RESOLUÇÃO ANM Nº 206, DE 14 DE MAIO DE 2025

RESOLUÇÃO ANM Nº 206, DE 14 DE MAIO DE 2025
Estabelece as regras e procedimentos específicos
para a Política de Segurança da Informação (PSI) da
Agência Nacional de Mineração.
A DIRETORIA COLEGIADA DA AGÊNCIA NACIONAL DE MINERAÇÃO - ANM, no
uso das atribuições que lhe são conferidas pelo art. 11, § 1º, inciso I, da Lei nº 13.575,
de 26 de dezembro de 2017, art. 9º, inciso VI, da Estrutura Regimental da ANM, aprovado
na forma do Anexo I do Decreto nº 9.587, de 27 de novembro de 2018, pela Resolução
ANM nº 181, de 03 de outubro de 2024; tendo em vista os autos do processo nº
48051.008434/2024-64 e a deliberação da Diretoria Colegiada em sua 333ª Reunião
Administrativa, resolve:
Art. 1º Aprovar as regras e procedimentos específicos para a Política de
Segurança da Informação - PSI, no âmbito da Agência Nacional de Mineração - ANM.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º Para efeitos desta Resolução, são estabelecidos os significados dos
seguintes termos e expressões:
I - Acesso: Ato de ingressar, conhecer ou consultar a informação, bem como a
possibilidade de utilizar os ativos de informação da organização;
II - Acesso Privilegiado: Nível elevado de permissões concedido a usuários
específicos (como administradores de sistema) que permite controle total ou parcial sobre
configurações críticas, gerenciamento de usuários e recursos sensíveis do sistema;
III - Ameaça: Conjunto de fatores externos ou causa potencial de um incidente
indesejado que pode resultar em dano à um sistema ou serviço de tecnologia da
informação na organização;
IV - Artefato malicioso: Qualquer programa de computador, ou parte de um
programa, construído com a intenção de provocar danos, obter informações não
autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores;
V - Ativos de informação: Conjunto de recursos computacionais, infraestrutura
de armazenamento, processamento e transmissão de dados, incluindo sistemas,
equipamentos, instalações físicas e recursos humanos autorizados;
VI - Colaborador: Indivíduo com vínculo funcional (terceirizado ou estagiário)
autorizado a acessar recursos da ANM;
VII - Conta de acesso: permissão lógica, expressa por meio de usuário e senha,
que habilita determinada pessoa a acessar os sistemas e recursos de Tecnologia da
Informação da ANM;
VIII - Correio eletrônico: sistema usado para criar, transmitir e receber
mensagem eletrônica e outros documentos digitais por meio de rede de computadores;
IX - Documento: unidade de registro de informações, qualquer que seja o
suporte ou formato;
X - Equipe de tratamento e resposta a incidentes em redes computacionais -
ETIR: Unidade especializada responsável pela detecção, análise, contenção e resposta a
incidentes de segurança cibernética;
XI - Incidente de segurança da informação: Qualquer evento adverso,
confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das
redes de computadores;
XII - Links: Palavra, expressão ou imagem que permite o acesso imediato à
outra parte de um mesmo texto, ou de outro documento, bastando ser acionado pelo
ponteiro do mouse. Quando o link é expresso na forma de uma palavra ou expressão
(também denominado hiperlink ou hipertexto), ele vem sublinhado ou grafado em cor
distinta da utilizada para o resto do texto;
XIII - Proprietário do ativo de informação: Servidor ou unidade organizacional
responsável primário pela viabilidade e sobrevivência do ativo de informação (Ref. NC
10/IN01/DSIC/GSIPR);
XIV - Protocolo de transferência de arquivos (File Transfer Protocol - FTP):
Protocolo utilizado para transferir arquivos através de redes computacionais, incluindo a
Internet;
XV - Registros de auditoria (logs): Registro dos eventos relevantes ocorridos em
um sistema computacional ou uma rede de computadores, utilizado para restabelecer o
estado original ou para que o administrador conheça o seu comportamento no
passado;
XVI - Site: Conjunto de documentos escritos em linguagem HTML, pertencentes
a um mesmo endereço (URL), disponível na Internet;
XVII - Software: Programa ou aplicativo de computador;
XVIII - Central de Serviços de TI: Equipe de colaboradores responsável pelas
orientações e soluções de problemas de baixa complexidade relativas à Tecnologia da
Informação;
XIX - Usuário: Servidor Público ou Colaborador habilitado para fazer uso de
uma conta de acesso;
XX - Malware: É a abreviação de "malicious software" que é um código
malicioso projetado para comprometer a segurança, exfiltrar dados ou degradar o
desempenho dos sistemas;
XXI - Antivírus: Programa de proteção do computador que detecta e elimina os
vírus nele existentes, assim como impede sua instalação e propagação;
XXII -Teletrabalho: Modalidade de trabalho realizada fora das dependências
físicas da Agência, utilizando recursos tecnológicos para desempenhar atividades
profissionais remotamente;
XXIII -MFA/2FA (Autenticação Multifator/Duplo Fator de Autenticação): Método
de segurança que exige duas ou mais formas de verificação (como senha e código gerado
por determinado aplicativo para smartphone) para confirmar a identidade de um usuário
ao acessar determinados sistemas ou serviços, e;
XXIV -VPN (Rede Virtual Privada): Tecnologia que cria uma conexão segura e
criptografada entre o dispositivo do usuário e a rede corporativa, permitindo acesso
remoto a serviços e sistemas de maneira protegida.
Art. 3º Cabe à Superintendência de Tecnologia da Informação e Inovação - STI,
prover a infraestrutura tecnológica necessária para implementação da PSI e de suas regras
e procedimentos.
Art. 4º Cabe à STI definir processos de trabalho visando o monitoramento do
cumprimento das regras e procedimentos específicos da PSI.
§ 1º Representantes de outras unidades organizacionais poderão ser solicitados
pela STI para elaborar processos de trabalho a serem definidos para a PSI.
CAPÍTULO II
DO CONTROLE DE ACESSO DO USUÁRIO
Seção I
Contas de acesso ao ambiente de rede corporativa da ANM
Art. 5º Cada usuário abrangido por esta PSI receberá, após o devido
credenciamento pela Superintendência de Tecnologia da Informação e Inovação - STI, uma
conta de acesso única, pessoal e intransferível.
§ 1º O fornecimento da conta de acesso será realizado pela STI, no qual
constarão os dados cadastrais do usuário e os recursos de TI que deverão ser fornecidos
(ex.: caixa de correio eletrônico, acesso a pasta de arquivos compartilhados, dentre
outros).
§ 2º O usuário deverá assinar o "Termo de Responsabilidade e Sigilo" (Anexo
I), no qual declara ter conhecimento da PSI e suas normas correlatas.
§ 3º O nome de usuário seguirá a nomenclatura padronizada pelas regras de
formação de nomes para a composição de endereço eletrônico (e-mail) no Governo
Federal, composto pelo nome seguido de ponto e de um sobrenome.
Art. 6º As contas de acesso à rede corporativa da ANM deverão ser protegidas
obrigatoriamente por autenticação de duplo fator (2FA), cuja implementação, condições e
métodos serão definidos pela STI, considerando as melhores práticas de segurança e as
necessidades institucionais.
Art. 7º Os colaboradores poderão receber conta de acesso, desde que o acesso
à rede corporativa da ANM seja imprescindível à execução de suas atividades, a critério
do gestor do contrato relacionado, seguindo o mesmo procedimento definido no art.
5º.
§ 1º A solicitação deverá conter dados cadastrais e o período que o
colaborador desempenhará suas atividades.
§ 2º Caso o colaborador seja desligado da empresa contratada antes do prazo
estabelecido na ativação da conta, o gestor do contrato deverá informar o desligamento
à STI para o bloqueio imediato daquela conta de acesso.
Art. 8º A STI será responsável por definir e implementar os procedimentos
relacionados ao cadastramento, composição, padrão e periodicidade de troca das senhas
dos usuários de TIC da ANM, observando as melhores práticas de cibersegurança e
acompanhando a evolução tecnológica e as ameaças emergentes.
Seção II
Bloqueio das contas de acesso ao ambiente de rede corporativa da ANM
Art. 9º As contas de acesso serão bloqueadas nas seguintes situações:
I - após 5 (cinco) tentativas de acesso sequenciais malsucedidas;
II - ausência de acesso à rede da ANM superior a 60 (sessenta) dias; e,
III - em casos de suspeita de infração à PSI, mediante determinação da
Superintendência de Tecnologia da Informação e Inovação - STI.
§ 1º O desbloqueio da conta de acesso, sem alteração da senha, deverá ser
solicitado junto à Central de Serviços de TI da ANM.
§ 2º No caso de servidor em licença ou afastamento, previstos na Lei n.º
8112/90, cujo prazo seja superior ao estabelecido no inciso II, do caput, a
Superintendência de Gestão de Pessoas informará à STI para aplicação de exceção à regra
específica de bloqueio da conta.
Seção III
Desativação das contas de acesso ao ambiente de rede corporativa da ANM
Art. 10 A desativação das contas de acesso do servidor ou colaborador será
realizada pela STI, nos seguintes casos:
I - desligamento da ANM;
II - ausência de acesso à rede da ANM superior a 90 (noventa dias);
III - término do contrato de trabalho;
IV - falecimento; ou
V - descumprimento das normas de segurança estabelecidas na PSI.
§ 1º As contas desativadas terão seus dados associados, incluindo logs de
acesso, armazenados de forma segura por período compatível com as normas legais e
regulatórias, garantindo a rastreabilidade necessária para processos administrativos,
correcionais ou policiais.
§ 2º A exclusão definitiva de dados vinculados às contas de acesso somente
poderá ocorrer após o prazo de guarda regulamentar e mediante análise de riscos e
conformidade legal.
Seção IV
Teletrabalho
Art. 11 Os usuários, em regime de teletrabalho, são responsáveis por
providenciar e manter os recursos tecnológicos necessários para a execução de suas
atividades fora do parque tecnológico da ANM.
§ 1º Essa responsabilidade inclui a garantia de que os recursos tecnológicos
utilizados atendam aos requisitos e normas de segurança da ANM, conforme orientações
da STI.
§ 2º A STI é a responsável por fornecer as especificações mínimas e suporte
orientativo para auxiliar os usuários no cumprimento dessas responsabilidades, garantindo
a continuidade das atividades institucionais com segurança e eficiência.
Seção V
Procedimentos durante os afastamentos de servidores e/ou colaboradores
Art. 12 A SGP deverá comunicar previamente à STI, sobre aqueles servidores
em licença ou afastamento, previstos na Lei n.º 8112/90, cujo prazo seja superior a 60
(sessenta) dias, para que sejam tomadas as seguintes providências:
I - os arquivos de trabalho armazenados no computador local e nas pastas
corporativas deverão ser movidos para que fiquem disponíveis à última unidade
organizacional do servidor; e
II - os computadores desktop e notebooks, caso tenham sido disponibilizados
ao usuário, deverão ser devolvidos à ANM, onde serão formatados e destinados a nova
distribuição, ressalvados os casos previstos no §2º do art. 9º.
Seção VI
Autorização de acesso às contas de usuários
Art. 13 O acesso de terceiros à conta de usuário e conteúdo a ela associado
será permitido somente em casos específicos de indício de descumprimento dos termos
desta Política ou de outros normativos relacionados, apurado em procedimento
administrativo, assegurando-se o direito ao contraditório e à ampla defesa.
Parágrafo único: Em caso de falecimento do usuário, a conta poderá ser
acessada por familiares diretos, mediante solicitação formal à ANM, exclusivamente para
a cópia dos arquivos pessoais armazenados nas máquinas corporativas, respeitando-se as
normas de segurança e privacidade vigentes.
Seção VII
Gestão de acesso privilegiado
Art. 14 Os acessos privilegiados, como VPN, perfis de administrador de rede ou
administrador local de computadores e outros similares, terão sua concessão restrita e
dependerão de solicitação formal da chefia imediata do usuário à STI, que será
responsável por avaliar e autorizar, com base na justificativa técnica apresentada e na
necessidade estritamente técnica, de cibersegurança e funcional.
CAPÍTULO III
RESPONSABILIDADES E RECOMENDAÇÕES AO USUÁRIO
Seção I
Responsabilidades do Usuário
Art. 15 A conta de acesso disponibilizada ao usuário é pessoal e intransferível,
sendo seu titular o único e total responsável pelas ações e danos que venham a ser
ocasionados por mau uso do serviço.
Art. 16 É vedada a utilização da conta de acesso e dos recursos de TI
corporativos para receber de forma consentida, armazenar e enviar/encaminhar
mensagens contendo:
I - códigos maliciosos, conteúdo potencialmente perigoso, tais como arquivos
executáveis, vírus, Cavalos de Tróia ou qualquer outro tipo de programa danoso;
II - materiais com conteúdo obsceno, ilegal, antiético, ofensivo ou que
incentivem a violência, discriminação ou preconceito ou que façam sua apologia;
III - conteúdos tendentes a comprometer a intimidade de usuários ou a
imagem institucional;
IV - materiais protegidos por leis de propriedade intelectual;
V - materiais com objetivos comerciais, particulares e anúncios publicitários; e
VI - materiais de natureza político-partidária ou sindical, que promova a eleição
de candidatos para cargos públicos eletivos, clubes, associações e sindicatos.
Art. 17º Caracterizam-se como utilização indevida dos recursos de tecnologia
da informação as seguintes ações:
I - ataque, monitoração ou acesso não autorizado aos recursos de tecnologia
da informação da organização ou de redes externas, utilizando recursos da organização ou
outros meios;
II - instalação de softwares ou equipamentos de TIC sem licença ou não
autorizados pela STI;
III - instalação ou disseminação de vírus de computadores ou software que
coloquem em risco as instalações e os recursos de tecnologia da informação da
organização;
IV - alteração da configuração de hardware dos recursos de tecnologia da
informação, sem a devida solicitação à STI;
V - cópia de arquivos, conteúdos de bases de dados, ou outros ativos de
informação da ANM, sem a devida autorização do proprietário do ativo; e
VI - todo e qualquer procedimento no uso dos recursos de TI não previsto
nesta norma que possam afetar de forma negativa a organização, seus servidores e seus
colaboradores.
Art. 18º É vedada a utilização dos ativos de TI corporativos para quaisquer
atividades que não tenham relação direta com aquelas da ANM.
Seção II
Uso dos recursos de acesso à Internet
Art. 19 O acesso à internet deve ser realizado por meio das conexões
disponibilizadas e autorizadas pela ANM e poderão ser utilizados ferramentas de
monitoramento e controle de tráfego para fins de aplicação desta Política.
Art. 20 A internet não deve ser utilizada para fins que não condizem com as
atividades de trabalho da ANM.
Parágrafo único. Páginas de internet que possuam conteúdos restritos ou
nocivos serão bloqueadas e sua liberação dependerá de análise por parte da STI.
Seção III
Acesso remoto ao ambiente de rede corporativa da ANM - VPN
Art. 21 O acesso remoto à rede corporativa deverá ser realizado
exclusivamente por meio de VPN autorizada pela STI, que será responsável pela definição
e concessão desse tipo de acesso, garantindo sua segurança.
§ 1º Qualquer software ou ferramenta que permita acesso remoto não
autorizado pela STI será bloqueado, a fim de garantir a integridade e a segurança da rede
corporativa, sem prejuízos à eventual adoção de medidas previstas em outros
normativos.
§ 2º A STI realizará, anualmente, a reavaliação dos servidores e usuários com
acesso à VPN, para garantir que os acessos privilegiados atendam às necessidades técnicas
e funcionais estabelecidas.
Art. 22 Todos os acessos remotos à rede corporativa deverão ser realizados
com o uso de autenticação de duplo fator (2FA), conforme as condições e formas
definidas pela STI, que será responsável pela implementação e monitoramento dessa
medida de segurança.
Art. 23 Devem ser gerados e armazenados registros de auditoria (logs) dos
acessos remotos, contendo informações sobre o usuário, data, hora, e outras informações
pertinentes, possibilitando o rastreamento detalhado e a posterior auditoria das ações
realizadas.
Seção IV
Impressoras e scanners corporativos
Art. 24 É vedada a utilização das impressoras e scanners para fins pessoais,
cabendo à STI a implementação de controles, mediante a utilização da conta de acesso,
e notificação em caso de infração ao disposto nos normativos que regulam o uso dos
recursos de TI da ANM.
Seção V
Ambiente Datacenter
Art. 25 O ambiente datacenter da ANM é composto por todos os
equipamentos centrais pertencentes à sua infraestrutura tecnológica, bem como pelas
salas localizadas nas unidades regionais onde estejam instalados os equipamentos de TIC
principais de cada rede local regionalizada.
§ 1º O acesso físico a esses locais, e consequentemente aos equipamentos
existentes neles, é permitido somente por pessoas autorizadas pela STI ou, no âmbito das
Gerências Regionais, pelo Gerente Regional.
CAPÍTULO IV
SEGURANÇA DA REDE CORPORATIVA
Seção I
Monitoramento da rede corporativa
Art. 26 A STI deve manter na rede corporativa, mecanismos que permitam
identificar e rastrear os endereços de origem e destino, bem como os serviços utilizados,
armazenando os respectivos registros de auditoria, também chamados de logs (Ref. NC
07/IN01/DSIC/GSIPR).
Art. 27 A fim de preservar a integridade das informações institucionais, a
imagem da organização e garantir a segurança de seus sistemas e, também, para fins de
apuração de eventual prática indevida, poderão ser monitorados, de forma contínua, e
gerados relatórios anuais sobre os seguintes conteúdos:
I - endereços de correio eletrônico;
II - sites acessados;
III - arquivos residentes em recursos de tecnologia da informação e afins;
IV - programas de computador (software); e
V - bases específicas de controle (logs).
Parágrafo único. O conteúdo das mensagens de correio eletrônico e dos
arquivos armazenados nas estações de trabalho só serão acessados, sob demanda, nos
casos previstos no art. 13.
Seção II
Proteção contra códigos maliciosos
Art. 28 Os recursos de TI devem estar providos de soluções de detecção e
bloqueio de programas com códigos maliciosos, como antispyware, antivírus e filtros de
análise de conteúdo de correio eletrônico e tráfego internet.
§ 1º O software antivírus é obrigatório nos recursos de TI disponibilizados aos
usuários e deve ser mantido sempre ativado e atualizado.
§ 2º O software antivírus deve ser configurado para executar a varredura
completa nos recursos de TI da Agência, com periodicidade máxima semanal.
§ 3º É proibida a inativação do antivírus ou a interrupção da execução da
varredura pelo usuário da rede, sem prejuízos à eventual adoção de medidas previstas em
outros normativos.
Seção III
Do tratamento de incidentes de segurança
Art. 29 A Equipe de Tratamento e Resposta a Incidentes - ETIR, instituída pela