RESOLUÇÃO SUSEP Nº 45, DE 17 DE OUTUBRO DE 2024 (parte 2 de 2)

Art. 40. É vedada a conexão de equipamentos particulares à rede de dados da
Susep, salvo em caso de comprovada necessidade e anuência da área de TI.
Art. 41. A área de TI poderá suspender o acesso de qualquer equipamento à
rede da Susep, sem aviso prévio, sempre que for constatada violação das normas de
utilização e de segurança da rede.
Art. 42. O uso de recursos criptográficos deverá ser considerado no trânsito e
no armazenamento de dados sigilosos, de acordo com a sua classificação.
Seção X
Da Segurança Física e do Ambiente
Art. 43. A segurança física dos equipamentos e os mecanismos de proteção às
instalações físicas e áreas de processamento de informações deverão ser protegidas
contra acesso indevido, danos e interferências, em resposta aos riscos identificados.
Art. 44. A unidade responsável pela segurança organizacional e corporativa
deverá implementar perímetros de segurança a fim de garantir proteção e separação
entre ambientes internos e externos.
Art. 45. As áreas seguras serão protegidas por controles apropriados de
entrada para assegurar que somente pessoas autorizadas tenham acesso.
Art. 46. A Administração da Susep poderá, a seu critério, estabelecer condições
adicionais específicas para o acesso de seus agentes públicos a áreas e instalações
específicas, tais como necessidade de acompanhamento e autorizações de acesso
especiais.
Art. 47. Os visitantes, ao acessar áreas e instalações da Susep, serão
autorizados e acompanhados durante a sua permanência desde o acesso até a saída, por
agente público da Susep.
Parágrafo único. Esse acesso deverá ser registrado.
Seção XI
Dos recursos humanos
Art. 48. A Susep buscará o aperfeiçoamento e a atualização contínua de seus
agentes públicos em Segurança da Informação, principalmente os envolvidos diretamente
na gestão desta.
Art. 49. Fica facultado à Susep contratar consultorias especializadas para
assessoramento do CSI no desempenho de suas atividades.
CAPÍTULO VII
DAS PENALIDADES
Art. 50. O descumprimento às normas estabelecidas no âmbito da Posin
sujeitará o agente público às sanções e obrigações previstas na regulamentação interna e
na legislação em vigor.
CAPÍTULO VIII
DAS COMPETÊNCIAS E RESPONSABILIDADES
Art. 51. Compete ao Conselho Diretor:
I -promover a simplificação administrativa, a modernização da gestão pública e
a integração dos serviços públicos, especialmente aqueles prestados por meio eletrônico,
com vistas à segurança da informação;
II - monitorar o desempenho e avaliar a concepção, a implementação e os
resultados desta política e das normas internas de segurança da informação;
III - incorporar padrões elevados de conduta para a garantia da segurança da
informação e orientar comportamento dos agentes públicos, em consonância com as
funções e as atribuições da Autarquia;
IV - estabelecer diretrizes para o planejamento e execução de programas, de
projetos e de processos relativos à segurança da informação;
V - estabelecer diretrizes para o processo de gestão de riscos de segurança da
informação;
VI - observar as normas que estabelecem requisitos e procedimentos para a
segurança da informação publicadas pelo Gabinete de Segurança Institucional da
Presidência da República;
VII - implementar controles internos fundamentados na gestão de riscos da
segurança da informação;
VIII - instituir uma estrutura de processos e controles para a gestão de
segurança da informação;
IX -implantar mecanismo de comunicação imediata sobre a existência de
vulnerabilidades ou incidentes de segurança que impactem ou possam impactar os
serviços prestados pela Susep;
X -observar as normas e os procedimentos específicos aplicáveis, implementar
e manter mecanismos, instâncias e práticas de governança da segurança da informação
em consonância com os princípios e as diretrizes estabelecidos na legislação; e
XI -assegurar a manutenção da existência do Comitê de Segurança da
Informação, levando em consideração o que consta da Resolução Susep nº 31, de 2023,
ou de ato normativo que venha a substituí-la.
Art. 52. Compete ao Superintendente:
I - designar para a função de Gestor de Segurança da informação um entre os
um servidor público civil ocupante de cargo efetivo, ou militar de carreira, com formação
ou capacitação técnica compatível com as atribuições; e
II -designar ao menos um servidor efetivo, militar de carreira ou empregado
público como responsável pela avaliação de conformidade.
Art. 53. Compete à área de recursos humanos:
I - notificar a área de TI sobre qualquer afastamento, desligamento, alteração
de cargo, função ou lotação de agentes públicos da Susep; e
II - promover a capacitação dos agentes públicos nas normas de Segurança da
Informação adotadas pela Susep.
Parágrafo único. As ações decorrentes das alterações de pessoal mencionadas
no inciso I serão definidas em normas ou procedimentos específicos.
Art. 54. Compete à área de TI:
I -implantar ações técnicas para assegurar integridade, disponibilidade,
confidencialidade e autenticidade de informações armazenadas em meio digital no âmbito
da Susep;
II - encaminhar solicitação dos recursos necessários para implantação da Posin,
no limite de suas atribuições, à Autoridade competente para as providências cabíveis;
III - prestar assessoria técnica aos gestores de ativos e ao CSI nos temas
relacionadas à TI;
IV - monitorar o uso dos recursos computacionais; e
V -Promover o aperfeiçoamento constante de seu corpo técnico quanto às
boas práticas e tecnologias de Segurança da Informação.
Art. 55. Compete aos titulares de unidades:
I -indicar as necessidades de treinamento dos agentes públicos lotados na
unidade pela qual é responsável nas normas de Segurança da Informação vigentes;
II - indicar as necessidades de concessão e revogação de credenciais de acesso
para os agentes públicos em atividade na unidade de sua responsabilidade;
III - identificar e classificar os ativos de informação sob sua gestão por nível de
criticidade;
IV - identificar potenciais ameaças aos ativos de informação;
V - identificar e comunicar vulnerabilidades dos ativos de informação;
VI - consolidar informações resultantes da análise do nível de segurança da
informação de cada ativo de informação ou de grupos de ativos de informação em um
relatório;
VII - autorizar a atualização do relatório mencionado no inciso VI;
VIII - avaliar os riscos dos ativos de informação ou do grupo de ativos de
informação;
IX - avaliar e, em caso de necessidade, aprovar as solicitações de acesso aos
ativos sob sua gestão; e
X -promover o aperfeiçoamento constante de seu corpo técnico quanto às
boas práticas e tecnologias de Segurança da Informação.
Art. 56. Compete aos usuários:
I - conhecer e observar a Posin bem como suas normas complementares;
II - informar imediatamente ao CSI qualquer evento, confirmado ou sob
suspeita, relativo à Segurança da Informação;
III - informar imediatamente à Etir qualquer evento relacionado à segurança
cibernética;
IV - zelar pelo sigilo de suas credenciais de acesso lógico aos ativos de
informação da Susep;
V - comunicar a perda ou comprometimento de suas credenciais de acesso;
VI - responder pela quebra de segurança ocorrida com a utilização de suas
credenciais de acesso; e
VII - observar, na manipulação e uso de ativos, as medidas especiais de
segurança compatíveis com seu grau de sigilo, em conformidade com a legislação vigente
e normas complementares adotadas pela Susep.
CAPÍTULO IX
DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 57. A Posin será complementada por normas, procedimentos e outros
documentos pertinentes, os quais serão considerados partes integrantes desta política.
Art. 58. Será providenciada a inclusão das cláusulas de que trata o art. 10 nos
contratos vigentes na data de publicação desta Resolução, por meio de termos aditivos, na
ocorrência de eventual prorrogação contratual.
Art. 59. As propostas de alteração ou criação de normas internas sobre
Segurança da Informação deverão ser encaminhadas ao CSI.
Art. 60. Após a publicação desta Resolução, o CSI deverá dar ampla divulgação
da Posin a todos os agentes públicos, inclusive por meio da intranet.
Art. 61. A Posin deverá ser revisada, sempre que se fizer necessário, não
excedendo ao período de 3 (três) anos.
Art. 62. Fica revogada a Deliberação Susep nº 171, de 19 de março de
2015.
Art. 63. Esta Resolução entra em vigor na data de sua publicação.
ALESSANDRO SERAFIN OCTAVIANI LUIS