DOU 12/03/2024 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152024031200056
56
Nº 49, terça-feira, 12 de março de 2024
ISSN 1677-7042
Seção 1
XVI - criar e manter canal de comunicação com a Secretaria de Segurança da
Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da
República - SSIC/GSI/PR, com o Centro de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos de Governo (CTIR.gov), com o Centro Integrado de Segurança Cibernética (CISC)
da Secretaria de Governo Digital e com a Agência Nacional de Proteção de Dados (ANPD);
XVII - criar a rede ETIR-MDS circunscrevendo todo o contexto do Ministério e
integrando a ETIR Central e a ETIR descentralizada;
XVIII - fornecer suporte e resposta auxiliando os usuários no tratamento e na
resposta aos incidentes de segurança cibernética;
XIX - realizar as atividades de prevenção, de tratamento e de resposta a
incidentes cibernéticos em seu âmbito de atuação;
XX - apoiar a condução da Política de Segurança da Informação - POSIN nas
atividades relacionadas à gestão de incidentes;
XXI - priorizar a continuidade dos ativos e serviços corporativos de TI;
XXII - cumprir o previsto no Plano de Gestão de Vulnerabilidades e no Plano de
Gestão de Incidentes Cibernéticos;
XXIII - apoiar o Gestor de Segurança da Informação nos contatos com os
órgãos competentes relacionados à segurança da informação e cibernética, gestão de
incidentes e proteção de dados pessoais;
XXIV - comunicar ao CTIR Gov, imediatamente, de acordo com seu modelo de
atuação, a ocorrência de incidentes de segurança cibernética, conforme os requisitos
definidos por aquele Centro;
XXV - manter uma base de conhecimento sobre os registros, ações de contenção
e recuperação, bem como as lições aprendidas relacionados aos incidentes cibernéticos;
XXVI - disponibilizar, quando solicitados, relatórios sobre as atividades de sua
competência ao CIG, CGD, gestor de segurança da informação, encarregado de proteção
de dados ou ao gestor de TI do Ministério do Desenvolvimento e Assistência Social,
Família e Combate à Fome;
XXVII - integrar e cooperar com a Rede de Prevenção, Tratamento e Resposta
a Incidentes cibernéticos (RegSIC) e equipes equivalentes de segurança da informação de
acordo com os protocolos de cooperação estabelecidos;
XXVIII - participar de eventos relativos à segurança da informação e segurança cibernética;
XXIX - subsidiar o Agente Responsável, o Gestor de Segurança, o Encarregado
de Proteção de dados, o Gestor de TI, o Comitê de Governança Digital e o Comitê Interno
de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate
à Fome com informações e evidências coletadas em apurações quando da suspeita de
ocorrências de quebras de segurança e/ou violações de segurança da informação; e
XXX - propor ações de capacitação relacionadas à segurança cibernética.
Art. 4º Ao Coordenador-Geral de Governança de Tecnologia da Informação cabe:
I - definir o Agente Responsável pela ETIR com atribuições de gerência,
distribuições de demandas e organizações estruturais;
II - propor recursos necessários à capacitação dos membros da ETIR;
III - promover a capacitação
dos membros da ETIR, aprimorando
conhecimentos técnicos na ação do tratamento dos Incidentes de Segurança da
informação;
IV - proporcionar que a ETIR funcione como uma rede interna e que suporte ações
relacionadas atividades propostas, designando atribuições e ocupações para os representantes
das áreas setoriais que possuam atribuições de Tecnologia da Informação deste Ministério;
V - assegurar que os incidentes relacionados à Segurança Cibernético no
ambiente deste Ministério sejam inspecionados e registrados em uma base de
conhecimento sobre os incidentes de segurança da informação para auxiliar estudos,
análises, decisões e comunicação com os órgãos competentes;
VI - garantir que haja um canal nas comunicações entre os envolvidos no
tratamento dos incidentes de segurança e equipes governamentais;
VII
-
propor
alterações 
nas
composições,
autonomias,
modelos
de
implementações e estrutura organizacional da ETIR; e
VIII - propor procedimentos e ações, quando necessário, de adequações e
alterações na POSIN;
Art. 5º Ao Coordenador-Geral de Gestão de Dados e Informações cabe:
I - sugerir e prescrever ações nos incidentes de segurança da informação
relacionados a bases de dados; e
II - analisar, examinar e agir na contenção de incidentes de segurança
relacionado a bases de dados.
Art. 6º Ao Coordenador-Geral de Sistemas cabe:
I - sugerir e prescrever ações nos incidentes de segurança da informação
relacionados aos sistemas corporativos; e
II - analisar, examinar e agir na contenção de incidentes de segurança
relacionado aos sistemas corporativos.
Art. 7º Ao Coordenador-Geral de Infraestrutura cabe:
I - garantir as atualizações quanto aos incidentes de segurança da informação,
mantendo de forma atualizada as situações no tratamento com relatórios para subsidiar
a base de conhecimento sobre incidentes de segurança da informação do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome;
II - proceder com ações ativas e reativas nos incidentes relacionados aos ativos
de redes, estações de trabalho e equipamentos de TI do Ministério;
III - preconizar ações em providências e recuperação do ambiente pós incidente;
IV - promover estudos e análise dos incidentes de Segurança da Informação em
todo o ambiente institucional apresentando regularmente relatórios relacionados a
eventos e incidentes de segurança da informação, apresentando as ações implementadas
e propostas de melhorias nos ativos de informação; e
V - As responsabilidades serão destinadas para os coordenadores que, quando
estiverem impedidos das suas atribuições na ETIR, os substitutos deverão assumir as obrigações.
Art. 8º Cabe ao Agente Responsável pela ETIR:
I - chefiar e gerenciar a equipe de prevenção, tratamento e resposta a
incidentes cibernéticos;
II - cumprir o estabelecido na legislação relacionada ao tema Segurança da
Informação no seu âmbito de atuação; e
III - comunicar a ocorrência de incidentes de segurança cibernética aos órgãos
competentes de acordo com as orientações daqueles órgãos.
Art. 9º Cabe ao Gestor de Segurança da Informação:
I - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos;
II - avaliar o Plano de Gestão de Incidentes Cibernéticos;
III - avaliar o Plano de Gestão de Vulnerabilidades;
IV - subsidiar as comunicações com os órgãos competentes;
V - apresentar, quando solicitado, os resultados das atividades da ETIR ao
Comitê de Governança Digital e ao Comitê Interno de Governança do Ministério; e
VI - informar aos órgãos competentes sobre a necessidade da adoção de
procedimentos legais, cíveis, disciplinares ou administrativos em razão da existência de
indícios de ilícitos criminais, abuso ou negligência no tratamento de incidentes cibernéticos.
Art. 10 Cabe aos agentes responsáveis pelas unidades administrativas do Ministério:
I - informar imediatamente à ETIR a ocorrência de incidentes de segurança cibernética.
Parágrafo único. O Agente Responsável pela ETIR Central poderá atribuir outras
responsabilidades para que os membros da ETIR Descentralizada exerçam atividades de
forma proativa.
CAPÍTULO III
DO PÚBLICO-ALVO
Art. 11 A ETIR atenderá aos usuários dos ativos de informação institucional
vinculados aos órgãos de assistência direta e imediata ao Ministro e aos órgãos específicos
singulares e colegiados que integram o Comitê Interno de Governança e o Comitê de
Governança Digital.
Art. 12 A ETIR emitirá informativos sobre novas vulnerabilidades e novas
atualizações utilizando os seguintes meios
de comunicação: e-mails informativos,
publicações, intranet, além de feedback dos incidentes tratados.
CAPÍTULO IV
DA COMUNICAÇÃO
Art. 13 A comunicação dos incidentes de segurança nos ativos de informação
à ETIR será feita por meio de:
I - e-mail, pelo endereço: etir@mds.gov.br;
II - contato telefônico via central de suporte e atendimento ao usuário (61)
2030-1500 para usuários do Ministério;
III - correspondências oficiais (memorandos, ofícios);
IV - pessoalmente, em casos emergenciais; e
V - ferramental tecnológico, eventos detectados pelo monitoramento da
ETIR.
CAPÍTULO V
DO REGISTRO DE INCIDENTES CIBERNÉTICOS
Art. 14 Todo incidente de segurança cibernética deve ser registrado e utilizado
na
composição
de
uma
base de
conhecimento
sobre
incidentes
cibernéticos,
preferencialmente
em 
software
específico,
homologado
pelo 
Ministério
do
Desenvolvimento e Assistência Social, Família e Combate à Fome, por membro da equipe
central da ETIR que procederá com a consolidação das informações. Caso o incidente ocorra
no período de plantão ou que o membro da ETIR não esteja presente, o registro ficará a
cargo do Coordenador de Operações da Subsecretaria de Tecnologia da Informação.
CAPÍTULO VI
DA ESTRUTURA DA ETIR
Art. 15 A ETIR deve atuar em rede, sendo composta pela STI, unidades
administrativas e as áreas de Tecnologia da Informação descentralizadas.
Art. 16 A estrutura da ETIR deve ter nível de técnico adequado às suas
funções, de forma proativa, sobre a orientação e fiscalização do Agente responsável pela
equipe.
Art. 17 Ficam designados os seguintes servidores para compor a ETIR
Central:
I - Titular;
II - Suplente;
III - Coordenador-Geral de Gestão de Governança de Tecnologia da Informação;
IV - Coordenador(a) de Planejamento;
V - Coordenador-Geral de Infraestrutura;
VI - Coordenador(a) de Operações;
VII - Coordenador-Geral de Sistemas;
VIII - Coordenador(a) de Qualidade de Sistemas;
IX - Coordenador-Geral de Gestão de Dados e Informações;
X - Coordenador de Qualidade de Dados;
XI - Agente Responsável pela Unidade Administrativa; e
XII - Indicado pelo gestor da unidade na composição do CGDMDS.
Art. 
18 
Considerando 
a 
Política
de 
Governança 
do 
Ministério 
do
Desenvolvimento e Assistência Social, Família e Combate à Fome, bem como as instâncias
que compõem o arranjo de governança interna, ficam os membros designados para
compor
o Comitê
de Governança
Digital
como agentes
responsáveis pela
ETIR
descentralizada e seus respectivos suplentes das unidades administrativas do Ministério.
Art. 19 A critério do Agente Responsável pela ETIR , poderão ser convidados
prepostos, técnicos e especialistas dos fornecedores e prestadores de serviços, empresas
públicas e academias para integrarem a ETIR Descentralizada.
Parágrafo único. A lista com o nome, cargo, e-mail e telefone de contato dos
integrantes da ETIR deverá ser mantida atualizada pelo Agente Responsável pela ETIR e
disponibilizada, quando necessário, às autoridades competentes.