DOU 30/03/2023 - Diário Oficial da União - Brasil

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023033000093
93
Nº 62, quinta-feira, 30 de março de 2023
ISSN 1677-7042
Seção 1
CAPÍTULO IV
DO FRAMEWORK DE PRIVACIDADE E SEGURANÇA DA INFORMAÇÃO
Art. 7º Institui-se o Framework de Privacidade e Segurança da Informação,
composto por um conjunto de controles, metodologias e ferramentas de apoio.
§1º Os controles dispostos no framework deverão ser considerados controles
internos da gestão, nos termos do inciso V do art. 2º da Instrução Normativa Conjunta
CGU/MPOG nº 1, de 10 de maio de 2016.
§2º Os artefatos e ferramentas que compõem o framework ficarão disponíveis
no portal institucional da Secretaria de Governo Digital.
§3º A Secretaria de Governo Digital poderá editar revisões dos artefatos e
ferramentas que compõem o framework, com vigência imediata após a publicação e
comunicação para os órgãos e as entidades pertencentes ao SISP.
§4º Os controles dispostos no framework deverão observar:
I - a Lei Geral de Proteção de Dados Pessoais;
II - a Política Nacional de Segurança da Informação;
III - os normativos emitidos pela Autoridade Nacional de Proteção de Dados
Pessoais e pelo Gabinete de Segurança Institucional; e
IV - as recomendações efetuadas pelos órgãos federais de controle interno e
externo.
Art. 8º Os órgãos e as entidades deverão adotar o framework de privacidade de
segurança da informação, sendo de responsabilidade da Estrutura de Governança de cada
órgão e entidade, nos termos do art. 6º desta Portaria.
Parágrafo único. A decisão de não implementação de medidas consideradas
obrigatórias pelo framework deverá ser precedida de adequada motivação com base em
análise de riscos.
Art. 9º Considera-se como etapas para a implementação do framework pelos
órgãos e entidades pertencentes ao SISP:
I - autoavaliação: execução de avaliação pelo próprio órgão, considerando o
modelo
de
avaliação de
maturidade
e
capacidade
disponibilizado por
meio
do
framework;
II - análise de lacunas: a partir da autoavaliação, esta etapa consiste na
identificação de oportunidades quanto à necessidade de implementação de medidas ou de
melhoria contínua das medidas já implementadas para aumento da capacidade e
maturidade do órgão ou entidade;
III
- planejamento:
após
identificadas
as oportunidades
de
melhorias
identificadas na etapa anterior, o órgão deve realizar planejamento que especifique o
prazo e as necessidades de recursos para implementação, considerando aspectos
orçamentários e de recursos humanos do próprio órgão ou entidade; e
IV - implementação: esta etapa consiste na implementação das medidas ou na
melhoria contínua de medidas já implementadas para aumento da capacidade e
maturidade do órgão.
§1º O órgão ou entidade deverá observar os controles considerados como
prioritários pela Secretaria de Governo Digital, em comunicação periódica realizada por
meio de ato administrativo para a Estrutura de Governança.
§2º As etapas previstas nos incisos I, II e III do caput deverão ser executadas no
prazo de 180 dias a contar da vigência desta Portaria , com possibilidade de prorrogação
por igual período, desde que devidamente justificado.
Art. 10. A etapa de planejamento, conforme inciso III do art. 9º, resultará em
um plano de trabalho, o qual deverá ser encaminhado à Secretaria de Governo Digital, e
revisado continuamente conforme o avanço da implementação e realização de novas
autoavaliações.
§1º O plano de trabalho de implementação do framework deverá ser integrado
ao Plano de Transformação Digital, ou instrumento equivalente.
§2º As ações decorrentes do plano de trabalho, e que demandem a
necessidade de contratação de solução de TIC, serão vinculadas ao Plano Diretor de
Tecnologia da Informação e Comunicação - PDTIC.
§3º As Estruturas de Governança do PPSI nos órgãos e entidades deverão
prover informações das autoavaliações e do planejamento de modo a subsidiar o
acompanhamento realizado pela Secretaria de Governo Digital.
§4º Recomenda-se a avaliação da classificação das informações constantes no
plano de trabalho quanto ao grau de sigilo, nos termos dos incisos XI e XII do art.3º do
Decreto nº 9.637, de 26 de dezembro de 2018.
§5º O plano de trabalho deverá ser revisado a cada 12 meses, por meio da
execução das etapas I, II e III descritas pelo caput do art. 9º.
Art. 11. A Secretaria de Governo Digital promoverá diagnósticos periódicos, em
que o órgão deverá executar a etapa de autoavaliação, e acompanhará e apoiará o
planejamento e a implementação.
Art. 12. A Secretaria de Governo Digital poderá elaborar e revisar padrões,
processos, procedimentos, guias operacionais e ferramentas de apoio para aprimorar o
framework de privacidade e segurança da informação.
CAPÍTULO V
DO CENTRO INTEGRADO DE SEGURANÇA CIBERNÉTICA DO GOVERNO DIGITAL
Art. 13. Fica criado no âmbito do PPSI o Centro Integrado de Segurança
Cibernética do Governo Digital - CISC Gov.br , caracterizado como uma unidade de
coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes
cibernéticos dos órgãos e das entidades do Sistema de Administração de Recursos de
Tecnologia da Informação - SISP, nos termos da Rede Federal de Gestão de Incidentes
Cibernéticos - ReGIC, instituída pelo Decreto nº 10.748, de 16 de julho de 2021.
§1º O CISC Gov.br atuará como equipe principal, nos termos do inciso III do art.
4º da ReGIC, para os serviços que compõem a Plataforma Gov.br e para outros serviços
que estejam sob a reponsabilidade da Secretaria de Governo Digital.
§2º Compete à Diretoria de Privacidade e Segurança da Informação da
Secretaria de Governo Digital a prospecção, o planejamento, a implementação, o
monitoramento, a melhoria contínua, e o gerenciamento das ações no âmbito do CISC
Gov.br.
Art. 14. A missão do CISC Gov.br é promover a coordenação das ações de
prevenção, tratamento e resposta a incidentes cibernéticos no âmbito do SISP.
Art. 15. As equipes de prevenção, tratamento e resposta a incidentes
cibernéticos dos órgãos e das entidades pertencentes ao SISP deverão se integrar às
tecnologias, padrões, procedimentos
e processos estabelecidos pelo
CISC Gov.br,
observando os normativos do Gabinete de Segurança Institucional da Presidência da
República.
Art. 16. São serviços que compõem o CISC Gov.br:
I - apoio no planejamento, implementação e operação de equipes de
prevenção, tratamento e resposta a incidentes cibernéticos nos órgãos e entidades;
II - apoio na prevenção, tratamento e resposta a incidentes cibernéticos;
III - comunicação e colaboração com outras equipes de prevenção, tratamento
e resposta a incidentes cibernéticos, tanto dos órgãos e entidades públicas quanto das
organizações privadas;
IV - execução de testes de intrusão em ativos de informação, sob demanda;
V - análise não-invasiva e contínua de vulnerabilidades em ativos de
informação;
VI - análise de vulnerabilidades em ativos de informação, sob demanda;
VII - atividades de inteligência de ameaças cibernéticas;
VIII - testes estáticos e dinâmicos de segurança em aplicações;
IX - elaboração e publicação de alertas e recomendações; e
X - monitoramento de padrões maliciosos no tráfego externo de rede.
§1º Os serviços dispostos no caput não excluem ou substituem as atribuições
do CTIR Gov e das equipes de coordenação setorial previstas pela ReGIC.
§2º O serviço disposto no inciso IV do caput só poderá ser realizado sob
autorização expressa de autoridade máxima competente pela custódia dos ativos de
informação no órgão ou entidade.
§3º Fica autorizada a execução do serviço previsto no inciso V do caput em
todos os órgãos e entidades pertencentes ao SISP.
§4º O serviço disposto no inciso X do caput só poderá ser realizado sob
autorização expressa de autoridade máxima competente pela custódia dos ativos de
informação no órgão ou entidade, exceto em caso de uso dos serviços de conectividade da
Infovia.
Art. 17. O CISC Gov.br poderá emitir determinações e prazos para correção de
vulnerabilidades com alta criticidade.
Art. 18. Os órgãos e entidades pertencentes ao SISP deverão notificar ao CISC
Gov.br os incidentes cibernéticos identificados.
CAPÍTULO VI
DO
CENTRO
DE
EXCELÊNCIA
EM
PRIVACIDADE
E
SEGURANÇA
DA
I N FO R M AÇ ÃO
Art. 19. Fica instituído no âmbito do PPSI o Centro de Excelência em
Privacidade e Segurança da Informação do Governo Digital, que tem como missão
promover a cultura de privacidade e segurança da informação nos órgãos e entidades.
§1º Compete à Diretoria de Privacidade e Segurança da Informação da
Secretaria de Governo Digital a prospecção, o planejamento, a implementação, o
monitoramento, a melhoria contínua, e o gerenciamento das ações no âmbito do Centro
de Excelência.
§2º As ações do Centro de Excelência deverão observar as diretrizes previstas
Decreto nº 9.991, de 28 de agosto de 2019 e suas alterações, que dispõe sobre a Política
Nacional de Desenvolvimento de Pessoas da administração pública federal direta,
autárquica e fundacional, e regulamenta dispositivos da Lei nº 8.112, de 11 de dezembro
de 1990, quanto a licenças e afastamentos para ações de desenvolvimento.
Art. 20. São objetivos do Centro de Excelência em Privacidade e Segurança da
Informação do Governo Digital:
I - promover parcerias com órgãos e entidades públicas, instituições privadas e
organismos internacionais, nos termos da legislação;
II - fomentar e promover ações de sensibilização, conscientização, capacitação
e especialização dos recursos humanos em temas relacionados à privacidade e à segurança
da informação, considerando o engajamento e retenção dos profissionais;
III - apoiar os órgãos e entidades para a efetiva implementação da estrutura de
controles de privacidade e segurança da informação por meio de ações conjuntas e
colaborativas;
IV - fomentar ações de engajamento para promover a mudança cultural em
todos os níveis da estrutura organizacional dos órgãos e entidades, para o adequado uso
dos recursos de tecnologia e na execução dos processos de trabalho;
V - disseminar conhecimentos sobre as boas práticas nas temáticas de
privacidade e segurança da informação;
VI - promover a criação de fóruns especializados em busca de prospectar
oportunidades e trocas de experiências e informações; e
VII - promover exercícios conjuntos de simulações cibernéticas.
CAPÍTULO VII
DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 21. Os casos omissos serão resolvidos pela Secretaria de Governo Digital.
Art. 22. Esta Portaria entra em vigor em 3 de abril de 2023.
ROGÉRIO SOUZA MASCARENHAS
Ministério da Integração e
do Desenvolvimento Regional
SECRETARIA NACIONAL DE PROTEÇÃO E DEFESA CIVIL
PORTARIA Nº 1.238, DE 28 DE MARÇO DE 2023
Autoriza o empenho e a transferência de recursos ao
Município de Buriticupu-MA, para execução de ações
de Defesa Civil.
A
UNIÃO,
por
intermédio
do
MINISTÉRIO
DA
INTEGRAÇÃO
E
DO
DESENVOLVIMENTO REGIONAL, neste ato representado pelo SECRETÁRIO NACIONAL DE
PROTEÇÃO E DEFESA CIVIL, nomeado pela Portaria n. 190, de 1° de janeiro de 2023,
publicada no D.O.U, de 2 de janeiro de 2023, Seção 2, Edição Extra B, consoante delegação
de competência conferida pela Portaria n. 2.708, de 28 de outubro de 2021, publicada no
DOU, de 29 de outubro de 2021, Seção 1, e tendo em vista o disposto na Lei nº 12.340,
de 01 de dezembro de 2010, na Lei nº 12.608, de 10 de abril de 2012 e no Decreto nº
11.219, de 5 de outubro de 2022, resolve:
Art. 1° Autorizar o empenho e o repasse de recursos ao Município de
Buriticupu-MA, no valor de R$ 687.724,00 (seiscentos e oitenta e sete mil setecentos e
vinte e quatro reais), para a execução de ações de resposta, conforme processo n.
59052.014035/2023-68.
Art. 2° Os recursos financeiros serão empenhados a título de Transferência
Obrigatória, conforme legislação vigente, observando a classificação orçamentária: PT:
06.182.2218.22BO.0001; Natureza de Despesa: 3.3.40.41; Fonte: 1000; UG: 530012.
Art. 3° Considerando a natureza e o volume de ações a serem implementadas,
o prazo de execução será de 180 dias, a partir da publicação desta portaria no Diário
Oficial da União (DOU).
Art. 4° A utilização, pelo ente beneficiário, dos recursos transferidos está
vinculada exclusivamente à execução das ações especificadas no art. 1° desta Portaria.
Art. 5° O proponente deverá apresentar prestação de contas final no prazo de
30 dias a partir do término da vigência, nos termos do art. 14 do Decreto nº 11.219, de 5
de outubro de 2022.
Art. 6° Esta Portaria entra em vigor na data de sua publicação.
WOLNEI WOLFF BARREIROS
SECRETARIA NACIONAL DE SEGURANÇA HÍDRICA
PORTARIA Nº 1.160, DE 28 DE MARÇO DE 2023
O SECRETÁRIO NACIONAL DE SEGURANÇA HÍDRICA DO MINISTÉRIO DA
INTEGRAÇÃO E DO DESENVOLVIMENTO REGIONAL, nomeado pela Portaria nº 1.854, de 28
de fevereiro de 2023, Seção 02 - (DOU 01/03/2023), no uso das atribuições que lhe foram
conferidas por delegação de competência, por força da Portaria n.º 2.708, publicada no
Diário Oficial da União de 29 de outubro de 2021 - Seção 01, e tendo em vista as
disposições da Lei nº 11.578, de 26 de novembro de 2007, e ainda, o que consta do
Processo nº 59100.000294/2015-89, resolve:
Art. 1º Apostilar a Portaria nº 037/2016 (0138709), para efeito de controle
financeiro-orçamentário, na forma prevista no art. 65, § 8º, da Lei nº 8.666/93 e no art. 27
do Decreto nº 93.872/86, aditando-se ao Art. 4º a seguinte redação:
I - As despesas da Portaria nº 037/2016, que aprovou o Termo de Compromisso
nº 71/2015, ocorrerão também à conta de dotação alocada no Orçamento Geral do
CONCEDENTE, no Programa de Trabalho 18.544.2221.5900.0020, Natureza de Despesa
44.30.42, Fonte 0100, objeto da Nota de Empenho nº 2023NE000003, de 07/03/2021, no
valor de R$ 2.071.866,64 (dois milhões setenta e um mil oitocentos e sessenta e seis reais
e sessenta e quatro centavos).
Art. 2º Ficam ratificados os demais dispositivos do termo de compromisso, não
alterados por esta Portaria.
Art. 3º Esta Portaria entra em vigor na data de sua publicação no Diário Oficial
da União.
GIUSEPPE SERRA SECA VIEIRA