DOU 20/12/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023122000186 186 Nº 241, quarta-feira, 20 de dezembro de 2023 ISSN 1677-7042 Seção 1 Art.17. Aos Integrantes da Etir compete: I - receber, analisar, classificar e responder às notificações e às atividades relacionadas a incidentes de segurança em redes computacionais, além de armazenar registros para formação de séries históricas como subsídio estatístico; e II - exercer outras atividades que lhe forem cometidas no seu campo de atuação. Art.18. À Secretaria Administrativa da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos, a pedido do Agente Responsável, compete agendar as reuniões a que se refere o art. 12 e elaborar as atas dessas reuniões. Modelo de Implementação Art. 19. A Etir seguirá o Modelo 1 ("Utilizando a equipe de Tecnologia da Informação") e possuirá autonomia completa, conforme disposto na NC05/IN01/DSIC/GSIPR/2009. § 1º Nesse modelo, as funções e serviços de tratamento de incidente serão realizados, preferencialmente, por administradores de rede ou de segurança, administradores de banco de dados, administradores de rede, analistas de suporte ou quaisquer outras pessoas com conhecimento técnico comprovado na área de segurança da informação. § 2º A Etir possui autonomia para conduzir seu público-alvo para realizar ações ou medidas necessárias para reforçar a resposta ou a postura da organização na recuperação de incidentes de segurança, sem depender de níveis superiores de gestão. Art. 20. Durante um incidente de segurança, se houver justificativa, a ETIR poderá executar as medidas de recuperação, sem esperar pela aprovação de níveis superiores de gestão. Art. 21. Extraordinariamente, o Agente Responsável poderá convocar representantes de outras unidades da Diretoria de Tecnologia da Informação para atuar em tratamento e resposta de determinado incidente de segurança. Art. 22. A Etir poderá contar com suporte operacional de terceiros para execução de suas atribuições, desde que haja previsão legal. Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos Art. 23. O catálogo de serviços da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos, que consiste nos serviços providos pela Equipe, está listado no Anexo X-A. § 1º Os serviços de que trata o caput também podem ser providos em conformidade com a Portaria MGI nº 43, de 31 de janeiro de 2023, que disciplina o compartilhamento de atividades de administração patrimonial, de material, de gestão de pessoas, de serviços gerais, de orçamento e finanças, de contabilidade, de logística, de contratos, de tecnologia da informação, de planejamento governamental e gestão estratégica e de outras atividades de suporte administrativo realizadas por meio de arranjos colaborativos entre Ministérios ou modelos centralizados, e dispõe sobre medidas transitórias decorrentes da edição da Medida Provisória nº 1.154, de 1º de janeiro de 2023. ANEXO X-A CATÁLOGO DE SERVIÇOS DA EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES CIBERNÉTICOS Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos O Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos é composto pelos seguintes serviços: I - tratamento de incidentes cibernéticos: a) definição - serviço de receber, filtrar, classificar e responder as solicitações e os alertas e realizar as análises dos incidentes de segurança, com vistas a extrair informações que permitam impedir a continuidade da ação maliciosa e a identificação de tendências; b) tipo do serviço - reativo; c) disponibilidade do serviço - será executado pela Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - Etir quando houver detecção de um incidente por alguma unidade; d) descrição das funções e procedimentos que compõe o serviço - o Agente Responsável realizará as atividades e procedimentos de acordo com diretrizes devidamente normatizadas e em conformidade com a Política de Segurança da Informação do Ministério do Trabalho e Emprego; e) metodologia - o Agente Responsável, conjuntamente com seus técnicos, analisará relatórios gerados por aplicativos devidamente instituídos no Ministério e, a partir de tais informações, elaborará relatório com a ação ou recomendação a ser tomada; e f) tempo de tratamento - imediato; II - tratamento de artefatos maliciosos: a) definição - serviço de receber informações ou cópia de artefato malicioso que foi utilizado no ataque, ou em qualquer atividade desautorizada ou maliciosa. Após recebido, é analisado, com vistas a buscar a natureza do artefato, seu mecanismo, versão e objetivo, para que seja desenvolvida ou sugerida uma estratégia de detecção, remoção e defesa; b) tipo do serviço - reativo; c) disponibilidade do serviço o serviço será executado - Etir quando houver o requerimento do usuário ou a detecção por meio de software ou outra ferramenta de gestão; d) descrição das funções e procedimentos que compõe o serviço - a equipe realizará as seguintes atividades: 1. recebimento da informação ou cópia de artefato malicioso que foi utilizado no ataque, ou em qualquer atividade desautorizada ou maliciosa; 2. análise do artefato malicioso, inclusive busca e natureza do artefato, seu mecanismo, versão e objetivo; e 3. desenvolvimento de uma estratégia para detecção, remoção e defesa; e) metodologia: 1. o serviço será realizado de acordo com o risco em que o artefato está classificado; 2. o tratamento se dará, primeiramente, em tentativa de recuperação, na hipótese de ser um ativo do Ministério, e de eliminação se for objeto fora do escopo do Ministério; e 3. será elaborado relatório sobre a referida incidência; f) tempo de tratamento: a depender da complexidade e urgência do caso; III - tratamento de vulnerabilidades: a) definição - serviço de receber informações sobre vulnerabilidades, sejam em hardware ou software, com vistas a analisar a natureza, o mecanismo e suas consequências e desenvolver estratégias para detecção e correção; b) tipo do serviço - reativo; c) disponibilidade do serviço - o serviço será executado pela Etir quando houver o requerimento do usuário ou Agente Responsável e antes e depois de qualquer aquisição de ativo de tecnologia da informação; d) descrição das funções e procedimentos que compõe o serviço - o serviço contemplará as seguintes atividades: 1. recebimento de informações sobre vulnerabilidades em hardware ou software; 2. análise de sua natureza, seu mecanismo e suas consequências; e 3. desenvolvimento de estratégias para detecção e correção (emissão de relatório); e) metodologia - o serviço só será requerido pelo próprio usuário, por sua chefia imediata ou hierarquicamente superior ao Agente Responsável, que emitirá relatório com a ação ou recomendação a ser tomada; e f) tempo de tratamento - a depender da complexidade e urgência do caso; IV - detecção de intrusão: a) definição - análise do histórico de dispositivos que detectam as tentativas de intrusões em redes de computadores, com vistas a: 1. identificar e iniciar, mediante autorização, os procedimentos de resposta a incidentes de segurança em redes computacionais, com base em eventos com características pré-definidas, que possam levar a uma possível intrusão e; 2.possibilitar envio de alerta em consonância com o padrão de comunicação previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo; b) tipo do serviço - proativo; c) disponibilidade do serviço - o serviço serÁ executado quando houver o requerimento por pessoa competente na sua respectiva unidade através da Etir e quando houver indícios de acesso não autorizado; d) descrição das funções e procedimentos que compõe o serviço - a Equipe realizará as seguintes atividades: 1. análise periódica no histórico - log de dispositivos que detectam tentativas de intrusões em redes de computadores, com vistas a identificar e iniciar, mediante autorização, os procedimentos de resposta a incidentes de segurança em redes computacionais; 2. identificação de eventos com características pré-definidas que possam levar a uma possível intrusão; 3. envio de alerta em consonância com o padrão de comunicação previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo; e 4. emissão de relatórios sobre a invasão descrevendo o ambiente ou ativos envolvidos; e) metodologia - a Equipe analisará o ambiente ou os ativos envolvidos e emitirá relatório sobre a invasão; e f) tempo de tratamento - a depender da complexidade e urgência do caso. ANEXO XI COMITÊ DE PARTICIPAÇÃO SOCIAL Art. 1º O Comitê de Participação Social - CPS do Ministério do Trabalho e Emprego, de caráter assessório, estratégico e consultivo, tem a finalidade de assessorar o Comitê de Governança Estratégica no tocante à implementação das diretrizes e recomendações do Conselho de Participação Social do Governo Federal. Art. 2º Ao Comitê de Participação Social - CPS compete: I - prestar assessoria técnica ao Comitê de Governança Estratégica - CGE no tocante à implementação das diretrizes e recomendações do Conselho de Participação Social do Governo Federal, de que trata o Decreto nº 11.406, de 31 de janeiro de 2023, ou estabelecidas pelo Sistema de Participação Social Interministerial, de que trata o Decreto nº 11.407, de 31 de janeiro de 2023; II - propor políticas para estabelecer as relações do Ministério com os diferentes segmentos da sociedade civil na aplicação das políticas públicas; III - propor diretrizes para fortalecimento do diálogo e da interlocução com as organizações da sociedade civil e com a representação de movimentos sindicais e populares; IV - promover o monitoramento das deliberações dos órgãos colegiados existentes na estrutura do Ministério; e V - fomentar a parceria entre os órgãos e entidade vinculada do Ministério do Trabalho e Emprego para o desenvolvimento de ações referentes à participação social; Parágrafo único. O CPS poderá editar resoluções para o desempenho de suas competências e para as deliberações do CGE, por meio de publicação no Boletim de Serviço do MTE. Art. 3º O CPS será composto por representantes vinculados às seguintes unidades da estrutura organizacional do Ministério: I - Gabinete do Ministro; II - Secretaria-Executiva; III - Assessoria de Participação Social e Diversidade; IV - Assessoria Especial de Promoção da Igualdade no Trabalho; V - Assessoria Especial de Articulação de Políticas de Trabalho para o Desenvolvimento; VI - Representantes dos órgãos específicos singulares. § 1º O Coordenador do CPS e seu respectivo suplente serão designados em ato do Ministro de Estado do Trabalho e Emprego. § 2º A Coordenação do CPS poderá convidar representantes de outros órgãos e de unidades da estrutura organizacional do Ministério, com vistas a colaborar com atividades técnicas e à internalização de diretrizes gerais. Art. 4º O Comitê se reunirá por convocação do Coordenador ou de seu substituto. § 1º Os membros do CPS que se encontrarem no Distrito Federal se reunirão presencialmente ou por videoconferência, nos termos do disposto no Decreto nº 10.416, de 7 de julho de 2020, e os membros que se encontrarem em outros entes federativos participarão da reunião, preferencialmente, por meio de videoconferência, facultada a realização de reunião presencial, quando necessário. As reuniões poderão ser realizadas por videoconferência, salvo na hipótese de ser demonstrada, de modo fundamentado, a inviabilidade ou a inconveniência de realização nesse formato. § 2º O quórum de reunião do Comitê é de maioria absoluta e o quórum de aprovação é de maioria simples. § 3º Na hipótese de empate, além do voto ordinário, o Coordenador terá o voto de qualidade. Art. 5º O Comitê poderá criar comissões técnicas para elaboração de políticas, diretrizes, planos, normas técnicas ou operacionais sobre os temas de sua atuação. Art. 6º A participação no Comitê será considerada prestação de serviço público relevante, não remunerada. Art. 7º Casos omissos e dúvidas na aplicação do Anexo XI serão dirimidas pelo Chefe da Assessoria Especial de Participação Social e Diversidade. Art. 8º O Gabinete do Ministro poderá estabelecer diretrizes para o planejamento e a operacionalização do disposto neste Anexo. ANEXO XII DO PROCESSO DE GESTÃO ESTRATÉGICA Art. 1º Gestão estratégica é o processo gerencial contínuo e sistemático que objetiva definir a direção a ser seguida pelo Ministério do Trabalho e Emprego, com vistas a otimizar sua relação com os ambientes interno e externo, por meio do alcance dos objetivos propostos. Parágrafo único. O processo de gestão estratégica inclui as etapas de elaboração, de monitoramento, de avaliação e de revisão. Art. 2º A gestão estratégica será conformada em conjunto de normas, documentos e sistemas. § 1º O planejamento estratégico do Ministério será elaborado e publicado até o dia 30 de novembro do primeiro ano do mandato presidencial e será alinhado com o Plano Plurianual - PPA. § 2º O Ministro de Estado do Trabalho e Emprego, o Secretário- Executivo ou o Secretário- Executivo Adjunto priorizarão os objetivos, os indicadores, as metas e os projetos. § 3º Para fins deste Anexo, consideram-se: I - objetivos - os desafios a que a organização se propõe para cumprir sua missão e alcançar sua visão de futuro no cumprimento do papel institucional que lhe é reservado; II - indicadores - os elementos de medição do alcance dos objetivos definidos para análise da efetividade da estratégia; III - metas - os resultados quantitativo ou qualitativo que a organização pretende alcançar em prazo determinado, com vistas ao atingimento de seus objetivos; e IV - projetos - as iniciativas temporárias que estão diretamente associadas ao alcance dos objetivos. § 4º O planejamento estratégico do Ministério será aprovado pelo Ministro de Estado do Trabalho e Emprego.