RESOLUÇÃO ANA Nº 253, DE 3 DE JULHO DE 2025 (parte 3 de 4)

§ 3º Os equipamentos, tecnologias e serviços fornecidos para o acesso à
internet são de propriedade da ANA, que pode analisar e, se necessário, bloquear
qualquer arquivo, sítio, caixa postal de correio eletrônico, domínio ou aplicação
armazenados na rede/internet, estejam eles em disco local, no Desktop ou em áreas
privadas da rede, visando a assegurar o cumprimento da POSIC.
§ 4º É vedada a utilização da internet de forma a prejudicar a imagem da
ANA ou que coloque em risco os ativos da rede local.
§ 5º O acesso à internet será monitorado por sistemas e ferramentas de
Segurança da Informação sem necessidade de prévio consentimento do usuário.
§ 6º Serão armazenados logs de acesso à internet referentes aos endereços,
horários, tempo de permanência, tipo de conteúdo e volume de informações
trafegadas.
§ 7º O acesso à rede corporativa da ANA, incluirá procedimentos e
Autenticação Multifator (MFA) a fim de autorizar usuários a entrarem na rede.
§ 8º A área de TI é responsável por manter atualizada toda a segmentação
e topologia de rede corporativa ofertada pela ANA.
§ 9º O uso de firewalls e dispositivos de segurança serão utilizados para
proteger a rede contra ameaças externas.
§ 10 A STI utilizará ferramentas e soluções de Segurança da Informação, a
fim de aplicar as melhores práticas no processo de monitoramento e análise do tráfego
de rede em busca de atividades suspeitas.
§ 11 Dispositivos que acessam a rede da ANA, tais como: desktops, laptops
e tablets, devem passar por um processo adicional de instalação e configuração segura
que vise o aumento de sua proteção.
§ 12 Dispositivos particulares que acessam a rede da ANA, tais como:
desktops, laptops e tablets, devem possuir instalado um antivírus atualizado, e se
possível uso de firewall. Dispositivos patrimoniados pela ANA devem possuir antivírus
corporativo atualizado e operacional.
§ 13 A rede corporativa sem fio deverá ser implementada de forma isolada
das demais redes da ANA e deverão ser adotados mecanismos de autenticação
centralizada com controles de acesso.
§ 14 Os servidores e colaboradores da ANA deverão utilizar o mesmo login
e senha de acesso à rede corporativa da ANA.
Art. 34. É proibido utilizar a internet para acessar conteúdos digitais que
contenham:
I- materiais pornográficos, atentatórios à moral e aos bons costumes ou
ofensivos;
II- arquivos que contenham informação criminosa ou ilegal;
III - arquivos com conteúdo de incitação à violência, que não respeitem os
direitos autorais ou com objetivos comerciais particulares; e
IV - atividades relacionadas a jogos eletrônicos pela internet.
Art. 35. A ANA disponibilizará uma rede segregada da rede coorporativa para
o acesso à internet por visitantes.
Parágrafo único. O acesso de visitantes à rede sem fio adotará os mesmos
critérios de segurança aplicados à rede corporativa.
SEÇÃO XII
DO USO DE DISPOSITIVOS MÓVEIS/PORTÁVEIS
Art. 36. O uso dos dispositivos móveis portáteis pelos servidores públicos
usuários da rede da ANA deverá ser realizado no interesse da Agência.
§ 1º São considerados dispositivos móveis portáteis os laptops e
notebooks.
§ 2º Qualquer dispositivo móvel utilizado para acessar a rede corporativa da
ANA deverá
estar em conformidade com os padrões estabelecidos por esta Política.
§ 3º O uso de dispositivos móveis na ANA será pautado pela necessidade e
interesse da Agência.
§ 4º Os dispositivos móveis devem ser utilizados somente pelos usuários que
assumiram formalmente a responsabilidade pelo seu uso.
Art. 37. Quanto aos dispositivos móveis corporativos:
§ 1º Todos os dispositivos móveis corporativos devem ser inventariados.
§ 2º Os dispositivos móveis devem possuir somente os softwares
homologados e instalados pela área de TI.
§ 3º O usuário não deve instalar ou desinstalar qualquer tipo de software
nos dispositivos móveis.
§ 4º Os dispositivos móveis devem ser registrados como membros de um
domínio de rede, sempre que tecnicamente possível.
§ 5º Os dispositivos devem oferecer mecanismos que garantam o controle de
acesso e sigilo das informações neles armazenada, como por exemplo: senhas, usuários
e senhas, tokens, criptografia dos dados etc.
§ 6º É necessária a implementação de mecanismos de autenticação,
autorização e registro de acesso do usuário ou dispositivo, às conexões de rede e
recursos disponíveis.
§ 7º Os usuários da ANA devem adotar mecanismos que garantam a
proteção e sigilo dos dados armazenados nos dispositivos em casos de extravio. Um
mecanismo é utilizar o salvamento dos dados em servidores de arquivos disponibilizados
pela área de TI da ANA.
§ 8º É de uso exclusivo da área de TI o uso da conta "Administrativa". O uso
dessa conta é restrito às atividades de manutenção do equipamento.
§ 9º A utilização de contas com perfil de "Administrativo" nos dispositivos
móveis só será autorizada quando devidamente formalizada e justificada à área de TI,
podendo ser submetida à aprovação da DIREC.
Art. 38. Os usuários que utilizarem dispositivos móveis de sua propriedade
dentro dos ambientes físicos ou virtuais da ANA deverão observar as seguintes
diretrizes:
I - caso necessitem conectar seus dispositivos móveis à rede da ANA, devem
respeitar os procedimentos de controle e concessão de acesso para visitantes;
II - é responsabilidade do usuário conhecer e cumprir as normas internas
relativas ao uso da rede;
III - o visitante não poderá acessar a rede corporativa, exceto nos casos em
que a UORG disponibilizar uma rede isolada específica para esta finalidade, sendo
obrigatória a concordância e assinatura do Termo de Sigilo e Responsabilidade; e
IV - o usuário deve realizar uma varredura com o software antivírus
disponível antes de gravar no equipamento portátil de TI qualquer informação que
receba por e-mail ou mídias de armazenamento removíveis.
SEÇÃO XIII
DO ACESSO REMOTO
Art. 39. O acesso remoto, definido como a conexão entre uma rede de dados
externa e a rede de dados da instituição, estará sujeito às seguintes diretrizes:
I - acesso remoto à rede de dados da ANA será permitido exclusivamente
para fins de trabalho, e em caráter excepcional;
II - a solicitação de acesso remoto deverá ser formalizada junto à área de TI,
acompanhada da justificativa da necessidade e do período de uso;
III - a área de TI será responsável pelo registro e monitoramento dos acessos
remotos dos usuários;
IV - o acesso remoto será concedido por um período previamente
definido;
V - toda conexão remota à rede da ANA deverá ser realizada por meio de
canal criptografado e autenticação do usuário;
VI - a área de TI deverá informar aos usuários os requisitos mínimos de
segurança para realização de acesso remoto;
VII - os recursos de TI utilizados no ambiente de trabalho remoto, como
equipamentos em residências, deverão estar protegidos contra vírus, softwares
maliciosos e acessos não autorizados;
VIII- o acesso à rede da ANA será permitido apenas a partir de recursos de
TI previamente cadastrados e homologados pela área de TI;
IX - quando os recursos tecnológicos forem de propriedade de terceiros, a
área de TI deverá exigir que tais equipamentos atendam aos requisitos mínimos de
segurança estabelecidos;
X - a área de TI deverá garantir a capacitação dos usuários quanto à
utilização da solução de acesso remoto;
XI - serão implementados mecanismos de proteção adequados às redes de dados
sob responsabilidade da respectiva UORG, bem como aos serviços a elas conectados; e
XII- o usuário será responsável por todas as operações realizadas por meio
do acesso remoto, incluindo acessos, processamento e comunicação de dados.
Parágrafo único. O acesso remoto será concedido aos usuários mediante
solicitação da chefia imediata, por meio da abertura de chamado na ferramenta de
atendimento disponibilizada pela STI.
SEÇÃO XIV
DO USO DE RECURSOS DE TI
Art. 40. Os usuários são responsáveis por proteger os recursos de TI da ANA
contra acesso, modificação, destruição ou divulgação não autorizada, e devem:
I - utilizar os recursos de TI colocados à sua disposição exclusivamente para
os fins institucionais aos quais se destinam;
II - abster-se de abrir o gabinete dos Desktops o u Laptops, bem como de
modificar qualquer configuração, seja de hardware ou software;
III - respeitar as configurações padronizadas, conforme definições da área de TI;
IV - encaminhar solicitação à área de TI para análise, sempre que houver a
necessidade de alteração das configurações padronizadas;
V - nunca instalar ou executar softwares de sua propriedade, ou de terceiros,
sem prévia homologação e autorização da área de TI;
VI - Desligar corretamente os Desktops o u Laptops ao final do expediente,
conforme procedimentos estabelecidos pelo sistema operacional.
VII - conectar os Desktops e Laptops da ANA exclusivamente em pontos
elétricos estabilizados, evitando o uso conjunto com outros equipamentos que não
sejam recursos de TI.
VIII - armazenar arquivos com informações institucionais nos servidores de
arquivos disponibilizados pela STI.
IX - evitar o armazenamento de arquivos nos Desktops, pois esses
equipamentos não possuem rotina de backup.
X - evitar tratar de assuntos sensíveis da ANA em locais públicos ou
inadequados, limitando-se a discutir tais questões somente em ambientes que ofereçam
a devida proteção; e
XI - colaborar ativamente na resolução de problemas e no aprimoramento
dos processos de Segurança da Informação da ANA.
SEÇÃO XV
DA POLÍTICA DE MESA E TELA LIMPA
Art. 41. O usuário de recursos de TI da ANA deverá adotar a política de
"mesa limpa e tela limpa".
§1º A política de "mesa limpa e tela limpa" consiste em uma prática de
Segurança da Informação destinada a proteger dados sensíveis e prevenir vazamentos de
informações. Ela assegura que servidores e colaboradores mantenham suas áreas de
trabalho físicas (mesa) e digitais (tela) livres de informações confidenciais quando não
estiverem em uso, sendo uma prática recomendada por normas de Segurança da
Informação, como a ISO 27001.
§ 2º Os usuários devem observar as seguintes recomendações:
I - limpar suas mesas regularmente, removendo todos os documentos ou
materiais impressos que contenham informações sensíveis quando não estiverem em uso;
II - evitar deixar documentos sigilosos sobre as mesas, especialmente na
ausência do usuário;
III - utilizar gavetas e armários com fechaduras para armazenar arquivos
físicos contendo informações sensíveis; e
IV - bloquear a tela dos seus dispositivos (computadores, laptops, smartphones,
tablets) e fechar aplicativos ou documentos sensíveis sempre que não estiverem em uso.
SEÇÃO XVI
SEGURANÇA DE SISTEMAS E SOLUÇÕES
Art. 42. A segurança de sistemas e soluções observará o seguinte:
I - qualquer software que, por necessidade do serviço da UORG, necessitar
ser instalado, deverá possuir prévia anuência da STI, solicitada por meio da abertura de
chamado, a fim de verificar se as regras de segurança veiculadas pela solução estão
sendo cumpridas;
II - fica permanentemente proibida a instalação de quaisquer softwares sem
licença de uso;
III - instalação de software em sistemas operacionais será controlada de
forma a garantir o controle sobre as aplicações instaladas;
IV - a implementação de mudanças será controlada por meio da abertura de
chamado no sistema estabelecido pela STI, com a criação de uma Requisição de
Mudança (RDM); e
V - as aplicações críticas da ANA serão analisadas criticamente e testadas
quando sistemas operacionais forem alterados (novas versões ou instalação de patches),
para garantir que não haverá impacto adverso nas operações da ANA ou na
segurança.
Art. 43. Cabe à área de TI da ANA, por meio de servidores designados, a
supervisão e o monitoramento do desenvolvimento terceirizado de software, de forma
a garantir que critérios de segurança, qualidade, conformidade e desempenho sejam
devidamente implementados.
SEÇÃO XVII
PROTEÇÃO CONTRA MALWARE E ATAQUES CIBERNÉTICOS
Art. 44. Os recursos de TI da ANA deverão ser dotados de soluções para
detecção e bloqueio de códigos maliciosos, contendo no mínimo as seguintes
ferramentas:
I - antispyware;
II - antimalware;
III - firewall;
IV - IPS (Intrusion Prevention System); e VV - IDS (Intrusion Detection
System).
Parágrafo único. A STI poderá adotar outras soluções e mecanismos
complementares para detecção e bloqueio de ameaças, bem como medidas adicionais
que fortaleçam a segurança dos sistemas e mitiguem vulnerabilidades associadas a
códigos maliciosos ou tentativas de acesso não autorizado.
Art. 45. Com o objetivo de combater ataques cibernéticos e garantir a
Segurança da Informação, a ANA adotará as seguintes medidas:
I - proibição expressa da utilização de softwares não autorizados;
II - restrição do registro das tentativas de acesso a websites maliciosos ou
suspeitos, por parte dos usuários;
III - exigência de precauções por parte dos usuários, que deverão examinar
com ferramenta antivírus, arquivos e softwares importados de redes ou mídias
externas;
IV - instalação e atualização periódica de software de detecção e remoção de
malware, para realizar a varredura de computadores e mídias magnéticas;
V - isolamento, na medida do possível, de ambientes críticos suscetíveis à
contaminação por malwares, visando prevenir impactos negativos às atividades da
instituição;
VI - configuração de varreduras automáticas e completas, a serem realizadas
regularmente por soluções de antimalware;
VII- manutenção do antimalware sempre atualizado; e
VIII - reforço dos cuidados em casos de dispositivos infectados, com a
implementação de medidas para evitar novas infecções.
Art. 46. Serão adotadas formas adicionais de autenticação das contas da
ANA, como meio de proteção e prevenção contra vazamentos e acessos indevidos, tais
como:
I - verificação em duas etapas, sempre que possível; e
II - trocar imediatamente as senhas ao suspeitar de vazamento ou uso em
um dispositivo infectado e não salvar senhas no navegador.
Art. 47. É vedado o uso do privilégio de acesso da conta de administrador no
ambiente de infraestrutura de TI da ANA para atividades cotidianas.
§ 1º Exceções devem ser aprovadas pela Diretoria Colegiada da ANA.
§ 2º A conta de administrador deve ser utilizada exclusivamente por
colaboradores e servidores da área de infraestrutura e segurança de TI da STI.
Art. 48. Para prevenir e detectar o uso de software não autorizado, devem
ser configurados controles por meio de firewalls de aplicação.
§ 1º Firewall contém regras pré-definidas que permitem:
I - autorizar a conexão (allow);
I - bloquear a conexão (deny); e
III - rejeitar o pedido de conexão sem avisar o emissor (drop).
§ 2º Deve-se adotar o modelo de política proibitiva que é o mais seguro e,
também, comumente adotado pelos principais órgãos públicos.
§ 3º A equipe de Segurança da Informação determinará quais tipos de
firewall serão utilizados, tais como:
I- firewall pessoal;
II - filtro de pacotes;
III - proxy Servers; e
IV - gateway de Aplicação.
Art. 49. A ANA adotará um Sistema de Detecção de Intrusos (IDS), um
Sistema de Prevenção de Intrusos (IPS) e uma Zona Desmilitarizada (DMZ) bem
configurada.
SEÇÃO XVIII
GESTÃO DA SEGURANÇA NAS COMUNICAÇÕES
Art. 50. As informações e símbolos institucionais da ANA somente devem ser
divulgados com autorização da ASCOM da ANA ou de gestor por ela delegado.
§ 1º Os servidores da ANA não devem divulgar nos perfis pessoais de redes
sociais imagens de servidores, objeto ou símbolo de identificação da ANA, sem prévia
autorização da ASCOM.
§ 2º O servidor que vazar ou repassar, sem autorização, informações
estratégicas, operacionais, de segurança e de inteligência da ANA estará sujeito às
sanções administrativas, cíveis e penais cabíveis.
SEÇÃO XIX
REDES SOCIAIS
Art. 51. A utilização de perfis institucionais mantidos em redes sociais com o
objetivo de prestar atendimento e serviços públicos, divulgando ou compartilhando
informações da ANA, deve estar em consonância tanto com a POSIC quanto com os
objetivos estratégicos da instituição.
§ 1º Perfis institucionais mantidos nas redes sociais devem,
preferencialmente, ser administrados e gerenciados por equipes compostas
exclusivamente por servidores públicos ocupantes de cargo efetivo.
§ 2º Quando não for possível, a equipe pode ser mista, desde que sob a
coordenação e responsabilidade de um servidor do quadro permanente da ANA.
§ 3º É vedada a terceirização completa da administração e da gestão de
perfis de órgãos e entidades da ANA nas redes sociais.
§ 4º O perfil institucional da ANA deve ser protegido por meio das seguintes
ações preventivas:
I - não divulgar informações que possam tornar o perfil vulnerável;
II - publicar apenas informações demandadas pela ANA;
III - publicar apenas informações públicas, nos termos da Lei nº 12.527 de
2011; e IV - alterar as configurações padrões de privacidade, para que sejam acessíveis
as informações somente aos interessados.
SEÇÃO XX
SEGURANÇA DE TELECOMUNICAÇÕES
Art. 52. Para garantir a segurança das telecomunicações no desempenho de
suas atividades, a ANA deverá:
I - acompanhar os processos licitatórios, garantindo que os materiais e
equipamentos cotados atendam às especificações do projeto, sem comprometer a
segurança;
II - realizar, de forma preventiva e corretiva, varreduras em sistemas de
telecomunicações internos e externos, assegurando a proteção pessoal e das instalações
físicas;
III - implementar, de forma preventiva e corretiva, procedimentos de
vigilância eletrônica que garantam segurança pessoal e das instalações físicas; e
IV - garantir a proteção e a funcionalidade dos sistemas e processos de
comunicação interna e externa da ANA.
Art. 53. Quando ocorrerem desastres naturais, acidentes, outras emergências
ou o risco de que tais fenômenos aconteçam, compete à ANA:
I - priorizar as comunicações essenciais, cujo conteúdo seja necessário para
a prevenção ou recuperação de incidentes, segurança dos transportes, comunicações,
recursos de força elétrica e manutenção da ordem pública;
II - manter adequadamente os recursos de telecomunicações, garantindo o
sigilo das comunicações;
III - adotar as medidas para prevenir a divulgação não intencional de outras
comunicações durante o uso normal, no ponto de conexão entre os equipamentos
terminais de usuários de serviços de telecomunicações e circuitos de telecomunicações; e
IV - adotar medidas para prevenir acessos não autorizados, destruição e
falsificação de registros e dados armazenados em recursos de telecomunicações.
SEÇÃO XXI
SEGURANÇA DE RECURSOS HUMANOS
Art. 54. Em relação à segurança em Recursos Humanos, a POSIC deve
observar os seguintes procedimentos:
I - o desligamento da ANA, resultará na revogação de todos os direitos de
acesso e uso dos ativos a eles atribuídos; e
II - o afastamento, cessão, mudança de responsabilidade, lotação ou alteração nas
atribuições implicará na revisão imediata dos direitos de acesso e de uso dos ativos da ANA.
Parágrafo único. A ANA deverá promover continuamente ações de divulgação
e conscientização de todos os mencionados nesta Política, por meio de programas de
comunicação, sensibilização e capacitação em segurança da informação e comunicações,
com o propósito de criar uma cultura de segurança na autarquia.
SEÇÃO XXII
SEGURANÇA EM SERVIÇOS TERCEIRIZADOS
Art. 55. Usuário terceirizado é o prestador de serviço terceirizado, o
consultor externo, o estagiário, o contratado temporário, o menor aprendiz ou o
participante de grupos deliberativos esporádicos, de empresas formalmente contratadas,
que possam fazer uso dos recursos ou acessem informações e sistemas informacionais
da ANA.
§ 1º A ANA deverá em seus relacionamentos contratuais com terceiros,
definir, especificamente, quais serviços e atividades serão autorizados para acesso e
manuseio por terceiros.
§ 2º Deverá ser considerado, sempre, o menor perfil de privilégio para
acesso às informações da ANA.
§ 3º Toda atualização da POSIC da ANA, bem como de seus procedimentos,
sistemas e processos, serão repassados a terceiros contratados a fim de se manter alinhado
o conhecimento e implementação de mudanças de segurança necessárias à ANA.
Art. 56. Os contratos de prestação de serviço devem possuir cláusulas que
garantam a preservação da confidencialidade, integridade, disponibilidade e
autenticidade das informações e recursos de TI da ANA.
§ 1° Os contratos de prestação de serviço devem conter cláusulas que
especifiquem a necessidade da assinatura do Termo de Sigilo e Confidencialidade por
parte de todos os seus prestadores de serviços.
§ 2° Todos os contratos de prestação de serviços firmados pela ANA,
conterão cláusula específica sobre obrigatoriedade de atendimento a esta POSIC, bem
como suas normas decorrentes.
Art. 57. As realocações e desligamentos de prestadores de serviços serão
comunicados previamente ao gestor do contrato na ANA, ou ao responsável designado
pelas chefias imediatas destes prestadores.
§ 1° O gestor do contrato ou responsável designado deverá adotar
providências para serem realizadas as alterações e os cancelamentos de acessos aos
ativos disponibilizados àqueles profissionais.
§ 2° O processo de mudança ou encerramento da contratação deverá
proteger os interesses da ANA.
SEÇÃO XXIII
AQUISIÇÃO, DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMAS
Art. 58. Todos os sistemas de informação adquiridos ou desenvolvidos para
uso da ANA, devem ter sua continuidade garantida independentemente de eventuais
mudanças na relação com o fornecedor.
§ 1º Todo desenvolvimento de sistemas de informação para a ANA deve ser
realizado com base em uma Metodologia de Desenvolvimento de Sistemas.
§ 2º Todo projeto de sistema de informação antes da sua concepção,
inclusive aquele desenvolvido pelo usuário, deve ser submetido à área de TI para
avaliação/homologação dos aspectos de Segurança da Informação, consumo de recursos
tecnológicos e comprometimento de outros serviços.
§ 3º Os sistemas e aplicações que serão implantados em produção poderão,
a critério da STI, ser submetidos a uma análise técnica prévia, incluindo a realização de
testes de vulnerabilidade, conforme as necessidades da área de negócio.
§ 4º Os sistemas de informação classificados como críticos deverão ser
desenvolvidos levando em consideração requisitos para sua contingência.
§ 5º Todos os usuários candidatos a utilizar um sistema devem ser treinados
e capacitados para exercer suas atividades.
Art. 59. Requisitos de segurança devem ser implementados na definição dos
novos sistemas.
§ 1º Poderá ser realizada análise de risco para o levantamento de requisitos
de segurança no processo de desenvolvimento de sistemas, de acordo com a
coordenação de sistemas.
§ 2º Os requisitos de segurança estarão em todas as fases de criação dos
sistemas, ou seja, definição, projeto, desenvolvimento, implantação e manutenção.
Art. 60. Devem ser incorporados controles apropriados em projetos de
aplicações para assegurar o processamento correto.
§ 1º Os controles devem incluir os dados de entrada, o processamento
interno e os dados de saída.
§ 2º Controles adicionais para sistemas que processem informações sensíveis,
valiosas ou críticas ou que nessas exerçam algum impacto devem ser determinados com
base em requisitos de segurança e análise/avaliação de riscos.
§ 3º Devem ser incorporadas nas aplicações checagens de validação com o
objetivo de detectar qualquer corrupção de informações por erros ou por ações
deliberadas.
§ 4º Devem ser identificados e implementados requisitos e controles
apropriados para garantir a autenticidade e proteger a integridade das mensagens em
aplicações.
Art. 61. Sobre a segurança em processo de desenvolvimento e de suporte, a
área de TI deve supervisionar o processo desde o seu planejamento até a
implementação no caso de desenvolvimento de softwares por terceiros.
§ 1º Deve ser implementado controle de versão para garantir a gestão dos
códigos fontes.
§ 2º Deve ser realizada a análises de riscos a fim de detectar falhas nos
sistemas que possam comprometer a Segurança da Informação.