DOU 29/05/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025052900072 72 Nº 100, quinta-feira, 29 de maio de 2025 ISSN 1677-7042 Seção 1 VI - por um representante da Coordenação-Geral de Tecnologia da Informação. Parágrafo único. Cada membro do colegiado possuirá um suplente formalmente designado, que o substituirá em suas ausências ou impedimentos legais. Art. 4º Ato do Diretor-Presidente da ANPD designará os membros titulares e suplentes de que tratam os incisos II a VI do caput do art. 3º em até 30 (trinta dias) após a publicação desta Resolução. Seção III Do Funcionamento Art. 5º A Secretaria-Executiva do CSIN/ANPD será exercida pela Coordenação- Geral de Tecnologia da Informação da ANPD. Art. 6º O CSIN/ANPD se reunirá em caráter ordinário, quadrimestralmente e, em caráter extraordinário, por convocação do seu coordenador ou por solicitação fundamentada de um dos seus membros. § 1º O quórum das reuniões do CSIN/ANPD é de maioria absoluta de seus membros. § 2º As reuniões do CSIN/ANPD serão realizadas presencialmente ou por videoconferência. § 3º As deliberações do CSIN/ANPD serão tomadas por votos da maioria simples de seus membros titulares, ou suplentes, quando em substituição, cabendo ao Coordenador do CSIN/ANPD o voto de qualidade nos casos de empate. § 4º Os suplentes poderão participar livremente das reuniões, tendo direito a voto somente quando estiverem na qualidade de substituto do representante titular. § 5º O Coordenador do CSIN/ANPD poderá convidar representantes de outras unidades da ANPD para participar de suas reuniões, sem direito a voto. § 6º Os Diretores da ANPD poderão indicar representantes para acompanhar as reuniões do CSIN/ANPD, sem direito a voto. § 7º O encarregado pelo tratamento de dados pessoais será convidado para participar das reuniões do CSIN sempre que a matéria em pauta envolver o tratamento de dados pessoais, devendo prestar assistência e orientação ao Comitê, na forma da RESOLUÇÃO CD/ANPD Nº 18, DE 16 DE JULHO DE 2024. TÍTULO III DISPOSIÇÕES FINAIS Art. 7º A participação no CSIN será considerada prestação de serviço público relevante, não remunerada. Art. 8º Esta Resolução entra em vigor na data de sua publicação. ARTHUR PEREIRA SABBAT Diretor-Presidente Substituto RESOLUÇÃO CD/ANPD Nº 27, DE 28 DE MAIO DE 2025 Institui a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados. O CONSELHO DIRETOR DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS - ANPD, no uso das atribuições que lhe são conferidas pelo inciso I do art. 55-C da Lei nº 13.709, de 14 de agosto de 2018, pelo § 1º do art. 3º do Anexo I do Decreto nº 10.474, de 26 de agosto de 2020, e tendo em vista o disposto no Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação (PNSI), no Decreto nº 10.748, de 16 de julho de 2021, que institui a Rede Federal de Gestão de Incidentes Cibernéticos, e na Portaria SGD/MGI n° 852, de 28 de março de 2023, que dispõe sobre o Programa de Privacidade e Segurança da Informação - PPSI, resolve: TÍTULO I DISPOSIÇÕES PRELIMINARES Art. 1º Fica instituída a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da ANPD, com a responsabilidade de prestar serviços relacionados à segurança cibernética para a ANPD, em observância à política de segurança da informação e aos processos internos de gestão de riscos de segurança da informação da autarquia. TÍTULO II DISPOSIÇÕES GERAIS CAPÍTULO I EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES C I B E R N É T I CO S Seção I Da Missão Art. 2º A ETIR/ANPD tem por missão coordenar as ações de prevenção, tratamento e resposta a incidentes de segurança cibernética nos ativos de informações da ANPD, com o objetivo de minimizar vulnerabilidades e ameaças que possam comprometer a missão da ANPD. Seção II Público-alvo Art. 3º A ETIR/ANPD terá como público-alvo os usuários da rede corporativa de computadores, dos sistemas e dos serviços disponibilizados pela ANPD. Art. 4º O registro e notificação de incidentes serão feitos por meio de plataforma de comunicação interna e/ou externa, mantida pela ETIR/ANPD, garantindo o fluxo eficiente de informações entre a equipe e os gestores responsáveis. Parágrafo único. Os canais oficiais de comunicação para realização de notificações de incidentes de segurança deverão ser amplamente divulgados no sítio eletrônico e na intranet da ANPD. Seção III Das Competências Art. 5º Compete à ETIR/ANPD: I - monitorar e detectar incidentes de segurança cibernética, por meio do acompanhamento contínuo dos ativos de informação; II - receber, analisar, filtrar, classificar, responder solicitações, alertas e notificações, investigar e tratar os incidentes de segurança cibernética, adotando medidas corretivas e preventivas para mitigação dos impactos; III - manter registro e documentação de todos os incidentes de segurança cibernética, assegurando a rastreabilidade dos eventos e a geração de relatórios periódicos para avaliação; IV - propor e implementar planos de resposta a incidentes, a serem aprovados pelo Comitê de Segurança da Informação (CSIN); V - recomendar ajustes e melhorias nas políticas, procedimentos e controles de segurança cibernética, com base nas lições aprendidas durante o tratamento de incidentes; VI - participar de auditorias e revisões de conformidade em segurança da informação; VII - promover a capacitação das equipes envolvidas, por meio de treinamentos atualizados em técnicas de resposta e análise de incidentes, ferramentas de segurança cibernética, regulamentações aplicáveis e melhores práticas; VIII - promover a conscientização e o treinamento contínuo dos servidores e colaboradores sobre práticas de segurança cibernética, conforme as diretrizes estabelecidas pela Política de Segurança da Informação (POSIN) da ANPD e pelo Programa de Privacidade e Segurança da Informação (PPSI); IX - integrar as ações de resposta a incidentes com outros órgãos da Administração Pública Federal, quando necessário, respeitando as diretrizes e normas estabelecidas pela Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), nos termos do Decreto 10.748, de 16 de julho de 2021; X - participar em fóruns e redes nacionais e internacionais para tratar sobre segurança cibernética; XI - estabelecer comunicação direta com o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov, a Rede Federal de Gestão de Incidentes Cibernéticos - ReGIC, o Centro de Segurança Cibernética Integrado do Governo Digital do Brasil - CSIC Gov.br e outras equipes similares da Administração Pública Federal; e XII - assessorar a área de comunicação da ANPD durante os incidentes críticos. Art. 6º Compete ao Gestor de Segurança da Informação: I - coordenar e supervisionar as atividades da ETIR/ANPD, atuando como Agente Responsável, na forma da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009; II - reportar à alta administração do órgão, em especial ao CSIN, e ao Coordenador-Geral de Tecnologia da Informação (CGTI/ANPD), sobre os incidentes de segurança e sobre as atividades da equipe; III - representar a ETIR/ANPD em eventos e fóruns de segurança da informação; IV - promover a interface com o Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federal - CTIR GOV; e V - criar os procedimentos internos, gerenciar as atividades e distribuir tarefas para a Equipe ou Equipes que compõem a ETIR. Art. 7º Compete aos membros da ETIR/ANPD: I - promover a cultura de privacidade desde a concepção e por padrão nas soluções de TI, incorporando requisitos e medidas de segurança da informação; II - apoiar tecnicamente no tratamento e investigação de incidentes de segurança da informação; III - apoiar na elaboração e análise de relatórios de incidentes de segurança da informação; e IV - analisar recomendações de correção de vulnerabilidades encontradas nas soluções de TI e avaliar os riscos da aplicação ou não de tais correções. Seção IV Do Modelo de Implementação Art. 8º O modelo de implementação adotado pela ETIR/ANPD será o descrito no item 7.1 da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009, qual seja, "Modelo 1 - Utilizando a equipe de Tecnologia da Informação - TI". Parágrafo único. Os membros da ETIR/ANPD desempenharão suas funções regulares, concomitantemente, com as atividades relacionadas ao tratamento e resposta a incidentes em redes computacionais. Art. 9º A ETIR/ANPD desempenhará suas atividades: I - de forma reativa, via de regra; e II - de forma proativa, por meio da atribuição de responsabilidades a seus membros pelo Agente Responsável. Seção V Da Estrutura Organizacional Art. 10. A ETIR/ANPD será composta pelos seguintes membros: I - gestor de segurança da informação da ANPD, que coordenará a equipe; II - servidores lotados na Coordenação-Geral de Tecnologia da Informação - CGTI, cujas capacidades técnicas sejam compatíveis com as atividades da equipe; e III - servidores de outras áreas da ANPD, desde que possuam perfil compatível com as atividades da ETIR/ANPD. § 1º Cada membro da ETIR/ANPD possuirá um suplente que o substituirá em suas ausências ou impedimentos legais. § 2º Ato do Diretor-Presidente da ANPD designará os membros titulares e suplentes da ETIR/ANPD, em até trinta dias após a publicação desta Resolução. § 3º O Coordenador da ETIR/ANPD poderá convocar, extraordinariamente, representantes de outras unidades para atuar em tratamento e resposta de determinado incidente de segurança. § 4º Consultores externos poderão ser contratados para apoiar tecnicamente a ETIR/ANPD em atividades operacionais, situações específicas ou de maior complexidade. § 5º Sempre que necessário, a ETIR/ANPD poderá solicitar o apoio de profissionais de TI de empresas(s) contratadas(s) pela ANPD para a realização de suas atividades. § 6º A Equipe deve deverá ser composta, preferencialmente, por servidores públicos ocupantes de cargo efetivo ou militares de carreira com perfil técnico compatível. § 7º O Comitê de Segurança da Informação da ANPD poderá indicar representantes para acompanhar as atividades da ETIR/ANPD. § 8º A ETIR/ANPD poderá propor a instituição de grupos de trabalho temporários para tratar de temas específicos e para propor soluções sobre sua área de atuação. § 9º A atuação reativa da ETIR/ANPD que estiver diretamente relacionada ao tratamento de incidentes terá prioridade sobre aquela de caráter proativo. Seção VI Da Autonomia da ETIR Art. 11. A ETIR/ANPD possui autonomia compartilhada para realizar as ações ou as medidas necessárias para reforçar a resposta ou a postura da organização na recuperação de incidentes de segurança. Parágrafo único. A ETIR/ANPD, representada pelo Gestor da Segurança da Informação, participará dos processos decisórios junto ao CSIN/ANPD, relativos aos procedimentos e às medidas definidas no caput, e debaterá as ações a serem tomadas, seus impactos e a repercussão caso as recomendações não forem seguidas. Art. 12. Durante um incidente de segurança, o Coordenador poderá decidir, ad referendum da ETIR/ANPD, a execução de medidas de tratamento, quando não for possível convocar uma reunião da Equipe. Parágrafo único. As medidas decididas ad referendum constarão da reunião subsequente, com prioridade na ordem da pauta. Seção VII Dos Serviços Art. 13. A ETIR/ANPD prestará os seguintes serviços: I - tratamento de incidentes cibernéticos: receber, filtrar, classificar e responder às solicitações e aos alertas, bem como realizar análises dos incidentes cibernéticos, procurando extrair informações que permitam impedir a continuidade da ação maliciosa e identificar tendências; II - tratamento de artefatos maliciosos: recebimento de informações ou cópias de artefatos maliciosos utilizados em ataques ou em qualquer outra atividade desautorizada ou maliciosa, que será analisado para identificar sua natureza, mecanismo, versão e objetivo, com vistas ao desenvolvimento ou recomendação de estratégias de detecção, remoção e defesa; III - tratamento de vulnerabilidades: recebimento de informações sobre vulnerabilidades, sejam estas em hardware ou software, com o objetivo de analisar sua natureza, mecanismo e consequências, além de desenvolver estratégias para detecção e correção dessas vulnerabilidades; IV - emissão de alertas, advertências e disseminação de informações relacionadas à segurança: divulgação de alertas ou advertências imediatas em reação a incidentes de segurança em redes de computadores, com o objetivo de advertir a comunidade atendida e fornecer orientações sobre as ações recomendadas, bem como disseminar informações relevantes sobre segurança da informação, incluindo processos de conscientização sobre incidentes cibernéticos, treinamentos para equipes técnicas envolvidas e divulgação de incidentes conforme pertinência; V - avaliação de segurança: identifica e avalia vulnerabilidades e ameaças nas soluções de TIC da ANPD, alinhado com as melhores práticas e padrões do setor, a fim de preparar a instituição para enfrentar desafios de segurança em constante evolução; VI - detecção e prevenção de intrusão: identifica atividades maliciosas, tentativas de comprometimento e intrusões nos sistemas e redes da ANPD e toma as medidas necessárias para a contenção do impacto negativo dessas ameaças; e VII - prospecção de novas tecnologias: busca de soluções de tecnologia da informação disponíveis para a evolução da proteção da ANPD contra-ataques cibernéticos. TÍTULO III DISPOSIÇÕES FINAIS Art. 14. A participação na ETIR/ANPD será considerada prestação de serviço público relevante não remunerada. Art. 15. Os casos omissos serão resolvidos pelo CSIN/ANPD, com o apoio da E T I R / A N P D. Art. 16. Esta Resolução entra em vigor na data de sua publicação. ARTHUR PEREIRA SABBAT Diretor-Presidente Substituto