PORTARIA Nº 412, DE 16 DE JUNHO DE 2026 (parte 2 de 4)

ANEXO
NORMA COMPLEMENTAR PARA A GESTÃO DE INCIDENTES CIBERNÉTICOS DO MINISTÉRIO DOS TRANSPORTES
1. PROPÓSITO
1.1. Este documento estabelece princípios, conceitos, diretrizes e responsabilidades para a gestão de incidentes cibernéticos no Ministério dos Transportes, orientando o
funcionamento do processo, de forma que este seja tratado adequadamente, reduzindo ao máximo os impactos para o negócio.
2. ESCOPO
2.1. Esta Norma se aplica a:
I - todos os sistemas, serviços e ativos tecnológicos sob responsabilidade do Ministério dos Transportes;
II - colaboradores, terceirizados, prestadores de serviço e parceiros institucionais que tenham acesso aos sistemas e informações do Ministério dos Transportes;
III - à atuação da Equipe de Prevenção, Tratamento e Resposta a Incidentes - ETIR/MT e da Equipe de Resposta a Incidentes - ERI/MT;
IV - à atuação do Serpro no atendimento a incidentes cibernéticos que envolvam ativos de TIC do Ministério dos Transportes sob sua custódia, observadas as disposições desta
Norma, nos limites das obrigações estabelecidas em instrumento contratual; e
V - aos contratos que envolvam a custódia de bens de TIC do Ministério dos Transportes.
2.2. A atuação do Serpro observará as disposições desta Norma, nos limites das obrigações estabelecidas em instrumento contratual, admitida a compatibilização com seus fluxos,
procedimentos internos e normas próprias de segurança da informação.
2.3. Os contratos que envolvam a custódia de bens de TIC do Ministério dos Transportes deverão conter cláusula específica que estabeleça a obrigatoriedade de observância desta
Norma no processo de gerenciamento de incidentes cibernéticos, admitida a compatibilização com os fluxos e procedimentos internos adotados pela contratada.
3. ABRANGÊNCIA
3.1. Esta Norma abrange incidentes cibernéticos que possam comprometer a disponibilidade, a integridade, a confidencialidade ou a autenticidade das informações institucionais,
tais como:
I - acesso não autorizado a sistemas ou dados sensíveis: invasão, uso indevido ou acesso irregular a sistemas, redes ou bases de dados, sem permissão legítima, podendo resultar
em exposição, alteração ou exclusão de informações sigilosas ou pessoais;
II - vazamento ou divulgação indevida de dados pessoais ou estratégicos: exposição, compartilhamento ou publicação não autorizada de informações pessoais, institucionais ou
estratégicas, de forma acidental ou intencional, comprometendo a confidencialidade e a privacidade dos dados;
III - sequestro de dados (ransomware) com exfiltração: ataque em que dados são criptografados e copiados (exfiltrados) pelo invasor, que ameaça divulgar ou vender as
informações caso não haja pagamento de resgate, afetando a confidencialidade e a disponibilidade;
IV - sequestro de dados (ransomware) sem exfiltração: ataque que criptografa dados e bloqueia o acesso a sistemas ou arquivos, sem evidência de cópia ou vazamento, afetando
principalmente a disponibilidade das informações;
V - infecção por malware: instalação ou execução de código malicioso (vírus, trojan, spyware, worm, entre outros) que visa danificar, espionar ou comprometer sistemas e dados,
por meio de e-mails, links, mídias ou sites infectados;
VI - phishing ou engenharia social: ataques baseados em fraude e manipulação para induzir usuários a revelar credenciais, clicar em links maliciosos ou executar ações que
comprometam a segurança, geralmente por e-mail, mensagem ou sites falsos;
VII - exploração de vulnerabilidades: utilização de falhas conhecidas em softwares, sistemas ou dispositivos para obter acesso não autorizado, elevar privilégios ou executar
comandos maliciosos, explorando deficiências técnicas ou de configuração;
VIII - negação de serviço (DoS/DDoS): ataque que sobrecarrega servidores ou redes com tráfego excessivo, impedindo o acesso de usuários legítimos aos sistemas e afetando a
disponibilidade dos serviços;
IX - roubo, perda ou extravio de dispositivo corporativo: situação em que equipamentos institucionais contendo informações corporativas ou pessoais são extraviados, furtados
ou perdidos, expondo o risco de acesso indevido aos dados; e
X - outro incidente cibernético relevante que compromete a segurança da informação, expõe dados sensíveis ou afeta a continuidade de serviços essenciais: evento não listado,
mas que compromete a segurança da informação, expõe dados sensíveis ou afeta a continuidade de serviços essenciais, como falhas críticas, sabotagem digital ou uso indevido de credenciais
privilegiadas.
4. REFERÊNCIAS NORMATIVAS
4.1. São referências normativas para este documento:
I - Decreto nº 12.572/2025, de 4 de agosto de 2025 - Institui a Política Nacional de Segurança da Informação e dispõe sobre a governança da segurança da informação no âmbito
da administração pública federal;
II - Instrução Normativa GSI/PR nº 1/2020 - Dispõe sobre a Estrutura de Gestão de Segurança da Informação;
III - Instrução Normativa GSI/PR nº 9, de 8 de janeiro de 2026 - Altera a Instrução Normativa nº 1, de 27 de maio de 2020 que dispõe sobre a Estrutura de Gestão da Segurança
da Informação nos órgãos e nas entidades da administração pública federal;
IV - Portaria SGD/MGI nº 9.511/2025 - Institui o Programa de Privacidade e Segurança da Informação - PPSI 2.0;
V - Guia do Framework de Privacidade e Segurança da Informação do PPSI 2.0 - Versão 1.0 de 20 de janeiro de 2026;
VI - Portaria MT nº 287/2025 - Política de Segurança da Informação - POSIN do Ministério dos Transportes;
VII - Portaria GSI/PR nº 120/2022 - Plano de Gestão de Incidentes Cibernéticos para a administração pública federal;
VIII - Portaria GSI/PR nº 93/2021 - Glossário de Segurança da Informação do Gabinete de Segurança Institucional;
IX - Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD);
X - Resolução CD_ANPD nº 15/2024 - Aprova o Regulamento de Comunicação de Incidente de Segurança a ANPD;
XI - ABNT NBR ISO/IEC 27035-1:2023 - Gestão de Incidentes de Segurança da Informação;
XII - NC 21/IN01/DSIC/GSIPR - Diretrizes para Registro de Eventos, Coleta e Preservação de Evidências de Incidentes de Segurança em Redes;
XIII - NC 05/IN01/DSIC/GSIPR - Diretrizes para criação de Equipes de Tratamento e Resposta a Incidentes em Redes Computacionais - ETIR; e
XIV - NC 08/IN01/DSIC/GSIPR - Disciplinar o gerenciamento de incidentes de segurança em redes computacionais pelas ETIR dos órgãos e entidades da Administração Pública
Federal, direta e indireta - APF.
5. CONCEITOS E DEFINIÇÕES
5.1. Para os efeitos de aplicação e interpretação desta Norma, quando indispensável à adequada compreensão de seus dispositivos, adotam-se as seguintes definições conceituais,
de natureza técnica, fundamentais para a uniformidade técnica e operacional:
I - Ataque: Ação que constitui uma tentativa deliberada e não autorizada para acessar ou manipular informações, ou tornar um sistema inacessível, não íntegro, ou
indisponível;
II - CTIR Gov: Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo, subordinado ao Departamento de Segurança da Informação, o qual é enquadrado na
categoria "CSIRT de responsabilidade nacional de coordenação" e tem por objetivo coordenar e integrar as ações destinadas à gestão de incidentes computacionais em órgãos ou entidades
da Administração Pública Federal (APF), bem como: prevenir, monitorar, analisar e mitigar os incidentes de segurança da informação; promover o intercâmbio científico-tecnológico;
participar da articulação para o estabelecimento de diretrizes sobre gestão de incidentes computacionais; e criar processo de inteligência de ameaças cibernéticas para subsidiar criação de
políticas públicas e tomada de decisão;
III - CISC gov.br: Centro Integrado de Segurança Cibernética do Governo Digital, o qual constitui uma unidade de coordenação setorial, com o objetivo de integrar e fortalecer
as ações de prevenção, tratamento e resposta a incidentes cibernéticos nos órgãos e entidades da administração pública federal direta, autárquica e fundacional que possuem unidades que
integram o SISP, nos termos do Decreto nº 10.748, de 16 de julho de 2021;
IV - Equipe de Resposta a Incidentes - ERI: equipe operacional da ETIR, com atribuições de caráter puramente executivo, podendo ser composta por profissionais das equipes de
sustentação de diferentes áreas de negócio, a qual será responsável pela execução das ações técnicas e operacionais estabelecidas no Procedimento Operacional Padrão - POP da ERI/MT,
o qual consta do Apêndice B desta Norma;
V - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR: grupo de agentes públicos designados para exercer atribuições relacionadas à segurança
cibernética no âmbito do órgão ou da entidade da administração pública federal, no exercício regular de suas competências funcionais, sem percepção de remuneração adicional específica,
em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do órgão ou da entidade;
VI - Incidente Cibernético: ocorrência que pode comprometer, real ou potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de
informação ou das informações processadas, armazenadas ou transmitidas por esse sistema. Pode também ser caracterizado pela tentativa de exploração de vulnerabilidade de sistema de
informação que configure violação de norma, política de segurança, procedimento de segurança ou política de uso;
VII - Processo de Gestão de Incidentes Cibernéticos: conjunto estruturado de procedimentos, estratégias e responsabilidades destinados a identificar, analisar, conter, erradicar
e recuperar incidentes, de forma a minimizar impactos, garantir a continuidade dos serviços essenciais e prevenir sua recorrência;
VIII - Procedimento Operacional Padrão - POP: documento que estabelece procedimentos, responsabilidades, fluxos e instruções detalhadas para a execução de atividades
específicas, garantindo padronização, consistência e rastreabilidade das ações realizadas pela equipe;
IX - Disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou
entidade devidamente autorizados;
X - Integridade: propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;
XI - Confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não
autorizados nem credenciados;
XII - Evento: qualquer mudança de estado que tem importância para a gestão de um item de configuração ou serviço de tecnologia da informação. Em outras palavras, qualquer
ocorrência dentro do escopo de tecnologia da informação que tenha relevância para a gestão dos serviços entregues ao cliente;
XIII - Evento de Segurança: qualquer ocorrência identificada em um sistema, serviço ou rede, que indique uma possível falha da política de segurança, falha das salvaguardas ou
mesmo uma situação até então desconhecida, que possa se tornar relevante em termos de segurança;
XIV - Risco: no sentido amplo, trata-se da possibilidade de ocorrência de um evento que pode impactar o cumprimento dos objetivos. Pode ser mensurado em termos de impacto
e de probabilidade;
XV - Ransomware: tipo de malware, que, por meio de criptografia, impede o acesso a dados computacionais. Para recuperar o acesso, exige-se pagamento de um valor de resgate.
Caso o pagamento do resgate não seja realizado, pode-se perder definitivamente o acesso aos dados sequestrados;
XVI - Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável;
XVII - Dados Pessoais Sensíveis: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico
ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
XVIII - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
XIX - Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
XX - Titular: pessoa natural a quem se referem os dados que são objeto de tratamento;
XXI - Agência Nacional de Proteção de Dados - ANPD: é uma Agência Reguladora vinculada ao Ministério da Justiça e Segurança Pública, que tem como missão zelar pela proteção
de dados pessoais orientada pela Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados (LGPD) , e zelar pela aplicação da Lei nº 15.211, de 17 de setembro de 2025,
Estatuto Digital da Criança e do Adolescente (ECA Digital); e
XXII - Notificador: agente que identifica e comunica um possível incidente cibernético à área responsável.
5.2. Além das definições contidas neste artigo, a interpretação e a aplicação desta Norma deverão considerar e respeitar os conceitos dispostos na Lei nº 12.527, de 2011 (Lei
de Acesso à Informação - LAI), na Lei nº 13.709, de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), no Glossário de Segurança da Informação (Portaria GSI/PR nº 93, de 18 de outubro
de 2021) e na Política de Segurança da Informação em vigor no Ministério - POSIN (Portaria MT nº 287, de 4 de abril de 2025).
5.3. Em caso de divergência ou omissão de conceitos técnicos, prevalecerão as definições estabelecidas na Política de Segurança da Informação do Ministério e nas normas de
segurança cibernética emitidas pelo Gabinete de Segurança Institucional da Presidência da República - GSI/PR.
6. PROCESSO DE PREVENÇÃO E DETECÇÃO DE INCIDENTES CIBERNÉTICOS
6.1. A prevenção é um processo constante de ações proativas com o objetivo de reduzir a probabilidade de ataques cibernéticos bem-sucedidos. Entre essas ações, enfatizam-
se as de definição e de implementação de controles de segurança, de gerenciamento de vulnerabilidades, de conscientização e de capacitação.
6.2. A detecção é um processo de melhoria contínua que analisa todo o ambiente de informação, a fim de identificar atividades maliciosas que possam comprometer os ativos
de informação. Tem por objetivo reduzir o impacto do incidente cibernético, antecipando o início do processo de tratamento e de resposta. Logo, a detecção pressupõe o estabelecimento
de linhas de base, de monitoramento contínuo e de comunicação dos incidentes cibernéticos.
6.3. Os processos de prevenção e detecção deverão observar o disposto na Portaria GSI/PR nº 120, de 21 de dezembro de 2022, ou norma que a suceder, além das boas práticas
seguidas pela administração pública federal.
7. PROCESSO DE GESTÃO DE INCIDENTES CIBERNÉTICOS
7.1. O processo de gestão de incidentes cibernéticos observará o Plano de Gestão de Incidentes Cibernéticos instituído pela Portaria GSI/PR nº 120, de 21 de dezembro de 2022,
ou norma que a suceder.
7.2. O processo de gestão de incidentes cibernéticos inicia-se após a detecção ou a notificação de provável ocorrência de incidente cibernético e compreende as seguintes etapas:
. .Processo de Gerenciamento de Incidentes Cibernéticos
. .1. Entrada .I. Notificação de um incidente cibernético
. 2. Tratamento .II. Identificação
. .III. Análise
. .IV. Resposta
. .V. Avaliação Pós Incidente
. . .VI. Comunicação
. .3. Saída .VII. Relatórios de incidente Cibernético
7.3 Notificação de um incidente cibernético
7.3.1. Ao identificar um incidente cibernético, o notificador deverá notificar a ETIR/MT informando, dentre outras informações relevantes, as seguintes questões:
I - tipo de incidente: informar o tipo de incidente, conforme os tipos previstos na seção "Abrangência" desta Norma;
II - indicação de vazamento de dados pessoais: informar se houve vazamento de dados pessoais, especificando quais dados foram afetados (sensíveis ou não); o número total
de titulares atingidos, inclusive crianças, adolescentes ou outros titulares vulneráveis, quando aplicável; as categorias de titulares afetadas (funcionários, estudantes, usuários,
clientes/cidadãos ou ainda não identificados); e, se for o caso, se os dados estavam protegidos de forma a impedir a identificação de seus titulares;
III - descrição do incidente: breve descrição do incidente, tais como tipo do ataque, motivação aparente, ou outras características relevantes;
IV - sistema de origem: informar em qual sistema o incidente começou ou onde ele foi percebido pela primeira vez;
V - contato do notificador: e-mail, telefone ou outro contato disponível do informante do incidente; e
VI - outras informações: protocolos e portas-alvo do incidente, com especificação do tipo de protocolo (IP, TCP, UDP etc.) e das portas utilizadas no destino; serviços envolvidos
(HTTP, FTP, SMTP etc.) e respectivas versões; logs, imagens, códigos de erro ou outros registros que evidenciem a ocorrência; bem como arquivos e demais evidências que o notificador
considerar pertinentes.
7.4. Identificação
7.4.1. O processo de identificação consiste em:
I - confirmar se de fato é um incidente cibernético;
II - verificar se há correlação com outros incidentes;
III - estabelecer a prioridade para o tratamento do incidente;
IV - registrar o incidente na base de incidentes cibernéticos; e
V - atribuir o tratamento do incidente ao analista ou à equipe responsável.
7.4.2. O processo de priorização dos incidentes cibernéticos deverá considerar suas criticidades, entendidas como o resultado da combinação entre impacto, urgência e
abrangência, definidos a seguir:
I - Impacto: Dano ao serviço, à informação ou à imagem institucional;
II - Urgência: Tempo necessário para resposta antes do agravamento; e
III - Abrangência: Quantidade de sistemas, dados ou usuários afetados.
7.4.2.1 A criticidade é organizada em cinco níveis de classificação, numerados de 1 a 5, conforme tabela abaixo:
. .Nível .Impacto .Urgência .Abrangência
. .1 - Muito Baixo .Impacto mínimo; sem dados pessoais críticos; sem risco relevante aos
titulares
.Pode aguardar .Afeta um usuário ou sistema isolado
. .2 - Baixo .Impacto restrito; dados pessoais não sensíveis acessados; risco limitado .Baixa urgência .Pequeno grupo ou departamento
. .3 - Médio .Impacto moderado; possível exposição de dados pessoais comuns; risco
relevante limitado; sem envolvimento cumulativo de critérios críticos
.Moderada urgência .Várias equipes ou sistemas importantes
. .4 - Alto .Impacto severo; possível vazamento de dados sensíveis, de crianças,
adolescentes ou idosos, financeiros, de autenticação, sigilo legal ou em larga
escala; risco relevante cumulativo aos titulares
.Urgente .Múltiplos setores ou sistemas críticos
. .5 - Crítico .Impacto extremo; vazamento confirmado de dados sensíveis ou
estratégicos; paralisação de serviços; risco significativo ou dano relevante
aos titulares (fraudes, roubo de identidade, discriminação, violação de
integridade física, danos à imagem ou reputação)
.Muito urgente .Toda a organização ou serviços críticos
7.4.2.2. O cálculo da pontuação da criticidade será realizado pelo produto dos valores atribuídos a impacto, urgência e abrangência, cada um variando de 1 (mínimo) a 5 (máximo),
resultando em pontuação mínima de 1 e máxima de 125.
7.4.2.3. O cálculo da matriz de risco resultará na criticidade de nível baixa, média, alta e crítica, conforme quadro abaixo:
. .Criticidade .Faixa de Pontuação .Descrição .Ações Requeridas
. Baixa 1 - 29 ¸Impacto limitado; ¸Notificar a ETIR/MT em até 8 horas a partir do conhecimento do incidente;
. ¸Afeta poucos usuários ou sistemas; ¸Monitoramento; registrar ocorrência; aplicar medidas preventivas;
. . . .¸Não envolve dados pessoais sensíveis ou críticos, sem
risco relevante aos titulares.
.¸Notificar CISC Gov.br;
. Média 30 - 59 ¸Impacto moderado; ¸Notificar a ETIR/MT em até 2 horas a partir do conhecimento do Incidente;
. ¸Possível envolvimento de dados pessoais comuns,
risco limitado aos titulares;
¸Ação planejada; aplicar medidas corretivas; monitorar evolução;
. ¸Repercussão institucional mínima. ¸Reportar ao CTIR Gov e o CISC Gov.br; e
. . . . .. Notificar a ANPD se critérios atendidos.
. Alta 60 - 99 ¸Impacto significativo; ¸Notificar a ETIR/MT imediatamente a partir do conhecimento do Incidente;
. ¸Possível vazamento de dados sensíveis ou críticos, ou
dados de crianças, adolescentes, idosos, financeiros,
autenticação, sigilo legal ou em larga escala;
¸Ação rápida e coordenada; mitigação imediata; monitoramento constante;
. ¸Risco relevante cumulativo aos titulares. ¸Notificar ANPD se critérios atendidos;
. ¸Reportar ao CTIR Gov e o CISC Gov.br; e
. . . . .¸Comunicar o Gestor de Segurança da Informação do MT.
. Crítica 100 - 125 ¸Impacto extremo; ¸Notificar a ETIR/MT imediatamente a partir do conhecimento do Incidente;
. ¸ Vazamento confirmado de dados sensíveis ou
estratégicos, paralisação de serviços essenciais;
¸Resposta imediata; mobilização total das equipes e alta gestão; comunicação
institucional;
. ¸ Risco significativo ou dano relevante aos titulares
(fraudes, roubo de identidade, discriminação, danos à
integridade, imagem ou reputação);
¸Notificar ANPD, CISC Gov.br e CTIR Gov; coordenar comunicação e mitigação urgente;
. . . .¸Repercussão midiática. .¸Poderá ser criado um comitê de crise com o membro da ETIR/MT, Gestor de Segurança
da Informação e, a depender da infraestrutura de origem do incidente, o preposto do
contrato do Serpro ou o Coordenador da ERI/MT.
7.4.2.4. Em caso de ocorrências simultâneas de incidentes cibernéticos, será indicado:
I - caso não estejam relacionados: atender de forma isolada em ordem decrescente de criticidade; ou
II - caso estejam relacionados: unir o atendimento como um único incidente cibernético, dando a classificação mais alta que já tinha anteriormente.
7.5. Análise
7.5.1. O processo de análise do incidente cibernético consiste nas ações de:
I - validar as informações tratadas na triagem, ratificando-as, complementando-as ou retificando-as;
II - identificar e avaliar atividades anômalas em relação à linha de base conhecida;
III - identificar pelo menos uma parte da cadeia de ataque para permitir a definição das atividades de resposta;
IV - complementar e adicionar novos dados a partir da colaboração das fontes utilizadas na detecção; e
V - incluir todos os dados coletados na documentação sobre o incidente para viabilizar as ações de pós-incidente.
7.6. Resposta
7.6.1. O processo de resposta a um incidente consiste em ações de:
I - Contenção: o objetivo é limitar os danos causados pelo atual incidente cibernético e evitar outros. Devem ser aplicadas medidas para mitigar o incidente, evitando-se a
destruição de provas que possam servir de subsídios para possível processo cível, penal ou administrativo;
II - Erradicação: consiste em remover ou inutilizar artefatos utilizados pelos atacantes e em restaurar o ambiente afetado; e
III - Recuperação: o objetivo é restabelecer o pleno funcionamento do ambiente afetado após garantir que as ameaças foram neutralizadas ou removidas.
7.6.2. As ações de contenção, erradicação e recuperação devem constar do plano de continuidade de negócios em segurança da informação e devem ser baseadas neste plano
e nos seguintes critérios:
I - criticidade dos ativos afetados;
II - tipo e gravidade do incidente;
III - necessidade de preservar a evidência;
IV - importância de quaisquer sistemas afetados para processos de negócio críticos; e
V - recursos necessários para implementar a estratégia.
7.6.3. A ação de contenção poderá envolver as seguintes atividades:
I - contenção a curto prazo, que consiste em limitar os danos antes que o incidente se agrave, isolar segmentos de rede, executar desvio de tráfego para recursos saudáveis e
disponíveis (failover), bem como realizar a coleta de imagem forense do ambiente afetado; e
II - contenção a longo prazo, que consiste em: identificar vulnerabilidades exploradas pelos atacantes e os mecanismos que permitiram o ataque; e aplicar correções temporárias
que permitam a volta ao funcionamento dos sistemas afetados.
7.6.4. A ação de erradicação poderá envolver as seguintes atividades:
I - restauração completa das imagens de unidades de armazenamento, implicando na exclusão de todos os dados atuais;
II - recuperação dos dados a partir dos backups existentes;
III - identificação das causas principais que originaram o ataque;
IV - realização dos procedimentos necessários para limpar a unidade de armazenamento, removendo ou isolando os artefatos utilizados pelos atacantes; e
V - correção das vulnerabilidades encontradas.
7.6.5. A ação de recuperação poderá envolver as seguintes atividades:
I - definição de cronograma para a restauração das operações pelos responsáveis pelos ativos de informação afetados, com base em subsídios apresentados pela ETIR/MT;
II - realização de varredura completa do ambiente recuperado, de forma a garantir que este esteja apto para uso seguro;
III - realização de testes de funcionamento do ambiente recuperado, validando os resultados com as linhas de base definidas, à medida em que estarão novamente
disponibilizados para uso; e
IV - monitoramento do ambiente recuperado, a ser executado num período após o incidente cibernético, de forma a verificar comportamentos atípicos ou anormalidade nas
operações.
7.6.5.1. Após o término do processo de recuperação, a ETIR/MT, observando os critérios definidos, elaborará um relatório do incidente para o CTIR Gov, contendo as seguintes
informações:
I - atores atacantes e atacados;
II - atores envolvidos no tratamento e resposta do incidente;
III - evidências coletadas;
IV - indicadores de comprometimento (IoCs), bem como táticas, técnicas e procedimentos (TTPs);
V - ativos de infraestrutura, serviços e total de usuários afetados;
VI - volume de dados exfiltrados;
VII - cronologia dos fatos;
VIII - medidas de contenção, erradicação e recuperação adotadas; e
IX - medidas preventivas propostas para ocorrências similares.
7.7. Avaliação Pós Incidente
7.7.1. O objetivo desta fase é realizar a análise da documentação dos incidentes, do processo de comunicação e das regras de proteção do ambiente para evitar incidentes
semelhantes e aperfeiçoar os processos existentes.
7.7.2. Os principais objetivos da avaliação pós-incidente incluem:
I - confirmar que a causa raiz foi eliminada ou mitigada;
II - estabelecer medidas preventivas para incidentes similares;
III - identificar os erros ou ausências de infraestrutura a serem resolvidos;
IV - identificar as oportunidades de melhoria na política organizacional, normativos ou nos processos;
V - revisar e atualizar as funções, as responsabilidades, o processo de comunicação e a autoridade da ETIR/MT para garantir a resposta adequada e oportuna;
VI - identificar necessidades de treinamento técnico ou operacional; e
VII - melhorar as ferramentas, ações e capacidades necessárias para realizar a prevenção, a detecção, o tratamento e a resposta.
7.7.3. A ETIR/MT deverá atualizar as atividades preparatórias e os processos de prevenção, detecção, tratamento e resposta a partir das análises do pós-incidente, devendo:
I - identificar IoCs ou TTPs da ameaça, encaminhando esses dados obrigatoriamente ao CTIR Gov, a fim de realizar ações colaborativas no âmbito da Regic;
II - adicionar outros critérios para detecção e triagem da ameaça; e
III - identificar e propor soluções para situações omissas verificadas no incidente.
7.8. Comunicação
7.8.1. A ETIR/MT deverá manter, conforme necessidade, comunicação com órgãos externos, como CISC Gov.br, CTIR Gov e ANPD.
7.8.2. Internamente, a equipe deverá manter comunicação com o Gestor de Segurança da Informação, Assessoria Especial de Comunicação Social - AESCOM e outras áreas de
negócio que forem necessárias.
7.8.3. Por fim, ao término do incidente cibernético, deverá haver comunicação final com o usuário e com o Gestor de Segurança da Informação do órgão.
7.8.4. A ETIR/MT deve ter a capacidade de detectar e responder incidentes cibernéticos ocorridos nos ativos de sua responsabilidade, comunicando ao CTIR Gov a ocorrência de
incidentes com "maiores impactos" na primeira oportunidade.
7.8.5. A ETIR/MT deve notificar ao CISC Gov.br os incidentes cibernéticos identificados.
7.8.6. A LGPD determina que os controladores de dados, através da figura do encarregado de dados, deverão comunicar um incidente cibernético envolvendo dados pessoais à
ANPD e aos titulares de dados desde que este incidente atenda, cumulativamente, os seguintes critérios:
I - Tenha a ocorrência confirmada pelo agente;
II - Envolva dados pessoais sujeitos à LGPD; e
III - Possa acarretar risco ou dano relevante aos titulares dos dados.
7.8.7. Nos casos previstos na NC 21/IN01/DSIC/GSIPR, o relatório final do incidente cibernético deverá ser encaminhado a autoridade responsável do órgão, respeitando o sigilo
e a cadeia de custódia descritos na norma. Após receber a comunicação, a autoridade responsável pelo órgão deverá, de imediato, encaminhá-la formalmente à autoridade com atribuição
para apurar os fatos.
7.9. Relatórios de Incidente Cibernético
7.9.1. Ao término do tratamento do incidente cibernético, a equipe responsável pela resposta, deverá providenciar o relatório técnico do incidente cibernético, conforme modelo
presente no Apêndice D, e encaminhá-lo à ETIR/MT.
7.9.2. Recebido o relatório, a ETIR/MT deverá providenciar o registro do Relatório Final do Incidente Cibernético, o qual deverá ser criado no SEI com, pelo menos, os seguintes
documentos:
I - Inclusão do Relatório Técnico do Incidente Cibernético;
II - Inclusão dos Formulários encaminhados à ANPD (quando comunicada);
III - Inclusão de outros arquivos necessários; e
IV - Nota Técnica.
8. DISPOSIÇÕES FINAIS
8.1. Os casos omissos serão submetidos ao Gestor de Segurança da Informação, mediante manifestação técnica da ETIR/MT.
8.2. As propostas de alteração ou criação de normas internas sobre segurança da informação deverão ser submetidas à análise técnica da ETIR/MT, competindo ao Gestor de
Segurança da Informação a deliberação final.
APÊNDICE A - PROCEDIMENTO OPERACIONAL PADRÃO - POP DA ETIR/MT
RESUMO EXECUTIVO
O presente Procedimento Operacional Padrão - POP da ETIR/MT tem por finalidade padronizar os procedimentos técnicos e administrativos relacionados ao tratamento de
incidentes de segurança da informação e comunicações no âmbito do Ministério dos Transportes - MT.
Este manual operacionaliza as diretrizes estabelecidas, dentre outras normas, na Política de Segurança da Informação do Ministério dos Transportes - POSIN/MT e nas orientações
do Gabinete de Segurança Institucional da Presidência da República GSI/PR.
OBJETIVO
Definir fluxos de trabalho, responsabilidades, formas de comunicação, registros e padronizações documentais que orientem a atuação da ETIR/MT, assegurando resposta rápida,
coordenada e eficaz aos incidentes cibernéticos.
ESCOPO
Aplica-se a todos os integrantes da ETIR/MT, às equipes de sustentação de TIC, e às unidades organizacionais que utilizem serviços e ativos tecnológicos sob responsabilidade do MT.
PROCESSO DE RESPOSTA A INCIDENTES CIBERNÉTICOS PELA ETIR/MT
A seguir é apresentado o fluxograma detalhado do processo e o detalhamento das atividades a serem realizadas no processo de tratamento do incidente cibernético pela
ETIR/MT.
Fluxograma do Processo de Gestão de Incidentes Cibernéticos pela ETIR/MT:
1_MT_22_001
Detalhamento do Processo de Gestão de Incidente Cibernético pela ETIR/MT:
. 1. Identificar evento adverso e comunicá-lo 2. Realizar triagem do evento 3. Atender conforme regras ordinárias (Níveis 1, 2 e 3)
. Objetivo: Detectar evento anômalo e comunicar à
ETIR/MT conforme a Norma Complementar para a
Gestão de Incidentes Cibernéticos no âmbito do
Ministério dos Transportes.
Objetivo: Analisar o evento e verificar se é incidente
cibernético.
Objetivo: Tratar eventos não admitidos como incidentes.
. Responsável: Notificador. Responsável: ETIR/MT. Responsável: Área de Negócio.
. Entrada: Percepção da ocorrência ou suspeita. Entrada: Comunicação inicial. Entrada: Procedimento padrão.
. Ações: Preservar indícios; anotar detalhes; solicitar
esclarecimentos; descrever o evento.
Ações: Verificar escopo; encaminhar à área de negócio
se não for incidente; classificar criticidade; adotar
contenção se necessário.
Ações: Consultar base; analisar causa; aplicar solução;
registrar ações; enviar retorno.
. .Saída: Mensagem com informações substanciais. .Saída: Evento triado e classificado. .Saída: Comunicação final ao notificador.
. 4. Analisar alcance e comunicações necessárias 5. Receber comunicado 6. Analisar repercussão midiática
. Objetivo: Verificar dados pessoais, mídia, ANPD, CTIR e
CISC.
Objetivo: Receber comunicação da ETIR/MT e tomar
ações.
Objetivo: Avaliar impacto na mídia.
. Responsável: ETIR/MT. Responsável: CTIR Gov e CISC Gov.br. Responsável: Assessoria de Comunicação (AESCOM).
. Entrada: Registro do incidente. Entrada: Mensagem institucional conforme TLP. Entrada: Indicação de repercussão midiática.
. Ações: Avaliar dados pessoais; repercussão; necessidade
de comunicação; registrar justificativas.
Ações: Analisar; encaminhar; acolher; compartilhar
quando aplicável.
Ações: Analisar veículos; responder mídia; manter diálogo
com ETIR/MT.
. .Saída: Parecer sobre comunicações. .Saída: Comunicação aos órgãos da APF (quando
aplicável).
.Saída: Resposta institucional à mídia.
. 7. Receber notificação inicial de vazamento de dados 8. Produzir notificação preliminar 9. Comunicar preliminarmente os titulares
. Objetivo: Analisar vazamento inicial. Objetivo: Preparar notificação para titulares e ANPD. Objetivo: Enviar comunicação preliminar aos titulares.
. Responsável: Encarregado de Dados (DPO). Responsável: Encarregado de Dados. Responsável: Encarregado de Dados.
. Entrada: Registro do incidente com vazamento Entrada: Informações do incidente. Entrada: Comunicado elaborado.
. Ações: Avaliar necessidade de notificação. Ações: Organizar dados; preencher formulário; construir
comunicado.
Ações: Consolidar contatos; verificar conformidade com
as normativas da ANPD
. .Saída: Informações para notificação preliminar. .Saída: Formulário e comunicado preliminar. .Saída: Comunicação enviada aos titulares.
. 10. Comunicar preliminarmente à ANPD 11. Analisar infraestrutura de origem 12. Resposta a incidentes - ERI/MT
. Objetivo: Enviar comunicação preliminar à ANPD. Objetivo: Definir se origem é MT ou Serpro. Objetivo: Tratar incidente com origem no MT.
. Responsável: Encarregado de Dados. Responsável: ETIR/MT. Responsável: ERI/MT.
. Entrada: Formulário preenchido. Entrada: Evidências coletadas Entrada: Análise inicial.
. Ações: Enviar; confirmar protocolo; registrar processo. Ações: Analisar registros; determinar origem. Ações: Tratar incidente conforme a Norma Complementar
para a Gestão de Incidentes Cibernéticos no âmbito do
Ministério dos Transportes e o POP da ERI; produzir
relatório.
. .Saída: Comunicação preliminar à ANPD. .Saída: Origem determinada. .Saída: Relatório de Incidente ERI/MT.
. 13. Resposta a incidentes - Serpro 14. Analisar relatório do incidente 15. Adotar recomendações
. Objetivo: Tratar incidente com origem no Serpro. Objetivo: Avaliar relatórios ERI/MT e Serpro. Objetivo: Executar recomendações técnicas.
. Responsável: Serpro. Responsável: ETIR/MT. Responsável: Área de Negócio.
. Entrada: Análise inicial. Entrada: Relatórios recebidos. Entrada: Relatórios do incidente.
. Ações: Tratar conforme a Norma Complementar para a
Gestão de Incidentes Cibernéticos no âmbito do
Ministério dos Transportes e procedimentos internos da
instituição; produzir relatório.
Ações: Analisar; solicitar correções; verificar
recomendações.
Ações: Analisar recomendações; solicitar informações
extras; implementar.
. .Saída: Relatório de Incidente Serpro. .Saída: Insumos para relatório final. .Saída: Recomendações implementadas.
. 16. Produzir relatório final 17. Receber comunicação final 18. Avaliar necessidade de comunicação final
. Objetivo: Elaborar relatório final no SEI. Objetivo: Dar ciência ao notificador. Objetivo: Verificar necessidade de informar ANPD, CTIR
ou CISC.
. Responsável: ETIR/MT. Responsável: Notificador. Responsável: ETIR/MT.
. Entrada: Relatórios ERI/MT e Serpro. Entrada: Relatório final. Entrada: Relatório final.
. Ações: Incluir documentos no SEI conforme a Norma
Complementar para a Gestão de Incidentes Cibernéticos
no âmbito do Ministério dos Transportes.
Ações: Receber comunicação. Ações: Avaliar necessidade de comunicações adicionais.
. .Saída: Relatório Final do Incidente. .Saída: Comunicação final recebida. .Saída: Relatórios enviados a autoridades competentes.