INSTRUÇÃO NORMATIVA Nº 15, DE 7 DE NOVEMBRO DE 2023

INSTRUÇÃO NORMATIVA Nº 15, DE 7 DE NOVEMBRO DE 2023
Dispõe sobre normas e procedimentos para a gestão
de ativos de tecnologia da informação no âmbito do
Ministério da Integração e do Desenvolvimento
Regional.
O SECRETÁRIO-EXECUTIVO DO MINISTÉRIO DA INTEGRAÇÃO E DO
DESENVOLVIMENTO REGIONAL, no uso das atribuições no que lhe confere o art. 13, inciso
III, alínea "a", do Anexo I do Decreto nº 11.347, de 1º de janeiro de 2023, resolve:
Art. 1º Estabelecer requisitos de segurança a serem seguidos, de forma a
alcançar e manter a proteção adequada dos ativos de tecnologia da informação, no âmbito
do Ministério da Integração e do Desenvolvimento Regional
CAPÍTULO I
DOS CONCEITOS
Art. 2º Para os efeitos desta Instrução Normativa, aplicam--se os seguintes
termos e definições:
I -- usuário: ente autorizado a acessar os ativos de tecnologia da informação do
Ministério da Integração e do Desenvolvimento Regional;
II -- custodiante do ativo de tecnologia da informação: refere--se a qualquer
indivíduo que tenha a responsabilidade formal de proteger um ou mais ativos de
tecnologia da informação, como é armazenado, transportado e processado, ou seja, é o
responsável pelos contêineres dos ativos de tecnologia da informação, por aplicar os níveis
de controles de segurança em conformidade com as exigências de Segurança da
Informação;
II-I - proprietário do ativo de tecnologia da informação: refere--se à parte
interessada do Ministério da Integração e do Desenvolvimento Regional ou entidade,
indivíduo legalmente instituído por sua posição e/ou cargo, o qual é responsável primário
pela viabilidade e sobrevivência dos ativos de tecnologia da informação;
IV -- ameaça: conjunto de fatores externos ou causa potencial de um incidente
indesejado que pode resultar em dano para um sistema ou organização;
V -- ativos de tecnologia da informação: são os meios de armazenamento,
transmissão e processamento da informação, bem como os equipamentos necessários, os
sistemas utilizados e os locais onde se encontram esses meios, além dos recursos humanos
que a eles têm acesso;
VI -- contêiner dos ativos de tecnologia da informação: o local onde "vive" o
ativo de tecnologia da informação, onde está armazenado, onde é transportado ou
processado;
VII -- continuidade de negócios: capacidade estratégica e tática de um órgão ou
entidade de se planejar e responder a incidentes e interrupções de negócios, minimizando
seus impactos e recuperando perdas de ativos de tecnologia da informação das atividades
críticas, de forma a manter suas operações em um nível aceitável, previamente
definido;
VIII - - gestão de riscos de Segurança da Informação: conjunto de processos que
permite identificar e implementar as medidas de proteção necessárias para minimizar ou
eliminar os riscos a que estão sujeitos os ativos de tecnologia da informação e equilibrá--
los com os custos operacionais e financeiros envolvidos;
IX -- identificação e classificação de ativos de tecnologia da informação:
processo composto por várias etapas, dentre as quais, coletar informações gerais, definir
as informações dos ativos de tecnologia da informação, identificar o(s) responsável(is),
identificar os contêineres dos ativos de tecnologia da informação, definir os requisitos de
segurança e estabelecer o valor do ativo;
X -- inventário de ativos de tecnologia da informação: processo iterativo e evolutivo,
composto pelas etapas de identificação e classificação de ativos de tecnologia da informação,
de identificação de potenciais ameaças e vulnerabilidades, e de avaliação de riscos;
XI -- quebra de segurança: ação ou omissão, intencional ou acidental, que
resulta no comprometimento da Segurança da Informação; e
XII -- Segurança da Informação: ações que objetivam viabilizar e assegurar a
disponibilidade, a integridade, a confidencialidade e a autenticidade das informações.
CAPÍTULO II
DO INVENTÁRIO DE ATIVOS DE TECNOLOGIA DA INFORMAÇÃO
Art. 3º Todos os ativos de tecnologia da informação e os recursos de
processamento da informação do Ministério da Integração e do Desenvolvimento Regional
devem ser identificados, classificados e inventariados.
Art. 4º O inventário deve incluir as seguintes informações sobre o ativo:
I -- tipo;
II -- detalhamento;
III -- localização;
IV -- proprietário;
V -- custodiante; e
VI - valor.
Art. 5º O inventário de ativos de tecnologia da informação deve fornecer
subsídios para os processos de Gestão da Segurança da Informação, de Gestão de Riscos
de Segurança da Informação e de Gestão de Continuidade de Negócios.
Art. 6º A base de dados de ativos de tecnologia da informação deve ser
periodicamente atualizada e revisada de acordo com os procedimentos internos do
Ministério da Integração e do Desenvolvimento Regional.
CAPÍTULO III
DO PROPRIETÁRIO DOS ATIVOS DE TECNOLOGIA DA INFORMAÇÃO
Art. 7º Todos os ativos de tecnologia da informação mantidos no inventário
devem ter um proprietário, que podem ser pessoas ou unidade do Ministério da
Integração e do Desenvolvimento Regional.
Art. 8º O proprietário do ativo de tecnologia da informação é responsável pelo
seu gerenciamento ao longo do ciclo de vida e deverá:
I -- definir as exigências de Segurança da Informação do ativo de tecnologia da
informação;
II -- comunicar as exigências de Segurança da Informação do ativo de tecnologia
da informação a todos os custodiantes e usuários;
III -- monitorar o cumprimento das diretrizes de Segurança da Informação;
IV -- avaliar os riscos que podem afetar os ativos de tecnologia da
informação;
V -- certificar--se de que os ativos de tecnologia da informação sejam
inventariados;
VI -- assegurar que o ativo de tecnologia da informação seja adequadamente
classificado e protegido;
VII -- definir as classificações e restrições de acesso ao ativo de tecnologia da
informação;
VIII -- assegurar o tratamento adequado em caso de exclusão ou destruição do
ativo de tecnologia da informação;
IX -- delegar a um custodiante, as tarefas de administração diária do ativo de
tecnologia da informação;
X -- coordenar as ações em casos de comprometimento da segurança lógica,
tais como, invasões de hackers, problemas em aplicações;
XI -- coordenar as ações em caso de comprometimento da segurança física do
ativo de tecnologia da informação, por exemplo, dano, furto, roubo ou qualquer ameaça
física ou do meio ambiente; e
XII - indicar o valor do ativo para o negócio do órgão, considerando fatores
do(s) risco(s) os quais os ativos possam estar expostos, como ameaça, vulnerabilidade e
impacto.
Art. 9º O custodiante é responsável por:
I -- manter atualizadas as informações cadastrais do ativo de tecnologia da
informação;
II -- definir e implementar novas funcionalidades, como upgrade de versão,
configuração de um novo serviço.
III -- monitorar o ativo de tecnologia da informação diariamente, notificando ao
proprietário qualquer anomalia encontrada;
IV -- comunicar imediatamente qualquer problema sobre a segurança lógica do
ativo de tecnologia da informação e registrar as ações que foram adotadas para
sanar/minimizar o problema;
V -- comunicar imediata e formalmente qualquer incidência de dano, furto ou
roubo/extravio dos equipamentos sob sua custódia;
VI -- restringir o acesso aos ativos de tecnologia da informação; e
VII -- coibir qualquer modificação nos ativos de tecnologia da informação sob
sua responsabilidade.
CAPÍTULO IV
DA DEVOLUÇÃO DE ATIVOS DE TECNOLOGIA DA INFORMAÇÃO
Art. 10. Cabe à Coordenação-Geral de Tecnologia da Informação, no mínimo, as
seguintes atividades:
I - coordenação do processo de identificação e classificação de ativos de
informação;
II - o monitoramento dos níveis de segurança dos ativos de informação junto
aos proprietários e custodiantes dos ativos de informação; e
III - a elaboração sistemática de relatórios para os Gestores de Segurança da
Informação.
§ 1º Em caso de encerramento de contrato ou acordo, desligamento ou
afastamento de custodiante e/ou solicitação motivada da Coordenação-Geral de Tecnologia
da Informação, os ativos de tecnologia da informação devem ser devolvidos por meio de
processo formalizado.
§ 2º Caso a devolução seja recusada, devem ser tomadas as providências
cabíveis de acordo com as penalidades estabelecidas pelo Ministério da Integração e do
Desenvolvimento Regional.
CAPÍTULO V
DAS DISPOSIÇÕES GERAIS
Art. 11. Todos os usuários que têm acesso aos ativos de tecnologia da
informação do Ministério da Integração e do Desenvolvimento Regional devem ser
conscientizados dos requisitos de Segurança da Informação.
Art. 12. Esta norma se aplica a todos os usuários que vierem a utilizar os ativos
de tecnologia da informação do Ministério da Integração e do Desenvolvimento
Regional.
Art. 13. Os usuários devem reportar ao proprietário os incidentes que afetam a
segurança dos ativos de tecnologia da informação ou o descumprimento desta Instrução
Normativa.
Art. 14. Em casos de quebra de Segurança da Informação, a Equipe de
Tratamento e Resposta a Incidentes em Redes Computacionais ou a Coordenação-Geral de
Tecnologia da Informação, na falta daquela, deve ser imediatamente acionada para adotar
as providências necessárias.
Art. 15. A inobservância do disposto nesta Instrução Normativa ensejará a
aplicação das sanções previstas na legislação em vigor.
Art. 16. Fica revogada a Instrução Normativa SE/MDR nº 27, de 26 de julho de 2022.
Art. 17. Esta Instrução Normativa entra em vigor uma semana após a data de
sua publicação.
VALDER RIBEIRO DE MOURA