RESOLUÇÃO SUSEP N° 89, DE 21 DE JULHO DE 2026

RESOLUÇÃO SUSEP N° 89, DE 21 DE JULHO DE 2026

Institui a Política de Gestão de Vulnerabilidades de Tecnologia da Informação no âmbito da Susep.

O SUPERINTENDENTE DA SUPERINTENDÊNCIA DE SEGUROS PRIVADOS - SUSEP torna público que Conselho Diretor desta Autarquia, em reunião ordinária realizada em 15 de julho de 2026, no uso das atribuições que lhe conferem o inciso VI do Art. 8° do Regimento Interno, aprovado pela Resolução CNSP n° 490, de 12 de março de 2026, tendo em vista o disposto na Portaria SGD/MGI n° 9.511, de 28 de outubro de 2025, na Resolução Susep n° 45, de 17 de outubro de 2024, e na Instrução Normativa GSI/PR n° 3, de 28 de maio de 2021, bem como o que consta do Processo Susep n° 15414.666235/2025-31, resolve:

Art. 1° Fica instituída a Política de Gestão de Vulnerabilidades de Tecnologia da Informação - PGVTI no âmbito da Susep, nos termos desta Resolução.

Art. 2° A PGVTI tem por objetivo estabelecer diretrizes, processos e responsabilidades para a identificação, avaliação, priorização, tratamento e comunicação de vulnerabilidades em ativos de tecnologia da informação - TI da Susep.

Parágrafo único. O processo de que trata o caput deverá ser contínuo e estruturado, incluindo o mapeamento dos ativos de TI, de suas vulnerabilidades e das medidas de tratamento cabíveis.

Art. 3° A PGVTI se aplica a todos os ativos de TI da Susep, exceto os que:

I - não possuam capacidade técnica para realização de análises de vulnerabilidade de TI;

II - estejam sujeitos a restrições contratuais ou normativas que impeçam a execução dessas análises;

III - sejam considerados tecnicamente inviáveis para fins de gestão de vulnerabilidades de TI, mediante justificativa técnica da área responsável pelo ativo, devidamente fundamentada, e manifestação da área responsável pela segurança da informação.

IV - As exceções de que trata este artigo deverão ser formalmente justificadas pela unidade responsável pelo ativo de TI, com manifestação da área de segurança da informação, e submetidas à aprovação do Gestor de Segurança da Informação.