RESOLUÇÃO ANA Nº 253, DE 3 DE JULHO DE 2025 (parte 2 de 4)

ANEXO I
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÕES DA ANA
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1º A POSIC é uma declaração formal da ANA acerca do seu compromisso
com a proteção dos ativos de informação, físicos e de software, de sua propriedade e
sob sua guarda.
Art. 2º O objetivo da POSIC é estabelecer diretrizes e responsabilidades no
que diz respeito ao manuseio, tratamento, controle e proteção dos ativos de
informação, servindo de apoio à alta administração da instituição na implementação da
gestão de Segurança da Informação e Comunicação (SIC).
Art. 3º O escopo da POSIC envolve aspectos estratégicos, estruturais,
organizacionais e humanos, bem como elementos físicos e lógicos, preparando a base
para elaboração dos demais documentos normativos.
Art. 4º A POSIC deve ser cumprida por todos que tenham acesso a quaisquer
ativos de informação, físicos e de software, de sua propriedade e sob sua guarda,
mesmo em trabalhos fora da Agência, como home office.
Art. 5º A POSIC deve estar em conformidade com requisitos legais, políticas,
regras e normas de SIC.
Art. 6º Para os fins desta Resolução, considera-se o glossário de Segurança da
Informação do Gabinete de Segurança Institucional - GSI aprovado pela Portaria GSI nº
93, de 18 de outubro de 2021.
Art.7º A ANA deve elaborar e monitorar normativos de cada tema exposto
nesta Política.
CAPÍTULO II
DOS PRINCÍPIOS
Art. 8º A POSIC é guiada pelos seguintes princípios, além dos princípios da
administração pública:
I - criticidade: princípio de segurança que define a importância da informação
para a continuidade da atividade-fim da Instituição;
II - a disponibilidade: propriedade de que a informação esteja acessível e
utilizável por uma pessoa física, sistema, órgão ou entidade;
III - a confidencialidade: propriedade de que a informação não esteja
disponível ou revelada a pessoa física, sistema, órgão ou entidade não autorizados ou
credenciados;
IV - a integridade: propriedade de que a informação não esteja modificada ou
destruída de maneira não autorizada ou acidental;
V - a autenticidade: propriedade que garante a veracidade da informação, ou
seja, garante a legitimidade; e
VI - o não repúdio ou irretratabilidade: é a garantia de que uma determinada
ação realizada por um usuário não possa ser negada.
CAPÍTULO III
DAS DIRETRIZES GERAIS
SEÇÃO I
DAS RESPONSABILIDADES DO USUÁRIO
Art. 9º São responsabilidades do usuário:
I - participar de programas de conscientização e treinamento em Segurança
da Informação para entender os riscos, as melhores práticas e políticas da ANA;
II - proteger suas credenciais de acesso e seguir as políticas de controle de
acesso da ANA para garantir que apenas usuários autorizados tenham acesso aos
sistemas e dados;
III - criar senhas fortes e exclusivas para suas contas e nunca as compartilhar
com outras pessoas;
IV - proteger suas senhas contra acesso não autorizado;
V - proteger seus certificados digitais;
VI - usar os ativos de TI da ANA de forma apropriada e apenas para fins
autorizados;
VII - proteger os dispositivos físicos, como laptops, smartphones e tokens,
contra roubo ou acesso não autorizado. Isso inclui manter os dispositivos em locais
seguros quando não estiverem em uso;
VIII - aplicar, quando for o caso, todas as atualizações e correções de
segurança disponibilizadas pelos administradores da rede para garantir que os sistemas
e aplicativos da ANA estejam protegidos contra vulnerabilidades desconhecidas;
IX - relatar imediatamente, por meio de abertura de chamado, no sistema
disponibilizado pela STI, quaisquer incidentes de segurança, como: perda ou roubo de
dispositivos, e-mails suspeitos, tentativas de phishing ou malware etc.; e
X- armazenar os arquivos de acordo com a política de backup da ANA.
Art. 10. É dever de todos os usuários da informação zelar pela SIC, não
havendo o direito de alegar desconhecimento da POSIC e do termo de responsabilidade
em anexo.
SEÇÃO II
DAS DIRETRIZES PARA O TRATAMENTO E GESTÃO DE ATIVOS
Art. 11. Os ativos de cada setor serão de responsabilidade do seu gestor, ou
de alguém por ele designado, que ficará encarregado pela sua manutenção e
documentação, bem como pela notificação de qualquer evento que aconteça.
Art. 12. Os usuários devem cumprir os requisitos de Segurança da Informação
associados ao ativo e aos recursos de processamento da informação, bem como zelar
pelos ativos empossados.
Art. 13. O uso de ativos fora da Agência, devem ser autorizados, seguindo
procedimento interno.
Art. 14. Os ativos não mais utilizados pelos usuários, em meio eletrônico ou
não, devem ser apagados ou destruídos conforme regras da legislação vigente.
Art. 15. Após o desligamento de colaboradores ou servidores, partes externas
ou remoção de servidores a outros órgãos, a ANA deverá recolher todos os ativos físicos
e informações sob custódia desses agentes.
Art. 16. Como ativo de software, a Agência veda a utilização ou instalação de
software que possa de qualquer forma ferir as disposições desta POSIC, bem como
direitos autorais, de propriedade intelectual ou quaisquer legislações vigentes.
Art. 17. O normativo de Gestão de Ativos deverá conter procedimentos de
criação, monitoramento e remoção de ativos, seja de TI ou de Informação, bem como
complementar as diretrizes que estão minimamente expostas nesta Política.
SEÇÃO III
DOS SERVIÇOS DE REDE
Art. 18. Os serviços de rede no ambiente da ANA também constituem ativos
passíveis de inventário, documentação e auditoria, devendo estes procedimentos serem
definidos em normas específicas.
Parágrafo único. Todo acesso externo à rede corporativa deverá ser,
previamente, justificado pela área demandante e, autorizado pelo titular da área de TI
ou ponto focal da área.
CAPÍTULO IV
DAS DIRETRIZES ESPECÍFICAS
SEÇÃO I
DA GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO E
COMUNICAÇÃO
Art. 19. A ANA manterá permanentemente um núcleo de tratamento e
resposta a incidentes de SIC com a responsabilidade de receber, filtrar, classificar e
responder às solicitações e alertas, além de realizar as análises dos incidentes de
segurança, procurando extrair informações que permitam impedir a continuidade da
ação maliciosa.
§ 1º A ANA possui uma Equipe de Tratamento e Respostas a Incidentes (ETIR)
instituída pela Portaria ANA n° 402 de 15 de julho de 2022, que tem por missão
receber, analisar e propor respostas a notificações e realização de ações e medidas
necessárias para reforçar a resposta ou a postura da organização, na recuperação de
incidentes cibernéticos.
§ 2º Todas as ocorrências que possam vir a ter impacto negativo sobre a
confidencialidade, integridade ou disponibilidade dos ativos/serviços de informação ou
recursos computacionais da ANA serão caracterizadas como um incidente de Segurança
da Informação, devendo as referidas ocorrências serem tratadas de maneira a minimizar
qualquer tipo de impacto e recuperar as características de Segurança da Informação dos
itens afetados.
§ 3º São responsabilidades e atribuições específicas da ETIR:
I - coordenar as atividades de tratamento e resposta a incidentes em redes
computacionais;
II - apoiar a recuperação de sistemas;
III - realizar análise de ataques e intrusões;
IV - cooperar com outras equipes;
V - participar de comunidades e redes nacionais e internacionais;
VI - gerenciar incidentes de segurança em redes computacionais;
VII- investigar e avaliar danos decorrentes de quebras de segurança;
VIII- registrar todos os incidentes de segurança em redes de computadores,
com a finalidade de assegurar registro histórico das atividades da ETIR; e
IX- realizar tratamento da informação de forma a viabilizar e assegurar
disponibilidade, integridade, confidencialidade e autenticidade da informação, observada
a legislação em vigor, naquilo que diz respeito ao estabelecimento de graus de sigilo.
§ 4º Faz parte do escopo da equipe da ETIR propor medidas de prevenção
para mitigar possíveis paralizações dos serviços de infraestrutura da ANA.
§ 5º As ações preventivas, dentre outras, referem-se às atividades de
proteção da informação de forma preventiva e planejada;
§ 6º Externamente, a ETIR poderá se relacionar com:
I - as demais equipes de prevenção, tratamento e resposta a incidentes
cibernéticos da Administração Pública Federal; como o Centro de Tratamento de
Incidentes de Redes do Governo - CTIR Gov, ou equivalente;
II - os órgãos, entidades e empresas, públicas ou privadas, que tenham
relacionamentos com a ANA para o intercâmbio de informações; e
III- o Departamento de Segurança da Informação e Comunicações do
Gabinete de Segurança Institucional da Presidência da República (DSIC/GSI/PR).
§ 8º Todos os incidentes de Segurança da Informação, bem como as
suspeitas de sua ocorrência, deverão ser imediatamente comunicados à unidade de
Segurança da Informação, por meio da abertura de chamado no sistema disponibilizado
pela STI.
§ 9º As soluções de contorno estabelecidas pela ETIR, a fim de mitigar a
ocorrência de incidentes de segurança, deverão ser comunicadas ao Gestor de Segurança
da Informação, que será responsável por sua avaliação e aprovação.
§ 10 As evidências dos incidentes de Segurança da Informação serão
coletadas, armazenadas e apresentadas à ETIR, o mais brevemente possível após a sua
ocorrência, conforme diretrizes da unidade de Segurança da Informação.
SEÇÃO II
DA GESTÃO DE RISCOS
Art. 20. A ANA deverá elaborar e manter Plano de Gestão de Riscos de
Segurança da Informação e Comunicação (SIC) com base na legislação vigente, contendo
necessariamente, lista das ameaças mais prováveis e suas ocorrências, classificação dos
riscos e alternativas para mitigá-los.
§ 1º O processo de Gestão de Riscos de SIC deve estar alinhado ao
planejamento estratégico da ANA e ao processo maior de gestão de riscos
corporativos.
§ 2º A abordagem de Gestão de Riscos de SIC estará alinhada ao processo
de gestão de risco de todas as áreas da ANA.
§ 3º O processo de gestão de riscos de SIC possibilitará a seleção e a
priorização dos ativos a serem protegidos, bem como a definição e a implementação de
controles para a identificação e o tratamento de possíveis falhas de segurança.
SEÇÃO III
DA GESTÃO DE CONTINUIDADE
Art. 21. A ANA deve adotar um conjunto de procedimentos emergenciais
mediante a definição de um Sistema de Gestão de Continuidade em TIC, para a
eventualidade da ocorrência de algum incidente de Segurança da Informação que possa
causar interrupção na continuidade de processos organizacionais para a ANA,
decorrentes de desastres ou falhas em recursos de TI.
§ 1º O Plano de Continuidade em TI abrange as estratégias necessárias à
continuidade dos serviços essenciais para serviços de contingência, continuidade e
recuperação.
§ 2º A ANA estabelecerá procedimentos a serem seguidos para minimizar os
impactos decorrentes de falhas, desastres ou indisponibilidades significativas sobre as
atividades, além de recuperar perdas de ativos de informação a um nível aceitável, por
intermédio de ações de prevenção, resposta e recuperação.
§ 3º O Plano de Continuidade de TI tem como objetivos:
I - traçar estratégias e planos de ação que garantam o funcionamento e a
disponibilidade dos serviços essenciais da Superintendência de Tecnologia da Informação
(STI) durante as mais diversas situações de falha e indisponibilidade dos serviços; e
II - uma vez identificadas falhas nos serviços de TIC, o Plano de Continuidade
de TI será acionado com vistas a prover medidas de proteção rápidas e eficazes para os
processos de TI relacionados aos sistemas críticos, nos casos de incidentes graves ou
desastres.
SEÇÃO IV
DA AUDITORIA E APROVAÇÕES DOS NORMATIVOS
Art. 22. Todos os ativos de informação, ativos de software, ativos físicos e
serviços de rede no âmbito da ANA são passíveis de auditoria técnica a cargo da POSIC,
desde que autorizada pelo Titular da STI.
§ 1º Cabe à Câmara de Governança Digital e Segurança da Informação e
Comunicações (CGDI) propor políticas correlatas, planos de auditoria e conformidade
para o efetivo cumprimento do estabelecido por esta POSIC, no âmbito da ANA,
conforme disposto na Resolução ANA n° 184, de 15 de fevereiro de 2024.
§ 2º Cabe à STI definir e implementar métodos, técnicas, procedimentos,
normas internas da TI e responsabilidades para a execução do estabelecido por esta
POSIC, no âmbito da ANA.
§ 3º A STI deve manter, na rede corporativa, mecanismos que permitam
identificar e rastrear os endereços de origem e destino, bem como os serviços utilizados,
armazenando os registros de auditorias (logs).
§ 4º A fim de preservar a integridade das informações institucionais, a
imagem da organização, garantir a segurança dos sistemas, e para fins de apuração de
prática indevida, poderão ser monitorados, de forma contínua, e gerados relatórios
anuais dos seguintes conteúdos:
I - endereços de correio eletrônico;
II - sites acessados;
III - arquivos residentes em recursos de TI e afins;
IV - arquivos na nuvem corporativa da ANA;
V - programas de computador (software); e VI - bases específicas de controle (logs).
§ 5º A entrada e a saída de ativos de informação da ANA, inclusive
publicação e disponibilização, serão registradas e autorizadas por autoridade competente
mediante procedimento formal.
§ 6º No acesso aos sistemas da ANA:
I - os registros (logs) serão protegidos contra a falsificação e acesso não
autorizado;
II - todas as atividades dos administradores e operadores do sistema serão
registradas; e
III - é obrigatória a produção e manutenção, por período previamente
determinado, registros (logs) que possam ser usados como trilha de auditoria, contendo
atividades dos usuários, exceções e outros eventos de Segurança da Informação para
auxiliar em futuras investigações e monitoramento de controle de acesso.
SEÇÃO V
DO CONTROLE DE ACESSO, DAS CONTAS E CREDENCIAMENTO DO USUÁRIO
Art. 23. A Agência deve implementar, acompanhar e avaliar as seguintes
assertivas:
§ 1º A autorização, o acesso, o uso da informação e dos recursos de TI serão
controlados e limitados ao cumprimento das atribuições de cada servidor e colaborador
da ANA.
§ 2º As regras de controle de acesso serão implementadas em diferentes
granularidades,
desde a cobertura de redes a sistemas inteiros, além de considerar a
localização do usuário e o tipo de conexão de rede que é usada para acesso, como no
caso de usuários que residem fora do país.
§ 3º Sempre que houver mudanças nas atribuições de determinado usuário
da ANA, será de responsabilidade da chefia imediata, solicitar a adequação imediata dos
privilégios de acesso às informações e dos recursos de TIC.
Art. 24. A ANA deverá implementar, acompanhar e avaliar o processo de
credenciamento, no qual deverá cumprir no mínimo, com as seguintes assertivas:
§ 1º A identificação, a autorização, a autenticação, o interesse do serviço e
a necessidade de conhecer são condicionantes prévias para concessão de acesso na
ANA.
§ 2º A concessão de acesso ocorrerá somente após o processo de
credenciamento do usuário pela área responsável.
§ 3º A área responsável deve realizar o credenciamento do usuário, bem
como registrar e solicitar a concessão, alteração ou revogação das permissões de acesso
junto à área de TI.
§ 4º A equipe de TI somente concederá ou modificará as permissões de
acesso mediante procedimento formal da área responsável.
§ 5º A área de TI ao realizar o processo de credenciamento deve utilizar um
identificador único para acesso, que deve ser pessoal e intransferível (exceto os casos
em que o usuário exerça função de administração da rede local).
§ 6º O perfil de administrador de rede somente será concedido para
servidores e colaboradores que executam tarefas específicas na administração dos
recursos de TI que compõem a rede corporativa da ANA.
SEÇÃO VI
DO USO DE CORREIO ELETRÔNICO INSTITUCIONAL
Art. 25. Todos os servidores da ANA possuirão um endereço de correio
eletrônico institucional.
§ 1º O nome de usuário seguirá a nomenclatura padronizada pelas regras de
formação de nomes para a composição de endereço eletrônico (e-mail) no Governo
Federal, composto pelo nome seguido de ponto e de um sobrenome.
§ 2º O correio eletrônico corporativo é uma ferramenta comunicacional de
trabalho de uso obrigatório no âmbito da ANA.
§ 3º O correio eletrônico corporativo é destinado para uso exclusivo em
serviço e relacionado estritamente às atividades profissionais do usuário no âmbito da
ANA.
§ 4º O correio eletrônico corporativo pode ser monitorado a qualquer tempo
pela Administração, desde que autorizado pelo Titular da STI, não cabendo ao usuário do
serviço alegar ofensa ao sigilo das comunicações via rede, seja em texto, imagem ou som.
SEÇÃO VII
CERTIFICADO DIGITAL
Art. 26. Os certificados digitais na ANA serão adquiridos pela Autoridade
Certificadora - AC, credenciada pela Infraestrutura de Chaves Públicas Brasileira - (ICP-
Brasil), garantindo que o documento com a assinatura digital tenha a mesma validade
de um documento com assinatura física, regulamentado pelo Decreto nº 10.543, de 13
de novembro de 2020 (alterado pelo Decreto nº 11.797, DE 27 de novembro de
2023).
§ 1º O uso de Certificado Digital deverá seguir a Resolução ANA nº 500, de
11 de maio de 2015 e suas atualizações.
§ 2º O Certificado Digital é de uso pessoal, intransferível, cabendo ao usuário
zelar pela confidencialidade da senha, bem como pela guarda e pela conservação do
Certificado e do respectivo suporte criptográfico, sob pena de responsabilidade civil,
penal ou administrativa.
§ 3º Os Certificados Digitais utilizados no âmbito da ANA serão de pessoa
física (e-CPF), de pessoa jurídica (e-CNPJ), e de equipamento (e-servidor) ou de aplicação
(e-aplicação).
Art. 27. Os certificados digitais e-CPF serão emitidos conforme necessidades
demandadas pelas atribuições exercidas pelo servidor.
§ 1º Por uma questão de Segurança da Informação, a posse do certificado
digital e a senha são de uso pessoal e intransferível, por isso, nem a STI, nem a
autoridade certificadora detém responsabilidade sobre o certificado digital.
§ 2º Em caso de bloqueio de uso errado da senha ou perda da mídia (token),
durante o período de validade do certificado digital, o servidor arcará com os custos de
reemissão do Certificado Digital por meio de Guia de Recolhimento da União - GRU.
Art. 28. Em caso de impossibilidade técnica temporária no uso dos
certificados digitais, o documento com a assinatura digital tem a mesma validade de um
documento com assinatura física.
Parágrafo único. Os documentos poderão ser assinados eletronicamente pelo
GOV.BR, através da conta pessoal gov.br do servidor.
SEÇÃO VIII
CÓPIA DE SEGURANÇA (BACKUP)
Art. 29. Os procedimentos próprios ao serviço de backup (cópia de
segurança) e restore (restauração de cópia de segurança) serão regulamentados,
considerando as seguintes diretrizes:
§ 1º O serviço de backup e restore deve ser automatizado por sistemas
informacionais próprios considerando, inclusive, a execução agendada fora do horário de
expediente normal do órgão, nas chamadas "janelas de backup", ou seja, nos períodos
em que há nenhum ou pouco acesso de usuários ou processos automatizados aos
sistemas de informática.
§ 2º A solução de backup deverá ser mantida atualizada, considerando suas
diversas características como, atualizações de correção, novas versões, ciclo de vida,
garantia, melhorias, entre outros.
§ 3º A administração das mídias de backup deverá ser contemplada nas
políticas e normas complementares sobre o serviço, objetivando manter sua segurança
e integridade.
§ 4º As mídias de backups históricos ou especiais deverão ser armazenadas
em instalações seguras, preferencialmente com estrutura de cofres e salas-cofre.
§ 5º A execução de rotinas de backup e restore deverá ser rigidamente
controlada, documentada e auditada, nos termos das normas e procedimentos
próprios.
§ 6º Toda informação custodiada pela área de tecnologia da ANA considerada
crítica para a execução das atividades da ANA deverá possuir cópia de segurança e será
armazenada em local protegido, compatível com o grau de segurança necessário.
§ 7º Os arquivos dos servidores e colaboradores armazenados nas pastas
corporativas, caixas de correio eletrônico, bases de dados e os arquivos de sistemas
terão suas regras estabelecidas na Política de Backup e Restore.
SEÇÃO IX
DATA CENTER
Art. 30. Os procedimentos para administração do centro de processamento
de dados (data center) serão regulamentados mediantes as seguintes diretrizes gerais:
I - a gestão de dados e de serviços de data center é de competência
exclusiva da área de TI;
II - o acesso físico ao data center deverá ser feito por sistema de
autenticação forte, como fechadura eletrônica com reconhecimento facial;
III- o acesso físico por meio de chave apenas poderá ocorrer em emergências,
quando a segurança física do data center estiver comprometida, como por incêndio,
inundação, abalo da estrutura predial ou quando o sistema de autenticação forte não
estiver funcionando;
IV - o acesso ao data center por visitantes ou terceiros somente poderá ser
realizado com acompanhamento de um servidor autorizado, que deverá preencher a
solicitação de acesso prevista em norma complementar;
V - deverá ser executada, em frequência predeterminada, auditoria dos
acessos ao data center - por meio de relatório do sistema de registro próprio;
VI - a lista de usuários com direito de acesso ao data center deverá ser
constantementeatualizada. Ocorrendo o desligamento de usuários que possuam acesso
ao data center, imediatamente deverá ser providenciada a sua exclusão do sistema de
autenticação forte e da lista de usuários autorizados; e
VII - a função de administrador do data center - incluindo seu sistema de
autenticação forte - deverá ser atribuída exclusivamente a servidor público efetivo,
preferencialmente vinculado à área de infraestrutura de TI da ANA.
SEÇÃO X
TRATAMENTO DA INFORMAÇÃO EM NUVEM
Art. 31. A ANA adotará soluções de computação em nuvem de forma segura,
com o objetivo de elevar o nível de proteção das informações no uso dessa
tecnologia.
§ 1º O acesso à informação de armazenamento no ambiente de nuvem
contratado será protegido de usuários externos e de pessoas não autorizadas, de forma
a propiciar o isolamento adequado dos recursos utilizados pelos usuários do serviço de
nuvem.
§ 2º A ANA fará a implantação do suporte aos mecanismos de Autenticação
Multifator (MFA) ou criará uma alternativa que aumente o grau de segurança no
processo de autenticação dos seus usuários no provedor de serviço de nuvem, de acordo
com nível de criticidade da informação.
Art. 32. No tratamento da informação em ambiente de computação em
nuvem, a ANA, além de cumprir as orientações contidas na legislação sobre proteção de
dados pessoais, deve observar as seguintes diretrizes:
I - informação sem restrição de acesso: pode ser tratada, a critério da ANA, em
ambiente de computação em nuvem, considerando a legislação vigente e os riscos de SIC; e
II - informação sigilosa: como regra geral, deve ser evitado o tratamento em
ambiente de computação em nuvem, conforme disposições a seguir:
a) informação classificada: é vedado o tratamento em ambiente de
computação em nuvem;
b) conhecimento e informação contidos em material de acesso restrito: é
vedado o tratamento em ambiente de computação em nuvem;
c) informação com restrição de acesso prevista em legislação vigente: a
critério da ANA, pode ser tratado em ambiente de computação em nuvem, considerando
a legislação vigente e os riscos de SIC; e
d) informação pessoal relativa à intimidade, vida privada, honra e imagem: a
critério da ANA, pode ser tratado em ambiente de computação em nuvem, considerando
a legislação vigentes e os riscos de SIC.
SEÇÃO XI
SEGURANÇA DE REDES
Art. 33. O acesso e uso da internet é facultado a todo usuário da rede local
da ANA, em conformidade com os termos estabelecidos nesta Política.
§ 1º Todas as regras corporativas sobre uso de internet visam ao
desenvolvimento de um comportamento ético e profissional, de modo que, embora a
conexão direta e permanente da rede corporativa da ANA com a internet ofereça um
grande potencial de benefícios, a proteção dos ativos de informação da ANA deve
sempre ser privilegiada.
§ 2º Qualquer informação que seja acessada, transmitida, recebida ou
produzida na internet está sujeita à divulgação e auditoria. Portanto, a ANA, em total
conformidade legal, reserva-se o direito de monitorar e registrar os acessos à rede
mundial de computadores.