PORTARIA CNPQ Nº 2.554, DE 1º DE DEZEMBRO DE 2025

PORTARIA CNPQ Nº 2.554, DE 1º DE DEZEMBRO DE 2025
Dispõe sobre o Programa de Gerenciamento de
Vulnerabilidades, estabelecendo um conjunto de
diretrizes e regras para o uso e manutenção
adequados do programa de gerenciamento contínuo
de vulnerabilidades corporativas do CNPq.
O Presidente Substituto do CONSELHO NACIONAL DE DESENVOLVIMENTO
CIENTÍFICO E TECNOLÓGICO - CNPq, no uso das atribuições que lhe são conferidas pelo
Estatuto aprovado pelo Decreto nº 11.229, de 7 de outubro de 2022 e em conformidade
com decisão do Comitê de Segurança da Informação em sua 2ª (segunda) reunião, de 25
de março de 2025, a Portaria CNPq nº 1.019, de 30 de agosto de 2022 - Política de
Segurança da Informação do CNPq (PoSIN), e a motivação constante do Processo nº
01300.002308/2025-34, resolve:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Objeto e âmbito de aplicação
Art. 1º Homologa norma complementar à POSIN que estabelece um conjunto
de diretrizes e regras para o uso e manutenção adequados de programa de
gerenciamento de vulnerabilidades corporativas do CNPq, com objetivo de gerenciar o
ciclo de vida e a gestão de vulnerabilidades, de modo a garantir que os ativos de
informação não contenham vulnerabilidades, que seus riscos sejam conhecidos e que sua
superfície de exposição e fragilidade seja continuamente reduzida, eliminada e, ou,
protegida.
Programa de Gerenciamento de Vulnerabilidades
Art. 2º O Programa de Gerenciamento de Vulnerabilidades (PGV) será
implementado, mantido e aplicado a todos os ativos de informação que sustentam os
serviços do CNPq, incluindo, mas não se limitando a:
I - rede de comunicação;
II - aplicações web;
III - plataformas;
IV - aplicativos móveis;
V - sistemas operacionais;
VI - APIs;
VII - servidores web; e
VIII - demais ativos classificados, sejam eles homologados, oficiais ou não.
Parágrafo único. O PGV é organizado nos seguintes ciclos principais:
I - detecção;
II - relatórios; e
III - remediação.
Art. 3º O PGV deverá conter a implementação de mecanismos para obter
informações oportunas e de fonte confiável sobre vulnerabilidades nos sistemas e ativos,
a avaliação da exposição do CNPq a tais vulnerabilidades e a implementação de
salvaguardas apropriadas para lidar com o risco associado.
§ 1º O mapeamento dos ativos deve constar no escopo do PGV, bem como
suas atualizações, a fim de determinar a marca, o modelo e a versão do hardware e
software utilizados no ambiente do CNPq.
§ 2º O PGV buscará realizar um processo sistemático para identificar, entender
e mitigar possíveis ameaças à segurança de um sistema, aplicativo ou rede, por meio de
modelagem de ameaças.
Métricas de gerenciamento de vulnerabilidades
Art. 4º As funções e responsabilidades formais das equipes para a execução
das atividades previstas nesta norma devem ser estabelecidas de maneira oportuna,
contínua, eficaz e proporcional aos negócios do CNPq.
Art. 5º A consistência e a eficácia do PGV devem ser aferidas por meio de
métricas e indicadores de gerenciamento de vulnerabilidades que atendam às
necessidades do CNPq.
§ 1º As métricas deverão ser definidas pelo Comitê de Segurança da
Informação (CSI), aprovadas, revisadas e comunicadas, e suas medições serão
apresentadas de acordo com a periodicidade definida pelo Coordenador do Comitê.
§ 2º Quando aplicável, as métricas de que trata o caput poderão ser
compartilhadas com outras unidades do CNPq que tenham responsabilidade direta ou
indireta sobre os desvios das métricas.
Detecção de vulnerabilidades
Art. 6º As funções, as atividades e as responsabilidades das equipes de
detecção de vulnerabilidades devem ser estabelecidas, comunicadas e conhecidas.
Art. 7º Devem ser utilizadas as seguintes ferramentas e métodos para
detecção de vulnerabilidades:
I - ferramentas de monitoramento de rede e Sistemas de Detecção de
Intrusões (IDS), para identificar e responder rapidamente a atividades suspeitas;
II - Testes Estático e Dinâmico de Segurança de Aplicações do CNPq (SAST e
DAST), por meio de ferramentas de Segurança de Aplicações (AppSec) reconhecidas no
mercado;
III - varreduras de vulnerabilidades na rede corporativa, realizadas por equipe
interna, terceiros ou uma combinação de ambos; e
IV - testes de intrusão, realizados periodicamente conforme a necessidade do
CNPq, em situações atípicas, anormalidades, demandas e, ou, projetos pontuais.
§ 1º As ferramentas de detecção devem ser configuradas e ajustadas
adequadamente de acordo com as necessidades e plataformas tecnológicas do CNPq.
§ 2º A frequência dos testes de segurança deve levar em consideração os
requisitos legais, regulamentares ou contratuais, bem como a avaliação dos riscos
associados aos ativos.
§ 3º Para cada teste, é necessário verificar se a varredura ocorreu
corretamente nos ativos analisados, se existem exceções de vulnerabilidades ou falhas de
execução.
§ 4º A detecção manual de vulnerabilidades deve ser considerada como
complemento à detecção automática, em caso de dúvidas ou como medida de dupla
validação.
Elaboração e manutenção dos relatórios
Art. 8º A equipe de gerenciamento de vulnerabilidades deverá elaborar
relatórios após cada ciclo de detecção para auxiliar o CNPq a entender e mensurar as
vulnerabilidades existentes.
§ 1º Os resultados da varredura devem ser analisados pela equipe para
identificação de possíveis falsos positivos, os quais devem ser justificados e eliminados.
§ 2º Os grupos de ativos de informação devem ser classificados por tipo de
ambiente, sistema, ID, vulnerabilidade ou grupo responsável, a fim de facilitar o
tratamento e encaminhamento.
§ 3º A equipe deverá adotar métricas para os relatórios, incluindo a
porcentagem de ativos vulneráveis por gravidade, de acordo com indicadores como EPSS,
CVSS, VPR, ExPR, QVS ou similares.
Art. 9º O relatório de vulnerabilidades deve ser classificado de acordo com a
sensibilidade das informações e a política de classificação do CNPq.
Parágrafo único. Todas as versões do relatório devem ser formalmente
remetidas ao Comitê de Segurança da Informação e ao gestor de segurança da
informação, com informações estratificadas que destaquem possíveis pontos de
atenção.
Art. 10. Deverá ser mantido um de dados de vulnerabilidades, com
informações de vulnerabilidade, análise para priorização e, quando disponível, o plano ou
recomendação de correção.
§ 1º O banco de dados de que trata o caput deve ser atualizado regularmente
com informações de várias fontes, como sites de segurança, boletins e publicações de
fornecedores.
§ 2º É recomendável que o banco de dados seja integrado a outras
ferramentas de segurança, como scanners e sistemas de gerenciamento de patches, para
agilizar a identificação e correção de vulnerabilidades.
Priorização e remediação das vulnerabilidades
Art. 11. O tratamento de vulnerabilidades deve ser priorizado com base em
sua classificação de risco e criticidade, tempo esperado para correção, impacto em caso
de exploração e no valor que o ativo tem para o CNPq.
Parágrafo único. As vulnerabilidades devem ser tratadas de acordo com seu
nível de severidade e nos prazos estipulados, conforme os indicadores definidos em
procedimento dedicado.
Art. 12. Os testes de vulnerabilidade que resultarem em falha devem ser
reagendados até que sua execução seja concluída com êxito.
Parágrafo único. Caso a vulnerabilidade não possa ser corrigida, ela poderá ser
incluída na lista de exceções, mediante aprovação de pessoal autorizado e com base no
processo de aceitação de risco.
Art. 13. Quando as vulnerabilidades não puderem ser corrigidas dentro do
prazo estabelecido, a equipe de gerenciamento de vulnerabilidades deve enviar um ofício
ao Comitê de Segurança da Informação, contendo, no mínimo:
I - detalhes do sistema, componente ou ativo;
II - descrição detalhada da vulnerabilidade;
III - avaliação de risco que justifique a não correção imediata;
IV - justificativa clara pela qual a correção não pode ser realizada no prazo;
V - detalhes dos controles existentes ou contramedidas aplicáveis;
VI - novo prazo de correção; e
VII - plano de ação da remediação, obedecendo ao novo prazo.
Implementação e verificação das correções de vulnerabilidades
Art. 14. As correções de vulnerabilidades que forem efetivamente testadas em
ambiente de homologação e aprovadas devem ser implantadas em produção.
§ 1º As correções podem incluir a instalação de patches de segurança, ajustes
de configuração, remoção de software e contramedidas.
§ 2º A instalação de patches, notas e ajustes de configuração deve ser
realizada por meio do processo de gestão de mudanças para que os controles
apropriados sejam implementados para teste, avaliação de riscos e respectiva
reparação.
Exceções, logs e comunicações
Art. 15. Para os ativos de informação não contemplados por esta norma em
função de dificuldades técnicas, restrições tecnológicas, obrigações contratuais,
normativas ou outras razões legítimas, as exceções deverão ser documentadas e
aprovadas por meio de um processo de gerenciamento de exceções, conduzido pelo
Comitê de Segurança da Informação.
Parágrafo único. A lista de exceções de ativos de informação deve ter
validade, devendo ser revisada após esse período.
Registros de logs
Art. 16. Deverá ser definido um procedimento para análise de logs, que
contemple, no mínimo:
I - ferramentas de análise e correlação;
II - execução periódica das análises;
III - proteção contra adulteração, acesso não autorizado, uso indevido e, ou,
exfiltração; e
IV - exclusão segura, garantindo que os registros sejam completamente
apagados, em linha com os períodos de retenção legal.
Comunicação das ocorrências
Art. 17. As vulnerabilidades e as informações de correção devem ser comunicadas
aos usuários afetados, como administradores de sistema, proprietários e usuários finais.
Parágrafo único. As correções bem-sucedidas de vulnerabilidades poderão ser
testadas por meio de verificação de vulnerabilidades do ativo, verificação de logs de
patches, testes de invasão e verificação das definições de configuração.
Serviços em nuvem ou de terceiros
Art. 18. Para serviços em nuvem, as responsabilidades compartilhadas do
provedor de serviços com o CNPq devem ser definidas e acordadas em contrato.
Art. 19. Terceiros deverão cumprir os requisitos deste Programa de
Gerenciamento de Vulnerabilidades, sendo essa obrigação incluída em contratos.
Competências
Art. 20. Compete à Coordenação-Geral de Tecnologia da Informação (CGETI):
I - a identificação de potenciais ameaças e vulnerabilidades cibernéticas
quanto ao acesso ao ambiente do CNPq;
II - mapear ameaças, vulnerabilidades e interdependências aos ativos de
informação e tomar ações para evitá-las;
III - prover os meios tecnológicos necessários à utilização, fornecimento e
manutenção do PGV;
IV - manter, em local seguro e restrito, dados de auditoria, logs e demais
informações relevantes acerca da utilização do programa;
V - divulgar esta Norma aos usuários, sendo responsável por sua atualização,
comunicação e conscientização;
VI - zelar pela não introdução de vulnerabilidades ou fragilidades nos ativos ou
ambientes informacionais do CNPq durante sua operação ou em eventos de mudança de
ambiente; e
VII - reportar imediatamente ao setor a que está subordinada, anomalias,
problemas, erros ou situações não identificadas que possam causar indisponibilidade ou
impossibilitem a execução do programa.
Art. 21. Compete à Coordenação-Geral de Administração e Logística (CGLOG)
informar tempestivamente a CGETI sobre exclusões, transferências ou afastamentos de
servidores, estagiários e prestadores de serviço contratados que atuem no CNPq e que
impliquem a necessidade de suspensão ou revogação definitiva da permissão de
acesso.
Art. 22. Compete à Diretoria de Análise de Resultados e Soluções Digitais
(DASD) zelar pelo atendimento aos princípios desta Norma, da segurança, integridade,
sigilo e disponibilidade dos serviços e dados necessários à sustentação do PGV.
Art. 23. Compete à Coordenação-Geral de Gestão de Pessoas (CGGEP)
capacitar, sempre que necessário, os usuários e os responsáveis pela manutenção do
programa para o uso seguro da ferramenta, da tecnologia, dos processos e de seus
recursos.
CAPÍTULO II
DISPOSIÇÕES FINAIS
Art. 24. O usuário que fizer uso de forma indevida ou não-autorizada dos
recursos de tecnologia da informação, em desacordo com os termos desta norma, fica
sujeito à aplicação das penalidades legais.
Art. 25. A partir da data em que esta norma entrar em vigor, estudos serão
realizados no sentido de efetivar as contratações dos serviços citados, a divulgação aos
usuários do órgão e as devidas capacitações de pessoal necessárias ao seu
cumprimento.
Art. 26. Casos omissos e dúvidas com relação a esta Portaria serão submetidos
ao Comitê de Segurança da Informação.
Art. 27. Esta Portaria entra em vigor 90 (noventa) dias após a data de sua
publicação.
OLIVAL FREIRE JUNIOR