A DEFENSORA PÚBLICA-GERAL DO ESTADO, no exercício de suas atribuições legais, nos termos do art. 8º, da Lei Complementar Estadual nº 06/77, e do art. 100 da Lei Complementar nº 80/94,

CONSIDERANDO a crescente relevância da segurança da informação no cenário global e sua relação direta com a proteção de dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018);

CONSIDERANDO o dever da Defensoria Pública de assegurar a confidencialidade, a integridade e a disponibilidade das informações sob sua custódia, essenciais para o cumprimento de sua missão institucional;

CONSIDERANDO as diretrizes previstas na Política de Segurança da Informação (PSI) e em normativos relacionados;

CONSIDERANDO a necessidade de uma abordagem estruturada, colegiada e multidisciplinar para a governança de segurança da informação;

CONSIDERANDO a importância de fomentar uma cultura organizacional de segurança e proteção de dados em todos os níveis hierárquicos;

RESOLVE:

Art. 1º. Fica instituído o Comitê de Segurança da Informação (CSI) da Defensoria Pública do Estado do Rio de Janeiro, com natureza consultiva, propositiva e deliberativa, atuação permanente e caráter multidisciplinar.

Art. 2º. O Comitê de Segurança da Informação (CSI) tem como objetivo estratégico a governança da segurança da informação, promovendo a gestão de riscos, a conformidade com normas legais e regulamentares e a implementação de práticas que assegurem a proteção dos ativos informacionais da Instituição.

Art. 3º. São finalidades do Comitê de Segurança da Informação (CSI):

I - Assegurar que as políticas, normas e práticas de segurança da informação sejam aplicadas de forma efetiva;

II - Promover a integração da segurança da informação com o planejamento estratégico institucional, garantindo que as ações de segurança estejam alinhadas aos objetivos estratégicos da Defensoria Pública;

III - Disseminar a cultura de segurança da informação, incentivando boas práticas entre os usuários internos e externos.

Art. 4º. Compete ao Comitê de Segurança da Informação (CSI):

I - Definir e revisar periodicamente a Política de Segurança da Informação (PSI) e seus documentos complementares;

II - Avaliar e gerenciar os riscos relacionados à segurança da informação, propondo e aprovando medidas de mitigação;

III - Analisar e deliberar sobre incidentes de segurança e planos de resposta a incidentes e recuperação de desastres;

IV - Desenvolver, manter e testar regularmente um Plano de Resposta a Incidentes (PRI), com definição de papéis, responsabilidades, fluxos de comunicação e procedimentos técnicos para casos de incidente de segurança, com foco na contenção, na erradicação e na recuperação;

V - Monitorar a eficácia dos controles de segurança implementados, por meio de auditorias e indicadores de desempenho;

VI - Propor investimentos e iniciativas relacionados à segurança da informação, considerando custo-benefício e prioridades institucionais;

VII - Elaborar e apresentar relatórios periódicos à Administração Superior, destacando riscos, vulnerabilidades, ações realizadas e indicadores-chave de desempenho, como:

a) Número de incidentes de segurança registrados;

b) Tempo médio de resposta a incidentes;

c) Percentual de servidores capacitados em segurança da informação;

d) Taxa de aderência às políticas de segurança;

VIII - Desenvolver e monitorar a execução de um plano anual de conscientização em segurança da informação, abrangendo treinamentos e campanhas sobre temas obrigatórios, tais como proteção de dados pessoais, prevenção de phishing, boas práticas de uso de tecnologia e proteção contra engenharia social.

IX - Definir a periodicidade e o escopo das auditorias de segurança da informação, bem como a entidade responsável por sua execução, garantindo a independência do processo de auditoria;

X - Elaborar propostas de normativas ou procedimentos para lidar com casos omissos relacionados à segurança da informação, submetendo-as à aprovação da Administração Superior.

Art. 5º. O Comitê de Segurança da Informação (CSI) será composto pelos seguintes membros:

I - Secretária(o) da Tecnologia da Informação e Comunicação, que o presidirá;

II - Chefa(e) de Gabinete, que substituirá a(o) Presidenta(e), em sua ausência;

III - Diretora(or) de Gestão da Informação;

IV - Coordenadora(or) de Redes;

V - Chefa(e) do Núcleo de Segurança da Informação;

VI - Diretora(or) de Governança Digital e Inovação;

VII - Representante da Secretaria de Orçamento e Finanças;

VIII - Representante da Secretaria de Gestão de Pessoas;

IX - Representante da Assessoria Jurídica;

X - Representante da(o) Encarregada(o) de Proteção de Dados.

Parágrafo único. Representantes de outras áreas poderão ser convidados para participar de reuniões específicas, sem direito a voto.

Art. 6º. A(O) Secretária(o) da Tecnologia da Informação e Comunicação designará um Secretário Executivo, responsável pela organização e documentação das atividades do CSI.

Art. 7º. O CSI reunir-se-á:

I - Ordinariamente, com periodicidade quadrimestral;

II - Extraordinariamente, por convocação da(o) Presidenta(e) ou de, pelo menos, um terço de seus membros.

Art. 8º. As reuniões serão reservadas, mas deverão ser registradas em atas resumidas, contendo as deliberações, justificativas concisas, ações propostas, prazos e responsáveis pela execução.

Art. 9º. As decisões do CSI serão tomadas por maioria simples dos membros presentes, sendo o quórum mínimo equivalente à maioria absoluta.

Art. 10. Em caso de empate em votações, caberá à(ao) Presidenta(e) o voto de qualidade.

Art. 11. Os membros do CSI têm as seguintes responsabilidades:

I - Participar ativamente das reuniões, apresentando contribuições técnicas e estratégicas;

II - Manter a confidencialidade de todas as informações tratadas no âmbito do CSI;

III - Cumprir rigorosamente as normas e deliberações do Comitê.

Art. 12. O CSI deverá desenvolver e implementar um plano anual de conscientização em segurança da informação, incluindo:

I - Treinamentos obrigatórios para servidores, residentes, estagiários e prestadores de serviço, com periodicidade mínima anual;

II - Treinamentos facultativos para servidores, residentes, estagiários e prestadores de serviço;

III - Campanhas institucionais de sensibilização sobre os temas prioritários definidos pelo CSI;

IV - Métricas para avaliação da eficácia das ações, como taxa de adesão aos treinamentos e impacto no número de incidentes reportados.

§ 1º. Novos servidores, residentes, estagiários e prestadores de serviço deverão realizar os treinamentos obrigatórios em até 30 (trinta) dias após sua admissão;

§ 2º. Os treinamentos obrigatórios deverão incluir, no mínimo, os seguintes temas: proteção de dados pessoais, segurança de senhas, navegação segura na internet, phishing e engenharia social.

§ 3º. Os treinamentos poderão ser no formato online e deve ser possível aferir sua realização pelo aluno.

Art. 13. Os casos omissos serão submetidos à apreciação da Defensoria Pública-Geral do Estado, ouvido o Comitê de Segurança da Informação.

Art. 14. Esta Resolução entra em vigor na data de sua publicação.

Rio de Janeiro, 20 de dezembro de 2024.

PATRÍCIA CARDOSO MACIEL TAVARES

Defensora Pública-Geral do Estado