INSTRUÇÃO NORMATIVA SEORI/SG-MD Nº 8, DE 11 DE JUNHO DE 2025 (parte 3 de 3)

e) Elaboração de relatórios;
f) Notificação dos responsáveis;
g) Processo de mitigação;
h) Validação do ambiente (novo ciclo e/ou reteste);
i) Relatório final; e
j) Liberação do ambiente (se for o caso).
6.1.7. Macroprocesso de Gestão de Vulnerabilidades: a Gestão de vulnerabilidades
possui os processos e atividades apresentados na Figura 1 do apêndice desta Política, podendo
ser realizado de forma automatizada ou sob demanda.
6.2. Processo de Análise de Vulnerabilidades - Automatizada.
6.2.1. O processo de análise de vulnerabilidades automatizado será executado, a
cada 30 (trinta) dias, pela equipe da ETIR-ACMD. A Figura 2 do apêndice desta Política
representa esse processo.
6.3. Processo de Gestão de Vulnerabilidades - Sob demanda.
6.3.1. O processo de análise de vulnerabilidades sob demanda, conforme
apresentado na Figura 3 do apêndice desta Política, possui um escopo determinado, será
executado antes da entrada de uma aplicação em produção, em caso de algum incidente de
segurança em ativo de informação da ACMD ou via solicitação específica. Para tanto, será
necessário ocorrer uma provocação da área responsável via sistema TI Ajudo.
6.3.2. Caso o ativo de informação a ser analisado ainda não esteja em produção,
esse só será liberado para ser publicado quando não forem encontradas vulnerabilidades
críticas, altas ou médias nas varreduras realizadas.
6.3.3. O processo de análise de vulnerabilidades sob demanda será executado pela
equipe da ETIR-ACMD. A Figura 3 do apêndice desta Política representa esse processo.
6.4. Escopo da análise
6.4.1. As análises serão realizadas tanto nas aplicações web (Internet e intranet),
quanto nos servidores que hospedam as referidas aplicações web, desde que estejam na
infraestrutura da ACMD.
6.4.2. As aplicações web serão, no mínimo, avaliadas observando os critérios do
Projeto OWASP TOP 10. Para maiores informações sobre o projeto a seguinte página pode ser
consultada: https://owasp.org/www-project-top-ten/.
6.4.3. As estações de trabalho e os servidores que suportam/hospedam as
aplicações disponibilizadas pela ACMD terão seus Sistemas Operacionais avaliados utilizando-
se como referência o Security Baseline ofertado pelos seus fabricantes, e, quando necessário,
também serão avaliados observando o repositório de vulnerabilidades e exposições comuns,
CVE, do Mitre Corporation.
6.5. Notificar equipes responsáveis pelos ativos de informação
6.5.1. Após a realização das análises de vulnerabilidades os responsáveis pelos
ativos de informação receberão um relatório preliminar com o detalhamento de todos os
testes realizados, assim como as evidências dos ataques e como corrigir as vulnerabilidades
encontradas.
6.5.2. Caso novas rodadas de testes sejam necessárias, os relatórios também serão
enviados aos responsáveis pelos ativos de TI, até que se findem os tratamentos das
vulnerabilidades encontradas e seja possível produzir o relatório final.
6.6. Agendar análise
6.6.1. As varreduras ou análises automatizadas são executadas de maneira
programada e periódica na instituição, preferencialmente fora do horário de expediente, sem a
necessidade de nova autorização a cada execução, visto que a atividade já é de conhecimento
comum dos setores de TI da ACMD.
6.6.2. As varreduras sob demanda serão realizadas conforme provocação das áreas
responsáveis e serão realizadas, na medida do possível, durante o expediente, para a
celeridade do processo de entrada em produção do ativo de informação envolvido.
6.6.3. As análises oriundas de um tratamento de incidente de segurança de TI,
terão prioridade perante os demais e serão prioritariamente realizados durante o expediente,
para a recuperação e o devido retorno à produção do(s) ativo(s) de informação envolvido(s).
6.7. Executar análise automatizada ou sob demanda
6.7.1. A varredura inicial será utilizada no acompanhamento da evolução do
processo de gestão de vulnerabilidades ou quando existir a necessidade de uma análise
emergencial em um escopo específico, em decorrência de um incidente, por exemplo.
6.7.2. As atividades realizadas durante a execução de uma análise são apresentadas
na Figura 4 do apêndice desta Política.
6.8. Consolidar os resultados
6.8.1. Para uma efetiva análise do resultado de uma varredura e posteriormente a
elaboração do relatório, será realizada a consolidação dos dados, verificando-se possíveis falsos
positivos existentes, que devem ser excluídos da análise. Outras fontes, como um alerta
divulgado por um fabricante e/ou desenvolvedor, poderão ser utilizadas para complementar a
varredura. A Figura 5 do apêndice desta Política apresenta o processo de consolidação dos
resultados.
6.9. Classificação das vulnerabilidades
6.9.1. As vulnerabilidades serão classificadas, preferencialmente, tendo como base
o score do sistema comum de pontuação de vulnerabilidade, CVSS, que é um padrão criado
pelo Forum for Incident Response and Security Team (FIRST).
6.9.2. A Tabela 2 apresenta a escala qualitativa disponibilizada pelo FIRST adaptada
à realidade da ACMD. Todas as vulnerabilidades serão classificadas de acordo com a referida
tabela e, no caso das análises automatizadas, a ferramenta utilizada deverá classificar de forma
automática as vulnerabilidades conforme esse padrão.
. .SCORE .PONTUAÇÃO CVSS ADAPTADO
. .Baixo .0 a 3,9
. .Médio .4,0 a 6,9
. .Alto .7,0 a 8,9
. .Crítico .9,0 a 10
Tabela 2 - Score CVSS - FIRST - Adaptado à realidade da ACMD.
6.10. Elaborar relatório da análise
6.10.1. Após a consolidação das informações, validação das vulnerabilidades
identificadas e da classificação, inicia-se a fase de elaboração do relatório, que deve conter,
minimamente, informações sobre as formas de detecção, ferramentas utilizadas, impacto
esperado caso a vulnerabilidade seja explorada e formas de mitigação.
6.10.2. Os seguintes tipos de relatórios serão disponibilizados:
a) Relatório Técnico contém informações detalhadas de cada uma das
vulnerabilidades encontradas em cada ativo de informação, meios e evidências da exploração,
risco para o negócio e as formas de mitigação; e
b) Relatório Executivo deve conter informações consolidadas sobre quantidade
total de vulnerabilidades, total por ativos de informação, risco para o negócio.
6.11. Entregar relatório / Enviar alerta
6.11.1. Os relatórios finalizados serão enviados, por canal técnico seguro, aos
responsáveis pelos ativos de informação, que devem traçar imediatamente o plano de ação
para a tratamento das vulnerabilidades apresentadas.
6.11.2. Os responsáveis pelos ativos de informação também serão comunicados
sobre alertas de vulnerabilidades divulgados pelos desenvolvedores/fabricantes das soluções
que se encontram disponibilizadas na ACMD.
6.12. Tratar vulnerabilidades (Mitigar riscos / Implementar controles)
6.12.1. A etapa de mitigação deve identificar a melhor forma de tratar os
problemas reportados levando em consideração o nível de risco ou score atrelado a cada uma
das vulnerabilidades, e deve ser realizado pela área responsável pelo ativo de informação.
6.12.2. Assim como na Gestão de Riscos de Segurança da Informação, deve-se
identificar um tratamento para cada uma das vulnerabilidades encontradas, que pode ser:
a) Aceitar o risco - na impossibilidade de implementar ações para corrigir a
vulnerabilidade, o risco deve ser aceito formalmente pelo responsável do ativo de
informação;
b) Modificar o risco - os controles implementados diminuem o nível de risco; e
c) Evitar o risco - os controles recomendados foram implementados e o risco
mitigado.
6.12.3. A Figura 6 do Apêndice desta Política apresenta o processo de tratamento
das vulnerabilidades.
6.12.4. O tratamento das vulnerabilidades é uma ação de responsabilidade
multifuncional e, para que o negócio não sofra com uma indisponibilidade, é de extrema
importância que as ações sejam planejadas e que aconteçam de acordo com as janelas técnicas
de manutenção dos ativos de informação.
6.13. Validar ambiente (reteste)
6.13.1. Após a implementação dos controles informados para cada uma das
vulnerabilidades encontradas no escopo analisado, a equipe responsável pela análise de
vulnerabilidades deve ser notificada para que uma nova varredura seja realizada no ambiente,
a fim de avaliar a implementação dos controles, conforme atividades descritas na Figura 7 do
apêndice desta Política.
6.13.2. Para os casos de análises automatizadas essa verificação será realizada no
próximo ciclo agendado.
6.14. Emitir relatório final
6.14.1. Após a realização do reteste, em alguns cenários, será necessário a
apresentação de um relatório final sobre o tratamento das vulnerabilidades encontradas. Esse
processo se aplica a varreduras automatizadas e sob demanda.
6.14.2. O relatório final deve conter informações consolidadas sobre quantidade
total de vulnerabilidades reportadas e tratadas, riscos mitigados.
6.15. Liberar ambiente
6.15.1. Concluídas as atividades de varredura, relatório entregue, mitigação e
reteste, a equipe responsável pelo processo de gestão de vulnerabilidades técnicas,
comunicará que o ambiente analisado está devidamente apto a operar, baseado nas
vulnerabilidades encontradas durante o processo de análise.
6.15.2. Cabe salientar, que nas análises sob demanda de novos ativos de
informação, os objetos devem ser inseridos no processo de análise automatizado para manter
o nível de segurança adequado.
6.16. Monitorar ambiente
6.16.1. Nos casos em que vier a surgir alguma vulnerabilidade classificada como
crítica, alta, média ou baixa em ativo de informação que está em produção e que faz parte do
rol de ativos monitorados periodicamente, o setor responsável será notificado e terá os prazos
previstos na Tabela 3 para informar à ETIR-ACMD, por meio do e-mail: [email protected],
sobre quais foram as medidas tomadas para mitigação da vulnerabilidade.
6.16.2. Em não sendo cumprido os prazos apresentados na Tabela 3, a ETIR-ACMD
notificará o Diretor do DETIC informando da necessidade ou não, conforme os riscos
envolvidos, de remoção do ativo de informação de produção até que a vulnerabilidade
encontrada seja mitigada.
6.16.3. Os prazos serão acompanhados pela equipe de gestão de
vulnerabilidades.
. .NÍVEL DE
SEVERIDADE
.PRAZO PARA
CORREÇÃO
IDEAL
.PRAZO PARA
CORREÇÃO
ACEITÁVEL
.NOTIFICAR .PRAZO PARA
REALIZAR
NOTIFICAÇÃO
.NOTIFICAR
. .Crítico .até 2 dias .até 2 dias Responsável pelo
ativo de
informação /
Coordenador-
Geral
.+ 3 dias Diretor do
DETIC
. .Alto .até 7 dias .até 30 dias .+ 3 dias
. .Médio .até 7 dias .até 45 dias .+ 3 dias
. .Baixo .até 30 dias .até 90 dias . .+ 10 dias .
Tabela 3 - Matriz de Escalation.
6.16.4. A Figura 8 do apêndice desta Política apresenta o processo que será
executado para o monitoramento do ambiente.
7. Responsabilidades
7.1. Compete ao Subcomitê de Governança Digital e Segurança da Informação
apreciar:
a) a relação de ativos de informação da rede de computadores administrada pelo
DETIC que não possam ser contemplados pelos preceitos desta política por dificuldades
técnicas ou obrigações contratuais; e
b) os serviços e sistemas críticos custodiados pelo DETIC.
7.2. Compete ao Diretor do DETIC:
a) zelar pelo atendimento aos princípios da disponibilidade, da integridade, da
confidencialidade e da autenticidade dos serviços e dados;
b) proporcionar, sempre que necessário, a capacitação dos usuários no uso das
ferramentas de gestão de vulnerabilidades; e
c) promover a alocação de recursos necessários ao gerenciamento de
vulnerabilidades dos ativos de informação da rede de computadores administrada pelo
DETIC.
7.3. Compete aos responsáveis por ativos de informação da rede de computadores
administrada pelo DETIC:
a) realizar o mapeamento dos ativos de informação sob sua responsabilidade;
b) registar o log dos arquivos e sistemas que tratem dados pessoais, visando ao
exercício dos direitos dos titulares de dados pessoais;
c) informar ao Encarregado pelo Tratamento de Dados Pessoais da Administração
Central do Ministério da Defesa qualquer incidente envolvendo o tratamento de dados
pessoais, em decorrência de necessidade funcional, por meio dos serviços disponíveis na
plataforma TI Ajudo ou por meio do e-mail: [email protected];
d) controlar e monitorar o registro de log dos ativos de informação, com a
finalidade de garantir o serviço com desempenho e segurança satisfatórios;
e) comunicar incidentes à Equipe de Prevenção e Tratamento e Resposta a
Incidentes Cibernéticos (ETIR) da Administração Central do Ministério da Defesa, por meio do
e-mail: [email protected];
f) atualizar, no mínimo anualmente, o inventário de ativos de informação sob sua
responsabilidade;
g) propor à ETIR-ACMD a inclusão de itens na lista de exceções de ativos de
informação; e
h) elaborar e monitorar o plano de ações para tratamento das vulnerabilidades
apresentadas.
7.4. Para serviços em nuvem, as responsabilidades do provedor de serviços em
nuvem pública devem ser definidas e acordadas.
7.5. Sempre que possível, a obrigação e outras responsabilidades que envolvam
terceiros quanto ao gerenciamento de vulnerabilidades devem ser incluídas em contratos.
7.6. Os incidentes que afetem a segurança da informação e o descumprimento das
normas previstas nesta Política devem ser obrigatória e imediatamente comunicados pelos
servidores, militares ou colaboradores ao DETIC.
8. Disposições finais
8.1. Ações que violem a POSIN ou que quebrem os controles de Segurança da
Informação identificados pelo DETIC serão informados ao Gestor de Segurança da Informação
para adoção das medidas administrativas cabíveis.
8.2. A resolução de casos de violação/transgressões omissos nas legislações
correlatas será objeto de apreciação e deliberação pelo Subcomitê de Governança Digital e
Segurança da Informação.
APÊNDICE
POLÍTICA DE GERENCIAMENTO DE VULNERABILIDADES
Rede de computadores administrada pelo DETIC
Figuras relacionadas ao Processo de Gerenciamento de Vulnerabilidades
Figura 1 - Macroprocesso de Gestão de Vulnerabilidade 1_MD_13_001
Figura 2 - Processo de análise de vulnerabilidades automatizadas 1_MD_13_002
Figura 3 - Processo de análise de vulnerabilidades sob demanda 1_MD_13_003
Figura 4 Executar análise 1_MD_13_004
Figura 5 - Processo - Consolidar resultados 1_MD_13_005
Figura 6 - Processo - Tratamento de vulnerabilidades 1_MD_13_006
Figura 7 - Processo - Validar ambiente (reteste) 1_MD_13_007
Figura 8 - Processo - Monitorar ambiente 1_MD_13_008