INA - INSTRUÇÃO ADMINISTRATIVA 005/2022
Tipo de documento: texto_integral
Ementa: Dispõe acerca das diretrizes, responsabilidades e procedimentos para o controle de acesso à rede corporativa da Agência Nacional de Energia Elétrica - ANEEL.
Assunto: Fixação
Situação: NÃO CONSTA REVOGAÇÃO EXPRESSA
Publicação: 2022-12-08
Autor: SGI/ANEEL

AGÊNCIA NACIONAL DE ENERGIA ELÉTRICA – ANEEL
SUPERINTENDÊNCIA DE GESTÃO TÉCNICA DA INFORMAÇÃO – SGI
INSTRUÇÃO ADMINISTRATIVA Nº 5, DE 7 DE DEZEMBRO DE 2022
Dispõe acerca das diretrizes, responsabilidades e
procedimentos para o controle de acesso à rede
corporativa da ANEEL (Política de Controle de
Acesso)
O SUPERINTENDENTE DE GESTÃO TÉCNICA DA INFORMAÇÃO DA AGÊNCIA NACIONAL DE
ENERGIA ELÉTRICA – ANEEL, no uso das atribuições regimentais, de acordo com a deliberação da Diretoria,
tendo em vista o disposto no Art. 22, inciso XI, do Regimento Interno, aprovado pela Portaria MME nº
349, de 28 de novembro de 1997; considerando a Norma de Organização nº 12, instituída pela Portaria
nº 6.143 de 26 de novembro de 2019, que dispõe das Diretrizes Básicas da Política de Segurança da
Informação e Comunicações da Agência a serem observados no âmbito da Agência Nacional de Energia
Elétrica – ANEEL, resolve:
Art. 1º Homologar, na forma dos Anexos I, II e III esta Instrução Administrativa que dispõe
sobre as diretrizes, responsabilidades e procedimentos para o controle de acesso à rede corporativa da
ANEEL.
Parágrafo único. Esta Instrução Administrativa e seus Anexos estão acessíveis para consulta
no Portal de Normas e Procedimentos da SGI, disponível no endereço eletrônico:
https://aneelbr.sharepoint.com/sites/SGI-intra/SitePages/Normas-e-Procedimentos-de-TI(5).aspx.
Art. 2º Esta Instrução Administrativa entra em vigor na data de sua publicação.
ISSAO HIRATA
Este texto não substitui o publicado no Boletim Administrativo de 08.12.2022, p. 26, v. 25, n. 49.

ANEXO I
POLÍTICA DE CONTROLE DE ACESSO À REDE CORPORATIVA DA ANEEL
TÍTULO I
DAS DISPOSIÇÕES GERAIS
CAPÍTULO I
DO OBJETIVO
Art. 1º A Política de Controle de Acesso objetiva estabelecer controles de segurança para o
acesso local e remoto à rede corporativa da ANEEL, a fim de se evitar a quebra da segurança das
informações nelas dispostas e quaisquer acessos não autorizados que impliquem em risco de destruição,
alteração, perda, furto ou divulgação indevida, em atendimento à Política de Segurança da Informação e
Comunicações da Agência (Norma de Organização ANEEL nº 12).
CAPÍTULO II
DO ESCOPO
Art. 2º Esta Política se aplica a todas as informações dispostas na rede corporativa em que a
ANEEL seja agente de tratamento, bem como a todos os usuários de recursos de TI que acessem tais
informações ou exerçam controle administrativo, técnico ou operacional, mesmo que eventual, dos meios
de tratamento.
TÍTULO II
DA CONCEITUAÇÃO
Art. 3º No sentido de esclarecer os conceitos de termos utilizados nesta Instrução
Administrativa que possam gerar dificuldades de interpretação ou significados ambíguos, as seguintes
definições são aplicadas:
I – Acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como
possibilidade de utilizar os ativos de TI físicos (hardwares) e lógicos (softwares), observada eventual
restrição que se aplique;
II – Acesso lógico à rede local (acesso local): acesso lógico realizado na rede corporativa da
ANEEL por meio do uso de uma conta de usuário com recurso de TI disponível nas instalações da Agência
(por exemplo: login na estação de trabalho física da ANEEL);
III – Acesso remoto à rede local: acesso lógico realizado na rede corporativa da ANEEL por
meio do uso de uma conta de usuário com recurso de TI localizado fora das dependências da Agência (por
exemplo: acesso VPN);
IV – Ambiente Computacional: conjunto de ativos de tecnologia da informação, composto por
hardwares e softwares, destinado ao recebimento, tratamento, armazenamento, transmissão e
processamento de dados;

V – Ativo de TI: recurso que compõe o ambiente computacional da ANEEL, tais como: estação
de trabalho física ou virtual, computador portátil, servidor físico ou virtual, sistema corporativo,
infraestrutura de TI, entre outros, dispostos nas instalações físicas ou em nuvem computacional;
VI – Autenticação Multifatorial (MFA): utilização de dois ou mais fatores de autenticação para
concessão de acesso lógico a um sistema. Os fatores de autenticação se dividem em: algo que o usuário
conhece (senhas, frases de segurança, PIN, dentre outros); algo que o usuário possui (certificado digital,
tokens, códigos enviados por SMS, dentre outros); algo que o usuário é (aferível por meios biométricos,
tais como digitais, padrões de retina, reconhecimento facial, dentre outros); e onde o usuário está
(quando o acesso só pode ser feito em uma máquina específica, cujo acesso é restrito);
VII – Bloqueio de conta: procedimento que consiste na suspensão do acesso local e remoto
do usuário de recurso de TI à rede corporativa da ANEEL;
VIII – Controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a
finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais. Via de regra,
requer procedimentos de autenticação;
IX – Chamado: registro de solicitação ou requisição de serviço de TI realizado em ferramenta
de Service Desk;
X – Dado: corresponde ao registro eletrônico gerado, inserido ou armazenado em ativo de TI;
XI - Desativação de conta: procedimento de desativação de perfil de usuário que consiste na
realização da revogação definitiva das permissões de acesso concedidas à conta do usuário e da
desativação dos recursos de TI alocados (por exemplo: caixa postal, pastas pessoais do corporativo,
licenças de softwares, estações virtuais, entre outros);
XIV – Infraestrutura de TI: hardware(s) e software(s) de armazenamento, virtualização,
processamento, conectividade, backup e segurança da informação da ANEEL, salvaguardados em
instalação predial interna ou externa, incluindo nuvem computacional;
XV - Princípio do privilégio mínimo ou do menor privilégio: estratégia de segurança cibernética
que se baseia na prática de conceder à indivíduos autorizações de acesso a sistemas, aplicações, dados e
informações apenas quando realmente sejam necessárias para o desempenho de uma atividade
específica e por um período específico.
XVI – Recurso de Tecnologia da Informação (TI): ativo que compõe o ambiente computacional
da ANEEL, tais como: estação de trabalho física ou virtual, computador portátil, servidor físico ou virtual,
sistema corporativo, infraestrutura de TI, entre outros, dispostos nas instalações físicas da ANEEL;
XVII – Rede corporativa: conjunto de computadores interligados por ativos de rede e capazes
de trocar informações e de compartilhar recursos por meio de um sistema de comunicação;

XVIII – Service Desk: central de serviços destinada a capturar demandas de usuários para
resolução de incidentes e requisições de serviços de TI (chamados) e base de conhecimento;
XIX– Usuário de Recurso de TI: servidores, comissionados, estagiários, funcionários de
empresas contratadas e prestadoras de serviços terceirizados e demais colaboradores temporários em
atividade na ANEEL;
XX – Sistema de controle de acesso: conjunto de ferramentas que se destina a controlar e a
dar a uma pessoa ou usuário permissão de acesso a um recurso (por exemplo: Microsoft Active Directory
- AD);
XXI – Sistema Corporativo: aplicação, painel ou solução obtidos, adquirido ou desenvolvido
pela Agência e hospedado em sua infraestrutura de TI, para dar suporte ao(aos) seu(seus) processo(os)
de trabalho.
XXII – VPN (virtual private network): refere-se à construção de uma rede privada, utilizando
redes públicas (por exemplo, a Internet) como infraestrutura. Esses sistemas utilizam criptografia e outros
mecanismos de segurança para garantir que somente usuários autorizados possam ter acesso à rede
privada e que nenhum dado será interceptado enquanto estiver passando pela rede pública;
XXIII – VDI (virtual desktop infraestructure): diz respeito ao uso de máquinas virtuais para
fornecer e gerenciar desktops virtuais. A VDI hospeda ambientes de desktop em um servidor centralizado
e os implanta para usuários finais mediante solicitação.
TÍTULO III
DAS REFERÊNCIAS E BOAS PRÁTICAS
Art. 4º Esta Política deve atender aos seguintes normativos e boas práticas:
I – Lei nº 13.709/2018 – Lei Geral de Proteção de Dados - CAPÍTULO VII - Seção I - Art. 46,
Seção II Art. 50;
II – Decreto nº 9.637/2018 – Política Nacional de Segurança da Informação (PNSI) - CAPÍTULO
I - Art.2, Incisos III e IV, CAPÍTULO II – Art.3, Inciso XI e CAPÍTULO VI - Seção IV - Art.15;
III – Decreto nº 10.046/2019 – Governança no Compartilhamento de Dados (GCD) - Art. 2,
XXIII;
IV – Decreto nº 10.332/2020 – Estratégia de Governo Digital 2020-2022, em sua íntegra;
V – Instrução Normativa nº 01/GSI/PR – Art.12, Inciso IV, alínea f;
VI – Acórdão 1.889/2020-TCU-Plenário – Relatório de Levantamento de Auditoria Páginas 3032;
VII - Portaria GSI/PR nº 93, de 18 de outubro de 2021;

VIII – Portaria nº 6.143, de 26 de novembro de 2019 – Norma de Organizacional da ANEEL nº
012 (Política de Segurança da Informação e Comunicações da ANEEL - POSIC);
IX – Guia Do Framework de Segurança – LGPD – Página 24-26;
X – Framework de segurança cibernética do CIS 8 – Capítulo 6;
XI – Norma ABNT NBR ISO/IEC 27002:2013 Tecnologia da informação – Técnicas de segurança
- Código de prática para a gestão da segurança da informação – Itens 9 - 11.22.9 (Páginas 23 - 47).
TÍTULO IV
DAS DIRETRIZES
CAPÍTULO I
DO ACESSO LÓGICO À REDE LOCAL (ACESSO LOCAL)
Art. 5º O acesso lógico à rede local da ANEEL deverá ser realizado por meio de sistema de
controle de acesso local.
§1º Terão direito a conta de acesso lógico à rede local da ANEEL os usuários de recursos de TI.
§2º O acesso lógico à rede local da ANEEL (perfil de usuário) deverá ser concedido baseandose nas responsabilidades e tarefas de cada usuário de recurso de TI nas UOrgs (princípio do privilégio
mínimo).
§3º Deverão ser minimamente registradas e onde cabíveis, as seguintes informações de
acesso lógico à rede local da Agência: endereços IPs de origem e destino, horário do acesso, porta(as) e
protocolo(os) de rede utilizado(os).
Art. 6º Os registros de acesso lógico à rede local da ANEEL deverão ser mantidos pela SGI pelo
período mínimo de 6 (seis) meses.
CAPÍTULO II
DO ACESSO REMOTO À REDE LOCAL
Art. 7º O acesso remoto à rede local da ANEEL deverá ser realizado por meio de sistema de
controle de acesso provido pela solução de acesso remoto.
§ 1º A concessão de acesso remoto à rede local deverá ser precedida pela criação de conta de
acesso de acesso lógico à rede local da ANEEL.
§ 2º O acesso remoto à rede local da ANEEL deverá ser realizado por meio tecnologias de VPN,
VDI ou por meio de outras tecnologias de acesso com segurança comprovada.

Art. 8º O acesso remoto à rede local da ANEEL deverá empregar no mínimo os seguintes
mecanismos de segurança:
I - Autenticação multifatorial (MFA).
II - Verificação automatizada da saúde operacional do dispositivo utilizado no acesso, tais
como o uso de sistemas operacionais e antivírus atualizados, quando cabível (por exemplo, para
computadores fornecidos pela Agência).
§ 1º Deverão ser minimamente registradas e onde cabíveis as seguintes informações de
acesso remoto à rede local da Agência: endereços IPs de origem e destino, horário do acesso, porta(as) e
protocolo(os) de rede utilizado(os).
§ 2º Os registros de acesso remoto à rede local da ANEEL deverão ser mantidos pela SGI pelo
período mínimo de 6 (seis) meses.
Art. 9º Os acessos remotos à rede local da ANEEL concedidos poderão ser revisados pela SGI,
quanto à utilização, a cada 180 (cento e oitenta) dias.
CAPÍTULO III
DO PADRÃO DA CONTA DE ACESSO LOCAL
Art. 10. O padrão adotado para o formato das contas de acesso destinado a servidores,
comissionados e estagiários é a sequência "primeiro nome" + "último nome do usuário" seguida do sufixo
"@aneel.gov.br".
Art. 11. O padrão adotado para o formato das contas de acesso para os prestadores de
serviços terceirizados é a sequência "primeiro nome" + "último nome do usuário" + "." + "nome da
empresa contratada" seguida do sufixo "@aneel.gov.br".
Art. 12. Excepcionalmente, poderá ser adotado formato de conta de acesso diferenciado do
padrão informado nos Art. 10 e 11 para servidores, comissionados, estagiários e prestadores de serviços
terceirizados, desde que aprovado pelo titular da SGI.
Art. 13. Nos casos de já existência de conta de acesso igual para outro usuário, a SGI realizará
outra combinação utilizando o nome completo do usuário para o qual a conta está sendo criada.
CAPÍTULO IV
DO PADRÃO DA SENHA DE CONTA DE ACESSO LOCAL
Art. 14. A complexidade da senha de conta de acesso local utilizará o seguinte padrão:
I - Possuir tamanho mínimo de 10 (dez) caracteres, sendo obrigatório o uso de letras e
números.

II - Possuir pelo menos 1 (uma) letra maiúscula, 1 (uma) minúscula, 1 (um) caractere especial
(por exemplo: $, %, &) e 1 (um) número;
III - Não reutilizar as últimas 10 (dez) senhas.
§ 1º O usuário deverá evitar o uso de sequência numérica (por exemplo: 123...), alfabética
(por exemplo: abc...), nomes próprios, palavras de fácil dedução, datas, placa de carro, número de
telefone, data de aniversário, a própria conta de acesso, apelidos ou abreviações e o uso de termos óbvios,
tais como: Brasil, senha, usuário, password, entre outras;
§ 2º A SGI fornecerá uma senha temporária para cada nova conta de acesso lógico à rede local
concedida à usuário de recurso de TI que deverá alterá-la quando do primeiro acesso seguindo o padrão
de formatação estabelecido no caput desde parágrafo.
Art. 15. As senhas de acesso lógico à rede local deverão ser trocadas pelo próprio usuário de
recurso de TI a cada 60 (sessenta) dias, após aviso automático de expiração informado pelo sistema de
controle de acesso.
Parágrafo único. O usuário de recurso de TI deverá trocar a senha de acesso à rede local em
todos os dispositivos pessoais ou aplicações neles instaladas em que ela tenha sido armazenada (por
exemplo: navegadores e aplicativos de e-mails instalados em computadores e dispositivos móveis
pessoais, entre outros).
Art. 16. O login e senha de acesso lógico à rede local e acesso remoto concedidos pela SGI são
de uso pessoal e intransferível, sendo proibida a sua divulgação, sob pena de ser bloqueado quando
constatada qualquer irregularidade.
Art. 17. Em caso de conta de utilização de acesso biométrico para acesso lógico à rede local a
ANEEL deverá tratar seus respectivos dados biométricos como dados pessoais e sigilosos,
preferencialmente, utilizando-se de criptografia, na forma da legislação vigente.
CAPÍTULO V
DO BLOQUEIO E DESATIVAÇÃO DA CONTA DE ACESSO LOCAL
Art. 18. A conta de acesso lógico à rede local e acesso remoto de usuário de recurso de TI
deverá ser bloqueada nos seguintes casos:
I - Após 7 (sete) tentativas consecutivas de erro de digitação da senha, onde o bloqueio
automatizado do acesso ficará ativo por até 5 (cinco) minutos;
II - Após 90 (noventa) dias consecutivos sem acesso pelo usuário, até que seja realizada a
solicitação de desbloqueio;
III - Quando constatada irregularidade no uso dos serviços de TI disponibilizados pela Agência
ou descumprimento da Política de Segurança da Informação e Comunicação (Norma de Organização
ANEEL n. 12) e normas correlatas em vigência;

IV - Por solicitação da SRH, quando relativo a servidor, estagiário ou comissionado;
V - Por solicitação do gestor, fiscal ou preposto do contrato quando relativo a prestador de
serviço terceirizado;
Art. 19. A conta de acesso de usuário de recurso de TI desligado da Agência ou de empresa
prestadora de serviço terceirizado da Agência deverá ser desativada.
CAPÍTULO VI
DO PRIVILÉGIO DE ADMINISTRADOR DE ATIVO DE TI
Art. 20. A utilização de conta de acesso com perfil de administrador de ativo de TI será
permitida somente para usuários cadastrados para execução de tarefas específicas na administração de
ativos de TI, conforme estabelecido na Instrução Administrativa n. 003/2015 – SGI.
§1º Se concedida ao usuário a permissão de administrador local na estação de trabalho ou
servidor de rede, esse será responsável por manter a integridade da máquina, não podendo instalar,
desinstalar ou remover qualquer programa sem autorização da SGI.
§2º Caso constatada irregularidade na utilização do privilégio, o usuário perderá o acesso
como administrador, não mais podendo requerer outra permissão.
§3º A conta com privilégio de administrador de ativo de TI será fornecida em caráter
provisório, podendo ser renovada por solicitação formal do usuário de recurso de TI, devidamente
justificado.
§4º Salvo para atividades específicas da SGI, não será concedida, para um mesmo usuário,
conta com privilégio de administrador para mais de uma estação de trabalho, ou para acesso a servidores
e equipamentos de rede.
Art. 21. Os privilégios de acesso administrativo à ativo de TI poderão ser revisados pela SGI a
cada 180 (cento e oitenta) dias.
CAPÍTULO VII
DA MOVIMENTAÇÃO INTERNA
Art. 22. Quando houver mudança de UOrg por usuário de recurso de TI os direitos de acesso
à rede local deverão ser readequados.
TÍTULO V
DAS RESPONSABILIDADES
Art. 23. A SRH deverá comunicar imediatamente à SGI os desligamentos ou saídas de
servidores, estagiários e comissionados para que seja efetivada a desativação da conta.

Parágrafo único. Excepcionalmente, o caput não se aplica às contas de acesso dos Diretores
da Agência, que seguirá critério estabelecido pela SRH.
Art. 24. Os gestores, fiscais ou prepostos de contratos de prestação de serviços terceirizados
deverão comunicar imediatamente à SGI os desligamentos ou saídas de funcionários de empresas
prestadoras de serviços terceirizados para que seja efetivada a desativação da conta.
Art. 25. É de responsabilidade da SGI o monitoramento da utilização de serviços de rede e de
acesso à Internet, podendo ainda exercer fiscalização nos casos de apuração de uso indevido desses
recursos, bem como bloquear, temporariamente, sem aviso prévio, a estação de trabalho que esteja
realizando atividade que coloque em risco a segurança da rede, até que seja verificada a situação e
descartada qualquer hipótese de dano à infraestrutura de TI da ANEEL;
Art. 26. O usuário de recurso de TI é responsável por todos os acessos realizados através de
sua conta de acesso e por possíveis danos causados à rede local e a recursos de TI custodiados ou de
propriedade da ANEEL.
§ 1º O usuário de recurso de TI é responsável pela integridade e utilização de sua estação de
trabalho, devendo, no caso de sua ausência temporária do local onde se encontra o equipamento,
bloqueá-lo ou desconectar-se da estação, para coibir acessos indevidos.
§ 2º A utilização simultânea da conta de acesso à rede local em mais de uma estação de
trabalho física ou notebook deve ser evitada, com exceção das equipes de TI cujas atividades de suporte
necessitem de tais acessos simultâneos, sendo responsabilidade do usuário titular da conta de acesso os
riscos que a utilização paralela implica.
§ 3º O usuário de recurso de TI não poderá, em hipótese alguma, transferir ou compartilhar
com outrem sua conta de acesso e respectiva senha à rede local.
Art. 27. O usuário de recurso de TI deverá informar à SGI qualquer situação da qual tenha
conhecimento que configure violação da Política de Segurança da Informação e Comunicações da ANEEL
ou que possa colocar em risco a segurança cibernética da ANEEL.
Art. 28. É dever de o usuário de recurso de TI zelar pelo uso dos sistemas informatizados,
tomando as medidas necessárias para restringir ou eliminar riscos para a Agência, a saber:
I - Não permitir a interferência externa caracterizada como invasão, monitoramento ou
utilização de sistemas por terceiros, e outras formas;
II - Evitar sobrecarga de redes, de dispositivos de armazenamento de dados ou de outros, para
não gerar indisponibilidade de informações internas e externas;
III - Interromper a conexão aos sistemas e adotar medidas que bloqueiem o acesso de
terceiros, sempre que completarem suas atividades ou quando se ausentarem do local de trabalho por
qualquer motivo;

IV - Não se conectar a sistemas e não buscar acesso a informações para as quais não lhe
tenham sido dadas senhas e/ou autorização de acesso;
V - Não divulgar a terceiros ou a outros usuários dispositivos ou programas de segurança
existentes em seus equipamentos ou sistemas;
VI - Utilizar corretamente os equipamentos de informática e conservá-los conforme os
cuidados e medidas preventivas estabelecidas;
VII - Não divulgar suas senhas e nem permitir que terceiros tomem conhecimento delas,
reconhecendo-as como pessoais e intransferíveis;
TÍTULO VI
DOS PROCEDIMENTOS DE SOLICITAÇÃO
CAPÍTULO I
SOLICITAÇÃO DE CRIAÇÃO DE CONTA DE ACESSO LOCAL
Art. 29. A criação de acesso lógico à rede local de servidores, estagiários e comissionados será
efetivada pela SGI após o recebimento de chamado aberto pela SRH.
Art. 30. A criação de acesso lógico à rede local de prestadores de serviços terceirizados será
efetivada pela SGI após o recebimento de chamado aberto pelo gestor, fiscal ou preposto do contrato de
prestação de serviço terceirizado.
Art. 31. O formulário de cadastro de usuário disponibilizado na intranet da SRH (requerimento
para cadastro de usuário) deverá ser preenchido e incluído no chamado aberto à SGI para criação de conta
de acesso local (criação de perfil de usuário).
Art. 32. Para utilização da conta padrão de acesso lógico à rede local (perfil de acesso padrão),
será obrigatório o uso de uma única conta (login) e de senha de acesso, mesmo que para acesso a mais
de 1 (uma) estação de trabalho.
CAPÍTULO II
SOLICITAÇÃO DE ACESSO REMOTO
Art. 33. A concessão de acesso remoto à rede local deverá ser solicitada diretamente pelo
usuário de recurso de TI quando servidor, estagiário e comissionado ou pelo gestor, fiscal ou preposto do
contrato quando o usuário for prestador se servido terceirizado, por meio de abertura de chamado à SGI;
Art. 34. O usuário de recurso de TI deverá assinar o termo de responsabilidade no ANEXO II
desta IA devolvendo-o ao Service Desk para continuidade de atendimento do chamado.
Art. 35. A SGI avaliará a justificativa do acesso remoto informada pelo usuário de recurso de
TI no chamado e poderá negar caso não seja identificada a necessidade institucional desse acesso;

CAPÍTULO III
SOLICITAÇÃO DE BLOQUEIO, DESBLOQUEIO E DESATIVAÇÃO DE CONTA DE ACESSO
Art. 36. As hipóteses de bloqueio de conta previstas nos incisos III e IV do Art. 18, de
desbloqueio de conta previsto no inciso II do Art. 18 e de desativação de conta previsto no Art. 19 relativos
a servidores, estagiários e comissionados deverão ser solicitadas pela SRH à SGI, por meio de abertura de
chamado.
Parágrafo único. A critério da Diretoria ou SRH, as solicitações mencionadas no caput poderão
ser realizadas diretamente ao titular da SGI.
Art. 37. As hipóteses de bloqueio previstas nos incisos III e V do Art. 18, de desbloqueio de
conta previsto no inciso II do Art. 18 e de desativação de conta previsto no Art. 19 relativos a prestadores
de serviços terceirizados deverão ser solicitadas pelo gestor, fiscal ou preposto de contrato à SGI, por
meio de abertura de chamado.
Parágrafo único. A critério da Diretoria ou SRH, as solicitações mencionadas no caput poderão
ser realizadas diretamente ao titular da SGI.
CAPÍTULO IV
SOLICITAÇÃO DE ADEQUAÇÃO DE ACESSO MEDIANTE MOVIMENTAÇÃO INTERNA
Art. 38. Quando houver mudança de UOrg por servidor, estagiário e comissionado, as
permissões de acesso lógico à rede local deverão ser readequadas por meio de abertura de chamado à
SGI pela SRH.
Art. 39. Quando houver mudança de UOrg por prestador de serviço terceirizado, as
permissões de acesso à rede local deverão ser readequadas por meio de abertura de chamado à SGI
realizada pelo gestor, fiscal ou preposto do contrato de prestação de serviços terceirizados.
CAPÍTULO V
SOLICITAÇÃO DE PRIVILÉGIO DE ACESSO DE ADMINISTRADOR DE ATIVO DE TI
Art. 40. Na necessidade de utilização de conta com privilégio de administrador do ativo de TI,
o usuário de recurso de TI deverá encaminhar chamado para a SGI contendo a justificativa institucional
para obtenção do privilégio, que poderá negá-la nos casos em que entender desnecessária a utilização.
§ 1º O termo de responsabilidade para administrador de serviço de TI contido no ANEXO III
desta IA e relativo a servidor, estagiário ou comissionado deverá ser assinado pelo usuário e pelo superior
imediato da UOrg.
§ 2º O termo de responsabilidade para administrador de serviço de TI contido no ANEXO III
desta IA e relativo a prestador de serviço terceirizado deverá ser assinado pelo usuário e pelo superior
imediato da Contratada, após autorização do gestor ou fiscal do Contrato.

§ 3º Em caso de remoção de acesso de administrador de ativo de TI previamente concedido
após o decurso dos 180 (cento e oitenta) dias da data da concessão do acesso, o usuário deverá solicitálo novamente à SGI, atualizando as informações do formulário informado no ANEXO III desta IA, caso
tenha sido alterado o ativo de TI administrado.
TÍTULO VII
DAS DISPOSIÇÕES FINAIS
CAPÍTULO I
DA AVALIAÇÃO E REGULAMENTAÇÃO
Art. 41. O cumprimento desta Instrução Administrativa será avaliado periodicamente, de
acordo com os critérios da SGI.
Art. 42. Fica a SGI autorizada a elaborar procedimentos específicos para a operacionalização
dos controles estabelecidos nesta Instrução Administrativa.
CAPÍTULO II
DA NÃO-CONFORMIDADE E PENALIDADES
Art. 43. Quando houver suspeita de quebra da segurança da informação que exponha ao risco
os serviços ou recursos de TI da ANEEL, o SGI fará ao tratamento do incidente, podendo interromper
temporariamente o serviço afetado, após autorização da Diretoria.
§ 1º Ações que violem a Política de Segurança da Informação e Comunicação ou que quebrem
os controles de segurança cibernética serão passíveis de sansões civis, penais e administrativas, conforme
a legislação em vigor, que podem ser aplicadas isoladamente ou cumulativamente.
§ 2º Processo administrativo disciplinar específico deverá ser instaurado para apurar as ações
que constituem em quebra das diretrizes impostas por esta Instrução e pela Política de Segurança da
Informação.
§ 3º A resolução de casos de violação omissos nas legislações correlatas será resolvida pela
CGI da ANEEL.
CAPÍTULO III
DA ADEQUAÇÃO, APLICAÇÃO E VIGÊNCIA
Art. 44. Fica estabelecido o prazo de 90 (noventa) dias a contar da data de publicação desta
instrução para a adoção das providências de adequação necessárias à implementação plena deste
normativo pela SGI.
Art. 45. Esta Instrução Administrativa é de aplicação interna, com vigência a partir da data de
sua publicação, por prazo indeterminado.

ANEXO II
TERMO DE RESPONSABILIDADE DE ACESSO REMOTO
1. NOME DO(A) SERVIDOR(A) ou COLABORADOR(A)
2.UOrg ou EMPRESA/CONTRATO 3. CARGO
4. JUSTIFICATIVA PARA ACESSO
Pelo presente termo, declaro estar ciente e concordar com a Política de Segurança da
Informação da ANEEL (Norma de Organização ANEEL nº 12) disponível no link a seguir:
, me comprometendo a guardar o sigilo das
informações sigilosas a que tiver acesso, nos termos da Lei nº 12.527, de 18 de novembro de 2011, e
a:
a) ter controle total da senha a mim atribuída, a qual é intransferível;
b) preservar o conteúdo das informações restritas em qualquer grau de sigilo a que
eventualmente obtiver acesso em virtude das atividades, sem divulgá-lo a terceiros;
c) não praticar quaisquer atos que possam afetar o sigilo ou a integridade das informações
da Agência;
d) não copiar ou reproduzir, por qualquer meio ou modo informações classificadas em
qualquer grau de sigilo, salvo autorizado pelo Gestor do Contrato;
e) manter atualizado o sistema operacional e antivírus do computador utilizado para o
acesso remoto;
Brasília, de de .
Assinatura do Declarante
OBS: Este formulário deverá ser assinado pelo declarante e incluído no chamado aberto à SGI para concessão de acesso
remoto (VPN)

ANEXO III
TERMO DE RESPONSABILIDADE PARA ADMINISTRADOR DE ATIVO DE TI
Pelo presente termo, declaro que para execução das minhas atividades na ANEEL, estou
recebendo uma conta com direito de administração de ativo de TI, que deverá ser utilizada somente para
execução das atividades necessárias e dependentes deste privilégio.
Declaro ainda ter conhecimento da Política de Segurança da Informação e Comunicações da

ANEEL (Norma de Organização ANEEL nº 12), disponível no link
comprometendo-me a realizar meu trabalho de
forma íntegra, respeitando os preceitos fundamentais que pautam a missão, a visão, valores,
compromissos e condutas da Agência, estando ciente das responsabilidades advindas do privilégio que
estou recebendo.
Tenho consciência de que minhas ações poderão ser verificadas por ferramentas
automatizadas da SGI, de acordo com a Política de Segurança da Informação e das Comunicações da
ANEEL, e que qualquer alteração no ativo administrado advinda de minha conta, é de minha inteira
responsabilidade.
Tenho total responsabilidade no eventual descumprimento da Política de Segurança da
Informação e Comunicações da ANEEL, ao realizar na estação de trabalho sob minha administração
qualquer ação de iniciativa própria de tentativa de modificação da configuração física ou lógica, sem a
autorização da SGI, bem como:
a) Instalar pacotes de softwares sem licença para uso em ambiente corporativo e sem a prévia
homologação pela SGI;
b) Armazenar materiais, tais como livros, filmes, músicas, entre outros, que não tenham sido
legalmente adquiridos pela Administração e, assim, violem direitos autorais e/ou comerciais;
c) Armazenar documentos pessoais de terceiros, tais como documentos de identificação,
comprovantes de endereço, informações financeiras e/ou tributárias, entre outros, que não possuam
qualquer relação com as minhas atividades. No caso específico de possuírem relação, deverei armazenálas em diretório corporativo com o devido privilégio de acesso ou, então, juntá-los a processo
administrativo com a devida classificação documental como "documento pessoal".
Estou ciente de que qualquer incidente detectado que afete o funcionamento do ativo de
tecnologia da informação sob minha administração, deverá ser comunicado tempestivamente à SGI e
responsabilizo-me por qualquer conduta tomada de minha parte que possa prejudicar um outro
colaborador ou a própria confidencialidade, integridade, disponibilidade e autenticidade das informações
sigilosas da ANEEL que trafeguem ou fiquem armazenadas nos ativos sob minha administração.

Por fim, concordo que este privilégio concedido por período indeterminado poderá ser
revogado a qualquer momento, em função da utilização inadequada ou alteração posterior em
normativos, e que a eventual constatação de violação das normas internas, legislações ou de direitos de
terceiros ensejará a instauração de sindicâncias que poderão resultar em sanções éticas, administrativas
e/ou legais.
Brasília (DF), ____ de _____________ de _____.
_______________________________________________ _______________________________________________
Assinatura do Servidor/Colaborador Assinatura do Superior
NOME LEGÍVEL DO SERVIDOR/COLABORADOR - UOrg ou CONTRATADA NOME LEGÍVEL DO SUPERIOR/UOrg ou DO SUPERIOR DA CONTRATADA
IDENTIFICAÇÃO DO(S) ATIVO(S) DE TI ADMINISTRADO(S)
NOME DO ATIVO (estação de trabalho/servidor/equipamento:
OBS: Este formulário deverá ser assinado pelos declarantes e incluído no chamado aberto à SGI para concessão do privilégio de
acesso administrativo ao ativo de TI solicitado