Portaria Conjunta 29 de 17/03/2022

Poder Judiciário da União
Tribunal de Justiça do Distrito Federal e dos Territórios

PORTARIA CONJUNTA 29 DE 17 DE MARÇO DE 2022

Dispõe sobre a política de gestão de incidentes e de riscos de segurança da informação do Tribunal de Justiça do Distrito Federal e dos Territórios.

O PRESIDENTE, A PRIMEIRA VICE-PRESIDENTE E A SEGUNDA VICE-PRESIDENTE DO TRIBUNAL DE JUSTIÇA DO DISTRITO FEDERAL E DOS TERRITÓRIOS E A CORREGEDORA DA JUSTIÇA DO DISTRITO FEDERAL E DOS TERRITÓRIOS, em virtude de suas atribuições legais e regimentais; em vista do disposto na Resolução 21 de 8 de novembro de 2016, que dispõe sobre o Sistema de Gestão de Segurança da Informação e a Política Corporativa de Segurança da Informação; e do contido nos processos SEI 13842/2020 e 14284/2020 e no Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC 2021 do TJDFT,

RESOLVEM:

Art. 1º Dispor sobre a política de gestão de incidentes e de riscos de segurança da informação do Tribunal de Justiça do Distrito Federal e dos Territórios - TJDFT.

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Seção I

Dos conceitos

Art. 2º Para os fins desta Portaria, considera-se:

I - segurança da informação: tratamento da informação de forma a garantir sua disponibilidade, integridade, autenticidade, confiabilidade,primariedade e confidencialidade, bem como minimizar riscos, promover a eficácia das ações do negócio e preservar a imagem do TJDFT;

II - incidente de segurança da informação: um simples ou uma série de eventos de segurança da informação indesejados ou inesperados, confirmados ou sob suspeita, que possam comprometer as operações do negócio e ameaçar a segurança da informação do TJDFT;

III - gestão de incidentes de segurança da informação: atividades coordenadas para direcionar e controlar uma organização no que se refere aos incidentes de segurança da informação;

IV - usuário VIP: usuário considerado chave para o funcionamento de processos ou serviços críticos da organização;

V - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

VI - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

VII - risco: evento capaz de afetar positiva ou negativamente os objetivos do TJDFT nos níveis estratégico, tático e operacional;

VIII - gestão de riscos de segurança da informação: processo contínuo, aplicado a ativos e processos de tecnologia da informação, que consiste no desenvolvimento de um conjunto de ações destinadas a identificar, analisar, avaliar, priorizar, tratar e monitorar eventos em potencial, capazes de afetar o cumprimento dos objetivos organizacionais;

IX - probabilidade do risco: possibilidade de ocorrência do risco;

X - impacto do risco: efeito resultante da ocorrência do risco;

XI - nível de risco: magnitude do risco, expressa pelo produto das variáveis impacto e probabilidade;

XII - apetite a risco: nível de risco que a organização está disposta a aceitar para atingir os objetivos identificados no contexto analisado;

XIII - tolerância a risco: margem que a Administração permite aos gestores de suportar o impacto de determinado risco em troca de benefícios específicos, ainda que esse seja superior ao apetite a risco determinado pela organização;

XIV - controle: providência que modifica o risco, incluindo qualquer processo, política, dispositivo, prática ou ação;

XV- vulnerabilidade técnica de tecnologia da informação: falha ou ausência de configuração em ativo de tecnologia da informação que o expõe a ameaça;

XVI - risco de tecnologia da informação: evento capaz de afetar positiva ou negativamente os objetivos do TJDFT em ativos de tecnologia da informação;

XVII - gestor de processos, serviços e ativos de tecnologia da informação: supervisor ou servidor que seja responsável pelos processos de trabalho, projetos ou ações desenvolvidos nos níveis estratégico, tático e operacional do TJDFT;

XVIII - gestor de riscos em seu respectivo âmbito e escopo de atuação: secretário, subsecretário, assessor ou coordenador de unidade.

Seção II

Dos princípios

Art. 3º A política de gestão de incidentes e de riscos de segurança da informação observará os seguintes princípios:

I - proteção dos valores organizacionais;

II - proteção dos ativos de tecnologia e suas informações;

III - melhoria contínua da organização;

IV - visão sistêmica;

V - qualidade e tempestividade das informações;

VI - abordagem explícita da incerteza;

VII - transparência;

VIII - dinamismo e interatividade;

IX - alinhamento à gestão de riscos corporativos;

X - integração.

Seção III

Das diretrizes

Art. 4º O processo de gestão de incidentes e de riscos de segurança da informação observará as seguintes diretrizes:

I - ser parte integrante dos processos organizacionais de tecnologia da informação;

II - ser parte da tomada de decisão;

III - ser sistemático, estruturado e oportuno;

IV - ser baseado nas melhores informações disponíveis;

V - ser dinâmico, iterativo e capaz de reagir às mudanças tempestivamente;

VI - considerar fatores humanos e culturais;

VII - ser transparente e inclusivo;

VIII - contribuir para a melhoria contínua da organização.

Seção IV

Dos objetivos

Art. 5º São objetivos da política de gestão de incidentes e riscos de segurança da informação:

I - apoiar as unidades organizacionais no que tange aos incidentes e riscos de segurança da informação em tecnologia da informação do TJDFT;

II - aprimorar os controles internos de tecnologia;

III - colaborar para que os incidentes de segurança sejam identificados e avaliados em tempo hábil para adoção das medidas de contenção cabíveis;

IV - resguardar a Administração Superior e os gestores do TJDFT quanto à tomada de decisão e à prestação de contas decorrentes dos incidentes e dos riscos de segurança;

V - aprimorar o processo de tomada de decisão, com o propósito de incorporar a visão de riscos, em conformidade com as melhores práticas;

VI - melhorar a alocação de recursos;

VII - aprimorar os controles internos;

VIII - alinhar a tolerância a risco à estratégia adotada.

CAPÍTULO II

DA ESTRUTURA E COMPETÊNCIAS

Art. 6º Integram a estrutura de gestão de incidentes e de riscos de segurança da informação:

I - Comitê de Gestão de Tecnologia da Informação - CGETI;

II - Secretaria de Tecnologia da Informação - SETI;

III - Núcleo de Gestão de Segurança da Informação - NUGSI;

IV - Grupo de Resposta a Incidentes de Segurança nos Serviços Críticos de Tecnologia da Informação - GRISC;

V - gestores de processos, serviços e ativos de tecnologia da informação;

VI - gestores de riscos.

Art. 7º Compete ao CGETI:

I - aprovar a política de que trata esta Portaria;

II - analisar os riscos não tratados bem como decidir sobre possíveis providências;

III - analisar e deliberar sobre ações a serem realizadas em incidentes de segurança da informação relatados e não tratados;

IV - decidir sobre prioridades de atuação;

V - promover recomendações e a adoção de boas práticas;

VI - propor modelos e padrões referentes à governança de tecnologia da informação e comunicação por meio de campanhas institucionais.

Art. 8º Compete à SETI:

I - disseminar a política de gestão de incidentes e de riscos de segurança da informação em suas unidades subordinadas;

II - monitorar, avaliar, revisar e propor alterações na política de gestão de incidentes e de riscos de segurança da informação;

III - monitorar o tratamento dos incidentes e dos riscos;

IV - analisar e encaminhar o relatório de incidentes e de riscos de segurança da informação não tratados ao CGETI.

Art. 9º Compete ao NUGSI:

I - monitorar o processo de gestão de incidentes e de riscos de segurança da informação;

II - elaborar relatórios de incidentes e de riscos de segurança da informação.

Art. 10. Compete ao GRISC:

I - realizar a investigação do incidente de segurança da informação, propondo medidas de contenção;

II - assessorar o CGETI e a SETI na análise e na tomada de decisão a respeito de situações resultantes de incidentes de segurança da informação;

III - realizar análise do incidente de segurança da informação, de forma a propor medidas para eliminar ou solucionar problemas que causaram o incidente;

IV - comunicar ocorrência de incidente que possa afetar outros órgãos da Administração Pública ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR-Gov, bem como ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Poder Judiciário - CPTRIC-PJ;

V - revisar e assinar relatórios de incidente de segurança da informação em que houve participação do GRISC.

Art. 11. Compete aos gestores de riscos:

I - realizar a escolha dos processos de trabalho que devam ter os riscos gerenciados e tratados, tendo em vista a dimensão dos prejuízos que possam causar;

II - propor os níveis aceitáveis de exposição ao risco, de modo a consolidar a tolerância ao risco das unidades e dos serviços auxiliares do TJDFT;

III - definir as ações de tratamento e seu prazo de implementação, bem como avaliar os resultados obtidos.

Art. 12. Compete aos gestores de processos, serviços e ativos de tecnologia da informação:

I - comunicar imediatamente incidente que afete ou possa vir a afetar seus processos ou serviços;

II - auxiliar o GRISC na proposição e execução de medidas para contenção e solução de incidentes de segurança da informação;

III - autorizar execução de medidas propostas pelo GRISC;

IV - contribuir para as atividades de identificação e de avaliação dos riscos inerentes aos processos de trabalho, serviços e ativos de tecnologia da informação sob sua responsabilidade;

V - gerenciar os riscos inerentes aos processos de trabalho, serviços e ativos de tecnologia da informação sob sua responsabilidade, de forma a mantê-los em nível de exposição aceitável;

VI - implementar os planos de ação definidos para tratamento dos riscos inerentes em processos de trabalho, serviços e ativos de tecnologia da informação;

VII - comunicar novos riscos inerentes aos seus processos e que não fazem parte da relação de riscos institucionais já identificados.

Art. 13. A gestão de riscos de segurança da informação no TJDFT, como parte integrante de todos os processos de trabalho e iniciativas do Tribunal, é de responsabilidade compartilhada de magistrados, servidores, estagiários e prestadores de serviço.

Parágrafo único. É dever do TJDFT promover a conscientização dos integrantes da instituição quanto à importância da segurança institucional, incluindo a divulgação e disseminação por diversas mídias da política de gestão de incidentes e de riscos de segurança da informação.

CAPÍTULO III

DO PROCESSO DE GESTÃO DE INCIDENTES E DE RISCOS DE SEGURANÇA DA INFORMAÇÃO

Art. 14. O processo de gestão de incidentes de segurança da informação é contínuo e composto das seguintes fases:

I - identificação de incidente de segurança: o usuário ou processo automatizado que identifique ou suspeite da ocorrência de incidente que afete ou tenha o potencial de afetar a segurança da informação do TJDFT deverá comunicá-lo via Central de Serviços ou enviar mensagem ao endereço eletrônico abuse@tjdft.jus.br com a maior brevidade possível;

II - registro de incidente de segurança: comunicada ou detectada ocorrência ou suspeita de incidente, será realizado registro, de forma detalhada, em ferramenta corporativa adequada, categorizando o incidente de segurança conforme o tipo de impacto causado (confidencialidade, integridade, disponibilidade);

III - priorização de incidente de segurança:após registrado o incidente de segurança, deve-se priorizá-lo por meio da intervenção do gerente do processo de incidente - unidade do TJDFT responsável pela gestão da segurança da informação,utilizando-se da matriz de impacto e urgência constante do Anexo desta Portaria;

IV - investigação: o NUGSI ou o GRISC, conforme a gravidade do caso, com base nas informações inicialmente registradas, deverá investigar as possíveis causas, a extensão e o impacto do incidente, de modo a subsidiar as decisões e ações para sua contenção ou para seu encaminhamento;

V - proposição de ações de contenção: com base nas informações levantadas na investigação do incidente, o NUGSI ou o GRISC deverá propor ações para conter o incidente, que podem ser soluções de contorno ou de resolução do problema;

VI - comunicação às áreas afetadas: se o incidente de segurança afetar um ou mais grupos de serviço, sistemas ou usuários, o NUGSI ou o GRISC, de posse da extensão e do impacto do incidente, deverá comunicar as áreas afetadas sobre a ocorrência e, em conjunto com a SETI, deliberar se é necessário informar outras áreas do TJDFT sobre o incidente;

VII - geração de evidências ou relatórios: havendo necessidade, o NUGSI ou o GRISC realizará a investigação necessária, coletando logs ou evidências, e compilará os dados em relatório a ser encaminhado à consideração superior;

VIII - aplicação de medidas aprovadas: a unidade afetada pelo incidente deverá executar as ações propostas para conter o incidente e verificar se o resultado esperado foi alcançado;

IX - análise do incidente: o NUGSI ou o GRISC analisará o incidente na totalidade (causa raiz identificada, ações de contenção aplicadas, resultados dos relatórios elaborados, entre outros), de modo a propor medidas de solução ou outras providências necessárias ao encerramento do incidente;

X - análise de proposições: a SETI ou o CGETI avaliará as soluções propostas ou analisará o relatório de investigação enviado pelo NUGSI ou pelo GRISC, deliberando a respeito ou apenas tomando ciência acerca do incidente, quando for o caso;

XI - encerramento do incidente: o NUGSI ou o GRISC verificará a existência de providências ou determinações pendentes e providenciará sua execução.

§ 1º Na etapa de comunicação referida no inciso VI deste artigo, deverá ser resguardado o sigilo necessário à apuração durante o processo de tratamento do incidente.

§ 2º A não execução injustificada das medidas referidas no inciso VIII deste artigo caracterizará aceitação do risco por parte do gestor de processo, serviço e ativo de tecnologia da informação responsável.

§ 3º Caso seja necessária a realização de investigação na etapa de análise referida no inciso IX deste artigo, o NUGSI ou o GRISC deverá elaborar relatórios de acesso com base na análise de ferramentas e logs disponíveis, apresentando suas conclusões ao CGETI.

§ 4º Efetivada a execução prevista no inciso XI deste artigo, o incidente de segurança da informação será considerado encerrado.

§ 5º Havendo comprovação de que o incidente que redundou em falha sistêmica decorreu do mau uso por parte do usuário ou de conduta ilícita, deve o caso ser submetido ao CGETI, que dará ciência à Alta Administração do TJDFT.

Art. 15. O processo de gestão de riscos de segurança da informação é composto das seguintes fases:

I - estabelecimento do contexto: os processos de trabalho, sistemas, serviços e ativos de tecnologia da informação do TJDFT de um contexto definido serão submetidos periodicamente à análise de segurança, buscando identificar vulnerabilidades técnicas que possam vir a comprometer os dados ou os objetivos de negócio ou afetar a imagem institucional;

II - identificação dos riscos: inventário e descrição dos eventos de risco que possam comprometer os dados ou os objetivos de negócio ou afetar a imagem institucional;

III - análise dos riscos: compreensão da natureza do risco e determinação do respectivo nível de risco mediante a combinação da probabilidade de sua ocorrência e dos impactos possíveis;

IV - avaliação dos riscos: verificação dos resultados da análise de riscos pelas unidades responsáveis pelos processos de trabalho, sistemas, serviços ou ativos de tecnologia da informação afetados, de modo a determinar se o risco é ou não aceitável;

V - tratamento dos riscos: seleção e implementação de um ou mais controles em resposta aos riscos pelas unidades responsáveis pelos processos de trabalho, sistemas, serviços ou ativos de tecnologia da informação afetados;

VI - monitoramento: acompanhamento quanto à efetividade de todas as fases do processo de gestão de riscos de segurança da informação;

VII - comunicação: manutenção de fluxo constante de informações entre as partes interessadas durante todas as fases do processo de gestão de riscos de segurança da informação.

§ 1º As ações de tratamento deverão explicitar as iniciativas propostas, os responsáveis pela implementação, os recursos requeridos e o cronograma sugerido.

§ 2º As fases enumeradas nos incisos I a VII deste artigo bem como os procedimentos e os instrumentos necessários ao processo serão formalizados em ferramenta corporativa adequada.

Art. 16. Os sistemas, serviços e ativos de tecnologia da informação homologados devem ser submetidos ao NUGSI para identificação de riscos antes de sua disponibilização em ambiente de produção, de modo a evitar a exploração de vulnerabilidades em ambiente crítico.

Art. 17. A publicação de sites e aplicações no domínio oficial do TJDFT na internet ou em seus subdomínios deverá ser regulamentada considerando o que dispõe esta Portaria.

Art. 18. A política de gestão de riscos de segurança da informação abrange as seguintes categorias de impacto de risco:

I - estratégico: categoria associada à tomada de decisão que possa afetar o alcance dos objetivos da organização;

II - operacional: categoria associada à ocorrência de perda ou ganho de produtividade, ativos e recursos orçamentários resultante do impacto em processos internos, estrutura, pessoas, sistemas e tecnologia, bem como à ocorrência resultante de eventos externos;

III - comunicação: categoria associada aos eventos que possam afetar a disponibilidade de informações para a tomada de decisão e o cumprimento das obrigações de prestação de contas às instâncias controladoras e à sociedade;

IV - conformidade: categoria associada ao cumprimento de princípios constitucionais, legislação específica ou regulamentação externa aplicáveis ao negócio, bem como de normas e procedimentos internos;

V - imagem: categoria associada às ações que possam afetar a reputação do TJDFT perante a sociedade.

Parágrafo único. Deverão ser considerados para fins de categorização e classificação tanto os riscos internos quanto os riscos externos à organização.

CAPÍTULO IV

DISPOSIÇÕES FINAIS

Art. 19. Os casos não previstos nesta Portaria serão decididos pelo Comitê Gestor de Segurança da Informação e Proteção de Dados Pessoais - CGSI.

Art. 20.Esta Portaria Conjunta entra em vigor na data de sua publicação.

Desembargador ROMEU GONZAGA NEIVA
Presidente

Desembargadora ANA MARIA DUARTE AMARANTE BRITO
Primeira Vice-Presidente

Desembargadora SANDRA DE SANTIS
Segunda Vice-Presidente

Desembargadora CARMELITA BRASIL
Corregedora

ESTE TEXTO NÃO SUBSTITUI O DISPONIBILIZADO NO DJ-E DE 23/03/2022, EDIÇÃO N. 55, FLS. 6-14, DATA DE PUBLICAÇÃO: 24/03/2021

ANEXO 

(Inciso III do art. 14 da Portaria Conjunta 29 de 17 de março de 2022) 

Matriz de impacto e urgência de incidentes de segurança da informação  

Regras de priorização
Tabela de priorização:   Impacto/urgência dos incidentes de segurança da informação.		Urgência
		Crítica (20)	Alta   (15)	Média   (10)	Baixa   (0)
Impacto	Empresa  (9)	29	24	19	9
	Departamento  (5)	25	28	15	5
	Grupo  (3)	23	18	13	3
	Usuário  (1)	21	16	11	1
DEFINIÇÕES:   1 – Impacto:   a) empresa: quando o impacto atinge todos os usuários (TJDFT na totalidade);   b) departamento: quando o impacto atinge uma região inteira ou um prédio (gabinetes; desembargadores; secretarias; subsecretarias; varas);   c) grupo: quando o impacto atinge um andar, parcela ou todos os usuários de uma sala, ou atinge um conjunto limitado de salas em um andar;   d) usuário: quando o impacto atinge um único usuário (apenas o próprio usuário).      2 – Urgência:   a) crítica:   – sistema crítico indisponível ou intermitente;   – serviço crítico indisponível ou intermitente (correio eletrônico; acesso à internet; servidores de arquivos da rede TJDFT; videoconferência);   – ambiente crítico (auditório durante evento; sala de videoconferência durante evento; sala-cofre);   –  usuário VIP alegando necessidade urgente;   – incidente em que ocorra vazamento de dado pessoal ou dado pessoal sensível.      b) alta:   – ambiente crítico na iminência de hospedar evento (vinte e quatro horas antes de um evento agendado);   –  incidente (exceto indisponibilidade e intermitência) de serviço/sistema crítico;    – usuário VIP, independentemente de solicitação de urgência.      c) média:   – indisponibilidade, intermitência ou incidente de sistema/serviço não crítico;   – ambiente definido como crítico, sem evento agendado nas próximas vinte e quatro horas;   – indisponibilidade do computador, exceto quando se tratar de usuário VIP;   – usuário não VIP que solicita expressamente prioridade.      d) baixa:   – demais situações.