Portaria nº 13.772/STD, DE 31 de janeiro de 2024
|
Institui a Norma Complementar nº 4, que dispõe sobre a Política de Backup e Restauração de Dados Digitais da ANAC. |
O SUPERINTENDENTE DE TECNOLOGIA E TRANSFORMAÇÃO DIGITAL, no uso da atribuição que lhe confere o art. 39, inciso V, do Regimento Interno, aprovado pela Resolução nº 381, de 14 de junho de 2016;
Considerando as obrigações estabelecidas no Decreto nº 9.637, de 26 de dezembro de 2018, que Institui a Política Nacional de Segurança da Informação;
Considerando as orientações estabelecidas no Instrução Normativa nº 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal;
Considerando as orientações estabelecidas na Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe sobre o Programa de Privacidade e Segurança da Informação - PPSI.
Considerando as recomendações constantes nas normas técnicas NBR ISO/IEC 27001:2006 – Sistema de Gestão de segurança da informação e NBR ISO/IEC 27002:2005 - Código de Práticas para a Gestão da Segurança da Informação;
Considerando as boas práticas publicadas pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil - CERT.Br, específicas aos aspectos de Cópias de Segurança (backups);
Considerando a Portaria GSI/PR nº 93, de 18 de outubro de 2019, que aprova o Glossário de Segurança da Informação;
Considerando as Instruções Normativas nºs 115, de 14 de agosto de 2017, que institui a Política de Governança de Informações Digitais - PGID da ANAC, 128, de 6 de novembro de 2019, que institui a Política de Segurança da Informação e Comunicações da Agência Nacional de Aviação Civil - POSI/ANAC, e 172, de 2 de agosto de 2020, que institui a Política de Proteção de Dados Pessoais - PoPD/ANAC;
Considerando o Acórdão 1.109/2021-TCU-Plenário, que trata de auditoria com vistas a avaliar a efetividade dos procedimentos de backup das organizações públicas federais; e
Considerando o que consta do processo nº 00058.013236/2018-88,
RESOLVE:
Art. 1º Instituir, nos termos do Anexo a esta Portaria, a Política de Backup e Restauração de Dados Digitais da Agência Nacional de Aviação Civil - ANAC.
Parágrafo único. A presente Política se aplica no âmbito da Agência, alcançando todos os integrantes de seu Quadro Funcional e todos os recursos administrativos e tecnológicos relacionados, de modo permanente ou temporário, à ANAC.
Art. 2º Fica revogada a Portaria nº 3.019/STI, de 26 de setembro de 2019, publicada no Boletim de Pessoal e Serviço - BPS V.14, nº 52, de 27 de dezembro de 2019, que institui a Norma Complementar nº 4 e dispõe sobre a Política de Cópia de Segurança (Backup) e Restauração de Dados (Restore) da Agência Nacional de Aviação Civil - ANAC.
Art. 3º Esta Portaria entra em vigor na data de sua publicação.
FERNANDO ANDRÉ COELHO MITKIEWICZ
Anexo à Portaria nº 13.772/STD, DE 31 de janeiro de 2024
NORMA COMPLEMENTAR Nº 4
POLÍTICA DE BACKUP E RESTAURAÇÃO DE DADOS DIGITAIS
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Para fins desta Norma, considera-se os conceitos constantes do “Glossário de Segurança da Informação”, aprovado e atualizado por portaria do Gabinete de Segurança Institucional da Presidência da República e os que seguem:
I - administrador de sistema: administradores de serviços ofertados ou hospedados pela ANAC (bancos de dados, sistemas operacionais, arquivos, ativos de redes etc.) que podem requisitar a realização de backup ou a restauração de backup dos serviços por eles gerenciados em caso de incidentes, desastres ou solicitações de informações históricas;
II - administrador de backup: analistas técnicos da ANAC responsáveis e qualificados para as tarefas de configuração dos serviços de backup e também da restauração em casos de desastre ou solicitação dos responsáveis pelos dados ou administradores de sistemas;
III - appliance de backup em disco: hardware especialmente desenvolvido para armazenar dados de backup em discos usualmente com desduplicação embutida;
IV - backup: conjunto de procedimentos que permitem salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada;
V - backup completo ou Full: todos os dados são copiados durante o procedimento do backup, independente de ter ocorrido alteração ou não;
VI - backup incremental: somente os arquivos novos ou modificados desde a última execução do procedimento de backup são copiados;
VII - backup “off-site”: localidade de armazenamento de backup diversa da origem dos dados;
VIII - downtime: tempo em que os dados ficam indisponíveis;
IX - IEC: International Electrotechnical Commission;
X - ISO: International Organization for Standardization;
XI - mídia: meio físico no qual efetivamente armazenam-se os dados de um backup;
XII - NBR: normatização técnica brasileira elaborada pela Associação Brasileira de Normas Técnicas - ABNT;
XIII - PST: arquivo gerado pelo sistema de correio eletrônico para armazenamento de mensagens localmente na estação de trabalho do usuário;
XIV - Recovery: retorno de dados ou serviços ao estado original (anterior ao evento que origina a indisponibilidade de dados ou serviços);
XV - Recovery Time Objective - RTO: tempo necessário para a restauração de cópias de segurança dos sistemas de informação;
XVI - Recovery Point Objective - RPO: quantidade de informação que poderá ser perdida no caso de uma situação de desastre;
XVII - restauração: restauração de dados a partir de um backup funcional armazenado;
XVIII - retenção: período de tempo em que o conteúdo da mídia de backup deve ser preservado;
XIX - staging de dados: modalidade de backup dividida em duas etapas que são armazenados em meios diferentes (geralmente disco e fita ou de um equipamento primário para outro secundário);
XX - Criptografia - arte de proteção da informação, por meio de sua transformação em um texto cifrado (criptografado), com o uso de uma chave de cifragem e de procedimentos computacionais previamente estabelecidos, a fim de que somente o(s) possuidor(es) da chave de decifragem possa(m) reverter o texto criptografado de volta ao original (texto pleno). A chave de decifragem pode ser igual (criptografia simétrica) ou diferente (criptografia assimétrica) da chave de cifragem; e
XXI - backup diferencial - são copiados os arquivos novos ou modificados desde a última execução do procedimento de backup Completo (full).
CAPÍTULO II
DOS OBJETIVOS E METAS
Art. 2º Constituem objetivos desta Política:
I - estabelecer as diretrizes para a realização de cópia de segurança (Backup) e de restauração dos dados (Restore) corporativos ou que são custodiados pela ANAC, visando assegurar a segurança das informações, conforme as propriedades de confidencialidade, integridade e disponibilidade dos ativos de informação;
II - definir estratégias e orientações para a implementação de controles relativos a cópias de segurança e restauração de dados da rede computacional da ANAC;
III - atribuir papéis e responsabilidades aos envolvidos nas ações de cópia e restauração de dados; e
IV - subsidiar os investimentos e contratações de Tecnologia da Informação - TI relacionadas aos processos e procedimentos operacionais de salvaguarda de dados.
CAPÍTULO III
DA ESTRATÉGIA E DAS ORIENTAÇÕES
Art. 3º As ações de Tecnologia da Informação deverão alinhar-se à estratégia institucional e às melhores práticas, observada a seguinte estratégia geral de Backup e Restore:
I - o serviço de backup deverá ser orientado para a restauração das informações no menor tempo possível, principalmente nos casos de indisponibilidade de serviços que dependam da operação de restore;
II - os recursos adequados para a geração dos backups precisam ser disponibilizados para assegurar que todos os dados e aplicações essenciais possam ser recuperados após um incidente/desastre;
III - o administrador de sistemas, o administrador de backup e a STD deverão estar sempre atualizados em relação às informações geradas pelo processo de backup e restauração;
IV - esta Política de Backup e Restauração de Dados deve estar alinhada com a política de Gestão de Continuidade de Negócios (GCN) em nível organizacional, e com a política de Gestão de Continuidade de Serviços de TI.
Parágrafo único. A estratégia de que trata o caput basear-se-á em 3 (três) etapas:
I - catalogação dos servidores de dados (banco de dados / aplicações / serviços);
II - levantamento dos requisitos dos ambientes;
III - implementação do processo de Backup e Restore;
Art. 4º As ações de Tecnologia da Informação relativas ao Backup e Restore de dados deverão seguir as seguintes orientações:
I - a administração dos backups deverá ser orientada para que seus trabalhos respeitem as janelas de execução, inclusive prevendo a ampliação da capacidade dos dispositivos de armazenamento;
II - os dispositivos de armazenamento dos backups (fitas, appliance de backup em disco, armazenamento em nuvem, ou outros), dos sistemas de Produção, deverão ser acondicionados em ambiente com estrutura obediente à norma ABNT NBR ISO/IEC 27002:2005;
III - deve adotar a estratégia de backup 3-2-1, com múltiplas copiadas de backup, sendo que pelo menos uma cópia deve ser armazenada em localidade diversa da origem dos dados (backup “off-site”) a uma distância mínima de 5 (cinco) quilômetros entre os ambientes de armazenamento dos dados e as cópias de segurança deverá ser suficiente para escapar dos danos de um desastre ocorrido no local principal, ou ainda armazenado em serviço de nuvem;
IV - as mídias defeituosas ou inservíveis serão encaminhadas para picotamento, incineração, procedimentos de sobrescrita de dados remanescentes (disco rígido) ou outro procedimento que impossibilite a recuperação
dos dados por terceiros;
V - os procedimentos de backup serão realizados, diariamente, preferencialmente durante o período noturno, entre 20:00 (vinte horas) e 06:00 (seis horas) do dia seguinte;
VI - As rotinas de backup deverão ser automatizadas e com agendamentos automático, sem necessidade de ação humana para sua execução, sempre que possível;
VII - Para os backups que tenham exigência de retenção de dados superior à 14 (quatorze) dias deverá ser implementada a estratégia GFS (grandfather-father-son), ou seja, serão retidas 1 (uma) cópia de backup dos anos anteriores, 12 (cópias) de backups dos últimos 12 (doze) meses, e backups diários dos últimos 30 (trinta) dias.
VIII - os administradores de sistemas em conjunto com os administradores de backup deverão realizar testes periódicos de restauração de acordo com o Plano de Teste de Restore dos Backups, no intuito de averiguar os processos de backup e estabelecer melhorias;
IX - os arquivos e documentos corporativos gerados pelos usuários e que necessitem integrar a rotina de backup deverão ser armazenados no servidor de arquivos, na pasta corporativa da área que ficará armazenada no servidor de arquivos, Sharepoint, Teams ou OneDrive;
X - o backup de dados de serviços em nuvem, sob a modalidade de SaaS (Software as Service) ou PaaS (Platform as Service) poderão ser dispensados de execução por de rotina própria administrada pela STD, desde que a oferta do serviço em nuvem já contemple os requisitos de salvaguarda necessários para o negócio da ANAC. Essa possibilidade de dispensa deverá ser avaliada e aprovada pela STD, bem como a decisão registrada em mecanismo apropriado.
XI - os arquivos armazenados nas estações de trabalho não integram o escopo do processo de backup e não estarão disponíveis para recuperação, em caso de perda temporária ou definitiva do arquivo;
XII - o backup não englobará a cópia das caixas de mensagens eletrônicas armazenados em PST, em pastas do MS-Outlook (PST) na própria estação de trabalho, as quais não estarão disponíveis para recuperação, em caso de perda temporária ou definitiva do arquivo;
XIII - as ações de Tecnologia de Informação que envolvam a geração de cópias de segurança e a restauração de dados deverão vincular-se às boas práticas derivadas da observância dos normativos internos e externos;
XIV - Os dados dos backups devem ser armazenados preferencialmente com criptografia;
XV - Os dados em trânsito dos backups devem ser trafegados preferencialmente criptografados, quando os equipamentos de origem dos dados não estiverem em uma zona de rede protegida; e
XVI - Os objetivos de RPO e RTO definidos pelos Curadores ou Gestores de Sistemas devem ser observados para solicitações de restauração para fins de Recuperação de Desastres ou dados recentes. Para solicitações de restauração de dados para fins de auditoria ou similar o RPO e RTO deve ser acordado entre o demandante e os Administradores de Backup, considerando eventuais limitações técnicas.
XVII - A Gestão de capacidade e monitoramento de recursos da infraestrutura e serviços de backup devem serem feitas regularmente e caso atinjam 70% (setenta porcento) de uso medidas devem ser adotadas para viabilizar a disponibilidade de recursos ou projetos de ampliação e contratação devem ser iniciados;
XVIII - Somente terão acesso às cópias de segurança as pessoas que desempenhem os papéis definidos na presente política de backup e restauração ou que sejam devidamente autorizadas pelo responsável pelos dados, e;
XIX - A retenção das cópias dos logs de auditoria das operações de backup, para fins de futuras investigações e monitoramento de controle de acesso das ferramentas de backup e restauração devem ser de no mínimo 12 meses.
CAPÍTULO IV
Art. 5º A execução da Política de Cópia de Segurança e Restauração de Dados da ANAC pautar-se-á na definição e distribuição de competência e responsabilidades entre as unidades organizacionais da Agência e será composto pelos seguintes agentes:
I - Comitê de Segurança da Informação e Proteção de Dados Pessoais - CSIP;
II - Superintendência de Tecnologia e Transformação Digital - STD; e
III - Curadores ou Gestores de Sistemas.
Parágrafo único. Os processos de backup e restore dos dados gerados ou sob a guarda da ANAC deverão envolver os gestores de soluções de Tecnologia da Informação e Comunicação - TIC.
Art. 6º O alinhamento da governança de TIC às estratégias e diretrizes relacionadas à cópia de segurança e restauração de dados da ANAC é de responsabilidade do CSIP e operacionalizadas pela STD e pelo curador ou gestor do sistema, que prestarão àquela todo o suporte necessário à tomada de decisão dos processos de backup e restauração objeto desta Portaria.
Art. 7º Compete ao CSIP:
I - aprovar diretrizes referentes a ações e projetos de backup e Restore dos dados gerados ou sob a guarda da ANAC;
II - aprovar alocação de recursos orçamentários para investimentos e custeios da infraestrutura, serviços e operações de backup e restore dos dados gerados ou sob a guarda da ANAC;
III - avaliar e decidir sobre questões de segurança vinculadas às cópias de segurança, respeitando o disposto na Política de Segurança da Informação e Comunicações - PoSI;
IV - monitorar o adequado cumprimento das regras estabelecidas nesta Portaria.
Art. 8º Compete à STD:
I - promover treinamentos e certificações necessárias para os servidores envolvidos nas atividades descritas nesta Política;
II - propor a alocação de recursos orçamentários destinados à gestão e prospecção de soluções de backup e restore dos dados gerados ou sob a guarda da ANAC;
III - estabelecer, por meio de portaria, as regras para a gestão das cópias de segurança e restauração de dados, definido como Plano de Backup, alinhado à norma ABNT NBR ISO/IEC 27002:2013, definindo os tipos de cópias a serem realizadas (completa/full, incremental ou diferencial), além de requisitos específicos de segurança da informação, a abrangência/escopo das cópias de segurança e a frequência de realização, entre outras informações relevantes.
IV - O Plano de Backup deverá ainda contemplar os seguintes planos complementares:
a) Plano de Comunicação de Falhas de Backup;
b) Plano de Teste de Restore dos Backups; e
c) Plano de Recuperação de Incidentes de Backup;
V - prevenir contra divulgação não autorizada, modificação, remoção ou destruição dos dados armazenados nos backups;
VI - manter os ambientes tecnológico de desenvolvimento, homologação e de produção disponíveis e atualizados para uso constante;
VII - elaborar o catálogo dos servidores e aplicações de backup existentes, mediante levantamento detalhado do cenário atual da solução de backup, que inclua inventário dos ativos disponíveis para armazenamento, servidores envolvidos nos processos de backup e softwares utilizados, com a finalidade de se ter conhecimento dos riscos aos quais os dados estão sujeitos, os problemas e demais não conformidades encontradas;
VIII - mapear os servidores e as aplicações e registrar no inventário de ativos de informação;
IX - relacionar todo e qualquer dispositivo que pertença à ANAC e que armazene dados a ser considerado para fins de realização de cópias de segurança;
X - identificar os responsáveis pelos dados de cada sistema de informação da ANAC;
XI - projetar e aplicar proteção física contra incêndios, enchentes, explosões, perturbações da ordem pública e outras formas de desastres naturais ou que possam ser causados pelas pessoas;
XII - assegurar que as informações recebam um nível adequado de proteção;
XIII - estabelecer o perímetro de segurança do local escolhido para armazenamento das cópias de segurança;
XIV - mitigar os riscos de possíveis acessos às mídias descartadas;
XV - manter as cópias de segurança em conformidade com os requisitos legais pertinentes;
XVI - respeitar todos os prazos e tipos de backup que tenham implicações legais para os negócios e para a imagem da ANAC;
XVII - manter as cópias dos arquivos corporativos que assegurem a continuidade das operações dos processos de trabalho de cada Unidade Organizacional;
XVIII - disponibilizar uma área externa ao ambiente de armazenamento onde os dados estão instalados;
XIX. disponibilizar uma área para staging de dados, que seja externa ao ambiente de armazenamento (storage principal) para validação e posterior cópia para outra mídia ou localidade;
XX - definir o processo para o descarte dos dispositivos de armazenamento que contenham dados fora do prazo de retenção;
XXI - definir os Níveis Mínimos de Serviços Exigidos - NMSE do Catálogo de Serviços da ANAC firmados junto às empresas prestadoras de serviços de acordo com o tempo máximo de recuperação (RTO) dos serviços definidos pelos Curadores/Gestores de Dados;
XXII - realizar testes de restauração em periodicidade a ser definida, ou mediante solicitação no Portal de Serviços da ANAC, de acordo com o Plano de Teste de Restore dos Backups.
Parágrafo único. A STD designará administrador de sistemas e administrador de backup e restauração de dados no intuito de operacionalizar as orientações contidas nesta Política.
Art. 9º Compete ao curador de que trata a Instrução Normativa nº 115, de 14 de agosto de 2017:
I - realizar a gestão das informações dos sistemas de informação da sua Unidade Organizacional;
II - classificar o nível de criticidade de cada aplicação, conforme metodologia adotada na ANAC;
III - classificar as informações de acordo com normativos, premissas institucionais e requisitos de negócio;
IV - definir o tempo de retenção das cópias de segurança, segundo a legislação pertinente, quando houver previsão legal, em alinhamento com as premissas institucionais ou requisitos de negócio;
V - autorizar o acesso aos dados dos sistemas de informação e às cópias de segurança e suas restaurações;
VI - definir a quantidade de informação que poderá ser perdida no caso de uma situação de desastre (RPO);
VII - definir o tempo necessário para a restauração de cópias de segurança dos sistemas de informação (RTO);
VIII - participar da elaboração dos Planos de Recuperação de Desastres e de Recuperação de Incidentes;
IX - solicitar a restauração de cópia de segurança, quando for necessário;
X - definir a tolerância ao tempo de downtime para a definição dos tipos e periodicidade das cópias de segurança, nos casos em que o sistema ou serviço de TI precise ser paralisado para que o procedimento de backup seja executado em um estado consistente dos dados;
XI - preencher o Termo de Descarte de Mídias; e
XII - fornecer as informações sobre os requisitos legais de cada sistema de informação sob a sua gestão.
Parágrafo único. As responsabilidades atribuídas ao curador poderão ser desempenhadas pelos gestores de sistemas, enquanto não houver designações formalizadas.
Art. 10. Compete a todos os usuários reportar à STD:
I - os incidentes na rede computacional da ANAC, que afetem a segurança das cópias de segurança, e
II - qualquer descumprimento desta Política.
Art. 11. Compete à Comissão Permanente de Avaliação de Documentos - CPAD gerenciar as informações definidas pelo responsável pelos dados.
Art. 12. As solicitações de restauração de dados deverão ser abertas pelo responsável pelos dados ou pelo administrador de sistema, em conformidade com os tempos de RTO acordados, através do Portal de Serviços da ANAC contendo os nomes e datas dos arquivos e as pastas que deverão ser recuperados.
Parágrafo único. A STD por meio de seus gestores ou servidores designados estão autorizados a demandas a restauração de dados para atender solicitações de auditoria, corregedoria, ou outras demandas legais, ou ainda para realizar procedimentos técnicos necessários ao atendimento de demandas gerais de TI.
CAPÍTULO V
Art. 13. O descumprimento das disposições constantes nesta Política e nas normas complementares sobre cópias de segurança e restauração de dados corporativos caracteriza infração funcional, a ser apurada em processo administrativo disciplinar, sem prejuízo das responsabilidades penal e civil.
Art. 14. Esta Política de backup e restore de Dados Corporativos deverá ser revisada e atualizada periodicamente no máximo a cada 36 (trinta e seis) meses, caso não ocorram eventos ou fatos relevantes que exijam uma revisão imediata.
Art. 15. Em casos de quebra de segurança das cópias armazenadas ou no processo de execução, a STD deverá ser imediatamente acionada para adotar as providências necessárias, podendo, inclusive, determinar a restrição temporária ao acesso aos recursos computacionais envolvidos no processo de cópias de segurança e restauração dos dados corporativos da ANAC.
Art. 16. Os casos omissos serão resolvidos pelo CSIP, apoiado pela STD, quando for necessário.
________________________________________________________________________________________
Publicado em 1º de fevereiro de 2024 no Boletim de Pessoal e Serviço - BPS v.19, nº 5, de 29 de janeiro a 2 de fevereiro de 2024