Resolução de Diretoria Colegiada n.º 117, de 28 de setembro de 2021
Institui a Política de Segurança da Informação e Comunicações - POSIC no âmbito da Agência Nacional do Cinema – ANCINE, e dá outras providências.
Ver Resolução n.º 135, de 7 de dezembro de 2023
A DIRETORIA COLEGIADA DA AGÊNCIA NACIONAL DO CINEMA – ANCINE, no uso das atribuições que lhe conferem os incisos II e IV do art. 6º do Anexo I ao Decreto n.º 8.283, de 3 de julho de 2014, considerando o art. 9º do Decreto n.º 10.139, de 28 de novembro de 2019, a Instrução Normativa GSI/PR n.º 1, de 27 de maio de 2020, e a Instrução Normativa GSI/PR n.º 2, de 24 de julho de 2020, conforme decidido na 807ª Reunião Ordinária, realizada em 28 de setembro de 2021, resolve:
Art. 1º Instituir a Política de Segurança da Informação e Comunicações - POSIC no âmbito da Agência Nacional do Cinema – ANCINE nos termos desta Resolução.
CAPÍTULO I
ESCOPO
Art. 2º A POSIC tem por objetivo prover a ANCINE de norma de Segurança da Informação e Comunicações, estabelecendo responsabilidades e diretrizes para tratamento, controle e proteção, com o objetivo de preservar a confidencialidade, integridade, disponibilidade e autenticidade de informações e dados.
Art. 3º A POSIC aplica-se, no que couber, aos ambientes físicos e computacionais, aos ativos de informação, e às atividades de todos os servidores e colaboradores que tenham, de modo presencial ou remoto, acesso às informações e aos recursos de tecnologia da informação e comunicações da ANCINE.
CAPÍTULO II
CONCEITOS E DEFINIÇÕES
Art. 4º Para fins desta Resolução entende-se por:
I - Ativo: qualquer coisa que tenha valor para a organização;
II - Ativos de informação: os meios de armazenamento, transmissão e processamento da informação, os equipamentos necessários a isso, os sistemas utilizados para tal, os locais onde se encontram esses meios, e também os recursos humanos que a eles têm acesso;
III - Autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade;
IV - Colaborador: todas as pessoas envolvidas com o desenvolvimento de atividades na organização, de caráter permanente, continuado ou eventual, incluindo prestadores de serviço, bolsistas, consultores e estagiários;
V - Confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada a pessoa, a sistema, a órgão ou a entidade não autorizados nem credenciados;
VI - Dado: qualquer elemento identificado em sua forma bruta que, por si só, não conduz a uma compreensão de determinado fato ou situação;
VII - Dado Anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
VIII - Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
IX - Disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável sob demanda por uma pessoa física ou determinado sistema, órgão ou entidade devidamente autorizados;
X - Evento de segurança: qualquer ocorrência identificada em um sistema, serviço ou rede que indique uma possível falha da política de segurança, falha das salvaguardas ou mesmo uma situação até então desconhecida que possa se tornar relevante em termos de segurança;
XI - Incidente de segurança: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores;
XII - Informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;
XIII - Informação Pessoal: informação relacionada à pessoa natural identificada ou identificável, relativa à intimidade, vida privada, honra e imagem;
XIV - Informação Sigilosa: informação submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado, e aquela abrangida pelas demais hipóteses legais de sigilo;
XV - Integridade: propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;
XVI - Plano de Continuidade de Negócios: documentação dos procedimentos e informações necessárias para que os órgãos ou entidades da Administração Pública Federal (APF) mantenham seus ativos de informação críticos e a continuidade de suas atividades críticas em local alternativo num nível previamente definido, em casos de incidentes;
XVII - Plano de Gerenciamento de Incidentes: plano de ação claramente definido e documentado, para ser usado em caso de incidente que basicamente englobe os principais recursos, serviços e outras ações que sejam necessárias para implementar o processo de gerenciamento de incidentes;
XVIII - Plano de Recuperação de Negócios: documentação dos procedimentos e informações necessárias para que o órgão ou entidade da APF operacionalize o retorno das atividades críticas à normalidade;
XIX - Política de Segurança da Informação e Comunicações (POSIC): documento aprovado pela autoridade responsável pelo órgão ou entidade da APF, direta e indireta, com o objetivo de fornecer diretrizes, critérios e suporte administrativo suficientes à implementação da segurança da informação e comunicações;
XX - Quebra de Segurança: ação ou omissão, intencional ou acidental, que resulta no comprometimento da segurança da informação e das comunicações;
XXI - Segurança da Informação: ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;
XXII - Servidor: pessoa legalmente investida em cargo público;
XXIII - Sistema de Informação: conjunto de elementos materiais ou intelectuais, colocados à disposição dos usuários, em forma de serviços ou bens, que possibilitam a agregação dos recursos de tecnologia, informação e comunicações em forma integrada;
XXIV - Sistema de Segurança da Informação: sistema destinado à proteção contra a quebra de confidencialidade, de integridade ou de disponibilidade de dados ou informações, armazenados, em processamento ou em trânsito, podendo abranger a segurança dos recursos humanos, da documentação e do material, das áreas e instalações de comunicações e computacional, assim como as destinadas a prevenir, detectar, deter e documentar eventuais ameaças a seu desenvolvimento;
XXV - Tratamento da Informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação; e
XXV - Tratamento da Informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação; (Redação dada pela Resolução n.º 135, de 2023)
XXVI - Usuário: pessoa física, seja servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de um órgão ou entidade da APF, formalizada por meio da assinatura de Termo de Responsabilidade.
XXVI - Usuário: pessoa física, servidor ou equiparado, empregado ou prestador de serviços, habilitada pela Administração para acessar os ativos de informação de um órgão ou entidade da APF, formalizada por meio da assinatura de Termo de Responsabilidade; e (Redação dada Resolução n.º 135, de 2023)
XXVII - Compartilhamento de dados pessoais: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados. (Incluído pela Resolução n.º 135, de 2023)
Parágrafo único. Para outros termos e conceitos, deve ser utilizado o Glossário de Segurança da Informação, conforme Portaria GSI/PR nº 93, de 26 de setembro de 2019 do Gabinete de Segurança Institucional da Presidência da República, como referência na elaboração de normativos internos afetos à segurança da informação e de trabalhos correlatos.
CAPÍTULO III
REFERÊNCIAS LEGAIS E NORMATIVAS
Art. 5º As ações de Segurança da Informação e Comunicações da ANCINE deverão observar os seguintes requisitos legais e normativos:
I - Lei n.º 12.527, de 18 de novembro de 2011, que regula o acesso à informação (Lei de Acesso à Informação);
II - Lei n.º 8.112, de 11 de novembro de 1990, que dispõe sobre o regime jurídico dos servidores públicos civis da União, das autarquias e das fundações públicas federais;
III - Lei n.º 13.709, de 14 de agosto de 2018, que dispõe sobre o tratamento de dados pessoais (Lei Geral de Proteção de Dados Pessoais);
IV - Decreto n.º 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação;
V - Decreto n.º 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional de Segurança Cibernética;
VI - Decreto n.º 7.724, de 16 de maio de 2012, que regulamenta a Lei n.º 12.527, de 18 de novembro de 2011;
VII - Instrução Normativa GSI/PR n.º 1, de 27 de maio de 2020, e n.º 2, de 24 de julho de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal;
VIII - Instrução Normativa GSI/PR n.º 3, de 28 de maio de 2021, que dispõe sobre os processos relacionados à gestão de segurança da informação nos órgãos e nas entidades da administração pública federal;
IX - Portaria GSI/PR n.º 93, de 26 de setembro de 2019, que aprova o Glossário de Segurança da Informação;
X - Normas Complementares DSIC/GSI/PR n.º 4 a nº 21;
XI - Norma ABNT NBR ISO/IEC 16167:2020 - Segurança da informação - Diretrizes para classificação, rotulação, tratamento e gestão da informação;
XII - Norma ABNT NBR ISO/IEC 27003:2020 - Tecnologia da informação - Técnicas de segurança - Sistemas de gestão da segurança da informação - Orientações;
XIII - Norma ABNT NBR ISO/IEC 22301:2020 - Segurança e resiliência - Sistema de gestão de continuidade de negócios - Requisitos;
XIV - Norma ABNT NBR ISO/IEC 27001:2013 - Tecnologia da informação - Técnicas de segurança - Sistemas de gestão da segurança da informação - Requisitos;
XV - Norma ABNT NBR ISO/IEC 27005:2019 - Tecnologia da informação - Técnicas de segurança - Gestão de riscos de segurança da informação; e
XVI - Norma ABNT NBR ISO/IEC 27701:2019 - Técnicas de segurança - Extensão da ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002 para gestão da privacidade da informação — Requisitos e diretrizes.
CAPÍTULO IV
PRINCÍPIOS
Art. 6º As ações de Segurança da Informação e Comunicações da ANCINE são norteadas pelos seguintes princípios:
I - Responsabilidade: as responsabilidades primárias e finais pela proteção de cada ativo e pelo cumprimento de processos de segurança devem ser claramente definidas;
II - Conhecimento: para garantir a confiança no sistema, os administradores, os fornecedores e os usuários de um sistema de informação devem ter ciência de todas as normas e procedimentos de segurança necessários;
III - Ética: todos os direitos e interesses legítimos de usuários, intervenientes e colaboradores devem ser respeitados ao prover um sistema de informação e ao estabelecer um sistema de segurança;
IV - Legalidade: os processos de segurança devem levar em consideração os objetivos e a missão da ANCINE bem como as leis, normas e políticas organizacionais, administrativas, comerciais, técnicas e operacionais;
V - Proporcionalidade: o nível, a complexidade e os custos dos processos de segurança devem ser apropriados e proporcionais ao valor e à necessidade de confiança nos sistemas de informação considerando a severidade, a probabilidade e a extensão de um dano potencial ou atual;
VI - Integração: os processos de segurança devem ser coordenados e integrados entre si e com os demais processos e práticas da organização a fim de criar um sistema de segurança da informação coerente;
VII - Celeridade: as ações de resposta a incidentes e de correções de falhas de segurança devem ser tomadas o mais rápido possível;
VIII - Revisão: os sistemas de segurança devem ser reavaliados periodicamente, uma vez que os sistemas de informação e os requisitos de segurança variam com o tempo; e
IX - Liberdade: um sistema de segurança da informação deve ser compatível com o legítimo uso e fluxo de informações/dados devendo ser observadas as normas de privacidade e de direito de realização de auditorias.
CAPÍTULO V
DIRETRIZES
Seção I
Diretrizes Gerais
Art. 7º A ANCINE deverá atender a normas e legislação existentes sobre Segurança da Informação e Comunicações, definindo normas gerais e específicas de segurança da informação, bem como procedimentos complementares, destinados à proteção da informação e à disciplina de sua utilização.
Art. 8º Devem ser estabelecidos processos permanentes de conscientização, capacitação e sensibilização em segurança da informação e comunicações, que alcancem todos os usuários da ANCINE, de acordo com suas competências funcionais.
Art. 9º Todos os servidores e colaboradores são responsáveis pela segurança dos ativos de informação e comunicações que estejam sob a sua responsabilidade e por todos os atos executados com suas identificações, tais como: identificação de usuário da rede, endereço de correio eletrônico ou assinatura em processo eletrônico.
Seção II
Tratamento da Informação
Art. 10. O tratamento da informação será regido pela Norma Complementar DSIC/GSI/PR n.º 20 a fim de assegurar a toda informação, produzida ou sob custódia da ANCINE, a proteção durante todo seu ciclo de vida.
Parágrafo único. O tratamento dos dados pessoais, tais como os registros cadastrais e demais informações de cunho pessoal, deverá ser realizado obedecendo ao estabelecido na Lei nº 13.709, de 2018 (Lei de Proteção a dados pessoais), e conforme o Programa de Governança em Privacidade (PGP) da ANCINE.
Seção III
Segurança Física e do Ambiente
Art. 11. O acesso aos ambientes físicos e computacionais da ANCINE deve ser controlado e concedido somente a pessoas identificadas e autorizadas.
Parágrafo único. As autorizações de acesso devem ser concedidas com base na necessidade do conhecimento da informação, condição inerente ao efetivo exercício de cargo, função ou atividade.
Art. 12. A entrada e a saída de ativos físicos de tecnologia da informação nas dependências da ANCINE devem ser autorizadas e registradas por autoridade competente.
Seção IV
Gestão de Incidentes em Segurança da Informação
Art. 13. É dever dos servidores e colaboradores da ANCINE reportar imediatamente eventos ou incidentes de segurança da informação à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR).
§ 1º Os incidentes de segurança devem ser registrados, avaliados e tratados.
§ 2º A Secretaria de Gestão Interna manterá ETIR formalmente instituída com estrutura e competências especificadas em norma específica.
§ 3º No caso de incidentes de segurança envolvendo dados pessoais, o Comitê de Segurança de Informação e Comunicação - CSIC também deve ser acionado, a fim de avaliar se a ocorrência acarreta risco ou dano aos titulares de dados pessoais. (Incluído pela Resolução n.º 135, de 2023)
§ 4º Todos os eventos ou incidentes de segurança de informação avaliados como de alto impacto ou alto risco à imagem da instituição devem ser comunicados à Diretoria Colegiada. (Incluído pela Resolução n.º 135, de 2023)
Art. 13-A. No caso da ocorrência de incidentes de segurança que envolvam dados pessoais com indicação de riscos ou danos relevantes aos titulares, é obrigatória sua comunicação à Autoridade Nacional de Proteção de Dados - ANPD e os titulares dos dados, no prazo de até 2 (dois) dias úteis da ciência do fato. (Incluído pela Resolução n.º 135, de 2023)
§ 1º São considerados incidentes capazes de causar risco ou dano relevante aqueles que possam causar aos titulares danos materiais ou morais, expô-los a situações de discriminação ou de roubo de identidade, especialmente se envolverem dados em larga escala, sensíveis e de grupos vulneráveis, como crianças e adolescentes ou idosos. (Incluído pela Resolução n.º 135, de 2023)
§ 2º A comunicação do incidente à autoridade nacional deve ser realizada pelo encarregado pelo tratamento de dados pessoais, através de formulário próprio, conforme orientação específica da ANPD. (Incluído pela Resolução n.º 135, de 2023)
§ 3º A comunicação aos titulares deve ser realizada de forma individual, sempre que possível. (Incluído pela Resolução n.º 135, de 2023)
§ 4º Caso não seja possível identificar individualmente os titulares afetados pela natureza do incidente, devem ser comunicados todos os presentes na base de dados comprometida. (Incluído pela Resolução n.º 135, de 2023)
§ 5º No caso de incidentes de segurança que envolvam o tratamento de dados pessoais pelo operador, é obrigatória a imediata comunicação da ocorrência à ANCINE. (Incluído pela Resolução n.º 135, de 2023)
§ 6º A obrigação de notificação de que trata o § 5º deve constar de cláusulas contratuais, conforme a Instrução Normativa SGD/ME n.º 31, de 23 de março de 2021. (Incluído pela Resolução n.º 135, de 2023)
Art. 14. O Gestor de Segurança da Informação e Comunicações deve estabelecer contato com autoridades legais, organismos reguladores, e provedores de serviço de informação, a fim de garantir que ações adequadas e apoio especializado possam ser rapidamente acionados na ocorrência de incidentes de segurança da informação.
§ 1º Também deve ser providenciada a filiação a grupos de segurança da informação e a fóruns setoriais.
§ 2º Nas trocas de informações, deve-se observar a restrição de acesso a informações sigilosas.
Seção V
Gestão de Ativos
Art. 15. A ANCINE manterá um processo de inventário e mapeamento dos ativos de informação objetivando a segurança das infraestruturas críticas que garantam suas informações.
Art. 16. Os ativos de informação devem ter controles de Segurança da Informação e Comunicações implementados independentemente do meio em que se encontram e deverão ser protegidos contra divulgação não autorizada, modificações, remoção e destruição, a fim de evitar incidentes de segurança da informação que possam danificar a imagem institucional e interromper suas operações.
Seção VI
Gestão do Uso dos Recursos Operacionais e de Comunicações
Art. 17. As comunicações por meio eletrônico, o armazenamento de mensagens, ou qualquer informação produzida no ambiente corporativo, são de propriedade da ANCINE, e seu conteúdo deve ter tratamento adequado à preservação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade das informações.
Art. 18. Os serviços corporativos de correio eletrônico, mensagens instantâneas, Intranet e Internet devem ter seu uso orientado para o interesse da ANCINE.
Art. 19. O uso dos serviços de Internet e mensageria devem estar em conformidade com perfis funcionais definidos em norma e procedimento complementar.
Seção VII
Controles de Acesso
Art. 20. O acesso a informações e recursos de Tecnologia da Informação e Comunicações será provido via perfis de trabalho, ou por solicitação especial ao Gestor de Segurança da Informação e Comunicações.
Parágrafo único. O acesso ao código-fonte de programas e de itens associados (como desenhos, especificações, planos de verificação e de validação) devem ser controlados, com a finalidade de prevenir a introdução de funcionalidade não autorizada e para evitar mudanças não intencionais, bem como para manter a confidencialidade de propriedade intelectual valiosa.
Art. 21. O acesso de colaboradores aos recursos computacionais da ANCINE não deve ser permitido até que o contrato que define os termos de confidencialidade seja assinado.
Seção VIII
Gestão de Riscos
Art. 22. O processo de Gestão de Riscos de Segurança da Informação e Comunicações - GRSIC deve estar baseado na Política de Gestão de Riscos da ANCINE. Deve considerar, prioritariamente, os objetivos estratégicos, os processos, os requisitos legais e o Regimento Interno da Agência, além de estar alinhado à Política de Segurança da Informação e Comunicações.
Parágrafo único. Os riscos associados à privacidade e ao tratamento de dados pessoais devem estar documentados no âmbito do Programa de Governança em Privacidade (PGP) da ANCINE.
Seção IX
Gestão de Continuidade
Art. 23. A ANCINE deve desenvolver o Programa de Gestão da Continuidade de Negócios com o a fim de buscar minimizar os impactos decorrentes de incidentes de Segurança da Informação e Comunicações sobre as atividades da Agência, além de recuperar perdas de ativos de informação a um nível aceitável, por intermédio de ações de prevenção, resposta e recuperação.
Art. 24. O Programa de Gestão da Continuidade de Negócios envolve a elaboração do Plano de Gerenciamento de Incidentes, do Plano de Continuidade de Negócios e do Plano de Recuperação de Negócios, de forma a assegurar a disponibilidade dos ativos de informação e a recuperação das atividades críticas.
Seção X
Auditoria e Conformidade
Art. 25. Deve-se proceder ao exame sistemático do grau de atendimento dos requisitos relativos à Segurança da Informação e Comunicações com as legislações e normas vigentes.
Parágrafo único. A análise de conformidade em Segurança da Informação e Comunicações deve ser efetuada criticamente, em intervalos regulares.
Art. 26. O uso dos recursos de Tecnologia da Informação e Comunicações disponibilizados pela ANCINE é passível de monitoramento e auditoria, através da análise regular de arquivos logs com utilização, sempre que possível, de softwares utilitários específicos para monitoramento do uso dos sistemas, sendo implementados e mantidos mecanismos que permitam a rastreabilidade desse uso.
Art. 27. Os equipamentos de rede, bem como todo e qualquer outro ativo de informação que assim o permita, devem ser configurados para armazenar registros históricos de eventos em formato que permita a completa identificação dos fluxos de dados e das operações de seus administradores.
Seção XI
Compartilhamento de dados pessoais
(Incluído pela Resolução n.º 135, de 2023)
Art. 27-A. O compartilhamento de dados pessoais será realizado quando estritamente necessário à finalidade específica pretendida, inclusive com órgãos públicos em ações de política pública, ou em ações de órgãos de controle ou judiciais, para a realização de estudos por órgãos de pesquisa, ou, excepcionalmente, com entidades privadas, quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres, bem como objetivando a prevenção de fraudes e irregularidades. (Incluído pela Resolução n.º 135, de 2023)
Art. 27-B. O compartilhamento de dados pessoais deve observar os seguintes requisitos: (Incluído pela Resolução n.º 135, de 2023)
I - formalização e registro: o uso compartilhado de dados pessoais deve ser formalizado, em processo administrativo, com a devida ciência do encarregado pelo tratamento de dados pessoais, no qual conste a análise técnica e jurídica que exponha a motivação para a realização do compartilhamento e a sua aderência à legislação em vigor, devendo ser firmado um contrato, convênio ou instrumento congênere, no caso de compartilhamento frequente; (Incluído pela Resolução n.º 135, de 2023)
II - objeto: os dados pessoais compartilhados devem ser descritos de forma objetiva e detalhada, limitando-se ao que for estritamente necessário ao tratamento; (Incluído pela Resolução n.º 135, de 2023)
III - finalidade: deve ser específica, com a indicação precisa de qual atribuição legal será cumprida mediante o compartilhamento, e com a avaliação da compatibilidade entre a finalidade original do tratamento e a finalidade do compartilhamento; (Incluído pela Resolução n.º 135, de 2023)
IV - base legal: deve ser indicada a base legal para o compartilhamento; (Incluído pela Resolução n.º 135, de 2023)
V - duração do tratamento: deve ser especificada a duração do uso compartilhado dos dados, de acordo com os prazos previstos na lei e nas normas específicas que regem a gestão documental, e a possibilidade de conservação, ou a necessidade de eliminação dos dados pessoais após o término do tratamento; (Incluído pela Resolução n.º 135, de 2023)
VI - transparência e direito dos titulares: todas as operações de compartilhamento de dados pessoais devem constar da página eletrônica da ANCINE, nos termos do inciso I do art. 23 da Lei n.º 13.709, de 2018; e (Incluído pela Resolução n.º 135, de 2023)
VII - prevenção e segurança: os dados pessoais compartilhados devem ser mantidos em ambiente controlado e seguro, garantindo sempre que possível, a anonimização ou pseudonimização, bem como os devidos padrões éticos, a confidencialidade e o sigilo, visando o atendimento à estrita finalidade específica pretendida. (Incluído pela Resolução n.º 135, de 2023)
§ 1º O compartilhamento de dados pessoais para fins acadêmicos e para a realização de estudos por órgão de pesquisa deverá ser realizado sempre em conformidade com a Lei n.º 13.709, de 2018, com a legislação correlata em vigor e com as normas e diretrizes editadas pela Autoridade Nacional de Proteção de Dados - ANPD. (Incluído pela Resolução n.º 135, de 2023)
§ 2º No caso de compartilhamento de dados pessoais entre a ANCINE e um operador, o instrumento contratual que rege tal tratamento deve detalhar as instruções e as condições a serem observadas pelo operador, conforme art. 39 da Lei n.º 13.709, de 2018, exigindo da contratada, quando aplicável, a elaboração de Relatório de Impacto à Proteção de Dados Pessoais - RIPD. (Incluído pela Resolução n.º 135, de 2023)
CAPÍTULO VI
COMPETÊNCIAS
Seção I
Gerenciamento da Segurança da Informação
Art. 28. O controle, a implementação e a manutenção da Segurança da Informação e Comunicações são de responsabilidade da seguinte infraestrutura de gerenciamento:
I - Autoridade máxima: responsável pela aprovação da Política de Segurança da Informação;
II - Agente responsável: servidor público ocupante de cargo efetivo, formalmente designado, incumbido de chefiar e gerenciar a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR;
III - Comitê de Segurança da Informação e Comunicações (CSIC): grupo de servidores com a responsabilidade de assessorar a implementação de ações bem como propor e aprovar normas relativas à Segurança da Informação e Comunicações no âmbito da ANCINE;
IV - Gestor de Segurança da Informação e Comunicações: responsável pelas ações de Segurança da Informação e Comunicações no âmbito da ANCINE; e
V - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR): grupo de servidores com a responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes computacionais.
Seção II
Atribuição da Responsabilidade em Segurança da Informação
Art. 29. As responsabilidades pela proteção das informações, dos ativos de informação e cumprimento das normas de Segurança da Informação e Comunicações devem ser definidas em normas específicas.
Parágrafo único. Na atribuição das responsabilidades, deve-se observar o mapeamento e inventário dos ativos de informação.
CAPÍTULO VII
PENALIDADES
Art. 30. Os recursos de Tecnologia da Informação e Comunicações são de propriedade da ANCINE e fornecidos para uso corporativo, para os fins a que se destinam, e no interesse da Administração.
Art. 31. É considerada imprópria a utilização destes recursos, assim como das informações de propriedade da ANCINE, para fins não profissionais ou não autorizados.
Parágrafo único. Quando do conhecimento desta prática, servidores e colaboradores devem informá-la ao superior imediato ou utilizar o canal de denúncia apropriado, para que os fatos sejam apurados e, se for o caso, sejam aplicadas as ações disciplinares cabíveis.
Art. 32. A violação das normas de Segurança da Informação e Comunicações pode ensejar a suspensão temporária ou permanente de privilégios de acesso aos recursos computacionais, e será apurada em processo administrativo disciplinar, podendo haver responsabilização penal, civil e administrativa, na forma da legislação em vigor.
Art. 33. Os casos omissos desta Política serão tratados pelo Comitê de Segurança da Informação e Comunicações (CSIC), que deverá comunicar o ocorrido à Comissão de Ética ou à Comissão de Correição, dependendo do contexto dos fatos apurados.
CAPÍTULO VIII
POLÍTICA DE ATUALIZAÇÃO
Art. 34. A POSIC e todos os instrumentos normativos dela derivados devem ser revisados sempre que necessário, não excedendo o período máximo de 36 (trinta e seis) meses.
Art. 35. As alterações serão propostas pelo Comitê de Segurança da Informação e Comunicações (CSIC), conforme inciso I do item 7.2.73 da Resolução de Diretoria Colegiada ANCINE n.º 60, de 2 de abril de 2014.
CAPÍTULO IX
DAS DISPOSIÇÕES FINAIS
Art. 36. As diretrizes de Segurança da Informação e Comunicações estabelecidas neste documento são aplicáveis às informações produzidas ou sob guarda da ANCINE, armazenadas ou em trânsito, e devem ser seguidas por todos os servidores e colaboradores, incumbindo a cada um a responsabilidade e o comprometimento para a sua aplicação.
Art. 37. As matérias relativas à Segurança da Informação e Comunicações serão disciplinadas por normas complementares.
Art. 38. Ficam revogadas as Resoluções de Diretoria Colegiada ANCINE n.º 87, de 18 de junho de 2019, e n.º 63, de 23 de setembro de 2014.
Art. 39. Esta Resolução entra em vigor na data de sua publicação.
MAURO GONÇALVES DE SOUZA
Diretor-Presidente Substituto
Este texto não substitui a versão publicada no DOU n.º 186, Seção 1, página 265, de 30/09/2021.