DOU 15/06/2023 - Diário Oficial da União - Brasil

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023061500067
67
Nº 112, quinta-feira, 15 de junho de 2023
ISSN 1677-7042
Seção 1
VII - o acesso ao datacenter e às salas dos switches de rede deverá ser
realizado com acompanhamento de um servidor da área de tecnologia da Informação,
ou de funcionário de empresa contratada para a sustentação da infraestrutura de
tecnologia da informação do Ministério do Meio Ambiente e Mudança do Clima;
VIII - o acesso físico ao datacenter do Ministério do Meio Ambiente e
Mudança do Clima durante feriados e finais de semana somente será permitido aos
servidores da área de tecnologia da Informação e aos funcionários da empresa
contratada para sustentação do datacenter para suporte emergencial, ou manutenções
programadas, com autorização da autoridade responsável pela área de Tecnologia da
Informação do Ministério do Meio Ambiente e Mudança do Clima;
IX - todo o acesso remoto ao datacenter se dará por meio de esquema de
autenticação e deverá
ser identificado com registro contendo,
no mínimo, as
informações de usuário, data e hora, com registros de logs de acesso;
X - todo o acesso físico ao datacenter deverá ser identificado com registro
contendo, no mínimo, as informações de usuário, data e hora, em software de
autenticação, ou, na falta deste, por meio de formulário próprio;
XI - deverão ser ministrados treinamentos periódicos para as equipes de
Brigada de incêndio e de eletricistas, de modo a capacitá-los a identificar os alarmes
do sistema de segurança da sala-cofre e a comunicar as situações de emergência aos
canais apropriados.
SEÇÃO XI
DO USO DE E-MAIL
Art. 24. O correio eletrônico é um meio de comunicação corporativa do
Ministério do Meio Ambiente e Mudança do Clima.
§ 1º As regras de acesso e utilização de e-mail institucional devem atender
às orientações desta POSIN e aos seus anexos, bem como às demais normas internas
e diretrizes do Governo Federal.
§ 2º A área de Tecnologia da Informação deverá manter o controle do uso
e do cancelamento de acesso ao correio eletrônico.
SEÇÃO XII
DO ACESSO À INTERNET
Art. 25. O acesso à rede mundial de computadores (Internet) no ambiente
de trabalho deverá ser regido por norma interna, atendendo a esta POSIN, seus anexos
e às demais orientações governamentais e à legislação em vigor.
SEÇÃO XIII
DA COMPUTAÇÃO EM NUVEM
Art. 26. O uso de tecnologias de Computação em Nuvem deverá estar em
conformidade com as diretrizes e normas específicas relacionadas à segurança da
informação no âmbito da Administração Pública Federal.
Parágrafo único. Ao Gestor de Segurança da Informação (GSIN), no âmbito
de suas atribuições, cabe propor ações de segurança da informação e a implementação
de tecnologias de computação em nuvem.
SEÇÃO XIV
DO USO, AQUISIÇÃO, DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMA DE
I N FO R M AÇ ÃO
Art. 27. O uso, a aquisição, o desenvolvimento e a manutenção de sistema
de informação devem observar o seguinte:
I - fica proibida, permanentemente, a instalação de quaisquer softwares sem
licença de uso;
II - a área de tecnologia da informação fica autorizada a desinstalar todo e
qualquer software ilegal, ou que comprometa a segurança dos ativos de informação do
Ministério do Meio Ambiente e Mudança do Clima;
III - novos sistemas de informação, ou a melhoria dos sistemas existentes,
devem obedecer à Metodologia de Desenvolvimento de Softwares do Ministério do
Meio Ambiente e Mudança do Clima, bem como devem ser especificados com
requisitos de controle de segurança, e em conformidade com as especificações de
requisitos estabelecidos pelas áreas demandantes;
IV - o gerenciamento de mudanças deve incluir a garantia de que suas
implementações sejam realizadas em horários apropriados, preferencialmente, sem a
perturbação dos processos de negócios cabíveis.
Art. 28. Cabe à área de tecnologia da informação do Ministério do Meio
Ambiente e Mudança do Clima, por meio de servidores designados, a supervisão, o
monitoramento e a avaliação da conformidade técnica do desenvolvimento direto, ou
terceirizado, de software, de forma a garantir que critérios de segurança, qualidade,
conformidade, desempenho e privacidade sejam devidamente implementados.
Parágrafo único. Os serviços de desenvolvimento, manutenção corretiva e
manutenção evolutiva
de sistemas deverão estar
de acordo com
as exigências
constantes da Metodologia de Desenvolvimento de Sistemas do Ministério do Meio
Ambiente e Mudança do Clima, e da Lei nº 13.709, 2018, cabendo, à área requisitante,
definir os requisitos de negócio e à área de Tecnologia da Informação, avaliá-los
quanto ao atendimento dos requisitos tecnológicos, de segurança e de privacidade,
desde a concepção e por padrão (Privacy by Design e Privacy by Default);
Art. 29. É responsabilidade dos gestores das unidades e dos gerentes de
projetos, a comunicação formal à área de tecnologia da informação, quando da
elaboração de iniciativas, ou de projetos que envolvam o desenvolvimento de sistemas,
portais, ou de aplicativos de interesse do Ministério do Meio Ambiente e Mudança do
Clima, mesmo que venham a ser desenvolvidos com o uso de recursos externos, ou
mesmo quando os serviços forem executados por organizações parceiras, em sites de
terceiros.
SEÇÃO XV
DA SENSIBILIZAÇÃO, CONSCIENTIZAÇÃO E CAPACITAÇÃO
Art.
30. Cabe
ao GSIN
apoiar a
Secretaria
Executiva e
a área
de
comunicação institucional, quanto ao desenvolvimento de um plano permanente de
divulgação, sensibilização,
conscientização e
capacitação dos
servidores sobre
os
cuidados e deveres relacionados à segurança da informação e comunicações.
Art. 31. Os investimentos em capacitações em segurança da informação
deverão ser estabelecidos de forma planejada e contemplados no Plano Anual de
Capacitação do Ministério do Meio Ambiente e Mudança do Clima, com base na
priorização dos riscos a serem tratados, considerando a probabilidade, severidade e
relevância deles.
CAPÍTULO V
DAS COMPETÊNCIAS E RESPONSABILIDADES
Art. 32. A estrutura de Gestão de Segurança da Informação no Ministério do
Meio Ambiente e Mudança do Clima será composta pelo GSIN e CSIN.
Art. 33. Compete ao CSIN aprovar a POSIN e demais normas de segurança
da informação propostas pelo CSIN ou pelo GSIN.
Art. 34. Compete à autoridade máxima do Ministério do Meio Ambiente e
Mudança do Clima no âmbito da POSIN:
I - promover a cultura de segurança da informação;
II - instituir o CSIN;
III - nomear o GSIN;
IV - instituir a ETIR;
V -
reservar recursos
orçamentários para
as ações
de segurança
da
informação, alinhadas à POSIN;
VI - remeter os resultados consolidados dos trabalhos de auditoria de
gestão de segurança da informação para o GSI/PR e demais instâncias pertinentes;
VII - aplicar ações corretivas e disciplinares cabíveis nos casos de quebra de
segurança.
Art. 35. Compete ao GSIN do Ministério do Meio Ambiente e Mudança do
Clima:
I - acompanhar a aplicação de ações corretivas e administrativas cabíveis
nos casos de violação da segurança da informação;
II - acompanhar os trabalhos da ETIR;
III - assessorar a alta administração na implementação da POSIN;
IV - propor recursos necessários às ações de segurança da informação;
V - estimular ações de capacitação e de profissionalização de recursos
humanos em temas relacionados à segurança da informação;
VI - coordenar o CSIN;
VII - incentivar estudos de novas tecnologias, bem como seus eventuais
impactos relacionados à SI;
VIII
- manter
contato direto
com
o Departamento
de Segurança
da
Informação (DSI) do GSI/PR em assuntos relativos à segurança da informação;
IX - verificar os resultados dos trabalhos de auditoria sobre a gestão da
segurança da informação;
X - coordenar a elaboração da POSIN e das normas internas de SI,
observadas as normas afins exaradas pelo GSI/PR;
XI - promover a divulgação da política e das normas internas de SI a todos
os servidores, usuários e prestadores de serviços que trabalham Ministério do Meio
Ambiente e Mudança do Clima;
XII - participar da elaboração da POSIN e das normas internas de SI;
XIII - deliberar sobre normas internas de SI.
Parágrafo único. O papel de GSIN será exercido pelo Subsecretário de
Planejamento, Orçamento e Administração (SPOA) do Ministério do Meio Ambiente e
Mudança do Clima, e, em seus impedimentos legais, pelo seu substituto do cargo.
Art. 36. Compete ao CSIN:
I - assessorar na implementação das ações de SI no Ministério do Meio
Ambiente e Mudança do Clima;
II - constituir grupos de trabalho para tratar de temas e propor soluções
específicas sobre SI;
III - propor alterações na POSIN e nas normas internas de SI;
IV - participar da elaboração da POSIN e das normas internas de SI;
V - deliberar sobre normas internas de SI.
Art.
37. O
CSIN poderá
editar atos
para
definir a
forma de
seu
funcionamento, observado o disposto no Decreto nº 9.637, de 26 de dezembro de
2018.
CAPÍTULO VI
DAS PENALIDADES
Art. 38. Os incidentes, as violações de segurança e o descumprimento das
normas estabelecidas nesta POSIN serão devidamente apurados e implicarão na
responsabilização civil, penal e administrativa, conforme o caso, dos que estiverem
envolvidos na evento, podendo ensejar, do ponto de vista administrativo, na apuração
de responsabilidade, conforme os art. 124 e art. 143 da Lei nº 8.112, de 11 de
dezembro de 1990.
CAPÍTULO VII
DA ATUALIZAÇÃO
Art. 39. Esta portaria deverá ser revisada e atualizada a cada 03 (três) anos,
a contar da data de sua publicação, ou a qualquer tempo por solicitação do CSIN.
Art. 40. As Secretarias do Ministério do Meio Ambiente e Mudança do Clima
terão o prazo de 90 (noventa) dias da data de sua publicação para submeterem as
propostas de atualização,
ou de criação das normas
e procedimentos internos
complementares sobre SI, no âmbito de suas atividades finalísticas, ou administrativas,
ao CSIN, de modo a garantir a segurança das informações tratadas no exercício das
atividades laborais de suas equipes, independentemente do ambiente em que tais
informações sejam tratadas, tais como em reuniões de planejamento de ações, ou em
reuniões estratégicas, no caso de instruções de processos licitatórios, na elaboração de
manuais físicos e digitais, ou na divulgação painéis informativos, dentre outras.
CAPÍTULO VIII
DAS DISPOSIÇÕES FINAIS
Art. 41. Integram esta POSIN, as Normas de Segurança da Informação - NSIs
elencadas nos anexos a seguir:
I - Anexo I NSI 001/2023 - Controle de Acesso à Internet - que estabelece
diretrizes e padrões para o acesso à internet;
II - Anexo II NSI 002/2023 - Serviço de Correio Eletrônico Institucional - que
estabelece regras e padrões para a utilização do serviço de correio eletrônico;
III - Anexo III NSI 003/2023 - Uso de Recursos de Tecnologia da Informação
e Controle de Acesso - que estabelece diretrizes e padrões para a utilização dos
recursos de tecnologia da informação e para o controle de acesso físico e lógico;
IV - Anexo IV NSI 004/2023 - Política de backup e recuperação de dados -
que estabelece diretrizes e padrões para os procedimentos de backup, testes e
recuperação de dados;
V - Anexo V NSI 005/2023 - Gestão de Riscos de Tecnologia da Informação
e Comunicações - que estabelece as diretrizes da gestão de riscos relacionada ao
ambiente tecnológico, aos projetos e processos de Tecnologia da Informação e
Comunicações (TIC), e define o processo de Gerenciamento de Riscos de Segurança da
Informação e Comunicações do Ministério do Meio Ambiente e Mudança do Clima;
VI - Anexo VI NSI 006/2023 - Gestão de Incidentes de Segurança da
Informação - que estabelece as diretrizes e define o processo de Gestão de Incidentes
de Segurança da Informação relacionado ao ambiente tecnológico no âmbito do
Ministério do Meio Ambiente e Mudança do Clima; e
VII - Anexo VII NSI 007/2023 - Gestão de Continuidade de TIC - que
estabelece as diretrizes e define o processo de Gestão de Continuidade de Tecnologia
da Informação e Comunicações, aplicáveis ao ambiente tecnológico do Ministério do
Meio Ambiente e Mudança do Clima.
Art. 42. Os servidores e colaboradores do Ministério do Meio Ambiente e
Mudança do Clima devem observar as diretrizes e responsabilidades estabelecidas
nesta POSIN, nas normas e procedimentos complementares e nas melhores práticas de
segurança da informação recomendadas por órgãos e entidades públicas e privadas,
responsáveis pelo estabelecimento de padrões e de normas de segurança.
Art. 43. Os servidores e colaboradores do Ministério do Meio Ambiente e
Mudança do Clima devem comunicar aos gestores responsáveis pelos ativos da
informação sobre qualquer ocorrência de incidente de segurança da informação de que
tenham ciência.
Art. 44. Os servidores e colaboradores do Ministério do Meio Ambiente e
Mudança do Clima são responsáveis pela segurança dos ativos de informação que
estejam sob sua custódia e por todos os atos executados com suas credenciais, tais
como crachá,
login, senha eletrônica, certificado
digital e endereço
de correio
eletrônico, devendo comunicar imediatamente à ETIR sobre a perda, ou o extravio de
documentos, ou de equipamentos que contenham informações institucionais, ou de
senhas e credenciais de acesso.
Art. 45. Os contratos, convênios, acordos, ajustes e demais instrumentos
congêneres devem observar, no que couber, as seguintes diretrizes:
I - conter cláusulas que estabeleçam a obrigatoriedade de observância desta
POSIN;
II - conter cláusulas que estabeleçam a obrigatoriedade de observância dos
requisitos e princípios estabelecidos na Lei nº 13.709, de 2018;
III - prever a obrigação da outra parte de divulgar esta POSIN e suas normas
complementares aos seus empregados e prepostos envolvidos em atividades do
Ministério do Meio Ambiente e Mudança do Clima;
IV - no caso de obtenção de informações de terceiros, o gestor da área na
qual a informação será utilizada deve, se necessário, providenciar, junto ao cedente, a
documentação formal relativa à cessão de direitos sobre informações de terceiros,
antes de seu uso.
Art. 46. Após a publicação oficial, esta portaria será disponibilizada no
Painel de Legislação Ambiental.
Art. 47. Fica revogada a Portaria MMA nº 154, de 02 de maio de 2014.
Art. 48. Esta Portaria entra em vigor na data de sua publicação.
MARINA SILVA