Sistema de Gestão em Segurança da Informação baseado em riscos

I – estabelecer todas as ações que possibilitem maior eficiência, ou seja, capacidade de responder de forma satisfatória a incidentes de segurança, permitindo a contínua prestação dos serviços essenciais a cada órgão;

II – instituir e manter Equipe de Tratamento e Resposta a Incidentes de Segurança Cibernética (ETIR);

III – elaborar e aplicar processo de resposta e tratamento a incidentes de segurança cibernética que contenha, entre outros, procedimento de continuidade do serviço prestado e seu rápido restabelecimento, além de comunicação interna e externa;

IV – utilizar tecnologia que possibilite a análise consolidada dos registros de auditorias coletados em diversas fontes de ativos de informação e de ações de usuários, permitindo automatizar ações de segurança e oferecer inteligência à análise de eventos de segurança;

V – utilizar tecnologia que permita a inteligência em ameaças cibernéticas em redes de informação; especialmente em fóruns, inclusive da iniciativa privada e comunidades virtuais da internet;

VI – providenciar a realização de cópias de segurança atualizadas e segregadas de forma automática em local protegido, em formato que permita a investigação de incidentes;

VII – elaborar requisitos específicos de segurança cibernética relativos aos ativos sob sua jurisdição, incluindo ambientes centralizados, endpoints, equipamentos intermediários ou finais conectados em rede ou a algum sistema de comunicação, inclusive computadores portáteis e telefones celulares;

VIII – elaborar requisitos específicos de segurança cibernética relacionados com o trabalho remoto;

IX – adotar práticas e requisitos de segurança cibernética no desenvolvimento de novos projetos, tais como dupla verificação do acesso externo;

X – realizar, ao menos semestralmente, avaliação e testes de conformidade em segurança cibernética de forma a aferir a eficácia dos controles estabelecidos;

XI realizar prática em gestão de incidentes e efetivar o aprimoramento contínuo do processo; e

XII – estabelecer troca de informações e boas práticas com outros membros do poder público em geral e do setor privado com objetivo colaborativo.

I – implementar, no que lhe couber, a Política de Segurança Cibernética do Poder Judiciário;

II – elaborar a Política de Segurança da Informação e normas internas correlatas ao tema, observadas as normas de segurança da informação editadas pelo CNJ;

III – destinar recursos orçamentários específicos para as ações de segurança da informação;

IV – promover ações de capacitação e profissionalização dos recursos humanos em temas relacionados à segurança da informação;

V – instituir e implementar ETIR, que comporá a rede de equipes vinculadas ao CPTRIC-PJ;

VI – coordenar e executar as ações de segurança da informação no âmbito de sua atuação; e

VII – aplicar as ações corretivas e disciplinares cabíveis nos casos de violação da segurança da informação.

I – assessorar a alta administração do órgão do Poder Judiciário em todas as questões relacionadas à segurança da informação;

II – propor alterações na política de segurança da informação e deliberar sobre assuntos a ela relacionados, incluindo atividades de priorização de ações e gestão de riscos de segurança;

III – propor normas internas relativas à segurança da informação;

IV – constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação; e

V – consolidar e analisar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação.

§ 1º o O CGSI será coordenado pela autoridade responsável pela segurança da informação no respectivo órgão do Poder Judiciário, nomeado por seu presidente.

§ 2º Os órgãos do Poder Judiciário, com exceção do STF, editarão atos para definir a forma de funcionamento dos respectivos CGSIs, observado o disposto nesta Resolução e na legislação de regência.

§ 1º O titular da estrutura prevista no caput deste artigo será o gestor de segurança da informação do órgão.

§ 2º O gestor de segurança da informação terá as seguintes atribuições:

I – instituir e gerir o Sistema de Gestão de Segurança da Informação;

II – implementar controles internos fundamentados na gestão de riscos da segurança da informação;

III – planejar a execução de programas, de projetos e de processos relativos à segurança da informação com as demais unidades do órgão;

IV – implantar procedimento de tratamento e resposta a incidentes em segurança da informação; e

V – observar as normas e os procedimentos específicos aplicáveis em consonância com os princípios e as diretrizes desta Resolução e da legislação de regência.

I – a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ);

II – o Protocolo de Prevenção de Incidentes Cibernéticos no âmbito do Poder Judiciário (PPINC-PJ);

III – o Protocolo de Gerenciamento de Crises Cibernéticas no âmbito do Poder Judiciário (PGCC-PJ);

IV – o Protocolo de Investigação para Ilícitos Cibernéticos no âmbito do Poder Judiciário (PIILC-PJ).

§ 1º Os protocolos previstos neste artigo deverão ser revisados sempre que necessário, por ato do Presidente do CNJ.

§ 2º Além dos protocolos previstos nesta Resolução, serão aprovados por ato do Presidente do CNJ os Manuais de Referência para o gerenciamento, controle e padrões necessários ao aperfeiçoamento da segurança cibernética.

I – realizar a Gestão dos Ativos de Informação e da Política de Controle de Acesso;

II – criar controles para o tratamento de informações com restrição de acesso;

III – promover treinamento contínuo e certificação internacional dos profissionais diretamente envolvidos na área de segurança cibernética;

IV – estabelecer requisitos mínimos de segurança cibernética nas contratações e nos acordos que envolvam a comunicação com outros órgãos;

V – utilizar os recursos de soluções de criptografia, ampliando o uso de assinatura eletrônica, conforme legislações específicas; e

VI – comunicar e articular as ações de segurança da informação com a alta administração do órgão.

I – gerenciamento de identidades;

II – gerenciamento de acessos; e

III – gerenciamento de privilégios.

I – Prevenção de Incidentes Cibernéticos do Poder Judiciário (PPINC-PJ);

II – Gerenciamento de Crises Cibernéticas do Poder Judiciário (PGCRC-PJ); e

III – Investigação de Ilícitos Cibernéticos do Poder Judiciário (PIILC-PJ).

I – Proteção de Infraestruturas Críticas de TIC;

II – Prevenção e Mitigação de Ameaças Cibernéticas e Confiança Digital;

III – Gestão de Identidades; e

IV – Política de Educação e Cultura em Segurança Cibernética do Poder Judiciário.

Prevenção

PORTARIA TJMT-PRES Nº 1.167, DE 3 DE NOVEMBRO DE 2022 - ETIR

Minuta de criação do Comitê de Crises

Protocolo Investigação de Ilícitos Cibernéticos do Poder Judiciário (PIILC-PJ) - CNJ

Processo de Gestão da Política de Segurança

Processo de Gestão de Incidentes de Segurança da Informação

Processo Gerir Riscos de TIC