Resolução 422 (PR/TRF3)/2021

RESOLUÇÃO PRES Nº 422, DE 12 DE MAIO DE 2021.

Institui a Equipe de Tratamento de Resposta a Incidentes de Segurança Cibernética - ETIR e o Comitê de Crises Cibernéticas.

O PRESIDENTE DO TRIBUNAL REGIONAL FEDERAL DA 3ª REGIÃO, no uso de suas atribuições legais,

CONSIDERANDO a necessidade de garantir a segurança cibernética no ecossistema digital da Justiça Federal da 3ª Região;

CONSIDERANDO o crescente número de incidentes cibernéticos na rede mundial de computadores, bem como a necessidade do estabelecimento de processos eficazes de trabalho para prevenção, resposta e apuração de incidentes;

CONSIDERANDO os termos da Resolução n.º 370/2021 do Conselho Nacional de Justiça, que instituiu a Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTIC-JUD), e estabeleceu as diretrizes para sua governança, gestão e infraestrutura;

CONSIDERANDO a edição das Portarias n.º 290, n.º 291, e n.º 292, de 17 de dezembro de 2021, do Conselho Nacional de Justiça;

CONSIDERANDO a edição das Resoluções n.º 360, n.º 361, e n.º 362, de 17 de dezembro de 2020, do Conselho Nacional de Justiça,

RESOLVE:

CAPÍTULO I

EQUIPE DE TRATAMENTO E RESPOSTA A INCIDENTES DE SEGURANÇA DE CIBERNÉTICA - ETIR-JF3

Art. 1º Instituir a unidade de segurança da informação, denominada Equipe de Tratamento e Resposta a Incidentes de Segurança de Cibernética - ETIR-JF3, subordinada à Presidência do Tribunal, com as atribuições e responsabilidades de prevenir, receber, analisar, apurar e responder a notificações e atividades relacionadas a incidentes de segurança em redes de computadores.

Parágrafo único. A ETIR-JF3 tem como missão facilitar e coordenar as atividades de tratamento e resposta a incidentes em redes computacionais, atuando também de forma proativa com o objetivo de minimizar vulnerabilidades e ameaças que possam comprometer a integridade dos sistemas e dos dados da Justiça Federal da 3.ª Região.

Art. 2º Compete à ETIR-JF3 a elaboração do Protocolo de Prevenção a Incidentes Cibernéticos no âmbito do Poder Judiciário (PPICiber/PJ), Protocolo de Gerenciamento de Crises Cibernéticas no âmbito do Poder Judiciário (PGCC/ PJ), e Protocolo de Investigação para Ilícitos Cibernéticos no âmbito do Poder Judiciário.

§ 1º Os protocolos referidos no caput deverão ser homologados pela Comissão de Informática, Comissão Local de Resposta a Incidentes de Segurança da Informação - CLRI e Comissão Local de Segurança da Informação - CLSI.

§ 2º Eventuais alterações nos protocolos também deverão ser submetidas às comissões.

Art. 3º São também atribuições da ETIR-JF3:

I - Atuar como setor responsável pela normatização e atualização da Política de Segurança da Informação do Tribunal Regional Federal da 3ª Região;

II - Promover a adoção de normas técnicas de segurança da informação e dos padrões de proteção de dados;

III - Avaliar a conformidade dos sistemas desenvolvidos pela Secretaria de Tecnologia da Informação (SETI) e de programas e equipamentos adquiridos, em relação às boas práticas, às normas e aos padrões de segurança estabelecidos;

IV - Definir em conjunto com as demais áreas da SETI as ferramentas tecnológicas de segurança da informação;

V - Apoiar as demais unidades da SETI no mapeamento, monitoramento e mitigação de riscos associados aos seus projetos e processos;

VI - Exercer outras atividades inerentes à competência da unidade, em colaboração com a SETI, a requerimento do Diretor de Tecnologia da Informação, desde que autorizado pela Presidência;

VII - Promover a consciência da necessidade e dos objetivos da segurança dos sistemas de informação, incluindo a conduta ética no uso dos sistemas de informação e adoção de boas práticas de segurança;

VIII - Fornecer e promover educação e treinamento de desenvolvedores, proprietários, provedores e usuários de sistemas de informação, especialistas e auditores de sistemas de informação, especialistas e auditores de segurança de sistemas de informação e autoridades policiais, investigadores, advogados e juízes;

IX - Instruir a equipe executiva sobre o status e os riscos, incluindo assumir o papel de defensor da estratégia geral e do orçamento necessário;

X- Comunicar as melhores práticas e os riscos a todos os usuários dos sistemas;

XI- Realizar o gerenciamento de identidades, de acesso e garantir o uso adequado de medidas de autenticação, autorização e concessão de privilégios;

XII - Coletar evidências, apurar o ocorrido e interagir com as autoridades competentes para realizar a investigação e elaborar laudo periciais;

XIII - Definir e implementar programa de resposta a incidentes de segurança juntamente com a CLRI;

XIV - Receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em rede de computadores.

Art. 4º O Agente Responsável pela ETIR-JF3, que a coordena e gerencia, fará parte da Comissão Local de Resposta a Incidentes de Segurança da Informação - CLRI e da Comissão Local de Segurança da Informação - CLSI.

Art. 5º A ETIR-JF3 apresentará relatórios mensais ao Presidente do Tribunal, ao Corregedor-Regional e à Comissão de Informática, com todos os elementos relacionados à gestão das crises cibernéticas, às diretrizes de prevenção e à investigação e apuração de ilícitos cibernéticos ocorridos, apurados ou investigados no período.

Art. 6º No âmbito da investigação e apuração a ilícitos cibernéticos, constitui falta funcional o acesso a computadores e sistemas sem o competente registro das providências adotadas ou sem justa causa que o ampare.

Art. 7º Constarão da página eletrônica do Tribunal a definição da missão da ETIR-JF3, seu público-alvo, modelo de implementação, nível de autonomia, designação de integrantes, canal de comunicação de incidentes de segurança, os serviços que serão por ela prestados e glossário com os termos necessários à compreensão de suas atividades.

CAPÍTULO II - COMITÊ DE CRISES CIBERNÉTICAS

Art. 8.º Fica instituído o Comitê de Crises Cibernéticas, suportado pela ETIR-JF3, de caráter multidisciplinar, composta por representante da Alta Administração do Tribunal e por especialistas das seguintes áreas:

I - Jurídica;

II - Comunicação;

III - Tecnologia da Informação;

IV - Privacidade de Dados Pessoais;

V - Segurança da Informação;

VI - Unidades administrativas de apoio à contratação; e

VII - Segurança Institucional.

Parágrafo único. Os membros do Comitê de Crises Cibernéticas serão nomeados por portaria da Presidência deste Tribunal.

Art. 9º Ao qualificar o incidente como crise cibernética, a ETIR-JF3 deverá informar imediatamente ao Comitê de Crises Cibernéticas, nos termos do Protocolo de Gerenciamento de Crises Cibernéticas no âmbito do Poder Judiciário - PGCC/ PJ, que deverá reunir-se na sala de situação previamente definida.

Parágrafo único. Os planos de contingência existentes, caso aplicáveis, devem ser efetivados imediatamente, visando à continuidade dos serviços prestados.

Art. 10. Quando as operações retornarem à normalidade, o Comitê de Crises Cibernéticas deverá realizar a análise criteriosa das ações tomadas, observando as que foram bem-sucedidas e as que ocorreram de forma inadequada, registrando-as em relatório.

Art. 11. A presente resolução entra em vigor a partir da data de sua publicação.

Publique-se. Registre-se. Cumpra-se.

Documento assinado eletronicamente por Mairan Gonçalves Maia Júnior, Desembargador Federal Presidente, em 13/05/2021, às 10:20, conforme art. 1º, III, "b", da Lei 11.419/2006.

Este texto não substitui o publicado no Diário Eletrônico