PORTARIA MDS Nº 967, DE 11 DE MARÇO DE 2024

PORTARIA MDS Nº 967, DE 11 DE MARÇO DE 2024
O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL,
FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o artigo 87,
parágrafo único, inciso II, da Constituição Federal, e o disposto no inciso VII, art. 15 do
Decreto nº 9.637, de 26 de dezembro de 2018, alterado pelo Decreto 10.641, de 2 de
março de 2021, que institui a Política Nacional de Segurança da Informação, dispõe sobre
a governança da segurança da informação, resolve:
Art. 1º Instituir, no âmbito do Ministério do Desenvolvimento e Assistência Social,
Família e Combate à Fome, a Equipe de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos (ETIR), designar os integrantes, além de definir as atribuições, os serviços a serem
prestados, modelo de implementação, público-alvo, autonomia, estrutura organizacional e
escopo de atuação e demais exigências relacionadas ao desempenho de suas atividades.
CAPÍTULO I
DA MISSÃO DA ETIR
Art. 2º A ETIR possui como missão planejar, coordenar e executar atividades de
prevenção, tratamento e resposta a incidentes cibernéticos no âmbito deste Ministério,
em observância à política de segurança da informação e aos processos de gestão de riscos
de segurança da informação do Ministério.
CAPÍTULO II
DAS COMPETÊNCIAS
Art. 3º À ETIR cabe:
I - administrar políticas de segurança e ações estabelecidas pelo Comitê Interno
de Governança e pelo Comitê de Governança Digital;
II - facilitar e coordenar as atividades de prevenção, tratamento e resposta a
incidentes de segurança;
III - promover a recuperação dos ativos de informação envolvidos nos
incidentes de segurança cibernética;
IV - agir proativamente com o objetivo de evitar que ocorram incidentes
cibernéticos, divulgando práticas e recomendações de segurança da informação e
avaliando condições de segurança dos ativos de informação por meio de atividades tais
como verificações de conformidade, atividades de inteligência de ameaças cibernéticas,
testes de intrusão e análise de vulnerabilidades;
V - realizar ações reativas que incluem recebimento de notificações de
incidentes, orientação de equipes no reparo a danos e análise de sistemas comprometidos
buscando causas, danos e responsáveis, em conformidade com a legislação vigente e boas
práticas sobre o tema;
VI - analisar ataques e intrusões nos ativos de informação do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome;
VII - planejar as ações necessárias para tratar quebras de segurança e
acompanhar a equipe técnica na execução destas ações;
VIII - obter informações quantitativas acerca dos incidentes ocorridos que descrevam,
dentre outros, sua natureza, causas, data de ocorrência, frequência e custos resultantes;
IX - cooperar com outras equipes de Tratamento e Resposta a Incidentes Cibernéticos;
X - participar em fóruns, redes nacionais e internacionais relativos à Segurança
da Informação, Segurança Cibernética e Proteção de Dados Pessoais;
XI - conduzir com diligência, exercendo práticas de segurança e identificando
vulnerabilidades, assim fazendo com que incidentes de segurança da informação sejam evitados;
XII - contribuir, acompanhar e documentar todos os incidentes referentes à
Segurança Cibernética, e quando necessário remeter os incidentes ao CTIR.gov, ao
CISC.GOV e à ANPD, conforme orientações daqueles órgãos;
XIII - acompanhar e documentar atividades técnicas referentes à Segurança Cibernética;
XIV - monitorar, junto aos responsáveis pelos ativos de informação e equipes
técnicas, todo incidente relacionado à Segurança Cibernética;
XV - apresentar relatórios referentes aos incidentes e contratos relacionados à
Segurança Cibernética ao Comitê Interno de Governança deste Ministério e Comitê de
Governança Digital;
XVI - criar e manter canal de comunicação com a Secretaria de Segurança da
Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da
República - SSIC/GSI/PR, com o Centro de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos de Governo (CTIR.gov), com o Centro Integrado de Segurança Cibernética (CISC)
da Secretaria de Governo Digital e com a Agência Nacional de Proteção de Dados (ANPD);
XVII - criar a rede ETIR-MDS circunscrevendo todo o contexto do Ministério e
integrando a ETIR Central e a ETIR descentralizada;
XVIII - fornecer suporte e resposta auxiliando os usuários no tratamento e na
resposta aos incidentes de segurança cibernética;
XIX - realizar as atividades de prevenção, de tratamento e de resposta a
incidentes cibernéticos em seu âmbito de atuação;
XX - apoiar a condução da Política de Segurança da Informação - POSIN nas
atividades relacionadas à gestão de incidentes;
XXI - priorizar a continuidade dos ativos e serviços corporativos de TI;
XXII - cumprir o previsto no Plano de Gestão de Vulnerabilidades e no Plano de
Gestão de Incidentes Cibernéticos;
XXIII - apoiar o Gestor de Segurança da Informação nos contatos com os
órgãos competentes relacionados à segurança da informação e cibernética, gestão de
incidentes e proteção de dados pessoais;
XXIV - comunicar ao CTIR Gov, imediatamente, de acordo com seu modelo de
atuação, a ocorrência de incidentes de segurança cibernética, conforme os requisitos
definidos por aquele Centro;
XXV - manter uma base de conhecimento sobre os registros, ações de contenção
e recuperação, bem como as lições aprendidas relacionados aos incidentes cibernéticos;
XXVI - disponibilizar, quando solicitados, relatórios sobre as atividades de sua
competência ao CIG, CGD, gestor de segurança da informação, encarregado de proteção
de dados ou ao gestor de TI do Ministério do Desenvolvimento e Assistência Social,
Família e Combate à Fome;
XXVII - integrar e cooperar com a Rede de Prevenção, Tratamento e Resposta
a Incidentes cibernéticos (RegSIC) e equipes equivalentes de segurança da informação de
acordo com os protocolos de cooperação estabelecidos;
XXVIII - participar de eventos relativos à segurança da informação e segurança cibernética;
XXIX - subsidiar o Agente Responsável, o Gestor de Segurança, o Encarregado
de Proteção de dados, o Gestor de TI, o Comitê de Governança Digital e o Comitê Interno
de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate
à Fome com informações e evidências coletadas em apurações quando da suspeita de
ocorrências de quebras de segurança e/ou violações de segurança da informação; e
XXX - propor ações de capacitação relacionadas à segurança cibernética.
Art. 4º Ao Coordenador-Geral de Governança de Tecnologia da Informação cabe:
I - definir o Agente Responsável pela ETIR com atribuições de gerência,
distribuições de demandas e organizações estruturais;
II - propor recursos necessários à capacitação dos membros da ETIR;
III - promover a capacitação dos membros da ETIR, aprimorando
conhecimentos técnicos na ação do tratamento dos Incidentes de Segurança da
informação;
IV - proporcionar que a ETIR funcione como uma rede interna e que suporte ações
relacionadas atividades propostas, designando atribuições e ocupações para os representantes
das áreas setoriais que possuam atribuições de Tecnologia da Informação deste Ministério;
V - assegurar que os incidentes relacionados à Segurança Cibernético no
ambiente deste Ministério sejam inspecionados e registrados em uma base de
conhecimento sobre os incidentes de segurança da informação para auxiliar estudos,
análises, decisões e comunicação com os órgãos competentes;
VI - garantir que haja um canal nas comunicações entre os envolvidos no
tratamento dos incidentes de segurança e equipes governamentais;
VII - propor alterações nas composições, autonomias, modelos de
implementações e estrutura organizacional da ETIR; e
VIII - propor procedimentos e ações, quando necessário, de adequações e
alterações na POSIN;
Art. 5º Ao Coordenador-Geral de Gestão de Dados e Informações cabe:
I - sugerir e prescrever ações nos incidentes de segurança da informação
relacionados a bases de dados; e
II - analisar, examinar e agir na contenção de incidentes de segurança
relacionado a bases de dados.
Art. 6º Ao Coordenador-Geral de Sistemas cabe:
I - sugerir e prescrever ações nos incidentes de segurança da informação
relacionados aos sistemas corporativos; e
II - analisar, examinar e agir na contenção de incidentes de segurança
relacionado aos sistemas corporativos.
Art. 7º Ao Coordenador-Geral de Infraestrutura cabe:
I - garantir as atualizações quanto aos incidentes de segurança da informação,
mantendo de forma atualizada as situações no tratamento com relatórios para subsidiar
a base de conhecimento sobre incidentes de segurança da informação do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome;
II - proceder com ações ativas e reativas nos incidentes relacionados aos ativos
de redes, estações de trabalho e equipamentos de TI do Ministério;
III - preconizar ações em providências e recuperação do ambiente pós incidente;
IV - promover estudos e análise dos incidentes de Segurança da Informação em
todo o ambiente institucional apresentando regularmente relatórios relacionados a
eventos e incidentes de segurança da informação, apresentando as ações implementadas
e propostas de melhorias nos ativos de informação; e
V - As responsabilidades serão destinadas para os coordenadores que, quando
estiverem impedidos das suas atribuições na ETIR, os substitutos deverão assumir as obrigações.
Art. 8º Cabe ao Agente Responsável pela ETIR:
I - chefiar e gerenciar a equipe de prevenção, tratamento e resposta a
incidentes cibernéticos;
II - cumprir o estabelecido na legislação relacionada ao tema Segurança da
Informação no seu âmbito de atuação; e
III - comunicar a ocorrência de incidentes de segurança cibernética aos órgãos
competentes de acordo com as orientações daqueles órgãos.
Art. 9º Cabe ao Gestor de Segurança da Informação:
I - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos;
II - avaliar o Plano de Gestão de Incidentes Cibernéticos;
III - avaliar o Plano de Gestão de Vulnerabilidades;
IV - subsidiar as comunicações com os órgãos competentes;
V - apresentar, quando solicitado, os resultados das atividades da ETIR ao
Comitê de Governança Digital e ao Comitê Interno de Governança do Ministério; e
VI - informar aos órgãos competentes sobre a necessidade da adoção de
procedimentos legais, cíveis, disciplinares ou administrativos em razão da existência de
indícios de ilícitos criminais, abuso ou negligência no tratamento de incidentes cibernéticos.
Art. 10 Cabe aos agentes responsáveis pelas unidades administrativas do Ministério:
I - informar imediatamente à ETIR a ocorrência de incidentes de segurança cibernética.
Parágrafo único. O Agente Responsável pela ETIR Central poderá atribuir outras
responsabilidades para que os membros da ETIR Descentralizada exerçam atividades de
forma proativa.
CAPÍTULO III
DO PÚBLICO-ALVO
Art. 11 A ETIR atenderá aos usuários dos ativos de informação institucional
vinculados aos órgãos de assistência direta e imediata ao Ministro e aos órgãos específicos
singulares e colegiados que integram o Comitê Interno de Governança e o Comitê de
Governança Digital.
Art. 12 A ETIR emitirá informativos sobre novas vulnerabilidades e novas
atualizações utilizando os seguintes meios de comunicação: e-mails informativos,
publicações, intranet, além de feedback dos incidentes tratados.
CAPÍTULO IV
DA COMUNICAÇÃO
Art. 13 A comunicação dos incidentes de segurança nos ativos de informação
à ETIR será feita por meio de:
I - e-mail, pelo endereço: [email protected];
II - contato telefônico via central de suporte e atendimento ao usuário (61)
2030-1500 para usuários do Ministério;
III - correspondências oficiais (memorandos, ofícios);
IV - pessoalmente, em casos emergenciais; e
V - ferramental tecnológico, eventos detectados pelo monitoramento da
ETIR.
CAPÍTULO V
DO REGISTRO DE INCIDENTES CIBERNÉTICOS
Art. 14 Todo incidente de segurança cibernética deve ser registrado e utilizado
na composição de uma base de conhecimento sobre incidentes cibernéticos,
preferencialmente em software específico, homologado pelo Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome, por membro da equipe
central da ETIR que procederá com a consolidação das informações. Caso o incidente ocorra
no período de plantão ou que o membro da ETIR não esteja presente, o registro ficará a
cargo do Coordenador de Operações da Subsecretaria de Tecnologia da Informação.
CAPÍTULO VI
DA ESTRUTURA DA ETIR
Art. 15 A ETIR deve atuar em rede, sendo composta pela STI, unidades
administrativas e as áreas de Tecnologia da Informação descentralizadas.
Art. 16 A estrutura da ETIR deve ter nível de técnico adequado às suas
funções, de forma proativa, sobre a orientação e fiscalização do Agente responsável pela
equipe.
Art. 17 Ficam designados os seguintes servidores para compor a ETIR
Central:
I - Titular;
II - Suplente;
III - Coordenador-Geral de Gestão de Governança de Tecnologia da Informação;
IV - Coordenador(a) de Planejamento;
V - Coordenador-Geral de Infraestrutura;
VI - Coordenador(a) de Operações;
VII - Coordenador-Geral de Sistemas;
VIII - Coordenador(a) de Qualidade de Sistemas;
IX - Coordenador-Geral de Gestão de Dados e Informações;
X - Coordenador de Qualidade de Dados;
XI - Agente Responsável pela Unidade Administrativa; e
XII - Indicado pelo gestor da unidade na composição do CGDMDS.
Art. 18 Considerando a Política de Governança do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome, bem como as instâncias
que compõem o arranjo de governança interna, ficam os membros designados para
compor o Comitê de Governança Digital como agentes responsáveis pela ETIR
descentralizada e seus respectivos suplentes das unidades administrativas do Ministério.
Art. 19 A critério do Agente Responsável pela ETIR , poderão ser convidados
prepostos, técnicos e especialistas dos fornecedores e prestadores de serviços, empresas
públicas e academias para integrarem a ETIR Descentralizada.
Parágrafo único. A lista com o nome, cargo, e-mail e telefone de contato dos
integrantes da ETIR deverá ser mantida atualizada pelo Agente Responsável pela ETIR e
disponibilizada, quando necessário, às autoridades competentes.