R M I DA D E Art. 29. Deve ser executado um processo de gestão dos riscos de TIC no qual estejam estabelecidos papéis e responsabilidades, estratégias gerais e critérios de identificação e avaliação de riscos, preferencialmente como parte do processo institucional de gestão de riscos, considerando as seguintes diretrizes específicas: I - o fomento à cultura de gestão de riscos como processo essencial de apoio a implementação de estratégias, planos, projetos e tomada de decisões para consecução dos objetivos estratégicos organizacionais e setoriais; II - riscos de TIC devem ser identificados, mapeados, analisados, avaliados, tratados, monitorados e comunicados de forma contínua; III - estabelecimento de critérios para tratamento dos riscos relacionados à TIC, considerando-se os aspectos legais, financeiros, operacionais, tecnológicos, negociais e de preservação da imagem da instituição; e IV - atuação sistemática da gestão de riscos de TIC concomitantemente ao monitoramento da execução da estratégia, dos planos táticos e operacionais e das ações e projetos. §1°. Deve ser elaborada e mantida uma política de gestão de riscos em Tecnologia da Informação, que definirá os objetivos, os princípios e as diretrizes de alto nível oriundos da visão estratégica organizacional para a gestão de riscos de TIC - orientando a elaboração de normas e procedimentos correlatos. §2°. Os processos de negócio críticos da Autarquia devem ter seus riscos de TIC mapeados, analisados e avaliados. Devendo ser produzido e mantido atualizado um plano de tratamento e resposta aos riscos avaliados, envolvendo ações para mitigação, transferência, eliminação ou aceitação de riscos, conforme os critérios a serem estabelecidos. Art. 30. A integridade em TIC observará as seguintes diretrizes específicas, associadas à gestão de riscos: I - definição e implementação de controles de integridade para prevenção, detecção e remediação de ocorrências e atos indesejados; II - garantir a prestação de contas de forma transparente, sistemática e ativa; III - assegurar a integridade de dados e informações; IV - assegurar a integridade dos processos de governança e gestão de TIC, em aderência às boas práticas vigentes; V - desenvolver práticas e mecanismos para garantir a proteção da disponibilidade, da confidencialidade, da acessibilidade e da integridade de dados e informações corporativas, com a definição de padrões específicos e atualizados de segurança para as bases de dados internas, para preservar os processos e a imagem da instituição; e VI - assessorar e subsidiar, no que couber, as instâncias internas competentes visando implementar ações de melhoria contínua das práticas de gestão e governança em TIC. Parágrafo único. As soluções digitais de uso corporativo devem considerar aspectos relativos à ética, integridade, inclusão social, responsabilidade socioambiental, eficiência, eficácia, legalidade, sustentabilidade, segurança da informação, empatia, idoneidade, além do respeito à diversidade e valorização das pessoas. Art. 31. Os controles internos de TIC devem observar as seguintes diretrizes específicas, associadas à gestão de riscos e à integridade: I - monitoramento da conformidade, do desempenho e das práticas de governança e gestão de TIC por meio da implementação de controles adequados e promoção de ações corretivas quando desvios forem identificados; II - assegurar que as estratégias definidas e os normativos formulados estejam sempre em consonância com a legislação, as normas e os padrões vigentes; e III - medir continuamente a maturidade das práticas de gestão e governança através da autoavaliação ou por meio da contratação de consultorias especializadas, para garantir que os processos internos de TIC estejam fornecendo o valor esperado para as partes interessadas internas ou externas. Art. 32. Os processos de gestão de riscos, integridade, controles internos e conformidade devem ser periodicamente avaliados com relação ao grau de cumprimento de suas práticas, bem como avaliação dessas práticas quanto ao seu grau de eficiência, eficácia e efetividade de modo a subsidiar aplicação de ajustes e sua melhoria contínua. CAPÍTULO VI - DOS PAPÉIS E DAS RESPONSABILIDADES Art. 33. O gestor de TIC é responsável pelo planejamento, desenvolvimento, execução e monitoramento das atividades de Tecnologia da Informação e Comunicação, devendo, diretamente ou sob delegação regimental, assessorar o Comitê de Governança Digital no exercício de suas competências, provendo todas as informações de gestão para a tomada de decisão das instâncias superiores, competindo-lhe ainda: I - elaborar o plano de monitoramento de governança e gestão de TIC; II - elaborar relatórios de acompanhamento dos controles e indicadores definidos; III - propor normativos específicos de apoio à Governança Digital e aos seus subdomínios; IV - propor alterações nesta Política de Governança Digital; e V - conscientizar os demais agentes públicos internos sobre os objetivos estratégicos de TIC e suas responsabilidades em cada processo ou prática relacionada. Art. 34. Compete à alta administração, através do Comitê de Governança Digital: I - aprovar, manter e revisar a Política de Governança Digital; II - avaliar, direcionar e monitorar as normas e ações de governança e gestão de TIC; e III - estabelecer as metas, os indicadores e os ciclos de avaliação do grau de maturidade em governança e gestão de TIC e realizar a análise crítica das práticas envolvidas. Parágrafo único. Outras competências e atribuições específicas para o Comitê de Governança Digital e seus subcomitês poderão ser definidas em seus respectivos instrumentos de criação. CAPÍTULO VII - DOS RECURSOS, DO MONITORAMENTO E DA ATUALIZAÇÃO DA POLÍTICA SEÇÃO I - DOS RECURSOS Art. 35. A Política de Governança Digital do FNDE deve ser considerada instrumento essencial para o sucesso das estratégias e dos projetos de Tecnologia da Informação e Comunicação, devendo os recursos necessários para a sua devida instrumentalização serem considerados sempre em conjunto com as demandas de TIC propriamente ditas. SEÇÃO II - DO MONITORAMENTO E DA ATUALIZAÇÃO DA POLÍTICA Art. 36. Esta POLÍTICA deve ser revisada e atualizada, no máximo, a cada 2 (dois) anos. Parágrafo único. A devida publicidade das alterações deste normativo e publicações relacionadas a este instrumento deve ser assegurada para todas as partes interessadas envolvidas.