PORTARIA ANM Nº 1507, DE 21 DE DEZEMBRO DE 2023, tem como missão receber,

PORTARIA ANM Nº 1507, DE 21 DE DEZEMBRO DE 2023, tem como missão receber,
analisar e propor respostas a notificações e realização de ações e medidas necessárias
para reforçar a resposta ou a postura da organização, na recuperação de incidentes
cibernéticos.
Art. 30 Compete à ETIR:
I - o tratamento de incidentes e artefatos maliciosos;
II - o tratamento de vulnerabilidades na rede da ANM;
III - a emissão de alertas e advertências, em resposta a um incidente de
segurança ocorrido;
IV - o anúncio aos usuários sobre vulnerabilidades identificadas e formas de
mitigá-las;
V - a prospecção de novas tecnologias relativas à segurança da informação; e
VI - a avaliação da infraestrutura de segurança.
Parágrafo único. Deve ser mantido o registro de todos os incidentes notificados
ou detectados, com a finalidade de assegurar o registro histórico das atividades da
ETIR.
Art. 31 Os usuários da rede devem, por meio da caixa corporativa
[email protected], informar à ETIR sobre quaisquer incidentes ou vulnerabilidades de
segurança que tomarem conhecimento no ambiente tecnológico da ANM.
Seção IV
Acesso de usuários externos ao ambiente de rede corporativa da ANM
Art. 32 A disponibilização de serviços da rede corporativa interna da ANM para
usuários externos deverá ser solicitada pelas áreas demandantes à STI, mediante a
apresentação de:
I - Justificativa detalhada para o acesso solicitado;
II - Período de acesso necessário;
III - Identificação completa dos usuários externos que terão acesso;
IV - Termo de sigilo e conformidade com as normas de segurança e uso da
ANM, assinado pelos usuários externos.
§ 1º As solicitações serão analisadas pela STI, com base nos seguintes
critérios:
a) Imprescindibilidade do acesso para a execução das tarefas justificadas;
b) Avaliação de riscos à cibersegurança da rede corporativa da ANM;
c) Adequação às políticas e normas de segurança institucional.
§ 2º Caberá à STI a decisão final quanto à aprovação e liberação do acesso
solicitado, podendo definir condições específicas ou negar o pedido caso os riscos
superem os benefícios apresentados.
Seção V
Acesso à Rede sem fio corporativa da ANM
Art. 33 A ANM proverá, para os usuários de sua rede corporativa, acesso à
internet por meio de rede sem fio, disponível nas dependências da Agência.
§ 1º Os usuários que possuem conta de acesso, deverão utilizar a mesma
conta para utilizar a rede sem fio;
§ 2º Durante a realização de eventos, poderá ser disponibilizada aos
participantes mediante solicitação prévia à STI, rede específica para acesso temporário à
internet.
Seção VI
Solicitação de Acesso aos Registros de Auditoria (logs)
Art. 34 Poderão ser mantidos registros de auditoria (logs) para os sistemas
específicos, conforme necessidade levantada durante o desenvolvimento do referido
sistema, e registros de auditoria gerais para monitorar as atividades da rede,
contemplando:
I - acesso à rede corporativa;
II - acesso à internet; e
III - utilização de VPN.
Art. 35 Os registros de auditoria poderão ser solicitados à STI pela autoridade
competente ou pela Diretoria Colegiada, resguardados os aspectos relativos à privacidade
de dados, devendo ser devidamente justificados e formalizados.
Art. 36 Os registros de auditoria gerados pelos sistemas específicos poderão
ser solicitados pelo respectivo proprietário do ativo da informação ou pelo chefe da
unidade organizacional correspondente, devendo ser devidamente justificados e
formalizados.
Parágrafo único. Caso seja necessário, poderão ser também solicitadas à STI
auditorias técnicas específicas para dirimir eventuais dúvidas quanto à integridade dos
dados armazenados.
CAPÍTULO V
CÓPIA DE SEGURANÇA (BACKUP) E RETENÇÃO DE DADOS
Art. 37 Os arquivos definidos como de necessária salvaguarda na ANM terão
suas cópias de segurança executadas seguindo a Política de Backup formalmente aprovada
no âmbito da Autarquia.
CAPÍTULO VI
USO SEGURO DAS REDES SOCIAIS INSTITUCIONAIS DA ANM
Art. 38 O uso seguro das redes sociais em que a ANM esteja inserida deve
estar alinhado tanto à PSI quanto aos objetivos estratégicos da organização.
Art. 39 Os perfis institucionais mantidos nas redes sociais existentes devem,
preferencialmente, ser administrados e gerenciados por equipes integradas
exclusivamente por servidores da ANM. Quando não for possível, a equipe pode ser mista,
desde que sob a coordenação e responsabilidade de um servidor ou empregado
público.
Art. 40 É vedada a terceirização completa da administração e da gestão de
perfis institucionais da ANM nas redes sociais.
Art. 41 A ANM deve nomear um servidor público para a função de Agente
responsável pela gestão do uso seguro de cada perfil institucional nas redes sociais.
Art. 42 Os servidores responsáveis pela gestão das contas da ANM em redes
sociais devem adotar boas práticas de segurança na administração desses acessos,
assegurando a proteção contra acessos indevidos e preservando a integridade da imagem
institucional.
§ 1º Sempre que possível, as seguintes medidas devem ser observadas:
I - Utilização de senhas de alta complexidade;
II - Ativação de autenticação de duplo fator (2FA);
III - Proibição de compartilhamento de senhas com pessoas não diretamente
envolvidas nas atividades de gestão dessas contas.
§ 2º As senhas das contas em redes sociais devem ser trocadas regularmente,
com periodicidade semelhante à estabelecida para as contas corporativas da ANM,
visando a padronização e o reforço da segurança.
CAPÍTULO VII
DA GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO
Art. 43 As áreas responsáveis por ativos de informação devem implantar
processos contínuos de gestão de riscos, os quais serão aplicados na implementação e
operação da gestão de segurança da informação e comunicações da ANM.
Parágrafo único. A gestão de riscos de tecnologia da informação deve avaliar
os riscos relativos à segurança dos ativos de informação e a conformidade com exigências
regulatórias ou legais vigentes.
Art. 44 A gestão de riscos de segurança da informação e comunicações será
regulamentada por uma norma específica na ANM, que deve utilizar como base a Norma
Complementar nº 04/IN01/DSIC/GSIPR, que fornece as diretrizes para o processo de
Gestão de Riscos de Segurança da Informação e Comunicações, ou por norma específica
que esteja vigente.
CAPÍTULO VIII
DA CLASSIFICAÇÃO DA INFORMAÇÃO
Art. 45 Informações geradas, adquiridas ou custodiadas pela ANM devem
possuir classificação para indicar a necessidade, a prioridade e o nível esperado de
proteção quanto ao seu tratamento, de acordo com a Lei de Acesso à Informação (LAI),
Lei nº 12.527/2011.
Parágrafo único. Quando classificadas, serão observadas as exigências das
atividades da organização, considerando as implicações que um determinado grau de
classificação trará para os seus objetivos institucionais observando a legislação em
vigor.
CAPÍTULO IX
DAS DIRETRIZES PARA A AQUISIÇÃO E DESENVOLVIMENTO DE SOFTWARE
Art. 46 A STI deve estabelecer critérios de segurança da informação para a
aquisição, desenvolvimento e manutenção de softwares na ANM.
Parágrafo único. As diretrizes para um software seguro devem seguir o que
está descrito na Norma Complementar nº 16/IN01/DSIC/GSIPR, que estabelece tais
critérios para os órgãos e entidades da Administração Pública Federal, direta e indireta, ou
por outra norma equivalente posterior.
CAPÍTULO X
DA PRIVACIDADE DOS DADOS PESSOAIS
Art. 47 A Política de Privacidade de Dados da ANM é regulamentada pela