Susep cria política para combater vulnerabilidades na área de TI

A Susep publicou a Resolução 89/26, que institui a Política de Gestão de Vulnerabilidades de Tecnologia da Informação (TI) no âmbito da autarquia. O objetivo da medida é estabelecer diretrizes, processos e responsabilidades para a identificação, avaliação, priorização, tratamento e comunicação de vulnerabilidades.

O processo será contínuo e estruturado, incluindo o mapeamento dos ativos de TI, de suas vulnerabilidades e das medidas de tratamento cabíveis. O programa não se aplicará apenas aos ativos que não possuam capacidade técnica para realização de análises de vulnerabilidade de TI; estejam sujeitos a restrições contratuais ou normativas que impeçam a execução dessas análises; e sejam considerados tecnicamente inviáveis para fins de gestão de vulnerabilidades de TI.

A nova política vai observar os seguintes princípios: proteção da confidencialidade, integridade, disponibilidade, autenticidade e irretratabilidade das informações sob responsabilidade da Susep; alinhamento à Política de Segurança da Informação da Susep; e conformidade com os dispositivos legais, infralegais e com as melhores práticas aplicáveis em gestão de vulnerabilidades de TI.

Entre as principais etapas desse processo constam o mapeamento de ativos; a identificação e avaliação das vulnerabilidades; e a comunicação dos resultados das ações do ciclo de gestão.

A consistência e a eficácia do processo de gestão de vulnerabilidades deverão ser avaliadas por meio de indicadores e métricas definidos pelo Gestor de Segurança da Informação, em conjunto com a área de segurança da informação.

 Todas as unidades de TI deverão colaborar com o fornecimento dos dados necessários à manutenção do mapeamento de ativos.

As vulnerabilidades de TI identificadas deverão ser avaliadas e classificadas com base na gravidade, alcance e risco que representam para a Susep.

As atividades de gestão de vulnerabilidades deverão ser implementadas de forma gradual, observado o prazo máximo de vinte e quatro meses, contado da data de sua publicação, sob coordenação da área responsável pela segurança da informação.