Portaria Normativa nº 30/2017

PORTARIA NORMATIVA TC Nº 30, DE 14 DE DEZEMBRO DE 2017.

Disciplina os procedimentos necessários para gestão de incidentes relacionados com a Segurança da Informação no âmbito do Tribunal de Contas do Estado de Pernambuco (TCE-PE) e institui as equipes responsáveis pela gestão e pelo tratamento dos incidentes, e revoga a Portaria TC nº 437 , de 23 de setembro de 2015.

O PRESIDENTE DO TRIBUNAL DE CONTAS DO ESTADO DE PERNAMBUCO, no uso de suas atribuições legais e regimentais;

CONSIDERANDO que o Tribunal de Contas do Estado de Pernambuco (TCE-PE) vem consolidando sistemas de informação cada vez mais amplos, como exigência para suportar o fluxo crescente de informações;

CONSIDERANDO a necessidade de gerenciar o acesso aos sistemas de informação pelos usuários;

CONSIDERANDO as NBR ISO/IEC 27001:2013, 27002:2013 e ISO/IEC 27035-1:2016 e 27035-2:2016, que tratam de Gestão de Incidentes de Segurança da Informação e têm como objetivo assegurar que vulnerabilidades e eventos de segurança da informação sejam comunicados, permitindo a tomada de ação corretiva em tempo hábil;

CONSIDERANDO a Lei Federal nº 12.527 , de 18 de novembro de 2011, que regula o acesso a informações, afetando a maneira como as organizações precisam protegê-las;

CONSIDERANDO a Política Corporativa de Segurança da Informação do Tribunal de Contas do Estado de Pernambuco (TCE-PE), regulamentada pela Resolução TC nº 16 , de 22 de outubro de 2014, que prevê a gestão dos riscos e de incidentes relacionados à segurança da informação;

CONSIDERANDO que a gestão de incidentes de segurança da informação deve nortear todos os processos de trabalho e as unidades do Tribunal de Contas do Estado de Pernambuco (TCE-PE), não podendo ficar restrita a responsabilidade apenas à área de tecnologia da informação;

RESOLVE editar a seguinte Portaria Normativa:

CAPÍTULO I

Das Disposições Iniciais

Art. 1º Esta Portaria Normativa integra a Política Corporativa de Segurança da Informação do Tribunal de Contas do Estado de Pernambuco (TCE-PE), regulamentada pela Resolução TC nº 16 , de 22 de outubro de 2014 e adota os conceitos definidos no seu capítulo II.

Art. 2º A gestão de incidentes relacionados com a Segurança da Informação consiste em identificar, analisar, tratar, avaliar e monitorar a ocorrência desses incidentes no âmbito do TCE-PE, atuando de forma proativa com o objetivo de minimizar vulnerabilidades e ameaças que possam comprometer o seu negócio.

Parágrafo único. A implantação da gestão de incidentes cabe à Equipe Estratégica de Tratamento de Incidentes de Segurança da Informação (ETISI) e à Equipe de Tratamento de Incidentes em Redes de Computadores (ETIR).

Art. 3º Compete à Diretoria de Gestão e Governança (DGG), com o apoio do Departamento de Tecnologia da Informação (DTI) e da Coordenadoria de Administração Geral (CAD), coordenar a gestão dos incidentes relacionados com a Segurança da Informação.

Art. 4º Para os fins desta Portaria Normativa considera-se:

I - evento de Segurança da Informação: ocorrência identificada, indicando uma possível violação da política de segurança da informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser relevante para a segurança da informação;

II - incidente de Segurança da Informação: evento indesejado ou ocorrência de fraude, sabotagem, desvio ou falha que tenha probabilidade de comprometer as operações do negócio e/ou ameaçar a segurança da informação;

III - serviço: conjunto de procedimentos, estruturados em um processo bem definido, oferecido ao público alvo do TCE-PE; e

IV - tratamento e resposta a incidentes de Segurança da Informação: serviço consistente em identificar, analisar e tratar os incidentes de segurança, buscando extrair informações e executar ações que possam minimizar novas ocorrências.

CAPÍTULO II

Do fluxo e dos procedimentos da gestão de incidentes

Art. 5º A gestão de incidentes contempla quatro fases operacionais:

I - identificação;

II - análise;

III - tratamento; e

IV - prevenção e monitoramento.

Art. 6º Na fase de identificação são executados os seguintes procedimentos:

I - detecção de ocorrência de evento ou vulnerabilidade de segurança da informação;

II - registro das informações relacionadas com o evento ou a vulnerabilidade de segurança da informação em formulário disponível na intranet; e

III - envio das informações:

a) para a ETISI; ou

b) para a ETISI e para a ETIR, nos casos de eventos ou vulnerabilidades não sigilosas e relacionadas com a tecnologia da informação.

§ 1º Os procedimentos desta fase podem ser executados por qualquer usuário da rede de computadores do TCE-PE ou diretamente por membros da ETISI ou da ETIR.

§ 2º Caso não seja possível o preenchimento do formulário da intranet, a comunicação do usuário com a ETISI ou a ETIR pode ser realizada por qualquer outro meio de comunicação disponível.

Art. 7º Na fase de análise são executados os seguintes procedimentos:

I - análise das informações obtidas, buscando verificar se a ocorrência é realmente um incidente relacionado com a Segurança da Informação;

II - classificação da modalidade e do nível de criticidade do incidente;

III - identificação dos encarregados pelo tratamento do incidente;

IV - envio das informações para os encarregados pelo tratamento, no caso de incidente não relacionado com a tecnologia da informação (TI);

V - comunicação da ocorrência do incidente para o Gabinete da Presidência, à Diretoria Geral, à Corregedoria Geral ou à Gerência de Controle Interno e de Processos, sempre que necessário; e

VI - registro de todas as informações, relacionadas ao incidente, num Banco de Dados específico, viabilizando futuras consultas.

Parágrafo único. Os procedimentos realizados nesta fase são de competência dos integrantes da ETISI e da ETIR, com exceção dos procedimentos contidos nos incisos IV, V e VI, que serão realizados apenas pela ETISI.

Art. 8º Na fase de tratamento são executados os seguintes procedimentos:

I - elaboração de planos de investigação, ações de tratamento e de comunicação;

II - aprovação dos planos mencionados no inciso I;

III - investigação sobre as causas e os responsáveis pela ocorrência, assim como a dimensão dos danos e prejuízos provocados;

IV - ações buscando proporcionar as condições necessárias ao restabelecimento da segurança da informação e dos processos e procedimentos de trabalho do TCE-PE;

V - comunicação das providências tomadas às pessoas afetadas pelo incidente; e

VI - registro de todas as informações em formulário específico, encaminhado imediatamente para a ETISI, que ficará encarregada de inseri-las no banco de dados específico.

§ 1º Quando se tratar de incidente relacionado com TI, os encarregados pela aprovação dos planos mencionados no inciso I do caput deste artigo serão definidos no Manual de Gestão de Incidente de Segurança da Informação.

§ 2º Quando o incidente não for relacionado com TI, os encarregados pela aprovação dos planos mencionados no inciso I do caput deste artigo serão indicados pelos integrantes da ETISI.

§ 3º Quando o incidente for relacionado com TI, os procedimentos contidos neste artigo, com exceção do inciso II, serão realizados pela ETIR.

§ 4º Quando o incidente não for relacionado com TI, os procedimentos contidos neste artigo, com exceção do inciso II, serão realizados por servidores indicados pela ETISI.

§ 5º Sem prejuízo da observância dos demais procedimentos previstos, durante um incidente de segurança relacionado com TI, a ETIR poderá executar as medidas de recuperação, inclusive prescindindo da aprovação dos planos mencionados no inciso I, quando o curso regular desta fase comprometer a resposta adequada.

Art. 9º Na fase de prevenção e monitoramento são executados os seguintes procedimentos:

I - identificação de ações preventivas que possam impedir ou minimizar a ocorrência de incidentes similares;

II - encaminhamento de recomendações para que os setores/servidores executem as ações preventivas necessárias;

III - registro das recomendações encaminhadas para setores/servidores do TCE-PE, assim como das lições aprendidas;

IV - execução das ações preventivas recomendadas;

V - registro da execução das ações preventivas necessárias; e

VI - monitoramento de ocorrências novos incidente idênticos ou similares.

Parágrafo único. O procedimento descrito no inciso IV do caput deste artigo deve ser executado pela ETIR e/ou por demais setores competentes, enquanto os contidos nos demais incisos são de competência da ETISI.

Art. 10. As informações e outras provas coletadas em todas as fases da gestão dos incidentes de Segurança da Informação poderão ser usadas em processo disciplinar ou judicial.

CAPÍTULO III

Da composição das Equipes

Art. 11 A Equipe Estratégica de Tratamento de Incidentes de Segurança da Informação (ETISI) será composta pelo Diretor de Gestão e Governança (DGG), pelo Diretor do Departamento de Tecnologia da Informação (DTI), pelo Coordenador de Administração Geral (CAD) e por mais três servidores indicados por cada um deles, respectivamente.

Art. 11. A Equipe Estratégica de Tratamento de Incidentes de Segurança da Informação (ETISI) será composta pelo Diretor de Gestão e Governança (DGG), pelo Diretor do Departamento de Tecnologia da Informação (DTI), pelo Coordenador de Administração Geral (CAD), pelo Diretor de Controle Externo (DEX) e por mais três servidores indicados por cada um deles, respectivamente. (Redação dada pela Portaria Normativa nº 182 /2022)

Parágrafo único. Caberá ao Diretor de Gestão e Governança (DGG) a coordenação dos trabalhos da ETISI.

Art. 12. A Equipe de Tratamento de Incidentes em Redes de Computadores (ETIR) será composta por, no máximo, 04 (quatro) servidores do TCE-PE da área de tecnologia da informação, sem prejuízo do desempenho das atribuições típicas do cargo, com experiência e conhecimentos técnicos compatíveis com a importância da missão da equipe, dentre os quais um será designado o seu coordenador, todos indicados pelo Diretor do DTI.

§ 1º Se necessário os membros da ETIR poderão ser assistidos por profissionais da área de tecnologia da informação, inclusive terceirizados.

§ 2º Os gestores da área de TI deverão, durante o planejamento anual das atividades de suas unidades administrativas, considerar as alocações dos integrantes da ETIR nas atividades de Gestão da Segurança da Informação.

CAPÍTULO IV

Das competências e responsabilidades

Art. 13. Compete ao usuário interno da rede de computadores do TCE-PE:

I - zelar pela segurança das informações a que tenha acesso;

II - notificar incidentes de Segurança da Informação através de formulário disponível na intranet ou por contato telefônico com a ETISI e/ou Central de Atendimento ao Usuário, repassando todas as informações a que tenha acesso; e

III - seguir as diretrizes desta Portaria Normativa no processo de Gestão de Incidentes de Segurança da Informação.

Art. 14. Cabe à ETISI:

I - estruturar, coordenar, monitorar e ajustar o processo de gestão de incidentes relacionados com a Segurança da Informação;

II - analisar, registrar e classificar os incidentes;

III - identificar os responsáveis pelo tratamento dos incidentes;

IV - encaminhar os incidentes para os responsáveis pelo tratamento;

V - identificar as ações preventivas a serem executadas, buscando impedir ou minimizar a ocorrência de incidentes similares;

VI - encaminhar as recomendações para que os setores/servidores executem as ações preventivas necessárias;

VII - registrar as recomendações encaminhadas para setores/servidores do TCE-PE, assim como as lições aprendidas;

VIII - registrar as ações preventivas executadas;

IX - monitorar novas ocorrências do incidente ou de incidentes similares;

X - apoiar as unidades organizacionais do TCE-PE nas atividades de capacitação e na disseminação de boas práticas relacionadas à gestão de incidentes de Segurança da Informação; e

XI - elaborar e manter atualizado o Manual da Gestão de Incidentes da Segurança da Informação, que deve conter todos os procedimentos internos e externos necessários para a execução dessa gestão.

§ 1º Na ocorrência de incidentes, a ETISI poderá ser acionada fora do horário de expediente, inclusive finais de semana e feriados, como forma de analisar e prover resposta aos mesmos.

§ 2º O exercício das atividades de que trata este artigo dar-se-á sem prejuízo das atribuições típicas do cargo.

Art. 15. Compete ao coordenador da ETISI:

I - cientificar a Presidência, a Diretoria Geral, a Corregedoria Geral e a Gerência de Controle Interno sobre a existência de incidentes de Segurança da Informação de seu conhecimento que possam ser caracterizados como irregularidade ou ilegalidade;

II - no caso da observância de indícios de ilícitos criminais, durante o gerenciamento de incidentes de Segurança da Informação, adotar as seguintes providências:

a) comunicar à Presidência a necessidade de acionar as autoridades competentes para a adoção dos procedimentos legais necessários; e

b) preservar a continuidade dos serviços e a missão institucional do TCE-PE:

III - promover e supervisionar a elaboração e o cumprimento do Manual de Gestão de Incidentes de Segurança da Informação; e

IV - promover reuniões trimestrais de monitoramento da gestão de incidentes relacionados com a segurança da informação, apresentando a situação geral dos incidentes notificados e as ações preventivas adotadas.

Art. 16. Cabe à ETIR:

I - analisar e tratar os incidentes de segurança da informação em redes computacionais;

II - dar suporte à ETISI na definição e documentação da metodologia e dos procedimentos internos, necessários para o tratamento e a prevenção de incidentes em redes computacionais;

III - observar e manter devidamente atualizado o Plano de Continuidade dos Serviços de TI (PCNTI);

IV - observar os procedimentos para preservação das evidências e da cadeia de custódia, conforme ato normativo específico a ser expedido; e

V - propor ações preventivas que possam impedir ou minimizar a ocorrência de incidentes similares.

Parágrafo único. Na ocorrência de incidentes, a ETIR poderá ser acionada fora do horário de expediente, inclusive finais de semana e feriados, como forma de analisar e prover resposta aos mesmos.

Art. 17. Compete ao coordenador da ETIR:

I - coordenar atividades da Equipe e distribuir tarefas a seus membros;

II - zelar pela observância de procedimentos internos definidos;

III - monitorar os controles de segurança das informações; e

IV - propor ajustes e melhorias na metodologia e nos procedimentos de gestão de incidentes de Segurança da Informação.

Parágrafo único. Sempre que possível, o coordenador da ETIR deverá integrar também a ETISI.

Art. 18. Cabe à Presidência do Tribunal:

I - acionar as autoridades competentes e/ou representantes de outros órgãos ou entidades, nos casos de indícios de Ilícitos criminais ou quando for necessário o auxílio desses órgãos para a manutenção da Segurança da Informação; e

II - participar das reuniões trimestrais de monitoramento da gestão de incidentes relacionados com a Segurança da Informação, analisando a situação geral dos incidentes notificados e das ações preventivas adotadas, e definindo as diretrizes necessárias para preservar a continuidade dos serviços e da missão institucional do TCE-PE.

Art. 19. Cabe à Corregedoria-Geral:

I - determinar a adoção e a implantação de normas e procedimentos que visem ao aperfeiçoamento da Gestão de Incidentes de Segurança da Informação do TCE-PE, em função de fatos apurados em processo disciplinar ou quando da realização de trabalhos de correição; e

II - promover o controle disciplinar, quando constatada ocorrência de infrações ao determinado nesta Portaria Normativa, aplicando, no que couber, o disposto na Lei Estadual nº 6.123 , de 20 de julho de 1968, e na Portaria TC nº 477 , de 11 de dezembro de 2015.

Art. 20. Cabe à Gerência de Controle Interno e de Processos:

I - propor melhorias mediante orientação, adoção e implantação de normas e procedimentos que visem ao aperfeiçoamento da gestão de incidentes de segurança da informação do TCE-PE, em função de trabalhos de controle interno; e

II - acompanhar a implantação das medidas de controle interno nos setores responsáveis, identificadas como necessárias após o tratamento dos incidentes.

CAPÍTULO V

Das disposições finais

Art. 21. As regras previstas nesta Portaria Normativa deverão ser revisadas periodicamente para adequação às necessidades da segurança da informação.

Art. 22. Fica revogada a Portaria TC nº 437 , de 23 de setembro de 2015.

Art. 23. Esta Portaria Normativa entra em vigor na data da sua publicação, com efeitos a partir de 1º de janeiro de 2018.

TRIBUNAL DE CONTAS DO ESTADO DE PERNAMBUCO, em 14 de dezembro de 2017.

CARLOS PORTO DE BARROS

Presidente

Atos que alteram, regulamentam ou revogam esta Portaria Normativa:

Portaria Normativa nº 182/2022 de 02/05/2022 - Norma em vigor

Atos que são alterados, regulamentados ou revogados por esta Portaria Normativa:

Portaria nº 437/2015 de 23/09/2015 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 122749 AND idambito = 4 LIMIT 1