PORTARIA MDS Nº 967, DE 11 DE MARÇO DE 2024

O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL, FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o artigo 87, parágrafo único, inciso II, da Constituição Federal, e o disposto no inciso VII, art. 15 do Decreto nº 9.637, de 26 de dezembro de 2018, alterado pelo Decreto 10.641, de 2 de março de 2021, que institui a Política Nacional de Segurança da Informação, dispõe sobre a governança da segurança da informação, resolve:

Art. 1º Instituir, no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR), designar os integrantes, além de definir as atribuições, os serviços a serem prestados, modelo de implementação, público-alvo, autonomia, estrutura organizacional e escopo de atuação e demais exigências relacionadas ao desempenho de suas atividades.

CAPÍTULO I

DA MISSÃO DA ETIR

Art. 2º A ETIR possui como missão planejar, coordenar e executar atividades de prevenção, tratamento e resposta a incidentes cibernéticos no âmbito deste Ministério, em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do Ministério.

CAPÍTULO II

DAS COMPETÊNCIAS

Art. 3º À ETIR cabe:

I - administrar políticas de segurança e ações estabelecidas pelo Comitê Interno de Governança e pelo Comitê de Governança Digital;

II - facilitar e coordenar as atividades de prevenção, tratamento e resposta a incidentes de segurança;

III - promover a recuperação dos ativos de informação envolvidos nos incidentes de segurança cibernética;

IV - agir proativamente com o objetivo de evitar que ocorram incidentes cibernéticos, divulgando práticas e recomendações de segurança da informação e avaliando condições de segurança dos ativos de informação por meio de atividades tais como verificações de conformidade, atividades de inteligência de ameaças cibernéticas, testes de intrusão e análise de vulnerabilidades;

V - realizar ações reativas que incluem recebimento de notificações de incidentes, orientação de equipes no reparo a danos e análise de sistemas comprometidos buscando causas, danos e responsáveis, em conformidade com a legislação vigente e boas práticas sobre o tema;

VI - analisar ataques e intrusões nos ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;

VII - planejar as ações necessárias para tratar quebras de segurança e acompanhar a equipe técnica na execução destas ações;

VIII - obter informações quantitativas acerca dos incidentes ocorridos que descrevam, dentre outros, sua natureza, causas, data de ocorrência, frequência e custos resultantes;

IX - cooperar com outras equipes de Tratamento e Resposta a Incidentes Cibernéticos;

X - participar em fóruns, redes nacionais e internacionais relativos à Segurança da Informação, Segurança Cibernética e Proteção de Dados Pessoais;

XI - conduzir com diligência, exercendo práticas de segurança e identificando vulnerabilidades, assim fazendo com que incidentes de segurança da informação sejam evitados;

XII - contribuir, acompanhar e documentar todos os incidentes referentes à Segurança Cibernética, e quando necessário remeter os incidentes ao CTIR.gov, ao CISC.GOV e à ANPD, conforme orientações daqueles órgãos;

XIII - acompanhar e documentar atividades técnicas referentes à Segurança Cibernética;

XIV - monitorar, junto aos responsáveis pelos ativos de informação e equipes técnicas, todo incidente relacionado à Segurança Cibernética;

XV - apresentar relatórios referentes aos incidentes e contratos relacionados à Segurança Cibernética ao Comitê Interno de Governança deste Ministério e Comitê de Governança Digital;

XVI - criar e manter canal de comunicação com a Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da República - SSIC/GSI/PR, com o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR.gov), com o Centro Integrado de Segurança Cibernética (CISC) da Secretaria de Governo Digital e com a Agência Nacional de Proteção de Dados (ANPD);

XVII - criar a rede ETIR-MDS circunscrevendo todo o contexto do Ministério e integrando a ETIR Central e a ETIR descentralizada;

XVIII - fornecer suporte e resposta auxiliando os usuários no tratamento e na resposta aos incidentes de segurança cibernética;

XIX - realizar as atividades de prevenção, de tratamento e de resposta a incidentes cibernéticos em seu âmbito de atuação;

XX - apoiar a condução da Política de Segurança da Informação - POSIN nas atividades relacionadas à gestão de incidentes;

XXI - priorizar a continuidade dos ativos e serviços corporativos de TI;

XXII - cumprir o previsto no Plano de Gestão de Vulnerabilidades e no Plano de Gestão de Incidentes Cibernéticos;

XXIII - apoiar o Gestor de Segurança da Informação nos contatos com os órgãos competentes relacionados à segurança da informação e cibernética, gestão de incidentes e proteção de dados pessoais;

XXIV - comunicar ao CTIR Gov, imediatamente, de acordo com seu modelo de atuação, a ocorrência de incidentes de segurança cibernética, conforme os requisitos definidos por aquele Centro;

XXV - manter uma base de conhecimento sobre os registros, ações de contenção e recuperação, bem como as lições aprendidas relacionados aos incidentes cibernéticos;

XXVI - disponibilizar, quando solicitados, relatórios sobre as atividades de sua competência ao CIG, CGD, gestor de segurança da informação, encarregado de proteção de dados ou ao gestor de TI do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;

XXVII - integrar e cooperar com a Rede de Prevenção, Tratamento e Resposta a Incidentes cibernéticos (RegSIC) e equipes equivalentes de segurança da informação de acordo com os protocolos de cooperação estabelecidos;

XXVIII - participar de eventos relativos à segurança da informação e segurança cibernética;

XXIX - subsidiar o Agente Responsável, o Gestor de Segurança, o Encarregado de Proteção de dados, o Gestor de TI, o Comitê de Governança Digital e o Comitê Interno de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome com informações e evidências coletadas em apurações quando da suspeita de ocorrências de quebras de segurança e/ou violações de segurança da informação; e

XXX - propor ações de capacitação relacionadas à segurança cibernética.

Art. 4º Ao Coordenador-Geral de Governança de Tecnologia da Informação cabe:

I - definir o Agente Responsável pela ETIR com atribuições de gerência, distribuições de demandas e organizações estruturais;

II - propor recursos necessários à capacitação dos membros da ETIR;

III - promover a capacitação dos membros da ETIR, aprimorando conhecimentos técnicos na ação do tratamento dos Incidentes de Segurança da informação;

IV - proporcionar que a ETIR funcione como uma rede interna e que suporte ações relacionadas atividades propostas, designando atribuições e ocupações para os representantes das áreas setoriais que possuam atribuições de Tecnologia da Informação deste Ministério;

V - assegurar que os incidentes relacionados à Segurança Cibernético no ambiente deste Ministério sejam inspecionados e registrados em uma base de conhecimento sobre os incidentes de segurança da informação para auxiliar estudos, análises, decisões e comunicação com os órgãos competentes;

VI - garantir que haja um canal nas comunicações entre os envolvidos no tratamento dos incidentes de segurança e equipes governamentais;

VII - propor alterações nas composições, autonomias, modelos de implementações e estrutura organizacional da ETIR; e

VIII - propor procedimentos e ações, quando necessário, de adequações e alterações na POSIN;

Art. 5º Ao Coordenador-Geral de Gestão de Dados e Informações cabe:

I - sugerir e prescrever ações nos incidentes de segurança da informação relacionados a bases de dados; e

II - analisar, examinar e agir na contenção de incidentes de segurança relacionado a bases de dados.

Art. 6º Ao Coordenador-Geral de Sistemas cabe:

I - sugerir e prescrever ações nos incidentes de segurança da informação relacionados aos sistemas corporativos; e

II - analisar, examinar e agir na contenção de incidentes de segurança relacionado aos sistemas corporativos.

Art. 7º Ao Coordenador-Geral de Infraestrutura cabe:

I - garantir as atualizações quanto aos incidentes de segurança da informação, mantendo de forma atualizada as situações no tratamento com relatórios para subsidiar a base de conhecimento sobre incidentes de segurança da informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;

II - proceder com ações ativas e reativas nos incidentes relacionados aos ativos de redes, estações de trabalho e equipamentos de TI do Ministério;

III - preconizar ações em providências e recuperação do ambiente pós incidente;

IV - promover estudos e análise dos incidentes de Segurança da Informação em todo o ambiente institucional apresentando regularmente relatórios relacionados a eventos e incidentes de segurança da informação, apresentando as ações implementadas e propostas de melhorias nos ativos de informação; e

V - As responsabilidades serão destinadas para os coordenadores que, quando estiverem impedidos das suas atribuições na ETIR, os substitutos deverão assumir as obrigações.

Art. 8º Cabe ao Agente Responsável pela ETIR:

I - chefiar e gerenciar a equipe de prevenção, tratamento e resposta a incidentes cibernéticos;

II - cumprir o estabelecido na legislação relacionada ao tema Segurança da Informação no seu âmbito de atuação; e

III - comunicar a ocorrência de incidentes de segurança cibernética aos órgãos competentes de acordo com as orientações daqueles órgãos.

Art. 9º Cabe ao Gestor de Segurança da Informação:

I - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos;

II - avaliar o Plano de Gestão de Incidentes Cibernéticos;

III - avaliar o Plano de Gestão de Vulnerabilidades;

IV - subsidiar as comunicações com os órgãos competentes;

V - apresentar, quando solicitado, os resultados das atividades da ETIR ao Comitê de Governança Digital e ao Comitê Interno de Governança do Ministério; e

VI - informar aos órgãos competentes sobre a necessidade da adoção de procedimentos legais, cíveis, disciplinares ou administrativos em razão da existência de indícios de ilícitos criminais, abuso ou negligência no tratamento de incidentes cibernéticos.

Art. 10 Cabe aos agentes responsáveis pelas unidades administrativas do Ministério:

I - informar imediatamente à ETIR a ocorrência de incidentes de segurança cibernética.

Parágrafo único. O Agente Responsável pela ETIR Central poderá atribuir outras responsabilidades para que os membros da ETIR Descentralizada exerçam atividades de forma proativa.

CAPÍTULO III

DO PÚBLICO-ALVO

Art. 11 A ETIR atenderá aos usuários dos ativos de informação institucional vinculados aos órgãos de assistência direta e imediata ao Ministro e aos órgãos específicos singulares e colegiados que integram o Comitê Interno de Governança e o Comitê de Governança Digital.

Art. 12 A ETIR emitirá informativos sobre novas vulnerabilidades e novas atualizações utilizando os seguintes meios de comunicação: e-mails informativos, publicações, intranet, além de feedback dos incidentes tratados.

CAPÍTULO IV

DA COMUNICAÇÃO

Art. 13 A comunicação dos incidentes de segurança nos ativos de informação à ETIR será feita por meio de:

I - e-mail, pelo endereço: etir@mds.gov.br;

II - contato telefônico via central de suporte e atendimento ao usuário (61) 2030-1500 para usuários do Ministério;

III - correspondências oficiais (memorandos, ofícios);

IV - pessoalmente, em casos emergenciais; e

V - ferramental tecnológico, eventos detectados pelo monitoramento da ETIR.

CAPÍTULO V

DO REGISTRO DE INCIDENTES CIBERNÉTICOS

Art. 14 Todo incidente de segurança cibernética deve ser registrado e utilizado na composição de uma base de conhecimento sobre incidentes cibernéticos, preferencialmente em software específico, homologado pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, por membro da equipe central da ETIR que procederá com a consolidação das informações. Caso o incidente ocorra no período de plantão ou que o membro da ETIR não esteja presente, o registro ficará a cargo do Coordenador de Operações da Subsecretaria de Tecnologia da Informação.

CAPÍTULO VI

DA ESTRUTURA DA ETIR

Art. 15 A ETIR deve atuar em rede, sendo composta pela STI, unidades administrativas e as áreas de Tecnologia da Informação descentralizadas.

Art. 16 A estrutura da ETIR deve ter nível de técnico adequado às suas funções, de forma proativa, sobre a orientação e fiscalização do Agente responsável pela equipe.

Art. 17 Ficam designados os seguintes servidores para compor a ETIR Central:

I - Titular;

II - Suplente;

III - Coordenador-Geral de Gestão de Governança de Tecnologia da Informação;

IV - Coordenador(a) de Planejamento;

V - Coordenador-Geral de Infraestrutura;

VI - Coordenador(a) de Operações;

VII - Coordenador-Geral de Sistemas;

VIII - Coordenador(a) de Qualidade de Sistemas;

IX - Coordenador-Geral de Gestão de Dados e Informações;

X - Coordenador de Qualidade de Dados;

XI - Agente Responsável pela Unidade Administrativa; e

XII - Indicado pelo gestor da unidade na composição do CGDMDS.

Art. 18 Considerando a Política de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, bem como as instâncias que compõem o arranjo de governança interna, ficam os membros designados para compor o Comitê de Governança Digital como agentes responsáveis pela ETIR descentralizada e seus respectivos suplentes das unidades administrativas do Ministério.

Art. 19 A critério do Agente Responsável pela ETIR , poderão ser convidados prepostos, técnicos e especialistas dos fornecedores e prestadores de serviços, empresas públicas e academias para integrarem a ETIR Descentralizada.

Parágrafo único. A lista com o nome, cargo, e-mail e telefone de contato dos integrantes da ETIR deverá ser mantida atualizada pelo Agente Responsável pela ETIR e disponibilizada, quando necessário, às autoridades competentes.

CAPÍTULO VII

DO MODELO DE IMPLEMENTAÇÃO

Art. 20 A ETIR adotará o modelo misto para atuação no Ministério e será composta por:

I - Equipe Central: formada pelos Coordenadores-Gerais da Subsecretaria de Tecnologia da Informação (STI), juntamente com o Gestor de Segurança da Informação deste Ministério e pelas empresas responsáveis pela prestação de serviços terceirizados de, no mínimo, infraestrutura de TIC, fábrica de software e Central de Operações de Segurança da Informação; e

II - Equipe Descentralizada: formada pelos agentes responsáveis nas unidades administrativas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.

Art. 21 A Equipe Central ficará responsável pela criação das estratégias, gerenciamento e execução das atividades, distribuição de tarefas e notificações para a equipe descentralizada.

Art. 22 Todos os padrões e procedimentos técnicos adotados pela equipe central deverão ser documentados e homologados em um Banco de Dados que será a base de conhecimentos de gestão de incidentes e da gestão de riscos de segurança da informação, com acesso restrito à própria equipe e, quando necessário, aos órgãos superiores em segurança da informação e proteção de dados e aos órgãos de controle.

CAPÍTULO VIII

DO MODELO DE ATUAÇÃO

Art. 23 As atividades da ETIR consistem na prevenção, no tratamento e na resposta a incidentes cibernéticos.

Art. 24 A ETIR Central é responsável, dentre outros, pelos seguintes serviços:

I - estudo de novas tecnologias - acompanhamento da evolução tecnológica e da utilização de novas tecnologias, de novas técnicas de intrusão e de tendências correlatas, para identificar novas possibilidades de ameaças;

II - emissão de orientações - informação ao público-alvo a respeito da descoberta de novas tecnologias, de novas vulnerabilidades ou de novas ferramentas e técnicas de intrusão, com impacto de médio a longo prazo, para permitir o desenvolvimento de estratégias de proteção de seus ativos;

III - avaliação estratégica de segurança - revisão e análise de alto nível da infraestrutura de segurança dos ativos de informação do Ministério; e

IV - orientação técnica - expedição de recomendações sobre como configurar e manter, com segurança, ferramentas, aplicativos e a infraestrutura geral de computação utilizada pelo Ministério.

Art. 25 A ETIR Descentralizada é responsável pelos seguintes serviços:

I - adoção de medidas necessárias visando cessar incidentes que estejam em curso e representem risco à confidencialidade, integridade, disponibilidade e autenticidade das informações e dos dados pessoais mantidas pelo Ministério;

II - auxílio na preparação, na proteção e na segurança do ambiente cibernético em antecipação a problemas, ataques, ou incidentes;

III - monitoramento contínuo dos ativos de informação para busca permanente de vulnerabilidades;

IV - detecção de intrusão e identificação de incidentes por mecanismos de monitoração;

V - disponibilização de informações geradas ou recebidas pela própria ETIR para aperfeiçoar a segurança dos ativos de informação;

VI - recebimento, triagem, análise e resposta de incidentes ou eventos de segurança;

VII - análise da natureza, dos mecanismos, e dos impactos das vulnerabilidades de hardware e de software;

VIII - desenvolvimento de procedimentos de detecção e reparo das vulnerabilidades de hardware e de software;

IX - identificação de incidentes por mecanismos de monitoração;

X - emissão de alertas e de recomendações e envio de informações descrevendo ocorrências de incidentes e ações de curto prazo para minimizar seus impactos;

XI - adoção de procedimentos para minimização do tempo entre a ocorrência do incidente e sua detecção, e a consequente inicialização de ações de resposta;

XII - fornecimento à ETIR Central de informações relacionados aos seus serviços; e

XIII - atendimento de de demandas solicitadas pela ETIR Central.

§1º Alertas e recomendações poderão ser elaborados pela ETIR Descentralizada, ou por ela redistribuídos, quando originados por terceiros especializados em segurança cibernética, desde que autorizados pela ETIR Central.

§2º Os serviços da ETIR Descentralizada deverão estar disponíveis de forma ininterrupta.

§3º As atividades da ETIR seguirão o disposto no Plano de Gestão de Incidentes Cibernéticos para a Administração Pública e as boas práticas relacionadas à gestão de incidentes de segurança da informação.

CAPÍTULO IX

DA AUTONOMIA DA ETIR

Art. 26 A ETIR Central tem autonomia compartilhada, atuando em consonância com o Gestor de Segurança da Informação no processo de tomada de decisão sobre a adoção de medidas e recomendação de procedimentos a serem executados, bem como sobre as medidas de recuperação após um ataque cibernético.

Parágrafo único. Os membros decisórios necessários às ações da ETIR Central serão o Agente Responsável, o Gestor de Segurança e o Gestor de TI do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.

Art. 27 Excepcionalmente, com o objetivo de cessar um incidente de segurança da informação que esteja em curso ou na iminência de ocorrer, a ETIR (Central ou Descentralizada) poderá tomar decisões de forma autônoma e em caráter emergencial.

Art. 28 Buscar, quando necessário, apoio da Rede de Incidentes Cibernéticos e do Centro Integrado de Segurança Cibernética.

CAPÍTULO X

DAS DISPOSIÇÕES GERAIS

Art. 29 Quando solicitado com antecedência mínima de 7 (sete) dias, a ETIR deverá apresentar, nas reuniões do Comitê de Governança Digital e Comitê Interno de Governança, um resumo dos incidentes de segurança ocorridos na rede do Ministério e as medidas adotadas para solucioná-los.

Art. 30 A ETIR Central deverá elaborar o Plano de Gestão de Vulnerabilidades e o Plano de Gestão de Incidentes Cibernéticos, no prazo de até sessenta dias, a contar da data vigência desta portaria.

Parágrafo único. Os planos citados no caput deverão servir de subsídio na geração da base de conhecimento de incidentes cibernéticos deste Ministério.

Art. 31 As disposições apresentadas nesta portaria adotam como terminologia o Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República e observam os normativos legais e regulamentares vigentes.

Art. 32 A ETIR comporá a rede de equipes formada pelos órgãos e entidades da administração pública federal, coordenada pelo Centro de Tratamento de Incidentes de Redes do Governo do Gabinete de Segurança Institucional da Presidência da República.

Art. 33 Todos os servidores - incluindo terceirizados, que façam uso de quaisquer ativos de informação, deverão assinar termo de responsabilidade e sigilo individual perante o Ministério do Desenvolvimento e Assistência Social, Família e Combate à fome.

Art. 34 Esta Portaria entra em vigor na data de sua publicação.

JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS