PORTARIA Nº 9, DE 15 DE MARÇO DE 2018

O que estabelece a Norma Complementar nº 14/IN01/DSIC/GSIPR?

A Norma Complementar nº 14/IN01/DSIC/GSIPR estabelece princípios, diretrizes e responsabilidades relacionados à Segurança da Informação (SI) para o tratamento da informação em ambiente de Computação em Nuvem, nos órgãos e entidades da Administração Pública Federal (APF), direta e indireta.

O que é Informação Sigilosa?

Informação Sigilosa é a informação submetida à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado.

Quais são as responsabilidades da Alta Administração de cada órgão ou entidade da APF em relação à segurança das informações tratadas em ambiente de computação em nuvem?

A Alta Administração de cada órgão ou entidade da APF é responsável pela segurança das informações tratadas em ambiente de computação em nuvem, em conformidade com as orientações contidas na norma e na legislação vigente.

O que é a Confidencialidade na Segurança da Informação?

A Confidencialidade é a propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada a pessoa, sistema, órgão ou entidade não autorizado nem credenciado.

O que é o Controle de Acesso?

O Controle de Acesso é o conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso aos meios de tecnologia oferecidos.

Quando a Norma Complementar nº 14/IN01/DSIC/GSIPR entra em vigor?

A Norma Complementar nº 14/IN01/DSIC/GSIPR entra em vigor na data de sua publicação.

O que é a Continuidade de Negócios?

A Continuidade de Negócios é a capacidade estratégica e tática de um órgão ou entidade de se planejar e responder a incidentes e interrupções de negócios, minimizando seus impactos e recuperando perdas de ativos da informação das atividades críticas, de forma a manter suas operações em um nível aceitável, previamente definido.

O que é Segurança da Informação e Comunicações?

Segurança da Informação e Comunicações consiste em assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação.

O que é Integridade na Segurança da Informação?

Integridade é a propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental.

O que é Tratamento de Incidentes de Segurança em Redes Computacionais?

Tratamento de Incidentes de Segurança em Redes Computacionais é o serviço que consiste em receber, filtrar, classificar e responder às solicitações e alertas e realizar as análises dos incidentes de segurança, procurando extrair informações que permitam impedir a continuidade da ação maliciosa e também a identificação de tendências.

O que é a Gestão de Riscos de Segurança da Informação e Comunicações (GRSIC)?

A Gestão de Riscos de Segurança da Informação e Comunicações (GRSIC) é um conjunto de processos que permitem identificar, analisar, avaliar e implementar as medidas necessárias para o tratamento de riscos e equilibrá-los com os custos operacionais e financeiros envolvidos.

O que é a Disponibilidade na Segurança da Informação?

A Disponibilidade é a propriedade pela qual se assegura que a informação esteja acessível e utilizável sob demanda por uma pessoa física ou determinado sistema, órgão ou entidade.

O que é Risco na Segurança da Informação?

Risco é a probabilidade da ocorrência de um evento que tenha impacto na segurança da informação.

O que é a Gestão de Segurança da Informação e Comunicações?

A Gestão de Segurança da Informação e Comunicações envolve ações e métodos que visam à integração das atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, classificação e tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança de recursos humanos e segurança documental aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à Tecnologia da Informação e Comunicações.

O que é a Política de Segurança da Informação e Comunicações (POSIC)?

A Política de Segurança da Informação e Comunicações (POSIC) é um documento aprovado pela autoridade responsável do órgão ou entidade da APF, com o objetivo de estabelecer ações que visam a garantir a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações produzidas ou custodiadas por estes, independentemente da forma e do meio físico em que estejam registradas.

O que é a Computação em Nuvem?

A Computação em Nuvem é um modelo computacional que permite acesso por demanda, e independentemente da localização, a um conjunto compartilhado de recursos configuráveis de computação (rede de computadores, servidores, armazenamento, aplicativos e serviços), provisionados com esforços mínimos de gestão ou interação com o provedor de serviços.

O que é Tratamento da Informação?

Tratamento da Informação é o conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação.

O que é um Metadado?

Metadado são dados estruturados que descrevem e permitem encontrar, gerenciar, compreender e/ou preservar documentos arquivísticos ao longo do tempo.

Quais são os princípios e diretrizes que devem ser observados pelos órgãos ou entidades da APF ao adotar o tratamento da informação em ambiente de Computação em Nuvem?

Os órgãos ou entidades da APF devem observar a prevalência dos direitos e garantias fundamentais no tratamento das informações pessoais, as diretrizes estabelecidas em sua Política de Segurança da Informação e Comunicações (POSIC) e normas complementares, as diretrizes relativas à sua Gestão de Riscos de Segurança da Informação e Comunicações (GRSIC), entre outros aspectos mencionados na norma.

Quais são os riscos associados ao uso de tecnologias de computação em nuvem na Administração Pública Federal?

O uso de tecnologias de computação em nuvem pode ocasionar o surgimento de riscos, que devem ser gerenciados pela Alta Administração de cada órgão ou entidade da APF através da Gestão de Riscos de Segurança da Informação e Comunicações (GRSIC).

O que é um Provedor no contexto da computação em nuvem?

Provedor é o ente, público ou privado, prestador de serviço de computação em nuvem.

Quais são os fundamentos legais da Norma Complementar nº 14/IN01/DSIC/GSIPR?

Os fundamentos legais da Norma Complementar nº 14/IN01/DSIC/GSIPR incluem os incisos I e II do parágrafo único do art. 87 da Constituição Federal, o inciso IV do art. 10 da Lei nº 13.502, de 1 de novembro de 2017, e o inciso II do art. 3º da Instrução Normativa nº 01, de 13 de Junho de 2008, do Gabinete de Segurança Institucional da Presidência da República.

Quais são os benefícios das tecnologias de computação em nuvem para a Administração Pública Federal?

As tecnologias de computação em nuvem oferecem benefícios como economicidade e eficiência, que podem ser aproveitados pelos órgãos ou entidades da Administração Pública Federal (APF).

O que é a Alta Administração, conforme definido na Norma Complementar?

A Alta Administração é composta por Ministros de Estado, ocupantes de cargos de natureza especial, ocupantes de cargo de nível 6 do Grupo-Direção e Assessoramento Superiores - DAS, e presidentes e diretores de autarquias, inclusive as especiais, e de fundações públicas ou autoridades de hierarquia equivalente.

O que é Informação Classificada?

Informação Classificada é a informação sigilosa, à qual foi atribuído um grau de sigilo, conforme procedimentos específicos de classificação estabelecidos na legislação vigente.

O que é a Gestão de Continuidade?

A Gestão de Continuidade é um processo abrangente de gestão que identifica ameaças potenciais para uma organização e os possíveis impactos nas operações de negócio, caso estas ameaças se concretizem. Este processo fornece uma estrutura para que se desenvolva uma resiliência organizacional que seja capaz de responder efetivamente e salvaguardar os interesses das partes interessadas, a reputação, a marca da organização e suas atividades de valor agregado.