DOU 19/05/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025051900072 72 Nº 92, segunda-feira, 19 de maio de 2025 ISSN 1677-7042 Seção 1 Seção II Uso dos recursos de acesso à Internet Art. 19 O acesso à internet deve ser realizado por meio das conexões disponibilizadas e autorizadas pela ANM e poderão ser utilizados ferramentas de monitoramento e controle de tráfego para fins de aplicação desta Política. Art. 20 A internet não deve ser utilizada para fins que não condizem com as atividades de trabalho da ANM. Parágrafo único. Páginas de internet que possuam conteúdos restritos ou nocivos serão bloqueadas e sua liberação dependerá de análise por parte da STI. Seção III Acesso remoto ao ambiente de rede corporativa da ANM - VPN Art. 21 O acesso remoto à rede corporativa deverá ser realizado exclusivamente por meio de VPN autorizada pela STI, que será responsável pela definição e concessão desse tipo de acesso, garantindo sua segurança. § 1º Qualquer software ou ferramenta que permita acesso remoto não autorizado pela STI será bloqueado, a fim de garantir a integridade e a segurança da rede corporativa, sem prejuízos à eventual adoção de medidas previstas em outros normativos. § 2º A STI realizará, anualmente, a reavaliação dos servidores e usuários com acesso à VPN, para garantir que os acessos privilegiados atendam às necessidades técnicas e funcionais estabelecidas. Art. 22 Todos os acessos remotos à rede corporativa deverão ser realizados com o uso de autenticação de duplo fator (2FA), conforme as condições e formas definidas pela STI, que será responsável pela implementação e monitoramento dessa medida de segurança. Art. 23 Devem ser gerados e armazenados registros de auditoria (logs) dos acessos remotos, contendo informações sobre o usuário, data, hora, e outras informações pertinentes, possibilitando o rastreamento detalhado e a posterior auditoria das ações realizadas. Seção IV Impressoras e scanners corporativos Art. 24 É vedada a utilização das impressoras e scanners para fins pessoais, cabendo à STI a implementação de controles, mediante a utilização da conta de acesso, e notificação em caso de infração ao disposto nos normativos que regulam o uso dos recursos de TI da ANM. Seção V Ambiente Datacenter Art. 25 O ambiente datacenter da ANM é composto por todos os equipamentos centrais pertencentes à sua infraestrutura tecnológica, bem como pelas salas localizadas nas unidades regionais onde estejam instalados os equipamentos de TIC principais de cada rede local regionalizada. § 1º O acesso físico a esses locais, e consequentemente aos equipamentos existentes neles, é permitido somente por pessoas autorizadas pela STI ou, no âmbito das Gerências Regionais, pelo Gerente Regional. CAPÍTULO IV SEGURANÇA DA REDE CORPORATIVA Seção I Monitoramento da rede corporativa Art. 26 A STI deve manter na rede corporativa, mecanismos que permitam identificar e rastrear os endereços de origem e destino, bem como os serviços utilizados, armazenando os respectivos registros de auditoria, também chamados de logs (Ref. NC 07/IN01/DSIC/GSIPR). Art. 27 A fim de preservar a integridade das informações institucionais, a imagem da organização e garantir a segurança de seus sistemas e, também, para fins de apuração de eventual prática indevida, poderão ser monitorados, de forma contínua, e gerados relatórios anuais sobre os seguintes conteúdos: I - endereços de correio eletrônico; II - sites acessados; III - arquivos residentes em recursos de tecnologia da informação e afins; IV - programas de computador (software); e V - bases específicas de controle (logs). Parágrafo único. O conteúdo das mensagens de correio eletrônico e dos arquivos armazenados nas estações de trabalho só serão acessados, sob demanda, nos casos previstos no art. 13. Seção II Proteção contra códigos maliciosos Art. 28 Os recursos de TI devem estar providos de soluções de detecção e bloqueio de programas com códigos maliciosos, como antispyware, antivírus e filtros de análise de conteúdo de correio eletrônico e tráfego internet. § 1º O software antivírus é obrigatório nos recursos de TI disponibilizados aos usuários e deve ser mantido sempre ativado e atualizado. § 2º O software antivírus deve ser configurado para executar a varredura completa nos recursos de TI da Agência, com periodicidade máxima semanal. § 3º É proibida a inativação do antivírus ou a interrupção da execução da varredura pelo usuário da rede, sem prejuízos à eventual adoção de medidas previstas em outros normativos. Seção III Do tratamento de incidentes de segurança Art. 29 A Equipe de Tratamento e Resposta a Incidentes - ETIR, instituída pela PORTARIA ANM Nº 1507, DE 21 DE DEZEMBRO DE 2023, tem como missão receber, analisar e propor respostas a notificações e realização de ações e medidas necessárias para reforçar a resposta ou a postura da organização, na recuperação de incidentes cibernéticos. Art. 30 Compete à ETIR: I - o tratamento de incidentes e artefatos maliciosos; II - o tratamento de vulnerabilidades na rede da ANM; III - a emissão de alertas e advertências, em resposta a um incidente de segurança ocorrido; IV - o anúncio aos usuários sobre vulnerabilidades identificadas e formas de mitigá-las; V - a prospecção de novas tecnologias relativas à segurança da informação; e VI - a avaliação da infraestrutura de segurança. Parágrafo único. Deve ser mantido o registro de todos os incidentes notificados ou detectados, com a finalidade de assegurar o registro histórico das atividades da ETIR. Art. 31 Os usuários da rede devem, por meio da caixa corporativa [email protected], informar à ETIR sobre quaisquer incidentes ou vulnerabilidades de segurança que tomarem conhecimento no ambiente tecnológico da ANM. Seção IV Acesso de usuários externos ao ambiente de rede corporativa da ANM Art. 32 A disponibilização de serviços da rede corporativa interna da ANM para usuários externos deverá ser solicitada pelas áreas demandantes à STI, mediante a apresentação de: I - Justificativa detalhada para o acesso solicitado; II - Período de acesso necessário; III - Identificação completa dos usuários externos que terão acesso; IV - Termo de sigilo e conformidade com as normas de segurança e uso da ANM, assinado pelos usuários externos. § 1º As solicitações serão analisadas pela STI, com base nos seguintes critérios: a) Imprescindibilidade do acesso para a execução das tarefas justificadas; b) Avaliação de riscos à cibersegurança da rede corporativa da ANM; c) Adequação às políticas e normas de segurança institucional. § 2º Caberá à STI a decisão final quanto à aprovação e liberação do acesso solicitado, podendo definir condições específicas ou negar o pedido caso os riscos superem os benefícios apresentados. Seção V Acesso à Rede sem fio corporativa da ANM Art. 33 A ANM proverá, para os usuários de sua rede corporativa, acesso à internet por meio de rede sem fio, disponível nas dependências da Agência. § 1º Os usuários que possuem conta de acesso, deverão utilizar a mesma conta para utilizar a rede sem fio; § 2º Durante a realização de eventos, poderá ser disponibilizada aos participantes mediante solicitação prévia à STI, rede específica para acesso temporário à internet. Seção VI Solicitação de Acesso aos Registros de Auditoria (logs) Art. 34 Poderão ser mantidos registros de auditoria (logs) para os sistemas específicos, conforme necessidade levantada durante o desenvolvimento do referido sistema, e registros de auditoria gerais para monitorar as atividades da rede, contemplando: I - acesso à rede corporativa; II - acesso à internet; e III - utilização de VPN. Art. 35 Os registros de auditoria poderão ser solicitados à STI pela autoridade competente ou pela Diretoria Colegiada, resguardados os aspectos relativos à privacidade de dados, devendo ser devidamente justificados e formalizados. Art. 36 Os registros de auditoria gerados pelos sistemas específicos poderão ser solicitados pelo respectivo proprietário do ativo da informação ou pelo chefe da unidade organizacional correspondente, devendo ser devidamente justificados e formalizados. Parágrafo único. Caso seja necessário, poderão ser também solicitadas à STI auditorias técnicas específicas para dirimir eventuais dúvidas quanto à integridade dos dados armazenados. CAPÍTULO V CÓPIA DE SEGURANÇA (BACKUP) E RETENÇÃO DE DADOS Art. 37 Os arquivos definidos como de necessária salvaguarda na ANM terão suas cópias de segurança executadas seguindo a Política de Backup formalmente aprovada no âmbito da Autarquia. CAPÍTULO VI USO SEGURO DAS REDES SOCIAIS INSTITUCIONAIS DA ANM Art. 38 O uso seguro das redes sociais em que a ANM esteja inserida deve estar alinhado tanto à PSI quanto aos objetivos estratégicos da organização. Art. 39 Os perfis institucionais mantidos nas redes sociais existentes devem, preferencialmente, ser administrados e gerenciados por equipes integradas exclusivamente por servidores da ANM. Quando não for possível, a equipe pode ser mista, desde que sob a coordenação e responsabilidade de um servidor ou empregado público. Art. 40 É vedada a terceirização completa da administração e da gestão de perfis institucionais da ANM nas redes sociais. Art. 41 A ANM deve nomear um servidor público para a função de Agente responsável pela gestão do uso seguro de cada perfil institucional nas redes sociais. Art. 42 Os servidores responsáveis pela gestão das contas da ANM em redes sociais devem adotar boas práticas de segurança na administração desses acessos, assegurando a proteção contra acessos indevidos e preservando a integridade da imagem institucional. § 1º Sempre que possível, as seguintes medidas devem ser observadas: I - Utilização de senhas de alta complexidade; II - Ativação de autenticação de duplo fator (2FA); III - Proibição de compartilhamento de senhas com pessoas não diretamente envolvidas nas atividades de gestão dessas contas. § 2º As senhas das contas em redes sociais devem ser trocadas regularmente, com periodicidade semelhante à estabelecida para as contas corporativas da ANM, visando a padronização e o reforço da segurança. CAPÍTULO VII DA GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO Art. 43 As áreas responsáveis por ativos de informação devem implantar processos contínuos de gestão de riscos, os quais serão aplicados na implementação e operação da gestão de segurança da informação e comunicações da ANM. Parágrafo único. A gestão de riscos de tecnologia da informação deve avaliar os riscos relativos à segurança dos ativos de informação e a conformidade com exigências regulatórias ou legais vigentes. Art. 44 A gestão de riscos de segurança da informação e comunicações será regulamentada por uma norma específica na ANM, que deve utilizar como base a Norma Complementar nº 04/IN01/DSIC/GSIPR, que fornece as diretrizes para o processo de Gestão de Riscos de Segurança da Informação e Comunicações, ou por norma específica que esteja vigente. CAPÍTULO VIII DA CLASSIFICAÇÃO DA INFORMAÇÃO Art. 45 Informações geradas, adquiridas ou custodiadas pela ANM devem possuir classificação para indicar a necessidade, a prioridade e o nível esperado de proteção quanto ao seu tratamento, de acordo com a Lei de Acesso à Informação (LAI), Lei nº 12.527/2011. Parágrafo único. Quando classificadas, serão observadas as exigências das atividades da organização, considerando as implicações que um determinado grau de classificação trará para os seus objetivos institucionais observando a legislação em vigor. CAPÍTULO IX DAS DIRETRIZES PARA A AQUISIÇÃO E DESENVOLVIMENTO DE SOFTWARE Art. 46 A STI deve estabelecer critérios de segurança da informação para a aquisição, desenvolvimento e manutenção de softwares na ANM. Parágrafo único. As diretrizes para um software seguro devem seguir o que está descrito na Norma Complementar nº 16/IN01/DSIC/GSIPR, que estabelece tais critérios para os órgãos e entidades da Administração Pública Federal, direta e indireta, ou por outra norma equivalente posterior. CAPÍTULO X DA PRIVACIDADE DOS DADOS PESSOAIS Art. 47 A Política de Privacidade de Dados da ANM é regulamentada pela INSTRUÇÃO NORMATIVA ANM Nº 8, DE 03 DE FEVEREIRO DE 2023, ou outra norma equivalente posterior, a qual deve ser observada conjuntamente quando se tratar de dados pessoais, em conformidade com a Lei Geral de Proteção de Dados - Lei nº 13.709/18. CAPÍTULO XI DISPOSIÇÕES FINAIS Art. 48 As infrações ao disposto nesta Resolução estão sujeitas aos processos e penalizações previstas nas legislações de regência. Art. 49 Fica revogada a RESOLUÇÃO ANM Nº 54, DE 13 DE JANEIRO DE 2021. Art. 50 Esta Resolução entra em vigor na data de sua publicação. MAURO HENRIQUE MOREIRA SOUSA Diretor ANEXO I MODELO DE TERMO DE RESPONSABILIDADE E SIGILO Declaro ter conhecimento da Política de Segurança da Informação (PSI) da Agência Nacional de Mineração (ANM) e suas normas específicas, e estou ciente dos princípios de conduta ética e moral que regem todas as relações de trabalho e atividades exercidas. Comprometo-me a realizar meu trabalho de forma íntegra, respeitando os preceitos fundamentais que pautam a missão, a visão e os valores desta instituição. Afirmo que as normas constantes na PSI, os princípios éticos e demais parâmetros de conduta orientarão o meu comportamento em todas as futuras iniciativas e decisões profissionais, como usuário de ativos de informação.