PORTARIA GM-MD Nº 5.429, DE 9 DE NOVEMBRO DE 2023 (parte 3 de 3)

a) o correio eletrônico institucional é um meio de comunicações oficial e deve
ser utilizado exclusivamente no desempenho das atividades funcionais;
b) o acesso à Internet provido pelo SISMC² deve ter seu uso disciplinado para
a restrita execução das atividades funcionais;
c) o uso de dispositivos móveis de armazenamento deve ser controlado com
a implementação de mecanismos de autenticação, autorização e registro de acesso do
usuário;
d) é vedado o uso de redes sociais, tais como, Facebook, Instagram,
WhatsApp, Telegram e X a partir de estações de trabalho conectadas à ROD, por esta ser
uma rede para fins operacionais. Os usuários que, de acordo com o seu exercício
funcional, tiverem a necessidade de acesso às mídias e redes sociais a partir de estações
de trabalho conectadas à ROD, deverão ter autorização concedida pelo SCh de C2;
e) a implementação ou contratação de computação em nuvem deve ser
precedida de procedimentos de conformidade com a legislação vigente;
f) as informações classificadas em qualquer grau de sigilo devem ser
protegidas mediante o emprego de recurso criptográfico adequado; e
g) as tabelas que armazenam senha de acesso e autenticação devem ser
criptografadas.
4.6 Controle de acesso
4.6.1 O controle de acesso aos ativos de informação e às áreas e instalações
deve ser implantado nos níveis físico e lógico, conforme procedimentos estabelecidos
pelas áreas competentes.
4.6.2 O controle de acesso aos ativos de informação deverá conter
identificador único, pessoal, intransferível e com validade estabelecida, que permita de
maneira clara e indiscutível o seu reconhecimento.
4.7 Auditoria e conformidade
4.7.1 Os custodiantes de ativos da informação devem estabelecer
procedimentos de auditoria, com objetivo de averiguar se estão de acordo com as
legislações, normas e procedimentos relacionados à SI em sua área de competência.
4.7.2 A avaliação de conformidade nos aspectos de SI visa proporcionar
adequado grau de confiança a um determinado processo, mediante o atendimento de
requisitos definidos em políticas, procedimentos, normas ou em regulamentos técnicos
aplicáveis.
4.7.3 O processo de avaliação de conformidade nos aspectos de SI deve ser
composto pelo plano de verificação de conformidade e pelo relatório de avaliação de
conformidade, que serão elaborados pelos custodiantes dos ativos de informação.
4.7.4 As auditorias devem ser realizadas, no mínimo, anualmente, para verificar
a conformidade e a efetividade dos controles de SI implantados no SISMC². Todos os
usuários estão sujeitos à auditoria e fiscalização ao utilizar os recursos do SISMC².
4.7.5 O descumprimento ou a violação desta Política de Segurança da
Informação e demais normas e procedimentos estabelecidos relativos a ela terá
implicação administrativa, civil e penal, segundo as normas e a legislação vigentes, de
acordo com a gravidade do ato praticado.
4.8 Contratação de serviços
4.8.1 Nos editais de licitação e nos contratos deverá constar cláusula
específica sobre a obrigatoriedade de atendimento às normas da POSIN-SISMC², bem
como ser exigida da empresa contratada e do prestador de serviços a assinatura do
Termo de Responsabilidade (Anexo B) e do Termo de Compromisso de Manutenção de
Sigilo (Anexo C), quando aplicável.
4.8.2 A empresa contratada também deverá manter mecanismos que
garantam a segurança das informações por ela acessadas direta ou indiretamente.
4.8.3 A gestão de processos de tecnologia da informação ou a gestão de SI
não poderá ser objeto de contratação para execução de forma indireta.
4.9 Segurança física e do ambiente
4.9.1 Os responsáveis pela segurança física e do ambiente deverão estabelecer
os perímetros de segurança, regras de controle de acesso e aspectos de monitoramento,
bem como outras medidas visando à segurança física e do ambiente.
4.10 Gestão de incidentes de segurança da informação
4.10.1 A criação, a estrutura e o modelo de implementação da(s) ETIR serão
definidos em conformidade com as diretrizes do GSI/PR.
4.10.2 Os incidentes que afetem dados pessoais deverão ser imediatamente
comunicados ao Encarregado pelo Tratamento de Dados Pessoais da organização, que
orientará sobre as práticas a serem adotadas.
4.10.3 Os custodiantes da informação realizarão a gestão de incidentes
envolvendo a segurança física e do ambiente.
4.10.4 Todos os órgãos integrantes, permanentes ou temporários, do SISMC²
zelarão pela gestão dos dados organizacionais sob sua responsabilidade.
4.11 Gestão de risco
4.11.1 Risco de segurança da informação está associado à exploração de uma
ou mais vulnerabilidades de um ou mais ativos de informação, devendo ser
continuamente monitorado e tratado, conforme legislação em vigor.
CAPÍTULO V
DISPOSIÇÕES FINAIS
5.1 Atualização
5.1.1 Esta Política e seus instrumentos normativos derivados deverão ser
revisados sempre que se fizer necessário, com apoio de representantes dos setores
especializados das três Forças Singulares, não excedendo o período máximo de quatro
anos de sua promulgação.
APÊNDICE A
LISTA DE SIGLAS, ABREVIATURAS E ACRÔNIMOS
. CD-SISMC ² Conselho Diretor do Sistema Militar de Comando e Controle
. Ch de Op Cj Chefe de Operações Conjuntas
. EBNET Rede Corporativa Privativa do Exército
. e-Ciber Estratégia Nacional de Segurança Cibernética
. ECS/Def Equipe de Coordenação Setorial Defesa
. ETIR Equipe de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos
. ETIR SC-1 Equipe de Prevenção, Tratamento e Resposta de Incidentes
Cibernéticos da Subchefia de Comando e Controle
. INTRAER Rede Coorporativa Interna da Aeronáutica
. LGPD Lei Geral de Proteção de Dados
. PNSI Política Nacional de Segurança da Informação
. POSIN-SISMC² Política de Segurança da Informação para o Sistema Militar de
Comando e Controle
. RECIM Rede de Comunicações Integrada da Marinha
. ReGIC Rede Federal de Gestão de Incidentes Cibernéticos
. SCh de C2 Subchefe de Comando e Controle
. SI Segurança da Informação
. WAN Wide Area Network
APÊNDICE B
MINISTÉRIO DA DEFESA
CHEFIA DE OPERAÇÕES CONJUNTAS
SUBCHEFIA DE COMANDO E CONTROLE
MODELO DE TERMO DE RESPONSABILIDADE
Pelo presente instrumento, eu,
______________________________________________CPF nº___________ lotado(a)
no(a)___________________________,na qualidade de USUÁRIO (A) da Rede Operacional
de Defesa (ROD) ou CUSTODIANTE de informações da ROD, declaro ter conhecimento da
Política de Segurança da Informação para o Sistema Militar de Comando e Controle
(POSIN-SISMC2), segundo a qual, sem restar qualquer dúvida de minha parte, devo
cumprir todas as suas diretrizes e orientações.
Estou ciente de meu compromisso com o Ministério da Defesa e assumo a
responsabilidade pelas consequências decorrentes da não observância do disposto na
POSIN-SISMC2 e na legislação vigente.
Aviso de Privacidade
Suas informações serão coletadas para fins de acesso aos ativos da ROD ou
para responsabilização legal, atendendo aos princípios da finalidade e da necessidade
segundo a LGPD.
Os seus dados pessoais serão armazenados e tratados no território nacional. O
tempo de guarda e de eliminação dos dados seguem o disposto na Política Nacional de
Arquivos Públicos (Lei nº 8.159, de 8 de janeiro de 1991), no Decreto nº 7.845, de 14 de
novembro de 2012, e na Portaria GM-MD nº 5.814, de 29 de novembro de 2022.
Brasília/DF, _______ de _______________ de _________
_______________________________
Assinatura
(Usuário ou custodiante da informação)
APÊNDICE C
MINISTÉRIO DA DEFESA
CHEFIA DE OPERAÇÕES CONJUNTAS
SUBCHEFIA DE COMANDO E CONTROLE
MODELO DE TERMO DE COMPROMISSO DE MANUTENÇÃO DE SIGILO
Pelo presente instrumento, eu,
_______________________________________________ CPF
nº____________________representante legal da
empresa_______________________________________ inscrita no CNPJ sob o nº
___________________________________ sediada em_____________________________
para fins da execução do contrato nº ___________________________ comprometo-me a
manter em sigilo, ou seja, não revelar ou divulgar as informações sigilosas ou de caráter
não público recebidas durante e após o exercício funcional ou prestação de serviços no
âmbito da Rede Operacional de Defesa (ROD).
A duração do período de sigilo e confidencialidades será a partir do momento
de assinatura deste termo.
Mesmo após a finalização da prestação de serviços/negociação os dados
deverão ser mantidos em confidencialidade não podendo ser compartilhados com
terceiros e/ou qualquer outrem sem autorização da parte proprietária das
informações.
A violação dos termos deste instrumento resultará na aplicação das
penalidades previstas em lei, nos âmbitos administrativo, civil, penal e militar.
Aviso de Privacidade
Suas informações serão coletadas para fins de acesso aos ativos da ROD ou
para responsabilização legal, atendendo aos princípios da finalidade e da necessidade
segundo a LGPD.
Os seus dados pessoais serão armazenados e tratados no território nacional. O
tempo de guarda e de eliminação dos dados seguem o disposto na Política Nacional de
Arquivos Públicos (Lei nº 8.159, de 8 de janeiro de 1991), no Decreto nº 7.845, de 14 de
novembro de 2012, e na Portaria GM-MD nº 5.814, de 29 de novembro de 2022.
Brasília/DF, _______ de _______________ de _________
_______________________________
Assinatura