DOU 02/12/2025 - Diário Oficial da União - Brasil

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152025120200072
72
Nº 229, terça-feira, 2 de dezembro de 2025
ISSN 1677-7042
Seção 1
Métricas de gerenciamento de vulnerabilidades
Art. 4º As funções e responsabilidades formais das equipes para a execução
das atividades previstas nesta norma devem ser estabelecidas de maneira oportuna,
contínua, eficaz e proporcional aos negócios do CNPq.
Art. 5º A consistência e a eficácia do PGV devem ser aferidas por meio de
métricas e indicadores de gerenciamento de vulnerabilidades que atendam às
necessidades do CNPq.
§ 1º As métricas deverão ser definidas pelo Comitê de Segurança da
Informação (CSI), aprovadas, revisadas e comunicadas, e suas medições serão
apresentadas de acordo com a periodicidade definida pelo Coordenador do Comitê.
§ 2º Quando aplicável, as métricas de que trata o caput poderão ser
compartilhadas com outras unidades do CNPq que tenham responsabilidade direta ou
indireta sobre os desvios das métricas.
Detecção de vulnerabilidades
Art. 6º As funções, as atividades e as responsabilidades das equipes de
detecção de vulnerabilidades devem ser estabelecidas, comunicadas e conhecidas.
Art. 7º Devem ser utilizadas as seguintes ferramentas e métodos para
detecção de vulnerabilidades:
I - ferramentas de monitoramento de rede e Sistemas de Detecção de
Intrusões (IDS), para identificar e responder rapidamente a atividades suspeitas;
II - Testes Estático e Dinâmico de Segurança de Aplicações do CNPq (SAST e
DAST), por meio de ferramentas de Segurança de Aplicações (AppSec) reconhecidas no
mercado;
III - varreduras de vulnerabilidades na rede corporativa, realizadas por equipe
interna, terceiros ou uma combinação de ambos; e
IV - testes de intrusão, realizados periodicamente conforme a necessidade do
CNPq, em situações atípicas, anormalidades, demandas e, ou, projetos pontuais.
§ 1º As ferramentas de detecção devem ser configuradas e ajustadas
adequadamente de acordo com as necessidades e plataformas tecnológicas do CNPq.
§ 2º A frequência dos testes de segurança deve levar em consideração os
requisitos legais, regulamentares ou contratuais, bem como a avaliação dos riscos
associados aos ativos.
§ 3º Para cada teste, é necessário verificar se a varredura ocorreu
corretamente nos ativos analisados, se existem exceções de vulnerabilidades ou falhas de
execução.
§ 4º A detecção manual de vulnerabilidades deve ser considerada como
complemento à detecção automática, em caso de dúvidas ou como medida de dupla
validação.
Elaboração e manutenção dos relatórios
Art. 8º A equipe de gerenciamento de vulnerabilidades deverá elaborar
relatórios após cada ciclo de detecção para auxiliar o CNPq a entender e mensurar as
vulnerabilidades existentes.
§ 1º Os resultados da varredura devem ser analisados pela equipe para
identificação de possíveis falsos positivos, os quais devem ser justificados e eliminados.
§ 2º Os grupos de ativos de informação devem ser classificados por tipo de
ambiente, sistema, ID, vulnerabilidade ou grupo responsável, a fim de facilitar o
tratamento e encaminhamento.
§ 3º A equipe deverá adotar métricas para os relatórios, incluindo a
porcentagem de ativos vulneráveis por gravidade, de acordo com indicadores como EPSS,
CVSS, VPR, ExPR, QVS ou similares.
Art. 9º O relatório de vulnerabilidades deve ser classificado de acordo com a
sensibilidade das informações e a política de classificação do CNPq.
Parágrafo único. Todas as versões do relatório devem ser formalmente
remetidas ao Comitê de Segurança da Informação e ao gestor de segurança da
informação,
com informações
estratificadas que
destaquem
possíveis pontos de
atenção.
Art.
10. Deverá
ser mantido
um
de dados
de vulnerabilidades,
com
informações de vulnerabilidade, análise para priorização e, quando disponível, o plano ou
recomendação de correção.
§ 1º O banco de dados de que trata o caput deve ser atualizado regularmente
com informações de várias fontes, como sites de segurança, boletins e publicações de
fornecedores.
§ 2º É recomendável que o banco de dados seja integrado a outras
ferramentas de segurança, como scanners e sistemas de gerenciamento de patches, para
agilizar a identificação e correção de vulnerabilidades.
Priorização e remediação das vulnerabilidades
Art. 11. O tratamento de vulnerabilidades deve ser priorizado com base em
sua classificação de risco e criticidade, tempo esperado para correção, impacto em caso
de exploração e no valor que o ativo tem para o CNPq.
Parágrafo único. As vulnerabilidades devem ser tratadas de acordo com seu
nível de severidade e nos prazos estipulados, conforme os indicadores definidos em
procedimento dedicado.
Art. 12. Os testes de vulnerabilidade que resultarem em falha devem ser
reagendados até que sua execução seja concluída com êxito.
Parágrafo único. Caso a vulnerabilidade não possa ser corrigida, ela poderá ser
incluída na lista de exceções, mediante aprovação de pessoal autorizado e com base no
processo de aceitação de risco.
Art. 13. Quando as vulnerabilidades não puderem ser corrigidas dentro do
prazo estabelecido, a equipe de gerenciamento de vulnerabilidades deve enviar um ofício
ao Comitê de Segurança da Informação, contendo, no mínimo:
I - detalhes do sistema, componente ou ativo;
II - descrição detalhada da vulnerabilidade;
III - avaliação de risco que justifique a não correção imediata;
IV - justificativa clara pela qual a correção não pode ser realizada no prazo;
V - detalhes dos controles existentes ou contramedidas aplicáveis;
VI - novo prazo de correção; e
VII - plano de ação da remediação, obedecendo ao novo prazo.
Implementação e verificação das correções de vulnerabilidades
Art. 14. As correções de vulnerabilidades que forem efetivamente testadas em
ambiente de homologação e aprovadas devem ser implantadas em produção.
§ 1º As correções podem incluir a instalação de patches de segurança, ajustes
de configuração, remoção de software e contramedidas.
§ 2º A instalação de patches, notas e ajustes de configuração deve ser
realizada por meio do processo de gestão de mudanças para que os controles
apropriados sejam implementados para teste, avaliação de riscos e respectiva
reparação.
Exceções, logs e comunicações
Art. 15. Para os ativos de informação não contemplados por esta norma em
função de dificuldades técnicas, restrições tecnológicas, obrigações contratuais,
normativas ou outras razões legítimas, as exceções deverão ser documentadas e
aprovadas por meio de um processo de gerenciamento de exceções, conduzido pelo
Comitê de Segurança da Informação.
Parágrafo único. A lista de exceções de ativos de informação deve ter
validade, devendo ser revisada após esse período.
Registros de logs
Art. 16. Deverá ser definido um procedimento para análise de logs, que
contemple, no mínimo:
I - ferramentas de análise e correlação;
II - execução periódica das análises;
III - proteção contra adulteração, acesso não autorizado, uso indevido e, ou,
exfiltração; e
IV - exclusão segura, garantindo que os registros sejam completamente
apagados, em linha com os períodos de retenção legal.
Comunicação das ocorrências
Art. 17. As vulnerabilidades e as informações de correção devem ser comunicadas
aos usuários afetados, como administradores de sistema, proprietários e usuários finais.
Parágrafo único. As correções bem-sucedidas de vulnerabilidades poderão ser
testadas por meio de verificação de vulnerabilidades do ativo, verificação de logs de
patches, testes de invasão e verificação das definições de configuração.
Serviços em nuvem ou de terceiros
Art. 18. Para serviços em nuvem, as responsabilidades compartilhadas do
provedor de serviços com o CNPq devem ser definidas e acordadas em contrato.
Art. 19. Terceiros deverão cumprir
os requisitos deste Programa de
Gerenciamento de Vulnerabilidades, sendo essa obrigação incluída em contratos.
Competências
Art. 20. Compete à Coordenação-Geral de Tecnologia da Informação (CGETI):
I - a identificação de potenciais ameaças e vulnerabilidades cibernéticas
quanto ao acesso ao ambiente do CNPq;
II - mapear ameaças, vulnerabilidades e interdependências aos ativos de
informação e tomar ações para evitá-las;
III - prover os meios tecnológicos necessários à utilização, fornecimento e
manutenção do PGV;
IV - manter, em local seguro e restrito, dados de auditoria, logs e demais
informações relevantes acerca da utilização do programa;
V - divulgar esta Norma aos usuários, sendo responsável por sua atualização,
comunicação e conscientização;
VI - zelar pela não introdução de vulnerabilidades ou fragilidades nos ativos ou
ambientes informacionais do CNPq durante sua operação ou em eventos de mudança de
ambiente; e
VII - reportar imediatamente ao setor a que está subordinada, anomalias,
problemas, erros ou situações não identificadas que possam causar indisponibilidade ou
impossibilitem a execução do programa.
Art. 21. Compete à Coordenação-Geral de Administração e Logística (CGLOG)
informar tempestivamente a CGETI sobre exclusões, transferências ou afastamentos de
servidores, estagiários e prestadores de serviço contratados que atuem no CNPq e que
impliquem a necessidade de suspensão ou revogação definitiva da permissão de
acesso.
Art. 22. Compete à Diretoria de Análise de Resultados e Soluções Digitais
(DASD) zelar pelo atendimento aos princípios desta Norma, da segurança, integridade,
sigilo e disponibilidade dos serviços e dados necessários à sustentação do P GV .
Art. 23. Compete à Coordenação-Geral de Gestão de Pessoas (CGGEP)
capacitar, sempre que necessário, os usuários e os responsáveis pela manutenção do
programa para o uso seguro da ferramenta, da tecnologia, dos processos e de seus
recursos.
CAPÍTULO II
DISPOSIÇÕES FINAIS
Art. 24. O usuário que fizer uso de forma indevida ou não-autorizada dos
recursos de tecnologia da informação, em desacordo com os termos desta norma, fica
sujeito à aplicação das penalidades legais.
Art. 25. A partir da data em que esta norma entrar em vigor, estudos serão
realizados no sentido de efetivar as contratações dos serviços citados, a divulgação aos
usuários do órgão e as devidas
capacitações de pessoal necessárias ao seu
cumprimento.
Art. 26. Casos omissos e dúvidas com relação a esta Portaria serão submetidos
ao Comitê de Segurança da Informação.
Art. 27. Esta Portaria entra em vigor 90 (noventa) dias após a data de sua
publicação.
OLIVAL FREIRE JUNIOR
Ministério das Comunicações
SECRETARIA DE RADIODIFUSÃO
DEPARTAMENTO DE INOVAÇÃO, REGULAMENTAÇÃO
E FISCALIZAÇÃO
COORDENAÇÃO-GERAL DE FISCALIZAÇÃO, MONITORAMENTO
E APURAÇÃO DE INFRAÇÕES
PORTARIA Nº 20.634, DE 28 DE NOVEMBRO DE 2025
A COORDENADORA-GERAL DE FISCALIZAÇÃO, MONITORAMENTO E APURAÇÃO
DE INFRAÇÕES, no uso de suas atribuições, observados os critérios e parâmetros
estabelecidos pela Portaria de Consolidação GM/MCOM nº 1, de 2/6/2023, e tendo em
vista o que consta da Nota Técnica nº 18993/2025/SEI-MCOM (12948749), que integra
o Processo nº 53115.019282/2025-54, cujos fundamentos encontram-se motivados na
forma prevista no art. 50, § 1º, da Lei nº 9.784, de 29/1/1999, resolve:
Art.1º Aplicar à RÁDIO CLUBE MARCONI LTDA - ME, Fistel nº 02008011801,
inscrita no CNPJ nº 50.833.763/0001-91, outorgada para executar o Serviço de
Radiodifusão Sonora em Onda Média, por meio da frequência 1190 KHz, no Município
de Paraguaçu Paulista, Estado de São Paulo, a sanção de advertência, em razão da
prática da infração capitulada no art. 6º, caput, do Decreto nº 10.405/2020, com
redação dada pelo Decreto nº 10.775/2021.
Art. 2º Esta Portaria entra em vigor na data de sua publicação.
CAROLINA AUMONDI COSTA SILVA RATKIEWICZ
PORTARIA Nº 20.636, DE 28 DE NOVEMBRO DE 2025
A COORDENADORA-GERAL DE FISCALIZAÇÃO, MONITORAMENTO E APURAÇÃO
DE INFRAÇÕES, no uso de suas atribuições, observados os critérios e parâmetros
estabelecidos pela Portaria de Consolidação GM/MCOM nº 1, de 2/6/2023, e tendo em
vista o que consta da Nota Técnica nº 18992/2025/SEI-MCOM (12948748), que integra
o Processo nº 53115.019283/2025-07, cujos fundamentos encontram-se motivados na
forma prevista no art. 50, § 1º, da Lei nº 9.784, de 29/1/1999, resolve:
Art.1º Aplicar à RÁDIO CENTRO MINAS FM LTDA, Fistel nº 04030139760,
inscrita no CNPJ nº 23.363.575/0001-74, outorgada para executar o Serviço de
Radiodifusão Sonora em Frequência Modulada, por meio do canal nº 232, no Município
de Curvelo, Estado de Minas Gerais, a sanção de advertência, em razão da prática da
infração capitulada no art. 6º, caput, do Decreto nº 10.405/2020, com redação dada
pelo Decreto nº 10.775/2021.
Art. 2º Esta Portaria entra em vigor na data de sua publicação.
CAROLINA AUMONDI COSTA SILVA RATKIEWICZ
PORTARIA Nº 20.638, DE 28 DE NOVEMBRO DE 2025
A COORDENADORA-GERAL DE FISCALIZAÇÃO, MONITORAMENTO E APURAÇÃO
DE INFRAÇÕES, no uso de suas atribuições, observados os critérios e parâmetros
estabelecidos pela Portaria de Consolidação GM/MCOM nº 1, de 2/6/2023, e tendo em
vista o que consta da Nota Técnica nº 18991/2025/SEI-MCOM (12948747), que integra
o Processo nº 53115.019284/2025-43, cujos fundamentos encontram-se motivados na
forma prevista no art. 50, § 1º, da Lei nº 9.784, de 29/1/1999, resolve:
Art.1º Aplicar à RÁDIO CLUBE DE ALAGOAS LTDA, Fistel nº 07008000502,
inscrita no CNPJ nº 12.347.589/0001-88, outorgada para executar o Serviço de
Radiodifusão Sonora em Frequência Modulada, por meio do canal nº 266, no Município
de Arapiraca, Estado de Alagoas, a sanção de advertência, em razão da prática da
infração capitulada no art. 6º, caput, do Decreto nº 10.405/2020, com redação dada
pelo Decreto nº 10.775/2021.
Art. 2º Esta Portaria entra em vigor na data de sua publicação.
CAROLINA AUMONDI COSTA SILVA RATKIEWICZ