PORTARIA MCID Nº 600, DE 25 DE JUNHO DE 2024

Aprova a Estrutura de Gestão de Segurança da Informação do Ministério das Cidades.

O MINISTRO DE ESTADO DAS CIDADES, no uso da atribuição que lhe confere o Decreto nº 11.468, de 5 de abril de 2023, na Portaria SGD/MGI nº 852, de 28 de março de 2023, na Portaria GSI/PR nº 38 de 14 de agosto de 2009 e na Instrução Normativa GSI/PR nº 1 de 27 de maio de 2020; resolve:

Art. 1º Aprovar a Estrutura de Gestão de Segurança da Informação do Ministério das Cidades, na forma do anexo a esta Portaria.

Art. 2º Esta Portaria entra em vigor na data de sua publicação.

JADER FONTENELLE BARBALHO FILHO

ANEXO

REGIMENTO INTERNO DA ESTRUTURA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO

CAPÍTULO I

DA ESTRUTURA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO

SEÇÃO I - DAS DISPOSIÇÕES GERAIS

Art. 1º A Estrutura de Gestão de Segurança da Informação - EGSI, aprovada pela Instrução Normativa GSI/PR nº 1 de 1 de 27 de maio de 2020, rege-se por este Regimento Interno e pelas disposições legais aplicáveis.

Art. 2º Para fins do disposto neste Regimento Interno:

I - ativos de informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização;

II - controle de privacidade: conjunto de medidas que visam implementar práticas e técnicas gerenciais para a proteção de dados pessoais em ativos de informação;

III - controle de segurança da informação: conjunto de medidas que visam implementar práticas técnicas e gerenciais para assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;

IV - proteção de dados pessoais, nos termos do inciso LXXIX do art. 5º da Constituição da República Federativa do Brasil de 1988: ações que visam proteger direitos e liberdades fundamentais das pessoas naturais, entre eles a sua privacidade, inclusive em meios digitais;

V - privacidade: direito à inviolabilidade da intimidade, da vida privada, da honra e da imagem das pessoas, nos termos do inciso X do art. 5º da Constituição da República Federativa do Brasil de 1988;

VI - segurança cibernética: também conhecido por cibersegurança, são ações voltadas para a segurança de operações, visando garantir que os sistemas de informação sejam capazes de resistir a eventos no espaço cibernético, capazes de comprometer a disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados armazenados, processados ou transmitidos e dos serviços que esses sistemas ofereçam ou tornem acessíveis; e

VII - segurança da informação: ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações.

Parágrafo único. A Secretaria Executiva do CSI será exercida pela Coordenação-Geral de Tecnologia da Informação.

SEÇÃO II - DOS OBJETIVOS

Art. 3º São objetivos da Estrutura de Gestão de Segurança da Informação:

I - Fomentar a cultura de Segurança da Informação;

II - Orientar as ações de relacionadas à Segurança da Informação e dados custodiados pelo Ministério das Cidades;

III - Contribuir para preservação da memória do Ministério da Cidades;

IV - Fomentar a formação e qualificação dos recursos humanos da área de Segurança da Informação do Ministério das Cidades; e

V - Contribuir para a garantia da proteção de dados pessoais custodiados no Ministério das Cidades.

SEÇÃO III - DA ORGANIZAÇÃO

Art. 4º Compõem a Estrutura de Gestão de Segurança da Informação do Ministério das Cidades:

I - Gestor de Segurança da Informação, que o coordenará;

II - Comitê de Segurança da Informação; e

III - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos.

CAPÍTULO II

GESTOR DE SEGURANÇA DA INFORMAÇÃO

SEÇÃO I - DAS DISPOSIÇÕES GERAIS

Art. 5º O Gestor de Segurança da Informação será designado dentre os servidores públicos civis ocupantes de cargo efetivo e militares de carreira do órgão ou entidade, com formação ou capacitação técnica compatível às suas atribuições.

Art. 6º O Gestor de Segurança da Informação será indicado pela Autoridade Máxima da Pasta.

SEÇÃO II - DAS COMPETÊNCIAS

Art. 7º O Gestor de Segurança da Informação, nos termos da Instrução Normativa nº 1 de 27 de maio de 2020, é responsável por:

I - planejar, implementar e melhorar continuamente os controles de segurança da informação em ativos de informação, no âmbito do Ministério das Cidades; (Redação dada pela Portaria SGD/MGI nº 852, de 28 de março de 2023);

II - coordenar o Comitê de Segurança da Informação;

III - coordenar a elaboração da Política de Segurança da Informação e das normas internas de segurança da informação do Ministério das Cidades, observadas as normas afins exaradas pelo Gabinete de Segurança Instrucional da Presidência da República;

IV - assessorar a alta administração na implementação da Política de Segurança da Informação;

V - estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação;

VI - promover a divulgação da política e das normas internas de segurança da informação do Ministério das Cidades a todos os servidores, usuários e prestadores de serviços que trabalham no órgão;

VII - incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à segurança da informação;

VIII - propor recursos necessários às ações de segurança da informação;

IX - coordenar a instituição, implementação e manutenção da infraestrutura necessária à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR;

X - acompanhar os trabalhos da ETIR;

XI - verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação;

XII - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; e

XIII - manter contato direto com o Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos à segurança da informação.

CAPÍTULO III

COMITÊ DE SEGURANÇA DA INFORMAÇÃO

SEÇÃO I - DAS DISPOSIÇÕES GERAIS

Art. 8º Fica instituído o Comitê de Segurança da Informação - CSI, no âmbito do Ministério das Cidades, que tem como finalidade deliberar sobre os assuntos relativos à Política Nacional de Segurança da Informação, conforme previsto no inciso II do art. 15 da Instrução Normativa nº 1 de 27 de novembro de 2019.

SEÇÃO II - DA COMPOSIÇÃO

Art. 9º O CSI será composto por:

I - o Gestor de Segurança da Informação, que o coordenará;

II - um representante do Gabinete do Ministro;

III - um representante da Secretaria Executiva;

IV - um representante de cada secretaria finalística;

V - o Coordenador-Geral de Tecnologia da Informação; e

VI - o Encarregado pelo Tratamento de Dados Pessoais.

SEÇÃO III - DAS ATRIBUIÇÕES

Art. 10 O CSI, conforme definido no art. 20 da Instrução Normativa nº 1 de 27 de novembro de 2019, possui as seguintes atribuições:

I - assessorar a implementação das ações de segurança da informação;

II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação;

III - participar da elaboração da Política de Segurança da Informação e das normas internas de segurança da informação;

IV - propor alterações à Política de Segurança da Informação e às normas internas de segurança da informação; e

V - deliberar sobre normas internas de segurança da informação.

SEÇÃO IV - DO COORDENADOR

Art. 11 Compete ao Coordenador do Comitê:

I - presidir a reunião;

II - definir a pauta da reunião do Plenário, ouvidos os demais integrantes do Comitê;

III - submeter as matérias constantes da pauta à discussão e, quando necessário, à votação;

IV - solicitar aos órgãos ou entidades que não compõem o Comitê a indicação de representantes para participar das reuniões do colegiado, sem direito a voto;

V - convidar especialistas que possam contribuir para esclarecimentos de matérias de interesse do Comitê;

VI - propor ao Plenário a criação de grupos de trabalhos; e

VII - determinar a publicação de resoluções em Boletim Interno;

SEÇÃO V - DOS INTEGRANTES

Art. 12 Compete aos integrantes do CSI:

I - comparecer às reuniões quando convocados;

II - solicitar estudo, informação e proposta sobre temas específicos a serem submetidos ao Plenário;

III - propor a participação de órgãos, entidades e especialistas que possam contribuir para esclarecimento de assunto de interesse do Comitê nas reuniões do Colegiado, sem direito a voto;

IV - propor ao Plenário a criação de grupos de trabalho; e

V - acompanhar as ações relativas à execução das deliberações do Comitê.

SEÇÃO VI - DO FUNCIONAMENTO

Art. 13 As reuniões do Comitê Gestor da Segurança da Informação ocorrerão, em primeira convocação, com a presença da maioria simples de seus componentes ou, 15 (quinze) minutos após a hora estabelecida, em segunda convocação, com a presença mínima de 1 (um) terço de seus membros.

Art. 14 As sessões de deliberações do Comitê obedecerão à seguinte ordem:

I - verificação do quórum;

II - aprovação da pauta e da ordem em que as matérias serão apreciadas;

III - aprovação da ata anterior; e

IV - análise das matérias sujeitas à deliberação.

Art. 15 A deliberação das matérias obedecerá a seguinte ordem:

I - o Coordenador concederá a palavra ao integrante que encaminhou a matéria objeto de discussão, que a relatará;

II - terminada a exposição, a matéria será colocada em discussão; e

III - encerrada a discussão e não havendo consenso, o Coordenador encaminhará a matéria à votação.

Parágrafo único. O Colegiado deliberará, quando não houver consenso, por maioria simples de seus membros titulares ou suplentes presentes à reunião, mediante votação nominal e aberta, cabendo ao Coordenador o voto regular e o de qualidade, em caso de empate.

Art. 16 Qualquer membro do Plenário poderá propor ao Coordenador, com antecedência mínima de 10 (dez) dias da data prevista para a reunião, convite a especialistas e representantes de órgãos e entidades que possam contribuir para esclarecimento sobre matéria de interesse do Comitê.

Parágrafo único. Os membros convidados participarão das reuniões apenas nos momentos pertinentes aos seus respectivos temas, sem direito a voto.

Art. 17 O Plenário deliberará por maioria simples de seus membros titulares ou suplentes presentes, considerando um voto para cada órgão integrante do Comitê, cabendo ao Coordenador do colegiado, além do voto ordinário, o voto de qualidade em caso de empate.

Art. 18 As deliberações aprovadas no Plenário serão publicadas em Boletim Interno, na forma de Resoluções, pela Secretaria Executiva.

Art. 19 O documento de convocação deverá constar:

I - a pauta da reunião;

II - a ata da reunião anterior;

III - a minuta dos documentos a serem apreciados pelo Comitê; e

IV - a relação dos órgãos, entidades, ou especialistas convidados, quando for o caso.

Art. 20 A convocação da reunião ordinária deverá ocorrer com antecedência mínima de 15 (quinze) dias da data de sua realização.

Art. 21 É facultado a qualquer membro do Comitê apresentar proposta de inclusão de tema em pauta, desde que encaminhada à Coordenação do Comitê com antecedência mínima de 10 (dez) dias da data programada com cópia para os demais membros titulares.

Parágrafo único. As manifestações contrárias às propostas de inclusão de tema deverão ser remetidas pelos membros titulares para análise da Coordenação do Comitê até 5 (cinco) dias antes da data da reunião.

Art. 22 Os registros das reuniões do Plenário serão lavrados em atas que informarão o local, a data da realização, os nomes dos membros titulares ou suplentes presentes, bem como, dos demais participantes e convidados, com o respectivo resumo dos assuntos apresentados, as decisões tomadas e as deliberações do Comitê.

Parágrafo único. A Secretaria Executiva do Comitê confeccionará as atas das reuniões e encaminhará cópias, em até 5 (cinco) dias úteis, a todos os integrantes.

Art. 23 Os membros do Comitê de Segurança da Informação se reunirão presencialmente ou por meio de videoconferência.

CAPÍTULO IV

EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES CIBERNÉTICOS

SEÇÃO I - DAS DISPOSIÇÕES INICIAIS

Art. 24 Para fins deste regimento, consideram-se as seguintes definições

I - Agente responsável: Servidor Público ocupante de cargo efetivo ou militar de carreira de órgão ou entidade da Administração Pública Federal, direta ou indireta incumbido de chefiar e gerenciar a Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais;

II - Artefato malicioso: é qualquer programa de computador, ou parte de um programa, construído com a intenção de provocar danos, obter informações não autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores;

III - Comunidade ou Público-alvo: é o conjunto de pessoas, setores, órgãos ou entidades atendidas por uma Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais;

IV - CTIR GOV: Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federal, subordinado ao Departamento de Segurança de Informação e Comunicações - DSIC do Gabinete de Segurança Institucional da Presidência da República - GSI;

V - Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR: Grupo de pessoas com a responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes de computadores;

VI - Incidente de segurança: é qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores;

VII - Serviço: é o conjunto de procedimentos, estruturados em um processo bem definido, oferecido à comunidade da Equipe de Tratamento e Resposta a Incidentes Cibernéticos;

VIII - Tratamento de Incidentes de Segurança Cibernéticos: é o serviço que consiste em receber, filtrar, classificar e responder às solicitações e alertas e realizar as análises dos incidentes de segurança, procurando extrair informações que permitam impedir a continuidade da ação maliciosa e também a identificação de tendências; e

IX - Vulnerabilidade: é qualquer fragilidade dos sistemas computacionais e redes de computadores que permitam a exploração maliciosa e acessos indesejáveis ou não autorizados

Art. 25 Cabe ao Gestor de Segurança da Informação e ao Comitê de Segurança da Informação a responsabilidade por coordenar a instituição, implementação e manutenção da infraestrutura necessária à ETIR.

SEÇÃO II - DA MISSÃO

Art. 26 A ETIR do Ministério das Cidades tem como missão prioritária facilitar e coordenar as atividades de tratamento e resposta a incidentes em redes computacionais, receber e notificar qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores.

Art. 27 A ETIR atuará, desejavelmente, também de forma proativa com o objetivo de minimizar o risco de que as vulnerabilidades sejam exploradas por ameaças e venham a comprometer o negócio da Instituição a fim de contribuir para a adequada prestação dos serviços do Ministério.

SEÇÃO III - DA COMUNIDADE OU PÚBLICO-ALVO

Art. 28 São considerados como comunidade, ou público-alvo, o conjunto de pessoas, setores, órgãos ou entidades atendidas pela ETIR do Ministério das Cidades ou das redes de terceiros as quais estão sendo usadas pela organização.

SEÇÃO IV - DO MODELO DE IMPLEMENTAÇÃO

Art. 29 O modelo de implementação no qual essa ETIR se baseia é o "Modelo 4 - Combinado ou Misto", descrito na subseção 7.4 da Norma Complementar 5 da Instrução Normativa 1 do Gabinete de Segurança Institucional da Presidência da República, de 14 de agosto de 2009.

Art. 30 No Modelo 4 - Combinado ou Misto - existirá uma ETIR Central e equipes distribuídas pelo Ministério.

Art. 31 A ETIR Central será a responsável por criar as estratégias, gerenciar as atividades e distribuir as tarefas entre as equipes descentralizadas, além de ser a responsável, perante toda a organização, pela comunicação com o CTIR GOV.

Art. 32 As equipes distribuídas serão responsáveis por implementar as estratégias e exercer suas atividades em suas respectivas áreas de responsabilidade.

SEÇÃO V - DA ESTRUTURA ORGANIZACIONAL

Art. 33 A ETIR ficará subordinada à Coordenação-Geral de Tecnologia da Informação (CGTI/SPOA/SE).

Art. 34 Para que seja efetiva em sua missão, a ETIR terá competência para solicitar informações e providências das empresas contratadas, prestadoras de serviços de TI, atuando assim como moderador e coordenador dos serviços.

Art. 35 Serão definidos em portaria o Agente Responsável, os membros titulares e substitutos da ETIR.

Art. 36 Compete ao Agente Responsável pela ETIR:

I - dimensionar a ETIR, de acordo com as necessidades institucionais;

II - submeter a indicação dos membros da ETIR e respectivos substitutos à aprovação do Gestor de Segurança da Informação;

III - coordenar as atividades da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos;

IV - interagir com organismos externos de respostas a incidentes, principalmente com o Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federal - CTIR GOV; e

V - assistir diretamente o Comitê de Segurança da Informação e o Gestor de Segurança da Informação.

Art. 37. Compete aos membros da ETIR e aos substitutos, quando necessário:

I - prestar os serviços aos quais a ETIR se propõe a prestar;

II - definir e documentar metodologia e procedimentos internos para o tratamento e resposta a incidentes;

III - criar as estratégias de resposta a incidentes de rede, elaborar procedimentos de resposta para incidentes previamente conhecidos, gerenciar e atribuir as atividades para a equipe distribuída;

IV - auxiliar o Gestor de Segurança da Informação na tomada de decisão;

V - garantir que os incidentes na rede de computadores do Ministério das Cidades sejam monitorados;

VI - adotar procedimentos para assegurar que os usuários comuniquem incidentes de segurança da informação obtenham informações acerca das ações executadas;

VII - auxiliar em treinamentos relacionados à Segurança da Informação, no que se refere à prevenção e combate a incidentes em redes computacionais;

VIII - recolher tempestivamente as provas quando da ocorrência de um incidente de rede computacional;

IX - executar uma análise crítica sobre os registros de falha para assegurar que foram satisfatoriamente resolvidas;

X - investigar as causas dos incidentes nas redes computacionais e sistemas de informação; e

XI - indicar a necessidade de controles aperfeiçoados ou adicionais para limitar a frequência, os danos e o custo de futuras ocorrências de incidentes.

Parágrafo único. Os membros bem como o Agente Responsável deverão designar o tempo necessário para o desempenho das tarefas da ETIR e atuação nas ocorrências e incidências de riscos relacionadas à Segurança da Informação.

SEÇÃO VI - DA AUTONOMIA DA ETIR

Art. 38 A ETIR poderá conduzir o seu público-alvo para realizar ações ou medidas necessárias para reforçar a resposta ou a postura da organização na recuperação de incidentes de segurança.

Art. 39 Durante um incidente de segurança, desde que justificável, a Equipe poderá tomar decisões para executar medidas de recuperação, sem necessidade de aguardar a aprovação de instâncias superiores de gestão.

Parágrafo único. As decisões de que trata o Art. 37 deverão ser precedidas de homologação do CSI.

SEÇÃO VII - DOS SERVIÇOS

Art. 40 A ETIR prestará os seguintes serviços:

I - condução do tratamento de Incidentes de Segurança em ambientes cibernéticos;

II - promoção do tratamento de artefatos maliciosos;

III - promoção do tratamento de vulnerabilidades;

IV - emissão de alertas e advertências relacionados a incidentes de segurança da informação;

V - prospecção ou monitoração de novas tecnologias;

VI - avaliação de segurança do ambiente de tecnologia da informação; e

VII - disseminação de informações relacionadas à segurança da informação.

CAPÍTULO V

DAS DISPOSIÇÕES FINAIS

Art. 41 As atividades desenvolvidas no âmbito da EGSI serão consideradas como serviço de natureza relevante e não remunerado.

Art. 42 O presente Regimento Interno poderá ser alterado mediante votação de proposta apresentada por qualquer um de seus membros do CSI, desde que aprovada por, no mínimo, dois terços de seus integrantes.