RFC-2350 em Português
1. Informação do documento
Este documento contém uma descrição do CISC Gov.br, de acordo com a RFC 2350.
1.1 Data da última atualização
19 de julho de 2023.
1.2 Lista de distribuição para notificações
Não há lista de distribuição para notificações de novas versões deste documento.
1.3 Locais onde este documento pode ser encontrado
A versão atual deste documento pode ser acessada em gov.br/cisc/pt-br/rfc-2350.
A chave utilizada para assinatura digital deste documento é a chave do CISC Gov.br, listada na seção 2.8.
2. Informações de contato
2.1 Nome da ETIR
PT-BR: Centro de Segurança Cibernética Integrado do Governo Digital do Brasil - CISC Gov.br.
ENG: Brazilian Digital Government Integrated Cyber Security Center – CISC Gov.br.
2.2 Endereço
Setor de Edifícios Públicos Norte - SEPN, 516 Bloco D, Brasília - DF, CEP 70770-524.
2.3 Fuso horário
América/Brasília, DF (UTC-3)
2.4 Número de telefone
Não se aplica. O CISC Gov.br não registra notificações de incidentes de segurança por telefone.
2.5 Número de fax
Não se aplica.
2.6 Outros meios de comunicação.
Não se aplica.
2.7 Endereço de e-mail
Notificações de incidentes de segurança devem ser direcionados para: cisc@gestao.gov.br.
2.8 Chaves públicas e informações sobre criptografia
Chave PGP CISC Gov.br 2022-2023
PGP Key ID: 0xD1BFA1BD3482962F
Fingerprint: 2517 82C7 6E00 FEF1 476B 3C98 D1BF A1BD 3482 962F
PGP Public Key
A chave PGP do CISC Gov.br pode ser encontrada em https://www.gov.br/cisc/pt-br/pgp/ciscgovbr_publickey.asc.
2.9 Membros do time
Informações sobre os membros do CISC Gov.br não estão publicamente disponíveis.
2.10 Informações adicionais
Para assuntos relacionados à incidentes de segurança sofridos por órgãos do SISP, enviar mensagem para: cisc@economia.gov.br.
A operação padrão do CISC Gov.br é de segunda-feira a sexta-feira, das 08:00 às 19:00, UTC-3. Em casos excepcionais, poderá operar em período fora do expediente normal.
3. Definições
3.1 Declaração de Missão
Promover a coordenação operacional das ações de prevenção, tratamento e resposta a incidentes cibernéticos no âmbito do Sistema de Administração dos Recursos de Tecnologia da Informação – SISP.
3.2 Público-alvo (Constituency)
Órgãos do SISP – Sistema de Administração dos Recursos de Tecnologia da Informação do Poder Executivo Federal.
Para verificar quais órgãos pertencem ao SISP, acesse: https://www.gov.br/governodigital/pt-br/sisp/sobre-o-sisp/orgaos-do-sisp.
3.3 Filiação.
O CISC Gov.br faz parte da estrutura da Diretoria de Privacidade e Segurança da Informação da Secretaria de Governo Digital do Ministério da Gestão e Inovação em Serviços Públicos.
O CISC Gov.br integra a Rede Federal de Gestão de Incidentes Cibernéticos (REGIC), instituída por meio do Decreto nº 10.748, de 16 de julho de 2021, na condição de órgão central do SISP, sendo suas atribuições e atividades desempenhadas de acordo com as competências definidas no Art. 132 e Art. 135-A do Decreto nº 9.745, de 8 de abril de 2019.
3.4 Autoridade.
Conforme o disposto no art. 13, da PORTARIA SGD/MGI Nº 852, o Centro Integrado de Segurança Cibernética do Governo Digital (CISC Gov.br) foi criado no âmbito do Programa de Privacidade e Segurança da Informação (PPSI) e caracteriza-se como uma unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos e das entidades do Sistema de Administração de Recursos de Tecnologia da Informação (SISP).
O CISC Gov.br atuará como equipe principal, nos termos do inciso III do art. 4º da ReGIC, para os serviços que compõem a Plataforma Gov.br e para outros serviços que estejam sob a reponsabilidade da Secretaria de Governo Digital.
Compete à Diretoria de Privacidade e Segurança da Informação da Secretaria de Governo Digital a prospecção, o planejamento, a implementação, o monitoramento, a melhoria contínua, e o gerenciamento das ações no âmbito do CISC Gov.br.
São os serviços oferecidos pelo CISC Gov.br:
I - apoio no planejamento, implementação e operação de equipes de prevenção, tratamento e resposta a incidentes cibernéticos nos órgãos e entidades;
II - apoio na prevenção, tratamento e resposta a incidentes cibernéticos;
III - comunicação e colaboração com outras equipes de prevenção, tratamento e resposta a incidentes cibernéticos, tanto dos órgãos e entidades públicas quanto das organizações privadas;
IV - execução de testes de intrusão em ativos de informação, sob demanda;
V - análise não-invasiva e contínua de vulnerabilidades em ativos de informação;
VI - análise de vulnerabilidades em ativos de informação, sob demanda;
VII - atividades de inteligência de ameaças cibernéticas;
VIII - testes estáticos e dinâmicos de segurança em aplicações;
IX - elaboração e publicação de alertas e recomendações; e
X - monitoramento de padrões maliciosos no tráfego externo de rede.
Assim, o Centro Integrado de Segurança Cibernética do Governo Digital - CISC Gov.br se caracteriza como uma unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos (ETIR) dos órgãos do Sistema de Administração de Recursos de Tecnologia da Informação (SISP), nos termos do § 3º do art. 1º da Rede Federal de Gestão de Incidentes Cibernéticos – ReGIC, instituída pelo Decreto nº 10.748, de 16 de julho de 2021.
As equipes de prevenção, tratamento e resposta a incidentes cibernéticos - ETIR dos órgãos e pertencentes ao SISP deverão se integrar às tecnologias, padrões, procedimentos e processos estabelecidos pelo CISC Gov.br, observando os normativos do Gabinete de Segurança Institucional.
4. Políticas
4.1 Tipos de incidentes e nível de suporte
O CISC Gov.br atua como facilitador para os órgãos do SISP, proporcionando o suporte necessário para promover efetividade na prevenção, tratamento e resposta a incidentes, por meio dos serviços listados no item 5.
Em caso de incidentes notificados, o CISC Gov.br poderá atuar, conforme o caso concreto, em atividades como:
- Coordenação operacional, inclusive facilitando a comunicação com outros órgãos como CTIR Gov, Polícia Federal (PF), Agência Brasileira de Inteligência (ABIN) e Autoridade Nacional de Proteção de Dados Pessoais (ANPD), e com outros CSIRTs, como CERT.BR e CAIS/RNP;
- Interlocução com entidades privadas para apoio em necessidades específicas relacionadas às soluções de TIC;
- Orientações técnicas quanto às boas práticas de tratamento e resposta a incidentes;
- Alocação pontual e temporária de equipe especializada para rápido tratamento e resposta ao incidente.
O CISC Gov.br tem o compromisso de manter seu público informado sobre as tendências de ameaças cibernéticas, através de colaboração e recebimento de feeds e fontes com parceiros nacionais e internacionais, com vistas a aumentar a capacidade de prevenção, detecção e tratamento de incidentes, correlação de eventos e análise de tendências no âmbito do Governo Digital. Eventuais notificações de incidente recebidas por parceiros serão tratadas e compartilhadas com órgãos afetados.
4.2 Cooperação, interação e divulgação de informações
Todas as informações serão tratadas de acordo com a classificação baseada no protocolo Traffic Light Protocol (TLP 2.0), de acordo com as marcações CLEAR, GREEN, AMBER, AMBER+STRICT ou RED.
Orientações sobre o uso do protocolo encontram-se disponíveis em gov.br/cisc/pt-br/tlp.
4.3 Comunicação.
O CISC Gov.br utiliza e-mails assinados digitalmente, porém não cifrados na maioria das comunicações não-confidenciais. Caso seja necessário, o CISC Gov.br utilizará criptografia de chaves assimétricas (PGP), devendo o receptor utilizar a chave pública descrita no item 2.7 e 2.8 para devida decifragem.
Caso seja necessário autenticar uma pessoa antes da comunicação, o processo é feito através de comunidades existentes ou por métodos como call-back, mail-back ou encontros presenciais.
5. Serviços
5.1 Apoio no planejamento, implementação e operação de equipes de prevenção, tratamento e resposta a incidentes cibernéticos
Fomentar e apoiar o estabelecimento de novas Equipes de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) nos órgãos do SISP, provendo orientação técnica, documentos de apoio, padrão mínimo de infraestrutura, ferramentas e guias técnicos para auxiliar as áreas de tecnologia da informação dos órgãos a montar e operar a equipe.
5.2 Apoio na prevenção, tratamento e resposta a incidentes cibernéticos
Identificação, triagem e avaliação de notificações de incidentes cibernéticos. Receber notificações de incidentes identificados, encaminhados e/ou compartilhados pelos órgãos do SISP, realizar a validação e classificação dos incidentes por tipo e criticidade, de modo a auxiliá-los na priorização, mitigação e resolução dos incidentes cibernéticos através de acompanhamento e orientação especializada. Apoiar na comunicação para outros órgãos competentes.
5.3 Comunicação e colaboração com outras equipes de prevenção, tratamento e resposta a incidentes cibernéticos, tanto dos órgãos e entidades públicas quanto das organizações privadas
Fortalecer a colaboração e a troca de experiências entre os órgãos do SISP e organizações privadas, para promover maior efetividade nas ações de prevenção, tratamento e resposta a incidentes.
5.4 Execução de testes de intrusão em ativos de informação, sob demanda
Realizar testes de segurança de sistemas de informação ou de infraestrutura de uma rede, simulando ataques com vistas a identificar falhas e vulnerabilidades em potencial que podem ser exploradas, avaliar a criticidade e o impacto das fraquezas encontradas e propor as contramedidas para a respectiva correção ou mitigação. Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.5 Análise não-invasiva e contínua de vulnerabilidades em ativos de informação
Execução contínua e passiva de escaneamento de vulnerabilidades em ativos de informação, visando a identificação de possíveis vetores de ataque, tais como portas e protocolos vulneráveis expostos, serviços e sistemas desatualizados, dentre outros.
5.6 Análise de vulnerabilidades em ativos de informação, sob demanda
Execução ativa de escaneamento de vulnerabilidades em ativos de informação, visando a identificação de possíveis vetores de ataque, tais como portas e protocolos vulneráveis expostos, serviços e sistemas desatualizados, dentre outros. Esta modalidade de análise de vulnerabilidades pode ser realizada em ambiente externo ou interno. Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.7 Atividades de inteligência de ameaças cibernéticas
Realizar a busca ativa em diferentes fontes de informações sobre indicadores de comprometimento (IoCs) e de padrões de atividades maliciosas para prover maior eficiência nas ações de prevenção, criação de base de dados de conhecimento sobre eventos e incidentes de segurança para mapeamento de tendências em vulnerabilidades, ameaças e ataques de segurança cibernética.
5.8 Testes estáticos e dinâmicos de segurança em aplicações
Realizar análise de código-fonte de aplicações com objetivo de identificar vulnerabilidades em sistemas de informação, podendo ser de forma estática, sem execução do código-fonte (SAST), e de forma dinâmica, realizando o teste quando a aplicação estiver em execução (DAST). Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.9 Elaboração e publicação de alertas e recomendações
Criação e publicação de alertas e recomendações quando descoberta uma nova vulnerabilidade, em sentido estrito ou amplo, bem como orientações técnicas para mitigação, em complemento às notificações já realizadas pelo CTIR Gov, disponíveis no endereço https://www.gov.br/ctir/pt-br. O CISC Gov.br poderá emitir determinações e prazos para correção de vulnerabilidades com alta criticidade.
5.10 Monitoramento de padrões maliciosos no tráfego externo de rede
Realizar análise de fluxos de rede (flows) de pontos externos da rede dos órgãos do SISP, com o objetivo de identificar padrões e detectar tráfego incomum ou malicioso que pode caracterizar um incidente de segurança e notificar ao respectivo órgão do SISP.
6. Formulário de notificação de incidentes
As notificações devem ser encaminhadas por e-mail, conforme orientações descritas no endereço gov.br/cisc/pt-br/notificar-incidente-cibernetico.
7. Isenção de responsabilidade
Embora todas as precauções sejam tomadas na identificação de incidentes, no compartilhamento de informações e nas notificações, o CISC Gov.br não assume a responsabilidade por erros, omissões ou danos resultantes do uso inadequado de informações fornecidas.