DOU 20/12/2023 - Diário Oficial da União - Brasil
Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023122000186
186
Nº 241, quarta-feira, 20 de dezembro de 2023
ISSN 1677-7042
Seção 1
Art.17. Aos Integrantes da Etir compete:
I - receber, analisar, classificar e responder às notificações e às atividades
relacionadas a incidentes de segurança em redes computacionais, além de armazenar
registros para formação de séries históricas como subsídio estatístico; e
II - exercer outras atividades que lhe forem cometidas no seu campo de
atuação.
Art.18. À Secretaria Administrativa da Equipe de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos, a pedido do Agente Responsável, compete agendar as
reuniões a que se refere o art. 12 e elaborar as atas dessas reuniões.
Modelo de Implementação
Art. 19. A Etir seguirá o Modelo 1 ("Utilizando a equipe de Tecnologia da
Informação")
e
possuirá
autonomia
completa,
conforme
disposto
na
NC05/IN01/DSIC/GSIPR/2009.
§ 1º Nesse modelo, as funções e serviços de tratamento de incidente serão
realizados,
preferencialmente,
por
administradores
de
rede
ou
de
segurança,
administradores de banco de dados, administradores de rede, analistas de suporte ou
quaisquer outras pessoas com conhecimento técnico comprovado na área de segurança
da informação.
§ 2º A Etir possui autonomia para conduzir seu público-alvo para realizar
ações ou medidas necessárias para reforçar a resposta ou a postura da organização na
recuperação de incidentes de segurança, sem depender de níveis superiores de
gestão.
Art. 20. Durante um incidente de segurança, se houver justificativa, a ETIR
poderá executar as medidas de recuperação, sem esperar pela aprovação de níveis
superiores de gestão.
Art. 21.
Extraordinariamente, o
Agente Responsável
poderá convocar
representantes de outras unidades da Diretoria de Tecnologia da Informação para atuar
em tratamento e resposta de determinado incidente de segurança.
Art. 22. A Etir poderá contar com suporte operacional de terceiros para
execução de suas atribuições, desde que haja previsão legal.
Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos
Art. 23. O catálogo de serviços da Equipe de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos, que consiste nos serviços providos pela Equipe, está
listado no Anexo X-A.
§ 1º Os serviços de que trata o caput também podem ser providos em
conformidade com a Portaria MGI nº 43, de 31 de janeiro de 2023, que disciplina o
compartilhamento de atividades de administração patrimonial, de material, de gestão de
pessoas, de serviços gerais, de orçamento e finanças, de contabilidade, de logística, de
contratos, de tecnologia da informação, de planejamento governamental e gestão
estratégica e de outras atividades de suporte administrativo realizadas por meio de
arranjos colaborativos entre Ministérios ou modelos centralizados, e dispõe sobre
medidas transitórias decorrentes da edição da Medida Provisória nº 1.154, de 1º de
janeiro de 2023.
ANEXO X-A
CATÁLOGO DE SERVIÇOS DA EQUIPE DE PREVENÇÃO, TRATAMENTO E
RESPOSTA A INCIDENTES CIBERNÉTICOS
Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos
O Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos é composto pelos seguintes serviços:
I - tratamento de incidentes cibernéticos:
a) definição - serviço de receber, filtrar, classificar e responder as solicitações
e os alertas e realizar as análises dos incidentes de segurança, com vistas a extrair
informações que permitam impedir a continuidade da ação maliciosa e a identificação de
tendências;
b) tipo do serviço - reativo;
c) disponibilidade do serviço - será executado pela Equipe de Prevenção,
Tratamento e Resposta a Incidentes Cibernéticos - Etir quando houver detecção de um
incidente por alguma unidade;
d) descrição das funções e procedimentos que compõe o serviço - o Agente
Responsável realizará as atividades e procedimentos de acordo com diretrizes
devidamente normatizadas
e em
conformidade com
a Política
de Segurança
da
Informação do Ministério do Trabalho e Emprego;
e) metodologia - o Agente Responsável, conjuntamente com seus técnicos,
analisará relatórios gerados por aplicativos devidamente instituídos no Ministério e, a
partir de tais informações, elaborará relatório com a ação ou recomendação a ser
tomada; e
f) tempo de tratamento - imediato;
II - tratamento de artefatos maliciosos:
a) definição - serviço de receber informações ou cópia de artefato malicioso
que foi utilizado no ataque, ou em qualquer atividade desautorizada ou maliciosa. Após
recebido, é analisado, com vistas a buscar a natureza do artefato, seu mecanismo, versão
e objetivo, para que seja desenvolvida ou sugerida uma estratégia de detecção, remoção
e defesa;
b) tipo do serviço - reativo;
c) disponibilidade do serviço o serviço será executado - Etir quando houver o
requerimento do usuário ou a detecção por meio de software ou outra ferramenta de
gestão;
d) descrição das funções e procedimentos que compõe o serviço - a equipe
realizará as seguintes atividades:
1. recebimento da informação ou cópia de artefato malicioso que foi utilizado
no ataque, ou em qualquer atividade desautorizada ou maliciosa;
2. análise do artefato malicioso, inclusive busca e natureza do artefato, seu
mecanismo, versão e objetivo; e
3. desenvolvimento de uma estratégia para detecção, remoção e defesa;
e) metodologia:
1. o serviço será realizado de acordo com o risco em que o artefato está
classificado;
2. o tratamento se dará, primeiramente, em tentativa de recuperação, na
hipótese de ser um ativo do Ministério, e de eliminação se for objeto fora do escopo do
Ministério; e
3. será elaborado relatório sobre a referida incidência;
f) tempo de tratamento: a depender da complexidade e urgência do caso;
III - tratamento de vulnerabilidades:
a) definição - serviço de receber informações sobre vulnerabilidades, sejam
em hardware ou software, com vistas a analisar a natureza, o mecanismo e suas
consequências e desenvolver estratégias para detecção e correção;
b) tipo do serviço - reativo;
c) disponibilidade do serviço - o serviço será executado pela Etir quando
houver o requerimento do usuário ou Agente Responsável e antes e depois de qualquer
aquisição de ativo de tecnologia da informação;
d) descrição das funções e procedimentos que compõe o serviço - o serviço
contemplará as seguintes atividades:
1. recebimento de informações sobre vulnerabilidades em hardware ou
software;
2. análise de sua natureza, seu mecanismo e suas consequências; e
3. desenvolvimento de estratégias para detecção e correção (emissão de
relatório);
e) metodologia - o serviço só será requerido pelo próprio usuário, por sua
chefia imediata ou hierarquicamente superior ao Agente Responsável, que emitirá
relatório com a ação ou recomendação a ser tomada; e
f) tempo de tratamento - a depender da complexidade e urgência do caso;
IV - detecção de intrusão:
a) definição - análise do histórico de dispositivos que detectam as tentativas
de intrusões em redes de computadores, com vistas a:
1. identificar e iniciar, mediante autorização, os procedimentos de resposta a
incidentes de segurança
em redes computacionais, com base
em eventos com
características pré-definidas, que possam levar a uma possível intrusão e;
2.possibilitar envio de alerta em consonância com o padrão de comunicação
previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos de Governo;
b) tipo do serviço - proativo;
c) disponibilidade do serviço - o serviço serÁ executado quando houver o
requerimento por pessoa competente na sua respectiva unidade através da Etir e quando
houver indícios de acesso não autorizado;
d) descrição das funções e procedimentos que compõe o serviço - a Equipe
realizará as seguintes atividades:
1. análise periódica no histórico - log de dispositivos que detectam tentativas
de intrusões em redes de computadores, com vistas a identificar e iniciar, mediante
autorização, os procedimentos de resposta a incidentes de segurança em redes
computacionais;
2. identificação de eventos com características pré-definidas que possam levar
a uma possível intrusão;
3.
envio
de alerta
em
consonância
com
o padrão
de
comunicação
previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos de Governo; e
4. emissão de relatórios sobre a invasão descrevendo o ambiente ou ativos
envolvidos;
e) metodologia - a Equipe analisará o ambiente ou os ativos envolvidos e
emitirá relatório sobre a invasão; e
f) tempo de tratamento - a depender da complexidade e urgência do caso.
ANEXO XI
COMITÊ DE PARTICIPAÇÃO SOCIAL
Art. 1º O Comitê de Participação Social - CPS do Ministério do Trabalho e
Emprego, de caráter assessório, estratégico e consultivo, tem a finalidade de assessorar
o Comitê de Governança Estratégica no tocante à implementação das diretrizes e
recomendações do Conselho de Participação Social do Governo Federal.
Art. 2º Ao Comitê de Participação Social - CPS compete:
I - prestar assessoria técnica ao Comitê de Governança Estratégica - CGE no
tocante à implementação das diretrizes e recomendações do Conselho de Participação
Social do Governo Federal, de que trata o Decreto nº 11.406, de 31 de janeiro de 2023,
ou estabelecidas pelo Sistema de Participação Social Interministerial, de que trata o
Decreto nº 11.407, de 31 de janeiro de 2023;
II - propor políticas para estabelecer as relações do Ministério com os
diferentes segmentos da sociedade civil na aplicação das políticas públicas;
III - propor diretrizes para fortalecimento do diálogo e da interlocução com as
organizações da sociedade civil e com a representação de movimentos sindicais e
populares;
IV - promover o monitoramento das deliberações dos órgãos colegiados
existentes na estrutura do Ministério; e
V - fomentar a parceria entre os órgãos e entidade vinculada do Ministério do
Trabalho e Emprego para o desenvolvimento de ações referentes à participação social;
Parágrafo único.
O CPS
poderá editar
resoluções para
o desempenho
de suas
competências e para as deliberações do CGE, por meio de publicação no Boletim de
Serviço do MTE.
Art. 3º O CPS será composto por representantes vinculados às seguintes
unidades da estrutura organizacional do Ministério:
I - Gabinete do Ministro;
II - Secretaria-Executiva;
III - Assessoria de Participação Social e Diversidade;
IV - Assessoria Especial de Promoção da Igualdade no Trabalho;
V - Assessoria Especial de Articulação de Políticas de Trabalho para o
Desenvolvimento;
VI - Representantes dos órgãos específicos singulares.
§ 1º O Coordenador do CPS e seu respectivo suplente serão designados em
ato do Ministro de Estado do Trabalho e Emprego.
§ 2º A Coordenação do CPS poderá convidar representantes de outros órgãos
e de unidades da estrutura organizacional do Ministério, com vistas a colaborar com
atividades técnicas e à internalização de diretrizes gerais.
Art. 4º O Comitê se reunirá por convocação do Coordenador ou de seu
substituto.
§ 1º Os membros do CPS que se encontrarem no Distrito Federal se reunirão
presencialmente ou por videoconferência, nos termos do disposto no Decreto nº 10.416,
de 7 de julho de 2020, e os membros que se encontrarem em outros entes federativos
participarão da reunião, preferencialmente, por meio de videoconferência, facultada a
realização de reunião presencial, quando necessário. As reuniões poderão ser realizadas
por videoconferência, salvo na hipótese de ser demonstrada, de modo fundamentado, a
inviabilidade ou a inconveniência de realização nesse formato.
§ 2º O quórum de reunião do Comitê é de maioria absoluta e o quórum de
aprovação é de maioria simples.
§ 3º Na hipótese de empate, além do voto ordinário, o Coordenador terá o
voto de qualidade.
Art. 5º O Comitê poderá criar comissões técnicas para elaboração de políticas,
diretrizes, planos, normas técnicas ou operacionais sobre os temas de sua atuação.
Art. 6º A participação no Comitê será considerada prestação de serviço
público relevante, não remunerada.
Art. 7º Casos omissos e dúvidas na aplicação do Anexo XI serão dirimidas pelo
Chefe da Assessoria Especial de Participação Social e Diversidade.
Art. 8º O Gabinete do Ministro poderá estabelecer diretrizes para o
planejamento e a operacionalização do disposto neste Anexo.
ANEXO XII
DO PROCESSO DE GESTÃO ESTRATÉGICA
Art. 1º Gestão estratégica é o processo gerencial contínuo e sistemático que
objetiva definir a direção a ser seguida pelo Ministério do Trabalho e Emprego, com
vistas a otimizar sua relação com os ambientes interno e externo, por meio do alcance
dos objetivos propostos.
Parágrafo único. O processo de gestão estratégica inclui as etapas de
elaboração, de monitoramento, de avaliação e de revisão.
Art. 2º A gestão estratégica será conformada em conjunto de normas,
documentos e sistemas.
§ 1º O planejamento estratégico do Ministério será elaborado e publicado até
o dia 30 de novembro do primeiro ano do mandato presidencial e será alinhado com o
Plano Plurianual - PPA.
§ 2º O Ministro de Estado do Trabalho e Emprego, o Secretário- Executivo ou
o Secretário- Executivo Adjunto priorizarão os objetivos, os indicadores, as metas e os
projetos.
§ 3º Para fins deste Anexo, consideram-se:
I - objetivos - os desafios a que a organização se propõe para cumprir sua
missão e alcançar sua visão de futuro no cumprimento do papel institucional que lhe é
reservado;
II - indicadores - os elementos de medição do alcance dos objetivos definidos
para análise da efetividade da estratégia;
III - metas - os resultados quantitativo ou qualitativo que a organização
pretende alcançar em prazo determinado, com vistas ao atingimento de seus objetivos; e
IV - projetos - as iniciativas temporárias que estão diretamente associadas ao
alcance dos objetivos.
§ 4º O planejamento estratégico do Ministério será aprovado pelo Ministro de
Estado do Trabalho e Emprego.
Fechar