IN GSI/PR nº 1/2020 — Segurança da Informação e Cibersegurança na APF
Identificação
Seção intitulada “Identificação”Nome completo: Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e seus Normativos Complementares — Dispõe sobre a Gestão de Segurança da Informação nos órgãos e entidades da Administração Pública Federal Emissor: Gabinete de Segurança Institucional da Presidência da República (GSI/PR) Vigência: A partir de maio de 2020 Link oficial: https://www.gov.br/gsi/pt-br/composicao/dsic/normas-complementares
O que é
Seção intitulada “O que é”Estabelece o sistema normativo de gestão de segurança da informação e cibersegurança para os órgãos e entidades da APF. É composta pela instrução normativa principal e por normativos complementares que tratam de temas específicos como gestão de riscos, tratamento de incidentes, uso de dispositivos móveis, computação em nuvem e outros.
Por que é referenciada nesta proposta
Seção intitulada “Por que é referenciada nesta proposta”O uso de IA — especialmente ferramentas externas baseadas em nuvem — tem implicações diretas com a segurança da informação regulada pela IN GSI/PR nº 1/2020. Os normativos complementares tratam de temas diretamente relacionados ao uso de IA institucional:
- Computação em nuvem: LLMs externos são serviços em nuvem e devem ser avaliados sob essa perspectiva
- Gestão de riscos de TIC: o processo de avaliação de risco da proposta deve seguir os critérios estabelecidos
- Tratamento de incidentes: uso inadequado de IA pode gerar incidentes de segurança que devem ser tratados conforme a norma
O que impacta na proposta
Seção intitulada “O que impacta na proposta”| Seção da proposta | Impacto |
|---|---|
| Ferramentas externas (Seção 7) | Base normativa para avaliação e restrição de ferramentas |
| Classificação de risco (5.4) | O processo de gestão de risco deve incorporar critérios da IN |
| Governança (5.4) | O Responsável Técnico deve atuar em alinhamento com as normas do GSI/PR |
| IDR-002 (LLMs externos) | Deve referenciar os normativos complementares aplicáveis |
Pontos de atenção específicos para o IBAMA
Seção intitulada “Pontos de atenção específicos para o IBAMA”- A área de Segurança da Informação do IBAMA deve ser envolvida desde a Fase 1 da proposta
- Ferramentas de IA externas devem ser avaliadas quanto à conformidade com os critérios de computação em nuvem estabelecidos pelo GSI/PR
- Qualquer incidente envolvendo uso inadequado de IA com dados institucionais deve ser tratado conforme o procedimento de resposta a incidentes definido nos normativos complementares
- Verificar os normativos complementares mais atuais, pois o conjunto normativo é atualizado periodicamente