PORTARIA SERES/MEC Nº 58, DE 11 DE MARÇO DE 2024

PORTARIA SERES/MEC Nº 58, DE 11 DE MARÇO DE 2024
A SECRETÁRIA DE REGULAÇÃO E SUPERVISÃO DA EDUCAÇÃO SUPERIOR, no uso
das atribuições que lhe confere o art. 27 do Decreto nº 11.342/2023, adotando os
fundamentos expressos na Nota Técnica nº 29/2024/CGSE/DISUP/SERES/SERES, nos autos
do Processo de Supervisão nº 23000.021807/2023-86, resolve:
Art. 1º Fica instaurado Procedimento Sancionador em face do curso superior de
tecnologia em Gestão Comercial na modalidade a distância (cód. e-MEC 1309101) ofertado
pela Faculdade de Ciências Sociais Aplicadas de Belo Horizonte - FACISABH (cód. e-MEC nº
2233), mantida pela Baiao Consultoria & Contabilidade Ltda (cód. e-MEC nº 1461), inscrita
no CNPJ sob o nº 73.581.118/0001-24.
CAPÍTULO VII
DO MODELO DE IMPLEMENTAÇÃO
Art. 20 A ETIR adotará o modelo misto para atuação no Ministério e será composta por:
I - Equipe Central: formada pelos Coordenadores-Gerais da Subsecretaria de
Tecnologia da Informação (STI), juntamente com o Gestor de Segurança da Informação deste
Ministério e pelas empresas responsáveis pela prestação de serviços terceirizados de, no mínimo,
infraestrutura de TIC, fábrica de software e Central de Operações de Segurança da Informação; e
II - Equipe Descentralizada: formada pelos agentes responsáveis nas unidades
administrativas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 21 A Equipe Central ficará responsável pela criação das estratégias,
gerenciamento e execução das atividades, distribuição de tarefas e notificações para a
equipe descentralizada.
Art. 22 Todos os padrões e procedimentos técnicos adotados pela equipe
central deverão ser documentados e homologados em um Banco de Dados que será a
base de conhecimentos de gestão de incidentes e da gestão de riscos de segurança da
informação, com acesso restrito à própria equipe e, quando necessário, aos órgãos
superiores em segurança da informação e proteção de dados e aos órgãos de controle.
CAPÍTULO VIII
DO MODELO DE ATUAÇÃO
Art. 23 As atividades da ETIR consistem na prevenção, no tratamento e na
resposta a incidentes cibernéticos.
Art. 24 A ETIR Central é responsável, dentre outros, pelos seguintes
serviços:
I - estudo de novas tecnologias - acompanhamento da evolução tecnológica e
da utilização de novas tecnologias, de novas técnicas de intrusão e de tendências
correlatas, para identificar novas possibilidades de ameaças;
II - emissão de orientações - informação ao público-alvo a respeito da
descoberta de novas tecnologias, de novas vulnerabilidades ou de novas ferramentas e
técnicas de intrusão, com impacto de médio a longo prazo, para permitir o
desenvolvimento de estratégias de proteção de seus ativos;
III - avaliação estratégica de segurança - revisão e análise de alto nível da
infraestrutura de segurança dos ativos de informação do Ministério; e
IV - orientação técnica - expedição de recomendações sobre como configurar
e manter, com segurança, ferramentas, aplicativos e a infraestrutura geral de computação
utilizada pelo Ministério.
Art. 25 A ETIR Descentralizada é responsável pelos seguintes serviços:
I - adoção de medidas necessárias visando cessar incidentes que estejam em
curso e representem risco à confidencialidade, integridade, disponibilidade e autenticidade
das informações e dos dados pessoais mantidas pelo Ministério;
II - auxílio na preparação, na proteção e na segurança do ambiente cibernético
em antecipação a problemas, ataques, ou incidentes;
III - monitoramento contínuo dos ativos de informação para busca permanente
de vulnerabilidades;
IV - detecção de intrusão e identificação de incidentes por mecanismos de monitoração;
V - disponibilização de informações geradas ou recebidas pela própria ETIR
para aperfeiçoar a segurança dos ativos de informação;
VI - recebimento, triagem, análise e resposta de incidentes ou eventos de segurança;
VII - análise da natureza, dos mecanismos, e dos impactos das vulnerabilidades
de hardware e de software;
VIII - desenvolvimento de procedimentos de detecção e reparo das
vulnerabilidades de hardware e de software;
IX - identificação de incidentes por mecanismos de monitoração;
X - emissão de alertas e de recomendações e envio de informações descrevendo
ocorrências de incidentes e ações de curto prazo para minimizar seus impactos;
XI - adoção de procedimentos para minimização do tempo entre a ocorrência
do incidente e sua detecção, e a consequente inicialização de ações de resposta;
XII - fornecimento à ETIR Central de informações relacionados aos seus serviços; e
XIII - atendimento de de demandas solicitadas pela ETIR Central.
§1º Alertas e recomendações poderão ser elaborados pela ETIR
Descentralizada, ou por ela redistribuídos, quando originados por terceiros especializados
em segurança cibernética, desde que autorizados pela ETIR Central.
§2º Os serviços da ETIR Descentralizada deverão estar disponíveis de forma ininterrupta.
§3º As atividades da ETIR seguirão o disposto no Plano de Gestão de Incidentes
Cibernéticos para a Administração Pública e as boas práticas relacionadas à gestão de
incidentes de segurança da informação.
CAPÍTULO IX
DA AUTONOMIA DA ETIR
Art. 26 A ETIR Central tem autonomia compartilhada, atuando em consonância
com o Gestor de Segurança da Informação no processo de tomada de decisão sobre a
adoção de medidas e recomendação de procedimentos a serem executados, bem como
sobre as medidas de recuperação após um ataque cibernético.
Parágrafo único. Os membros decisórios necessários às ações da ETIR Central
serão o Agente Responsável, o Gestor de Segurança e o Gestor de TI do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 27 Excepcionalmente, com o objetivo de cessar um incidente de segurança
da informação que esteja em curso ou na iminência de ocorrer, a ETIR (Central ou
Descentralizada) poderá tomar decisões de forma autônoma e em caráter emergencial.
Art. 28 Buscar, quando necessário, apoio da Rede de Incidentes Cibernéticos e
do Centro Integrado de Segurança Cibernética.
CAPÍTULO X
DAS DISPOSIÇÕES GERAIS
Art. 29 Quando solicitado com antecedência mínima de 7 (sete) dias, a ETIR
deverá apresentar, nas reuniões do Comitê de Governança Digital e Comitê Interno de
Governança, um resumo dos incidentes de segurança ocorridos na rede do Ministério e as
medidas adotadas para solucioná-los.
Art. 30 A ETIR Central deverá elaborar o Plano de Gestão de Vulnerabilidades
e o Plano de Gestão de Incidentes Cibernéticos, no prazo de até sessenta dias, a contar
da data vigência desta portaria.
Parágrafo único. Os planos citados no caput deverão servir de subsídio na
geração da base de conhecimento de incidentes cibernéticos deste Ministério.
Art. 31 As disposições apresentadas nesta portaria adotam como terminologia
o Glossário de Segurança da Informação do Gabinete de Segurança Institucional da
Presidência da República e observam os normativos legais e regulamentares vigentes.
Art. 32 A ETIR comporá a rede de equipes formada pelos órgãos e entidades
da administração pública federal, coordenada pelo Centro de Tratamento de Incidentes de
Redes do Governo do Gabinete de Segurança Institucional da Presidência da República.
Art. 33 Todos os servidores - incluindo terceirizados, que façam uso de quaisquer
ativos de informação, deverão assinar termo de responsabilidade e sigilo individual perante
o Ministério do Desenvolvimento e Assistência Social, Família e Combate à fome.
Art. 34 Esta Portaria entra em vigor na data de sua publicação.
JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS
Art. 2º A Diretoria de Supervisão da Educação Superior deverá informar aos
órgãos que representaram junto ao Ministério de Educação sobre esta decisão e notificar
a Faculdade de Ciências Sociais Aplicadas de Belo Horizonte - FACISABH (cód. e-MEC nº
2233), por meio eletrônico, pelo e-mail e pelo Sistema de Comunicação da Caixa de
Mensagens do e-MEC, para que a IES apresente defesa, no prazo de 15 (quinze) dias, nos
termos do parágrafo único do art. 71 do Decreto nº 9.235/2017.
MARTA ABRAMO