Novas regras visam proteção e segurança de dados dos segurados, diz INSS

O Ministério da Previdência Social implementou, ontem (21), um conjunto de novas diretrizes para a gestão e proteção de dados pessoais sob a custódia dos órgãos, unidades e autarquias vinculadas à pasta.

Instituída por meio da Portaria nº 1.157, a Política de Segurança da Informação estabelece os princípios, diretrizes, responsabilidades e competências que devem ser observados por servidores públicos, empregados, prestadores de serviço e quaisquer outras pessoas autorizadas a acessar dados gerados, custodiados, manipulados, utilizados ou armazenados no âmbito do ministério e de seus órgãos.

Combate a fraudes e acesso indevido
A implementação desta política ocorre em um momento de investigações sobre esquemas fraudulentos que causaram prejuízos a milhões de beneficiários da Previdência Social em todo o país. Essas fraudes, que envolvem descontos não autorizados em folha referentes a mensalidades associativas e créditos consignados que beneficiários do Instituto Nacional do Seguro Social (INSS) alegam não ter contratado, dependem, em grande parte, do acesso indevido ou da manipulação de informações oficiais sobre os beneficiários.

A Política de Segurança da Informação busca justamente tornar o acesso a esses dados – como informações dos segurados e históricos de contribuição – mais rigoroso e seletivo, protegendo assim os “ativos de informação”.

Proteção contra riscos cibernéticos e operacionais
De acordo com o texto da portaria assinada pelo ministro Wolney Queiroz, as novas regras têm como objetivo “proteger ativos de informação e conhecimentos gerados ou recebidos” e “contribuir para a gestão eficiente dos riscos cibernéticos e operacionais, limitando-os a níveis aceitáveis”.

A nova política ministerial também servirá de base para a elaboração de futuras normas ministeriais relacionadas à segurança da informação, pautando-se pelos princípios de disponibilidade, integridade, confidencialidade, autenticidade e rastreabilidade.

A política faz parte do Sistema de Gestão de Segurança da Informação ministerial, que abrange diversos aspectos e processos, incluindo: tratamento da informação; segurança física e do ambiente; gestão de incidentes em segurança da informação; gestão de ativos; gestão do uso dos recursos operacionais e de comunicações (como e-mail, acesso à internet, mídias sociais e computação em nuvem); controles de acesso; gestão de riscos; gestão de continuidade e auditoria e conformidade.

A portaria também estabelece que “toda e qualquer informação gerada, custodiada, manipulada, utilizada ou armazenada” pelo ministério e por seus órgãos “compõe o rol de ativos de informação” a ser protegida. Para isso, os usuários do Sistema de Gestão de Segurança da Informação, assim como os dispositivos automatizados, devem ter apenas as permissões de acesso estritamente necessárias para o desempenho de suas funções, com a utilização de múltiplos métodos de verificação para acesso que deverão ser periodicamente auditados e revisados. Além disso, em caso de mudança de função do usuário, seu acesso deverá ser imediatamente revogado.

Em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD), o ministério se compromete a coletar apenas os dados pessoais necessários para o desempenho de suas competências e, sempre que possível, com o consentimento dos titulares dos dados. A pasta e seus órgãos também implementarão medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e incidentes, garantindo que sejam usados exclusivamente para os fins para os quais foram coletados.
Equipe de prevenção e resposta a incidentes cibernéticos

Uma segunda portaria do Ministério da Previdência Social, publicada ontem (21) no Diário Oficial da União, institui a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos. Este grupo terá a responsabilidade de facilitar, coordenar e executar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos no âmbito do Ministério da Previdência Social, além de promover a cooperação com outras equipes e participar de fóruns e redes relacionados à segurança da informação. A equipe será composta por três integrantes da Coordenação de Tecnologia da Informação da Secretaria-Executiva do Ministério da Previdência Social e seus respectivos substitutos, que atuarão no tratamento e resposta a incidentes em redes computacionais. Com informações da Agência Brasil.