Políticas Públicas

Segurança Cibernética é definida como “ações voltadas para a segurança de operações, de forma a garantir que os sistemas de informação sejam capazes de resistir a eventos no espaço cibernético capazes de comprometer a disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados armazenados, processados ou transmitidos e dos serviços que esses sistemas ofereçam ou tornem acessíveis”, nos termos do Glossário de Segurança da Informação elaborado pelo Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República (GSI/PR).

As competências da Agência quanto ao tema são definidas pela Lei Geral de Telecomunicações (LGT) - Lei nº 9.472, de 16 de Julho de 1997 e por outras políticas públicas, conforme segue abaixo.

• Estratégia Brasileira para a Transformação Digital

  Aprovada pela Portaria do então Ministério das Ciência, Tecnologia, Inovações e Comunicações (MCTIC) nº 1.556/2018, a Estratégia Brasileira para a Transformação Digital (E-Digital) ofereceu um diagnóstico sobre os desafios da transformação digital da sociedade brasileira e estabeleceu as ações estratégicas para a concretização da visão de futuro que ela apresentou, identificando a confiança no ambiente digital como um dos seus eixos, e está focada em duas áreas: a) proteção de direitos e privacidade; e b) defesa e segurança no ambiente digital.

  Quanto a defesa e à segurança no ambiente digital, a E-Digital apresentou as oito ações estratégicas:

  1. Editar uma política nacional de segurança cibernética, incluindo a definição de uma instância nacional responsável pela articulação de um sistema nacional de segurança cibernética, envolvendo os setores público e privado;

  2. Consolidar o marco legal de segurança cibernética, harmonizando as disposições de direito penal e processual já existentes na legislação brasileira e avançando na previsão de novos instrumentos de investigação para o mundo digital;

  3. Elaborar planos nacional e subnacionais de prevenção, resposta a incidentes e mitigação de ameaças cibernéticas, inclusive no âmbito de infraestruturas críticas;

  4. Estabelecer mecanismos de cooperação entre entes governamentais, entes federados e setor privado com vistas à adoção de melhores práticas, compartilhamento de informações, adoção de padrões adequados de segurança, coordenação de resposta a incidentes e proteção da infraestrutura crítica;

  5. Treinar agentes públicos em segurança e mitigação de riscos cibernéticos e desenvolver parcerias para o treinamento de recursos humanos do setor privado;

  6. Realizar campanhas educacionais amplas para expandir a conscientização da população sobre o tema da segurança da informação;

  7. Formar recursos humanos especializados e investir em pesquisa e desenvolvimento na área de defesa e segurança cibernética, com vistas a promover a autonomia tecnológica nacional em termos de competências e produtos; e

  8. Reforçar instrumentos de cooperação internacional entre autoridades e entre provedores de acesso e conteúdo atuantes em diferentes países, de maneira a garantir a aplicação da lei no ambiente digital, especialmente, nos casos em que o caráter transnacional das ameaças e crimes cibernéticos força o envolvimento de mais de uma jurisdição.

  O Ministério da Ciência, Tecnologia e Inovações, na Portaria nº 6.543, de 16 de novembro de 2022, aprovou a atualização da E-Digital para o ciclo 2022-2026. A E-Digital Ciclo 2022-206 manteve a confiança no ambiente digital como um dos seus eixos, alicerçada tanto na proteção de direitos e privacidade, quanto na defesa e segurança no ambiente digital.

  Como ações estratégicas do eixo de confiança no ambiente digital, a E-Digital Ciclo 2022-2026 definiu quatorze ações, dentre as quais se destaca:

  1. Promover, por meio da Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), mecanismos de cooperação e de compartilhamento de informações entre instituições públicas e privadas para prevenção, tratamento e resposta a incidentes cibernéticos, de modo a elevar o nível de resiliência em segurança cibernética de seus ativos de informação;

  2. Editar uma política nacional de segurança cibernética, incluindo a definição de uma instância nacional responsável pela articulação de um sistema nacional de segurança cibernética, envolvendo os setores público e privado;

  3. Fortalecer o ecossistema de segurança cibernética do País, por meio da criação de um conselho nacional no âmbito de uma política nacional de segurança cibernética, com a participação do poder público e de representantes da sociedade envolvidos com segurança cibernética, a fim de aumentar a resiliência da segurança cibernética da sociedade e da economia como um todo;

  4. Editar planos nacionais e subnacionais de prevenção, tratamento e resposta a incidentes cibernéticos, inclusive no âmbito de infraestruturas críticas;

  5. Fomentar campanhas educacionais amplas para expandir a conscientização da população sobre o tema da segurança da informação; e

  6. Consolidar o marco legal sobre crimes cibernéticos, harmonizando as disposições de direito penal e processual já existentes na legislação brasileira e avançando na previsão de novos instrumentos de investigação para o mundo digital.

• Política Nacional de Segurança da Informação

  Concretizando uma das ações estratégicas apontadas na E-Digital, em 2018, foi promulgada a Política Nacional de Segurança da Informação (PNSI), aprovada pelo Decreto n º 9.637/2018. A PNSI foi instituída no âmbito de toda administração pública federal e abrange segurança cibernética; defesa cibernética; segurança física e a proteção de dados organizacionais; e ações destinadas a assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação.

  A PNSI é operacionalizada pela Estratégia Nacional de Segurança da Informação (ENSI) e pelos planos nacionais. Por sua vez, a ENSI será construída em módulos, contendo as ações estratégicas e os objetivos relacionados à segurança da informação, em consonância com as políticas públicas e os programas do Governo federal. Os módulos irão tratar sobre segurança cibernética; defesa cibernética; segurança das infraestruturas críticas; segurança da informação sigilosa; e proteção contra vazamento de dados.

• Estratégia Nacional de Segurança Cibernética

  Em atendimento à PNSI, o primeiro módulo da ENSI foi entregue à sociedade brasileira com a aprovação da Estratégia Nacional de Segurança Cibernética (E-Ciber), Decreto n º 10.222, de 5 de fevereiro de 2020. A E-Ciber representa a visão do Governo Federal de tornar o Brasil um país de excelência em segurança cibernética, apresentando as principais ações nacionais e internacionais, para o quadriênio 2020 a 2023.

  A E-Ciber estabeleceu três objetivos estratégicos que norteiam dez ações estratégicas, que se desdobram em iniciativas, medidas e ações que podem ser adotadas para o alcance da visão estabelecida. Cabe, assim aos órgãos e entidades da administração pública federal, no âmbito de suas competências, as gestões que possibilitem a implementação das ações estratégicas previstas na E-Ciber.

  Os três Objetivos Estratégicos são:

  • tornar o Brasil mais próspero e confiável no ambiente digital; 
  • aumentar a resiliência brasileira às ameaças cibernéticas; e
  • o fortalecer a atuação brasileira em segurança cibernética no cenário internacional. 

  Já as dez Ações Estratégicas são:

  1. Fortalecer as ações de governança cibernética;

  2. Estabelecer um modelo centralizado de governança no âmbito nacional;

  3. Promover ambiente participativo, colaborativo, confiável e seguro, entre setor público, setor privado e sociedade;

  4. Elevar o nível de proteção do Governo;

  5. Elevar o nível de proteção das Infraestruturas Críticas Nacionais;

  6. Aprimorar o arcabouço legal sobre segurança cibernética;

  7. Incentivar a concepção de soluções inovadoras em segurança cibernética;

  8. Ampliar a cooperação internacional do Brasil em Segurança cibernética;

  9. Ampliar a parceria, em segurança cibernética, entre setor público, setor privado, academia e sociedade; e

  10. Elevar o nível de maturidade da sociedade em segurança cibernética.

  Além disso, a E-Ciber aborda, especificamente, o papel das agências reguladoras quanto ao setor regulado e à proteção de infraestruturas críticas. A E-Ciber destaca as seguintes medidas de estímulo à adoção de procedimentos de segurança cibernética que podem ser adotadas pelas agências reguladoras:

  • criação de uma estrutura de governança de segurança cibernética nas empresas de infraestruturas críticas, com o estabelecimento de manuais, diretrizes, classificações e procedimentos para tratamento de incidentes, e de regras de segurança aplicáveis a todos os funcionários, terceirizados e fornecedores;
  • inserção de planos anuais de auditoria externa em segurança cibernética;
  • adoção de práticas e de requisitos de segurança cibernética no desenvolvimento de novos produtos, programas, projetos e ações;
  • criação de Grupos de Resposta a Incidentes de Segurança em Computadores (CSIRTs, na sigla em inglês) por empresa e por setor, com mecanismos de colaboração e de troca de informações entre eles;
  • capacitação contínua de seus colaboradores em todos os níveis;
  • notificação ao Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), no menor prazo possível, sobre a ocorrência de incidentes cibernéticos;
  • comunicação aos consumidores em caso de incidente que comprometa a segurança de seus dados, nos termos da legislação em vigor;
  • promoção de campanhas de conscientização sobre a importância de atitudes e de cuidados por parte dos usuários;
  • exigência de que fornecedores de equipamentos, de programas computacionais e de serviços adotem os níveis de segurança cibernética recomendados pelos organismos de padronização nacionais e internacionais; e
  • previsão de elaboração de planos de resposta a incidentes e de recuperação dos ambientes críticos que podem ser impactados pelos incidentes cibernéticos.
• Política Nacional de Cibersegurança

  No final de 2023 foi aprovada a Política Nacional de Cibersegurança (PNCiber) e foi criado o Comitê Nacional de Cibersegurança (CNCiber), pelo Decreto nº 11.856, de 26 de dezembro de 2023.

  A PNCiber foi instituída com a finalidade de orientar a atividade de segurança cibernética no Brasil, apresentando os princípios, objetivos e instrumentos da Política, configurando a primeira política nacional específica de segurança cibernética.

  Como princípios são listados: soberania nacional e priorização dos interesses nacionais; garantias dos direitos fundamentais; prevenção de incidentes e ataques cibernéticos, especialmente dirigidos às infraestruturas críticas; resiliência cibernética; educação e desenvolvimento tecnológico em cibersegurança; cooperação multissetorial e cooperação técnica internacional.

  Ademais a PNCiber aponta como seus instrumentos a Estratégia Nacional de Cibersegurança e o Plano Nacional de Cibersegurança e estabelece os seguintes objetivos:

  • Promoção do desenvolvimento de produtos, serviços e tecnologias nacionais em segurança cibernética;
  • Garantia da confidencialidade, integridade e autenticidade das soluções e dos dados utilizados para o processamento, o armazenamento e a transmissão eletrônica ou digital de informações;
  • Fortalecimento da atuação diligente no ambiente digital, especialmente por crianças, adolescentes e idosos; · Contribuição para o combate dos crimes cibernéticos;
  • Estímulo para adoção de medidas de proteção cibernética e de gestão dos riscos cibernéticos; · Incremento da resiliência cibernéticas das organizações;
  • Desenvolvimento da educação e capacitação na área;
  • Fomento das atividades de pesquisa, desenvolvimento e inovação em cibersegurança;
  • Incremento da atuação coordenada e do intercâmbio de informações entre entes da Federação; Poderes; Setor Privado; e Sociedade;
  • Desenvolvimento de mecanismos de regulação, fiscalização e controle para o aprimoramento da cibersegurança e resiliência cibernética; e
  • Implementação de estratégias de colaboração para cooperação internacional.

  Um importante marco do Decreto nº 11.856, de 26 de dezembro de 2023, foi a instituição do CNCiber, no âmbito da Câmara de Relações Exteriores e Defesa Nacional do Conselho de Governo (CREDEN), com a finalidade de acompanhar a implementação e a evolução da PNCiber.

  Dentre o rol de competências do CNCiber destaca-se a proposição de atualizações para a PNCiber, Estratégia e Plano Nacional; avaliação e proposição de medidas para incremento da cibersegurança; formulação de propostas para aperfeiçoamento do tratamento de incidentes cibernéticos; proposição de medidas de educação; promoção de interlocução com entes federativos e sociedade; e proposição de estratégias de colaboração para cooperação técnica internacional na matéria.

  O CNCiber é composto por 25 membros, dos quais 15 representam órgãos e entidades que compõe a Administração Pública Federal. Os outros 10 assentos são distribuídos à representação do Comitê Gestor da Internet no Brasil (CGI.br), 3 representantes da sociedade civil, 4 representantes das instituições científicas, tecnológicas e de inovação e 3 representantes do setor privado.

  Em função do reconhecimento do papel estratégico da Agência e do setor de telecomunicações para o ecossistema digital e para a cibersegurança no Brasil, a Anatel compõe o CNCiber, como a única Agência Reguladora com vínculo ministerial com assento permanente.

  O CNCiber já está operacional e foram criados três Grupos de Trabalho Temáticos (GTT), os quais irão trabalhar na proposta de atualização Estratégia Nacional de Cibersegurança (E-Ciber); de elaboração de Projeto de Lei para criação de órgão para a governança da cibersegurança nacional; e de definição de parâmetros de atuação internacional do Brasil em cibersegurança.

  A Anatel participa dos três GTTs e co-lidera o GTT responsável pela proposta de criação de uma instituição nacional de cibersegurança. Maiores informações sobre o CNCiber, GTTs e composição podem ser encontradas na página do Comitê.