2 - Curitiba, 28 de Setembro de 2022 - Edição nº 3294 Diário Eletrônico do Tribunal de Justiça do Paraná IX - Procedimento de Recuperação de Serviços Essenciais de TIC - PRSE: Atos da Presidência planejamentos, devidamente documentados, que indicam as ações, as fases e os responsáveis pela atuação nas diversas competências técnicas e administrativas para recuperação do ambiente ao estado anterior ao incidente; X - Partes interessadas: Assessorias, Coordenações e Divisões do Departamento de Tecnologia da Informação e Comunicação - DTIC e demais áreas envolvidas do TJPR; Tribunal de Justiça XI - Gestor técnico: pessoa responsável pelo controle do ciclo de vida de um ativo; XII - Comitê de Acionamento de Continuidade de TIC: pessoas responsáveis pelo acionamento dos Planos de Continuidade de Serviços; INSTRUÇÃO NORMATIVA Nº 123/2022 - P-GP XIII - Equipe de Tratamento e Resposta a Incidentes de TIC - ETIR/TIC: equipe multidisciplinar criada para atuar na resolução de incidentes que afetem a continuidade do serviço no contexto de TIC. Art. 3º Todos os projetos e ações voltados à implantação, manutenção e evolução do Plano de Continuidade de Serviços Essenciais de TIC devem ser priorizados no Plano Diretor de TIC - PDTIC. Dispõe sobre a Norma de Continuidade de Serviços Essenciais de Tecnologia da Informação e Comunicação do Tribunal de Justiça do Estado do Paraná. O PRESIDENTE DO TRIBUNAL DE JUSTIÇA DO ESTADO DO PARANÁ, no uso das atribuições legais e regimentais, e como lhe confere o inciso IV, do art. 9º, do Decreto Judiciário nº 631/2016: CAPÍTULO III DOS OBJETIVOS CONSIDERANDO as ações previstas no Planejamento Estratégico do Poder Judiciário do Estado do Paraná para cumprimento da sua missão institucional; Art. 4º Constituem objetivos desta Norma: I - definir diretrizes necessárias para manter a continuidade dos serviços essenciais de TIC do Tribunal de Justiça do Paraná; CONSIDERANDO a importância de estabelecer diretrizes, papéis e responsabilidades, práticas e processos de trabalho compatíveis com os modelos de referência reconhecidos mundialmente; CONSIDERANDO o conjunto de normas ABNT NBR ISO/IEC 27.000, que versam sobre a criação, funcionamento, manutenção e melhoria do Sistema de Segurança da Informação (SGSI); II - dar continuidade ao gerenciamento de riscos de forma a atribuir papéis e responsabilidades para as ações de tratamento que visam minimizar a probabilidade e o impacto do risco de interrupção de serviços essenciais de TIC do Tribunal de Justiça do Paraná; III - definir as diretrizes para a implementação de controles para a recuperação de ativos de TIC, por intermédio de ações de prevenção, resposta e recuperação, de forma ordenada, a assegurar a continuidade de serviços essenciais de TIC; IV - fomentar a conscientização, a capacitação e a cultura em continuidade de serviços essenciais de TIC; CONSIDERANDO o inciso IV do art. 6º da Resolução nº 396, de 07 de junho de 2021, do Conselho Nacional de Justiça que institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ), e define como objetivo "permitir a manutenção e a continuidade dos serviços, ou o seu restabelecimento em menor tempo possível", bem como o art. 11, do mesmo diploma, que estabelece ações para elevar o nível de segurança das infraestruturas críticas; CONSIDERANDO a Resolução nº 370/2021, de 1 de janeiro de 2021, do Conselho Nacional de Justiça, a qual estabelece a Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTIC-JUD), especificamente em seu art. 36 que dispõe que "Cada órgão deverá elaborar Plano de Gestão de Continuidade de Negócios ou de Serviços no qual estabeleça estratégias e planos de ação que garantam o funcionamento dos serviços essenciais quando na ocorrência de falhas"; CONSIDERANDO que a Política de Segurança da Informação no âmbito do Tribunal de Justiça do Paraná é regulamentada no Decreto Judiciário nº 631, de 24 de junho de 2016, e determina que ao Departamento de Tecnologia da Informação e Comunicação compete elaborar, propor e submeter as normas para deliberação do Comitê de Segurança de Tecnologia da Informação, e aprovação do Presidente do Tribunal de Justiça; CONSIDERANDO a Resolução nº 272-OE, de 14 de setembro de 2020, que dispõe sobre a Política de Gestão de Riscos e institui o Comitê de Gestão de Riscos do Poder Judiciário do Estado do Paraná; V - institucionalizar procedimentos para garantir a continuidade de serviços essenciais de TIC. CAPÍTULO IV DOS PRINCÍPIOS Art. 5º Constituem princípios da Gestão de Continuidade de Serviços de Essenciais de TIC do TJPR: I - implementar e manter uma estrutura documental definida para a capacidade contínua da Gestão de Continuidade de Serviços Essenciais de TIC; II - garantir que as atividades destinadas à Gestão de Continuidade de Serviços Essenciais de TIC sejam implementadas e conduzidas de forma planejada e controlada; III - alcançar a resiliência necessária à continuidade de serviços essenciais de TIC considerando a sua complexidade e a natureza. CAPÍTULO V DA ESTRUTURA DOCUMENTAL Art. 6º A estrutura para a Gestão de Continuidade de Serviços Essenciais de TIC será organizada pelos seguintes Planos: I - Plano de Continuidade de Serviços Essenciais de TIC - PCSE; II - Plano de Administração de Crise de Serviços Essenciais de TIC - PACSE; III - Procedimento de Recuperação de Serviços Essenciais de TIC - PRSE. Parágrafo único. Os planos que compõem a Gestão de Continuidade de Serviços Essenciais de TIC devem ser revistos sempre que houver mudança significativa nos ativos críticos. CONSIDERANDO o disposto no expediente SEI! nº 0054728-46.2022.8.16.6000. R E S O L V E : CAPÍTULO I DISPOSIÇÃO PRELIMINAR CAPÍTULO VI DAS DIRETRIZES Art. 1º Esta Instrução Normativa estabelece a Norma de Continuidade de Serviços Essenciais de Tecnologia da Informação e Comunicação no âmbito do Tribunal de Justiça do Estado do Paraná. CAPÍTULO II DOS CONCEITOS E DEFINIÇÕES Art. 7º A Gestão da Continuidade de Serviços Essenciais de TIC obedecerá às seguintes diretrizes: I - adoção de planos proativos, de forma a viabilizar que os sistemas de informações e ativos que sustentam os serviços essenciais de TIC do TJPR sejam recuperados e tenham sua continuidade assegurada por meio da manutenção de estratégias e planos de recuperação; II - realização de exercícios, simulações e testes anuais da Gestão de Continuidade de Serviços Essenciais de TIC com a devida documentação e a participação das partes interessadas; III - realização periódica da manutenção dos Planos, promovendo as revisões necessárias, considerando os testes realizados; Art. 2º Para efeito desta Norma, fica estabelecido o significado dos seguintes termos e expressões: I - Ativo: Todo software, hardware, serviço ou dados mantidos ou gerenciados pelo Departamento de Tecnologia da Informação e Comunicação; II - Análise de Impacto nos Negócios (Business Impact Analysis - BIA): tem o objetivo de levantar o grau de relevância entre os processos ou atividades que fazem parte do escopo da contingência em função da continuidade de serviços essenciais de TIC. A BIA identifica o que é vital e crítico para o funcionamento do negócio, além de identificar o tempo tolerável de interrupção, calcular os possíveis impactos e a infraestrutura mínima para uma contingência; IV - realização da Gestão de Continuidade de Serviços Essenciais de TIC com foco na melhoria contínua; V - promoção da gestão dos ativos de TIC de forma alinhada com as necessidades da continuidade de serviços essenciais de TIC; III - Ativos Críticos: ativo que sustenta a entrega dos produtos e consecução dos serviços essenciais do Tribunal; IV - Criticidade: grau de importância para a continuidade das atividades e serviços do Poder Judiciário do Estado do Paraná; VI - realização do gerenciamento dos Riscos à Continuidade de Serviços Essenciais de TIC de maneira aderente ao Plano de Gestão de Riscos de TIC; VII - deve ser realizada a Análise de Risco e Impacto dos Serviços Essenciais de TIC e atualizá-la sempre que houver necessidade; V - Desastre: eventos ou condições que podem levar à interrupção dos serviços essenciais de TIC; VIII - a Gestão de Continuidade de Serviços Essenciais de TIC deve observar o resultado da Análise de Riscos e Impacto de Serviços Essenciais de TIC com o objetivo de nortear as estratégias de continuidade. VI - Incidente: evento decorrente de uma ameaça, que explora uma vulnerabilidade e que pode impactar na continuidade de serviços essenciais de TIC; VII - Plano de Continuidade de Serviços Essenciais de TIC - PCSE: plano que compõe as estratégias e procedimentos que visam garantir o funcionamento e a disponibilidade dos serviços essenciais de TIC; VIII - Plano de Administração de Crise de Serviços Essenciais de TIC - PACSE: plano de gerenciamento da comunicação interna e externa da instituição em situações de crises, viabilizando a compressão linear das ações antes, durante e após a ocorrência de uma interrupção ou desastre; CAPÍTULO VII DO PROCESSO DE GESTÃO DE CONTINUIDADE DE SERVIÇOS ESSENCIAIS DE TIC Art. 8º O processo de Gestão de Continuidade de Serviços Essenciais TIC é composto pelas seguintes etapas: I - Planejamento - compreende as estratégias que deverão ser tratadas na continuidade de serviços essenciais de TIC; -

3 - Curitiba, 28 de Setembro de 2022 - Edição nº 3294 Diário Eletrônico do Tribunal de Justiça do Paraná II - Execução - abrange a elaboração ou revisão dos planos, com a descrição dos cenários de falhas e os procedimentos técnicos para tratar os problemas, a realização de testes parciais ou integrais dos planos, bem como sua aprovação, documentação, armazenamento e divulgação; III - Verificação - compreende a realização de testes periódicos dos Planos estabelecidos e a análise dos incidentes que geraram ativação do Plano de Continuidade de Serviços Essenciais de TIC, a fim de fornecer informações necessárias para etapa de melhoria; II - adotar quaisquer medidas urgentes, ainda que não contempladas nos Planos de Recuperação, a fim de garantir a continuidade dos serviços, com posterior análise e deliberação pelo Comitê de Segurança de Tecnologia da Informação. Art. 17. Ao Diretor do Departamento de Tecnologia da Informação e Comunicação compete definir a composição e instituir o Comitê de acionamento do Plano de Continuidade de TIC. CAPÍTULO IX DAS DISPOSIÇÕES FINAIS IV - Melhoria - oportunidade de aperfeiçoamento para iniciar novo ciclo do processo e consequente atualização dos planos. Art. 9º O Plano de Continuidade de Serviços Essenciais de TIC será acionado quando identificadas interrupções parciais ou totais que impactem significativamente nos serviços essenciais de TIC, contemplando: Art. 18. A Norma de Continuidade de Serviços Essenciais de TIC deve ser revisada e atualizada periodicamente, no máximo a cada 02 (dois) anos, caso não ocorram eventos ou fatos relevantes que exijam uma revisão antecipada, observada, ainda, a periodicidade prevista para a revisão da Política de Segurança da Informação. Art. 19. Esta Instrução Normativa entra em vigor na data de sua publicação. I - Ocorrido o incidente, considerados os serviços ou ativos críticos de TIC afetados e a criticidade, o Comitê de acionamento de Continuidade de TIC, representado por um de seus membros, acionará o Plano de Continuidade de Serviços Essenciais de TIC para a manutenção da continuidade dos serviços de TIC, ainda que de forma contingencial e, se necessário, os demais planos; Curitiba, 26 de setembro de 2022. II - A comunicação às partes interessadas observará as orientações contidas no Plano de Administração de Crise; III - Os ativos críticos e serviços essenciais de TIC afetados pelo incidente serão monitorados pelo ETIR/TIC, a fim de subsidiar o fornecimento de informações ao Comitê de acionamento de Continuidade de TIC; Des. JOSÉ LAURINDO DE SOUZA NETTO Presidente do Tribunal de Justiça IV - A execução do Plano de Continuidade de Serviços Essenciais de TIC será encerrada quando da comunicação de retorno à normalidade dos serviços, sistemas ou ativos críticos afetados. CAPÍTULO VIII DAS RESPONSABILIDADES Art. 10. Ao Comitê de Gestão de Tecnologia da Informação e Comunicação - CGESTIC, compete: I - classificar os serviços essenciais de TIC com base nos objetivos estratégicos institucionais apresentados no Planejamento Estratégico Institucional - PEI; II - revisar a elaboração, implementação, cenários e resultados de testes e atualização dos planos; III - propor melhorias na implantação de novos instrumentos relativos à continuidade de serviços essenciais de TIC. Art. 11. O Gestor técnico do Serviço Essencial de TIC possui as seguintes responsabilidades: I - apoiar na elaboração e manutenção nos Planos de Continuidade e de Administração de Crise; II - elaborar e manter os Procedimentos de Recuperação de Serviços Essenciais de TIC; III - definir o tempo máximo para retorno operacional (RTO) do serviço essencial de TIC após a ocorrência de um desastre, quando não houver regulamentação específica. Art. 12. A Equipe de Tratamento e Resposta a Incidentes do Departamento de Tecnologia da Informação e Comunicação - ETIR/TIC terá as seguintes responsabilidades: I - contribuir para a elaboração do Plano de Continuidade, Plano de Administração de Crise e os Procedimentos de Recuperação de Serviços de Essenciais de TIC; II - receber, analisar, tratar e responder às notificações relacionadas aos incidentes que acionaram o Plano de Continuidade de Serviços Essenciais de TIC; III - elaborar relatórios de tratamento sobre os incidentes ocorridos. Art. 13. A Divisão de Gestão de Segurança de TIC do Departamento de Tecnologia da Informação e Comunicação compete: I - elaborar o Plano de Continuidade de Serviços Essenciais de TIC e o Plano de Administração de Crise; II - elaborar e atualizar os modelos de documentos utilizados na Gestão de Continuidade de Serviços Essenciais de TIC; III - gerir os documentos que compõem os planos de continuidade de TIC; IV - apoiar na elaboração dos Procedimentos de Recuperação de Serviços de TIC; V - assessorar o Comitê de acionamento de Continuidade de TIC na tomada de decisões a respeito de situações decorrentes de interrupções graves e desastres; VI - manter os registros e histórico dos incidentes e dos acionamentos dos planos e os seus resultados; VII - prover informações para o Comitê de Segurança de Tecnologia da Informação - CSEGTI a respeito dos resultados dos testes ou acionamento dos planos de continuidade de TIC. Art. 14. Ao Comitê de Segurança de Tecnologia da Informação - CSEGTI compete: I - deliberar sobre Plano de Continuidade de Serviços Essenciais de TIC e o Plano de Administração de Crise de TIC; II - apreciar as informações e os relatórios de testes ou acionamentos dos Planos de Continuidade de TIC. Art. 15. Ao Comitê de Governança de Tecnologia da Informação e Comunicação - CGOVTIC compete: I - aprovar a classificação dos Serviços Essenciais de TIC, conforme princípios e diretrizes que orientem a forma de utilização da Tecnologia da Informação; II - deliberar sobre Plano de Continuidade de Serviços Essenciais de TIC e o Plano de Administração de Crise de TIC por fazerem parte do macro processo de Segurança da Informação e Proteção de Dados. Art. 16. Aos membros do Comitê de acionamento do Plano de Continuidade de TIC compete, conjunta ou isoladamente: I - acionar o Plano de Continuidade de Serviços Essenciais de TIC e o Plano de Administração de Crise de TIC; -