PORTARIA Nº 1.284, DE 8 DE OUTUBRO DE 2024

Institui a norma para uso e controle do acesso à Internet por meio da rede de computadores da Agência Nacional de Vigilância Sanitária - Anvisa

O DIRETOR-PRESIDENTE DA AGÊNCIA NACIONAL DE VIGILÂNCIA SANITÁRIA, no uso das atribuições que lhe confere o art. 172, XII, aliado ao art. 203, III, § 3º, do Regimento Interno aprovado pela Resolução da Diretoria Colegiada - RDC nº 585, de 10 de dezembro de 2021, resolve:

Art 1° Estabelecer critérios para uso e controle de acesso à Internet no âmbito da Agência Nacional de Vigilância Sanitária - Anvisa.

CAPÍTULO I

DOS CONCEITOS E DAS DEFINIÇÕES

Art 2° Para os fins desta Portaria, são utilizadas as seguintes definições:

I-Ativos de informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização.

II-Ativo de rede: equipamento que centraliza, interliga, roteia, comuta, transmite ou concentra dados em uma rede de computadores;

III Conta de usuário: conta de identificação do usuário nos recursos de tecnologia da informação;

IV Gestor institucional: pessoa detentora de um cargo comissionado que é chefe de uma unidade organizacional definida na estrutura organizacional da Anvisa;

V-Gestor do serviço: pessoa detentora de um cargo comissionado que é responsável por um determinado recurso de tecnologia da informação;

VI- Incidente: Uma interrupção não planejada ou diminuição na qualidade de um serviço refere-se a qualquer evento, ação ou falta de ação que resulte ou possa resultar em acesso não autorizado, interrupção, alteração nas operações, destruição, dano, exclusão ou modificação de informações protegidas, limitação no uso ou divulgação imprópria dessas informações, afetando ativos ou atividades críticas, por um período menor que o tempo objetivo de recuperação;

VII- Incidente Cibernético:corrência que pode comprometer, real ou potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de informação ou das informações processadas, armazenadas ou transmitidas por esse sistema. Poderá também ser caracterizada pela tentativa de exploração de vulnerabilidade de sistema de informação que caracterize violação de norma, política de segurança, procedimento de segurança ou política de uso;

VIII - Incidente de Segurança: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores;

IX - Perfil básico de acesso à Internet: perfil de acesso à Internet com permissões mínimas;

X- Perfil diferenciado de acesso à Internet: perfil de acesso à Internet com permissões privilegiadas.

XI- Usuários: servidores, terceirizados, colaboradores, consultores e estagiários que utilizam os recursos de tecnologia da informação da Anvisa.

CAPÍTULO II

DA FINALIDADE E APLICABILIDADE

Art 3°- Esta Portaria define as regras, padrões e responsabilidades para o uso aceitável do serviço de Internet e para o controle de acesso ao serviço no âmbito da Anvisa.

§1°As regras desta Portaria se aplicam a todos os usuários que utilizam os ativos de informação e recursos de tecnologia da informação da Anvisa.

§2°Esta Portaria é instrumento normativo gerado a partir das diretrizes da POSIC.

Art 4°- Essa portaria tem a finalidade de:

I- Evitar o uso indevido da Internet que pode acarretar em graves riscos, não apenas para a segurança das informações e dos serviços disponibilizados pela rede de computadores da Anvisa, mas também para a reputação da Agência e a privacidade dos dados pessoais de seus servidores ou colaboradores;

II - Estabelecer mecanismos de segurança para proteger as informações e serviços acessíveis por meio da rede de computadores da Anvisa;

III- -Garantir níveis adequados de performance no acesso à Internet através da rede de computadores da Anvisa;

CAPÍTULO III

DAS DISPOSIÇÕES GERAIS

Art 5º O acesso à Internet dentro das dependências da Anvisa dar-se-á conforme as diretrizes do art. 18 da Portaria n° 72, de 26 de janeiro de 2023 - POSIC.

Parágrafo único. É vedado o acesso à Internet por meio de recursos que não sejam os providos pela Gerência Geral de Tecnologia da Informação - GGTIN

CAPÍTULO IV

DAS REGRAS E PROCEDIMENTOS DO SERVIÇO DE INTERNET

Art 6º O acesso à Internet será permitido exclusivamente por meio de uma conta de usuário de rede, pessoal, que é confidencial e não pode ser compartilhada.

§1°A preservação da confidencialidade da conta é obrigação do usuário.

§2°As contas de usuário deverão ser protegidas com medidas de segurança adicionais, sendo recomendado o uso de um segundo fator de autenticação.

Art 7º As diretrizes e os procedimentos para a criação, administração e exclusão de perfis de acesso à Internet, bem como a atribuição, manutenção e revogação destes perfis, serão estabelecidos pela Coordenação de Segurança Digital - COSED.

§1°Um perfil básico de acesso à Internet será vinculado automaticamente à conta de usuário no momento de sua criação.

§2°Perfis de acesso à Internet personalizados podem ser vinculados às contas dos usuários para atender às exigências de desempenho das funções institucionais, conforme necessário.

§3°A requisição para um perfil de acesso diferenciado pode ser negada pela COSED, levando em consideração a capacidade operacional da rede e questões de segurança.

Art 8º As regras e procedimentos de bloqueio e desbloqueio de sítios específicos da Internet serão definidas pela Coordenação de Segurança Digital (COSED).

Art 9º As solicitações de bloqueio e desbloqueio de sítios específicos da Internet deverão ser formalizadas, preferencialmente, por meio de sistema informatizado ao gestor do serviço.

Parágrafo único. As solicitações de que trata o caput serão avaliadas pela COSED e só serão aceitas se não colocarem a rede da Anvisa em risco, não comprometerem o desempenho do acesso à internet e estiverem de acordo com as políticas de segurança da informação.

Art 10º - O uso dos recursos de tecnologia da informação, incluindo a internet, deve ser restrito às atividades institucionais e em conformidade com os princípios da administração pública, sendo vedado o acesso a conteúdos que possam comprometer a integridade da rede, a segurança da informação ou a imagem da Agência.

Parágrafo único. Os sites que violarem essas diretrizes poderão ser categorizados e bloqueados automaticamente pela ferramenta de Firewall adotada na Anvisa.

Art 11º É expressamente proibido o download e a instalação de softwares não autorizados, bem como o acesso a sites suspeitos que possam representar riscos à segurança da rede.

Art 12º Quando houver utilização ou suspeita inadequada do serviço de acesso à internet, a COSED poderá realizar ações que cessem a utilização, incluindo, mas não se limitando a:

I- Bloquear o acesso à Internet para usuários e/ou equipamentos;

II -Bloquear o endereço de acesso a sítios específicos da Internet;

III- Dimensionar os recursos de tecnologia da informação de modo a inibir ou desestimular os usos suspeitos.

Parágrafo único. A COSED poderá utilizar o software específico de filtro de conteúdo da internet para executar as ações de que trata o caput.

Art 13º Os equipamentos de infraestrutura tecnológica da Anvisa só terão acesso à Internet em caso justificado.

CAPÍTULO V

DAS DEMAIS RESPONSABILIDADES

Art 14º São responsabilidades do usuário:

I-Seguir as orientações de acesso à Internet da Anvisa disponibilizados no endereço https://anvisabr.sharepoint.com/sites/COSED, nos guias e manuais de Segurança Digital, disponíveis no repositorio de documentos SGQ - PBI, no espaço ocupacional da COSED e nos informes e dicas de TI relacionados a esse assunto;

II-Assumir todas as consequências indesejáveis que surjam do uso inadequado do serviço de acesso à Internet por meio da sua conta de usuário;

III-Alterar imediatamente sua senha e notificar a Coordenação de Segurança Digital quando houver qualquer comprometimento ou suspeita de comprometimento do acesso ao serviço de Internet por meio da sua conta de usuário;

IV-Encaminhar violação ou suspeita de violação das disposições contidas nesta Portaria à Equipe de Tratamento e Resposta a Incidentes de Redes e Segurança Cibernética - ETIR.

Art 15º São responsabilidades do gestor institucional:

I- Dar ciência sobre critérios e procedimentos estabelecidos nesta Portaria de Uso e Controle de Acesso à Internet ao usuário que desempenhe atividade na sua unidade organizacional;

II-Solicitar a concessao e revogação dos perfis diferenciados de acesso à Internet dos usuários quando houver mudança de função do usuário da sua unidade organizacional.

Art 16º São responsabilidades da Coordenação de Segurança Digital:

I- Apurar o registro de incidentes de segurança referentes ao acesso à Internet;

II Conceder os perfis de acesso à internet, após autorização do Gestor da Unidade Organizacional solicitante;

III Prover a segurança no acesso à internet, aos usuários dentro da rede da Anvisa, fazendo os bloqueios de rede necessários.

CAPÍTULO VI

DO MONITORAMENTO

Art 17º A GGTIN manterá os históricos de acesso à Internet e de autorizações de concessão de perfil diferenciado de acesso à Internet para fins de monitoramento.

§1°Os históricos de que trata o caput não podem ser alterados.

§2°O histórico de acesso à Internet dos usuários deve contemplar, sempre que possível, para cada acesso à Internet, no mínimo, usuário, endereço IP de origem, endereço IP de destino, horário, bytes trafegados, protocolo, porta de comunicação e tipo de ação efetuada.

§3°O histórico de autorizações de concessão de perfil diferenciado de acesso à Internet deve contemplar para cada autorização, no mínimo, usuário, gestor que autorizou e a data da autorização.

§4°Os relógios dos recursos de tecnologia da informação devem estar sincronizados com o servidor de tempo da rede para poder correlacionar temporalmente os históricos de que trata o caput.

Art 18º A Coordenação de Segurança Digital poderá examinar os rastros de navegação de um usuário específico de violação ou suspeita de violação das disposições contidas nesta Portaria e para preservar o desempenho de serviço de acesso à internet na Anvisa.

§1°É vedado o monitoramento injustificado de um usuário específico.

§2°É permitido a análise dos rastros com o auxílio de ferramentas, com o intuito de detectar possíveis falhas de segurança.

CAPÍTULO VII

DAS DISPOSIÇÕES FINAIS

Art 19º Qualquer violação ou suspeita de violação das disposições contidas nesta Portaria poderá acarretar ao infrator, isolada ou cumulativamente:

I- comunicação do fato ao seu gestor institucional;

II- suspensão temporária do seu acesso à Internet;

III- encaminhamento do fato à Corregedoria e;

IV- aplicação das penalidades previstas em leis e regulamentações internas.

Art 20 º Os casos omissos serão resolvidos pela Coordenação de Segurança Digital (COSED).

Art 21º Esta Portaria entra em vigor na data de sua publicação.

ANTONIO BARRA TORRES