DOU 25/11/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025112500078 78 Nº 224, terça-feira, 25 de novembro de 2025 ISSN 1677-7042 Seção 1 § 3° O Termo de Responsabilidade de que trata o caput poderá ser substituído por seu equivalente em meio digital assinado uma única vez mediante identificação e autenticação. § 4° A área de TI deverá disponibilizar em até noventa dias da entrada em vigor deste normativo procedimento para assinatura do Termo de Responsabilidade em meio físico ou digital. § 5° A atualização do teor do Termo de Responsabilidade, pela área de TI, implicará a convocação dos signatários do termo antigo para a assinatura de novo termo. Art. 12. O acesso ao recurso computacional não gera direito sobre o mesmo. CAPÍTULO IV DAS REDES DE COMPUTADORES Art. 13. O acesso lógico aos ambientes de rede destinados ao desenvolvimento de sistemas é restrito à área de TI. Art. 14. O acesso às redes de computadores da Susep somente é feito por conexão direta à rede local ou VPN. § 1° Deverão ser utilizados mecanismos automáticos para inibir que equipamentos externos, tais como computadores portáteis, celulares e tablets, se conectem diretamente à rede local da Susep. § 2° Deverá ser mantido mecanismo que permita identificar os endereços IP de origem e destino das conexões, bem como os serviços utilizados. § 3° O acesso remoto às redes de computadores deverá utilizar, no mínimo, autenticação por dois fatores, ser criptografado e gerar registros de auditoria que contenham informações que facilitem o rastreamento das ações tomadas. § 4° Deverá atender às condições estabelecidas pela área de segurança da informação da Susep o acesso à rede da Susep através de VPN realizado por meio de dispositivo não pertencente à Susep. CAPÍTULO V DOS SISTEMAS DE INFORMAÇÃO Art. 15. Os acessos aos sistemas da Susep que contenham informação classificada em qualquer grau de sigilo deverão obedecer aos requisitos dispostos no Decreto n° 7.845, de 14 de maio de 2012 e demais normas regulamentadoras. Art. 16. O acesso direto aos bancos de dados da Susep é restrito à área de TI, que deverá buscar o provimento dos meios de consulta necessários. Parágrafo único. Até a criação de ambiente próprio para consulta direta às bases de dados pelos demais usuários, o acesso será concedido mediante assinatura de Termo de Responsabilidade para acesso de leitura a base de dados (Anexo II). CAPÍTULO VI DA CONCESSÃO E DA ALTERAÇÃO DE ACESSOS Art. 17. O credenciamento de pessoas e a criação de contas para acesso aos recursos computacionais somente podem ser realizados após a entrada em exercício ou contratação do agente público. Art. 18. O credenciamento de pessoas, a criação de usuários e o controle de acesso aos recursos computacionais da Susep são baseados em perfis de acesso. § 1° A área gestora, em conjunto com a área de TI, definirá os perfis de acesso disponíveis a cada recurso computacional, incluídos os ambientes de rede destinados a desenvolvimento, homologação e produção de sistemas. § 2° Ao solicitar acesso a recursos computacionais, a unidade organizacional da Susep deverá informar os perfis de acesso a recursos computacionais considerados necessários aos usuários incluídos naquela solicitação. § 3° Os perfis de acesso que contenham privilégios de administração somente poderão ser atribuídos a usuários que executem tarefas específicas na administração dos recursos computacionais. Art. 19. Os titulares das unidades que receberem usuários externos à Susep com necessidade de acesso temporário aos recursos computacionais deverão solicitá-los à área responsável pela configuração do acesso, que consultará os gestores dos recursos computacionais. § 1° A concessão de credenciais de acesso a agentes externos dar-se-á apenas nos casos de redes destinadas para este fim ou nos casos previstos em lei. § 2° Tão logo o acesso temporário a recursos computacionais deixe de ser necessário, o titular da unidade solicitante deve solicitar a revogação do acesso. CAPÍTULO VII DA REVOGAÇÃO DE ACESSOS Art. 20. Por ocasião do desligamento da Susep todas as credenciais de acesso a recursos computacionais serão revogadas. Art. 21. Nas alterações de lotação, serão revogadas as credenciais de acesso concedidas na unidade de origem. Art. 22. Nas alterações de ocupação de cargos ou funções serão revogadas todas as credenciais de acesso relacionadas à unidade de origem do usuário que deixa o cargo ou função. Art. 23. Nos afastamentos superiores a trinta dias, as credenciais de acesso serão suspensas até o retorno do agente público às suas atividades CAPÍTULO VIII DO CONTROLE DO ACESSO FÍSICO Art. 24. A área de TI definirá perímetros de segurança para proteção de ambientes e ativos de TI contra acesso físico não autorizado. CAPÍTULO IX DAS COMPETÊNCIAS E RESPONSABILIDADES Art. 25. Compete à área de TI: I - informar aos titulares das unidades, sempre que necessário, os perfis disponíveis para acesso a determinado recurso computacional bem como os atuais usuários que possuem perfis concedidos; II - submeter solicitações de acesso aos recursos computacionais aos respectivos gestores; III - adotar as ações técnicas necessárias para o provimento de acesso aos recursos computacionais da Susep e ao cumprimento integral desta norma; IV - divulgar e manter atualizada lista de recursos computacionais da Susep e de seus respectivos gestores; V - estabelecer e manter um inventário dos sistemas de autenticação e autorização da Susep, revisando-o pelo menos uma vez por semestre; VI - bloquear credenciais, sem prévio aviso: a) cujo sigilo lhe pareça ter sido violado; b) envolvidas em tentativas sequenciadas de acesso com senha errada; c) utilizadas em ataques à infraestrutura da Susep; d) utilizadas de forma a resultar em degradação ou indisponibilidade de serviço ou recurso de TI; ou e) utilizadas em desconformidade com a POSIN; e VII - propor a localização, resistência e requisitos de auditoria dos perímetros de segurança a serem aplicados em torno de áreas e ativos a serem protegidos, em função de sua criticidade para a segurança da informação e continuidade dos negócios da Susep. Art. 26. Compete ao Comitê de Governança Digital - CGD: I - chancelar os gestores dos recursos computacionais apresentados pelas unidades da Susep ao CGD; II - alterar os gestores dos recursos computacionais da Susep; e III - tratar os casos omissos ou conflitantes relacionados a gestão de recursos computacionais da Susep. Art. 27. Compete ao Comitê de Segurança da Informação - CSI promover a revisão e a atualização periódicas desta norma. Art. 28. Compete aos titulares das unidades: I - informar à área de TI, juntamente com solicitação de acesso a recurso computacional, os perfis de acesso aos recursos computacionais necessários à sua unidade, incluídos os funcionários terceirizados e estagiários; II - revisar periodicamente, pelo menos uma vez por semestre, as permissões atribuídas a usuários em recursos sob sua responsabilidade, podendo solicitar à área de TI as permissões vigentes sempre que necessário; e III - autorizar ou solicitar a concessão, alteração e a revogação de credenciais de acesso nos recursos computacionais sob sua responsabilidade. Art. 29. Compete aos usuários dos recursos computacionais da Susep: I - informar à área de TI imediatamente sobre o comprometimento e eventual utilização indevida de suas credenciais de acesso aos recursos computacionais; II - comunicar ao CSI as operações identificadas que resultem em descumprimento de dispositivos desta norma; III - cumprir o disposto nos Termos de Responsabilidade de que é signatário, conforme Anexos I e II; e IV - cumprir as boas práticas em privacidade e segurança da informação, especialmente as divulgadas pela área de TI, ao acessar recursos computacionais. Art. 30. Compete à área de documentação: I - informar aos titulares das unidades, sempre que necessário, os perfis disponíveis para acesso ao Sistema Eletrônico de Informações - SEI, bem como os atuais usuários que possuem perfis concedidos; e II - adotar as ações necessárias para o provimento de acesso SEI da Susep e ao cumprimento integral desta norma, observando subsidiariamente o disposto na Instrução Susep n° 89, de 28 de março de 2018. Art. 31. Compete à área de pessoas informar a área de TI das alterações de lotação, ocupação e alteração de cargos ou funções, afastamentos por períodos superiores a trinta dias e demais assentamentos de servidores e estagiários, que impliquem alteração de credenciais de acesso. § 1° As atualizações devem ser feitas por meio de abertura de chamado de TI. § 2° As atualizações devem ser comunicadas tão logo o respectivo ato tenha sido publicado. Art. 32. Compete ao gestor dos contratos que envolvam funcionários terceirizados, informar a área de TI movimentações de funcionários que impliquem alteração de credenciais de acesso. § 1° As atualizações devem ser feitas por meio de abertura de chamado de TI. § 2° As atualizações devem ser comunicadas tão logo ocorra a movimentação. CAPÍTULO X DAS DISPOSIÇÕES FINAIS Art. 33. Fica revogada a Instrução Susep n° 83, de 31 de março de 2017. Art. 34. Esta Instrução entra em vigor na data da sua publicação. ALESSANDRO SERAFIN OCTAVIANI LUIS ANEXO I SERVIÇO PÚBLICO FEDERAL SUPERINTENDÊNCIA DE SEGUROS PRIVADOS TERMO DE RESPONSABILIDADE PARA ACESSO A RECURSOS COMPUTACIONAIS Pelo presente instrumento, eu_____, CPF__, identidade __, expedida pelo_, em_, DECLARO, sob pena das sanções cabíveis nos termos da legislação vigente que assumo a responsabilidade por: I) conhecer e observar o disposto na Resolução Susep n° 45, de 17 de outubro de 2024, POSIN; III) tratar o(s) recurso(s) computacionais como patrimônio da Susep; III) utilizar as informações em qualquer suporte sob minha custódia, exclusivamente, no interesse do serviço da Susep; IV) assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações sob minha custódia, conforme descrito na Instrução Normativa n° 01, do Gabinete de Segurança Institucional da Presidência da República, de 27 de maio de 2020, que disciplina a Gestão de Segurança da Informação e Comunicações na Administração Pública Federal, direta e indireta; V) utilizar as credenciais, as contas de acesso e os recursos computacionais em conformidade com a legislação vigente e normas específicas da Susep; VI) responder, perante a Susep, pelo uso indevido das minhas credenciais ou contas de acesso e dos recursos computacionais; VII) zelar pela segurança e pela integridade dos equipamentos de propriedade da Susep a mim disponibilizados; VIII) em caso de acesso a informações da Susep através de equipamentos particulares ou de terceiros, garantir que estes possuam recursos mínimos de segurança (sistema operacional, antivírus e cliente VPN atualizados); e IX) reconhecer o acréscimo de responsabilidade nos casos de perfil de acesso diferenciado como acesso direto a banco de dados, privilégios de administração, ferramentas de desenvolvimento, dentre outros. Local,__de ___de______.

Assinatura Nome do usuário, unidade e matrícula ANEXO II SERVIÇO PÚBLICO FEDERAL SUPERINTENDÊNCIA DE SEGUROS PRIVADOS TERMO DE RESPONSABILIDADE PARA ACESSO DE LEITURA A BASE DE DADOS Pelo presente instrumento, eu______, Matrícula SIAPE __, DECLARO, sob pena das sanções cabíveis nos termos da legislação vigente que assumo a responsabilidade por autorizar o acesso do servidor___, Matrícula SIAPE__, para leitura na base de dados do sistema__, devendo informar à área de TI tão logo tal credencial de acesso não seja mais necessária. O servidor supracitado se compromete a preservar a confidencialidade dos dados consultados, especialmente informações cuja divulgação possa causar risco ou dano à segurança da sociedade ou do Estado, que em função de seu potencial de aproveitamento de oportunidades nos ramos econômico, político, cientifico, tecnológico, militar e social, possam indevidamente beneficiar a si ou a terceiros, bem como aquelas necessárias ao resguardo da inviolabilidade da intimidade, da vida privada, da honra e da imagem das pessoas, utilizando-as no estrito interesse de suas atividades na SUSEP. Compromete-se, ainda, a não copiar ou reproduzir, por qualquer meio ou modo as informações a que tiver acesso, exceto para a consecução das atividades da SUSEP, caso, em que deverá manter cópia(s) somente pelo período necessário à sua utilização. Em todo o trato com o acesso concedido, o servidor se compromete a observar e cumprir as disposições da Lei n° 13.709, de 14 de agosto de 2018 - LGPD, responsabilizando-se por qualquer violação decorrente da permissão de leitura a que se refere este Termo. O servidor se compromete, por fim, a preservar a disponibilidade dos ambientes de sistemas da Susep, notificando a área de TI caso deseje efetuar pesquisa no banco de dados que possa vir a degradar o desempenho dos sistemas implantados. Caso a área de TI identifique o efetivo impacto dessas consultas sobre o desempenho dos sistemas da Autarquia, poderá cancelar imediatamente a execução das mesmas e a credencial de acesso, sem notificação prévia.

Assinatura Titular de unidade responsável, unidade e matrícula

Assinatura Nome do usuário, unidade e matrícula