Gestor

Art. 9º É obrigatório a todos os órgãos e as entidades da administração pública federal possuir uma Política de Segurança da Informação, implementada a partir da formalização e aprovação por parte da autoridade máxima da instituição, com o objetivo de estabelecer diretrizes, responsabilidades, competências e subsídios para a gestão da segurança da informação.

Parágrafo único. A autoridade máxima do órgão ou da entidade é responsável por garantir os recursos necessários para a execução da Política de Segurança da Informação no âmbito de sua organização.

Art. 10. A Política de Segurança da Informação deve ser elaborada sob a coordenação do Gestor de Segurança da Informação do órgão ou entidade, com a participação do Comitê de Segurança da Informação interno ou estrutura equivalente.

Parágrafo único. Cabe ao Gestor de Segurança da Informação promover, com apoio da alta administração, a ampla divulgação da Política, das normas internas de segurança da informação e de suas atualizações, de forma ampla e acessível, a todos os servidores, aos usuários e aos prestadores de serviço, a fim de que esses tomem conhecimento de tais instrumentos.

(…)

Art. 16. De forma a estruturar a gestão da segurança da informação, os órgãos e entidades da administração pública federal deverão designar ou instituir, ao menos:
I – o Gestor de Segurança da Informação;

(…)
Do Gestor de Segurança da Informação
Art. 18. Compete aos órgãos e às entidades da administração pública federal a designação do gestor de segurança da informação, observados os seguintes requisitos cumulativamente:
I – ser servidor ou empregado público civil ocupante de cargo efetivo ou militar das Forças Armadas;

II – ser ocupante de Cargo Comissionado Executivo – CCE ou Função
Comissionada Executiva – FCE de nível 15, equivalente ou superior, ou oficial general, na hipótese de militar das Forças Armadas;

III – não ser o responsável pela unidade de tecnologia da informação ou seu subordinado, salvo quando não houver no órgão ou na entidade outro servidor, empregado ou militar apto ao exercício do encargo, hipótese em que o ato de designação deverá conter justificativa formal e fundamentada sobre eventual conflito de competências; e
IV – possuir conhecimentos ou estar em processo de formação em segurança da informação.

§1º O substituto do gestor de segurança da informação deverá atender aos
requisitos dispostos nos incisos I, III e IV do caput, e ser ocupante de Cargo Comissionado Executivo – CCE ou Função Comissionada Executiva – FCE de nível 13, equivalente ou superior, ou oficial superior do último posto, na hipótese de militar das Forças Armadas.

§2º Em órgãos e entidades em que o dirigente máximo seja ocupante de Cargo
Comissionado Executivo – CCE ou Função Comissionada Executiva – FCE de nível igual ou inferior a 15, ou equivalente, é permitida a designação de servidores ocupantes de CCE ou FCE de nível igual ou superior a 13 ao titular, e de nível igual ou superior a 10 ao substituto, observados os demais requisitos dispostos nos incisos I, III e IV do caput.

§3º O Gabinete de Segurança Institucional ofertará formações de gestores de segurança da informação para o atendimento ao requisito previsto no inciso IV do caput.

Art. 19. Ao Gestor de Segurança da Informação dos órgãos e das entidades da administração pública federal compete, no âmbito de sua atuação, exercer as seguintes atribuições:

I – coordenar as iniciativas de segurança da informação no âmbito do órgão ou da entidade ao qual representa, garantindo o cumprimento das normas internas e da legislação vigente;

II – estimular iniciativas de capacitação em temas relacionados à segurança da informação e promover ações de conscientização sobre boas práticas aos agentes públicos;

III – divulgar as normas internas de segurança da informação a todos os agentes públicos;

IV – realizar avaliações de riscos e análise dos impactos antes da adoção de tecnologias emergentes no contexto de seu órgão ou entidade;

V – planejar e propor os recursos orçamentários necessários à implementação, atualização e manutenção de iniciativas de segurança da informação;

 VI – acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos;

 VII – atuar como segunda linha de defesa no âmbito do Sistema de Controle Interno;

 VIII – realizar avaliações de conformidade em relação à implementação de requisitos estabelecidos na Política Nacional de Segurança da Informação (PNSI), nas normas inferiores e na legislação aplicável à segurança da informação, e apoiar
auditorias internas e externas;

IX – acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação;

X – cooperar com o Encarregado pelo Tratamento de Dados Pessoais nas ações relativas à segurança da informação quando envolver dados pessoais;

 XI – elaborar e revisar o planejamento tático de segurança da informação, e acompanhar sua implementação;

 XII – participar de fóruns especializados para obtenção de experiências e ampliação de capacidades, tanto no setor público quanto no setor privado; e

XIII – avaliar a capacidade operacional do órgão ou da entidade que representa, a fim de:

a)  subsidiar as decisões dos gestores superiores sobre ações de segurança da informação; e

b) emitir parecer técnico ou recomendação sobre a conveniência de integrar ou desligar-se de arranjos colaborativos de segurança da informação.

Parágrafo único. O responsável pela unidade de tecnologia da informação deverá colaborar e fornecer os subsídios necessários ao Gestor de Segurança da Informação para a execução de suas competências.

Art. 19-A. Os órgãos e as entidades da administração pública federal poderão designar servidor para o exercício de atribuições análogas às do Gestor de Segurança da Informação, no âmbito de suas unidades administrativas.

§ 1º A designação de que trata o caput não configura a criação de cargo, emprego ou função pública, mas a atribuição de responsabilidades a servidor já ocupante de cargo público, o qual passará a ser identificado, em sua respectiva unidade, como Gestor Setorial de Segurança da Informação.

§ 2º O servidor designado deverá observar os requisitos previstos nos incisos I, III e IV do art. 18 e atuará sob a governança do Gestor de Segurança da Informação do órgão ou entidade, ao qual deverá se reportar.

Art. 19-B. Os órgãos e as entidades da administração pública federal deverão comunicar à Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional os nomes e os dados para contato do Gestor de Segurança da Informação, titular e substituto, e de eventuais Gestores Setoriais de Segurança da Informação, sempre que houver uma nova designação.

­­­

INSTRUÇÃO NORMATIVA GSI/PR Nº 3, DE 28 DE MAIO DE 2021

Art. 8º Cabe ao gestor de segurança da informação de cada órgão ou entidade coordenar o processo de mapeamento de ativos de informação, bem como designar um agente responsável pela gestão dos ativos de informação, dentre os servidores efetivos do órgão ou da entidade.

Art. 16. Cabe ao gestor de segurança da informação de cada órgão ou entidade:

I – coordenar a gestão de riscos de segurança da informação;

II – designar o agente responsável pela gestão de riscos de segurança da informação, dentre os servidores efetivos do órgão;

III – aprovar o plano de gestão de riscos de segurança da informação;

IV – aprovar o relatório de identificação, análise e avaliação dos riscos de segurança da informação e encaminhá-lo à alta administração;

V – aprovar o relatório de tratamento de riscos de segurança da informação; e

VI – propor medidas preventivas à alta administração.

Art. 25. O gestor de segurança da informação coordenará o processo de gestão de continuidade de negócios em segurança da informação nos seus respectivos órgãos ou entidades, bem como designará um agente responsável pela referida gestão, dentre os servidores efetivos do órgão.
[…]

GESTÃO DE MUDANÇAS NOS ASPECTOS DE SEGURANÇA DA INFORMAÇÃO

Art. 35. Cabe ao gestor de segurança da informação, com relação ao processo de gestão de mudanças nos aspectos de segurança da informação:

I – coordenar a gestão de mudanças;

II – designar o agente responsável pela gestão de mudança, dentre os servidores efetivos do órgão;

III – analisar e encaminhar o documento de avaliação e aprovação de mudança para apreciação da alta administração do órgão, à qual cabe a decisão de aprovar ou indeferir a mudança; e

IV – proporcionar a interação constante entre as equipes de gestão de mudanças em aspectos de segurança da informação, de gestão de riscos de segurança da informação e de gestão de continuidade de negócios em segurança da informação.

AVALIAÇÃO DE CONFORMIDADE NOS ASPECTOS DE SEGURANÇA DA INFORMAÇÃO

Art. 42. Cabe ao gestor de segurança da informação, com relação à avaliação de conformidade nos aspectos de segurança da informação:

I – coordenar a avaliação de conformidade nos aspectos relativos à segurança da informação;

II – designar, dentre os servidores efetivos do órgão, um ou mais agentes responsáveis pela avaliação de conformidade, de acordo com os aspectos relativos à segurança da informação, não podendo ser nenhum dos membros da equipe de gestão de segurança da informação do órgão ou da entidade;

III – fornecer, ao(s) agente(s) responsável(is) pela avaliação de conformidade, todas as informações necessárias ao processo de gestão de conformidade nos aspectos de segurança da informação;

IV – analisar o relatório de avaliação de conformidade e encaminhá-lo para apreciação e aprovação da alta administração; e

V – adotar as medidas necessárias para atender às recomendações do relatório de avaliação de conformidade aprovado pela alta administração.

­­

INSTRUÇÃO NORMATIVA Nº 5, DE 30 DE AGOSTO DE 2021

DAS RESPONSABILIDADES

Art. 7º Ao Gestor de Segurança da Informação compete:

I – instituir e coordenar a equipe descrita no art. 6º, responsável pela elaboração e revisões do ato normativo sobre uso seguro de computação em nuvem;

II – supervisionar a aplicação do ato normativo sobre uso seguro de computação em nuvem;

III – assegurar a contínua efetividade da comunicação com o provedor de serviço de nuvem, que fornece tais serviços ao órgão ou à entidade, de forma a assegurar que os controles e os níveis de serviço acordados sejam cumpridos;

IV – supervisionar a aplicação das medidas de correção pelo provedor de serviço de nuvem, em casos de eventuais desvios;

V – comunicar incidentes cibernéticos informados pelo provedor de serviço de nuvem aos órgãos competentes para os seus tratamentos, conforme a relevância dos incidentes previamente estabelecida; e

VI – encaminhar para aprovação da alta administração as minutas de elaboração e de revisões do ato normativo sobre o uso seguro de computação em nuvem.

­

INSTRUÇÃO NORMATIVA Nº 6, DE 23 DE DEZEMBRO DE 2021

Art. 6º Compete ao gestor de segurança da informação:

I – propor ações para melhoria contínua da gestão do uso seguro de mídias sociais;

II – fomentar o fortalecimento da cultura da segurança da informação no seu respectivo órgão ou entidade, no que diz respeito ao uso seguro de mídias sociais;

III – designar o agente responsável pelo uso seguro de mídias sociais;

IV – instituir e coordenar a equipe responsável pela elaboração e pelas revisões do ato normativo sobre o uso seguro de mídias sociais;

V – apresentar à alta administração e ao Comitê de Segurança da Informação ou à estrutura equivalente o relatório sobre a utilização de mídias sociais de que trata o inciso III do art. 4º; e

VI – encaminhar para aprovação da alta administração as minutas de elaboração e de revisões do ato normativo sobre o uso seguro de mídias sociais.

Art. 7º Compete ao Comitê de Segurança da Informação ou estrutura equivalente:

I – analisar os riscos de segurança da informação provenientes da presença do órgão ou da entidade em mídias sociais;

II – promover ações para tratar os riscos de segurança da informação provenientes da presença do órgão ou da entidade em mídias sociais;

III – analisar, em caráter conclusivo, as minutas de elaboração e de revisões do ato normativo sobre o uso seguro de mídias sociais;

IV – analisar os relatórios de que tratam o inciso III do art. 4º e o inciso IV do art. 5º; e

V – assessorar na implementação das ações de segurança da informação para o uso seguro de mídias sociais.

­

­­Resolução nº 100, DE 6 DE MAIO DE 2022 – CONSUN

Art. 9º – Fica instituído o Gestor de Segurança da Informação, indicado pelo Reitor, com as seguintes responsabilidades:

I – coordenar o Comitê de Segurança da Informação da Universidade;

II – coordenar a elaboração da Política de Segurança da Informação e das normas internas de segurança da informação do órgão, observadas as normas afins exaradas pelo Gabinete de Segurança Institucional da Presidência da República;

III – assessorar a alta administração na implementação da Política de Segurança da Informação;

IV – estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação;

V – promover a divulgação da política e das normas internas de segurança da informação do órgão a todos os servidores, usuários e

prestadores de serviços que trabalham no órgão ou na entidade;

VI – incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à segurança da informação;

VII – propor recursos necessários às ações de segurança da informação;

VIII – acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos;

IX – verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação; e

X – acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação