DOU 19/05/2025 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152025051900071
71
Nº 92, segunda-feira, 19 de maio de 2025
ISSN 1677-7042
Seção 1
RESOLUÇÃO ANM Nº 206, DE 14 DE MAIO DE 2025
Estabelece as regras e procedimentos específicos
para a Política de Segurança da Informação (PSI) da
Agência Nacional de Mineração.
A DIRETORIA COLEGIADA DA AGÊNCIA NACIONAL DE MINERAÇÃO - ANM, no
uso das atribuições que lhe são conferidas pelo art. 11, § 1º, inciso I, da Lei nº 13.575,
de 26 de dezembro de 2017, art. 9º, inciso VI, da Estrutura Regimental da ANM, aprovado
na forma do Anexo I do Decreto nº 9.587, de 27 de novembro de 2018, pela Resolução
ANM nº 181, de 03 de outubro de 2024; tendo em vista os autos do processo nº
48051.008434/2024-64 e a deliberação da Diretoria Colegiada em sua 333ª Reunião
Administrativa, resolve:
Art. 1º Aprovar as regras e procedimentos específicos para a Política de
Segurança da Informação - PSI, no âmbito da Agência Nacional de Mineração - ANM.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º Para efeitos desta Resolução, são estabelecidos os significados dos
seguintes termos e expressões:
I - Acesso: Ato de ingressar, conhecer ou consultar a informação, bem como a
possibilidade de utilizar os ativos de informação da organização;
II - Acesso Privilegiado: Nível elevado de permissões concedido a usuários
específicos (como administradores de sistema) que permite controle total ou parcial sobre
configurações críticas, gerenciamento de usuários e recursos sensíveis do sistema;
III - Ameaça: Conjunto de fatores externos ou causa potencial de um incidente
indesejado que pode resultar em dano à um sistema ou serviço de tecnologia da
informação na organização;
IV - Artefato malicioso: Qualquer programa de computador, ou parte de um
programa, construído com a intenção de provocar danos, obter informações não
autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores;
V - Ativos de informação: Conjunto de recursos computacionais, infraestrutura
de armazenamento,
processamento e
transmissão de
dados, incluindo
sistemas,
equipamentos, instalações físicas e recursos humanos autorizados;
VI - Colaborador: Indivíduo com vínculo funcional (terceirizado ou estagiário)
autorizado a acessar recursos da ANM;
VII - Conta de acesso: permissão lógica, expressa por meio de usuário e senha,
que habilita determinada pessoa a acessar os sistemas e recursos de Tecnologia da
Informação da ANM;
VIII - Correio eletrônico: sistema usado para criar, transmitir e receber
mensagem eletrônica e outros documentos digitais por meio de rede de computadores;
IX - Documento: unidade de registro de informações, qualquer que seja o
suporte ou formato;
X - Equipe de tratamento e resposta a incidentes em redes computacionais -
ETIR: Unidade especializada responsável pela detecção, análise, contenção e resposta a
incidentes de segurança cibernética;
XI - Incidente de segurança da informação: Qualquer evento adverso,
confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das
redes de computadores;
XII - Links: Palavra, expressão ou imagem que permite o acesso imediato à
outra parte de um mesmo texto, ou de outro documento, bastando ser acionado pelo
ponteiro do mouse. Quando o link é expresso na forma de uma palavra ou expressão
(também denominado hiperlink ou hipertexto), ele vem sublinhado ou grafado em cor
distinta da utilizada para o resto do texto;
XIII - Proprietário do ativo de informação: Servidor ou unidade organizacional
responsável primário pela viabilidade e sobrevivência do ativo de informação (Ref. NC
10/IN01/DSIC/GSIPR);
XIV - Protocolo de transferência de arquivos (File Transfer Protocol - FTP):
Protocolo utilizado para transferir arquivos através de redes computacionais, incluindo a
Internet;
XV - Registros de auditoria (logs): Registro dos eventos relevantes ocorridos em
um sistema computacional ou uma rede de computadores, utilizado para restabelecer o
estado original ou para que o administrador conheça o seu comportamento no
passado;
XVI - Site: Conjunto de documentos escritos em linguagem HTML, pertencentes
a um mesmo endereço (URL), disponível na Internet;
XVII - Software: Programa ou aplicativo de computador;
XVIII - Central de Serviços de TI: Equipe de colaboradores responsável pelas
orientações e soluções de problemas de baixa complexidade relativas à Tecnologia da
Informação;
XIX - Usuário: Servidor Público ou Colaborador habilitado para fazer uso de
uma conta de acesso;
XX - Malware: É a abreviação de "malicious software" que é um código
malicioso projetado para comprometer a segurança, exfiltrar dados ou degradar o
desempenho dos sistemas;
XXI - Antivírus: Programa de proteção do computador que detecta e elimina os
vírus nele existentes, assim como impede sua instalação e propagação;
XXII -Teletrabalho: Modalidade de trabalho realizada fora das dependências
físicas da Agência, utilizando recursos tecnológicos para desempenhar atividades
profissionais remotamente;
XXIII -MFA/2FA (Autenticação Multifator/Duplo Fator de Autenticação): Método
de segurança que exige duas ou mais formas de verificação (como senha e código gerado
por determinado aplicativo para smartphone) para confirmar a identidade de um usuário
ao acessar determinados sistemas ou serviços, e;
XXIV -VPN (Rede Virtual Privada): Tecnologia que cria uma conexão segura e
criptografada entre o dispositivo do usuário e a rede corporativa, permitindo acesso
remoto a serviços e sistemas de maneira protegida.
Art. 3º Cabe à Superintendência de Tecnologia da Informação e Inovação - STI,
prover a infraestrutura tecnológica necessária para implementação da PSI e de suas regras
e procedimentos.
Art. 4º Cabe à STI definir processos de trabalho visando o monitoramento do
cumprimento das regras e procedimentos específicos da PSI.
§ 1º Representantes de outras unidades organizacionais poderão ser solicitados
pela STI para elaborar processos de trabalho a serem definidos para a PSI.
CAPÍTULO II
DO CONTROLE DE ACESSO DO USUÁRIO
Seção I
Contas de acesso ao ambiente de rede corporativa da ANM
Art. 5º Cada usuário abrangido por esta PSI receberá, após o devido
credenciamento pela Superintendência de Tecnologia da Informação e Inovação - STI, uma
conta de acesso única, pessoal e intransferível.
§ 1º O fornecimento da conta de acesso será realizado pela STI, no qual
constarão os dados cadastrais do usuário e os recursos de TI que deverão ser fornecidos
(ex.: caixa de correio eletrônico, acesso a pasta de arquivos compartilhados, dentre
outros).
§ 2º O usuário deverá assinar o "Termo de Responsabilidade e Sigilo" (Anexo
I), no qual declara ter conhecimento da PSI e suas normas correlatas.
§ 3º O nome de usuário seguirá a nomenclatura padronizada pelas regras de
formação de nomes para a composição de endereço eletrônico (e-mail) no Governo
Federal, composto pelo nome seguido de ponto e de um sobrenome.
Art. 6º As contas de acesso à rede corporativa da ANM deverão ser protegidas
obrigatoriamente por autenticação de duplo fator (2FA), cuja implementação, condições e
métodos serão definidos pela STI, considerando as melhores práticas de segurança e as
necessidades institucionais.
Art. 7º Os colaboradores poderão receber conta de acesso, desde que o acesso
à rede corporativa da ANM seja imprescindível à execução de suas atividades, a critério
do gestor do contrato relacionado, seguindo o mesmo procedimento definido no art.
5º.
§ 1º A solicitação deverá conter dados cadastrais e o período que o
colaborador desempenhará suas atividades.
§ 2º Caso o colaborador seja desligado da empresa contratada antes do prazo
estabelecido na ativação da conta, o gestor do contrato deverá informar o desligamento
à STI para o bloqueio imediato daquela conta de acesso.
Art. 8º A STI será responsável por definir e implementar os procedimentos
relacionados ao cadastramento, composição, padrão e periodicidade de troca das senhas
dos usuários de TIC da ANM, observando as melhores práticas de cibersegurança e
acompanhando a evolução tecnológica e as ameaças emergentes.
Seção II
Bloqueio das contas de acesso ao ambiente de rede corporativa da ANM
Art. 9º As contas de acesso serão bloqueadas nas seguintes situações:
I - após 5 (cinco) tentativas de acesso sequenciais malsucedidas;
II - ausência de acesso à rede da ANM superior a 60 (sessenta) dias; e,
III - em casos de suspeita de infração à PSI, mediante determinação da
Superintendência de Tecnologia da Informação e Inovação - STI.
§ 1º O desbloqueio da conta de acesso, sem alteração da senha, deverá ser
solicitado junto à Central de Serviços de TI da ANM.
§ 2º No caso de servidor em licença ou afastamento, previstos na Lei n.º
8112/90, cujo prazo seja superior ao estabelecido no inciso II, do caput, a
Superintendência de Gestão de Pessoas informará à STI para aplicação de exceção à regra
específica de bloqueio da conta.
Seção III
Desativação das contas de acesso ao ambiente de rede corporativa da ANM
Art. 10 A desativação das contas de acesso do servidor ou colaborador será
realizada pela STI, nos seguintes casos:
I - desligamento da ANM;
II - ausência de acesso à rede da ANM superior a 90 (noventa dias);
III - término do contrato de trabalho;
IV - falecimento; ou
V - descumprimento das normas de segurança estabelecidas na PSI.
§ 1º As contas desativadas terão seus dados associados, incluindo logs de
acesso, armazenados de forma segura por período compatível com as normas legais e
regulatórias, garantindo a rastreabilidade necessária para processos administrativos,
correcionais ou policiais.
§ 2º A exclusão definitiva de dados vinculados às contas de acesso somente
poderá ocorrer após o prazo de guarda regulamentar e mediante análise de riscos e
conformidade legal.
Seção IV
Teletrabalho
Art. 11 Os usuários, em regime de teletrabalho, são responsáveis por
providenciar e manter os recursos tecnológicos necessários para a execução de suas
atividades fora do parque tecnológico da ANM.
§ 1º Essa responsabilidade inclui a garantia de que os recursos tecnológicos
utilizados atendam aos requisitos e normas de segurança da ANM, conforme orientações
da STI.
§ 2º A STI é a responsável por fornecer as especificações mínimas e suporte
orientativo para auxiliar os usuários no cumprimento dessas responsabilidades, garantindo
a continuidade das atividades institucionais com segurança e eficiência.
Seção V
Procedimentos durante os afastamentos de servidores e/ou colaboradores
Art. 12 A SGP deverá comunicar previamente à STI, sobre aqueles servidores
em licença ou afastamento, previstos na Lei n.º 8112/90, cujo prazo seja superior a 60
(sessenta) dias, para que sejam tomadas as seguintes providências:
I - os arquivos de trabalho armazenados no computador local e nas pastas
corporativas deverão ser movidos para que fiquem disponíveis à última unidade
organizacional do servidor; e
II - os computadores desktop e notebooks, caso tenham sido disponibilizados
ao usuário, deverão ser devolvidos à ANM, onde serão formatados e destinados a nova
distribuição, ressalvados os casos previstos no §2º do art. 9º.
Seção VI
Autorização de acesso às contas de usuários
Art. 13 O acesso de terceiros à conta de usuário e conteúdo a ela associado
será permitido somente em casos específicos de indício de descumprimento dos termos
desta Política ou de outros normativos relacionados, apurado em procedimento
administrativo, assegurando-se o direito ao contraditório e à ampla defesa.
Parágrafo único: Em caso de falecimento do usuário, a conta poderá ser
acessada por familiares diretos, mediante solicitação formal à ANM, exclusivamente para
a cópia dos arquivos pessoais armazenados nas máquinas corporativas, respeitando-se as
normas de segurança e privacidade vigentes.
Seção VII
Gestão de acesso privilegiado
Art. 14 Os acessos privilegiados, como VPN, perfis de administrador de rede ou
administrador local de computadores e outros similares, terão sua concessão restrita e
dependerão de solicitação formal da chefia imediata do usuário à STI, que será
responsável por avaliar e autorizar, com base na justificativa técnica apresentada e na
necessidade estritamente técnica, de cibersegurança e funcional.
CAPÍTULO III
RESPONSABILIDADES E RECOMENDAÇÕES AO USUÁRIO
Seção I
Responsabilidades do Usuário
Art. 15 A conta de acesso disponibilizada ao usuário é pessoal e intransferível,
sendo seu titular o único e total responsável pelas ações e danos que venham a ser
ocasionados por mau uso do serviço.
Art. 16 É vedada a utilização da conta de acesso e dos recursos de TI
corporativos para
receber de
forma consentida,
armazenar e
enviar/encaminhar
mensagens contendo:
I - códigos maliciosos, conteúdo potencialmente perigoso, tais como arquivos
executáveis, vírus, Cavalos de Tróia ou qualquer outro tipo de programa danoso;
II - materiais com conteúdo obsceno, ilegal, antiético, ofensivo ou que
incentivem a violência, discriminação ou preconceito ou que façam sua apologia;
III - conteúdos tendentes a comprometer a intimidade de usuários ou a
imagem institucional;
IV - materiais protegidos por leis de propriedade intelectual;
V - materiais com objetivos comerciais, particulares e anúncios publicitários; e
VI - materiais de natureza político-partidária ou sindical, que promova a eleição
de candidatos para cargos públicos eletivos, clubes, associações e sindicatos.
Art. 17º Caracterizam-se como utilização indevida dos recursos de tecnologia
da informação as seguintes ações:
I - ataque, monitoração ou acesso não autorizado aos recursos de tecnologia
da informação da organização ou de redes externas, utilizando recursos da organização ou
outros meios;
II - instalação de softwares ou equipamentos de TIC sem licença ou não
autorizados pela STI;
III - instalação ou disseminação de vírus de computadores ou software que
coloquem em risco as instalações e os recursos de tecnologia da informação da
organização;
IV - alteração da configuração de hardware dos recursos de tecnologia da
informação, sem a devida solicitação à STI;
V - cópia de arquivos, conteúdos de bases de dados, ou outros ativos de
informação da ANM, sem a devida autorização do proprietário do ativo; e
VI - todo e qualquer procedimento no uso dos recursos de TI não previsto
nesta norma que possam afetar de forma negativa a organização, seus servidores e seus
colaboradores.
Art. 18º É vedada a utilização dos ativos de TI corporativos para quaisquer
atividades que não tenham relação direta com aquelas da ANM.