Resolução BCB N° 287

RESOLUÇÃO
BCB Nº 287, DE 24 DE JANEIRO DE 2023

Divulga
a Política de Segurança da Informação do Banco Central do Brasil (PSIBC).

O Comitê de Governança,
Riscos e Controles (GRC) do Banco Central do Brasil, no uso das suas atribuições,
com base no art. 11, parágrafo único, e art. 132, inciso VII, alínea “a”, do
Regimento Interno, anexo à Portaria nº 84.287, de 27 de fevereiro de 2015, e tendo em vista o
disposto no Voto GRC 71/2023, de 24 de janeiro de 2023,

R E S O L V E :

Art. 1º  Fica
divulgada a Política de Segurança da Informação do Banco Central do Brasil
(PSIBC), anexa a esta Resolução.

Art. 2º O Presidente
do Comitê de Segurança (Coseg) pode editar os atos complementares necessários
para o cumprimento da PSIBC.

Art. 3º  Fica
revogada a Resolução BCB nº 115, de 14 de julho de 2021.

Art. 4º  Esta
Resolução entra em vigor
em 1º de fevereiro de 2023.

Carolina de Assis
Barros
Diretora de
Administração

 

 

POLÍTICA DE SEGURANÇA
DA INFORMAÇÃO DO BANCO CENTRAL DO BRASIL (PSIBC), ANEXA À RESOLUÇÃO BCB Nº 287,
DE 24 DE JANEIRO DE 2023

CAPÍTULO I
DAS FINALIDADES

Seção I
Dos Objetivos

Art. 1º  A Política
de Segurança da Informação do Banco Central do Brasil (PSIBC) estabelece
diretrizes, responsabilidades e ações para a sua gestão e tem por objetivo
assegurar:

I
- a segurança cibernética;

II
- a segurança física e a proteção de dados organizacionais; e

III - a disponibilidade, a integridade, a
confidencialidade, a autenticidade da informação e a proteção de dados
pessoais.

Art. 2º  A PSIBC tem
os seguintes propósitos:

I - atender às exigências legais e normativas
aplicáveis à Administração Pública Federal;

II - orientar as ações necessárias à garantia
da segurança da informação;

III - definir competências e atribuições
decorrentes; e

IV - servir de referência para efeitos de
auditoria e corregedoria.

Art. 3º  A
PSIBC abrange:

I - as áreas de negócio do Banco Central do
Brasil em todas as praças;

II - os conhecimentos tácitos e os
explícitos;

III - os meios físicos;

IV - a Tecnologia da Informação e Comunicação
(TIC) do Banco Central do Brasil;

V - os projetos, as ações e as atividades de
trabalho exercidos dentro ou fora das instalações do Banco Central do Brasil; e

VI - os dirigentes, os servidores, os
terceirizados, os estagiários, os aprendizes, os prestadores de serviço e os
visitantes.

Seção II
Das Definições

Art. 4º  Para os fins
da PSIBC, consideram-se as seguintes definições:

I - administrador de recurso de TIC: pessoa
responsável pela administração e manutenção de um recurso de TIC;

II - ameaça: conjunto
de fatores externos ou causa potencial de um incidente indesejado que pode
resultar em dano para um sistema ou organização;

III
- ativo de informação: os meios, os locais, os equipamentos e os sistemas de
armazenamento, transmissão e processamento da informação;

IV - autenticidade: propriedade pela qual se
assegura que a informação foi produzida ou expedida, modificada ou destruída
por uma pessoa natural, equipamento, sistema, órgão ou entidade;

V - autoridade de
monitoramento da Lei de Acesso à Informação (LAI): autoridade diretamente
subordinada ao dirigente máximo do órgão ou entidade da Administração Pública
Federal direta e indireta, indicada para acompanhar o cumprimento da LAI e de
seus regulamentos, na forma do art. 40 da Lei nº 12.527, de 18 de novembro de
2011;

VI - ciclo de vida da informação: conjunto de
fases composto por planejamento ou pré-produção, produção, divulgação,
transporte, armazenamento e descarte de informação ou documento;

VII - classificação:
atribuição, pela autoridade competente, de grau de sigilo reservado, secreto ou
ultrassecreto a informação que necessite de restrição de acesso temporária, na
forma do art. 23 da Lei nº 12.527, de 2011;

VIII - confidencialidade:
propriedade pela qual se assegura que a informação não esteja disponível ou não
seja revelada a pessoa, sistema, órgão ou entidade não autorizados nem
credenciados;

IX - credencial de segurança: certificado que
autoriza pessoa para o tratamento de informação classificada;

X - criptografia:
conjunto de técnicas pelas quais a informação pode ser transformada da sua
forma original para outra ilegível, de forma que possa ser conhecida apenas por
seu destinatário, tornando impraticável a leitura por pessoa não autorizada;

XI - dado: forma primária de informação, que
não foi processada, correlacionada, integrada, avaliada, interpretada ou
atribuída qualquer sentido inerente em si mesma;

XII - dado pessoal:
informação relacionada a pessoa natural identificada ou identificável;

XIII - dado pessoal
sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa,
opinião política, filiação a sindicato ou a organização de caráter religioso,
filosófico ou político, dado referente à saúde ou à vida sexual, dado genético
ou biométrico, quando vinculado a uma pessoa natural;

XIV - disponibilidade: propriedade pela qual
se assegura que a informação esteja acessível e utilizável sob demanda por uma
pessoa natural ou determinado sistema, órgão ou entidade devidamente
autorizados;

XV - encarregado de dados pessoais: pessoa
indicada pelo controlador ou pelo operador para atuar como canal de comunicação
entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção
de Dados (ANPD);

XVI - Equipe de Prevenção, Tratamento e
Resposta a Incidentes em Redes Computacionais (Etir): grupo de pessoas com a
responsabilidade de receber, analisar e responder as notificações e atividades
relacionadas a incidentes de segurança em redes de computadores;

XVII - gestor de segurança e credenciamento:
responsável pela segurança da informação classificada em qualquer grau de
sigilo no órgão de registro e nos postos de controle, devidamente credenciado;

XVIII - gestor de segurança da informação:
coordenador, no âmbito do Comitê de Segurança (Coseg), nos assuntos
relacionados à segurança da informação;

XIX - incidente de
segurança: ação ou omissão, intencional ou acidental, que resulta no
comprometimento da segurança da informação;

XX - incidente
cibernético: ação ou omissão, intencional ou acidental, que resulta no
comprometimento da segurança cibernética;

XXI - informação:
dados, processados ou não, que podem ser utilizados para produção e transmissão
de conhecimento, contidos em qualquer meio, suporte ou formato;

XXII - informação
sigilosa: informação submetida à restrição de acesso público por estar
abrangida por hipótese de sigilo legal;

XXIII - informação
classificada: informação submetida temporariamente à restrição de acesso público
em razão de sua imprescindibilidade à segurança da sociedade ou do Estado,
classificada como ultrassecreta, secreta ou reservada;

XXIV - informação de
acesso restrito: informação sigilosa, informação classificada e as demais
informações que devem ser protegidas de forma a preservar os princípios da
PSIBC, sem prejuízo das legislações específicas;

XXV - integridade:
propriedade pela qual se assegura que a informação não foi modificada ou
destruída de maneira não autorizada ou acidental;

XXVI - irretratabilidade:
princípio de segurança da informação por meio do qual é garantido o não repúdio
às informações fornecidas;

XXVII - necessidade
de conhecer: condição segundo a qual o conhecimento da informação de acesso
restrito é indispensável para o adequado exercício de cargo, função, emprego ou
atividade;

XXVIII - privilégio mínimo: conjunto mínimo
de permissões necessárias em um ativo de informação para que um usuário possa
realizar suas atividades de trabalho;

XXIX - recurso de
TIC: qualquer ativo de informação usado para o tratamento de dados e
informações em meio digital;

XXX - regime não
presencial: modalidade em que o usuário executa suas atribuições integral ou
parcialmente fora das dependências físicas do Banco Central do Brasil;

XXXI - regime presencial:
modalidade em que o usuário executa suas atribuições integralmente nas
dependências físicas do Banco Central do Brasil;

XXXII - resiliência
cibernética: capacidade de identificação, prevenção, detecção, resposta e
recuperação a incidentes cibernéticos;

XXXIII - risco:
definido como a quantificação da incerteza, no contexto da segurança da
informação pode ser entendido como o potencial associado à exploração de uma ou
mais vulnerabilidades de um ativo de informação ou de um conjunto desses ativos,
por parte de uma ou mais ameaças, com impacto negativo no negócio da
organização;

XXXIV - risco
cibernético: exposição a danos e perdas resultantes da ocorrência de incidentes
cibernéticos;

XXXV - rotulação:
atribuição, por pessoa competente, de rótulo a dado ou informação visando ao
estabelecimento de níveis adequados de proteção;

XXXVI - segurança da informação: ações que
objetivam viabilizar e assegurar a disponibilidade, a integridade, a
confidencialidade e a autenticidade das informações;

XXXVII - segurança cibernética: ações
voltadas para preservar a disponibilidade, a integridade, a confidencialidade e
a autenticidade, bem como os demais princípios da PSIBC, dos recursos de TIC do
Banco Central do Brasil e de dados e informações tratados nesses recursos;

XXXVIII - tratamento:
toda operação realizada com dados, como as que se referem a coleta, produção,
recepção, classificação, utilização, acesso, reprodução, transmissão,
distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação
ou controle da informação, modificação, comunicação, transferência, difusão ou
extração;

XXXIX - usuários: dirigentes, servidores,
terceirizados, estagiários, aprendizes, prestadores de serviço e visitantes que
de alguma forma possam ter acesso a ativos de informação do Banco Central do
Brasil; e

XL - vulnerabilidade:
conjunto de fatores internos ou causa potencial de um incidente indesejado que
podem resultar em risco para um sistema ou organização e que podem ser evitados
por uma ação interna de segurança da informação.

Seção III
Das Referências Legais
e Normativas

Art. 5º  Os conceitos
e as ações desenvolvidas no âmbito da PSIBC são regidos pelas seguintes normas:

I - Decreto nº 9.637, de 26 de dezembro de
2018, que institui a Política Nacional de Segurança da Informação (PNSI) e
dispõe sobre a governança da segurança da informação;

II - Decreto nº 10.222, de 5 de fevereiro de
2020, que aprova a Estratégia Nacional de Segurança Cibernética;

III - Instrução
Normativa GSI/PR nº 1, de 27 de maio de 2020, do Gabinete de Segurança
Institucional da Presidência da República, que dispõe sobre a Estrutura de
Gestão da Segurança da Informação nos órgãos e nas entidades da administração
pública federal;

IV - Instrução
Normativa GSI/PR nº 2, de 5 de fevereiro de 2013, que dispõe sobre o
credenciamento de segurança para o tratamento de informação classificada, em
qualquer grau de sigilo, no âmbito do Poder Executivo Federal, bem como sua
Norma Complementar nº 01/IN02/DSIC/GSIPR, de 27 de junho de 2013;

V - Instrução Normativa GSI/PR nº 3, de 6 de
março de 2013, que dispõe sobre os parâmetros e padrões mínimos dos recursos
criptográficos baseados em algoritmos de Estado para criptografia da informação
classificada no âmbito do Poder Executivo Federal;

VI - Normas Técnicas
NBR ISO/IEC 27001 e NBR ISO/IEC 27002, da Associação Brasileira de Normas
Técnicas (ABNT), que instituem o código de melhores práticas para gestão de
segurança da informação;

VII - Código de Conduta dos Servidores do
Banco Central do Brasil;

VIII - Código de Conduta da Alta
Administração Federal;

IX - Código de Ética Profissional do Servidor
Público Civil do Poder Executivo Federal, anexo ao Decreto nº 1.171, de 22 de
junho de 1994;

X - Lei nº 8.112, de
11 de dezembro de 1990, que dispõe sobre o regime jurídico dos servidores civis
da União, das autarquias e das fundações públicas federais;

XI - Lei nº 12.527, de 18 de novembro de
2011, Lei de Acesso à Informação (LAI);

XII - Decreto nº
7.724, de 16 de maio de 2012, que regulamenta a Lei nº 12.527, de 2011;

XIII - Decreto nº 7.845, de 14 de novembro de
2012, que regulamenta procedimentos para credenciamento de segurança e
tratamento de informação classificada em qualquer grau de sigilo, e dispõe
sobre o Núcleo de Segurança e Credenciamento; e

XIV - Lei nº 13.709,
de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD).

CAPÍTULO II
DOS PRINCÍPIOS

Art. 6º  A PSIBC é
regida pelos seguintes princípios da segurança da informação:

I - disponibilidade;

II - integridade;

III -
confidencialidade;

IV - autenticidade;

V -
irretratabilidade;

VI - privilégio
mínimo;

VII - necessidade de
conhecer;

VIII - proteção de
dados pessoais; e

IX - proteção da
privacidade.

CAPÍTULO III
DAS DIRETRIZES

Seção I
Das Diretrizes Gerais

Art. 7º  A PSIBC deve
ser conhecida e observada por todos os usuários.

Art. 8º  Os níveis
gerenciais devem zelar pelo cumprimento da PSIBC no âmbito de sua competência.

Art. 9º  Os segmentos
de pessoas, de áreas e instalações, de TIC, de documentação e materiais, bem
como de gestão de riscos e continuidade de negócios, devem dedicar especial
atenção aos aspectos de segurança da informação dispostos na PSIBC.

Art. 10.  O Banco
Central do Brasil deve contribuir para a evolução do ecossistema de segurança
da informação, mediante a colaboração e o compartilhamento de informações com
as autoridades competentes, a sociedade e o Sistema Financeiro Nacional (SFN),
na forma da legislação de regência.

Art. 11. Durante todo
o ciclo de vida da informação, devem ser observados o atendimento à PSIBC e os
princípios definidos no art. 6º.

Seção II
Da Rotulação e Classificação
dos Dados e da Informação

Art. 12.  Toda
informação tratada no âmbito do Banco Central do Brasil deve ser considerada
pública, salvo as informações de acesso restrito e os dados pessoais, inclusive
os sensíveis, que devem ser devidamente rotulados ou classificados de forma a
indicar essa condição.

Parágrafo único.  A
informação tratada pelo Banco Central do Brasil pode ser classificada como
reservada, secreta ou ultrassecreta, observado o seu teor, em razão de sua
imprescindibilidade à segurança da sociedade ou do Estado, na forma da
legislação vigente.

Art. 13.  O acesso e
o tratamento da informação de acesso restrito ficam limitados às pessoas que
tenham necessidade de conhecê-la.

Parágrafo único.  No
caso de informação classificada, o acesso e o tratamento ficam condicionados
ainda ao prévio credenciamento ou à assinatura de Termo de Compromisso de
Manutenção de Sigilo (TCMS), na forma da legislação própria.

Seção III
Do Segmento de Pessoas

Art. 14.  Os
servidores do Banco Central do Brasil devem receber orientações ou instruções sobre
segurança da informação por meio de ações educacionais no período de
ambientação, formação inicial e continuada.

Parágrafo único.  Os
demais usuários do Banco Central do Brasil devem receber, no que couber,
instruções e orientações relacionadas à segurança da informação.

Art. 15.  Os
contratos, acordos, convênios e demais ajustes do Banco Central do Brasil com
pessoas naturais ou entidades privadas devem conter cláusulas referentes ao
cumprimento da PSIBC e à observância dos procedimentos de segurança para
tratamento da informação de acesso restrito, dos dados pessoais e dos dados
pessoais sensíveis pelos seus empregados, prepostos ou representantes, sem
prejuízo da participação em orientações complementares de segurança da
informação.

Parágrafo único.  O
disposto neste artigo aplica-se, no que couber, aos contratos, acordos,
convênios e demais ajustes do Banco Central do Brasil com órgãos e entidades
públicos e com organismos internacionais.

Art. 16.  Medidas e
procedimentos de segurança da informação devem ser observados em todo o
processo de admissão, alocação, transferência, remanejamento, promoção,
substituição, afastamento, sucessão e desligamento de dirigentes, servidores,
terceirizados, prestadores de serviço, aprendizes e estagiários.

Seção IV
Do Segmento de Áreas
e Instalações

Art. 17.  As áreas e
instalações que contiverem informação de acesso restrito, dados pessoais ou
dados pessoais sensíveis têm seu acesso limitado apenas às pessoas autorizadas.

Art. 18.  Devem ser
adotadas medidas para definição, demarcação, sinalização, segurança e
autorização de acesso às áreas restritas.

Art. 19.  As pessoas
que necessitam ingressar em ambientes para a realização de obras ou para a
prestação de serviços dependem de autorização prévia e, sempre que necessário, são
acompanhadas por servidor do Banco Central do Brasil ou outro agente
autorizado, inclusive fora dos horários de expediente.

Art. 20.  A entrada e
a saída de pessoas, documentos, objetos e materiais nas áreas e nas instalações
do Banco Central do Brasil obedecem a medidas e procedimentos de segurança que
auxiliem na mitigação dos riscos à segurança da informação.

Art. 21.  As áreas de
acesso público são, preferencialmente, isoladas fisicamente das áreas de
trabalho ou devem possuir medidas de segurança complementares.

Seção V
Do Segmento de TIC

Art. 22.  O segmento
de TIC compreende os ativos de informação do Banco Central do Brasil usados
para o tratamento da informação em meio digital.

§ 1º  Normas
complementares pertinentes ao segmento de TIC podem ser publicadas pelo
Departamento de Tecnologia da Informação (Deinf) e disponibilizadas aos
usuários como parte integrante da PSIBC.

§ 2º  O uso seguro
dos recursos de computação em nuvem deve ser objeto de norma específica.

§ 3º  As normas devem
ter como prioridade a segurança das informações da organização, bem como o
atendimento aos princípios e diretrizes que norteiam a PSIBC.

Art. 23.  Todas as
soluções de TIC desenvolvidas ou adquiridas pelo Banco Central do Brasil,
inclusive as que se encontram em uso, devem considerar os princípios previstos
no art. 6º.

Art. 24.  Os recursos
de TIC do Banco Central do Brasil são disponibilizados visando ao atendimento
das atividades voltadas aos objetivos institucionais.

Parágrafo único.  É
vedada a utilização dos recursos de TIC do Banco Central do Brasil para
constranger, assediar, ofender, caluniar, ameaçar ou causar prejuízos de ordem
moral, econômica ou financeira a qualquer pessoa natural ou jurídica, ou para
veicular opiniões político-partidárias.

Art. 25.  O usuário tem
acesso autorizado apenas aos recursos de TIC necessários e indispensáveis ao
seu trabalho.

Art. 26.  O usuário
de recursos de TIC deve ter identificação pessoal e intransferível.

Art. 27.  Não há
privacidade em relação a informações contidas em arquivos, bases de dados,
mensagens ou em qualquer outro recurso de TIC utilizado para seu tratamento, à
exceção de eventuais informações de acesso restrito, dados pessoais ou dados
pessoais sensíveis.

§ 1º  A
Corregedoria-Geral do Banco Central do Brasil (Coger), a Procuradoria-Geral do
Banco Central (PGBC), a Comissão de Ética do Banco Central do Brasil (CEBCB) ou
as comissões disciplinares podem ter acesso a quaisquer dados e informações
tratados nos recursos de TIC do Banco Central do Brasil, desde que haja
sindicância investigativa ou acusatória ou outro procedimento disciplinar ou
ético instaurado, em qualquer de suas modalidades.

§ 2º  O conteúdo dos
aplicativos e programas de mensagens instantâneas e o conteúdo dos e-mails
recebidos ou enviados a partir das caixas corporativas, de uso individual ou
compartilhado, bem como o conteúdo dos arquivos de dados criados pelos
aplicativos usados para ler e-mails, independentemente do local de
armazenamento, somente pode ser acessado pelo Deinf mediante solicitação formal
da Coger, da PGBC, da CEBCB ou das comissões de sindicância ou disciplinares,
para esclarecimentos de fatos que, em tese, configurem irregularidade funcional
ou ética, ou da PGBC, para comunicação de crimes ou contravenções às autoridades
competentes ou para o cumprimento de preceito legal ou ordem judicial ou
emanada de outra autoridade competente, na forma da legislação de regência.

Art. 28.  Os
administradores dos recursos de Tecnologia da Informação (TI) devem ter apenas
os acessos necessários à execução das atividades de trabalho sob sua
responsabilidade.

Art. 29.  Devem ser mantidas
cópias atualizadas das contas do correio eletrônico do Banco Central do Brasil,
incluindo todas as mensagens trafegadas, por pelo menos cinco anos.

Art. 30.  As
informações do Banco Central do Brasil em meio digital devem ser armazenadas em
locais autorizados e com as proteções recomendadas pelo Deinf, conforme
definido em norma específica.

Art. 31.  O Deinf
pode restringir o acesso a recursos de TIC do Banco Central do Brasil, como o
acesso a sítios e o recebimento de e-mails, quando houver indício de risco à
segurança da informação, considerando os princípios previstos no art. 6º, ou
quando necessário ao tratamento de incidentes cibernéticos. 

Art. 32.  O uso dos
recursos de TI do Banco Central do Brasil é monitorado e registrado.

§ 1º  Norma
específica deve indicar os requisitos mínimos aplicáveis aos dados que devem
ser registrados e guardados para fins de tratamento e resposta a incidentes de
segurança.

§ 2º  O acesso aos
registros de que trata este artigo deve ser disponibilizado à Etir, aos
desenvolvedores e aos administradores e equipes de suporte dos recursos de TIC,
para execução das atividades de sua competência.

§ 3º  O acesso aos
registros relativos a atividades de usuários e ao uso de recursos de TIC
somente podem ser solicitados:

I - pelos usuários,
no caso de seus próprios registros;

II - pelos
respectivos gestores, no caso de uso de recursos de TIC;

III - pela Auditoria
Interna do Banco Central do Brasil (Audit), no caso de uso de recursos de TIC;
e

IV - pela Coger, pela
PGBC, pela CEBCB e pelas comissões de sindicância e outras de natureza
disciplinar, no caso dos registros das atividades de usuários e de uso de
recursos de TIC.

§ 4º  As solicitações
de que trata o § 3º devem ser devidamente formalizadas ao Deinf e devem conter
a justificativa motivada para tal solicitação.

Art. 33.  O acesso a
qualquer recurso de TIC pode ser suspenso, sempre que necessário à preservação
da segurança da informação do Banco Central do Brasil, visando ao atendimento
dos princípios previstos no art. 6º.

Seção VI
Do Segmento de Documentação
e Materiais

Art. 34.  As
informações rotuladas ou classificadas devem observar medidas e procedimentos
de segurança próprios, definidos em norma específica, aplicando-se, no que
couber, o disposto na PSIBC.

Art. 35.  Os ativos
de informação destinados ao descarte, seja o papel ou outras mídias, devem ser devidamente
inutilizados visando à segurança da informação e ao atendimento dos princípios
que regem a PSIBC.

Seção VII
Da Gestão de Riscos e
Continuidade de Negócios

Art. 36.  A segurança
da informação deve orientar os processos de levantamento, avaliação e
tratamento das vulnerabilidades e das ameaças capazes de deixar os ativos de
informação em situação de risco considerada inaceitável pelo Banco Central do
Brasil.

CAPÍTULO IV
DAS COMPETÊNCIAS E
ATRIBUIÇÕES

Art. 37.  Compete ao
Presidente do Banco Central do Brasil designar o Gestor de Segurança da Informação
(GSI) e o Gestor de Segurança e Credenciamento (GSC), bem como seus suplentes,
na forma da legislação vigente.

Art. 38.  Compete ao
Coseg:

I - assessorar as
instâncias competentes na implementação de ações de segurança da informação;

II - deliberar sobre temas e propor soluções
específicas sobre segurança da informação, podendo constituir grupos de
trabalho;

III - propor
alterações na PSIBC e em normas de segurança da informação no âmbito do Banco
Central do Brasil; e

IV - deliberar sobre normas internas de
segurança da informação que não estejam no âmbito de competência das demais
instâncias do Banco Central do Brasil.

Parágrafo único.  Ressalvadas
as competências específicas da Diretoria Colegiada, do Presidente, dos
Diretores, do GSI e do GSC, o Coseg é o órgão máximo de decisão em questões
relativas à gestão da segurança da informação no âmbito do Banco Central do
Brasil.

Art. 39.  Compete ao
GSI:

I - coordenar o Coseg, nos assuntos
relacionados à segurança da informação;

II - coordenar a elaboração da PSIBC e das
normas internas de segurança da informação;

III - assessorar a
Alta Administração na implementação da PSIBC;

IV - estimular ações de capacitação e de
profissionalização de recursos humanos em temas relacionados à segurança da
informação;

V - incentivar
estudos de novas tecnologias, bem como seus eventuais impactos relacionados à
segurança da informação;

VI - propor recursos necessários às ações de
segurança da informação;

VII
- aprovar e acompanhar a execução de ações, metas e planos estratégicos
relacionados à segurança da informação;

VIII - encaminhar
periodicamente à Diretoria Colegiada relatórios sobre a execução dos planos e
sobre os incidentes cibernéticos relevantes;

IX - verificar os
resultados dos trabalhos de auditoria sobre a gestão da segurança da informação;
e

X - comunicar
tempestivamente ao encarregado de dados pessoais a ocorrência de incidentes de
segurança que possam acarretar risco ou dano relevante aos titulares.

Art. 40.  Compete ao
GSC:

I - propor normas
relacionadas aos processos de rotulação e classificação da informação;

II - propor normas
relacionadas aos processos de credenciamento de segurança para tratamento da
informação classificada, com base na legislação e nas normas vigentes;

III - credenciar ou
dispor sobre o credenciamento dos usuários que podem ter acesso à informação
classificada;

IV - fiscalizar o cumprimento da legislação e
das normas de credenciamento e de tratamento da informação; e

V - assessorar a Diretoria Colegiada do Banco
Central do Brasil em assuntos relacionados ao tratamento de informação
classificada, em qualquer grau de sigilo.

Art. 41.  Compete à
Autoridade de Monitoramento da LAI, no âmbito da segurança da informação:

I - orientar as
unidades no que se refere ao cumprimento do disposto na LAI e em seus
regulamentos; e

II - acompanhar os pedidos de acesso à
informação e os processos de classificação, reclassificação e desclassificação
da informação.

Art. 42.  Compete ao
encarregado de dados pessoais, no âmbito da segurança da informação, sem
prejuízo das demais atribuições:

I - orientar os
dirigentes, servidores e contratados no que diz respeito às práticas a serem
tomadas em relação à proteção de dados pessoais; e

II - comunicar à ANPD
e ao titular dos dados pessoais a ocorrência de incidente de segurança que
possa acarretar risco ou dano relevante a esses dados.

Art. 43.  Compete ao
Deinf:

I
- propor alterações na PSIBC;

II - elaborar e publicar Manuais e
Procedimentos, como parte integrante da PSIBC, relativos aos aspectos de
segurança cibernética do uso dos recursos de TIC do Banco Central do Brasil;

III - revisar os
Manuais e Procedimentos, ao menos anualmente;

IV - propor a norma específica sobre o uso
seguro dos recursos de computação em nuvem;

V - realizar ações
para o desenvolvimento da cultura de segurança cibernética;

VI - prover os recursos de TIC necessários à
devida execução da PSIBC;

VII - realizar e acompanhar estudos de novas
tecnologias, bem como seus eventuais impactos relacionados à segurança
cibernética;

VIII - mensurar, ao
menos anualmente, a resiliência cibernética e os riscos cibernéticos; e
encaminhar ao Departamento de Riscos Corporativos e Referências Operacionais
(Deris), após a mensuração, relatório com a avaliação do risco cibernético e da
resiliência cibernética;

IX - propor ao GSI
metas e planos relacionados à segurança cibernética;

X - executar ações
que visam ao cumprimento das metas e dos objetivos estabelecidos nos planos
aprovados pelo GSI, sem prejuízo das demais ações relacionadas à segurança
cibernética, e encaminhar, ao menos semestralmente, ao GSI relatórios sobre o
andamento dessas ações;

XI - fornecer as informações necessárias para
a área responsável pela elaboração do Relatório de Impacto à Proteção de Dados
Pessoais;

XII - fornecer
mensalmente ao Deris relatórios com os incidentes cibernéticos relevantes;

XIII - manter a Etir;

XIV - fornecer as
informações sobre os incidentes cibernéticos relevantes, oriundas da Etir,
necessárias ao GSI para a tomada de decisões; e

XV - fomentar o aprimoramento da resiliência
cibernética do SFN.

Art. 44.  Compete ao
Departamento de Segurança (Deseg):

I - assessorar na
implantação das ações relacionadas com a PSIBC;

II - planejar as ações necessárias para
assegurar a proteção física de áreas e instalações, visando ao cumprimento da
PSIBC;

III - propor alterações na PSIBC;

IV - disseminar a
cultura de segurança da informação no Banco Central do Brasil;

V - prover os equipamentos e a infraestrutura
necessários à devida aplicação da PSIBC, no âmbito de sua competência; e

VI - elaborar e
publicar normas complementares relativas aos aspectos de segurança da
informação que não estejam no âmbito de competência das demais unidades do
Banco Central do Brasil.

Art. 45.  Compete ao
Departamento de Infraestrutura e Gestão Patrimonial (Demap):

I - prover os equipamentos e a infraestrutura
necessários à devida aplicação da PSIBC, no âmbito de sua competência;

II - implantar as ações necessárias para
assegurar a proteção e a recuperação das informações disponíveis no sistema de
arquivamento e transporte de documentos; e

III - assessorar na
implantação das ações relacionadas com a PSIBC.

Art. 46.  Compete ao
Departamento de Gestão de Pessoas, Educação, Saúde e Organização (Depes) implantar, no seu
âmbito de atuação, as ações educacionais destinadas aos servidores do Banco
Central do Brasil necessárias ao cumprimento da PSIBC.

Art. 47.  Compete à
Coger, à PGBC e à CEBCB, no âmbito de suas atribuições, aplicar as ações
corretivas e disciplinares cabíveis nos casos de descumprimento das disposições
da PSIBC e das normas a ela relacionadas.

Art. 48.  São
atribuições do Procurador-Geral, do Secretário-Executivo, do Chefe de Gabinete
do Presidente, dos Procuradores-Gerais Adjuntos, dos Secretários-Executivos
Adjuntos, dos Chefes de Unidade e titulares de funções equivalentes e dos
Gerentes Administrativos:

I - contribuir para o cumprimento da PSIBC
pelos servidores lotados em componentes a eles subordinados e demais usuários
dos ativos de informação de sua unidade;

II - observar as
medidas e os procedimentos de segurança e acesso à informação nos processos de
admissão, alocação, transferência, remanejamento, promoção, substituição,
afastamento, sucessão e desligamento de servidores, terceirizados, prestadores
de serviço, aprendizes e estagiários;

III - dar ciência ao
Coseg de qualquer ato que possa causar risco relevante à segurança da
informação no âmbito do Banco Central do Brasil;

IV - definir e implantar, em conjunto com o
Deseg, eventuais necessidades de restrição de acesso a áreas e instalações sob
sua responsabilidade, visando à proteção dos ativos de informação nelas
armazenados;

V - indicar a
concessão de credencial de segurança para funções, cargos ou postos de trabalho
sob sua responsabilidade que possuam a necessidade de conhecer as informações
classificadas;

VI - implantar as
ações necessárias para assegurar a proteção e a recuperação das informações em
meio físico sob a guarda da unidade;

VII - fazer constar,
nos contratos sob sua responsabilidade, cláusulas necessárias ao cumprimento da
PSIBC; e

VIII - definir diretrizes para a realização
de trabalho em regime não presencial na unidade, considerando a sensibilidade
das informações e os riscos à segurança da informação.

CAPÍTULO V
DOS USUÁRIOS

Art. 49.  Os usuários
são responsáveis:

I - pela segurança
das informações a que tiverem acesso, inclusive quando em regime não presencial;

II - pelo tratamento
adequado das informações de acesso restrito, dos dados pessoais e dos dados
pessoais sensíveis aos quais tiverem acesso;

III - pela assinatura
do Termo de Responsabilidade, anexo à PSIBC, como condição para acesso aos
ativos de informação do Banco Central do Brasil;

IV - pelo cumprimento da PSIBC e das demais
normas relacionadas à segurança da informação;

V - no caso de
servidor, por dar ciência ao respectivo Chefe de Unidade de qualquer ato que
possa causar um risco relevante à segurança da informação;

VI - pela comunicação
à Etir, caso tenha conhecimento, de incidente cibernético ou suspeita de
incidente cibernético relacionado a recurso de TIC do Banco Central do Brasil;

VII - pelos acessos
realizados com sua conta de identificação na rede de computadores e demais
recursos de TIC do Banco Central do Brasil; e

VIII - pela
manutenção do sigilo de suas senhas de acesso aos recursos, sistemas e serviços
da rede de computadores, sendo vedada a utilização da conta de identificação do
usuário por terceiros.

CAPÍTULO VI
DO TERMO DE
RESPONSABILIDADE

Art. 50.  Os usuários
que necessitam de acesso aos ativos de informação do Banco Central do Brasil
devem assinar o Termo de Responsabilidade anexo à PSIBC.

§ 1º  O
descumprimento do disposto no caput, em prazo a ser estabelecido, enseja a
suspensão do acesso a determinados ativos de informação.

§ 2º  A
não-assinatura do Termo de Responsabilidade não exime o usuário dos deveres e
responsabilidades de que trata a PSIBC.

CAPÍTULO VII
DISPOSIÇÕES FINAIS

Art. 51.  A PSIBC,
bem como a estrutura de governança dos riscos cibernéticos, deve ser revisada,
no máximo, a cada três anos.

Art. 52.  Os manuais,
regulamentos e atos normativos internos do Banco Central do Brasil devem estar
em conformidade com a PSIBC.

Art. 53.  Devem ser promovidas
campanhas de conscientização para a divulgação da PSIBC.

Art. 54. O descumprimento
das disposições estabelecidas na PSIBC pode ensejar a instauração de
procedimento disciplinar pela Coger ou pela PGBC, a depender do caso, bem como
a aplicação das penalidades cabíveis, assim como de procedimento ético pela
CEBCB.

Art.
55.  Os casos omissos são resolvidos pelo Coseg, sem prejuízo do disposto no
Regimento Interno do Banco Central do Brasil.

 

 

ANEXO À PSIBC

TERMO DE
RESPONSABILIDADE

Por meio do presente
Termo de Responsabilidade, declaro-me ciente de que:

I - as normas gerais
de segurança da informação do Banco Central do Brasil estão consignadas na
Política de Segurança da Informação do Banco Central (PSIBC), anexa à Resolução
BCB nº 287, de 24  de janeiro de 2023, a cujo inteiro teor tive acesso;

II - o uso indevido
ou fraudulento das informações e dos recursos de Tecnologia da Informação (TIC)
do Banco Central do Brasil enseja apuração de responsabilidade, nos termos da
legislação vigente.

Responsabilizo-me por
agir de modo a preservar a segurança das informações às quais tenho acesso e
pelo correto uso dos ativos de informação do Banco Central do Brasil e
comprometo-me a cumprir as determinações e recomendações contidas na PSIBC.