CNPq

PORTARIA CNPq Nº 1.057, DE 26 DE SETEMBRO DE 2022

Aprova e homologa a Política de Backup e
Restauração de Dados Digitais do Conselho
Nacional de Desenvolvimento Científico e
Tecnológico - CNPq.

          O Presidente do CONSELHO NACIONAL DE DESENVOLVIMENTO CIENTÍFICO E TECNOLÓGICO - CNPq, no uso das atribuições que lhe são conferidas pelo Estatuto aprovado pelo Decreto nº 8.866, de 3 de outubro de 2016, em conformidade com a legislação aplicável, demais atos normativos e práticas pertinentes [¹], e considerando a decisão do Comitê de Segurança da Informação - CSI do CNPq, em sua 43ª (quadragésima terceira) reunião, em 31 de agosto de 2022, e nos termos constantes do Processo nº 01300.009804/2022-76, resolve:

          Art. 1º  Aprovar e homologar a Política de Backup e Restauração de Dados Digitais do Conselho Nacional de Desenvolvimento Científico e Tecnológico.

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Objetivo

          Art. 2º  A Política de Backup e Restauração de Dados Digitais objetiva instituir diretrizes, responsabilidades e competências que visam a segurança, proteção e disponibilidade dos dados digitais custodiados pelo CNPq, para se manter a continuidade do negócio.

          Art. 3º  A presente Política busca estabelecer mecanismos que permitam a guarda dos dados e sua eventual restauração em casos de indisponibilidades ou perdas por erro humano,  ataques, catástrofes naturais ou outras ameaças, no sentido de assegurar a missão institucional do CNPq.

Termos e definições

          Art. 4º  No âmbito da Política de Backup e Restauração de Dados Digitais, considera-se:

          I - backup ou cópia de segurança: conjunto de procedimentos que permitem salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação, tendo a fidelidade ao original assegurada. Esse termo também identifica a mídia em que a cópia é realizada;

          II - custodiante da informação: qualquer indivíduo ou estrutura de órgão ou entidade da Administração Pública Federal direta e indireta, que tenha responsabilidade formal de proteger a informação e aplicar os níveis de controle de segurança, em conformidade com as exigências de Segurança da Informação comunicadas pelo proprietário da informação;

          III - gestor da informação: indivíduo responsável pelos requisitos de negócio, bem como os requisitos de segurança da informação e proteção de dados envolvidos e a criticidade da informação para a continuidade da operação da organização;

          IV - eliminação: exclusão de dado ou conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

          V - mídia: mecanismos em que dados podem ser armazenados. Além da forma e da tecnologia utilizada para a comunicação - inclui discos ópticos, magnéticos, CDs, fitas e papel, entre outros. Um recurso multimídia combina sons, imagens e vídeos;

          VI - infraestrutura crítica: instalações, serviços, bens e sistemas, virtuais ou físicos, que se forem incapacitados, destruídos ou tiverem desempenho extremamente degradado provocarão sério impacto social, econômico, político, internacional ou à segurança;

          VII - arquivos de log: arquivo digital onde se encontra armazenado o processo de registro de eventos relevantes num sistema computacional, utilizado para restabelecer o estado original de um sistema ou para que um administrador conheça o seu comportamento no passado;

          VIII - Recovery Point Objective (RPO): ponto no tempo em que os dados dos serviços de tecnologia da informação (TI) devem ser recuperados após uma situação de parada ou perda, correspondendo ao prazo máximo em que se admite perder dados no caso de um incidente; e

          IX - Recovery Time Objective (RTO): tempo estimado para restaurar os dados e tornar os serviços de TI novamente operacionais, correspondendo ao prazo máximo em que se admite manter os serviços de TI inoperantes até a restauração de seus dados, após um incidente.

CAPÍTULO II

ABRANGÊNCIA DA POLÍTICA

          Art. 5º  Esta política se aplica a todos os dados no âmbito do CNPq, incluindo dados fora da Instituição, armazenados em serviços de nuvem pública ou privada.

          § 1º  Neste contexto, são considerados dados críticos: e-mail, arquivos em servidores de rede, bancos de dados, conteúdo da web específicos e sistemas operacionais.

          § 2º A definição de dados críticos e o escopo desta política de backup serão revisados anualmente.

          Art. 6º  A salvaguarda dos dados em formato digital, pertencentes a serviços de TI do CNPq, mas custodiados por outras entidades, públicas ou privadas, como nos casos de serviços em nuvem, deve estar garantida nos acordos ou contratos que formalizam a relação entre os envolvidos.

          Art. 7º  Os serviços de TI críticos do CNPq devem ser formalmente definidos pelo seu Comitê de Gestão Digital (CGD).

          Parágrafo único.  Ficam previamente estabelecidos como serviços críticos a Plataforma Lattes, Plataforma Integrada Carlos Chagas (PICC), CNPq Sistemas, Sistema Contábil Financeiro e Orçamentário (CONFIO), Sistema Eletrônico de Informações (SEI), Serviços de E-mail e Colaboração e Serviço de Armazenamento de Arquivos.

          Art. 8º  Esta Política se aplica a agentes públicos que podem ser criadores e/ou usuários de tais dados, a terceiros que acessam e utilizam sistemas e equipamentos de TI do CNPq ou que criam, processam ou armazenam dados de propriedade da Instituição.

          Art. 9º  Não serão salvaguardados nem recuperados dados armazenados localmente, nos microcomputadores dos usuários ou em quaisquer outros dispositivos fora dos centros de processamento de dados mantidos pelas unidades de TI, ficando sobre a responsabilidade do indivíduo que utiliza esses dispositivos.

CAPÍTULO III

DOS PRINCÍPIOS GERAIS DA POLÍTICA

          Art. 10.  A Política de Backup e Restauração de Dados deve estar alinhada com à Política de Segurança da Informação do CNPq e com uma gestão de continuidade de negócios em nível organizacional.

          Art. 11.  As rotinas de backup devem:

I -  ser orientadas para a restauração dos dados no menor tempo possível, principalmente quando da indisponibilidade de serviços de TI;

II - utilizar soluções próprias e especializadas para este fim, preferencialmente de forma automatizada; e

          III - possuir requisitos mínimos diferenciados de acordo com o tipo de serviço de TI ou dado salvaguardado, dando prioridade aos serviços críticos de TI do CNPq.

Art. 12.  A infraestrutura de backup deve estar situada em um local distinto ao da infraestrutura crítica.

          Parágrafo único.  O sítio de backup deve estar em um local remoto ao da sede do CNPq para armazenar cópias extras dos principais backups, a exemplo dos backups de dados de serviços críticos.

Art. 13.  Manter reserva de recursos, físicos e lógicos, de infraestrutura para realização de teste de restauração de backup.

Art. 14.  As cópias de segurança devem ser protegidas através de encriptação, nas situações em que a confidencialidade é importante.

CAPÍTULO IV

DOS BACKUPS E DA RESTAURAÇÃO

Seção I

Da frequência e retenção dos dados

Art. 15.  Os backups dos serviços de TI críticos do CNPq devem ser realizados utilizando-se as seguintes frequências temporais:

I - diária;

II - semanal;

III - mensal; e

IV - anual.

          Art. 16.  Os serviços de TI críticos do CNPq devem ser resguardados sob um padrão mínimo, o qual deve observar a correlação freqüência / retenção de dados estabelecida a seguir:

I - diária / 7 dias;

II - semanal / 4 semanas;

III - mensal / 3 meses; e

IV - anual / 1 ano (Banco de Dados).

          Art. 17.  Os serviços de TI não críticos do CNPq devem ser resguardados sob um padrão mínimo, o qual deve observar a correlação freqüência / retenção de dados estabelecida a seguir:

I - diária / 3 dias;

II - semanal / 4 semanas; e

III - mensal / 2 meses.

          Art. 18.  Especificidades dos serviços de TI críticos e dos serviços de TI não críticos podem demandar frequência e tempo de retenção diferenciados.

           Art. 19.  O período de retenção dos arquivos de log dos serviços TI críticos e não críticos do CNPq, observará a normatização estabelecida pela Norma DSIC/GSI Nº 21/2014 no item 6.7 e no art. 13 da Lei 12.965 de 2014  (Marco Civil da Internet), os quais observarão uma frequência diária com período de retenção de 365 dias.

          Art. 20.  Os ativos envolvidos no processo de backup são considerados ativos críticos para a organização.

          Art. 21.  A solicitação de salvaguarda dos dados referentes aos serviços de TI críticos e aos serviços de TI não críticos deve ser realizada pelo gestor da informação, com a anuência prévia e formal do Comitê de Segurança da Informação (CSI), refletindo os requisitos de negócio da organização, bem como os requisitos de segurança da informação e proteção de dados envolvidos e a criticidade da informação para a continuidade da operação da organização, e deve explicitar, no mínimo, os seguintes requisitos técnicos:

I - escopo (dados digitais a serem salvaguardados);

II - tipo de backup (completo, incremental);

III - frequência temporal de realização do backup (diária, semanal, mensal, anual);

IV - retenção;

V - RPO - Objetivo do Ponto de Recuperação; e

VI - RTO - Objetivo de tempo de recuperação.

          Art. 22.   A alteração das frequências e tempos de retenção definidos nesta seção deve ser precedida de solicitação e justificativa formais encaminhadas à área de Tecnologia da Informação, e ter  a anuência do CSI para sua execução. 

          Art. 23.  Os responsáveis pelos dados deverão ter ciência dos tempos de retenção estabelecidos para cada tipo de informação e os administradores de backup deverão zelar pelo cumprimento das diretrizes estabelecidas.

Art. 24.  Salvo indicação em contrário, o backup dos dados será feito de acordo com a seguinte programação padrão:

I - backup incremental diário (de segunda a sexta) às 19:00 h;

II - backup completo (Full) semanal (sexta-feira);

III - backup completo (Full) mensal (1ª sexta-feira do mês);

IV - backup completo (Full) anual (última sexta-feira do mês de dezembro); e

          V - backup dos bancos de dados de produção: backup dos arquivos com as operações das transações dos sistemas de informação realizadas no banco dados (de segunda a domingo, de 3 em 3 horas).

          Parágrafo único. Os backups completos definidos nos incisos II a IV deste artigo, sempre que possível, devem ser iniciados às 19 h de sexta-feira para permitir mais tempo durante o fim de semana para realizar o backup e tempo suficiente para lidar com quaisquer problemas que possam surgir durante o processo de backup.

Seção II

Do uso da rede

          Art. 25.  O administrador de backup deve considerar o impacto da execução das rotinas de backup sobre o desempenho da rede de dados do CNPq, garantindo que o tráfego necessário às suas atividades não ocasione indisponibilidade dos demais serviços de TI do CNPq.

          § 1º  A execução do backup deve concentrar-se, preferencialmente, no período de janela de backup.

          § 2º   O período de janela de backup deve ser determinado pelo administrador de backup em conjunto com a área técnica responsável pela administração da rede de dados do CNPq.

Seção III

Do transporte e armazenamento

          Art. 26.  As unidades de armazenamento utilizadas na salvaguarda dos dados digitais devem considerar as seguintes características dos dados resguardados:

I - a criticidade do dado salvaguardado;

II - o tempo de retenção do dado;

III - a probabilidade de necessidade de restauração;

IV - o tempo esperado para restauração;

V - o custo de aquisição da unidade de armazenamento de backup; e

VI - a vida útil da unidade de armazenamento de backup.

          Art. 27.  O administrador de backup deve identificar a viabilidade de utilização de diferentes tecnologias na realização das cópias de segurança, propondo a melhor solução para cada caso.

          Art. 28.  Podem ser utilizadas técnicas de compressão de dados, contanto que o acréscimo no tempo de restauração dos dados seja considerado aceitável pelo gestor da informação.

          Art. 29.  A execução das rotinas de backup deve envolver a previsão de ampliação da capacidade dos dispositivos envolvidos no armazenamento.

          Art. 30.  No caso de desligamento do usuário, de forma permanente ou temporária, o backup de seus arquivos em servidores de arquivo em rede e/ou nuvem deverá ser mantido por, no mínimo, 30 dias, após esse período os arquivos poderão ser excluídos a qualquer tempo.

          Art. 31.  As unidades de armazenamento dos backups devem ser acondicionadas em locais apropriados, com controle de fatores ambientais sensíveis, como umidade, temperatura, poeira e pressão, e com acesso restrito a pessoas autorizadas pelo administrador de backup.

          Parágrafo único.  As condições de temperatura, umidade e pressão devem ser aquelas descritas pelo fabricante das unidades de armazenamento.

Seção IV

Dos testes de backup

          Art. 32.  Os backups serão verificados periodicamente de acordo com a política de execução:

           I - diária, semanal, mensal e/ou anualmente os logs de backup serão revisados em busca de erros, durações anormais e em busca de oportunidades para melhorar o desempenho do backup;

          II - ações corretivas serão tomadas quando os problemas de backup forem identificados, a fim de reduzir os riscos associados a backups com falha;

          III - a área de TI manterá registros de backups e testes de restauração para demonstrar conformidade com esta política; e

          IV - os testes de integridade de dados devem ser realizados em todos os backups produzidos independente do ambiente, através de tecnologia ferramental.

          Art. 33.  Os testes de restauração dos backups devem ser realizados, por amostragem uma vez por mês, em equipamentos servidores diferentes dos equipamentos que atendem os ambientes de produção, observados os recursos humanos de TI e tecnologias disponíveis, a fim de verificar backups bem-sucedidos.

          Art. 34.  Verificar se foram atendidos os níveis de serviço pactuados, tais como os Recovery Time Objective - RTOs.

          Art. 35.  Os registros deverão conter, no mínimo, o tipo de sistema/serviço que teve o seu reestabelecimento testado, a data da realização do teste, o tempo gasto para o retorno do backup e se o procedimento foi concluído com sucesso.

          Art. 36.  Quaisquer exceções a esta política serão totalmente documentadas e aprovadas pelo CSI.

Seção V

Do procedimento de restauração de backup

          Art. 37.  O atendimento de solicitações de restauração de arquivos, e-mails e demais formas de dados deverá obedecer às seguintes orientações:

          I - a solicitação de restauração de objetos deverá sempre partir do responsável pelo recurso, através de abertura de chamado junto à área de Tecnologia da Informação;

          II - a restauração de objetos somente será possível nos casos em que estes tenham sido atingidos pela estratégia de backup;

          III - solicitação de restauração de dados que tenham sido salvaguardados depende de prévia e formal autorização do respectivo gestor da informação; e

          IV - a área de TI terá a prerrogativa de negar a restauração de dados cujo conteúdo não seja condizente com a atividade institucional, cabendo recurso da negativa ao gestor da unidade do demandante.

Cronograma de restauração de dados

          Art. 38.   O tempo de restauração, preferencialmente definido em Acordo de Nível de Serviço entre as áreas de negócio e a área de Tecnologia da Informação, é proporcional ao volume de dados envolvido na restauração e depende do tipo de objeto a ser restaurado, conforme descrito a seguir:

I - a estimativa de tempo de atendimento da Equipe de Armazenamento e Backup, que não contempla o tempo antes ou após a solicitação, será a seguinte:

a) para bancos de dados: 500 GB a cada 1 (uma) hora;

b) para arquivos de usuários em diretórios de rede: 10GB a cada 1 (uma) hora; e

c) para servidores virtuais: 300 GB a cada 1 (uma) hora.

           II - backups externos serão disponibilizados em aproximadamente quatro dias de uma falha catastrófica do sistema, observando a prioridade para restauração de acordo com a criticidade de cada um;

          III - backups externos serão disponibilizados em aproximadamente dois dias de uma falha não catastrófica do sistema, observando a prioridade para restauração de acordo com a criticidade de cada um;

Diretrizes para restauração de dados

          Art. 39.  A solicitação de recuperação de objetos deverá sempre partir do responsável pelo recurso, através de chamado técnico, utilizando a ferramenta de abertura de chamados de TI.

          § 1º  O chamado técnico deve conter, ao menos, o nome e setor do usuário, o(s) objeto(s) a ser(em) recuperado(s), localização em que se encontra(m), a data da versão que deseja recuperar, local alternativo para o armazenamento do(s) objeto(s) recuperado(s), se for o caso, e a justificativa para recuperação.

          § 2º  O chamado será encaminhado ao administrador de backup, que após a conclusão da tarefa, realizará o fechamento do chamado indicando onde estará(ão) disponível(eis) o(s) objeto(s) restaurado(s).

          § 3º  A restauração de objetos somente será possível nos casos em que este tenha sido atingido pela estratégia de backup.

Seção VI

Do descarte da mídia

           Art. 40.  A mídia de backup será retirada e descartada conforme descrito a seguir:

           I - a área de TI garantirá que a mídia não contenha mais imagens de backup ativas e que o conteúdo atual ou anterior não possa ser lido ou recuperado por terceiros não autorizados;

II - a área de TI garantirá a destruição lógica da mídia; e

           III - as mídias a serem descartadas (devido à obsolescência tecnológica, ou defeito irrecuperável) devem ser eliminadas de forma segura e protegida, por meio de procedimento que impossibilite a recuperação dos dados por terceiros, observadas as orientações da Área de Material e Patrimônio para o descarte ou eliminação desse tipo de bem.

Seção VII

Das responsabilidades

          Art. 41.  O administrador de backup e o operador de backup devem ser capacitados para as tecnologias, procedimentos e soluções utilizadas nas rotinas de backup.

Art. 42.  São atribuições do administrador de backup:

I - propor soluções de cópia de segurança das informações digitais corporativas produzidas ou custodiadas pelo CNPq;

II - providenciar a criação e manutenção dos backups;

III - configurar as soluções de backup;

IV - aplicar as políticas de arquivamento de acordo com a normas definidas;

V - definir os procedimentos de restauração e neles auxiliar;

VI - verificar os eventos gerados pela solução de backup, tomando as providências necessárias para remediação de eventuais falhas;

VII - tomar medidas preventivas para evitar falhas;

          VIII - reportar imediatamente ao setor a que está subordinado os incidentes ou erros que causem indisponibilidade ou impossibilitem a execução ou restauração de backups;

IX - gerenciar mensagens e registros de auditoria (LOGs) de execução dos backups;

X - disponibilizar informações que subsidiem as decisões referentes à gestão de capacidade relacionada aos backups;

XI - propor modificações visando o aperfeiçoamento da Política de Backup e Recuperação de Dados Digitais; e

XII - providenciar a execução dos testes de restauração.

Art. 43.  São atribuições do operador de backup:

I - restaurar ou recuperar os backups em caso de necessidade;

II - operar e manusear as unidades de armazenamento de backups;

III - informar ao administrador de backup qualquer problema que impossibilite a criação ou restauração de um backup; e

IV - executar os testes de restauração de backup.

Art. 44.  São atribuições da área de Tecnologia da Informação:

I - manter as unidades de armazenamento de backups preservadas, funcionais e seguras;

II - solicitar restaurações de dados, com anuência do gestor da informação;

III - sanar dúvidas técnicas do administrador de backup acerca das informações salvaguardadas;

IV - validar, tecnicamente, o resultado das restaurações eventualmente solicitadas; e

V - validar, tecnicamente, o resultado dos testes de restauração dos backups.

Art. 45.  São atribuições dos gestores de informação:

I - solicitar, formalmente, a salvaguarda das informações geridas e dar anuência à solicitação feita pela área técnica para recuperação de dados;

II - validar, negocialmente, o resultado das restaurações eventualmente solicitadas; e

III - validar, negocialmente, o resultado dos testes de restauração dos backups.

CAPÍTULO V

DAS PENALIDADES

          Art. 46.  Ações que violem a Política de Backup e Restauração de Dados Digitais do CNPq poderão acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.

CAPÍTULO VI

DISPOSIÇÕES FINAIS

Art. 47.  Esta Portaria entra em vigor no primeiro dia útil do mês seguinte ao da sua publicação.

(Assinada eletronicamente)

EVALDO FERREIRA VILELA