Portaria

CAPÍTULO VI DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES Seção I Da alta administração Art. 23. Compete à alta administração, com o apoio da área de TIC e das demais áreas competentes: I - assegurar que a utilização de tecnologias de computação em nuvem esteja em conformidade com as orientações contidas neste documento; II - disponibilizar recursos humanos necessários; e III - disponibilizar os recursos financeiros para a implementação desta estratégia. Seção II Do Comitê de Governança Digital e Segurança da Informação - CGDSI, do Gestor de Segurança da Informação e da área de Tecnologia da Informação e Comunicações - TIC Art. 24. Serão observadas as competências do CGDSI, previstas em artigo específico da Portaria da Funasa que institui o referido Comitê. Art. 25. Deverão ser observadas as competências do Gestor de Segurança da Informação, dispostas no art. 19 da Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020. Art. 26. Compete à autoridade da área de TIC da Funasa implementar os procedimentos relativos ao uso de tecnologias de computação em nuvem, em conformidade com as orientações contidas neste documento e na legislação vigente. CAPÍTULO VII DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS Art. 27. Esta Estratégia de Uso de Software e de Serviços de Computação em Nuvem deverá ser amplamente divulgada no âmbito da Funasa. Art. 28. A Estratégia de Uso de Software e de Serviços de Computação em Nuvem, bem como todas as normas dela decorrentes, deverão ser revisadas e atualizadas sempre que necessário, respeitando o intervalo máximo de quatro anos, observando-se pelo menos: I - a definição de novos critérios para atualização dos procedimentos; II - a periodicidade dessa atualização; III - a definição de novos critérios de recursos computacionais a serem observados pelo provedor de serviços de nuvem; IV - a atualização periódica dos processos internos de gestão de riscos de segurança da informação; V - a revisão imediata da estratégia sempre que ocorrerem eventos, fatores relevantes ou surgirem novos requisitos tecnológicos, corporativos ou legais; e VI - a garantia da continuidade, sustentabilidade, adequação e efetividade da estratégia diante de mudanças significativas nos requisitos de segurança da informação que impactem o uso seguro da computação em nuvem. Art. 29. As novas contratações de software e de serviços de computação em nuvem deverão observar: I - as diretrizes estabelecidas neste documento; e II - o modelo de contratação adotado pelos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo Federal. Art. 30. Para os casos omissos neste documento, deverá ser submetido ao CGDSI da Funasa, para análise e deliberação. Art. 31. Para fins desta Portaria, as atividades atribuídas à "Funasa" serão desempenhadas pelas unidades competentes, conforme o disposto no Decreto nº 11.223, de 5 de outubro de 2022, que aprova o Estatuto e a Estrutura Organizacional da Fundação Nacional de Saúde - Funasa. Art. 32. Esta Portaria entra em vigor na data de sua publicação. [PRESIDENTE DA FUNASA EM EXERCÍCIO] ANEXO I GLOSSÁRIO I - Atualização de versões: disponibilização, por parte do fabricante, de uma versão completa ou parcial do software, com funcionalidades adicionais ou evoluções tecnológicas que representem uma nova versão estável do produto. Pode incluir também correções de comportamentos disfuncionais não resolvidos por manutenções anteriores, a critério do fabricante. II - Catálogo de Serviços de Computação em Nuvem: relação padronizada de serviços de computação em nuvem oferecidos por um órgão ou entidade aos seus usuários, elaborada conforme as necessidades institucionais e as orientações da Secretaria de Governo Digital - SGD. III - Catálogo de Soluções de TIC com condições: relação de soluções de TIC ofertadas pelo mercado com condições padrão definidas pelo Órgão Central do SISP, podendo incluir nome da solução, descrição, níveis de serviço, Preço Máximo de Compra de Item de TIC - PMC-TIC, entre outros. IV - Carga de trabalho ou workload: conjunto de recursos que compõem uma arquitetura técnica destinada a suportar um ou mais serviços de TIC, podendo requerer uma combinação de recursos computacionais e serviços técnicos para agregar valor ao negócio. V - Co-location em nuvem: locação de infraestrutura de datacenter pertencente a terceiros para hospedagem de equipamentos computacionais de uma organização. VI - Computação em nuvem: modelo que permite o provisionamento e uso sob demanda de recursos e serviços computacionais, de qualquer lugar e a qualquer momento, com acesso por rede a recursos configuráveis, como redes, segurança, servidores, armazenamento, aplicações e serviços, que podem ser rapidamente provisionados, utilizados e liberados com mínimo esforço de gerenciamento ou interação com o provedor. VII - Consultoria especializada em software: serviços especializados de configuração, customização, instalação, otimização e manutenção de software, com padrões de desempenho e qualidade definidos no Termo de Referência. Não se confundem com os serviços técnicos especializados de natureza predominantemente intelectual previstos no inciso XVIII do art. 6º da Lei nº 14.133/2021. VIII - Datacenter ou centro de dados: estrutura dedicada à acomodação centralizada, interconexão e operação de equipamentos de TI e redes de telecomunicações, fornecendo serviços de armazenamento, processamento e transporte de dados, com infraestrutura de energia, controle ambiental, segurança e recuperação, conforme a ABNT NBR ISO/IEC 22.237-1:2023. IX - Disponibilidade: condição de um serviço ou recurso estar acessível e apto a desempenhar plenamente suas funções em determinado momento ou durante um período acordado. X - Hosting: locação de recursos computacionais em infraestrutura física tradicional de datacenter pertencente a terceiros, sem compartilhamento de recursos entre clientes, para hospedagem de aplicações e soluções de TIC. XI - Incidente: qualquer evento não planejado que cause redução na qualidade do serviço ou sua interrupção, total ou parcial, ou que ainda não tenha impactado o serviço do usuário. XII - Incidente de Segurança da Informação: evento indesejado e inesperado de segurança da informação, único ou em série, que possa comprometer as operações de negócio e ameaçar a segurança da informação. XIII - IN GSI/PR nº 5: Instrução Normativa GSI/PR nº 5, que trata de eventos de segurança da informação indesejáveis e inesperados, únicos ou em série, com potencial de comprometer operações e ameaçar a segurança da informação. XIV - IN SGD/ME nº 94: Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, que dispõe sobre o processo de contratação de soluções de TIC pelos órgãos e entidades integrantes do SISP do Poder Executivo Federal. XV - Instância de Computação: componente de computação em nuvem composto por máquina virtual e serviços agregados, como armazenamento, rede e demais recursos necessários para sua operação. XVI - Integrador de Serviços em Nuvem - Cloud Broker: responsável por integrar serviços de computação em nuvem entre o órgão ou entidade e um ou mais provedores, agregando valor por meio de atividades como descoberta, planejamento, migração, configuração, uso, gestão e evolução dos serviços. Os serviços devem seguir padrões internacionais, como ISO e NIST, e nacionais, como os da ABNT, garantindo segurança, eficiência e confiabilidade. XVII - Licença de software: documento que estabelece diretrizes legalmente vinculantes para o uso e a distribuição de determinado software. A licença geralmente concede aos usuários finais o direito de utilizar uma ou mais cópias do software sem violar direitos autorais, define as responsabilidades das partes envolvidas e pode impor restrições quanto ao uso do software. Os termos e condições normalmente incluem uso permitido, limitações de responsabilidade, garantias, isenções e proteção contra infrações de propriedade intelectual. XVIII - Licença de uso: instrumento que concede o direito de utilizar o software sem transferência de propriedade entre o licenciante e o licenciado, incluindo, entre outros direitos, o serviço de correção de erros, sem ônus ao licenciado. XIX - Licença por subscrição/assinatura: modalidade que permite o acesso ao software por meio de serviços online, sem aquisição definitiva. Pode incluir atualizações, suporte técnico e outros serviços durante o período contratado. XX - Licença perpétua: licença que concede ao usuário o direito de utilizar o software por tempo indeterminado, podendo incluir acesso a atualizações e suporte técnico por período limitado. XXI - Manutenção de software: processo contínuo de suporte técnico, atualizações e melhorias, com o objetivo de manter o software atualizado e em pleno funcionamento. XXII - Marketplace: loja virtual operada por um provedor de nuvem, que oferece acesso a softwares e serviços desenvolvidos por terceiros, integrados ou complementares às soluções do provedor. XXIII - Modelos de implantação de nuvem: formas de organização da computação em nuvem, com base no controle e no compartilhamento de recursos físicos ou virtuais. Incluem: nuvem pública, nuvem privada, nuvem comunitária e nuvem híbrida. XXIV - Modelo de Serviços em Nuvem Infrastructure as a Service - IaaS: modelo que fornece ao cliente capacidade para provisionar recursos computacionais fundamentais, como processamento, armazenamento e rede, nos quais o cliente pode instalar e operar sistemas operacionais e aplicativos. O cliente não gerencia a infraestrutura subjacente, mas tem controle sobre os sistemas operacionais, armazenamento e aplicativos, e, possivelmente, sobre alguns componentes de rede. XXV - Modelo de Serviços em Nuvem Platform as a Service - PaaS: modelo que permite ao cliente desenvolver, executar e gerenciar aplicações na infraestrutura do provedor, utilizando linguagens, bibliotecas e ferramentas suportadas. O cliente não gerencia a infraestrutura subjacente, mas tem controle sobre as aplicações e, eventualmente, sobre as configurações do ambiente de hospedagem. XXVI - Modelo de Serviços em Nuvem Software as a Service - SaaS: modelo que fornece uma solução de software completa, gerenciada pelo provedor de serviços em nuvem, incluindo infraestrutura, middleware, software e dados. O provedor é responsável pela disponibilidade, segurança e manutenção do serviço. XXVII - Multinuvem - multicloud: estratégia que envolve a utilização de serviços de computação em nuvem de dois ou mais provedores de nuvem pública, visando diversificação, flexibilidade e mitigação de riscos. XXVIII - Nuvem comunitária: modelo de implantação em que os serviços de computação em nuvem são suportados e compartilhados exclusivamente por um grupo específico de órgãos ou entidades que possuem requisitos comuns e mantêm relacionamento entre si. Os recursos são controlados por, pelo menos, um dos membros do grupo, conforme a norma ISO/IEC 22123-1:2023. O uso de recursos de provedores de nuvem pública é admitido apenas quando houver garantia de isolamento lógico e físico, no ambiente do próprio órgão ou de empresas públicas, não se configurando como uso de nuvem pública. XXIX - Nuvem de governo: infraestrutura de nuvem privada ou comunitária gerida exclusivamente por órgãos ou empresas públicas, destinada ao atendimento das necessidades do setor público. XXX - Nuvem híbrida: infraestrutura que combina nuvem pública, nuvem privada e/ou infraestrutura local on-premises, mantendo as características individuais de cada componente, mas integradas por tecnologias padronizadas que permitem interoperabilidade e portabilidade de dados, serviços e aplicações. XXXI - Nuvem privada ou interna: infraestrutura de nuvem dedicada ao uso exclusivo de um órgão e suas unidades vinculadas, ou de uma entidade composta por múltiplos usuários. A propriedade pode ser do próprio órgão ou de empresas públicas com finalidade específica em tecnologia da informação, conforme a ISO/IEC 22123-1:2023. O uso de recursos de nuvem pública é permitido apenas quando houver isolamento lógico e físico, no ambiente do próprio órgão ou de empresas públicas, não se caracterizando como nuvem pública. XXXII - Nuvem pública ou externa: infraestrutura de nuvem disponibilizada para uso aberto por qualquer organização. Sua propriedade e gerenciamento podem ser de órgãos públicos, empresas privadas ou uma combinação de ambos. XXXIII - Orquestração: capacidade de coordenar e gerenciar recursos e serviços distribuídos entre diferentes provedores de nuvem pública, garantindo integração, automação e eficiência operacional. XXXIV - Plataforma de Cloud Management Platform - CMP: sistema que permite o provisionamento, orquestração, requisição de serviços, inventário e classificação, monitoramento e análise, gerenciamento de custos, otimização de cargas de trabalho, migração em nuvem, backup e recuperação de desastres, além do gerenciamento de segurança, conformidade, identidade e implantação de recursos nos provedores de nuvem utilizados. XXXV - Provedor de serviços em nuvem: organização que disponibiliza infraestrutura, plataformas e/ou aplicações baseadas em computação em nuvem, por meio de uma infraestrutura de TIC própria. XXXVI - Região: agrupamento de localizações geográficas específicas onde os recursos computacionais estão hospedados, geralmente com múltiplas zonas de disponibilidade para garantir resiliência e continuidade dos serviços. XXXVII - Serviço: meio de entregar valor a usuários internos ou externos à organização, facilitando o alcance de resultados desejados sem que o usuário assuma todos os custos e riscos associados. XXXVIII - Serviços agregados: serviços adicionais fornecidos pelo fornecedor da solução, que oferecem aos usuários acesso a recursos complementares ao objeto principal, como suporte técnico, treinamento, atualizações, implementação, entre outros. XXXIX - Sistemas estruturantes: sistemas de informação desenvolvidos e mantidos para operacionalizar e sustentar atividades comuns da administração pública, como pessoal, orçamento, estatística, administração financeira, contabilidade, auditoria e serviços gerais, que, a critério do Poder Executivo, demandam coordenação centralizada. XL - Software open source, de código aberto ou software livre: software cujo código-fonte é disponibilizado ao público, permitindo seu uso, estudo, modificação e redistribuição. É publicado sob licenças específicas que podem impor restrições quanto à modificação, redistribuição ou uso comercial. XLI - Software pronto para uso: software disponibilizado, de forma gratuita ou não, com um conjunto de funcionalidades pré-definidas, também conhecido como Ready to Use Software Product - RUSP ou, popularmente, "software de prateleira". XLII - Suporte técnico: serviço prestado pelo fornecedor para auxiliar os usuários na resolução de problemas relacionados ao serviço contratado, podendo incluir atendimento técnico, atualizações, instalação, implementação e treinamento. XLIII - Tratamento da informação: conjunto de ações relacionadas à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação. XLIV - Recursos reservados: recursos tecnológicos contratados com planos de consumo pré-definidos por determinado período, com aplicação de descontos, seja por pagamento antecipado ou por pagamento mensal durante o período acordado. XLV - Função como Serviço - FaaS: modelo de computação em nuvem que permite ao órgão ou entidade desenvolver e executar aplicações baseadas em microsserviços ou equivalentes, de forma escalável e sob demanda, conforme a norma ISO/IEC 22123-2:2023. XLVI - Banco de Dados como Serviço - DBaaS: modelo em que o banco de dados é disponibilizado e operado pelo provedor de serviços em nuvem, sendo acessado por meio de APIs ou interfaces equivalentes, conforme a norma ISO/IEC 22123-2:2023. XLVII - Lift-and-Shift: termo utilizado para definir uma estratégia de migração para a nuvem em que sistemas, aplicações ou cargas de trabalho são movidos exatamente como estão. Não há alterações significativas no código ou arquitetura. LENILDO DIAS DE MORAIS