RESOLUÇÃO SUSEP Nº 95, DE 11 DE SETEMBRO DE 2026

RESOLUÇÃO SUSEP Nº 95, DE 11 DE SETEMBRO DE 2026 Institui a Política de Gestão de Registros de Auditoria em Ambientes Computacionais no âmbito da Superintendência de Seguros Privados -Susep O SUPERINTENDENTE DA SUPERINTENDÊNCIA DE SEGUROS PRIVADOS - SUSEP, torna público que o Conselho Diretor desta Autarquia, em reunião ordinária realizada em 9 de setembro de 2026, no uso das atribuições que lhe confere o inciso VI do art. 8º do Regimento Interno, aprovado pela Resolução CNSP nº 490, de 12 de março de 2026, tendo em vista o disposto na Portaria SGD/MGI nº 9.511, de 28 de outubro de 2025, na Resolução Susep nº 45, de 17 de outubro de 2024, e na Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, bem como o que consta do Processo Susep nº 15414.666235/2025-31, resolve: Art. 1º Fica instituída a Política de Gestão de Registros de Auditoria em Ambientes Computacionais - PGRAC no âmbito da Susep. CAPÍTULO I DOS OBJETIVOS Art. 2º A PGRAC estabelece diretrizes estratégicas, competências e responsabilidades voltadas à rastreabilidade e à identificação de eventos ocorridos no ambiente computacional da Susep. Art. 3º A PGRAC disciplina os procedimentos de coleta, armazenamento e manutenção de registros de eventos e trilhas de auditoria. Art. 4º A implementação da PGRAC assegurará o rastreamento, o acompanhamento, o controle e a verificação de acessos aos ativos computacionais. Art. 5º Os processos decorrentes da PGRAC têm por objetivo: I - identificar detalhadamente as causas de eventos ocorridos em recursos computacionais; II - obter dados para a investigação de incidentes de segurança da informação; III - reduzir o tempo de resposta a incidentes; e IV - ampliar a capacidade de identificação precisa da autoria e da origem dos eventos ocorridos no ambiente computacional da Susep. CAPÍTULO II DO ESCOPO Art. 6º A PGRAC se aplica a todos os recursos de tecnologia da informação da Susep, exceto os que: I - não disponham de capacidade técnica para registro de logs; II - estejam protegidos por cláusulas contratuais ou disposições normativas que restrinjam a geração ou o acesso a registros; III - sejam considerados tecnicamente inviáveis para fins de gestão de logs e trilhas de auditoria; ou IV - pertençam a terceiros, hipótese em que a PGRAC não se aplica aos registros de eventos gerados por sistemas operacionais ou aplicações sob sua responsabilidade. Parágrafo único. As unidades responsáveis por recursos de tecnologia da informação considerados isentos da aplicação da PGRAC deverão formalizar, junto à área operacional de segurança da informação, a devida justificativa da isenção. Art. 7º Esta Resolução e eventuais normas complementares deverão ser observadas por servidores e prestadores de serviço que possuam privilégios administrativos sobre recursos do ambiente computacional da Susep aptos a gerar registros de eventos ou trilhas de auditoria. CAPÍTULO III DOS CONCEITOS E DEFINIÇÕES Art. 8º Para fins desta Resolução, além dos termos constantes do glossário de segurança da informação instituído pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, e na Política de Segurança da Informação da Susep - POSIN, aplicam-se também as seguintes definições: I - ambiente computacional: conjunto de recursos de tecnologia da informação, incluindo hardware, software e infraestrutura, utilizados no âmbito da Susep; II - área gerencial de segurança da informação: unidade organizacional responsável pela gestão de segurança da informação nos ativos e serviços de TI, pela definição de diretrizes, normas e padrões relacionados ao tema, bem como pela coordenação das atividades a ele associadas; III - área operacional de segurança da informação: unidade organizacional responsável pela execução das atividades de segurança da informação, incluindo a implementação de controles, o tratamento de incidentes e solicitações de TI, a disseminação da cultura de segurança da informação e demais atividades operacionais relacionadas ao tema, em conformidade com as diretrizes estabelecidas pela área gerencial; IV - áreas operacionais de tecnologia da informação: unidades organizacionais responsáveis pela infraestrutura de TI e pelo desenvolvimento e manutenção de sistemas informatizados; V - gestor de segurança da informação: autoridade formalmente designada, titular ou setorial, conforme designação vigente, responsável pela supervisão e aprovação das diretrizes de segurança da informação no âmbito institucional; VI - descarte: retirada definitiva de uso de mídia ou de outro meio de suporte à informação, com sua correspondente destinação final, observados os requisitos de segurança aplicáveis; VII - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR: equipe responsável pelo planejamento e pela execução das atividades de tratamento e resposta a incidentes que possam comprometer a segurança dos dados, sistemas e redes de computadores no âmbito da Susep; VIII - incidente de segurança: qualquer evento adverso, confirmado ou suspeito, relacionado à segurança dos ambientes computacionais, das informações neles contidas ou das redes de computadores; IX - retenção: tempo de armazenamento de determinada informação ou registro, definido conforme o risco e criticidade do recurso computacional e determinações legais ou infralegais; X - registro de eventos: registros de ações realizadas em um dispositivo computacional, sistema ou ativo de informação; XI - sanitização de dados: eliminação efetiva de informação armazenada em meio eletrônico, de forma a impedir sua reconstrução ou recuperação; e XII - trilha de auditoria: registro ou conjunto de registros gravados em arquivos de log ou outro tipo de documento ou mídia que possibilitam indicar, de forma cronológica e inequívoca o autor e a respectiva ação realizada em determinada operação, procedimento ou evento. CAPÍTULO IV DOS PRINCÍPIOS Art. 9º A PGRAC tem por princípio a proteção dos seguintes atributos da informação sob custódia da Susep: I - a confidencialidade; II - a integridade; III - a autenticidade; IV - a disponibilidade; e V - a irretratabilidade. CAPÍTULO V DAS INSTÂNCIAS, COMPETÊNCIAS E RESPONSABILIDADES Art. 10. As instâncias de supervisão, controle e normatização correspondem ao nível estratégico e central da gestão de registros de auditoria em ambientes computacionais e são responsáveis por: I - definir a estratégia de implementação da PGRAC; II - coordenar e estruturar a gestão dos registros de auditoria; III - autorizar o acesso a registros e trilhas de auditoria em ambientes computacionais; e IV - instruir e revisar normas complementares a esta Política, com vistas à sua atualização e aderência às alterações do ambiente de tecnologia da informação da SUSEP. Parágrafo único. As instâncias de que trata o caput são compostas pelo Comitê de Segurança da Informação (CSI), pelo Gestor de Segurança da Informação, titular ou setorial, conforme designação vigente, e pela área gerencial de segurança da informação. Art. 11. As instâncias táticas e operacionais são responsáveis por: I - habilitar a geração de registros de eventos e trilhas de auditoria nos recursos computacionais da SUSEP; II - habilitar o trânsito de dados e proporcionar acesso físico e lógico necessários ao cumprimento desta PGRAC; III - garantir a conformidade dos recursos computacionais da SUSEP com esta Política; e IV - assegurar a conformidade dos recursos computacionais de terceiros utilizados para o tráfego ou armazenamento de dados da Susep. Parágrafo único. As instâncias de que trata o caput compreendem a área operacional de segurança da informação e as áreas operacionais de tecnologia da informação da SUSEP. Art. 12. Compete ao Gestor de Segurança da Informação, titular ou setorial, conforme designação vigente: I - aprovar formalmente as requisições de acesso a registros de eventos e trilhas de auditoria; II - publicar normas complementares a esta Política; e III - tratar situações relacionadas aos registros de eventos e trilhas de auditoria não previstas nesta Política. Art. 13. Compete à área operacional de segurança da informação: I - monitorar eventos de acesso e uso de recursos computacionais; II - instruir, manter e operar rotinas periódicas de revisão dos registros para identificação de eventos anômalos; e III - correlacionar e interpretar registros de eventos e trilhas de auditoria. Art. 14. Compete à ETIR tratar os incidentes identificados por meio da análise de registros de auditoria em recursos computacionais. CAPÍTULO VI DA GESTÃO DE REGISTROS DE AUDITORIA EM AMBIENTES COMPUTACIONAIS Art. 15. Todos os recursos computacionais conectados à infraestrutura da Susep, sejam próprios ou de terceiros, devem gerar registros de eventos e trilhas de auditoria nos termos do art. 3º desta Política, observadas as exceções previstas no art. 6º. Parágrafo único. Os registros de auditoria de que trata o caput devem ser continuamente coletados, transmitidos e armazenados em ambiente centralizado, redundante e protegido por controles de acesso físico e lógico, conforme requisitos definidos em norma complementar. Art. 16. A área gerencial de segurança da informação estabelecerá normas complementares com o detalhamento dos registros, os formatos de gravação, os requisitos técnicos mínimos e a lista mínima de eventos auditáveis, incluindo as características e os dados a serem registrados. Art. 17. O Termo de Responsabilidade de Acesso a Recursos Computacionais deverá conter cláusula de ciência quanto ao monitoramento, registro, análise e auditoria das ações realizadas por meio dos referidos recursos. Art. 18. Os registros de eventos e trilhas de auditoria são considerados informações sensíveis, devendo seu acesso ser restrito ao pessoal responsável pela implementação desta Política. Art. 19. A retenção dos registros de eventos e trilhas de auditoria observará o disposto na legislação e nos instrumentos infralegais vigentes. Parágrafo único. Na ausência de determinação específica, o período mínimo de armazenamento será de noventa dias. Art. 20. Todos os registros de eventos e trilhas de auditoria devem ser objeto de cópias de segurança (backups), armazenadas em local geograficamente distinto daquele onde se efetua seu armazenamento principal e em conformidade com a Política de Backup e Restauração de Dados Digitais da Superintendência de Seguros Privados. Art. 21. Fica vedada a exclusão precoce ou alteração de registros de eventos ou trilhas de auditoria. Parágrafo único. As exclusões de cópias de segurança deverão observar procedimentos de descarte seguro e sanitização, em conformidade com a legislação, os instrumentos infralegais e as normas internas aplicáveis. Art. 22. Os registros de eventos devem conter horário em padrão Tempo Universal Coordenado -UTC, sem conversão para fuso horário local. Art. 23. Os recursos computacionais deverão manter sincronismo de seus relógios por meio da utilização de protocolo padrão, atendendo aos requisitos mínimos a serem definidos em norma complementar. Art. 24. Todos os incidentes de segurança identificados por meio da análise de registros de eventos e trilhas de auditoria deverão ser comunicados imediatamente à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos da Susep (ETIR). Art. 25. Quando houver a participação de entes externos para subsidiar as atividades relacionadas ao tema desta Política, os acessos deverão ser concedidos de forma pontual, pelo tempo estritamente necessário e com o escopo mínimo indispensável ao desempenho das atividades. CAPÍTULO VII DAS DISPOSIÇÕES FINAIS Art. 26. As disposições estabelecidas nesta Política deverão ser implementadas no prazo de até vinte e quatro meses, contado da data de sua publicação. Art. 27. A PGRAC deverá ser revista na superveniência de alterações normativas ou de mudanças no ambiente de tecnologia da informação da Susep que demandem sua atualização. Art. 28. As exceções a que se refere o art. 6º poderão ser revistas pelas áreas operacional e gerencial de segurança da informação. Art. 29. Os casos omissos em relação ao disposto na presente Política deverão ser submetidos ao Gestor de Segurança da Informação, titular ou setorial, conforme designação vigente. Art. 30. Esta Resolução entra em vigor na data de sua publicação. ALESSANDRO SERAFIN OCTAVIANI LUIS