INSTRUÇÃO NORMATIVA SEORI/SG-MD Nº 8, DE 11 DE JUNHO DE 2025 (parte 2 de 3)

ANEXO
POLÍTICA DE GERENCIAMENTO DE VULNERABILIDADES
Rede de computadores administrada pelo DETIC
Versão 1.0
Brasília, 2025
1. Propósito
1.1. A Política de Gerenciamento de Vulnerabilidades da rede de computadores
administrada pelo Departamento de Tecnologia da Informação e Comunicação (DETIC), no
âmbito da Administração Central do Ministério da Defesa, objetiva estabelecer as regras
relacionadas às atividades de identificação, avaliação, documentação, gestão, comunicação e
remediação de vulnerabilidades.
1.2. Esta Política contempla também as ações e boas práticas que devem ser
observadas para mitigar vulnerabilidades presentes nos ativos de informação da rede de
computadores administrada pelo DETIC.
2. Escopo
2.1. Esta política se aplica aos dados, informações, sistemas, serviços e demais
ativos de informação administrados pelo DETIC.
2.2. As regras contidas nesta política se aplicam a colaboradores, servidores,
militares, ocupantes de cargos e funções de livre provimento e exoneração, terceirizados,
estagiários, prestadores de serviço e aos que, de forma direta ou indireta, são usuários ou
gerem dados de propriedade do Ministério da Defesa custodiados pelo DETIC.
2.3. A presente política se aplica a quaisquer provedores de serviço, entidades
públicas ou privadas, que tenham acesso à rede de computadores administrada pelo DETIC.
3. Conceitos e definições
3.1. Esta política observa preceitos estabelecidos no Glossário de Segurança da
Informação, aprovado por meio da Portaria GSI/PR nº 93, de 18 de outubro de 2021, dos quais
se transcreve os principais conceitos e definições essenciais para a compreensão dos aspectos
abordados neste documento, bem como conceitos oriundos da Portaria GM-MD nº 4.059, de
27 de agosto de 2024, e outros conceitos doutrinários específicos sobre o gerenciamento de
vulnerabilidades.
a) acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem
como possibilidade de usar os ativos de informação de um órgão ou entidade, observada
eventual restrição que se aplique. Pode ser implementado à nível lógico (por meio de softwares
e sistemas) ou físico (por meio de hardware ou equipamentos);
b) ameaça: conjunto de fatores externos com o potencial de causar em dano para
um sistema ou organização;
c) análise de vulnerabilidades: verificação e exame técnico de vulnerabilidades,
para determinar onde estão localizadas e como podem ser exploradas;
d) ativos de informação: meios de armazenamento, transmissão e processamento,
equipamentos necessários a essas funções, os sistemas de informação, os locais onde se
encontram esses meios e as pessoas que a eles têm acesso e conhecimento ou dado que tem
valor para um indivíduo ou organização;
e) auditoria: processo de exame cuidadoso e sistemático das atividades
desenvolvidas, com o objetivo de averiguar se as práticas estão de acordo com as disposições
planejadas e estabelecidas previamente, se foram implementadas com eficácia, se estão
adequadas e em conformidade com a consecução dos objetivos;
f) autenticidade: propriedade de que a informação foi produzida, expedida,
modificada ou destruída por uma determinada pessoa física ou por um determinado sistema,
órgão ou entidade;
g) Comitê de Governança: colegiado que tem por finalidade definir diretrizes,
políticas e estratégias para o aprimoramento da governança e da gestão no âmbito do
Ministério da Defesa (Portaria GM-MD nº 4.059, de 27 de agosto de 2024);
h) confidencialidade: propriedade de que a informação não esteja disponível ou
seja revelada à pessoa física, sistema, órgão ou entidade não autorizados e credenciados;
i) disponibilidade: propriedade pela qual se assegura que a informação esteja
acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou
entidade devidamente autorizados;
j) gerenciamento de vulnerabilidade: processo cíclico e contínuo de identificação,
avaliação, documentação, gestão, comunicação e remediação de vulnerabilidades;
k) gestão de mudanças nos aspectos relativos à segurança da informação: processo
estruturado que visa aumentar a probabilidade de sucesso em mudanças, com mínimos
impactos, e assegurar a disponibilidade, integridade, confidencialidade e autenticidade da
informação;
l) gestão de riscos em segurança da informação: processo de natureza permanente,
estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades
de identificação, avaliação e gerenciamento de potenciais eventos que possam afetar a
organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos;
m) Gestor de Segurança da Informação: responsável pelas ações de segurança da
informação no âmbito da Administração Central do Ministério da Defesa;
n) HOST: computador ou dispositivo de TI (por exemplo, roteador, switch, gateway,
firewall);
o) integridade: propriedade de que a informação não foi modificada ou destruída
de maneira não autorizada ou acidental;
p) LOG (REGISTRO DE AUDITORIA): registro de eventos relevantes em um
dispositivo ou sistema computacional;
q) PATCH: parte de código adicional desenvolvido para resolver um problema ou
falha em um software existente;
r) rede de computadores: conjunto de computadores, interligados por ativos de
rede, capazes de trocar informações e de compartilhar recursos, por meio de um sistema de
comunicação;
s) remediação: ato de corrigir uma vulnerabilidade ou eliminar uma ameaça;
t) risco: no sentido amplo, trata-se da possibilidade de ocorrência de um evento
que pode impactar o cumprimento dos objetivos. Pode ser mensurado em termos de impacto
e de probabilidade;
u) risco de segurança da informação: risco potencial associado à exploração de uma
ou mais vulnerabilidades de um ou mais ativos de informação, por parte de uma ou mais
ameaças, com impacto negativo no negócio da organização;
v) Subcomitê de Governança Digital e Segurança da Informação: colegiado a quem
compete assessora o Comitê de Governança nos assuntos relativos às ações de governo digital,
da Política Nacional de Segurança da Informação e ao uso de recursos de tecnologia da
informação no âmbito da Administração Central do Ministério da Defesa (Portaria GM-MD nº
4.059, de 2024);
w) teste de invasão: Metodologia para testar a eficácia e a resiliência de ativos
através da identificação e exploração de fraquezas nos controles de segurança e da simulação
das ações e objetivos de um atacante;
x) teste de penetração (penetration test - PENTEST): também chamado de teste de
intrusão, é fundamental para a análise de vulnerabilidades e consiste em testar todos os
sistemas em busca de, além das já verificadas na fase anterior, vulnerabilidades conhecidas e
disponibilizadas por especialistas ou pelas instituições detentoras dos softwares que estão
sendo utilizados pela instituição;
y) tratamento de vulnerabilidades: serviço que prevê o recebimento de
informações sobre vulnerabilidades, em hardware ou software, objetivando analisar sua
natureza, mecanismo e suas consequências, e desenvolver estratégias para detecção e
correção dessas vulnerabilidades; e
z) vulnerabilidade: condição que, quando explorada por um criminoso cibernético,
pode resultar em uma violação de segurança cibernética dos sistemas computacionais ou redes
de computadores, e consiste na interseção de três fatores: suscetibilidade ou falha do sistema,
acesso possível à falha e capacidade de explorar essa falha.
4. Referências normativas
4.1. Esta política observa preceitos estabelecidos na legislação em vigor e, em
especial, nas seguintes referências normativas:
a) Lei nº 13.709, de 14 de agosto de 2018, que dispõe sobre a Lei Geral de Proteção
de Dados Pessoais (LGPD);
b) Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de
Segurança da Informação, dispõe sobre a governança da segurança da informação e a
legislação que trata de licitações e contratos da Administração Pública;
c) Decreto nº 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional
de Segurança Cibernética;
d) Decreto nº 10.748, de 16 de julho de 2021, que institui a Rede Federal de Gestão
de Incidentes Cibernéticos;
e) Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, que dispõe sobre a
Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da Administração
Pública Federal;
f) Instrução Normativa GSI/PR nº 2, de 3 de fevereiro de 2013, que dispõe sobre o
Credenciamento de segurança para o tratamento de informação classificada, em qualquer grau
de sigilo, no âmbito do Poder Executivo Federal;
g) Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, que dispõe sobre os
processos relacionados à gestão de segurança da informação nos órgãos e nas entidades da
administração pública federal;
h) Portaria GSI/PR nº 93, de 18 de outubro de 2021, que aprova o glossário de
segurança da informação;
i) Portaria GM-MD nº 4.059, de 27 de agosto de 2024, que dispõe sobre a estrutura
de governança no Ministério da Defesa;
j) Portaria GM-MD nº 5.659, de 18 de novembro de 2022, que aprova a Política de
Segurança da Informação da Administração Central do Ministério da Defesa (POSIN-MD);
k) Portaria GM-MD nº 5.814, de 29 de novembro de 2022, que dispõe sobre a
Diretriz para a Proteção de Dados Pessoais no Ministério da Defesa;
l) Portaria GM-MD nº 3.381, de 16 de agosto de 2021, que institui a Equipe de
Prevenção, Tratamento e Resposta a Incidentes em Redes Computacionais da Administração
Central do Ministério da Defesa (ETIR-ACMD);
m) Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe sobre o
Programa de Privacidade e Segurança da Informação (PPSI);
n) Guia de Gerenciamento de Vulnerabilidades da Secretaria de Governo Digital do
Ministério da Gestão e da Inovação em Serviços Públicos, versão 2.0;
o) ABNT NBR ISO/IEC 27002:2022 - Segurança da Informação, segurança
cibernética e proteção à privacidade - Controles de segurança da informação; e
p) FIRST. Common Vulnerability Scoring System version 3.1: Specification
Document. Disponível em: <https://www.first.org/cvss/specification-document>. Acesso em:
08 de janeiro de 2025.
5. Diretrizes gerais
5.1. Dos pressupostos básicos
5.1.1. Esta Política de Gerenciamento de Vulnerabilidades está alinhada à Política
de Segurança da Informação da Administração Central do Ministério da Defesa (POSIN-MD) e
deverá estar aderente à Política de Gestão de Continuidade de Negócios em nível
organizacional, quando disponível.
5.1.2. O gerenciamento de vulnerabilidades, estabelecido nesta Política, visa
prevenir a exploração de vulnerabilidades técnicas nos ativos de informação da rede de
computadores administrada pelo DETIC.
5.1.3. A Equipe de Prevenção, Tratamento e Resposta a Incidentes em Redes
Computacionais da Administração Central do Ministério da Defesa (ETIR-ACMD) será
responsável por coordenar o gerenciamento de vulnerabilidades nos ativos de informação da
rede de computadores administrada pelo DETIC.
5.1.4. As Coordenações-Gerais do DETIC devem participar da implementação e
contribuir com o processo de gerenciamento de vulnerabilidades estabelecido nesta Política.
5.1.5. O processo de gerenciamento de vulnerabilidades prevê a implementação de
mecanismos para obter informações oportunas sobre as vulnerabilidades técnicas dos
sistemas, serviços e demais ativos de informação, avaliar a exposição da rede computacional
administrada pelo DETIC a tais vulnerabilidades e a implementar as salvaguardas apropriadas
para lidar com o risco associado. Tais mecanismos incluem:
a) atividades de suporte, métricas de relatório e treinamento para implementação
eficaz do processo de gerenciamento de vulnerabilidades; e
b) funções e responsabilidades das equipes/funções para realizar todas as
atividades de maneira oportuna e eficaz.
5.1.6. A consistência e a eficácia do processo de gerenciamento de vulnerabilidades
devem ser medidas por meio de métricas obtidas através de solução ou soluções contratada(s)
para essa atividade, e que reflitam o escopo determinado pela área de negócio responsável
pela demanda.
5.1.7. As métricas de gerenciamento de vulnerabilidades devem ser recomendadas
pela Coordenação de Segurança Cibernética (COSEC) ao Diretor do Departamento de
Tecnologia da Informação e Comunicação, e suas medições devem ser consolidadas em
relatórios mensais para apreciação do Diretor.
5.2. Do Mapeamento de ativos de informação
5.2.1. O mapeamento de ativos de informação é essencial para o processo de
gerenciamento de vulnerabilidades, visto que relaciona a marca, modelo e versão de
equipamento de hardware, sistemas operacionais, banco de dados, sistemas, servidores web e
aplicativos de software utilizados na rede computacional administrada pelo DETIC.
5.2.2. As informações coletadas por meio do mapeamento de ativos de informação
devem ser registradas como um inventário de ativos de informação, que deverá ser atualizado
anualmente ou sempre que ocorrerem alterações significativas para garantir que os ativos de
informação estejam cobertos pelo processo de gerenciamento de vulnerabilidades.
5.2.3. O mapeamento e inventário de ativos de informação deverá ser realizado
nos termos da Política de Gestão de Ativos da rede computacional administrada pelo DETIC.
5.3. Da Detecção de vulnerabilidades
5.3.1. As ferramentas adquiridas devem ser configuradas e ajustadas
adequadamente de acordo com o escopo avaliado.
5.3.2. Os tipos de varreduras e os tipos de teste devem ser avaliados e ajustados
para que sejam congruentes com o escopo avaliado.
5.3.3. A frequência de testes de segurança deve levar em consideração os
requisitos legais, regulamentares e contratuais e os riscos associados aos ativos avaliados.
5.3.4. As varreduras de vulnerabilidades devem ser realizadas por períodos
determinados ou após alteração significativa na rede, por equipe interna ou por terceiro ou
uma combinação de ambos.
5.3.5. Os testes de segurança devem utilizar o feed de vulnerabilidade mais
recente, garantindo que nenhuma vulnerabilidade seja excluída ou não detectada.
5.3.6. Para cada teste, é essencial que profissionais qualificados e dedicados
verifiquem a integridade da ferramenta utilizada, assegurem que todos os ativos foram
corretamente analisados e identifiquem quaisquer exceções de vulnerabilidades.
5.3.7. As ferramentas utilizadas devem ser ajustadas continuamente para
minimizar discrepâncias nos resultados. Diferentes ferramentas podem produzir resultados
variados, ajustes contínuos são necessários para garantir a maior consistência possível nas
varreduras de vulnerabilidades.
5.3.8. O teste de invasão ou o teste de penetração (Pentest) deve ser realizado
mediante autorização formal do Diretor do Departamento de Tecnologia da Informação e
Comunicação, conforme critério de necessidade sugerida pela COSEC ou pelo menos uma vez a
cada dezoito meses, utilizando especialistas qualificados externos como parte de um exercício
planejado, que inclui o escopo da avaliação, os métodos de uso e os requisitos operacionais, a
fim de fornecer as informações mais precisas e relevantes sobre as vulnerabilidades atuais, sem
afetar o funcionamento normal da rede computacional administrada pelo DETIC.
5.3.9. Em virtude da quantidade de ativos de rede da ACMD e considerando o
escopo de varredura, a ser definido pelo DETIC, é necessário dedicar pessoas ao processo em
questão e capacitá-las, de modo que seja possível garantir a integridade do resultado de
detecção de vulnerabilidades antes da realização de sua comunicação, de forma a evitar
inconsistências, contradições ou resultados incompletos.
5.3.10. A detecção manual de vulnerabilidades deve ser considerada como
complemento à detecção automática de vulnerabilidades e demanda pessoal qualificado e
dedicado.
5.4. Do monitoramento
5.4.1. O DETIC deverá prover solução para gestão de eventos de segurança
cibernética, que permita manter dados de vulnerabilidades coletadas de várias fontes, como
sites de segurança da informação, boletins de segurança ou publicações de fornecedores de
software, para que seja possível controlar a aplicação delas nos sistemas e ativos de informação
da ACMD.
5.4.2. A ETIR-ACMD deve elaborar relatórios após cada ciclo de detecção para
auxiliar o DETIC a entender e mensurar as vulnerabilidades existentes.
5.4.3. Para que os resultados das varreduras de vulnerabilidades sejam analisados
pela ETIR-ACMD, com o objetivo de identificar e eliminar possíveis falsos positivos, é necessário
que a ETIR-ACMD possua pessoas capacitadas e dedicadas a essa atividade.
5.4.4. Grupos de ativos de informação devem ser determinados por tipo de
ambiente, por tipo de sistema, por ID CVE (Common Vulnerabilities and Exposures) ou por tipo
de vulnerabilidade.
5.4.5. A ETIR-ACMD deve adotar métricas para os relatórios de vulnerabilidade e
determinar o valor percentual dos ativos de informação vulneráveis por gravidade e CVSS
(Common Vulnerability Scoring System).
5.4.6. A quantidade e a porcentagem de novas vulnerabilidades devem ser
monitoradas por: severidade; grupos funcionais; tipo de ambiente; tipo de sistema; autoridade
de numeração CVE; e tipo de vulnerabilidade.
5.4.7. O relatório deve ser classificado, durante e após a sua elaboração, de acordo
com a sensibilidade das informações presentes nele.
5.4.8. O gestor de segurança da informação deverá tomar conhecimento das
vulnerabilidades em que a ETIR-ACMD demande ao setor responsável a interrupção de
qualquer serviço ofertado na ACMD. Além disso, ele deverá participar da apresentação, quando
realizada pela ETIR-ACMD, cujo tema seja gestão de vulnerabilidades e análise de superfície de
ataque.
5.4.9. Os dados poderão incluir informações de vulnerabilidade, análise de
vulnerabilidades para priorização e plano de correção de vulnerabilidades, à luz do plano de
gestão de mudanças do DETIC.
5.4.10. O banco de dados deve ser atualizado regularmente com as informações
mais recentes. As novas vulnerabilidades devem ser adicionadas ao banco de dados tão logo
forem descobertas.
5.4.11. É recomendável que os dados de vulnerabilidades sejam integrados com
outras ferramentas de segurança, para aprimorar a eficácia da correção de vulnerabilidades.
5.4.12. Os dados de vulnerabilidades devem ser analisados regularmente para
identificar tendências e padrões visando a tomada de medidas proativas para evitar futuras
vulnerabilidades, o que demanda pessoal capacitado e dedicado para a atividade.
5.5. Da Priorização e correção de vulnerabilidades
5.5.1. O tratamento de vulnerabilidades deve ser priorizado com base em sua
classificação de risco e criticidade, tempo esperado para correção, grau de risco, impacto em
caso de exploração e no valor que o ativo ou host impactado tem para o negócio.
5.5.2. As vulnerabilidades devem ser tratadas de acordo com o seu nível de
severidade e nos prazos estipulados na tabela 1.
. .NÍVEL DE
SEVERIDADE
.PRAZO DE
CORREÇÃO
.DESCRIÇÃO DO RISCO
. .Crítico
(4)
.Até 2 dias .Condição totalmente inaceitável quando medidas imediatas
devem ser tomadas para eliminar a materialização do risco e
mitigar perigos e impactos. Pessoas mal-intencionadas
podem facilmente obter o controle do host, o que pode
comprometer toda a sua rede. As vulnerabilidades incluem
acesso de leitura e gravação a arquivos, execução remota de
comandos e backdoors.
. .Alto
(3)
.Até 30 dias .Pessoas mal-intencionadas podem obter o controle do host
ou coletar informações altamente confidenciais, incluindo
acesso de "leitura" ao arquivo, backdoors em potencial ou
uma lista de todas as contas de usuário no host.
. .Médio
(2)
.Até 45 dias .Pessoas mal-intencionadas podem obter acesso às
configurações de segurança no host, o que pode levar ao
acesso a arquivos e à divulgação de conteúdo de arquivos,
navegação em diretórios, ataques de negação de serviço e
uso não autorizado de serviços.
. .Baixo
(1)
.Até 90 dias .Pessoas mal-intencionadas podem coletar informações
confidenciais do host, por meio de portas ou serviços
abertos, como versões de software instaladas, que podem
revelar vulnerabilidades conhecidas.
Tabela 1 - Nível de severidade e prazos para correção.
5.5.3. Os testes que forem concluídos com falha devem ser examinados novamente
até que sua execução seja concluída com êxito. Caso não seja possível, deve-se avaliar se a
vulnerabilidade será incluída na lista de exceções por pessoal autorizado, com base no processo
de aceitação de risco.
5.5.4. As Coordenações do DETIC devem realizar gestão de patch dos ativos de
informação sob sua responsabilidade, de modo a corroborar com a gestão de vulnerabilidades
provida pela ETIR-ACMD.
5.5.5. Quando as vulnerabilidades não puderem ser corrigidas dentro do prazo
estabelecido na tabela 1, o Coordenador-Geral responsável pelo ativo de informação deve
enviar uma "solicitação de renúncia" à ETIR-ACMD. A solicitação deve conter as seguintes
informações:
a) Detalhes do sistema ou ativo;
b) Descrição detalhada da vulnerabilidade;
c) Avaliação de risco que justifique a não correção imediata;
d) A justificativa clara pela qual a correção não pode ser realizada no prazo
estabelecido;
e) Detalhes dos controles existentes (se houver);
f) Novo prazo de correção; e
g) Plano de ação da remediação (obedecendo o novo prazo de correção).
5.5.6. A decisão de aceitar ou rejeitar a solicitação de renúncia deve ser tomada
pelo Diretor do Departamento de Tecnologia da Informação e Comunicação, com base na
avaliação de risco apresentada. Se a solicitação de renúncia for aceita, a vulnerabilidade deve
ser monitorada continuamente e incluída em plano de ação, que registre as providências
necessárias para que seja corrigida assim que possível.
5.5.7. Os alertas de vulnerabilidades, as correções de patches e as ameaças
emergentes que correspondam aos recursos informacionais relacionados no inventário de
sistema e ativos de informação devem ser monitorados.
5.6. Da implementação e verificação das correções de vulnerabilidades
5.6.1. As vulnerabilidades corrigidas devem ser verificadas por time especializado e
dedicado, para saber se não há novas vulnerabilidades introduzidas. Isso pode ser feito por
meio de testes de penetração, testes de vulnerabilidade e análise de logs.
5.6.2. Somente correções de vulnerabilidades que foram efetivamente testadas e
aprovadas devem ser implantadas em produção pelos responsáveis pelos ativos.
5.6.3. Quando instalações de patches de segurança e ajustes de configuração são
recomendadas para mitigar as vulnerabilidades, elas devem ser enviadas por meio do processo
de gestão de mudanças, para que os controles apropriados sejam implementados para teste,
avaliação de riscos e reparação.
5.7. Das exceções
5.7.1. Para os ativos de informação da rede computacional administrada pelo DETIC
não contemplados por esta política em função de dificuldades técnicas ou obrigações
contratuais e normativas ou outras razões legítimas, as exceções deverão ser documentadas e
aprovadas por meio de um processo de gerenciamento de exceções.
5.7.2. A lista de exceções de ativos de informação deve ter validade de um ano,
devendo ser revisada após esse período.
5.8. Dos registros de log
5.8.1. O registro de log permite identificar quais eventos dos ativos de informação
devem ser registrados, com base nos requisitos regulatórios, nas melhores práticas e nos
objetivos do DETIC.
5.8.2. Ativos, físicos ou virtuais, como servidores e recursos de rede, devem
recuperar informações baseadas em tempo de uma única fonte de tempo de referência para
redes (servidor Network Time Protocol - NTP) para que os relógios de registro sejam
consistentes.
5.8.3. As configurações referentes a ativos de informação devem incluir
configurações de log para registrar ações que possam afetar ou que sejam relevantes para a
segurança da informação.
5.8.4. As Coordenações do DETIC devem definir, para os ativos de informação sob
sua responsabilidade, procedimentos para análise de logs, como ferramentas de análise e
correlação, para identificar possíveis ameaças e vulnerabilidades.
5.8.5. Uma revisão dos arquivos de registro (logs) deve ser conduzida pelo menos
anualmente.
5.8.6. Os arquivos de registro (logs) devem ser protegidos contra adulteração e
acesso não autorizado ou exfiltração.
5.8.7. Registros de logs dos sistemas e ativos informacionais classificados como
críticos devem ser mantidos por pelo menos um ano, tempo suficiente para cumprir os
requisitos regulatórios e permitir a detecção de ameaças passadas.
5.8.8. As coordenações do DETIC devem monitorar regularmente os registros de
logs dos ativos de informação sob sua responsabilidade para identificar quaisquer tentativas de
exploração de vulnerabilidades.
5.8.9. Registros de log devem ser excluídos de forma segura, garantindo que os
registros sejam completamente apagados sem deixar vestígios ou dados remanescentes.
6. Processo de Gerenciamento de Vulnerabilidades da rede de computadores
administrada pelo DETIC
6.1. Aspectos gerais
6.1.1. O processo de gerenciamento de vulnerabilidades possui os seguintes
aspectos operacionais:
a) Definição do escopo e tempo;
b) Liberação de acesso;
c) Definição dos métodos a serem utilizados; e
d) Conhecimento e criatividade.
6.1.2. Para a efetividade do processo de gestão de vulnerabilidades, é necessário
que a rede computacional administrada pelo DETIC possua um inventário de ativos de
informação, em especial hardware e software, devidamente atualizado e o mais completo
possível, para ser utilizado como apoio para a definição do escopo e tempo necessário para a
realização das análises.
6.1.3. As análises de vulnerabilidades serão realizadas por ferramenta apropriada,
de forma automatizada e/ou sob demanda.
6.1.4. Sempre que possível, serão realizados testes autenticados (análises
intrusivas) nos sistemas e serviços críticos.
6.1.5. Análises extraordinárias serão realizadas caso a caso, limitando-se ao
conhecimento e disponibilidade da equipe da ETIR-ACMD.
6.1.6. O processo de gerenciamento de vulnerabilidades técnicas é dividido em
várias atividades-macro, conforme apresentado a seguir:
a) Definição do escopo a ser analisado;
b) Agendamento das análises;
c) Execução das análises;
d) Consolidação dos dados (classificação e validação dos resultados das análises);