Portaria nº 436/2015
Estabelece diretrizes para a gestão de riscos relacionados à segurança da informação.
PORTARIA TC Nº 436, DE 23 SETEMBRO DE 2015
Estabelece diretrizes para a gestão de riscos relacionados à segurança da informação.
O PRESIDENTE DO TRIBUNAL DE CONTAS DO ESTADO DE PERNAMBUCO, no uso de suas atribuições legais e regimentais;
Considerando a Lei Federal nº 12.527 , de 18 de novembro de 2011, que regula o acesso a informações, afetando a maneira como as organizações precisam proteger as suas informações;
Considerando a Política Corporativa de Segurança da Informação do Tribunal de Contas do Estado de Pernambuco (TCE-PE), Resolução T.C. Nº 16 /2014, que prevê a gestão dos riscos relacionados à segurança da informação no âmbito do TCE-PE;
Considerando as normas da ABNT NBR ISO/IEC 27001:2006, 27002:2006 e 27005:2011 que tratam de Gestão de Riscos de Segurança da Informação;
Considerando que a gestão de riscos é necessária para criar um sistema de gestão de segurança da informação (SGSI) que seja eficaz e abrangente, não podendo ficar restrita à área de tecnologia da informação;
Resolve estabelecer as diretrizes para a gestão de riscos relacionados à segurança da informação no âmbito do Tribunal de Contas do Estado de Pernambuco - TCE-PE:
CAPÍTULO I
DAS DISPOSIÇÕES INICIAIS
Art. 1º Esta Portaria integra a Política Corporativa de Segurança da Informação do Tribunal de Contas do Estado de Pernambuco, regulamentada pela Resolução T.C. nº 16 /2014, e adota as definições contidas naquela Resolução.
Art. 2º As diretrizes gerais da Gestão de Riscos de Segurança da Informação consideram, prioritariamente, os objetivos estratégicos, os processos, os requisitos legais e a estrutura do TCE-PE e tem o propósito de fornecer subsídios para suportar:
I - O Sistema de Gerenciamento de Segurança da Informação - SGSI;
II - O Plano de Respostas a Incidentes de Segurança da Informação;
III - O Plano de Continuidade de Negócios - PCN.
Art. 3º O processo de Gestão de Riscos de Segurança da Informação está alinhado ao modelo denominado PDCA (Plan-Do-Check-Act), na forma do Anexo I, de modo a fomentar a sua melhoria contínua.
CAPÍTULO II
DAS DEFINIÇÕES
Art. 4º Para os fins desta Portaria considera-se:
I - Ameaça: conjunto de fatores externos ou causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização;
II - Análise de riscos: processo de compreender a natureza do risco e determinar o nível de risco. A análise de riscos fornece a base para a avaliação de riscos e para as decisões sobre o tratamento de riscos;
III - Ativo de Informação: recurso utilizado na produção, processamento, armazenamento, transmissão e recuperação da informação, incluindo a própria informação, sistemas de informação, locais onde se encontram esses meios e as pessoas que a eles têm acesso;
IV - Avaliação de riscos: processo de comparar os resultados da análise de riscos com os critérios de risco para determinar se o risco e/ou sua magnitude é aceitável ou tolerável. A avaliação de riscos auxilia na decisão sobre o tratamento de riscos;
V - Comunicação do risco: troca ou compartilhamento de informação sobre o risco entre o tomador de decisão e outras partes interessadas;
VI - Consequência (ou impacto): - consequência de um incidente de segurança sobre os ativos e negócios da organização;
VII - Controle: qualquer processo, política, procedimento, diretriz, prática ou estrutura organizacional, que pode ser de natureza administrativa, técnica, gerencial ou legal que modificam o risco da segurança da informação. Controle também é usado como um sinônimo de salvaguarda ou contramedida;
VIII - Critérios de risco: termos de referência contra os quais a significância de um risco é avaliada. Podem ser derivados de normas, leis, políticas e outros requisitos;
IX - Estimativa de riscos: processo utilizado para atribuir valores à probabilidade e consequências de um risco;
X - Evento: ocorrência ou mudança em um conjunto específico de circunstâncias. Um evento pode consistir em uma ou mais ocorrências e pode ter várias causas. Um evento também pode consistir em alguma coisa não acontecer,
XI - Gestão de riscos: atividades coordenadas para dirigir e controlar uma organização no que se refere a riscos.
XII - Gestão de Riscos de Segurança da Informação: conjunto de processos que permite identificar e implementar as medidas de proteção necessárias para minimizar os riscos a que estão sujeitos os seus ativos de informação e equilibrá-los com os custos operacionais e financeiros envolvidos;
XIII - Identificação de riscos: processo de busca, reconhecimento e descrição de riscos. Envolve a identificação das fontes de risco, eventos, suas causas e suas consequências potenciais. Pode envolver também dados históricos, análises teóricas, opiniões de pessoas informadas e especialistas, e as necessidades das partes interessadas;
XIV - Nível de risco: magnitude de um risco expressa em termos da combinação das consequências e de suas probabilidades;
XV - Processo de avaliação de riscos: processo global de identificação de riscos, análise de riscos e avaliação de riscos;
XVI - Probabilidade: grau de possibilidade de que uma ou mais vulnerabilidades existentes num ativo venham a ser exploradas por ameaças, causando um Incidente de Segurança;
XVII - Risco: efeito da incerteza nos objetivos. Um efeito é um desvio em relação ao esperado - positivo e/ou negativo. O risco é muitas vezes expresso em termos de uma combinação de consequências de um evento (incluindo mudanças nas circunstâncias) e a probabilidade (likelihood) de ocorrência associada. O risco de segurança da informação está associado com o potencial de que ameaças possam explorar vulnerabilidades de um ativo de informação ou grupo de ativos de informação e, consequentemente, causar dano a uma organização
XVIII - Riscos de Segurança da Informação: possibilidade de uma ameaça explorar vulnerabilidades de um ativo ou de um conjunto de ativos, prejudicando a organização;
XIX - Risco residual: risco remanescente após o tratamento do risco. Pode conter riscos não identificados. Também pode ser conhecido como "risco retido".
XX - Tratamento dos riscos: processo e implementação de ações de segurança da informação para evitar, reduzir, aceitar (reter) ou transferir um risco;
XXI - Vulnerabilidade: é qualquer fragilidade dos ativos de informação que permitam a exploração maliciosa e acessos indesejáveis ou não autorizados;
CAPÍTULO III
Das Rotinas e dos Procedimentos de Controle
Art. 5º A Gestão de Riscos de Segurança da Informação - GRSI tem o objetivo de manter os riscos em níveis aceitáveis, sendo composto pelas seguintes etapas:
I - Definição do contexto;
II - Processo de Avaliação de riscos de SI:
a) identificação de riscos;
b) análise de riscos;
c) avaliação de riscos;.
III - Tratamento de riscos de SI;
IV - Aceitação de riscos de SI;
V - Comunicação e consulta de riscos de SI;
VI - Monitoramento e análise crítica de riscos de SI.
Art. 6º Na definição do contexto será realizada uma análise do TCE-PE visando estruturar o processo de gestão de riscos de segurança da informação (Anexo II), sendo consideradas suas características e as restrições a que está sujeita, observados os seguintes requisitos:
I - A metodologia GRSI deve atender aos objetivos, as diretrizes gerais e o escopo definido, contemplando, no mínimo, as etapas previstas neste normativo;
§ 1º A definição do escopo, também chamada de inventário ou identificação dos ativos, deve considerar indispensavelmente os processos informacionais, quais informações são utilizadas, por quem são utilizadas, por que são utilizadas e qual o seu valor para o negócio do TCE-PE.
§ 2º Deverão ser definidos nesta fase os critérios básicos de avaliação, impacto e aceitação dos riscos.
II - A GRSI deve identificar, pelo menos, as partes interessadas, os responsáveis pelas tomadas de decisão e os registros que deverão ser mantidos;
III - A aplicação da GRSI deve considerar os ativos de informação, os processos de negócio e a troca de informações no TCE-PE.
Art. 7º O processo de avaliação dos riscos deve identificar os riscos,
considerando as ameaças e as vulnerabilidades associadas aos ativos de informação para, em seguida, estimar os níveis de riscos de modo que eles sejam avaliados e priorizados com base no nível de risco aceitável.
Art. 8º O processo de avaliação dos riscos inclui as seguintes tarefas:
I - Identificar os responsáveis pelos ativos de informação dentro do escopo estabelecido;
II - Identificar os riscos associados ao escopo definido,
considerando as ameaças envolvidas, os controles implantados, as vulnerabilidades existentes e as consequências de violação da segurança da informação;
III - Analisar qualitativa e quantitativamente os riscos levantados,
considerando os valores ou níveis para a probabilidade e para a consequência do risco associados à perda de disponibilidade, integridade, confidencialidade e autenticidade nos ativos considerados;
IV - Avaliar os riscos, determinando o nível de risco e a forma adequada de tratamento, comparando a estimativa de riscos com os critérios estabelecidos durante a definição do contexto;
V - Relacionar os riscos que requeiram tratamento, priorizando-os de acordo com os critérios estabelecidos pelo TCE-PE.
Art. 9º O processo de tratamento dos riscos deve identificar a ordem de prioridade em que as formas específicas de tratamento do risco serão implementadas, quais sejam: eliminar(evitar), mitigar (modificar), transferir (compartilhar) ou aceitar (reter).
I - Eliminar (evitar): quando os riscos são considerados demasiadamente altos e quando os custos de implementar outras opções de tratamento do risco excedam os benefícios, pode-se decidir pela eliminação do risco através da eliminação de uma atividade planejada ou existente ou através de mudanças nas condições em que a atividade ocorre.
II - Mitigar (modificar): ocorre através da inclusão, exclusão ou alteração de controles para que o risco residual possa ser reavaliado e então considerado aceitável. É importante avaliar os custos dos controles em relação ao valor dos ativos que devem ser protegidos.
III - Transferir (compartilhar): o risco é compartilhado com outra entidade que possa gerenciá-lo de forma mais eficaz. Pode ocorrer, por exemplo, através da de um seguro ou subcontratação de parceiro para monitorar o sistema de informação. Embora possa ser compartilhado o risco, normalmente não é possível compartilhar a responsabilidade legal pelo impacto correspondente.
IV - Aceitar (reter): ocorre quando nenhuma ação adicional é tomada com base na avaliação de riscos e critérios de aceitação.
Art. 10. O processo de tratamento dos riscos inclui as seguintes tarefas:
I - Determinar as formas de tratamento dos riscos (estratégia de resposta),
considerando as opções de eliminar (evitar), mitigar (modificar), transferir (compartilhar) ou aceitar (reter) o risco, observando:
a) a eficácia das ações de Segurança da Informação já existentes;
b) as restrições organizacionais, técnicas e estruturais;
c) os requisitos legais;
d) a análise custo/ benefício.
II - Formular um plano para o tratamento dos riscos, relacionando, no mínimo, as ações de Segurança da Informação, responsáveis, prioridades e prazos de execução necessários à sua implantação.
Art. 11. O processo de aceitação dos riscos verifica os resultados do processo executado,
considerando o plano de tratamento, aceitando-os ou submetendo-os à nova avaliação.
Parágrafo único. A decisão de aceitar (reter) os riscos deve ser registrada formalmente pela Diretoria de Gestão e Governança - DGG.
Art. 12. O processo de comunicação e consulta do risco deve realizar o compartilhamento das informações sobre o risco entre os tomadores de decisão e outras partes interessadas, de forma a permitir consenso sobre como os riscos serão gerenciados.
Parágrafo único. A informação deverá incluir, entre outros fatores, a natureza, probabilidade, severidade, tratamento e aceitabilidade dos riscos.
Art. 13. O processo de monitoramento, análise crítica e melhoria deve monitorar os riscos, as ações de Segurança da Informação e verificar a eficácia em relação:
I - Ao processo de gestão, monitorando e analisando criticamente o processo de GRSI de forma a mantê-lo alinhado às diretrizes gerais estabelecidas e às necessidades do TCE-PE.
II - Aos fatores de risco, mantendo os riscos monitorados e analisados criticamente, no mínimo quanto às seguintes mudanças em:
a) nos critérios de avaliação e aceitação dos riscos;
b) no ambiente;
c) nos ativos de informação;
d) nas ações de SI;
e) nos fatores do risco (ameaça, vulnerabilidade, probabilidade e impacto).
Art. 14. A melhoria do processo de Gestão de Riscos de Segurança da Informação deverá assegurar que o contexto, o resultado da avaliação e tratamento de riscos, assim como os planos de gestão, permaneçam relevantes e adequados às circunstâncias, através das seguintes atividades:
I - Propor a necessidade de implementar as melhorias identificadas durante a fase de monitoramento e análise crítica;
II - Executar as ações corretivas ou preventivas aprovadas, de forma que atinjam os objetivos pretendidos.
CAPÍTULO IV
Das Responsabilidades
Art. 15. A DGG é responsável pela coordenação do processo de Gestão de Riscos de Segurança da Informação no TCE-PE, com as seguintes atribuições:
I - Processo de Avaliação dos riscos (identificação de riscos; análise de riscos, avaliação de riscos);
II - Elaboração sistemática de relatórios, em cujo conteúdo constará a análise quanto à aceitação dos resultados obtidos, e consequente proposição de ajustes e de medidas preventivas e proativas;
III - Comunicação e consulta do risco, incluindo o compartilhamento dos relatórios de riscos com o Comitê de Segurança da Informação (CSI);
IV - Definição de procedimentos, ferramentas e formulários necessários para a gestão de riscos.
Art. 16. Compete aos gestores das unidades organizacionais:
I - Designação do executor dos controles sobre os riscos;
II - Participação no processo de avaliação dos riscos;
III - Tratamento dos riscos identificados;
IV - Decisão sobre a aceitação dos riscos;
V - Monitoramento e análise crítica dos fatores de riscos de SI.
Art. 17. Compete ao Controle Interno o monitoramento do processo da Gestão de Riscos de SI, mantendo-o alinhado às diretrizes gerais estabelecidas.
CAPÍTULO V
Das Disposições Finais
Art. 18. Esta Portaria deverá ser revisada periodicamente para adequação às necessidades da segurança da informação.
Art. 19. Esta Portaria entra em vigor na data de sua publicação.
TRIBUNAL DE CONTAS DO ESTADO DE PERNAMBUCO, em 23 de setembro de 2015.
Valdecir Fernandes Pascoal
Presidente
Publicada em 24/09/2015
ANEXO I
MODELO PDCA APLICADO A GESTÃO DE RISCOS de SI
ANEXO I I
PROCESSO DE GESTÃO DE RISCOS de SI
Fonte: NBR ISO 27005:2011
Atos que alteram, regulamentam ou revogam esta Portaria:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Portaria:
Nenhum Ato.