Ato Normativo da Procuradoria Geral nº 10/2016
Institui o Plano de Continuidade de Negócios no Ministério Público do Estado do Amapá.
ATO NORMATIVO Nº 10, DE 15 DE DEZEMBRO DE 2016.
Institui o Plano de Continuidade de Negócios no Ministério Público do Estado do Amapá.
O PROCURADOR-GERAL DE JUSTIÇA DO ESTADO DO AMAPÁ, no uso das atribuições que lhe são conferidas pelo artigo 50, inciso I, alínea f, da Lei Complementar do Estado do Amapá nº 79 de 2013 ( Lei Orgânica Estadual do Ministério Público do Amapá);
CONSIDERANDO a importância nos dias atuais dos recursos tecnológicos para operacionalizar as atividades desenvolvidas neste órgão ministerial, dentre eles destaca-se a necessidade de uso de computadores, sistemas administrativos e finalísticos, bem como à Internet.
CONSIDERANDO que com a implementação do processo eletrônico ampliou-se ainda mais a dependência de recursos tecnológicos para o funcionamento das Promotorias de Justiça e que a ausência de tais recursos acaba por ocasionar elevado grau de impacto nas atividades desenvolvidas para a sociedade local.
CONSIDERANDO a necessidade de definição e gestão de métricas mínimas para disponibilidade dos serviços essenciais relacionados ao segmento de Tecnologia da Informação e Comunicação (TIC), visando mapear riscos, identificar ameaças e suas respectivas probabilidades de ocorrência no âmbito ministerial.
CONSIDERANDO que os recursos de TIC para que possam funcionar, há a necessidade de disponibilidade de recursos elétricos, bem como temperatura e umidade adequada, e ausência de água ou outro tipo de material líquido que porventura afete o funcionamento dos equipamentos, RESOLVE:
Art. 1º Instituir o Plano de Continuidade de Negócios do MP-AP.
CAPÍTULO I
Visão Geral e Abrangência
Art. 2º O Plano de Continuidade de Negócios (PCN) do MP-AP é uma declaração de compromisso desta instituição à disponibilidade dos serviços essenciais, possibilitando trabalhar com a gestão de métricas e indicadores visando trabalhar preventivamente contra os riscos, probabilidades e impactos causados por quedas e/ou interrupções em serviços, sistemas e equipamentos relativos à operacionalização das unidades do MP-AP.
Art. 3º Esta PCN tem como objetivos:
I - Declarar formalmente o comprometimento do MP-AP no cumprimento de melhores práticas mercadológicas no âmbito de minimizar interrupções indesejadas nas atividades críticas desenvolvidas pelas unidades ministeriais;
II - Assegurar a continuidade das operações do MP-AP na eventualidade de uma indisponibilidade prolongada dos recursos que dão suporte à realização dessas operações (equipamentos, sistemas de informação, instalações, pessoal e informações).
III - Estabelecer as responsabilidades em relação à disponibilidade de serviços essenciais no âmbito do MP-AP, perante as áreas de Tecnologia da Informação, de Apoio Administrativo (Divisão de Engenharia e Arquitetura, Almoxarifado) e Gabinete Militar.
IV - Melhorar proativamente a resiliência do MP-AP, mitigando os riscos de interrupções e reduzindo o tempo de resposta a possíveis incidentes;
V - Recuperar a operacionalização por meio de um método sistemático para retorno em um tempo aceitável dos serviços críticos após um incidente;
VI - Obter capacidade de gerenciar uma interrupção no negócio de forma a evitar impactos para os serviços ofertados para a sociedade, protegendo a reputação do MP-AP.
CAPÍTULO II
Estrutura normativa
Art. 4º A Estrutura Normativa do Plano de Continuidade de Negócios do MPAP é composta pelos seguintes documentos, hierarquicamente organizados, com a indicação de seus respectivos responsáveis por aprovação e periodicidade de revisão:
I - Plano de Contingência (Emergência): Documento que deve ser utilizado em último caso, quando todas as prevenções tiverem falhado. Define as necessidades e ações mais imediatas;
II - Plano de Administração ou Gerenciamento de Crises (PAC): Define funções e responsabilidades das equipes envolvidas com o acionamento das ações de contingência, antes, durante e após a ocorrência.
III - Plano de Recuperação de Desastres (PRD): Determina o planejamento para que, uma vez controlada a contingência e passada a crise, o MP-AP retome seus níveis originais de operação.
IV - Plano de Continuidade Operacional (PCO): Objetiva o restabelecimento do funcionamento dos principais ativos que suportam as operações do MP-AP, reduzindo o tempo de queda e os impactos provocados por um eventual incidente.
Art. 5º Também compõem a Estrutura Normativa do PCN outros documentos acessórios, a saber: Procedimentos e/ou planos operacionais relativos ao envolvimento de cada unidade nas ações do PCN.
CAPÍTULO III
Princípios e Definições
Art. 6º Para os efeitos deste Documento, os seguintes princípios de Segurança da Informação devem ser aplicados para a tomada de decisões da instituição e maior proteção de seus ativos:
I - Prevenir e reduzir impactos gerados por incidentes de Segurança da Informação, assegurando a confidencialidade, integridade, disponibilidade, autenticidade e legalidade no desenvolvimento das atividades profissionais;
II - Cumprir a legislação brasileira e os demais instrumentos regulamentares relacionados à instituição no que diz respeito ao Plano de Continuidade de Negócios.
Art. 7º A leitura do presente PCN deve se orientar conforme os seguintes conceitos e definições:
I - Ameaça: Causa potencial de um incidente indesejado, que pode resultar em dano ao MPAP.
II - Ativo: É qualquer coisa que tenha valor para ao MPAP e precisa ser adequadamente protegido.
III - Ativo Intangível: Todo elemento que possui valor para ao MPAP e que esteja em suporte digital ou se constitua de forma abstrata, mas registrável ou perceptível, a exemplo, mas não se limitando à reputação, imagem, marca e conhecimento.
IV - Crise: É o momento em que ocorre qualquer incidente que comprometa a operação normal da empresa.
V - Contingência: Momento em que há a mobilização de recursos para responder ao evento e garantir a continuidade das atividades críticas durante este evento.
VI - Disponibilidade: Garantia de que as informações e os Recursos estejam disponíveis sempre que necessário e mediante a devida autorização para seu acesso ou uso.
VII - Incidente de Segurança da Informação: Ocorrência identificada de um estado de sistema, dados, informações, serviço ou rede que indica possível violação à Política de Segurança da Informação ou Normas complementares, falha de controles ou situação previamente desconhecida e que possa ser relevante à segurança da informação.
VIII - Informação: Conjunto de dados que, processados ou não, podem ser utilizados para produção, transmissão e compartilhamento de conhecimento, contidos em qualquer meio, suporte ou formato.
IX - Risco: Combinação da probabilidade da concretização de uma ameaça e seus potenciais impactos.
X - Segurança da Informação: Preservação da confidencialidade, integridade, disponibilidade, legalidade e autenticidade da informação. Visa proteger a informação e os Recursos que as contêm dos diversos tipos de ameaças para garantir a continuidade da finalidade institucional, minimizar os danos às suas atividades, além de maximizar o retorno dos investimentos e de novas oportunidades de transação.
Transcrição das páginas 2 e 3.
CAPÍTULO IV
Diretrizes Gerais
Art. 8º Este PCN e seus documentos complementares devem ser interpretados de forma restritiva, ou seja, as atividades que não estão tratadas nos normativos só devem ser realizadas após prévia e formal autorização da Chefia imediata do colaborador.
Art. 9º Este PCN e seus documentos complementares devem ser divulgados aos colaboradores envolvidos pela Assessoria de Comunicação, visando dar sua publicidade nas ações necessárias para cumprimento deste documento.
Art. 10. O MP-AP deve estabelecer perímetros de segurança para proteção de seus ativos tangíveis, além de implementar controles de identificação e registro antes do acesso aos seus ambientes físicos.
Art. 11. O MP-AP deve definir e manter um processo de salvaguarda das informações e dos dados necessários para completa recuperação dos seus sistemas (backup), a fim de atender os requisitos operacionais e legais, além de garantir a continuidade do negócio em caso de falhas ou incidentes ou sua recuperação o mais rápido possível.
Art. 12. O MP-AP deve analisar seus processos e Ativos em intervalos regulares, visando assegurar que estejam devidamente inventariados, assim como suas vulnerabilidades e ameaças de indisponibilidade mapeadas.
Art. 13. O andamento e o resultado de mudanças devem preservar os controles relacionados à disponibilidade, integridade, confidencialidade, autenticidade e legalidade das informações e somente devem ser realizados após aprovação do Departamento de Tecnologia da Informação, sobretudo nos sistemas e na infraestrutura tecnológica do MPAP.
Art. 14. Os procedimentos de gestão da Continuidade de Negócios devem ser executados em conformidade com os requisitos de segurança da informação para garantir a proteção das informações e dos ativos críticos do MPAP.
Art. 15. O MPAP deve estabelecer um plano anual de capacitação direcionado ao desenvolvimento e manutenção das habilidades dos colaboradores sobre continuidade de negócios.
Art. 16. O MPAP deve possuir e manter um programa de revisão/atualização desta PCN e das Normas Complementares sempre que se fizer necessário, desde que não exceda o período máximo de 2 (dois) anos, visando a garantia que todos os requisitos de segurança técnicos e legais implementados estejam sendo cumpridos e atualizados.
Art. 17. As alterações desta PCN e das Normas Complementares devem ser devidamente comunicadas aos colaboradores diretamente envolvidos.
CAPÍTULO V
Competências e Responsabilidades
CAPÍTULO V
Competências e Responsabilidades
Art. 18. Cabe à Procuradoria Geral de Justiça do Estado do Amapá, dentre suas demais atribuições:
I - Analisar e aprovar o presente Plano de Continuidade de Negócios (PCN) e Normas Complementares.
Art. 19. Cabe ao Comitê Gestor do Plano de Segurança Institucional, dentre suas demais atribuições:
I - Fazer com que seus integrantes deem o exemplo no cumprimento do presente PCN, Normas Complementares e Procedimentos correspondentes a todos os colaboradores diretamente envolvidos.
II - Assessorar na implementação dos controles de continuidade de negócios estabelecidos no âmbito do MP-AP;
III - Analisar e discutir os documentos complementares a este PCN;
IV - Sugerir os investimentos em continuidade de negócios no MPAP, em conjunto com o CETI (Comitê Estratégico de Tecnologia da Informação)
considerando a viabilidade e os impactos de sua aplicação à qualidade dos processos da instituição;
V - Constituir, sempre que necessário, grupos de trabalho para tratar de temas e propor soluções específicas sobre Continuidade de Negócios;
VI - Propor normas e procedimentos internos relativos à Continuidade de Negócios, em conformidade com as legislações existentes sobre o tema.
Art. 20. Cabe ao Departamento de Tecnologia da Informação, dentre suas demais atribuições:
I - Realizar a gestão e manutenção dos Recursos de TIC de propriedade da MPAP ou que estão sob sua responsabilidade, identificando e avaliando os riscos relacionados à segurança da informação e adotando as melhores práticas para a sua gestão.
II - Promover e realizar a gestão de continuidade de negócios garantindo a implementação de controles, modelos, padrões e recursos necessários para a não interrupção de serviços essenciais;
III - Assessorar e gerenciar a implementação dos controles que serão estabelecidos pelo Comitê Gestor do Plano de Segurança Institucional, além de analisar questões específicas ao tema e auxiliar com a melhoria constante dos padrões e observância dos normativos de Segurança da Informação;
IV - Garantir que todos os Recursos críticos de TI utilizados pela MPAP atendam às recomendações de seus fabricantes ou desenvolvedores;
V - Identificar e avaliar os riscos relacionados à continuidade de negócios e propor melhorias;
VI - Definir, analisar e priorizar ações necessárias, balanceando custo e benefício;
VII - Realizar o registro e o monitoramento dos ambientes lógicos críticos (Datacenter, cpd, etc) do MP-AP;
VIII - Promover a capacitação dos colaboradores diretamente envolvidos no processo de continuidade de negócios em todas as unidades administrativas da instituição, com o auxílio do Gabinete Militar e Divisão de Engenharia e Arquitetura;
IX - Avaliar se os requisitos de continuidade de negócios estão presentes antes da aquisição, manutenção ou desenvolvimento de software;
X - Garantir que o andamento e o resultado de uma mudança, principalmente nos sistemas e infraestrutura tecnológica da MP-AP, preservem os controles relacionados à disponibilidade das informações;
XI - Elaborar e manter procedimentos de salvaguarda das informações e dos dados necessários para completa recuperação dos sistemas da MPAP;
XII - Assegurar que os procedimentos de gestão da Continuidade de Negócios sejam executados em conformidade com os requisitos de segurança da informação.
XIII - Analisar os incidentes de segurança da informação reportados e submeter relatório para deliberação do Comitê Gestor do Plano de Segurança Institucional, sempre que necessário.
Transcrição das páginas 5 e 6.
Art. 21. Cabe ao colaborador diretamente envolvido com o PCN, dentre suas demais atribuições:
I - Estar ciente e manter-se atualizado com este PCN e Normas Complementares;
II - Conhecer e assinar o "Termo de Ciência e Responsabilidade";
III - Utilizar os ativos de propriedade do MP-AP ou sob sua responsabilidade de acordo com as orientações do fabricante, do desenvolvedor e da instituição, com cuidado e zelo;
IV - Utilizar os ativos e informações do MP-AP somente para fins profissionais e de forma ética e legal, respeitando os direitos e as permissões de uso concedidas;
V - Preservar a integridade, a disponibilidade, a confidencialidade, a autenticidade e a legalidade das informações que por ele serão acessadas ou manipuladas, não as utilizando, enviando, transmitindo ou compartilhando indevidamente, em qualquer local ou mídia, inclusive na Internet;
VI - Não revelar qualquer informação de propriedade ou sob a responsabilidade do MP-AP sem a prévia e formal autorização, além de estar atento ao repassar ou transmitir informações para outras pessoas, seja de forma presencial, via telefone, comunicadores instantâneos, mensagens eletrônicas ou mídias sociais.
VII - Não divulgar, compartilhar, transmitir ou deixar-se conhecer informações a pessoas que não tenham nível de autorização suficiente;
VIII - Participar das campanhas, eventos ou atualizações promovidas sobre continuidade de negócios no âmbito desta instituição;
IX - Cumprir a legislação nacional vigente e demais instrumentos regulamentares relacionados às atividades profissionais;
X - Reportar formalmente ao Comitê Gestor do Plano de Segurança Institucional quaisquer eventos relativos à violação ou possibilidade de violação e/ou interrupção de serviços críticos ofertados pelo MP-AP.
CAPÍTULO VII
Disposições Finais
Art. 22. O presente documento deve ser lido e interpretado sob a égide das leis brasileiras, no idioma português, em conjunto com as Normas Complementares e Procedimentos vinculados.
Art. 23. Todos os documentos da Estrutura Normativa de Continuidade de Negócios do MPAP estão disponibilizados na pasta eletrônica do Departamento de TI na Intranet.
Art. 24. Qualquer dúvida relativa a esta PCN deve ser encaminhada ao Departamento de Tecnologia da Informação por meio do endereço eletrônico: dti@mpap.mp.br.
Art. 25. Casos omissos ou esclarecimentos desta PSI, Normas Complementares ou Procedimentos do MP-AP são de exclusiva responsabilidade do Comitê Gestor do Plano de Segurança Institucional e passíveis de aprovação pela Procuradoria Geral de Justiça do Estado do Amapá, conforme o caso.
Art. 26. Este Ato entra em vigor na data de sua publicação.
Macapá, 15 de dezembro de 2016.
ROBERTO DA SILVA ALVARES
Procurador-Geral de Justiça
Atos que alteram, regulamentam ou revogam este Ato Normativo da Procuradoria Geral:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por este Ato Normativo da Procuradoria Geral:
Nenhum Ato.