DOU 12/03/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152024031200056 56 Nº 49, terça-feira, 12 de março de 2024 ISSN 1677-7042 Seção 1 XVI - criar e manter canal de comunicação com a Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da República - SSIC/GSI/PR, com o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR.gov), com o Centro Integrado de Segurança Cibernética (CISC) da Secretaria de Governo Digital e com a Agência Nacional de Proteção de Dados (ANPD); XVII - criar a rede ETIR-MDS circunscrevendo todo o contexto do Ministério e integrando a ETIR Central e a ETIR descentralizada; XVIII - fornecer suporte e resposta auxiliando os usuários no tratamento e na resposta aos incidentes de segurança cibernética; XIX - realizar as atividades de prevenção, de tratamento e de resposta a incidentes cibernéticos em seu âmbito de atuação; XX - apoiar a condução da Política de Segurança da Informação - POSIN nas atividades relacionadas à gestão de incidentes; XXI - priorizar a continuidade dos ativos e serviços corporativos de TI; XXII - cumprir o previsto no Plano de Gestão de Vulnerabilidades e no Plano de Gestão de Incidentes Cibernéticos; XXIII - apoiar o Gestor de Segurança da Informação nos contatos com os órgãos competentes relacionados à segurança da informação e cibernética, gestão de incidentes e proteção de dados pessoais; XXIV - comunicar ao CTIR Gov, imediatamente, de acordo com seu modelo de atuação, a ocorrência de incidentes de segurança cibernética, conforme os requisitos definidos por aquele Centro; XXV - manter uma base de conhecimento sobre os registros, ações de contenção e recuperação, bem como as lições aprendidas relacionados aos incidentes cibernéticos; XXVI - disponibilizar, quando solicitados, relatórios sobre as atividades de sua competência ao CIG, CGD, gestor de segurança da informação, encarregado de proteção de dados ou ao gestor de TI do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; XXVII - integrar e cooperar com a Rede de Prevenção, Tratamento e Resposta a Incidentes cibernéticos (RegSIC) e equipes equivalentes de segurança da informação de acordo com os protocolos de cooperação estabelecidos; XXVIII - participar de eventos relativos à segurança da informação e segurança cibernética; XXIX - subsidiar o Agente Responsável, o Gestor de Segurança, o Encarregado de Proteção de dados, o Gestor de TI, o Comitê de Governança Digital e o Comitê Interno de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome com informações e evidências coletadas em apurações quando da suspeita de ocorrências de quebras de segurança e/ou violações de segurança da informação; e XXX - propor ações de capacitação relacionadas à segurança cibernética. Art. 4º Ao Coordenador-Geral de Governança de Tecnologia da Informação cabe: I - definir o Agente Responsável pela ETIR com atribuições de gerência, distribuições de demandas e organizações estruturais; II - propor recursos necessários à capacitação dos membros da ETIR; III - promover a capacitação dos membros da ETIR, aprimorando conhecimentos técnicos na ação do tratamento dos Incidentes de Segurança da informação; IV - proporcionar que a ETIR funcione como uma rede interna e que suporte ações relacionadas atividades propostas, designando atribuições e ocupações para os representantes das áreas setoriais que possuam atribuições de Tecnologia da Informação deste Ministério; V - assegurar que os incidentes relacionados à Segurança Cibernético no ambiente deste Ministério sejam inspecionados e registrados em uma base de conhecimento sobre os incidentes de segurança da informação para auxiliar estudos, análises, decisões e comunicação com os órgãos competentes; VI - garantir que haja um canal nas comunicações entre os envolvidos no tratamento dos incidentes de segurança e equipes governamentais; VII - propor alterações nas composições, autonomias, modelos de implementações e estrutura organizacional da ETIR; e VIII - propor procedimentos e ações, quando necessário, de adequações e alterações na POSIN; Art. 5º Ao Coordenador-Geral de Gestão de Dados e Informações cabe: I - sugerir e prescrever ações nos incidentes de segurança da informação relacionados a bases de dados; e II - analisar, examinar e agir na contenção de incidentes de segurança relacionado a bases de dados. Art. 6º Ao Coordenador-Geral de Sistemas cabe: I - sugerir e prescrever ações nos incidentes de segurança da informação relacionados aos sistemas corporativos; e II - analisar, examinar e agir na contenção de incidentes de segurança relacionado aos sistemas corporativos. Art. 7º Ao Coordenador-Geral de Infraestrutura cabe: I - garantir as atualizações quanto aos incidentes de segurança da informação, mantendo de forma atualizada as situações no tratamento com relatórios para subsidiar a base de conhecimento sobre incidentes de segurança da informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; II - proceder com ações ativas e reativas nos incidentes relacionados aos ativos de redes, estações de trabalho e equipamentos de TI do Ministério; III - preconizar ações em providências e recuperação do ambiente pós incidente; IV - promover estudos e análise dos incidentes de Segurança da Informação em todo o ambiente institucional apresentando regularmente relatórios relacionados a eventos e incidentes de segurança da informação, apresentando as ações implementadas e propostas de melhorias nos ativos de informação; e V - As responsabilidades serão destinadas para os coordenadores que, quando estiverem impedidos das suas atribuições na ETIR, os substitutos deverão assumir as obrigações. Art. 8º Cabe ao Agente Responsável pela ETIR: I - chefiar e gerenciar a equipe de prevenção, tratamento e resposta a incidentes cibernéticos; II - cumprir o estabelecido na legislação relacionada ao tema Segurança da Informação no seu âmbito de atuação; e III - comunicar a ocorrência de incidentes de segurança cibernética aos órgãos competentes de acordo com as orientações daqueles órgãos. Art. 9º Cabe ao Gestor de Segurança da Informação: I - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos; II - avaliar o Plano de Gestão de Incidentes Cibernéticos; III - avaliar o Plano de Gestão de Vulnerabilidades; IV - subsidiar as comunicações com os órgãos competentes; V - apresentar, quando solicitado, os resultados das atividades da ETIR ao Comitê de Governança Digital e ao Comitê Interno de Governança do Ministério; e VI - informar aos órgãos competentes sobre a necessidade da adoção de procedimentos legais, cíveis, disciplinares ou administrativos em razão da existência de indícios de ilícitos criminais, abuso ou negligência no tratamento de incidentes cibernéticos. Art. 10 Cabe aos agentes responsáveis pelas unidades administrativas do Ministério: I - informar imediatamente à ETIR a ocorrência de incidentes de segurança cibernética. Parágrafo único. O Agente Responsável pela ETIR Central poderá atribuir outras responsabilidades para que os membros da ETIR Descentralizada exerçam atividades de forma proativa. CAPÍTULO III DO PÚBLICO-ALVO Art. 11 A ETIR atenderá aos usuários dos ativos de informação institucional vinculados aos órgãos de assistência direta e imediata ao Ministro e aos órgãos específicos singulares e colegiados que integram o Comitê Interno de Governança e o Comitê de Governança Digital. Art. 12 A ETIR emitirá informativos sobre novas vulnerabilidades e novas atualizações utilizando os seguintes meios de comunicação: e-mails informativos, publicações, intranet, além de feedback dos incidentes tratados. CAPÍTULO IV DA COMUNICAÇÃO Art. 13 A comunicação dos incidentes de segurança nos ativos de informação à ETIR será feita por meio de: I - e-mail, pelo endereço: [email protected]; II - contato telefônico via central de suporte e atendimento ao usuário (61) 2030-1500 para usuários do Ministério; III - correspondências oficiais (memorandos, ofícios); IV - pessoalmente, em casos emergenciais; e V - ferramental tecnológico, eventos detectados pelo monitoramento da ETIR. CAPÍTULO V DO REGISTRO DE INCIDENTES CIBERNÉTICOS Art. 14 Todo incidente de segurança cibernética deve ser registrado e utilizado na composição de uma base de conhecimento sobre incidentes cibernéticos, preferencialmente em software específico, homologado pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, por membro da equipe central da ETIR que procederá com a consolidação das informações. Caso o incidente ocorra no período de plantão ou que o membro da ETIR não esteja presente, o registro ficará a cargo do Coordenador de Operações da Subsecretaria de Tecnologia da Informação. CAPÍTULO VI DA ESTRUTURA DA ETIR Art. 15 A ETIR deve atuar em rede, sendo composta pela STI, unidades administrativas e as áreas de Tecnologia da Informação descentralizadas. Art. 16 A estrutura da ETIR deve ter nível de técnico adequado às suas funções, de forma proativa, sobre a orientação e fiscalização do Agente responsável pela equipe. Art. 17 Ficam designados os seguintes servidores para compor a ETIR Central: I - Titular; II - Suplente; III - Coordenador-Geral de Gestão de Governança de Tecnologia da Informação; IV - Coordenador(a) de Planejamento; V - Coordenador-Geral de Infraestrutura; VI - Coordenador(a) de Operações; VII - Coordenador-Geral de Sistemas; VIII - Coordenador(a) de Qualidade de Sistemas; IX - Coordenador-Geral de Gestão de Dados e Informações; X - Coordenador de Qualidade de Dados; XI - Agente Responsável pela Unidade Administrativa; e XII - Indicado pelo gestor da unidade na composição do CGDMDS. Art. 18 Considerando a Política de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, bem como as instâncias que compõem o arranjo de governança interna, ficam os membros designados para compor o Comitê de Governança Digital como agentes responsáveis pela ETIR descentralizada e seus respectivos suplentes das unidades administrativas do Ministério. Art. 19 A critério do Agente Responsável pela ETIR , poderão ser convidados prepostos, técnicos e especialistas dos fornecedores e prestadores de serviços, empresas públicas e academias para integrarem a ETIR Descentralizada. Parágrafo único. A lista com o nome, cargo, e-mail e telefone de contato dos integrantes da ETIR deverá ser mantida atualizada pelo Agente Responsável pela ETIR e disponibilizada, quando necessário, às autoridades competentes.