RESOLUÇÃO ANM Nº 205, DE 14 DE MAIO DE 2025

RESOLUÇÃO ANM Nº 205, DE 14 DE MAIO DE 2025
Atualiza a Política de Segurança da Informação
(PSI) da Agência Nacional de Mineração
A DIRETORIA COLEGIADA DA AGÊNCIA NACIONAL DE MINERAÇÃO - ANM, no
uso das atribuições que lhe são conferidas pelo art. 11, § 1º, inciso I, da Lei nº 13.575,
de 26 de dezembro de 2017, art. 9º, inciso VI, da Estrutura Regimental da ANM,
aprovado na forma do Anexo I do Decreto nº 9.587, de 27 de novembro de 2018, pela
Resolução ANM nº 181, de 03 de outubro de 2024, tendo em vista os autos do
processo nº 48051.008434/2024-64 e a deliberação da Diretoria Colegiada em sua 333ª
Reunião Administrativa, resolve:
Art. 1º Atualizar a Política de Segurança da Informação - PSI, que estabelece
os princípios, diretrizes, responsabilidades e práticas para a proteção das informações
da Agência Nacional de Mineração. A Política visa garantir a confidencialidade,
integridade e disponibilidade das informações, assegurando o seu uso adequado e a
mitigação de riscos à segurança da informação.
CAPÍTULO I
DO ESCOPO
Art. 2º Esta Política se aplica a todos os ativos de informação da ANM,
incluindo dados, sistemas, aplicativos, dispositivos e redes, assim como a presente
política se aplica a todos os colaboradores, funcionários, contratados, parceiros e
terceiros que acessam ou processam as informações da ANM.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 3º Para fins desta Resolução, entende-se por:
I - PSI: sigla utilizada para o documento aprovado pela autoridade
responsável da ANM, com o objetivo de fornecer diretrizes, critérios e suporte
administrativo suficientes à implementação da segurança da informação na
Autarquia;
II - Segurança da informação: : ações que objetivam viabilizar e assegurar a
disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;
III - Comunicação: conjunto de recursos tecnológicos destinados a transmitir
ou replicar informações;
IV - Disponibilidade: propriedade de que a informação esteja acessível e
utilizável sob demanda por uma pessoa física ou determinado sistema, órgão ou
entidade;
V - Integridade: propriedade de que a informação não foi modificada,
inclusive quanto à origem e ao destino, ou destruída de maneira não autorizada ou
acidental;
VI - Confidencialidade: propriedade de que a informação classificada quanto
ao grau de sigilo, ou de acesso restrito, não esteja disponível ou revelada à pessoa
física, sistema, órgão ou entidade não autorizado e credenciado;
VII - Autenticidade: propriedade de que a informação foi produzida,
expedida, modificada ou destruída por determinada pessoa física, ou por determinado
sistema, órgão ou entidade;
VIII - Gestão de segurança da informação e comunicações: ações e métodos
que visam à integração das atividades de gestão de riscos, gestão de continuidade do
negócio, tratamento de incidentes, tratamento da informação, conformidade,
credenciamento, segurança cibernética, segurança física, segurança lógica, segurança
orgânica e segurança organizacional aos processos institucionais, não se limitando,
portanto, à tecnologia da informação e comunicações;
IX - Tratamento da informação: recepção, produção, reprodução, utilização,
acesso, transporte, transmissão, distribuição, armazenamento, eliminação e controle da
informação, inclusive das classificadas quanto ao grau de sigilo;
X - Quebra de segurança: ação ou omissão, intencional ou acidental, que
resulta no comprometimento da segurança da informação e das comunicações; e
XI - Ativos de informação: compreende os meios de armazenamento,
transmissão e processamento da informação, os equipamentos necessários a isso, os
sistemas utilizados para tal, os locais onde se encontram esses meios e os recursos
humanos que a eles têm acesso.
XII - Proprietário de ativos de informação - unidade organizacional
responsável por gerenciar determinado segmento de informação e todos os ativos em
meio físico ou digital relacionados;
XIII - Custodiante de ativos de informação - qualquer indivíduo ou estrutura
de órgão ou entidade da Administração Pública Federal, direta e indireta, que tenha
responsabilidade formal ou decorrente de suas atividades profissionais de proteger a
informação que não lhe pertence e aplicar os níveis de controles de segurança em
conformidade com as exigências de SI comunicadas pelo proprietário da informação
CAPÍTULO III
DOS PRINCÍPIOS
Art. 4º As ações relacionadas com a Segurança da Informação na ANM
serão norteadas pelos seguintes princípios:
I - Disponibilidade, integridade, confidencialidade e autenticidade das
informações;
II - Continuidade dos processos e serviços essenciais para o funcionamento
da ANM;
III - Respeito ao acesso à informação, à proteção de dados pessoais e à
proteção da privacidade;
IV - Observância da publicidade como preceito geral e do sigilo como
exceção;
V - Responsabilidade do usuário de informação pelos atos que
comprometam a segurança dos ativos de informação;
VI - Alinhamento estratégico da Política de Segurança da Informação com o
planejamento estratégico da ANM, assim como demais normas específicas de segurança
da informação da Administração Pública Federal;
VII - Conformidade das normas e das ações de segurança da informação
com a legislação regulamentos aplicáveis; e
VIII - Educação e comunicação como alicerces fundamentais para o fomento
da cultura e segurança da informação.
CAPÍTULO IV
DAS DIRETRIZES GERAIS
Art. 5º Os servidores e colaboradores da ANM devem seguir as boas
práticas de segurança da informação, participar das capacitações oferecidas e cumprir
as normas e procedimentos estabelecidos pela ANM.
Art. 6º Cada colaborador ou servidor ativo na ANM deverá manter os
processos sob sua responsabilidade aderentes às políticas, normas e procedimentos
específicos de Segurança da Informação e Comunicações da ANM, tomando as ações
necessárias para cumprir tal responsabilidade.
Art. 7º Para uma efetiva implementação da PSI deverão ser previstas ações
de divulgação, conscientização e educação quanto ao conteúdo do normativo, entre
todos os colaboradores e servidores da ANM.
Art. 8º São valores e diretrizes gerais da PSI:
I - Segurança focada na instituição: garantir segurança tanto aos sistemas no
ambiente tecnológico quanto aos meios convencionais de processamento, comunicação
e armazenamento em papel;
II - Informação é patrimônio: considerar que toda e qualquer informação
gerada, adquirida, utilizada ou armazenada pela ANM é patrimônio da instituição e
deve ser protegida quanto aos aspectos de confidencialidade, autenticidade,
integridade e disponibilidade;
III - Proteção compatível com riscos: dimensionar e aplicar os investimentos
necessários em medidas de segurança, segundo o valor do ativo que está sendo
protegido e de acordo com a identificação de risco de potenciais prejuízos e de
impacto na reputação para o negócio, a atividade fim e os objetivos institucionais;
IV - Tratamento conforme classificação: tratar todas as informações a partir
da classificação de segurança, aplicada de maneira a serem adequadamente protegidas
quanto ao seu acesso e uso;
V - Responsabilização baseada na credencial: responsabilizar, com base no
uso da credencial, que se caracteriza por ser pessoal e intransferível, qualificando
aquele que se encontra formalmente associado a ela como responsável por todas as
atividades desenvolvidas em seu uso, sendo pré-requisito para a liberação da
credencial o preenchimento de um termo de responsabilidade;
VI - Utilização restrita às atividades: administrar o acesso e o uso da
informação e dos ativos de informação de acordo com as atribuições necessárias para
o cumprimento das atividades institucionais. Qualquer outra forma de uso necessitará
de prévia autorização;
VII - Utilização orientada à segurança: permitir somente o uso de ativos de
informação homologados e autorizados pela ANM, desde que sejam identificados de
forma individual, protegidos, inventariados, com documentação atualizada e estando de
acordo com a legislação em vigor;
VIII - Autorização definida pelos gestores: definir acessos e cancelar acessos
aos recursos e aos locais restritos com base na solicitação do gestor de cada Unidade
Organizacional - UORG, que também é responsável pelos ativos disponibilizados para
uso;
IX - Segregação de funções: segregar a administração e execução de funções
ou áreas de responsabilidade críticas para o negócio, evitando o controle de um
processo na sua totalidade, visando à redução do risco de mau uso acidental ou
deliberado;
X - Educação: promover continuamente ações educativas sobre segurança da
informação e comunicações aos servidores e colaboradores para que realizem suas
atividades na instituição de forma segura, utilizando procedimentos que minimizem os
riscos e que possibilitem o uso correto dos ativos e ferramentas de informação, com
destaque para os serviços de correio eletrônico e acesso à internet;
XI - Auditoria: monitorar e auditar, pela área competente da ANM, a
implementação e o cumprimento da Política de Segurança da Informação. Consultorias
externas especializadas poderão ser utilizadas para avaliação da PSI e de seu
cumprimento;
XII - Continuidade aplicada aos serviços: planejar e definir estratégias para
reduzir a um nível aceitável a possibilidade de interrupção causada por desastres ou
falhas nos recursos que suportam os processos de trabalho. O resultado desse
planejamento deve ser documentado, testado e revisado conforme a necessidade,
assegurados os recursos necessários à sua implementação;
XIII - Notificação imediata de incidentes: notificar o incidente imediatamente
ao superior hierárquico que, sem prejuízo dos encaminhamentos necessários à
apuração de responsabilidades, dará ciência do fato à Equipe de Tratamento e
Resposta a Incidentes em Redes Computacionais - ETIR;
XIV - Monitoramento contínuo de segurança: a infraestrutura de TI e os
sistemas aplicativos serão monitorados continuamente quanto a atividades suspeitas e
possíveis violações de segurança; e
XV - Uso apropriado: todos os usuários da infraestrutura e dos sistemas da
ANM estarão sujeitos às políticas e requisitos de uso apropriados da informação e seus
ativos.
CAPÍTULO V
DAS NORMAS E PROCEDIMENTOS ESPECÍFICOS
Art. 9º As normas e procedimentos específicos, necessários à
implementação da PSI, serão sugeridas pela Superintendência de Tecnologia da
Informação e Inovação (STI) e validadas pelo Comitê Geral de Governança - CGG da
ANM (instituído pela RESOLUÇÃO ANM Nº 171, DE 1º DE JULHO DE 2024), e
posteriormente aprovadas pela Diretoria Colegiada da ANM.
Parágrafo único. Para cada um dos princípios e diretrizes relacionadas nesta
política devem ser observadas a pertinência na elaboração de procedimentos,
orientações e/ou manuais que disciplinem ou facilitem o entendimento da PSI.
CAPÍTULO VI
DAS COMPETÊNCIAS E RESPONSABILIDADES
Seção I
Do Comitê Geral de Governança
Art. 10 O Comitê Geral de Governança - CGG da ANM (instituído pela