DOU 01/12/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023120100094 94 Nº 228, sexta-feira, 1 de dezembro de 2023 ISSN 1677-7042 Seção 1 Art. 72. Tais processos e procedimentos devem incluir aqueles a serem implementados pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, bem como aqueles que o Ministério exige que o fornecedor implemente no início ou no término do contrato. Art. 73. Os contratos, convênios ou instrumentos congêneres devem ser estabelecidos e documentados para assegurar que haja um entendimento claro entre o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e o fornecedor ou prestador de serviço sobre as obrigações de ambas as partes de cumprir com os requisitos relevantes de segurança da informação. Art. 74. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deve estabelecer e manter acordos de compartilhamento de informações nos contratos, convênios e instrumentos congêneres, bem como analisar criticamente, validar e atualizar regularmente esses acordos para assegurar que ainda sejam necessários e adequados para o propósito pelos quais foram estabelecidos. Art. 75. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deve monitorar, analisar criticamente, avaliar e gerenciar regularmente a mudança nas práticas de segurança da informação nos contratos, convênios e instrumentos congêneres. Art. 76. Os fornecedores e prestadores de serviço devem ser submetidos à legislação brasileira. Art. 77. Todas as contratações devem prever requisitos de Segurança da Informação e proteção dos dados pessoais e dos ativos de informação. As áreas de negócio devem alinhar os requisitos necessários com as equipes de Segurança da Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 78. Cabe aos prestadores de serviço e fornecedores, conforme previsto em contrato: I - tomar conhecimento desta Política de Segurança da Informação e divulgá-la a seus empregados; II - apresentar termo de compromisso e de ciência da declaração de manutenção do sigilo, assinado por cada profissional, além de comprometer-se a manter sigilo sobre as informações e dados pessoais a que tiver acesso; III - fornecer listas atualizadas de todos os empregados que estejam alocados nas dependências do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, ou que transitoriamente ou, ainda, remotamente, tenham acesso a quaisquer ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fo m e ; IV - fornecer listas atualizadas da documentação dos ativos, licenças, acordos ou direitos relacionados aos ativos de informação objetos do contrato; e V - fornecer a documentação dos sistemas, produtos e serviços relacionados às suas atividades. Art. 79. Nos casos de obtenção de informações de terceiros, o gestor da área na qual a informação será utilizada deve, se necessário, providenciar junto ao cedente a documentação formal relativa à cessão de direitos sobre informações de terceiros antes de seu uso. Art. 80. Os acordos com terceiros podem também envolver outras partes. Parágrafo único. Os acordos que concedam o acesso a terceiros podem incluir, quando necessário e justificado, permissão para designação de outras partes autorizadas e condições para os seus acessos desde que expressamente autorizadas pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 81. Todos os contratos, convênios, acordos e instrumentos congêneres devem conter cláusulas que estabeleçam a obrigatoriedade de observância desta Política de Segurança da Informação e suas normas complementares. Art. 82. O contrato, convênio, acordo ou instrumento congênere deverá prever a obrigação da outra parte de divulgar esta Política de Segurança da Informação e suas normas complementares aos seus empregados e prepostos envolvidos em atividades no Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 83. Um plano de contingência deve ser elaborado no caso de uma das partes desejar encerrar a relação antes do final do acordo. Art. 84. Esta Política de Segurança da Informação deverá ser considerada como subsídio essencial para confecção do processo de aquisição de ativos de tecnologia de informação. Cabe aos fornecedores e prestadores de serviços a submissão à legislação vigente de segurança da informação e proteção de dados. Art. 85. Os prestadores de serviços ou fornecedores devem reportar os incidentes de segurança da informação e de proteção de dados tempestivamente ao Gestor de Segurança da Informação, à Equipe de Tratamento e Resposta a Incidentes Cibernéticos (ETIR) do Ministério e aos responsáveis pelas unidades finalísticas para conhecimento e providências cabíveis. Seção XIII Da gestão de incidentes de segurança da informação Art. 86. Deve-se instituir metodologia e norma que estabeleçam um processo de gestão de incidentes de Segurança da Informação que seja consistente e efetivo e que permita respostas rápidas, efetivas e ordenadas aos incidentes de Segurança da Informação, incluindo a comunicação sobre fragilidades e eventos relacionados. Art. 87. Será mantida a Equipe de Tratamento e Resposta a Incidentes Cibernéticos (ETIR), com a responsabilidade de receber, analisar e responder notificações e atividades relacionadas a incidentes de segurança da informação. Art. 88. Os membros da ETIR devem ter perfil técnico adequado às funções de tratamento de incidentes em redes computacionais. Art. 89. A ETIR deve observar as normas técnicas e orientações, bem como manter um canal de comunicação com o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo. Art. 90. O conhecimento adquirido sobre os incidentes de segurança da informação deve ser usado para fortalecer e melhorar os controles de segurança da informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e para reduzir a probabilidade ou as consequências de futuros incidentes. Seção XIV Da gestão de continuidade dos serviços Art. 91. Uma gestão de continuidade dos serviços deve ser adotada, mantida e periodicamente testada, a fim de minimizar as chances de uma interrupção ou impacto causado por incidentes e desastres nos ativos de informação e nos dados pessoais, que suportam os processos vitais do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, até que se retorne à normalidade. Art. 92. Os ativos de informação que suportam processos, funções ou operações críticas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, devem assegurar a capacidade de recuperação, os prazos e as condições definidas em situações de adversas ou em casos de incidentes de segurança da informação. Art. 93. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deve coletar informações de ataques atuais ou potenciais que possam impactar os ativos de informação ou as políticas públicas do Ministério. As informações devem ser analisadas, refinadas e organizadas para minimizar os impactos e mitigar os riscos de segurança cibernética. Seção XV Da segurança da informação na gestão de projetos Art. 94. A segurança da informação deve ser integrada à gestão de projetos do Ministério para assegurar que os riscos de segurança da informação sejam abordados como parte da gestão do projeto. Seção XVI Da transferência das informações Art. 95. Regras, procedimentos ou acordos de transferência de informações devem ser definidos e implementados para todos os tipos de transferência dentro do Ministério e entre o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e outras partes externas interessadas. Art. 96. As regras, procedimentos e acordos para proteger informações em trânsito devem refletir a classificação das informações envolvidas. Devem ser estabelecidos e mantidos acordos de transferência (incluindo a autenticação do destinatário) para proteger as informações em todas as formas em trânsito entre o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e terceiros. Seção XVII Da auditoria e conformidade Art. 97. Todos os requisitos legais, estatutários, regulamentares e contratuais relevantes para a segurança da informação e para a proteção de dados pessoais devem ser identificados, documentados, mantidos e implementados pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 98. Procedimentos apropriados devem ser implementados para garantir a conformidade com as normas legais, estatutárias e requisitos contratuais relacionados a direitos de propriedade intelectual e uso de produtos de softwares proprietários. Art. 99. Deve ser realizada a avaliação de conformidade nos aspectos de segurança da informação que proporcione adequado grau de confiança a um determinado processo, mediante o atendimento de requisitos definidos em políticas, procedimentos, normas ou em regulamentos técnicos aplicáveis. Art. 100. O fornecedor ou prestador de serviço pode ser convocado em caso de incidentes de segurança da informação para responder questões relacionadas à auditoria. CAPÍTULO V DA ESTRUTURA DE GOVERNANÇA E GESTÃO DE SEGURANÇA DA INFORMAÇÃO E DE PROTEÇÃO DE DADOS, SUAS COMPETÊNCIAS E RESPONSABILIDADES Art. 101. A Segurança da Informação é disciplina fundamental da boa governança corporativa, sendo de responsabilidade da alta administração do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 102. Para assessorar o Ministro de Estado do Desenvolvimento e Assistência Social, Família e Combate à Fome nas atividades de definição e implementação de diretrizes, políticas, normas e procedimentos relativos à Segurança da Informação, fica instituída a Estrutura de Governança e Gestão de Segurança da Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, com atribuições definidas nesta Política de Segurança da Informação. Art. 103. A Estrutura de Governança e Gestão de Segurança da Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deve ser capaz de apoiar os diversos níveis hierárquicos do Ministério e seus órgãos no objetivo de integrar os controles e processos de Segurança da Informação e aos processos organizacionais existentes. Parágrafo único. A participação na referida estrutura e eventuais grupos de trabalho associados não enseja remuneração de qualquer espécie ou quaisquer criações de cargos além daqueles já existentes na estrutura regimental do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, sendo considerada serviço público relevante. Art. 104. A Estrutura de Governança e Gestão de Segurança da Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome será composta: I - pelo Comitê Interno de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; II - pelo Comitê de Governança Digital; III - pelas Câmaras Técnicas Temáticas; IV - pelo Gestor de Segurança da Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; V - pela Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR; VI - pelos gestores de ativos de informação; VII - pelo agente responsável pela ETIR; VIII - pelo agente responsável pela gestão de continuidade de negócios; IX - pelo agente responsável pela gestão de mudança; X - pelo agente responsável pelo mapeamento dos ativos de informação; e XI - pelo agente responsável pela gestão de riscos. § 1º O Gestor de segurança da informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome será convidado a participar das reuniões em que constarem da pauta os temas relacionados à Gestão de Riscos, Tecnologia da Informação, Segurança da Informação e à Proteção de Dados Pessoais. § 2º As atribuições relacionadas ao Comitê Interno de Governança, ao Comitês de Governança Digital e às Câmaras Técnicas estão dispostas nos normativos internos relacionados à governança institucional do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. § 3º As atribuições dos agentes responsáveis estão definidas na legislação vigente de segurança da informação da Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da República (SSIC/GSI/PR). Art. 105. O gestor de segurança da informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, será nomeado pelo Ministro de Estado do Desenvolvimento e Assistência Social, Família e Combate à Fome, conforme legislação em vigor, e terá as seguintes atribuições: I - acompanhar as investigações e as avaliações dos danos decorrentes de quebras de segurança da informação e dados pessoais; II - propor recursos necessários às ações de segurança da informação; III - participar das reuniões do Comitê Interno de Governança e do Comitê de Governança Digital quando se tratar de assuntos relacionados à segurança da informação e à proteção de dados; IV - realizar e acompanhar estudos e novas tecnologias, no tocante a possíveis impactos na segurança da informação e na proteção de dados pessoais; V - representar o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome no Comitê Gestor de Segurança da Informação do Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República; VI - manter contato direto com o Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República; VII - manter contato direto com a Agência Nacional de Proteção de Dados Pessoais, juntamente com o Encarregado da Lei Geral de Proteção de Dados Pessoais - LGPD, em casos de incidentes de segurança cibernética que possam comprometer os dados pessoais geridos e custodiados pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; VIII - propor normas relativas à Segurança da Informação; e IX - acompanhar e monitorar as atividades das câmaras técnicas de segurança da informação, de proteção de dados e tecnologia da informação. Art. 106. Os gestores de segurança da informação e proteção de dados das Unidades Administrativas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, terão as seguintes atribuições: I - implementar os controles de segurança da informação definidos nesta Política de Segurança da Informação e em seus documentos complementares, nos ativos de informação e nos dados pessoais sob sua responsabilidade; II - recolher e consolidar as evidências da implementação dos controles de segurança da informação nos ativos de informação e nos dados pessoais sob sua responsabilidade e apresentá-las ao Comitê; III - elaborar relatório de monitoramento das atividades e processos de gestão de segurança da informação e de proteção de dados pessoais;