PORTARIA MCID Nº 600, DE 25 DE JUNHO DE 2024 (parte 2 de 2)

ANEXO
REGIMENTO INTERNO DA ESTRUTURA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO
CAPÍTULO I
DA ESTRUTURA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO
SEÇÃO I - DAS DISPOSIÇÕES GERAIS
Art. 1º A Estrutura de Gestão de Segurança da Informação - EGSI, aprovada
pela Instrução Normativa GSI/PR nº 1 de 1 de 27 de maio de 2020, rege-se por este
Regimento Interno e pelas disposições legais aplicáveis.
Art. 2º Para fins do disposto neste Regimento Interno:
I - ativos de informação: meios de armazenamento, transmissão e
processamento da informação, equipamentos necessários a isso, sistemas utilizados para
tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e
conhecimento ou dado que tem valor para um indivíduo ou organização;
II - controle de privacidade: conjunto de medidas que visam implementar
práticas e técnicas gerenciais para a proteção de dados pessoais em ativos de informação;
III - controle de segurança da informação: conjunto de medidas que visam
implementar práticas técnicas e gerenciais para assegurar a disponibilidade, a integridade,
a confidencialidade e a autenticidade das informações;
IV - proteção de dados pessoais, nos termos do inciso LXXIX do art. 5º da
Constituição da República Federativa do Brasil de 1988: ações que visam proteger direitos
e liberdades fundamentais das pessoas naturais, entre eles a sua privacidade, inclusive em
meios digitais;
V - privacidade: direito à inviolabilidade da intimidade, da vida privada, da
honra e da imagem das pessoas, nos termos do inciso X do art. 5º da Constituição da
República Federativa do Brasil de 1988;
VI - segurança cibernética: também conhecido por cibersegurança, são ações
voltadas para a segurança de operações, visando garantir que os sistemas de informação
sejam capazes de resistir a eventos no espaço cibernético, capazes de comprometer a
disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados
armazenados, processados ou transmitidos e dos serviços que esses sistemas ofereçam ou
tornem acessíveis; e
VII - segurança da informação: ações que objetivam viabilizar e assegurar a
disponibilidade, a integridade, a confidencialidade e a autenticidade das informações.
Parágrafo único. A Secretaria Executiva do CSI será exercida pela Coordenação-
Geral de Tecnologia da Informação.
SEÇÃO II - DOS OBJETIVOS
Art. 3º São objetivos da Estrutura de Gestão de Segurança da Informação:
I - Fomentar a cultura de Segurança da Informação;
II - Orientar as ações de relacionadas à Segurança da Informação e dados
custodiados pelo Ministério das Cidades;
III - Contribuir para preservação da memória do Ministério da Cidades;
IV - Fomentar a formação e qualificação dos recursos humanos da área de
Segurança da Informação do Ministério das Cidades; e
V - Contribuir para a garantia da proteção de dados pessoais custodiados no
Ministério das Cidades.
SEÇÃO III - DA ORGANIZAÇÃO
Art. 4º Compõem a Estrutura de Gestão de Segurança da Informação do
Ministério das Cidades:
I - Gestor de Segurança da Informação, que o coordenará;
II - Comitê de Segurança da Informação; e
III - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos.
CAPÍTULO II
GESTOR DE SEGURANÇA DA INFORMAÇÃO
SEÇÃO I - DAS DISPOSIÇÕES GERAIS
Art. 5º O Gestor de Segurança da Informação será designado dentre os
servidores públicos civis ocupantes de cargo efetivo e militares de carreira do órgão ou
entidade, com formação ou capacitação técnica compatível às suas atribuições.
Art. 6º O Gestor de Segurança da Informação será indicado pela Autoridade
Máxima da Pasta.
SEÇÃO II - DAS COMPETÊNCIAS
Art. 7º O Gestor de Segurança da Informação, nos termos da Instrução
Normativa nº 1 de 27 de maio de 2020, é responsável por:
I - planejar, implementar e melhorar continuamente os controles de segurança
da informação em ativos de informação, no âmbito do Ministério das Cidades; (Redação
dada pela Portaria SGD/MGI nº 852, de 28 de março de 2023);
II - coordenar o Comitê de Segurança da Informação;
III - coordenar a elaboração da Política de Segurança da Informação e das normas
internas de segurança da informação do Ministério das Cidades, observadas as normas afins
exaradas pelo Gabinete de Segurança Instrucional da Presidência da República;
IV - assessorar a alta administração na implementação da Política de Segurança
da Informação;
V - estimular ações de capacitação e de profissionalização de recursos humanos
em temas relacionados à segurança da informação;
VI - promover a divulgação da política e das normas internas de segurança da
informação do Ministério das Cidades a todos os servidores, usuários e prestadores de
serviços que trabalham no órgão;
VII - incentivar estudos de novas tecnologias, bem como seus eventuais
impactos relacionados à segurança da informação;
VIII - propor recursos necessários às ações de segurança da informação;
IX - coordenar a instituição, implementação e manutenção da infraestrutura
necessária à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR;
X - acompanhar os trabalhos da ETIR;
XI - verificar os resultados dos trabalhos de auditoria sobre a gestão da
segurança da informação;
XII - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da segurança da informação; e
XIII - manter contato direto com o Departamento de Segurança da Informação
do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos
à segurança da informação.
CAPÍTULO III
COMITÊ DE SEGURANÇA DA INFORMAÇÃO
SEÇÃO I - DAS DISPOSIÇÕES GERAIS
Art. 8º Fica instituído o Comitê de Segurança da Informação - CSI, no âmbito do
Ministério das Cidades, que tem como finalidade deliberar sobre os assuntos relativos à
Política Nacional de Segurança da Informação, conforme previsto no inciso II do art. 15 da
Instrução Normativa nº 1 de 27 de novembro de 2019.
SEÇÃO II - DA COMPOSIÇÃO
Art. 9º O CSI será composto por:
I - o Gestor de Segurança da Informação, que o coordenará;
II - um representante do Gabinete do Ministro;
III - um representante da Secretaria Executiva;
IV - um representante de cada secretaria finalística;
V - o Coordenador-Geral de Tecnologia da Informação; e
VI - o Encarregado pelo Tratamento de Dados Pessoais.
SEÇÃO III - DAS ATRIBUIÇÕES
Art. 10 O CSI, conforme definido no art. 20 da Instrução Normativa nº 1 de 27
de novembro de 2019, possui as seguintes atribuições:
I - assessorar a implementação das ações de segurança da informação;
II - constituir grupos de trabalho para tratar de temas e propor soluções
específicas sobre segurança da informação;
III - participar da elaboração da Política de Segurança da Informação e das
normas internas de segurança da informação;
IV - propor alterações à Política de Segurança da Informação e às normas
internas de segurança da informação; e
V - deliberar sobre normas internas de segurança da informação.
SEÇÃO IV - DO COORDENADOR
Art. 11 Compete ao Coordenador do Comitê:
I - presidir a reunião;
II - definir a pauta da reunião do Plenário, ouvidos os demais integrantes do Comitê;
III - submeter as matérias constantes da pauta à discussão e, quando
necessário, à votação;
IV - solicitar aos órgãos ou entidades que não compõem o Comitê a indicação
de representantes para participar das reuniões do colegiado, sem direito a voto;
V - convidar especialistas que possam contribuir para esclarecimentos de
matérias de interesse do Comitê;
VI - propor ao Plenário a criação de grupos de trabalhos; e
VII - determinar a publicação de resoluções em Boletim Interno;
SEÇÃO V - DOS INTEGRANTES
Art. 12 Compete aos integrantes do CSI:
I - comparecer às reuniões quando convocados;
II - solicitar estudo, informação e proposta sobre temas específicos a serem
submetidos ao Plenário;
III - propor a participação de órgãos, entidades e especialistas que possam
contribuir para esclarecimento de assunto de interesse do Comitê nas reuniões do
Colegiado, sem direito a voto;
IV - propor ao Plenário a criação de grupos de trabalho; e
V - acompanhar as ações relativas à execução das deliberações do Comitê.
SEÇÃO VI - DO FUNCIONAMENTO
Art. 13 As reuniões do Comitê Gestor da Segurança da Informação ocorrerão,
em primeira convocação, com a presença da maioria simples de seus componentes ou, 15
(quinze) minutos após a hora estabelecida, em segunda convocação, com a presença
mínima de 1 (um) terço de seus membros.
Art. 14 As sessões de deliberações do Comitê obedecerão à seguinte ordem:
I - verificação do quórum;
II - aprovação da pauta e da ordem em que as matérias serão apreciadas;
III - aprovação da ata anterior; e
IV - análise das matérias sujeitas à deliberação.
Art. 15 A deliberação das matérias obedecerá a seguinte ordem:
I - o Coordenador concederá a palavra ao integrante que encaminhou a matéria
objeto de discussão, que a relatará;
II - terminada a exposição, a matéria será colocada em discussão; e
III - encerrada a discussão e não havendo consenso, o Coordenador
encaminhará a matéria à votação.
Parágrafo único. O Colegiado deliberará, quando não houver consenso, por
maioria simples de seus membros titulares ou suplentes presentes à reunião, mediante
votação nominal e aberta, cabendo ao Coordenador o voto regular e o de qualidade, em
caso de empate.
Art. 16 Qualquer membro do Plenário poderá propor ao Coordenador, com
antecedência mínima de 10 (dez) dias da data prevista para a reunião, convite a
especialistas e representantes de órgãos e entidades que possam contribuir para
esclarecimento sobre matéria de interesse do Comitê.
Parágrafo único. Os membros convidados participarão das reuniões apenas nos
momentos pertinentes aos seus respectivos temas, sem direito a voto.
Art. 17 O Plenário deliberará por maioria simples de seus membros titulares ou
suplentes presentes, considerando um voto para cada órgão integrante do Comitê,
cabendo ao Coordenador do colegiado, além do voto ordinário, o voto de qualidade em
caso de empate.
Art. 18 As deliberações aprovadas no Plenário serão publicadas em Boletim
Interno, na forma de Resoluções, pela Secretaria Executiva.
Art. 19 O documento de convocação deverá constar:
I - a pauta da reunião;
II - a ata da reunião anterior;
III - a minuta dos documentos a serem apreciados pelo Comitê; e
IV - a relação dos órgãos, entidades, ou especialistas convidados, quando for o caso.
Art. 20 A convocação da reunião ordinária deverá ocorrer com antecedência
mínima de 15 (quinze) dias da data de sua realização.
Art. 21 É facultado a qualquer membro do Comitê apresentar proposta de
inclusão de tema em pauta, desde que encaminhada à Coordenação do Comitê com
antecedência mínima de 10 (dez) dias da data programada com cópia para os demais
membros titulares.
Parágrafo único. As manifestações contrárias às propostas de inclusão de tema
deverão ser remetidas pelos membros titulares para análise da Coordenação do Comitê até
5 (cinco) dias antes da data da reunião.
Art. 22 Os registros das reuniões do Plenário serão lavrados em atas que
informarão o local, a data da realização, os nomes dos membros titulares ou suplentes
presentes, bem como, dos demais participantes e convidados, com o respectivo resumo
dos assuntos apresentados, as decisões tomadas e as deliberações do Comitê.
Parágrafo único. A Secretaria Executiva do Comitê confeccionará as atas das
reuniões e encaminhará cópias, em até 5 (cinco) dias úteis, a todos os integrantes.
Art. 23 Os membros do Comitê de Segurança da Informação se reunirão
presencialmente ou por meio de videoconferência.
CAPÍTULO IV
EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES CIBERNÉTICOS
SEÇÃO I - DAS DISPOSIÇÕES INICIAIS
Art. 24 Para fins deste regimento, consideram-se as seguintes definições
I - Agente responsável: Servidor Público ocupante de cargo efetivo ou militar de
carreira de órgão ou entidade da Administração Pública Federal, direta ou indireta
incumbido de chefiar e gerenciar a Equipe de Tratamento e Resposta a Incidentes em
Redes Computacionais;
II - Artefato malicioso: é qualquer programa de computador, ou parte de um
programa, construído com a intenção de provocar danos, obter informações não
autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores;
III - Comunidade ou Público-alvo: é o conjunto de pessoas, setores, órgãos ou
entidades atendidas por uma Equipe de Tratamento e Resposta a Incidentes em Redes
Computacionais;
IV - CTIR GOV: Centro de Tratamento e Resposta a Incidentes de Segurança em
Redes de Computadores da Administração Pública Federal, subordinado ao Departamento
de Segurança de Informação e Comunicações - DSIC do Gabinete de Segurança Institucional
da Presidência da República - GSI;
V - Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR: Grupo de
pessoas com a responsabilidade de receber, analisar e responder às notificações e
atividades relacionadas a incidentes de segurança em redes de computadores;
VI - Incidente de segurança: é qualquer evento adverso, confirmado ou sob
suspeita, relacionado à segurança dos sistemas de computação ou das redes de
computadores;
VII - Serviço: é o conjunto de procedimentos, estruturados em um processo bem
definido, oferecido à comunidade da Equipe de Tratamento e Resposta a Incidentes Cibernéticos;
VIII - Tratamento de Incidentes de Segurança Cibernéticos: é o serviço que
consiste em receber, filtrar, classificar e responder às solicitações e alertas e realizar as
análises dos incidentes de segurança, procurando extrair informações que permitam
impedir a continuidade da ação maliciosa e também a identificação de tendências; e
IX - Vulnerabilidade: é qualquer fragilidade dos sistemas computacionais e
redes de computadores que permitam a exploração maliciosa e acessos indesejáveis ou
não autorizados
Art. 25 Cabe ao Gestor de Segurança da Informação e ao Comitê de Segurança
da Informação a responsabilidade por coordenar a instituição, implementação e
manutenção da infraestrutura necessária à ETIR.
SEÇÃO II - DA MISSÃO
Art. 26 A ETIR do Ministério das Cidades tem como missão prioritária facilitar e
coordenar as atividades de tratamento e resposta a incidentes em redes computacionais,
receber e notificar qualquer evento adverso, confirmado ou sob suspeita, relacionado à
segurança dos sistemas de computação ou das redes de computadores.
Art. 27 A ETIR atuará, desejavelmente, também de forma proativa com o
objetivo de minimizar o risco de que as vulnerabilidades sejam exploradas por ameaças e
venham a comprometer o negócio da Instituição a fim de contribuir para a adequada
prestação dos serviços do Ministério.
SEÇÃO III - DA COMUNIDADE OU PÚBLICO-ALVO
Art. 28 São considerados como comunidade, ou público-alvo, o conjunto de
pessoas, setores, órgãos ou entidades atendidas pela ETIR do Ministério das Cidades ou das
redes de terceiros as quais estão sendo usadas pela organização.
SEÇÃO IV - DO MODELO DE IMPLEMENTAÇÃO
Art. 29 O modelo de implementação no qual essa ETIR se baseia é o "Modelo
4 - Combinado ou Misto", descrito na subseção 7.4 da Norma Complementar 5 da
Instrução Normativa 1 do Gabinete de Segurança Institucional da Presidência da República,
de 14 de agosto de 2009.
Art. 30 No Modelo 4 - Combinado ou Misto - existirá uma ETIR Central e
equipes distribuídas pelo Ministério.
Art. 31 A ETIR Central será a responsável por criar as estratégias, gerenciar as
atividades e distribuir as tarefas entre as equipes descentralizadas, além de ser a
responsável, perante toda a organização, pela comunicação com o CTIR GOV.
Art. 32 As equipes distribuídas serão responsáveis por implementar as
estratégias e exercer suas atividades em suas respectivas áreas de responsabilidade.
SEÇÃO V - DA ESTRUTURA ORGANIZACIONAL
Art. 33 A ETIR ficará subordinada à Coordenação-Geral de Tecnologia da
Informação (CGTI/SPOA/SE).
Art. 34 Para que seja efetiva em sua missão, a ETIR terá competência para
solicitar informações e providências das empresas contratadas, prestadoras de serviços de
TI, atuando assim como moderador e coordenador dos serviços.
Art. 35 Serão definidos em portaria o Agente Responsável, os membros
titulares e substitutos da ETIR.
Art. 36 Compete ao Agente Responsável pela ETIR:
I - dimensionar a ETIR, de acordo com as necessidades institucionais;
II - submeter a indicação dos membros da ETIR e respectivos substitutos à
aprovação do Gestor de Segurança da Informação;
III - coordenar as atividades da Equipe de Prevenção, Tratamento e Resposta a
Incidentes Cibernéticos;
IV - interagir com organismos externos de respostas a incidentes,
principalmente com o Centro de Tratamento e Resposta a Incidentes de Segurança em
Redes de Computadores da Administração Pública Federal - CTIR GOV; e
V - assistir diretamente o Comitê de Segurança da Informação e o Gestor de
Segurança da Informação.
Art. 37. Compete aos membros da ETIR e aos substitutos, quando necessário:
I - prestar os serviços aos quais a ETIR se propõe a prestar;
II - definir e documentar metodologia e procedimentos internos para o
tratamento e resposta a incidentes;
III - criar as estratégias de resposta a incidentes de rede, elaborar
procedimentos de resposta para incidentes previamente conhecidos, gerenciar e atribuir as
atividades para a equipe distribuída;
IV - auxiliar o Gestor de Segurança da Informação na tomada de decisão;
V - garantir que os incidentes na rede de computadores do Ministério das
Cidades sejam monitorados;
VI - adotar procedimentos para assegurar que os usuários comuniquem incidentes
de segurança da informação obtenham informações acerca das ações executadas;
VII - auxiliar em treinamentos relacionados à Segurança da Informação, no que
se refere à prevenção e combate a incidentes em redes computacionais;
VIII - recolher tempestivamente as provas quando da ocorrência de um
incidente de rede computacional;
IX - executar uma análise crítica sobre os registros de falha para assegurar que
foram satisfatoriamente resolvidas;
X - investigar as causas dos incidentes nas redes computacionais e sistemas de informação; e
XI - indicar a necessidade de controles aperfeiçoados ou adicionais para limitar
a frequência, os danos e o custo de futuras ocorrências de incidentes.
Parágrafo único. Os membros bem como o Agente Responsável deverão
designar o tempo necessário para o desempenho das tarefas da ETIR e atuação nas
ocorrências e incidências de riscos relacionadas à Segurança da Informação.
SEÇÃO VI - DA AUTONOMIA DA ETIR
Art. 38 A ETIR poderá conduzir o seu público-alvo para realizar ações ou
medidas necessárias para reforçar a resposta ou a postura da organização na recuperação
de incidentes de segurança.
Art. 39 Durante um incidente de segurança, desde que justificável, a Equipe
poderá tomar decisões para executar medidas de recuperação, sem necessidade de
aguardar a aprovação de instâncias superiores de gestão.
Parágrafo único. As decisões de que trata o Art. 37 deverão ser precedidas de
homologação do CSI.
SEÇÃO VII - DOS SERVIÇOS
Art. 40 A ETIR prestará os seguintes serviços:
I - condução do tratamento de Incidentes de Segurança em ambientes cibernéticos;
II - promoção do tratamento de artefatos maliciosos;
III - promoção do tratamento de vulnerabilidades;
IV - emissão de alertas e advertências relacionados a incidentes de segurança
da informação;
V - prospecção ou monitoração de novas tecnologias;
VI - avaliação de segurança do ambiente de tecnologia da informação; e
VII - disseminação de informações relacionadas à segurança da informação.
CAPÍTULO V
DAS DISPOSIÇÕES FINAIS
Art. 41 As atividades desenvolvidas no âmbito da EGSI serão consideradas como
serviço de natureza relevante e não remunerado.
Art. 42 O presente Regimento Interno poderá ser alterado mediante votação de
proposta apresentada por qualquer um de seus membros do CSI, desde que aprovada por,
no mínimo, dois terços de seus integrantes.