RESOLUÇÃO SUSEP N° 89, DE 21 DE JULHO DE 2026

RESOLUÇÃO SUSEP N° 89, DE 21 DE JULHO DE 2026 Institui a Política de Gestão de Vulnerabilidades de Tecnologia da Informação no âmbito da Susep. O SUPERINTENDENTE DA SUPERINTENDÊNCIA DE SEGUROS PRIVADOS - SUSEP torna público que Conselho Diretor desta Autarquia, em reunião ordinária realizada em 15 de julho de 2026, no uso das atribuições que lhe conferem o inciso VI do Art. 8° do Regimento Interno, aprovado pela Resolução CNSP n° 490, de 12 de março de 2026, tendo em vista o disposto na Portaria SGD/MGI n° 9.511, de 28 de outubro de 2025, na Resolução Susep n° 45, de 17 de outubro de 2024, e na Instrução Normativa GSI/PR n° 3, de 28 de maio de 2021, bem como o que consta do Processo Susep n° 15414.666235/2025-31, resolve: Art. 1° Fica instituída a Política de Gestão de Vulnerabilidades de Tecnologia da Informação - PGVTI no âmbito da Susep, nos termos desta Resolução. Art. 2° A PGVTI tem por objetivo estabelecer diretrizes, processos e responsabilidades para a identificação, avaliação, priorização, tratamento e comunicação de vulnerabilidades em ativos de tecnologia da informação - TI da Susep. Parágrafo único. O processo de que trata o caput deverá ser contínuo e estruturado, incluindo o mapeamento dos ativos de TI, de suas vulnerabilidades e das medidas de tratamento cabíveis. Art. 3° A PGVTI se aplica a todos os ativos de TI da Susep, exceto os que: I - não possuam capacidade técnica para realização de análises de vulnerabilidade de TI; II - estejam sujeitos a restrições contratuais ou normativas que impeçam a execução dessas análises; III - sejam considerados tecnicamente inviáveis para fins de gestão de vulnerabilidades de TI, mediante justificativa técnica da área responsável pelo ativo, devidamente fundamentada, e manifestação da área responsável pela segurança da informação. IV - As exceções de que trata este artigo deverão ser formalmente justificadas pela unidade responsável pelo ativo de TI, com manifestação da área de segurança da informação, e submetidas à aprovação do Gestor de Segurança da Informação. Art. 4° Para os fins desta Política, aplicam-se as definições constantes do Glossário de Segurança da Informação, instituído pela Portaria GSI/PR n° 93, de 18 de outubro de 2021, e da Política de Segurança da Informação da Susep - POSIN, além das seguintes: I - Ativos de TI: termo que engloba sistemas operacionais, softwares, APIs, infraestrutura de redes, servidores, computadores, bancos de dados, sistemas de informação, aplicações e serviços de TI; II - Gestão de vulnerabilidades de TI: processo contínuo de identificação, avaliação, documentação, tratamento, comunicação e remediação de vulnerabilidades; III - Patch: uma parte de código adicional desenvolvido para corrigir falhas ou problemas em um software existente; IV - Remediação: ação que resulta na eliminação da vulnerabilidade no ativo de TI em que foi identificada; V - Mitigação: atividade que resulta na redução da probabilidade de exploração de uma vulnerabilidade identificada ou na redução do impacto, caso seja explorada; VI - Tratamento: compreende a remediação e a mitigação de vulnerabilidades de TI. Art. 5° Esta política observa os seguintes princípios: I - proteção da confidencialidade, integridade, disponibilidade, autenticidade e irretratabilidade das informações sob responsabilidade da Susep; II - alinhamento à Política de Segurança da Informação da Susep - POSIN; e III - conformidade com os dispositivos legais, infralegais e com as melhores práticas aplicáveis em gestão de vulnerabilidades de TI. Art. 6° O processo de gestão de vulnerabilidades de TI é cíclico e compreende as seguintes etapas: I - mapeamento de ativos; II - identificação de vulnerabilidades de TI; III - avaliação das vulnerabilidades de TI; IV - priorização das vulnerabilidades de TI; V - tratamento das vulnerabilidades de TI; e VI - comunicação dos resultados das ações do ciclo de gestão de vulnerabilidades de TI. § 1° O processo de gestão de vulnerabilidades de TI deverá ser estabelecido, documentado e revisto periodicamente, ou sempre que necessário, mediante proposta da área responsável pela segurança da informação, em articulação com as unidades de TI, a ser submetida à aprovação do Gestor de Segurança da Informação. § 2° A consistência e a eficácia do processo de gestão de vulnerabilidades deverão ser avaliadas por meio de indicadores e métricas definidos pelo Gestor de Segurança da Informação, em conjunto com a área de segurança da informação. § 3° As atividades do ciclo de gestão de vulnerabilidades de TI deverão ser desempenhadas com auxílio de fontes externas de dados de vulnerabilidades de TI, como sites de segurança da informação, ferramentas de inteligência em ameaças e vulnerabilidades (por exemplo, MISP), boletins de segurança ou publicações de fornecedores de software ou hardware, que indiquem vulnerabilidades de TI conhecidas e suas respectivas medidas de remediação. Art. 7° O ciclo de gerenciamento de vulnerabilidades de TI compreende o registro dos ativos de TI a serem analisados para identificação de vulnerabilidades. § 1° A área responsável por operacionalizar as ações de segurança da informação manterá o mapeamento dos ativos de TI a que se refere o caput. § 2° Caberá à área responsável pela segurança da informação definir os itens e as características a serem registrados no mapeamento dos ativos de TI, inclusive os campos obrigatórios e facultativos, conforme sua categoria e criticidade. § 3° Todas as unidades de TI deverão colaborar com o fornecimento dos dados necessários à manutenção do mapeamento de ativos de TI. § 4° O mapeamento de ativos de TI deverá ser mantido atualizado sempre que houver mudanças no ambiente de TI da Susep. Art. 8° As vulnerabilidades existentes nos ativos de TI mapeados deverão ser identificadas. § 1° Deverão ser utilizadas preferencialmente ferramentas automatizadas para varredura de vulnerabilidades nos recursos de TI. § 2° As vulnerabilidades de TI identificadas deverão ser detalhadas e registradas em banco de dados centralizado. § 3° Não serão objeto de atividades de identificação de vulnerabilidades os ativos de TI que se enquadrarem nas exceções previstas no art. 3°. § 4° Poderão ser realizados testes de invasão ou penetração - Pentest para fornecimento de informações mais precisas e relevantes sobre as vulnerabilidades atuais do ambiente de TI da Susep, observadas as salvaguardas necessárias à preservação do funcionamento do ambiente. § 5° As vulnerabilidades de TI identificadas deverão ser confirmadas previamente à sua comunicação, sempre que tecnicamente viável, de modo a preservar a credibilidade das atividades de gerenciamento de vulnerabilidades. § 6° As ferramentas de varredura de vulnerabilidades de TI deverão ser ajustadas continuamente com vistas a evitar erros (falsos positivos e falsos negativos) no mapeamento por elas realizado. § 7° As ferramentas automatizadas a que se refere o §1° do caput serão selecionadas e implantadas no ambiente da Susep pela área responsável pela segurança da informação. Art. 9° As vulnerabilidades de TI identificadas deverão ser avaliadas e classificadas com base na gravidade, alcance e risco que representam para a Susep. § 1° As vulnerabilidades de TI classificadas serão ordenadas segundo fatores como gravidade, criticidade do sistema afetado, facilidade de exploração e disponibilidade de solução. § 2° A lista ordenada de vulnerabilidades de TI será a base do planejamento de remediação e mitigação de vulnerabilidades de TI. Art. 10. A remediação e a mitigação de vulnerabilidades de TI compreendem a aplicação de correções, atualizações, patches de segurança ou outras contramedidas destinadas a eliminar ou reduzir vulnerabilidades identificadas. § 1° A área de segurança da informação definirá o plano de tratamento das vulnerabilidades avaliadas, em articulação com a unidade responsável pelo ativo de TI afetado, tendo por base a criticidade das vulnerabilidades e a disponibilidade de solução e de recursos para sua aplicação. § 2° O tratamento de vulnerabilidades de TI poderá ser realizado inicialmente em ambiente de homologação e, quando cabível, posteriormente em ambiente de produção, conforme decisão conjunta da unidade responsável pelo ativo de TI afetado e da área responsável pela segurança da informação, observadas as diretrizes desta última. § 3° O tratamento de vulnerabilidades de TI deverá observar o disposto no normativo interno que disciplina o processo de mudanças em ambientes computacionais. § 4° A unidade responsável pelo ativo de TI afetado, assim considerada aquela formalmente designada como responsável por sua gestão no âmbito institucional, deverá coordenar o tratamento da vulnerabilidade, competindo-lhe promover a implementação das ações previstas no plano de tratamento, ainda que com o apoio de outras unidades, bem como coletar e manter evidências que comprovem sua execução. § 5° A área de segurança da informação compilará as vulnerabilidades que persistirem após o respectivo tratamento, com a devida justificativa técnica, submetendo-as ao Comitê de Segurança da Informação (CSI) para análise e deliberação quanto às vulnerabilidades remanescentes e aos riscos associados. Art. 11. Os resultados das atividades do ciclo de gerenciamento de vulnerabilidades de TI deverão ser periodicamente consolidados e comunicados. § 1° A área de segurança da informação realizará a consolidação periódica das atividades do ciclo de gestão de vulnerabilidades de TI, observado, no mínimo, intervalo trimestral. § 2° Deverão ser informados dos resultados das atividades do ciclo de gestão de vulnerabilidades de TI: I - o Comitê de Segurança da Informação - CSI; e II - as unidades de Tecnologia da Informação. § 3° Os dados da consolidação serão objeto de norma complementar. Art. 12. Compete às unidades de TI da Susep: I - operacionalizar as ações necessárias ao mapeamento, identificação, avaliação e tratamento das vulnerabilidades nos ativos de TI sob sua responsabilidade; II - manter atualizado o mapeamento dos ativos de TI sob sua responsabilidade, incluindo características técnicas, criticidade e dependências, para fins de apoio ao ciclo de gestão de vulnerabilidades de TI; III - participar da execução, quando aplicável, das atividades de remediação e mitigação, observadas as diretrizes da área de segurança da informação e o normativo interno de gestão de mudanças em ambientes computacionais; IV - colaborar com a área responsável pela segurança da informação na disponibilização de informações, evidências e pareceres técnicos necessários à execução do processo de gestão de vulnerabilidades de TI; e V - comunicar tempestivamente à área de segurança da informação quaisquer limitações técnicas, riscos residuais, inviabilidades ou impactos que possam afetar as atividades de gestão de vulnerabilidades de TI. Art. 13. Compete ao Gestor de Segurança da Informação: I - coordenar a elaboração, revisão e atualização desta Política e dos normativos e procedimentos complementares; II - acompanhar a implantação e a execução das ações previstas nesta Política; III - promover a cultura de gestão de vulnerabilidades de TI; e IV -articular a disponibilização de recursos essenciais à implementação das ações de gestão de vulnerabilidades de TI. Art. 14. Compete ao Comitê de Segurança da Informação - CSI: I - deliberar sobre as propostas de instituição e de alteração da PGVTI, para encaminhamento às instâncias competentes; II - acompanhar e avaliar, em nível estratégico, a implementação das ações de gestão de vulnerabilidades de TI no âmbito da Susep; e III - analisar, com base em justificativa técnica, e deliberar quanto às vulnerabilidades remanescentes e aos riscos associados. Art. 15. Compete à área responsável pela segurança da informação: I - implantar, configurar, operar e monitorar a estrutura de gestão de vulnerabilidades de TI; II - propor, implementar e manter procedimentos operacionais de gestão de vulnerabilidades de TI, em conformidade com esta Política e com as diretrizes do Gestor de Segurança da Informação; III - receber, analisar e responder às notificações e às demandas relacionadas à gestão de vulnerabilidades de TI; IV - apoiar tecnicamente a avaliação, priorização e tratamento das vulnerabilidades de TI identificadas, em conjunto com as unidades de TI; V - executar, juntamente com as unidades de TI, as atividades de tratamento das vulnerabilidades de TI; VI - atualizar os indicadores e métricas do processo de gestão de vulnerabilidades de TI; VII - apoiar o Gestor de Segurança da Informação na elaboração, revisão e atualização da PGVTI e de normas internas complementares; VIII - pesquisar, propor, apoiar contratações, implantar e manter soluções técnicas para gestão de vulnerabilidades de TI no âmbito da Susep; e IX - analisar, consolidar e comunicar os resultados das atividades relacionadas à gestão de vulnerabilidades de TI. Art. 16. As regras, medidas, controles e procedimentos operacionais de gestão de vulnerabilidades de TI poderão ser detalhados em normas internas e procedimentos complementares elaborados pela área responsável pela segurança da informação. Art. 17. As atividades de gestão de vulnerabilidades previstas nesta PGVTI deverão ser implementadas de forma gradual, observado o prazo máximo de vinte e quatro meses, contado da data de sua publicação, sob coordenação da área responsável pela segurança da informação. Art. 18. Esta Resolução entra em vigor na data de sua publicação. ALESSANDRO SERAFIN OCTAVIANI LUIS