PORTARIA MTE Nº 3.849, DE 18 DE DEZEMBRO DE 2023 (parte 4 de 7)

§ 4º Os integrantes da Etir exercerão suas funções regulares, sem necessidade
de dedicação exclusiva.
Art. 10. Cada integrante poderá dedicar até 60 (sessenta) minutos diários em
tarefas de caráter preventivo e proativo, caso estas sejam atribuídas ou autorizadas pelo
Agente Responsável.
Art. 11. A Secretaria Administrativa da Etir será exercida pela Coordenação-
Geral de Governança e Gestão Estratégica da Diretoria de Tecnologia da Informação do
Ministério do Trabalho e Emprego.
Art. 12. A Etir se reunirá:
I - ordinariamente, 4 (quatro) vezes ao ano, mediante convocação do Agente
Responsável, sendo preferencialmente uma reunião em cada um dos quatro trimestres
do ano; e
II - extraordinariamente, por convocação do Agente Responsável ou por
solicitação da maioria absoluta dos representantes, mediante correspondência oficial.
§ 1º O quórum de reunião é a maioria absoluta dos membros e o de votação
é maioria dos presentes, em processo nominal e aberto.
§ 2º Os substitutos poderão participar livremente das reuniões, mas somente
terão direito a voto quando estiverem na qualidade de substituto do representante
titular.
§ 4º Na hipótese de empate, além do voto ordinário, o Agente Responsável,
ou seu substituto legal, terá o voto de qualidade.
Art. 13. Os membros do Etir que se encontrarem no Distrito Federal se
reunirão presencialmente ou por videoconferência, nos termos do disposto no Decreto nº
10.416, de 7 de julho de 2020, e os que se encontrarem em outros entes federativos
participarão da reunião, obrigatoriamente, por meio de videoconferência.
Art. 14. A participação na Etir é considerada prestação de serviço público
relevante, não remunerada.
Atribuições
Art. 15. Ao Gestor de Segurança da Informação do Ministério do Trabalho e
Emprego, em conformidade com a Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14
de agosto de 2009, compete prover os meios necessários para a capacitação e o
aperfeiçoamento técnico dos membros da Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos e prover a infraestrutura necessária.
Art. 16. Ao Agente Responsável, em conformidade com a Norma
Complementar nº 05/IN01/DSIC/GSIPR, de 2009, compete:
I - chefiar e gerenciar a Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos;
II - ser interface com o Centro de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos de Governo; e
III - criar os procedimentos internos, gerenciar as atividades e distribuir
tarefas para a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos.
Art.17. Aos Integrantes da Etir compete:
I - receber, analisar, classificar e responder às notificações e às atividades
relacionadas a incidentes de segurança em redes computacionais, além de armazenar
registros para formação de séries históricas como subsídio estatístico; e
II - exercer outras atividades que lhe forem cometidas no seu campo de
atuação.
Art.18. À Secretaria Administrativa da Equipe de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos, a pedido do Agente Responsável, compete agendar as
reuniões a que se refere o art. 12 e elaborar as atas dessas reuniões.
Modelo de Implementação
Art. 19. A Etir seguirá o Modelo 1 ("Utilizando a equipe de Tecnologia da
Informação") e possuirá autonomia completa, conforme disposto na
NC05/IN01/DSIC/GSIPR/2009.
§ 1º Nesse modelo, as funções e serviços de tratamento de incidente serão
realizados, preferencialmente, por administradores de rede ou de segurança,
administradores de banco de dados, administradores de rede, analistas de suporte ou
quaisquer outras pessoas com conhecimento técnico comprovado na área de segurança
da informação.
§ 2º A Etir possui autonomia para conduzir seu público-alvo para realizar
ações ou medidas necessárias para reforçar a resposta ou a postura da organização na
recuperação de incidentes de segurança, sem depender de níveis superiores de
gestão.
Art. 20. Durante um incidente de segurança, se houver justificativa, a ETIR
poderá executar as medidas de recuperação, sem esperar pela aprovação de níveis
superiores de gestão.
Art. 21. Extraordinariamente, o Agente Responsável poderá convocar
representantes de outras unidades da Diretoria de Tecnologia da Informação para atuar
em tratamento e resposta de determinado incidente de segurança.
Art. 22. A Etir poderá contar com suporte operacional de terceiros para
execução de suas atribuições, desde que haja previsão legal.
Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos
Art. 23. O catálogo de serviços da Equipe de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos, que consiste nos serviços providos pela Equipe, está
listado no Anexo X-A.
§ 1º Os serviços de que trata o caput também podem ser providos em
conformidade com a Portaria MGI nº 43, de 31 de janeiro de 2023, que disciplina o
compartilhamento de atividades de administração patrimonial, de material, de gestão de
pessoas, de serviços gerais, de orçamento e finanças, de contabilidade, de logística, de
contratos, de tecnologia da informação, de planejamento governamental e gestão
estratégica e de outras atividades de suporte administrativo realizadas por meio de
arranjos colaborativos entre Ministérios ou modelos centralizados, e dispõe sobre
medidas transitórias decorrentes da edição da Medida Provisória nº 1.154, de 1º de
janeiro de 2023.
ANEXO X-A
CATÁLOGO DE SERVIÇOS DA EQUIPE DE PREVENÇÃO, TRATAMENTO E
RESPOSTA A INCIDENTES CIBERNÉTICOS
Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos
O Catálogo de Serviços da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos é composto pelos seguintes serviços:
I - tratamento de incidentes cibernéticos:
a) definição - serviço de receber, filtrar, classificar e responder as solicitações
e os alertas e realizar as análises dos incidentes de segurança, com vistas a extrair
informações que permitam impedir a continuidade da ação maliciosa e a identificação de
tendências;
b) tipo do serviço - reativo;
c) disponibilidade do serviço - será executado pela Equipe de Prevenção,
Tratamento e Resposta a Incidentes Cibernéticos - Etir quando houver detecção de um
incidente por alguma unidade;
d) descrição das funções e procedimentos que compõe o serviço - o Agente
Responsável realizará as atividades e procedimentos de acordo com diretrizes
devidamente normatizadas e em conformidade com a Política de Segurança da
Informação do Ministério do Trabalho e Emprego;
e) metodologia - o Agente Responsável, conjuntamente com seus técnicos,
analisará relatórios gerados por aplicativos devidamente instituídos no Ministério e, a
partir de tais informações, elaborará relatório com a ação ou recomendação a ser
tomada; e
f) tempo de tratamento - imediato;
II - tratamento de artefatos maliciosos:
a) definição - serviço de receber informações ou cópia de artefato malicioso
que foi utilizado no ataque, ou em qualquer atividade desautorizada ou maliciosa. Após
recebido, é analisado, com vistas a buscar a natureza do artefato, seu mecanismo, versão
e objetivo, para que seja desenvolvida ou sugerida uma estratégia de detecção, remoção
e defesa;
b) tipo do serviço - reativo;
c) disponibilidade do serviço o serviço será executado - Etir quando houver o
requerimento do usuário ou a detecção por meio de software ou outra ferramenta de
gestão;
d) descrição das funções e procedimentos que compõe o serviço - a equipe
realizará as seguintes atividades:
1. recebimento da informação ou cópia de artefato malicioso que foi utilizado
no ataque, ou em qualquer atividade desautorizada ou maliciosa;
2. análise do artefato malicioso, inclusive busca e natureza do artefato, seu
mecanismo, versão e objetivo; e
3. desenvolvimento de uma estratégia para detecção, remoção e defesa;
e) metodologia:
1. o serviço será realizado de acordo com o risco em que o artefato está
classificado;
2. o tratamento se dará, primeiramente, em tentativa de recuperação, na
hipótese de ser um ativo do Ministério, e de eliminação se for objeto fora do escopo do
Ministério; e
3. será elaborado relatório sobre a referida incidência;
f) tempo de tratamento: a depender da complexidade e urgência do caso;
III - tratamento de vulnerabilidades:
a) definição - serviço de receber informações sobre vulnerabilidades, sejam
em hardware ou software, com vistas a analisar a natureza, o mecanismo e suas
consequências e desenvolver estratégias para detecção e correção;
b) tipo do serviço - reativo;
c) disponibilidade do serviço - o serviço será executado pela Etir quando
houver o requerimento do usuário ou Agente Responsável e antes e depois de qualquer
aquisição de ativo de tecnologia da informação;
d) descrição das funções e procedimentos que compõe o serviço - o serviço
contemplará as seguintes atividades:
1. recebimento de informações sobre vulnerabilidades em hardware ou
software;
2. análise de sua natureza, seu mecanismo e suas consequências; e
3. desenvolvimento de estratégias para detecção e correção (emissão de
relatório);
e) metodologia - o serviço só será requerido pelo próprio usuário, por sua
chefia imediata ou hierarquicamente superior ao Agente Responsável, que emitirá
relatório com a ação ou recomendação a ser tomada; e
f) tempo de tratamento - a depender da complexidade e urgência do caso;
IV - detecção de intrusão:
a) definição - análise do histórico de dispositivos que detectam as tentativas
de intrusões em redes de computadores, com vistas a:
1. identificar e iniciar, mediante autorização, os procedimentos de resposta a
incidentes de segurança em redes computacionais, com base em eventos com
características pré-definidas, que possam levar a uma possível intrusão e;
2.possibilitar envio de alerta em consonância com o padrão de comunicação
previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos de Governo;
b) tipo do serviço - proativo;
c) disponibilidade do serviço - o serviço serÁ executado quando houver o
requerimento por pessoa competente na sua respectiva unidade através da Etir e quando
houver indícios de acesso não autorizado;
d) descrição das funções e procedimentos que compõe o serviço - a Equipe
realizará as seguintes atividades:
1. análise periódica no histórico - log de dispositivos que detectam tentativas
de intrusões em redes de computadores, com vistas a identificar e iniciar, mediante
autorização, os procedimentos de resposta a incidentes de segurança em redes
computacionais;
2. identificação de eventos com características pré-definidas que possam levar
a uma possível intrusão;
3. envio de alerta em consonância com o padrão de comunicação
previamente definido entre a Etir e o Centro de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos de Governo; e
4. emissão de relatórios sobre a invasão descrevendo o ambiente ou ativos
envolvidos;
e) metodologia - a Equipe analisará o ambiente ou os ativos envolvidos e
emitirá relatório sobre a invasão; e
f) tempo de tratamento - a depender da complexidade e urgência do caso.
ANEXO XI
COMITÊ DE PARTICIPAÇÃO SOCIAL
Art. 1º O Comitê de Participação Social - CPS do Ministério do Trabalho e
Emprego, de caráter assessório, estratégico e consultivo, tem a finalidade de assessorar
o Comitê de Governança Estratégica no tocante à implementação das diretrizes e
recomendações do Conselho de Participação Social do Governo Federal.
Art. 2º Ao Comitê de Participação Social - CPS compete:
I - prestar assessoria técnica ao Comitê de Governança Estratégica - CGE no
tocante à implementação das diretrizes e recomendações do Conselho de Participação
Social do Governo Federal, de que trata o Decreto nº 11.406, de 31 de janeiro de 2023,
ou estabelecidas pelo Sistema de Participação Social Interministerial, de que trata o
Decreto nº 11.407, de 31 de janeiro de 2023;
II - propor políticas para estabelecer as relações do Ministério com os
diferentes segmentos da sociedade civil na aplicação das políticas públicas;
III - propor diretrizes para fortalecimento do diálogo e da interlocução com as
organizações da sociedade civil e com a representação de movimentos sindicais e
populares;
IV - promover o monitoramento das deliberações dos órgãos colegiados
existentes na estrutura do Ministério; e
V - fomentar a parceria entre os órgãos e entidade vinculada do Ministério do
Trabalho e Emprego para o desenvolvimento de ações referentes à participação social;
Parágrafo único. O CPS poderá editar resoluções para o desempenho de suas
competências e para as deliberações do CGE, por meio de publicação no Boletim de
Serviço do MTE.
Art. 3º O CPS será composto por representantes vinculados às seguintes
unidades da estrutura organizacional do Ministério:
I - Gabinete do Ministro;
II - Secretaria-Executiva;
III - Assessoria de Participação Social e Diversidade;
IV - Assessoria Especial de Promoção da Igualdade no Trabalho;
V - Assessoria Especial de Articulação de Políticas de Trabalho para o
Desenvolvimento;
VI - Representantes dos órgãos específicos singulares.
§ 1º O Coordenador do CPS e seu respectivo suplente serão designados em
ato do Ministro de Estado do Trabalho e Emprego.
§ 2º A Coordenação do CPS poderá convidar representantes de outros órgãos
e de unidades da estrutura organizacional do Ministério, com vistas a colaborar com
atividades técnicas e à internalização de diretrizes gerais.
Art. 4º O Comitê se reunirá por convocação do Coordenador ou de seu
substituto.
§ 1º Os membros do CPS que se encontrarem no Distrito Federal se reunirão
presencialmente ou por videoconferência, nos termos do disposto no Decreto nº 10.416,
de 7 de julho de 2020, e os membros que se encontrarem em outros entes federativos
participarão da reunião, preferencialmente, por meio de videoconferência, facultada a
realização de reunião presencial, quando necessário. As reuniões poderão ser realizadas
por videoconferência, salvo na hipótese de ser demonstrada, de modo fundamentado, a
inviabilidade ou a inconveniência de realização nesse formato.
§ 2º O quórum de reunião do Comitê é de maioria absoluta e o quórum de
aprovação é de maioria simples.
§ 3º Na hipótese de empate, além do voto ordinário, o Coordenador terá o
voto de qualidade.
Art. 5º O Comitê poderá criar comissões técnicas para elaboração de políticas,
diretrizes, planos, normas técnicas ou operacionais sobre os temas de sua atuação.
Art. 6º A participação no Comitê será considerada prestação de serviço
público relevante, não remunerada.
Art. 7º Casos omissos e dúvidas na aplicação do Anexo XI serão dirimidas pelo
Chefe da Assessoria Especial de Participação Social e Diversidade.
Art. 8º O Gabinete do Ministro poderá estabelecer diretrizes para o
planejamento e a operacionalização do disposto neste Anexo.
ANEXO XII
DO PROCESSO DE GESTÃO ESTRATÉGICA
Art. 1º Gestão estratégica é o processo gerencial contínuo e sistemático que
objetiva definir a direção a ser seguida pelo Ministério do Trabalho e Emprego, com
vistas a otimizar sua relação com os ambientes interno e externo, por meio do alcance
dos objetivos propostos.
Parágrafo único. O processo de gestão estratégica inclui as etapas de
elaboração, de monitoramento, de avaliação e de revisão.
Art. 2º A gestão estratégica será conformada em conjunto de normas,
documentos e sistemas.
§ 1º O planejamento estratégico do Ministério será elaborado e publicado até
o dia 30 de novembro do primeiro ano do mandato presidencial e será alinhado com o
Plano Plurianual - PPA.
§ 2º O Ministro de Estado do Trabalho e Emprego, o Secretário- Executivo ou
o Secretário- Executivo Adjunto priorizarão os objetivos, os indicadores, as metas e os
projetos.
§ 3º Para fins deste Anexo, consideram-se:
I - objetivos - os desafios a que a organização se propõe para cumprir sua
missão e alcançar sua visão de futuro no cumprimento do papel institucional que lhe é
reservado;
II - indicadores - os elementos de medição do alcance dos objetivos definidos
para análise da efetividade da estratégia;
III - metas - os resultados quantitativo ou qualitativo que a organização
pretende alcançar em prazo determinado, com vistas ao atingimento de seus objetivos; e
IV - projetos - as iniciativas temporárias que estão diretamente associadas ao
alcance dos objetivos.
§ 4º O planejamento estratégico do Ministério será aprovado pelo Ministro de
Estado do Trabalho e Emprego.
§ 5º A alta administração dos órgãos de assistência direta e imediata ao
Ministro de Estado do Trabalho e Emprego, dos órgãos específicos singulares do
Ministério e da entidade vinculada serão responsáveis pela consecução dos objetivos e
das metas, pela realização dos projetos e pelo fornecimento das informações necessárias
ao acompanhamento dos indicadores, permitida a designação de servidores para a
realização dos atos necessários.
§ 6º Será dado tratamento administrativo adequado à gestão de projetos
estratégicos e ao acompanhamento de indicadores estratégicos, conforme orientações a
serem expedidas pela Secretaria- Executiva.
§ 7º Os recursos orçamentários, financeiros, de pessoal, de infraestrutura e de
tecnologia de informação e comunicação serão priorizados para a consecução das
atividades abrangidas nos indicadores, metas e projetos estratégicos.
Art. 3º O planejamento estratégico, seus desdobramentos e resultados serão
monitorados e avaliados periodicamente, no âmbito do Comitê de Governança
Estratégica - CGE, com o intuito de acompanhar a implementação da estratégia, de
identificar possíveis desvios e de implementar ações corretivas, com vistas ao alcance dos
objetivos estratégicos.
§ 1º A periodicidade do monitoramento será, preferencialmente, mensal.
§ 2º As informações necessárias ao detalhamento dos indicadores e dos
projetos estratégicos e ao monitoramento são de responsabilidade dos órgãos de
assistência direta e imediata ao Ministro de Estado do Trabalho e Emprego, dos órgãos
específicos singulares do Ministério e da entidade vinculada responsável pelo elemento
estratégico.
§ 3º As informações relativas aos indicadores e aos projetos estratégicos
serão registradas em sistema apropriado, com tempo suficiente para subsidiar as
reuniões de monitoramento
§ 4º Aos dados referentes aos elementos estratégicos e ao monitoramento da
execução do planejamento estratégico será dada publicidade.
§ 5º As revisões do planejamento estratégico ocorrerão simultaneamente aos
ciclos quadrimestrais correspondentes, por ocasião das Reuniões de Avaliação da
Estratégia - RAE.
Art. 4º O planejamento estratégico poderá ser revisado caso haja mudanças
de diretrizes.
Art. 5º Os órgãos de assistência direta e imediata ao Ministro de Estado do
Trabalho e Emprego, os órgãos específicos singulares do Ministério e a entidade
vinculada poderão:
I - elaborar planejamento estratégico setorial, que estará em consonância com
o disposto neste Anexo XII, a ser aprovado pelo dirigente de cada órgão; e
II - estabelecer ou alinhar os normativos internos sobre planejamento
estratégico para dar cumprimento a este Anexo XII.
Art. 6º São elementos estratégicos básicos:
I - missão;
II - visão;
III - atributos de valor para a sociedade;
IV - objetivos estratégicos;
V - indicadores e metas estratégicos.
Art. 7º Integram o planejamento estratégico do Ministério como documentos
essenciais:
I - cadeia de valor;
II - mapa estratégico; e
III - indicadores e metas estratégicos.
Parágrafo único. Os documentos essenciais serão publicados pela Secretaria
Executiva no Boletim de Serviço do Ministério.
Art. 8º O planejamento estratégico será disponibilizado nas páginas
eletrônicas do Ministério, na intranet e na internet.
Art. 9º Os casos omissos e as dúvidas na aplicação do Anexo XII serão
dirimidos pelo Presidente do CGE.
ANEXO XIII
PROCESSO DE GESTÃO DE POLÍTICAS PÚBLICAS
Art. 1º As atividades finalísticas do Ministério serão estruturadas em uma
Carteira de Políticas Públicas, aprovada pelo Comitê de Governança Estratégica - CGE;
Art. 2º A Carteira de Políticas Públicas do Ministério será controlada pelo CGE,
que avaliará a inclusão, a exclusão ou a modificação das políticas que a compõe.
§ 1º A responsabilidade pela gestão das políticas públicas é dos órgãos
específicos singulares e da entidade vinculada ao Ministério do Trabalho e Emprego,
incumbido de sua concepção, execução e controle.
§ 2º A alocação de recursos orçamentários observará o desempenho das
políticas públicas.
Art. 3º As políticas públicas serão compiladas em lista exaustiva, seguindo,
quando possível, as orientações e as sugestões contidas nos guias e nos manuais
aprovados pelo Comitê Interministerial de Governança - CIG.
§ 1º A Carteira de Políticas Públicas será publicada por meio de resolução do CGE.
§ 2º A Carteira poderá ser alterada mediante deliberação do Presidente do
CGE, a pedido das unidades finalísticas, a qualquer tempo, para as políticas a serem
realizadas naquele exercício.
§ 3º É vedada a realização de transferências voluntárias ou obrigatórias de
despesas finalísticas, sejam quais forem os instrumentos, como a abertura de programas
na Plataforma +Brasil, a celebração do Termo de Execução Descentralizada - TED, a
celebração de contrato em benefício de terceiros ou a publicação de editais de
chamamento, sem a respectiva vinculação à política pública incluída na carteira de
políticas públicas do Ministério.
§ 4º A Carteira contemplará as políticas a serem realizadas em razão de
emendas parlamentares, inclusive as de execução obrigatória.
Art. 4º O controle da Carteira de Políticas Públicas será apoiado pela Comissão
Técnica do Comitê de Governança Estratégica - CT-CGE, que produzirá informações e
realizará encaminhamentos de modo a fundamentar as manifestações do CGE.
§ 1º As unidades finalísticas informarão à CT- CGE a instituição, a ampliação
ou a extinção de políticas.
§ 2º Os órgãos específicos singulares do Ministério e a entidade vinculada,
responsável pela gestão de políticas públicas do Ministério apresentarão à CT- CGE
relatórios de monitoramento das políticas públicas, conforme cronograma e parâmetros
aprovados pela CT- CGE.
§ 3º Para fins de aplicação do disposto no caput, os relatórios serão alinhados
às informações pertinentes ao desempenho do Plano Plurianual - PPA e contemplarão, no
mínimo, as seguintes informações:
I - indicadores de monitoramento de execução da política pública; e
II - avaliação dos resultados da política pública e proposição de medidas
corretivas que reduzam falhas e promovam a eficiência.
ANEXO XIV
DA POLÍTICA DE GESTÃO DE RISCOS E CONTROLES INTERNOS
CAPÍTULO I
DISPOSIÇÕES GERAIS
Art. 1º A Política de Gestão de Riscos e Controles Internos - PGRCI será
executada, no âmbito do Ministério do Trabalho e Emprego, com a finalidade de
estabelecer princípios, diretrizes e responsabilidades mínimas a serem observados na
execução dos planos estratégicos, programas, projetos e processos.
Art. 2º A PGRCI e suas eventuais normas complementares, metodologias,
manuais e procedimentos aplicam-se aos órgãos de assistência direta e imediata ao
Ministro, aos órgãos específicos singulares e colegiados do Ministério, abrangendo
servidores, prestadores de serviço, colaboradores, estagiários, consultores externos e
quem, de alguma forma, desempenhe atividades no Ministério.
Parágrafo único. A entidade vinculada ao Ministério poderá adotar práticas de
gestão de riscos e de controle interno próprios, em observância às determinações e
diretrizes constantes no Decreto nº 9.203, de 22 de novembro de 2017, e desde que
alinhados com os princípios estabelecidos nos artigos 4º e 5º deste Anexo.
Art. 3º Para os efeitos deste Anexo XIV, entende-se por:
I - apetite a risco - nível de risco que o Ministério está disposto a aceitar;
II - atividade de controle interno - políticas e procedimentos adotados para
mitigar os riscos que a organização tenha optado por tratar, de modo a assegurar que
os objetivos sejam alcançados dentro dos padrões estabelecidos;
III - avaliação de risco - processo de análise quantitativa e qualitativa dos
riscos relevantes que podem impactar o alcance dos objetivos do Ministério, com a
indicação precisa da resposta apropriada, que contemple a identificação, a avaliação e a
resposta ao risco;
IV - consequência - resultado de evento que afeta positiva ou negativamente
os objetivos do Ministério;
V - controle - qualquer medida aplicada no âmbito do Ministério para
gerenciar os riscos e aumentar a probabilidade de que os objetivos e as metas
estabelecidos sejam alcançados;