PORTARIA LNA Nº 415, DE 6 DE MAIO DE 2026 (parte 2 de 3)

ANEXO
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÃO - POSIC
Art. 1º A presente Política de Segurança da Informação e Comunicação
(POSIC) do LNA tem por finalidade estabelecer diretrizes, objetivos, competências e
responsabilidades para o manuseio, tratamento, controle e proteção dos dados,
informações e conhecimentos custodiados ou de propriedade do LNA, de forma a
viabilizar e assegurar sua disponibilidade, integridade, confidencialidade e
autenticidade.
CAPÍTULO I
DO ESCOPO
Art. 2º Esta POSIC se aplica a todas as coordenações do LNA, e deverá ser
cumprida por todos os servidores, colaboradores, pesquisadores, estagiários, alunos e
prestadores de serviço que exerçam atividades, ou quem tenha acesso a dados ou
informações no ambiente do LNA.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 3º Para fins da POSIC considera-se:
I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação,
bem como a possibilidade de usar os ativos de informação de um órgão ou
entidade;
II - ameaça: causa potencial de um incidente indesejado, que pode resultar
em danos a um sistema ou organização;
III - aplicações: programa de computador que tem por objetivo ajudar o seu
usuário a desempenhar uma tarefa específica, em geral ligada a processamento de dados;
IV - ambiente do Laboratório Nacional de Astrofísica: toda a esfera lógica ou
funcional do LNA, não restrito às dependências físicas do LNA;
V - ativo: tudo que tenha ou gere valor para a organização;
VI - ativos de informação: os meios de armazenamento, transmissão e
processamento da informação; os equipamentos necessários a isso; os sistemas
utilizados para tal; os locais onde se encontram esses meios, e também os recursos
humanos que a eles têm acesso;
VII - comitê de Segurança da Informação e Comunicação - CSIC: grupo de
pessoas com a responsabilidade de assessorar a implementação das ações de
segurança da informação e comunicação no âmbito do LNA;
VIII - controle: meios de gestão de riscos, práticas ou estruturas organizacionais,
que podem ser de natureza administrativa, técnica, gerencial ou legal;
IX - evento: incidente ou ocorrência, a partir de fontes internas ou externas
a uma entidade, capaz de afetar a realização dos seus objetivos;
X - gestor de Segurança da Informação e Comunicação: responsável pelas
ações de segurança da informação e comunicação no âmbito do LNA;
XI - impacto: efeito de um incidente com origem interna ou externa ao LNA
com influência adversa direta ou indireta às finalidades do LNA;
XII - incidente: qualquer evento que não seja parte da operação padrão do
serviço e que cause ou possa causar interrupção ou redução na qualidade desse serviço;
XIII - incidentes de segurança da informação e comunicação: eventos de
segurança da informação e comunicação indesejados ou inesperados, que tenham
grande probabilidade de comprometer as operações do LNA e ameaçar a segurança da
informação e comunicação;
XIV - informação: dados, processados ou não, que podem ser utilizados para
produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;
XV - recursos de processamento da informação: qualquer sistema físico ou
lógico de processamento da informação, serviços e infraestrutura relacionados, inclusive
as instalações físicas que os abriguem;
XVI - segurança da Informação e Comunicação (SIC): conjunto de ações que
objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e
a autenticidade das informações; e
XVII - usuários: Todos os servidores, colaboradores, pesquisadores,
estagiários, alunos e prestadores de serviço que exerçam atividades, ou quem tenha
acesso a dados ou informações no ambiente do LNA.
CAPÍTULO III
DOS PRINCÍPIOS
Art. 4º A Segurança da Informação busca reduzir os riscos de vazamentos,
fraudes, erros, uso indevido, sabotagens, paralisações, roubo de informações ou
qualquer outra ameaça que possa prejudicar os sistemas de informação, os recursos de
processamento da informação ou os equipamentos de uma organização.
CAPÍTULO IV
DAS DIRETRIZES GERAIS
Art. 5º No ambiente do LNA, os recursos de processamento da informação
e comunicação devem ser utilizados de forma segura.
Art. 6º Os usuários não podem, em qualquer tempo ou sob qualquer
propósito, apropriar-se de informações de forma não autorizada.
Parágrafo único. Não há necessidade de autorização específica para o
usuário apropriar-se de informações constantes na página pública da internet do LNA
ou enquanto tiver respaldo legal para apropriar-se da informação.
Art. 7º O cumprimento da POSIC será acompanhado pelo Comitê de
Segurança da Informação e Comunicação do LNA, nomeado pelo Diretor do LNA.
Art. 8º Quaisquer recursos de Tecnologia da Informação e Comunicação
(TIC) serão testados antes de serem colocados em produção.
Parágrafo único. O Comitê de Segurança da Informação e Comunicação
poderá elaborar uma lista de recursos de TIC com procedência considerada segura e
que não serão submetidos às disposições constantes no caput deste artigo.
Art. 9º Os usuários estão sujeitos à POSIC e têm o dever de observar
integralmente o disposto. A inobservância dessa política acarretará penalidades
previstas no âmbito penal, civil e administrativo, na forma da legislação vigente.
Art. 10. Os usuários são responsáveis pela segurança dos ativos de
informação e processos que estejam sob sua responsabilidade.
Parágrafo único. Ativos de tecnologia da informação e comunicação que
necessitem de proteção em patamar acima dos demais, devido à sua criticidade e
importância devem ser isolados e com controle restrito de acesso físico e lógico. O
LNA deve adotar ações de caráter preventivo para a contínua segurança e
disponibilidade desses ativos de tecnologia da informação e comunicação.
Art. 11. O gestor responsável pelos processos inerentes à gestão da
segurança da informação receberá capacitação em segurança da informação e
comunicação.
Art. 12. Os contratos firmados pelo LNA poderão conter clausulas que
determinem a observância desta POSIC e das normas dela derivada sempre que os
contratos implicarem no uso dos recursos de processamento de informação do LNA
pelos contratados.
Art. 13. É vedado, a qualquer usuário do LNA, o uso dos recursos de TIC
para fins pessoais (próprios ou de terceiros), entretenimento, veiculação de opiniões
político-partidárias ou religiosas, bem como para perpetrar ações que, de qualquer
modo, possam constranger, assediar, ofender, caluniar, ameaçar, violar direito autoral
ou causar prejuízos a qualquer pessoa física ou jurídica, assim como aquelas que
atentem contra a moral e a ética ou que prejudiquem o cidadão ou a imagem desta
entidade, comprometendo a integridade, a confidencialidade, a confiabilidade,
autenticidade ou a disponibilidade das informações.
CAPÍTULO V
DAS DIRETRIZES ESPECÍFICAS
Seção I
Da propriedade da informação
Art. 14. Informação é patrimônio. Toda e qualquer informação gerada,
adquirida, utilizada ou armazenada pelo LNA é considerada parte do seu patrimônio e
deve ser protegida quanto aos aspectos de confidencialidade, autenticidade,
integridade e disponibilidade:
I - toda informação criada ou custodiada que for manuseada, armazenada,
transportada ou descartada pelo usuário do LNA, no exercício de suas atividades, é de
propriedade desta entidade e será protegida segundo estas diretrizes e nas
regulamentações em vigor, sem prejuízo da autoria, conforme definido em lei;
II - o LNA adotará procedimentos apropriados para garantir a conformidade
dos requisitos legislativos, regulamentares e contratuais no uso de material, em relação
aos quais pode haver direitos de propriedade intelectual e o uso de produtos de
softwares proprietários;
III - o LNA observará a privacidade e zelará pela proteção de dados em
conformidade com as exigências das legislações relevantes, regulamentações e cláusulas
contratuais de acordo com a norma de proteção de dados pessoais; e
IV - Fica vedado, sob pena de sanções administrativas, cíveis e penais
cabíveis, vazar ou repassar, sem autorização, informações estratégicas, operacionais, de
segurança ou de inteligência do LNA.
Seção II
Dos controles de acesso e uso de senhas
Art. 15. O controle de acesso e uso de senhas visa contribuir para a
garantia da integridade, disponibilidade, confidencialidade e autenticidade das
informações do LNA e observará as seguintes cláusulas:
I - os usuários que utilizam os recursos de TIC terão uma conta especifica
de acesso, pessoal e intransferível (a área de tecnologia da informação é responsável
pela disponibilização do serviço);
II - poderão existir contas de acesso compartilhadas em determinados recursos
de TIC, desde que autorizadas pelo chefe ou responsável pela coordenação; e
III - O LNA deve conter ferramentas de proteção contra acesso não
autorizado aos ativos de informação.
§ 1º O uso dos recursos de TIC será controlado e limitado ao cumprimento
das atribuições de cada usuário do LNA;
§ 2º Sempre que houver mudanças nas atribuições de determinado usuário,
será de responsabilidade da chefia imediata solicitar a adequação imediata dos
privilégios de acesso às informações e dos recursos de TIC;
§ 3º No caso de desvinculação temporária ou definitiva do usuário, os
privilégios de acesso serão suspensos ou cancelados;
§ 4º Os usuários serão orientados, de forma regular e periódica, a seguir as
boas práticas de segurança da informação e comunicação na seleção e uso de senhas;
§ 5º Os usuários serão orientados a adotar uma politica de "mesa limpa"
e de "tela protegida" para reduzir os riscos de acesso não autorizado, perda e dano
à informação, durante e fora do horário de trabalho;
§ 6º O processo de login nos computadores / servidores de redes e sistemas de
informação devem ser configurados com o intuito de se ter procedimento seguro;
§ 7º Quando possível, os sistemas operacionais e aplicações disponibilizadas,
deverão ser configurados de maneira que os usuários tenham permissão para alterar as
suas próprias senhas de entrada no sistema (log-in), principalmente no primeiro acesso;
§ 8º Programas utilitários que possuam a capacidade de sobrepor os
controles dos sistemas e aplicações serão de uso restrito e controlado, sendo que sua
instalação e uso necessitam da autorização prévia do Gestor de segurança da
Informação e Comunicação;
§ 9º Todos os recursos de TIC devem possuir conta e senha de
administrador;
§ 10. O acesso à rede de dados do LNA por meio de dispositivos pessoais
(notebook, computador, tablet ou celular) será permitido mediante a assinatura
do termo de responsabilidade e o fornecimento, pelo usuário, do(s) endereço(s) MAC
(endereço de controle de acesso ao meio) de seu(s) dispositivo(s).
Seção III
Da gestão de ativos da informação
Art. 16. A gestão de ativos deverá observar ao seguinte:
I - os ativos associados à informação e aos recursos de processamento da
informação devem ser identificados, e um inventário desses ativos seja estruturado e mantido;
II - todas as informações e ativos associados a recursos de processamento
da informação serão controladas pelas coordenações que disponham do recurso ou
serviço; e
III - a cada um dos ativos identificados, será indicado um responsável
(proprietário) e a classificação do ativo a ser identificado.
Seção IV
Da classificação da informação
Art. 17. Informações geradas, adquiridas ou custodiadas pelo LNA podem
possuir classificação para indicar a necessidade, a prioridade e o nível esperado de
proteção quanto ao seu tratamento.
Parágrafo único. Quando classificadas, serão observadas as exigências das
atividades da instituição, considerando as implicações que um determinado grau de
classificação trará para os seus objetivos institucionais, observando a legislação em vigor.
Seção V
Da segurança física e do ambiente
Art. 18. A segurança física dos recursos de TIC obedecerá aos seguintes critérios:
I - a área responsável pela segurança do LNA deverá implementar
perímetros de segurança a fim de garantir proteção e separação entre ambientes
internos e externos;
II - as áreas seguras serão protegidas por controles apropriados de entrada
para assegurar que somente pessoas autorizadas tenham acesso;
III - instalações, escritórios e salas possuirão projeto de segurança física,
aprovado por órgão especialista em segurança, que contemple saídas de emergência,
extintores posicionados de maneira estratégica e revisões periódicas das instalações; e
IV - os recursos de TIC que operem fora das dependências do LNA, estarão
sujeitos às regras internas que tratem de operações externas, levando em conta os
diferentes riscos decorrentes do fato de se trabalhar fora das dependências do LNA.
Seção VI
Da segurança em recursos humanos
Art. 19. Os usuários devem ter ciência:
I - das ameaças e preocupações relativas à segurança da informação e
comunicação, e
II - de suas responsabilidades e obrigações conforme estabelecido nesta POSIC.
Seção VII
Da gestão de riscos
Art. 20. A gestão de riscos deverá ser realizada de forma sistemática e
contínua e englobar todos os ativos de informação do LNA, visando a tratar riscos
relacionados à disponibilidade, integridade, confidencialidade, autenticidade, bem como
a melhoria da segurança da informação e comunicação na Instituição.
Seção VIII
Do tratamento de incidentes e eventos adversos
Art. 21. Toda informação institucional será mantida em local que a
salvaguarde adequadamente.
Art. 22. A gestão de incidentes de segurança da informação e comunicação
seguirá os seguintes critérios e procedimentos:
I - os incidentes de segurança da informação serão relatados pelo usuário
afetado para o Gestor de Segurança da Informação e Comunicação por meio dos canais
apropriados da Instituição, o mais rápido possível; e
II - os usuários serão instruídos a registrar e notificar ao Gestor de
Segurança da informação e Comunicação, qualquer observação ou suspeita de
fragilidade de segurança em sistemas ou serviços.
Art. 23. Soluções de contorno aplicadas para minimizar a ocorrência de
incidentes de segurança serão temporárias e imediatamente submetidas ao Gestor de
Segurança da informação e Comunicação até que a solução definitiva do problema seja
implementada.
Art. 24. As evidências dos incidentes de segurança serão coletadas,
armazenadas, caso um incidente de segurança possa resultar em um processo contra
uma pessoa ou organização.
Seção IX
Da criptografia
Art. 25. O uso de recursos criptográficos no LNA seguirá as orientações
previstas na Norma Complementar nº 09/IN01/DSIC/GSIPR.
Art. 26. O usuário é responsável pelo recurso criptográfico que receber.
Seção X
Da auditoria e conformidade
Art. 27. O uso dos recursos de TIC disponibilizados pelo LNA é passível de
monitoramento e auditoria. Devem ser implementados e mantidos, sempre que
possível, mecanismos que permitam a sua rastreabilidade.
Art. 28. A entrada e a saída de ativos de informação do LNA, bem como
sua publicação e disponibilização, serão registradas e autorizadas por autoridade
competente mediante procedimento formal.
Seção XI
Do planejamento e aceitação dos sistemas
Art. 29. O planejamento e aceitação dos sistemas do LNA seguirão ao
seguinte:
I - as aplicações adquiridas devem ser seguras;
II - devem ser feitos os testes nas aplicações a fim de se comprovar que
erros, falhas e vulnerabilidades foram, efetivamente, evitados dentro do ciclo de
desenvolvimento dessas soluções;
Parágrafo único. O Comitê de Segurança da Informação e Comunicação
poderá elaborar uma lista de aplicações com procedência considerada segura e que
não serão submetidos às disposições constantes neste inciso.
III - a infraestrutura de rede será adequadamente gerenciada e controlada,
de forma a protegẽ-la contra ameaças, reduzir as vulnerabilidades e manter a
segurança de sistemas e aplicações que a utilizem;
IV - a integridade das informações disponibilizadas nos sistemas do LNA e
publicamente acessíveis serão protegidas para prevenir modificações não autorizadas; e
V - os relógios de todos os sistemas de processamento da informação,
dentro do LNA, serão sincronizados de acordo com a hora oficial do Network Time
Protocol - NTP.
Art. 30. É desejável a produção e manutenção, por período de tempo
previamente determinado, de registros (logs) que possam ser usados como trilha de
auditoria, contendo atividades dos usuários, exceções e outros eventos de segurança
da informação e comunicação para auxiliar em futuras investigações e monitoramento
de controle de acesso.
Seção XII
Dos serviços terceirizados
Art. 31. Os serviços terceirizados seguirão ao seguinte:
I - o LNA deverá, em seus relacionamentos contratuais com terceiros,
definir, especificamente, quais serviços e atividades serão autorizados para acesso e
manuseio por terceiros;
II - todo acesso por terceiros às informações e ativos do LNA deverão ser
autorizados pela Chefia de cada Coordenação ou pela Diretoria; e
III - toda atualização da POSIC do LNA bem como de procedimentos,
sistemas e processos envolvidos poderão, a critério da Diretoria do LNA, ser repassados
a terceiros contratados a fim de se manter alinhado o conhecimento e implementação
de mudanças de segurança necessárias ao Instituto.
Seção XIII
Da aquisição, do desenvolvimento e da manutenção de sistemas de
informação e comunicação
Art. 32. O uso, aquisição, desenvolvimento e manutenção de sistemas de
informação e comunicação observarão ao seguinte:
I - a utilização de qualquer software que necessitar ser instalado, por
necessidade do serviço, deverá ser solicitada com antecedência à área de Tecnologia
da Informação do LNA;
Parágrafo único. O Comitê de Segurança da Informação e Comunicação
poderá elaborar uma lista de aplicações com procedência considerada segura e que
não serão submetidos às disposições constantes neste inciso.
II - fica terminantemente proibida a instalação de qualquer software sem a
devida licença de uso. Da mesma forma, não é permitido conectar a rede do LNA
dispositivos pessoais que contenham softwares não licenciados. Após solicitação à área de
Tecnologia da Informação do LNA, se julgado pertinente, softwares livres poderão ter sua
instalação permitida. A responsabilidade por infrações a esta diretriz é do próprio usuário
que deverá arcar com as responsabilidades legais e financeiras do ato.
III - a área de Tecnologia da Informação e comunicação do LNA fica
autorizada a bloquear e desinstalar todo e qualquer software sem licença de uso;
IV - as aplicações do LNA serão analisadas e testadas quando sistemas
operacionais forem alterados (novas versões ou instalação de patches), para garantir
que não haverá impacto adverso nas operações do LNA ou na segurança; e
V - as informações acerca das vulnerabilidades técnicas dos sistemas de
informação e comunicação em uso, serão obtidas pela área de TIC em tempo hábil,
avaliada a exposição do LNA a essas vulnerabilidades, e tomadas as medidas
apropriadas para lidar com os riscos associados.
Art. 33. Cabe à unidade solicitante à área de TIC do LNA a supervisão e o
monitoramento do desenvolvimento terceirizado de software de forma a garantir que
critérios de segurança, qualidade, conformidade e desempenho sejam devidamente
implementados.
Seção XIV
Da proteção de dados pessoais
Art. 34. Os dados privados, pessoais e ou sensíveis do titular, de crianças
e adolescentes deverão ser processados de forma legal, justa e transparente em
relação aos seus titulares e observará os seguintes:
I - devem ser coletados para fins específicos, explícitos e legítimos e não
processados posteriormente de maneira incompatível com esses objetivos;
II - devem estar adequados, relevantes e limitados ao uso necessário e em
relação aos fins para os quais são destinados e/ou processados;
III - quando solicitado pelo titular e/ou quando necessário, os dados devem
ser atualizados; e
IV - os dados pessoais devem ser armazenados por períodos mais longos,
desde que os dados pessoais sejam processados exclusivamente para arquivamento no
interesse público, para fins de pesquisa científica ou histórica ou para fins estatísticos
sujeitos à implementação das medidas técnicas e organizacionais apropriadas exigidas
pela Lei 13.709 - LGPD.
CAPÍTULO VI
DAS PENALIDADES
Art. 35. A não observância desta POSIC, bem como a quebra de controles
de segurança da informação e comunicação, poderá acarretar, isolada ou
cumulativamente, nos termos da legislação aplicável, sanções administrativas, cíveis e
penais, assegurados aos envolvidos o contraditório e a ampla defesa.
CAPÍTULO VII
DAS COMPETÊNCIAS E RESPONSABILIDADES
Seção I
Do Comitê de Segurança da Informação e Comunicação
Art. 36. O Comitê de Segurança da Informação e Comunicação, de natureza
consultiva, vinculado à Diretoria do LNA, tem a finalidade de tratar sobre políticas,
diretrizes, planejamento e demais ações relativas à Segurança da Informação e
Comunicação (SIC) no âmbito do LNA.
Art. 37. São competências do CSIC:
I - implementar e supervisionar em alto nível esta POSIC, bem como suas
alterações;
II - assessorar na implementação das ações de segurança da informação e
comunicação;
III - propor normas relativas à segurança da informação e comunicação; e
IV - exercer outros atos de assessoramento e de proposição afetos à
matéria de segurança da informação e comunicação.
Parágrafo único. O CSIC será instituído pelo Diretor do Laboratório Nacional
de Astrofísica.
Seção II
Do Gestor de Segurança da Informação e Comunicações
Art. 38. Compete ao Gestor da Segurança da Informação e Comunicação do LNA:
I - promover cultura de segurança da informação e comunicação;
II - acompanhar as investigações e as avaliações dos danos decorrentes de
quebras de segurança;
III - propor recursos necessários às ações de segurança da informação e
comunicação;
IV - coordenar o Comitê de Segurança da Informação e Comunicação e a
equipe de tratamento e resposta a incidentes em redes computacionais;
V - realizar e acompanhar estudos de novas tecnologias, quanto a possíveis
impactos na segurança da informação e comunicação; e
VI - propor normas relativas à segurança da informação e comunicação no
âmbito do LNA.
Art. 39. O Gestor da Segurança da Informação e Comunicação e o seu
substituto serão designados em portaria específica.
Seção III
Da Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais (ETIR)
Art. 40. A Equipe de Tratamento e Resposta a Incidentes em Redes
Computacionais (ETIR) tem a finalidade de facilitar, coordenar e executar as atividades de
tratamento e resposta a incidentes em redes computacionais no ambiente do LNA.
Art. 41. A ETIR do LNA tem como objetivos básicos:
I - monitorar as redes computacionais;
II - detectar e analisar ataques e intrusões;
III - tratar incidentes de segurança da informação;
IV - identificar vulnerabilidades e artefatos maliciosos;
V - recuperar sistemas de informação; e
VI - promover a cooperação com outras equipes, bem como participar de
fóruns e redes nacionais e internacionais relativos à Segurança da Informação e
Comunicação.
Art. 42. A ETIR será composta pelo Comitê de Segurança da Informação e
Comunicação do LNA.
Seção IV
Do Agente Responsável pela ETIR
Art. 43. Compete ao Agente Responsável pela ETIR do LNA:
I - estabelecer os procedimentos operacionais, gerenciar as atividades e
distribuir tarefas para a ETIR.
Parágrafo único. O responsável pela área de Rede e Infraestrutura de
Tecnologia da Informação do LNA assumirá o papel de Agente Responsável pela ETIR.
Seção V
Dos Usuários
Art. 44. Compete aos Usuários :
I - cumprir fielmente as políticas, as normas, os procedimentos e as
orientações de segurança da informação e comunicação do LNA;
II - buscar orientação do Gestor de Segurança da Informação e Comunicação
em caso de dúvidas relacionadas à segurança da informação;
III - proteger as informações contra acesso, modificação, destruição ou
divulgação não autorizados pelo LNA;
IV - assegurar que os recursos tecnológicos à sua disposição sejam utilizados
apenas para as finalidades aprovadas pelo LNA;