INSTRUÇÃO NORMATIVA Nº 16, DE 22 DE NOVEMBRO DE 2023

INSTRUÇÃO NORMATIVA Nº 16, DE 22 DE NOVEMBRO DE 2023
Dispõe sobre critérios e regras que visam
estabelecer os requisitos de segurança referentes ao
processo de geração e restauração das cópias de
segurança das informações, armazenadas nos
computadores servidores e/ou sistemas do
Ministério da Integração e do Desenvolvimento
Regional.
O SECRETÁRIO-EXECUTIVO DO MINISTÉRIO DA INTEGRAÇÃO E DO
DESENVOLVIMENTO REGIONAL, no uso das suas atribuições que lhe confere o art. 13 do
Anexo I do Decreto nº 11.347, de 1º de janeiro de 2023, resolve:
Art. 1º Estabelecer normas e procedimentos que visam constituir os requisitos
de segurança referentes ao processo de geração e restauração das cópias de segurança
(backup) das informações armazenadas nos computadores servidores e/ou sistemas de
armazenamento (storage e mídias de backup) do Ministério da Integração e do
Desenvolvimento Regional.
CAPÍTULO I
DOS CONCEITOS
Art. 2º Para os efeitos desta Instrução Normativa, aplicam-se os seguintes
termos e definições:
I - usuário: pessoa autorizada a acessar os ativos de tecnologia da informação
do Ministério da Integração e do Desenvolvimento Regional;
II - ativos de tecnologia da informação: são os meios de armazenamento,
transmissão e processamento da informação, bem como os equipamentos necessários, os
sistemas utilizados e os locais onde se encontram esses meios, além dos recursos humanos
que a eles têm acesso;
III - contingência: conjunto de medidas a serem tomadas por uma organização
para fazer com que seus processos vitais voltem a funcionar plenamente, ou num estado
minimamente aceitável, o mais rápido possível;
IV - cópia de segurança ou backup: cópia de dados em um meio separado do
original, de forma a protegê-los de qualquer eventualidade;
V - integridade: propriedade de que a informação não foi modificada ou
destruída de maneira não autorizada ou acidental;
VI - log ou registro de auditoria: registro de eventos relevantes em um
dispositivo ou sistema computacional;
VII - quebra de segurança: ação ou omissão, intencional ou acidental, que
resulta no comprometimento da segurança da informação e comunicações;
VII-I - proprietário do ativo de tecnologia da informação: refere--se à parte
interessada do Ministério da Integração e do Desenvolvimento Regional ou entidade,
indivíduo legalmente instituído por sua posição e/ou cargo, o qual é responsável primário
pela viabilidade e sobrevivência dos ativos de tecnologia da informação; e
IX -- custodiante do ativo de tecnologia da informação: refere--se a qualquer
indivíduo que tenha a responsabilidade formal de proteger um ou mais ativos de
tecnologia da informação, como é armazenado, transportado e processado, ou seja, é o
responsável pelos contêineres dos ativos de tecnologia da informação, por aplicar os níveis
de controles de segurança em conformidade com as exigências de segurança da
Informação.
CAPÍTULO II
DA REALIZAÇÃO E DA RETENÇÃO DE CÓPIAS DE SEGURANÇA
Art. 3º A Coordenação-Geral de Tecnologia da Informação, juntamente com os
respectivos proprietários dos ativos, definirá os prazos de realização, retenção e descarte
das informações armazenadas nas mídias de backup.
Art. 4º Os procedimentos e as rotinas de cópias de segurança devem ser
documentados e publicados na Intranet do Ministério da Integração e do Desenvolvimento
Regional.
Art. 5º A realização das cópias de segurança deve cumprir os requisitos de
segurança definidos pelo Comitê de Segurança da Informação para preservação da
integridade, confidencialidade e disponibilidade das informações do Ministério da
Integração e do Desenvolvimento Regional.
Art. 6º A cópia de segurança das informações do Ministério da Integração e do
Desenvolvimento Regional deve ser realizada em horário de baixa utilização dos recursos
de tecnologia da informação, sendo executada preferencialmente fora do horário de
expediente.
Art. 7º A Coordenação-Geral de Tecnologia da Informação definirá um plano de
realização das cópias de segurança.
Art. 8º A Coordenação-Geral de Tecnologia da Informação deverá definir um
plano de retenção de cópias de segurança em que será estabelecido a periodicidade de
retenção dessas cópias.
Art. 9º Após a realização da cópia de segurança, os logs gerados deverão ser
analisados, a fim de garantir o êxito da operação e possibilitar providências cabíveis em
caso de falha.
CAPÍTULO III
DA RESTAURAÇÃO DE CÓPIAS DE SEGURANÇA
Art. 10. A restauração da cópia de segurança deve ser realizada somente nas
seguintes situações:
I - para recompor a integridade e/ou disponibilidade do ambiente afetado; ou
II - por solicitação formal do proprietário do ativo.
Art. 11. O proprietário do ativo deve validar a integridade das informações
restauradas.
Art. 12. Após a restauração das cópias de segurança, os logs gerados deverão
ser analisados, a fim de garantir o êxito da operação e possibilitar providências cabíveis em
caso de falha.
Art. 13. A Coordenação-Geral de Tecnologia da Informação deverá realizar
testes de restauração periódicos, a fim de assegurar a integridade e disponibilidade das
informações armazenadas nas cópias de segurança.
CAPÍTULO IV
DO ARMAZENAMENTO DAS CÓPIAS DE SEGURANÇA
Art. 14. O armazenamento da cópia de segurança deve atender aos seguintes
requisitos:
I - as cópias de segurança deverão ser armazenadas em ambientes diferentes
daqueles que armazenam os dados originais;
II - o armazenamento de backup, se possível, deve ser realizado em um local
distinto da infraestrutura crítica, sendo desejável que se tenha um sítio de backup em um
local remoto ao da sede da organização para armazenar cópias extras dos principais
backups, a exemplo daqueles de dados de serviços críticos; e
III - as cópias de segurança dos dados deverão ser criptografadas pela solução
de backup.
CAPÍTULO V
DO DESCARTE E DA SUBSTITUIÇÃO DAS MÍDIAS OU DISCOS DE CÓPIA DE
SEGURANÇA
Art. 15. A substituição das mídias ou discos utilizados para realização das cópias
de segurança deve observar os critérios definidos pelo fabricante.
Art. 16. No caso de substituição da infraestrutura tecnológica de realização da
cópia de segurança, as informações contidas nas mídias ou discos da antiga tecnologia
devem ser transferidas em sua totalidade para as novas e o hardware substituído deverá
ser destruído, de forma a assegurar o correto tratamento do descarte e a não recuperação
das informações por terceiros.
Parágrafo único. O descarte das mídias ou discos antigos somente poderá
ocorrer após a transferência de todas as informações e a realização de testes que
assegurem a autenticidade e integridade das informações.
Art. 17. O descarte das mídias ou discos de cópia de segurança deve ser
realizado somente por usuários autorizados pela Coordenação-Geral de Tecnologia da
Informação.
CAPÍTULO VI
DAS DISPOSIÇÕES GERAIS
Art. 18. Todos os usuários que têm acesso aos ativos de tecnologia da
informação do Ministério da Integração e do Desenvolvimento Regional devem ser
conscientizados dos requisitos de segurança da informação e comunicações.
Art. 19. Esta norma se aplica a todos os usuários que vierem a utilizar os ativos
de tecnologia da informação do Ministério da Integração e do Desenvolvimento
Regional.
Art. 20. Os usuários devem reportar ao proprietário e ao custodiante do ativo
de tecnologia da informação os incidentes que afetam a segurança dos ativos de
tecnologia da informação ou o descumprimento desta Instrução Normativa.
Art. 21. Em casos de quebra de segurança da informação, a Equipe de
Tratamento e Resposta a Incidentes em Redes Computacionais ou a Coordenação-Geral de
Tecnologia da Informação, na falta daquela, deve ser imediatamente acionada para adotar
as providências necessárias.
Art. 22. A inobservância do disposto nesta Instrução Normativa ensejará a
aplicação das sanções previstas na legislação em vigor.
Art. 23. Fica revogada a Instrução Normativa SE/MDR nº 28, de 3 de agosto de 2022.
Art. 24. Esta Instrução Normativa entra em vigor uma semana após a data de
sua publicação.
VALDER RIBEIRO DE MOURA