RESOLUÇÃO ANA Nº 253, DE 3 DE JULHO DE 2025 (parte 4 de 4)

§ 3º Devem ser protegidas as informações envolvidas em transações online,
a fim de prevenir transmissões incompletas, erros de roteamento, alterações não
autorizadas de mensagens, divulgação não autorizada, duplicação ou reapresentação de
mensagem não autorizada.
SEÇÃO XXIV
CRIPTOGRAFIA
Art. 62. Devem ser elaboradas e implementadas políticas de utilização de
criptografia em sistemas, arquivos e pastas, com o intuito de garantir a
confidencialidade das informações, conforme privilégio de acesso de cada usuário.
§ 1º As chaves utilizadas nas soluções de criptografia deverão ser
armazenadas em servidores de rede com nível de segurança elevado.
§ 2º Os dados de backup deverão ser protegidos contra alterações não
autorizadas e sua transmissão pela rede deverá ser protegido por criptografia.
§ 3 º O usuário deverá atentar-se para as demais normas que versam sobre
a transferência de informações confidenciais, restritas ou pessoais.
SEÇÃO XXV
SEGURANÇA DOS ARQUIVOS DO SISTEMA
Art. 63. A segurança de arquivos de sistema abrange um conjunto de
medidas e práticas destinadas a proteger os arquivos do sistema operacional e outros
arquivos críticos, evitando que sejam modificados, corrompidos ou acessados por
usuários não autorizados.
§ 1º Os conjuntos de dados utilizados nos testes da fábrica de software
devem ser distintos dos utilizados no ambiente de produção.
§ 2º O acesso aos códigos-fonte dos sistemas deve ser rigorosamente
controlado e autorizado pela área de TI.
§ 3º O acesso aos arquivos armazenados nos servidores de arquivos da ANA
deverá ser autorizado pela autoridade máxima da área responsável, ou por usuários
previamente autorizados para essa finalidade.
§ 4º A STI é responsável por autorizar o acesso dos novos usuários da ANA
aos arquivos de suas respectivas unidades, podendo delegar essa responsabilidade aos
pontos focais das unidades.
SEÇÃO XXVI
SEGURANÇA DE NAVEGAÇÃO
Art. 64. A segurança de navegação refere-se a práticas e estratégias adotadas
para proteger os usuários da ANA contra roubos online, fraudes e outras ameaças digitais.
Art. 65. Os usuários deverão cumprir os seguintes pontos:
I - verificar a URL dos sites;
II - evitar a reutilização de senhas;
III - desabilitar o preenchimento automático de formulários ou a função de
"lembrar senha";
IV - ler as políticas de privacidade dos sites;
V - ativar bloqueadores de pop-ups;
VI - restringir a coleta de dados por sites;
VII - limpar regularmente o histórico de navegação; e
VIII - utilizar a navegação anônima ou privativa sempre que possível.
SEÇÃO XXVII
INTELIGÊNCIA ARTIFICIAL (IA)
Art. 66. A ANA utilizará normas internacionais que regulamenta o uso da IA,
como a ABNT NBR ISO/IEC 38507.
Art. 67. A Agência deverá trabalhar na implementação de normas adequadas
que auxiliam para uma governança eficaz da IA, com foco em responsabilidade social,
gestão de riscos, viés e qualidade.
Art. 68. A ANA deverá garantir uma supervisão eficaz da governança da IA
implementando controles adequados para assegurar que as políticas e práticas adotadas
estejam alinhadas com os objetivos estratégicos e os valores da instituição.
Art. 69. A ANA terá as seguintes estratégias em relação à regulação e ao uso
ético da IA:
I - estabelecer, de maneira multissetorial, espaços para a discussão e definição
de princípios éticos a serem observados na pesquisa, no desenvolvimento e no uso da IA;
II - estimular ações de transparência e de divulgação responsável quanto ao uso
de sistemas de IA;
III - desenvolver técnicas para identificar e tratar o risco de viés algorítmico;
IV - elaborar política de controle de qualidade de dados para o treinamento de
sistemas de IA;
V - criar parâmetros sobre a intervenção humana em contextos de IA em que o
resultado de uma decisão automatizada implica um alto risco de dano para o indivíduo; e
VI - incentivar a exploração e o desenvolvimento de mecanismos de revisão
apropriados em diferentes contextos de utilização de IA.
Art. 70. A POSIC aplicará governança de IA no âmbito da ANA, obedecendo às
seguintes diretrizes:
I- promover o desenvolvimento de padrões voluntários e consensuais para
gerenciar os riscos associados aos aplicativos de IA;
II- estimular o uso de conjuntos de dados representativos para treinar e testar
modelos;
III - melhorar a qualidade dos dados disponíveis, de modo a facilitar a detecção
e correção de vieses algorítmicos;
IV - desenvolver diretrizes para a elaboração de Relatórios de Impacto de
Proteção de Dados (RIPD);
V - elaborar campanhas educacionais e de conscientização;
VI - apresentar relatórios com estatísticas e resultados do serviço
implementado; e
VII - estabelecer mecanismos supervisores para monitorar o uso da IA para
atividades de segurança.
SEÇÃO XXVIII
PROPRIEDADE DA INFORMAÇÃO
Art. 71. Toda e qualquer informação gerada, adquirida, utilizada ou armazenada
pela ANA é considerada parte do seu patrimônio e deve ser protegida quanto aos aspectos
de confidencialidade, autenticidade, integridade e disponibilidade, considerando os
seguintes dispositivos:
I - toda informação criada ou custodiada que for manuseada, armazenada,
transportada ou eliminada pelo colaborador e agente público da ANA, no exercício de suas
atividades, é de propriedade desta entidade e será protegida segundo estas diretrizes e nas
regulamentações em vigor, conforme a classificação das informações, sem prejuízo da
autoria, conforme definido em lei e de acordo com as diretrizes de Classificação da
Informação da ANA;
II - quando da obtenção de informação de terceiros com direitos de uso
restrito, o gestor da informação deve providenciar, junto à concedente, a documentação
formal atinente aos direitos de acesso, antes de seu uso;
III - na cessão de bases de dados custodiadas ou de informação de propriedade
da ANA a terceiros, o gestor da informação deve providenciar a documentação formal
relativa à autorização de acesso às informações, conforme as diretrizes de Classificação da
Informação da ANA;
IV - deve-se estabelecer procedimentos apropriados para garantir a
conformidade dos requisitos legislativos, regulamentares e contratuais no uso de material,
em relação aos quais pode haver direitos de propriedade intelectual e o uso de produtos
de softwares proprietários de acordo com as diretrizes de aquisição, desenvolvimento e
manutenção de sistemas;
V - o armazenamento e o processamento de informações baseado em
computação em nuvem devem obedecer às diretrizes e normas complementares dessa
POSIC e a legislação brasileira, que deve prevalecer sobre qualquer outra, de modo a ter
todas as garantias legais enquanto tomadora do serviço e proprietária das informações
hospedadas na nuvem;
VI - a informação hospedada na estrutura do Datacenter da ANA deve fazer uso
de solução de backup (cópia de segurança) com locais, frequência e demais diretrizes
previstas em norma complementar; e
VII - deve-se estabelecer procedimentos de privacidade e proteção de dados
que estejam em conformidade com as exigências das legislações relevantes,
regulamentações e cláusulas contratuais de acordo com as diretrizes de proteção de dados
pessoais da ANA.
Parágrafo único. Os dados privados, pessoais e sensíveis do titular, de crianças
e adolescentes devem ser processados de forma legal, justa e transparente em relação aos
seus titulares.
SEÇÃO XXIX
CLASSIFICAÇÃO E TRATAMENTO DA INFORMAÇÃO
Art. 72. Toda informação deverá ser protegida durante seu acesso, tráfego, uso,
armazenamento e descarte, conforme sua classificação em níveis de sigilo, de acordo com
o estabelecido pelos normativos vigentes.
Parágrafo único. As orientações, regras e responsabilidades relativas à
classificação, reclassificação, desclassificação, tratamento e descarte das informações
produzidas ou custodiadas pela ANA no exercício de suas competências serão
regulamentadas em normas complementares.
Art. 73. A classificação e o tratamento da informação devem seguir os seguintes
requisitos e critérios:
I - considerar o valor, os requisitos legais, a sensibilidade e a criticidade da
informação para a ANA;
II - definir e implementar um conjunto adequado de procedimentos para
rotulação e tratamento das informações, conforme critério de classificação adotado pela
ANA; e
III - garantir que toda informação criada, manuseada, armazenada, transportada
ou eliminada pela ANA seja classificada com base nos princípios de confidencialidade,
integridade e disponibilidade.
Art. 74. A classificação e o tratamento de informação devem:
I - estar alinhados à legislação específica sobre a proteção de dados,
informações, documentos e materiais sigilosos de interesse da segurança da sociedade e do
Estado, no âmbito da Administração Pública Federal (APF), em especial a Lei nº 12.527, de
2011, o Decreto nº 7.845, de 2012, e a Portaria ANA nº 468, de 5 de dezembro de 2023;
II - ser implementados e mantidos em conformidade com a legislação vigente,
assegurando a aplicação dos controles de segurança adequados a cada informação
custodiada ou de propriedade da ANA, ao longo de seu ciclo de vida; e
III - observar as diretrizes específicas de classificação da informação
estabelecidas pela ANA.
Art. 75. As informações sob gestão da ANA devem ser protegidas contra acessos
e usos indevidos, sendo que aquelas classificadas como de alta criticidade exigirão medidas
especiais de tratamento, conforme diretrizes de classificação da informação da ANA.
Parágrafo único. A ANA por meio do gestor responsável pelo tratamento e
classificação das informações deverá avaliar e definir os procedimentos necessários para
garantir o cumprimento das disposições desta seção.
SEÇÃO XXX
TECNOLOGIAS DISRUPTIVAS
Art. 76. As tecnologias disruptivas devem ser consideradas pela ANA como
ferramentas estratégicas para modernizar processos, substituindo métodos tradicionais por
soluções mais eficientes, ágeis e seguras.
§ 1º A adoção dessas tecnologias deve permitir o armazenamento seguro e
otimizado de dados, bem como sua integração com softwares avançados de leitura,
possibilitando a categorização, distribuição e avaliação das informações geridas pela ANA.
§ 2º Entre as tecnologias disruptivas a serem exploradas, destaca-se a Internet
das Coisas (IoT), uma rede expansiva de dispositivos conectados à internet, que viabiliza a
intercomunicação entre aparelhos e otimiza a execução de atividades institucionais.
§ 3º A ANA deve utilizar essas inovações para aprimorar a qualidade e reduzir
o custo dos serviços prestados ao cidadão, promovendo uma gestão pública mais eficiente,
eficaz, efetiva e inovadora.
CAPÍTULO V
PAPÉIS E RESPONSABILIDADES DE CADA UORG
Art. 77. A estrutura de Gestão de Segurança da Informação na ANA será
composta pelo Gestor de Segurança da Informação (GSI), pela CGDI e pela ETIR.
§ 1º De forma complementar, a atribuição de responsabilidades para Segurança
da Informação no âmbito da ANA será exercida pela:
I - Superintendência de Tecnologia da Informação (STI): executa atividades
pertinentes à segurança lógica do ambiente e dos recursos de processamento da
informação;
II - Comissão Permanente de Avaliação de Documentos Sigilosos - (CPADS):
responsável pela verificação do cumprimento das determinações legais pertinentes ao
acesso a documentos de caráter sigiloso e pela análise periódica dos documentos sob
custódia da ANA, submetendo à Diretoria proposta motivada de classificação dos
documentos a terem tratamento sigiloso na organização, bem como dos procedimentos a
serem adotados na sua tramitação e os prazos para sua desclassificação;
II - Superintendência de Administração, Finanças e Gestão de Pessoas (SAF):
executa atividades pertinentes à segurança física e patrimonial do ambiente e dos recursos
de processamento da informação;
IV - Coordenação-Geral de Gestão de Pessoas (CGGEP): executa ações de
treinamento e desenvolvimento referentes à SIC, bem como os referentes a recursos
humanos que interajam com os recursos de processamento da informação;
V - Assessoria de Comunicação (ASCOM): executa atividades relacionadas à
comunicação institucional, divulgando e disseminando as orientações emanadas pela
POSIC; e
VI - Auditoria Interna (AUD): executa abordagem sistemática e disciplinada para
avaliação e melhoria da efetividade dos processos de SIC.
CAPÍTULO VI
DAS PENALIDADES
Art. 78. Qualquer ação que viole esta POSIC, suas diretrizes, normas ou
procedimentos, bem como que infrinja os controles de SIC, será devidamente apurada,
aplicando-se aos responsáveis as sanções penais, administrativas e civis cabíveis.
Parágrafo único. O usuário será responsabilizado criminal, disciplinar e
civilmente por eventuais prejuízos causados à instituição, podendo, inclusive, ser desligado.
Além disso, serão aplicáveis as disposições das seguintes normas:
I - Estatuto do Servidor Público Federal (Lei nº 8.112, de 11 de dezembro de 1990);
II - Código Penal (Decreto-Lei nº 2.848, de 7 de setembro de 1940);
III - Código Civil (Lei nº 10.406, de 10 de janeiro de 2002);
IV - Lei Geral de Proteção de Dados Pessoais - LGPD (Lei nº 13.709, de 14 de
agosto de 2018);
V - Marco Civil da Internet (Lei nº 12.965, de 23 de abril de 2014); e
VI - demais legislações vigentes ou futuras que regulem a matéria.
CAPÍTULO VII
DA POLÍTICA DE PROTEÇÃO DE DADOS
Art. 79. A Política de Proteção de Dados visa estabelecer diretrizes e
compromissos instrucionais sobre o tratamento de dados pessoais, nos meios físicos e
digitais, para proteção dos direitos fundamentais de liberdade, segurança e de privacidade
no âmbito da ANA pelo seguinte arcabouço legal:
I - Portaria ANA nº 385, de 20 de outubro de 2021; e
II - Portaria ANA nº 468, de 5 de dezembro de 2023.
CAPÍTULO VIII
DIVULGAÇÃO E CONSCIENTIZAÇÃO
Art. 80. A divulgação das regras e orientações de Segurança da Informação
aplicadas aos usuários deve ser objeto de campanhas internas permanentes,
disponibilização integral e contínua na Intranet, seminários de conscientização e
quaisquer outros meios, com vistas à criação de uma cultura de Segurança da
Informação no âmbito da ANA.
Parágrafo único. Cabe ao Gestor de SIC providenciar a divulgação interna da
POSIC e das normas dela decorrentes, inclusive com publicação na intranet da ANA, e
desenvolver processo permanente de divulgação, sensibilização, conscientização e
capacitação dos usuários sobre os cuidados e deveres relacionados ao SIC.
CAPÍTULO IX
ATUALIZAÇÃO E VALIDADE
Art. 81. A SIC, tanto em meio digital quanto físico, deve ser continuamente
monitorada e aprimorada, sendo periodicamente revisada e atualizada para assegurar
a melhoria contínua da qualidade dos processos internos.
Parágrafo único. A POSIC deverá ser revisada sempre que se fizer
necessário, em função de alterações na legislação pertinente ou nas diretrizes políticas
do Governo Federal, ou ainda conforme os seguintes critérios:
I - nível de aprovação: pelo Comitê de Segurança da Informação e
Comunicação (CSIC), representado pela Câmara de Governança Digital e Segurança da
Informação e Comunicações (CGDI); e
II - periodicidade de revisão: sempre que aplicável, não podendo exceder o
prazo de três anos.
ANEXO II
TERMO DE SIGILO E RESPONSABILIDADE
Nome do Colaborador:
Matrícula:
Cargo/Função:
Cláusula Primeira - Declaro ter conhecimento da Política de Segurança da
Informação e Comunicações (POSIC) adotada pela ANA para utilização dos bens e
recursos de informação, e comprometo-me ao seu fiel cumprimento e observância das
normas a ela inerentes, em toda a sua abrangência.
Cláusula Segunda- Reconheço que todos os sistemas existentes na ANA, bem
como todas as informações registradas em suas bases de dados, são de propriedade
ou de direito de uso exclusivos da ANA, sendo vedada a sua cópia ou distribuição sem
autorização prévia e formal.
Cláusula Terceira - Comprometo-me a manter sigilo absoluto sobre os
sistemas e informações a mim confiados a que venha a ter conhecimento em função
da execução de atividades desenvolvidas por mim para atendimento dos objetivos da
ANA.
Cláusula Quarta - Estou ciente de que os softwares fornecidos pela ANA
devem ser utilizados apenas nos equipamentos da ANA, salvo nas hipóteses previstas
em Norma Complementar à POSIC. Ademais, não me é permitido instalar qualquer
software de terceiros que não tenha sido prévia e formalmente autorizado pela equipe
de Segurança da Informação.
Cláusula Quinta - Autorizo a ANA, em caráter irretratável e irrevogável, a ter
acesso irrestrito a todas as correspondências enviadas e recebidas nos endereços
eletrônicos disponibilizados pela Autarquia. Estou ciente e concordo que a utilização do
correio eletrônico deve ocorrer em consonância com o disposto na POSIC e em suas
Normas Complementares.
Cláusula Sexta - Estou ciente e concordo que a utilização da internet deve
ocorrer em consonância com o disposto na POSIC.
Cláusula Sétima - Estou ciente de que a ANA pode monitorar o uso, por
parte do colaborador, das informações e dos recursos de TI da ANA, conforme previsto
na POSIC e nas suas Normas Complementares, sem prejuízo das ações disciplinares que
possam ser tomadas.
Cláusula Oitava - Comprometo-me a manter as informações e recursos de TI
a mim confiados protegidos de acessos indevidos, procurando cumprir as políticas e
orientações de uso elencados na POSIC.
Cláusula Nona - Estou ciente de que as senhas de acesso aos sistemas e a
ambientes físicos têm caráter confidencial, pessoal e intransferível, sendo minha
responsabilidade zelar pelo seu sigilo.
Cláusula Décima - Declaro que tenho o conhecimento de que todas as
minhas ações nos sistemas da ANA podem ser registradas e posteriormente
averiguadas por essa Autarquia, sem prejuízo das ações disciplinares que possam ser
tomadas.
Cláusula Décima Primeira - Declaro, estar ciente da obrigação de preservar
os recursos a mim confiados e que o descumprimento dos itens constantes desta
declaração e das normas de segurança e comunicação da POSIC serão considerados
atos de negligência.
_________________________
Assinatura do Agente público/Colaborador
(assinado eletronicamente)
(NOME EM MAIÚSCULAS)