DOU 15/06/2023 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023061500073
73
Nº 112, quinta-feira, 15 de junho de 2023
ISSN 1677-7042
Seção 1
6.4. A notificação de incidente poderá ser feita por qualquer usuário, sem
necessidade de prévia autorização do gestor, através do formulário de solicitação de
atendimento do suporte técnico aos usuários, ou por comunicação à ETIR, via e-mail para
etir@mma.gov.br.
6.5. Os usuários devem notificar, o mais breve possível, os incidentes de
segurança da informação e vulnerabilidades de que tenham conhecimento (observada ou
suspeita).
6.6. Vulnerabilidades, ou fragilidades suspeitas, não deverão ser objeto de teste
ou prova pelos usuários, sob o risco de violar a POSIN e/ou provocar danos aos serviços,
ou aos recursos tecnológicos.
6.7. As equipes da Coordenação Geral de Tecnologia da Informação (CGTI)
responsáveis pelo monitoramento dos ativos, serviços e sistemas devem notificar os
incidentes a eles relacionados à ETIR, para o devido registro e encaminhamento.
6.8. O Ministério do Meio ambiente e Mudança do Clima poderá receber
notificações externas (como, por exemplo, do CTIR.BR, CSIRT ou de outras empresas) sobre
incidentes (ocorridos ou suspeitos) por meio de sistemas gerenciadores de demandas, e-
mail, telefone, etc., que deverão ser remetidas ao setor responsável pela SI para o devido
encaminhamento.
6.9. O tratamento da informação deve ser realizado de forma a viabilizar e
assegurar a disponibilidade, integridade, confidencialidade e autenticidade da informação,
com retorno das operações à normalidade no menor prazo possível, bem como evitar
futuras ocorrências, com a proposição de ações de solução, quando existentes.
6.10. A ETIR deve conduzir, apoiada pelas outras áreas do Ministério do Meio
ambiente e Mudança do Clima, investigação do incidente e artefatos maliciosos, propondo
e implementando as ações de contenção e comunicação às áreas afetadas e coletando os
dados necessários.
6.11. A coleta de evidência dos incidentes de segurança da informação deve ser
realizada pela ETIR ou por pessoal competente e por ela autorizado.
6.12. Quando o incidente de segurança da informação decorrer de suspeita de
descumprimento da POSIN, será observado o sigilo durante todo o processo, ficando, as
evidências, informações e demais registros, restritos aos envolvidos na investigação.
6.13. Quando houver indícios de ilícitos criminais durante o gerenciamento dos
incidentes de segurança, o Comitê de Segurança da Informação (CSIN) deverá ser
comunicado para avaliação das providências cabíveis.
6.14. O encerramento do incidente de segurança da informação será realizado
pelo setor responsável pela SI, com comunicação a todas as áreas interessadas e ao
CTIR.BR, na forma e nos casos definidos pelo referido órgão.
6.15. A avaliação do processo de gestão de incidentes de SI ocorrerá através do
histórico de incidentes, com verificação das oportunidades de melhoria.
6.16. O desenho do processo de Gestão de Incidentes de SI, a descrição das
atividades, os respectivos papéis e responsabilidades dos envolvidos no processo, bem
como os modelos de documentos a serem utilizados nas etapas do processo, serão
publicados no Portal de Governança de TI, após aprovação pelo Comitê de Governança
Digital (CGD).
6.17. O processo será revisto anualmente, ou em menor prazo, quando
necessário, e eventuais alterações propostas nos documentos acima indicados serão, após
aprovação pelo CSIN, objeto de imediata divulgação na forma do item anterior.
7. MONITORAMENTO E AUDITORIAS
7.1. As auditorias ordinárias ou extraordinárias serão coordenadas pelo Gestor
de Segurança da Informação (GSIN) e os relatórios serão encaminhados ao CSIN e ao
CG D.
7.2. As auditorias extraordinárias deverão ser precedidas de autorização do
CSIN.
7.3. Os procedimentos constantes desta norma deverão ter monitoramento
contínuo da CGTI, visando à melhoria contínua.
8. ATUALIZAÇÃO DA NORMA
8.1. O disposto na presente norma será atualizado sempre que alterados os
procedimentos da Gestão de Incidentes de Segurança da Informação, observada, ainda, a
periodicidade prevista para a revisão da POSIN.
ANEXO VII
NORMA DE SEGURANÇA DA INFORMAÇÃO - NSI 007/2023
GESTÃO DE CONTINUIDADE DE TIC
1. OBJETIVO
1.1. Estabelecer diretrizes e padrões para Gestão de Continuidade de
Tecnologia da Informação e da Comunicação (TIC) no âmbito do Ministério do Meio
Ambiente e Mudança do Clima.
2. MOTIVAÇÕES
2.1. Alinhamento às normas, regulamentações e melhores práticas relacionadas
à matéria.
2.2. Correto direcionamento e dimensionamento de recursos tecnológicos para
prover a Gestão de Continuidade de TIC.
2.3. Manutenção de nível aceitável de resiliência dos serviços e sistemas de TIC,
frente a eventos que possam causar sua interrupção, contribuindo para contínua melhoria
da prestação dos serviços do Ministério do Meio ambiente e Mudança do Clima.
2.4. Estabelecer procedimentos de gestão para assegurar a continuidade das
operações de TIC.
3. REFERÊNCIAS NORMATIVAS
3.1. Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021 que dispõe sobre
os processos relacionados à gestão de segurança da informação (SI) nos órgãos e nas
entidades da administração pública federal (APF).
3.2. Norma Técnica ABNT NBR ISO/IEC 27001:2013, que especifica os requisitos
para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão
da SI dentro do contexto da organização.
3.3. Norma Técnica ABNT NBR ISO/IEC 27002:2013, que fornece diretrizes para
práticas de gestão de SI.
3.4. Norma Técnica ABNT NBR ISO/IEC 22301:2020, que normatiza o sistema de
gestão de continuidade de negócios e especifica os requisitos para planejar, estabelecer,
implementar, operar, monitorar, analisar criticamente, manter e melhorar continuamente
um sistema de gestão documentado para se proteger, reduzir a possibilidade de
ocorrência, preparar-se, responder e recuperar-se de incidentes de interrupção quando
estes ocorrerem.
3.5. Instrução Normativa nº 1, de 04 de abril de 2019, que dispõe sobre o
processo de contratação de soluções de TIC pelos órgãos e entidades integrantes do
Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder
Executivo Federal.
4. CONCEITOS E DEFINIÇÕES
4.1. Para os fins desta Norma, adota-se os conceitos e definições constantes do
Glossário de Segurança da Informação, conforme Portaria GSI/PR nº 93, de 18 de outubro
de 2021.
5. DIRETRIZES
5.1. A gestão de continuidade de TIC visa a:
5.1.1. Reduzir o risco e minimizar o impacto de interrupções dos serviços e
sistemas de TIC que suportam as atividades criticas do Ministério do Meio ambiente e
Mudança do Clima.
5.1.2. Manter os sistemas e serviços críticos de TIC em um nível minimamente
operável e aceitável durante a ocorrência de um desastre, de forma a não interromper a
prestação dos serviços do Ministério do Meio ambiente e Mudança do Clima.
5.1.3. Definir procedimentos para que as atividades críticas operem em nível de
contingência quando da ocorrência de um desastre, ou interrupção não programada, até
que a situação retorne à normalidade.
5.2. A gestão de continuidade de TIC deve observar o resultado das análises de
riscos de TIC e da análise de impacto de negócio realizadas, de forma a nortear as
estratégias de continuidade.
5.3. Será elaborado Plano de Continuidade de TIC, com vistas a documentar os
procedimentos necessários à operação em nível de contingência e comunicações
necessárias, bem como o retorno à normalidade quando da ocorrência de interrupções dos
serviços e sistemas de TIC.
5.4. Devem ser fornecidos recursos humanos, tecnológicos e financeiros para a
manutenção e melhoria contínua da gestão de continuidade de TIC.
6. PROCESSO DE GESTÃO DE CONTINUIDADE DE TIC
6.1. O processo de Gestão de Continuidade de TIC é composto pelas seguintes
etapas:
6.1.1. Planejamento: compreende a análise dos processos críticos para o
negócio, a fim de estabelecer quais atividades do Ministério do Meio ambiente e Mudança
do Clima são essenciais para a prestação dos serviços, quais deverão ser tratadas na
Continuidade de TIC e quais estratégias serão utilizadas durante a ocorrência de um
incidente. Compreende também a avaliação da necessidade de revisão dos planos já
instituídos, seja em virtude do tempo decorrido desde sua aprovação, seja em razão de
mudanças na infraestrutura, nos procedimentos ou nos testes realizados;
6.1.2. Execução: abrange a elaboração, ou revisão dos planos pelas equipes
técnicas, com a descrição dos cenários, das falhas e os procedimentos técnicos para lidar
com os problemas, a aprovação dos planos, seu armazenamento e divulgação;
6.1.3. Verificação: abrange a realização de testes periódicos dos Planos
desenvolvidos e a análise dos incidentes críticos ocorridos (desastres) a fim de subsidiar a
etapa de Melhoria;
6.1.4. Melhoria: compreende a identificação das oportunidades de melhoria e
seu encaminhamento a consideração superior, com vistas a dar inicio a novo ciclo do
processo.
6.2. O desenho do processo de Gestão de Continuidade de TIC, a descrição das
atividades, respectivos papéis e responsabilidades dos envolvidos no processo, bem como
os modelos de documentos e indicadores definidos para o processo serão publicados no
Portal de Governança de TI, após aprovação do Comitê de Governança Digital (CG D ) .
6.3. O processo será revisto anualmente, ou em menor prazo, quando
necessário, e eventuais alterações propostas nos documentos acima indicados serão, após
aprovação pelo Comitê de Segurança da Informação (CSIN), objeto de imediata divulgação
na forma do item anterior.
7. PLANO DE CONTINUIDADE DE TIC
7.1. O Plano de Continuidade de TIC é composto pelos Planos de Continuidade
Operacional e pelos Planos de Recuperação de Desastres.
7.2. O Plano de Continuidade de TIC deve ser periodicamente testado, de
forma a garantir sua efetividade.
7.3. O Plano de Continuidade de TIC deve ser revisado no mínimo uma vez por
ano ou, ainda, em função dos resultados de testes realizados, ou após mudança
significativa nos ativos de informação (infraestrutura tecnológica, processo, atividades,
etc.).
7.4. O Plano de Continuidade de TIC será acionado quando verificadas
interrupções parciais, ou totais, que impactem as atividades criticas do Ministério do Meio
ambiente e Mudança do Clima.
7.5. Ocorrido o incidente, considerados os serviços, sistemas, ou ativos
afetados e a criticidade, as equipes técnicas responsáveis acionarão os Planos de
Continuidade Operacional para a manutenção da continuidade das atividades, ainda que
de forma contingencial, e os Planos de Recuperação de Desastre para retorno das
atividades à normalidade.
7.6. A comunicação às partes interessadas observará as orientações contidas
nos Planos de Continuidade Operacional.
7.7. Os ativos e serviços afetados pelo incidente serão monitorados pelas
equipes responsáveis, a fim de subsidiar o fornecimento de informações à autoridade
superior.
7.8. A ativação do Plano de Continuidade de TIC será encerrada após a
comunicação de retorno à normalidade dos serviços, sistemas ou ativos afetados.
8. MONITORAMENTO E AUDITORIAS
8.1. As auditorias ordinárias, ou extraordinárias, serão coordenadas pelo Gestor
de Segurança da Informação (GSIN) e os relatórios serão encaminhados ao CSIN e ao
CG D.
8.2. As auditorias extraordinárias deverão ser precedidas de autorização do
CSIN.
8.3. Os procedimentos constantes desta norma deverão ter monitoramento
contínuo da CGTI visando à melhoria contínua.
9. ATUALIZAÇÃO DA NORMA
9.1. O disposto na presente norma será atualizado sempre que alterados os
procedimentos de Gestão de Continuidade de TIC, observada, ainda, a periodicidade
prevista para a revisão da POSIN.
INSTITUTO BRASILEIRO DO MEIO AMBIENTE E DOS RECURSOS
NATURAIS RENOVÁVEIS
PORTARIA Nº 146, DE 12 DE JUNHO DE 2023
Altera a redação da Portaria nº 5, de 19 de
novembro de 2021, que aprovou o Programa de
Gestão, na modalidade teletrabalho, no âmbito do
Ibama, e da Portaria nº 19, de 10 de maio de
2022, que estabeleceu orientações específicas e a
Tabela de Atividades aplicáveis ao Programa de
Gestão, na modalidade teletrabalho, do Ibama.
O PRESIDENTE DO INSTITUTO BRASILEIRO DO MEIO AMBIENTE E DOS RECURSOS
NATURAIS RENOVÁVEIS - IBAMA, no uso de suas atribuições, e tendo em vista o disposto
no Decreto nº 11.095, de 13 de junho de 2022, e na Lei nº 11.284, de 2 de março de 2006,
bem como o que consta nos autos do Processo nº 02001.015236/2021-07, resolve:
Art. 1º Os arts. 7º, 13 e 32 da Portaria nº 5, de 19 de novembro de 2021,
passam a vigorar acrescidos dos seguintes dispositivos:
I -"Art.7º (...)
§ 4º Da negativa, pela chefia imediata, do pedido de participação no
Programa de Gestão, na modalidade teletrabalho, formulado pelo servidor, caberá
recurso ao Dirigente Máximo da respectiva Unidade Organizacional, bem como, em
face de uma nova negativa, ao Presidente do Ibama." (NR)
II - "Art. 13 (...)
X - verificar se o servidor atende e permanece atendendo aos requisitos
técnicos para a participação no Programa de Gestão, na modalidade de teletrabalho,
ou se incorre em alguma das vedações para aderir ao Programa;
XI - julgar se as atividades a serem desempenhadas pelo servidor são
compatíveis com a modalidade teletrabalho do Programa de Gestão." (NR)
III - "Art. 32 (...)
§ 1º-D A Comissão de Gestão do Teletrabalho - COGEST a que alude o art.
33-A desta Portaria realizará análise de conformidade legal dos pedidos de autorização
para o exercício de atividades na modalidade de teletrabalho no exterior.
..............................................................." (NR)
Art. 2º O art. 32 da Portaria nº 5, de 19 de novembro de 2021, passa a
vigorar com as seguintes alterações:
I - "Art. 32 Servidores aptos interessados na adesão ao Programa de Gestão na
modalidade teletrabalho, exclusivamente em regime de execução integral, poderão
desempenhar as atividades pactuadas em outro município da mesma unidade federativa de
exercício, desde que haja autorização específica da chefia imediata, ou fora da unidade
federativa de exercício, porém dentro do território nacional, desde que haja autorização
específica do Dirigente Máximo da respectiva Unidade Organizacional, ou, ainda, no exterior,
desde que haja autorização específica do Presidente do Ibama, consignada em ato de pessoal
publicado em Boletim de Serviço, vedada, em todos os casos, a subdelegação." (NR)
Art. 3º A Portaria nº 19, de 10 de maio de 2022, passa a vigorar com as
seguintes alterações:

                            

Fechar