Portaria Anatel nº 520, de 09 de abril de 2020

Observação: Este texto não substitui o publicado no Boletim de Serviço Eletrônico de 14/4/2020.

O SUPERINTENDENTE DE GESTÃO INTERNA DA INFORMAÇÃO DA AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES, no uso das atribuições que lhe foram conferidas pelo art. 242, inciso XI, do Regimento Interno da Anatel, aprovado pela Resolução nº 612, 29 de abril de 2013, e com fundamento no  art. 4º, inciso XIV, e no art. 5º do Anexo à Portaria nº 10, de 2 de janeiro de 2019 (SEI nº 3670812), que dispõe sobre as regras gerais de controle de acesso lógico e uso da rede de computadores da Anatel;

CONSIDERANDO as normas NBR ISO/IEC nº 27001 e NBR ISO/IEC nº 27002 que estabelecem práticas de gestão de segurança da informação;

CONSIDERANDO a Norma Complementar nº 7/IN01/DSIC/GSIPR, de 15 de julho de 2014, que preconiza as diretrizes para implementação de controle de acesso relativo à segurança de informação e de comunicação;

CONSIDERANDO a recomendação da auditoria da Anatel, contida na referência "e" do Relatório nº 5/2016/AUD/Anatel, de 6 de julho de 2016 (SEI nº 0631352), no sentido de priorizar projetos e procedimentos que realizem a identificação automática de equipamento em rede, de modo a aprimorar o controle de acesso à rede de comunicação da Anatel;

CONSIDERANDO os princípios, as diretrizes e os objetivos relativos à Política de Segurança da Informação e Comunicações (POSIC) da Anatel, aprovada pela Portaria nº 1016, de 25 de julho de 2017 (SEI nº 1696463);

CONSIDERANDO o constante dos autos do processo nº 53500.025862/2019-99,

RESOLVE:

CAPÍTULO I

DAS DISPOSIÇÕES ELEMENTARES

Art. 1º A identificação automática de equipamentos, ou dispositivos, que se conectem à rede de comunicação da Agência Nacional de Telecomunicações - Anatel, abarcando conexão com ou sem fio, obedece ao disposto nesta Portaria, segundo os seguintes princípios fundamentais:

I – observância das práticas vigentes de segurança de informação e comunicação, inclusive para os projetos que objetivem aprimorar, atualizar ou evoluir os métodos previstos nesta Portaria;

II – autorização de acesso à rede de comunicação da Anatel somente se os equipamentos, ou dispositivos, estiverem de acordo com a política adotada pela Agência;

III – utilização de mecanismos para inibir, ou limitar, acessos advindos de equipamentos ou dispositivos não disponibilizados nem autorizados pela Anatel;

IV – rastreabilidade de equipamentos, ou dispositivos, enquanto conectados à rede de comunicação da Anatel.

CAPÍTULO II

DAS DEFINIÇÕES

Art. 2º Para fins desta Portaria, aplicam-se as seguintes definições: 

I – método primário: técnica que permite a identificação automática de equipamentos ou dispositivos, disponibilizados ou autorizados pela Anatel, que se conectem à rede de comunicação da Agência, tais como desktops, notebooks, smartphones, tablets, entre outros;

II – método secundário: técnica que permite a identificação automática de equipamentos ou dispositivos não disponibilizados nem autorizados pela Anatel, inclusive aqueles obstruídos pelo método primário, que se conectem à rede de comunicação da Anatel; 

III – método terciário: técnica que permite a identificação automática de equipamentos, ou dispositivos, interligados ou acoplados entre si, que se conectem à rede de comunicação da Anatel, a exemplo de pen drives ou smartphones conectados a desktops ou notebooks;

IV – método quaternário: técnica que permite a identificação automática de equipamentos, ou dispositivos, que se conectem à rede de comunicação da Anatel estando fora da rede interna da Agência, especialmente por meio de Virtual Private Network - VPN;

V – unidade gestora: unidade subordinada à Superintendência de Gestão Interna da Informação (SGI) responsável pela definição de diretrizes e requisitos de negócio para controle de acesso lógico e físico à rede de computadores e às bases de dados da Anatel, bem como de regras para acessá-la.

CAPÍTULO III

DOS MÉTODOS DE IDENTIFICAÇÃO AUTOMÁTICA

Art. 3º Respeitada inclusive a política de privacidade prevista nas normas vigentes de segurança de informação e comunicação, a identificação automática de equipamentos, ou dispositivos, que se conectem à rede de comunicação da Anatel deve ser realizada por meio destes métodos:

I – método primário;

II – método secundário;

III – método terciário;

IV – método quaternário.

Parágrafo único. A documentação sobre cada método de identificação automática de equipamentos, ou dispositivos, que se conectem à rede de comunicação da Anatel, compreendendo configurações, modos de execução, entre outros, deve possuir acesso restrito, com suporte da unidade gestora, em consonância com a segurança de informação e comunicação.

CAPÍTULO IV

DOS PROCEDIMENTOS

Art. 4º A política adotada pela Anatel, para aferição de compatibilidade de equipamentos, ou dispositivos, tem como base, ao menos, estas ações:

I – verificar os softwares instalados e as configurações em equipamentos ou dispositivos;

II – impedir, ou limitar, o acesso à rede caso haja desconformidades nos equipamentos ou dispositivos;

III – bloquear, quando aplicável, em relação aos equipamentos ou dispositivos disponibilizados pela Anatel, o uso de softwares ou perfil de acesso em desconformidade com as normas vigentes de segurança de informação e comunicação.

Art. 5º Para os métodos previstos nesta Portaria, a identificação automática de equipamentos ou dispositivos que se conectem à rede de comunicação da Anatel deve ser realizada de acordo com estas regras:

I – os equipamentos ou dispositivos, disponibilizados ou autorizados pela Anatel, que estiverem com política divergente, devem ser analisados e podem ser submetidos a bloqueios previamente ao acesso, pelo método primário, à rede de comunicação da Agência;

II – os equipamentos, ou dispositivos, não disponibilizados nem autorizados pela Anatel, ou aqueles obstruídos pelo método primário, devem ser automaticamente isolados e identificados pelo método secundário, com restrição total de acesso à rede de comunicação da Anatel ou com permissão de acesso apenas à Internet;

III – os equipamentos, ou dispositivos, interligados ou acoplados entre si, que se conectem à rede de comunicação da Anatel, com política divergente, devem ser automaticamente bloqueados pelo método terciário;

IV – os equipamentos, ou dispositivos, que se conectem à rede de comunicação da Anatel, estando fora da rede interna da Agência, devem ser automaticamente bloqueados pelo método quaternário caso estejam com política divergente.

CAPÍTULO V

DAS DISPOSIÇÕES FINAIS

Art. 6º Os casos não previstos nesta Portaria devem ser analisados e decididos pela unidade gestora.

Art. 7º Esta Portaria entra em vigor no prazo de 90 (noventa) dias após a data de sua publicação.

RAPHAEL GARCIA DE SOUZA
Superintendente de Gestão Interna da Informação