Despacho

Despacho n.º 8877/2017

Estabelece o modelo de governação relativo à implementação da política de cibersegurança da saúde

Objeto

O presente despacho estabelece o modelo de governação relativo à implementação da política de cibersegurança da saúde.

Âmbito

O presente despacho é aplicável aos estabelecimentos, serviços e organismos do Serviço Nacional de Saúde (SNS) e do Ministério da Saúde (MS), bem como às entidades do setor empresarial do Estado da área da saúde.

Artigo 3.º

Modelo de Governação

1 -A SPMS - Serviços Partilhados do Ministério da Saúde, E. P. E. (SPMS, E. P. E.), deverá articular-se com o Gabinete Nacional de Segurança/Centro Nacional de Cibersegurança (GNS/CNCS), no âmbito das respetivas competências por forma a:
1. a)Promover a articulação intrainstitucional e interinstitucional, com vista a garantir a cibersegurança das redes e dos sistemas de informação de saúde, independentemente da sua localização, em função da conectividade existente;
2. b)Acompanhar, apoiar e monitorizar as medidas de proteção, deteção, resposta e recuperação dos recursos críticos do SNS;
3. c)Definir o modelo de avaliação para a gestão e monitorização das medidas de cibersegurança;
4. d)Desenvolver ações de formação, campanhas de sensibilização e desenvolvimento de planos e ações de comunicação para os riscos de cibersegurança junto às entidades do SNS e do MS;
5. e)Fomentar a gestão segura dos ativos de hardware, software e redes e comunicações, promovendo a cooperação entre instituições de saúde, a nível regional e local;
6. f)Promover uma cultura de gestão de risco em matéria de software ou do hardware e redes e comunicações, designadamente através da incorporação de requisitos de gestão de risco nas aquisições a realizar;
7. g)Definir estratégias de combate à fraude no âmbito da cibersegurança;
8. h)Monitorizar e publicar com caráter regular os resultados das medidas adotadas.
2 -A SPMS, E. P. E., define, após validação prévia do GNS/CNCS, as políticas de cibersegurança para as entidades referidas no artigo 2.º
3 -A SPMS, E. P. E., promove uma gestão participativa da segurança que assegure os normativos e modelos de gestão da função segurança nas entidades referidas no artigo 2.º
4 -A SPMS, E. P. E., convoca os responsáveis de segurança da informação das entidades referidas no artigo 2.º, ao longo do processo de definição normativa, e cria condições de participação destes responsáveis utilizando fóruns destinados ao diálogo e reflexão conjunta.

Artigo 4.º

Medidas e procedimentos de cibersegurança

1 -As medidas e procedimentos de cibersegurança a definir pela SPMS, E. P. E., em articulação com GNS/CNCS devem prever, designadamente:
1. a)Contributo para a criação de valor no setor da saúde e alinhamento com as estratégias e objetivos do MS e entidades locais;
2. b)Envolvimento e partilha de responsabilidades de todos os colaboradores, designadamente órgãos governamentais, órgãos dirigentes, profissionais de saúde, profissionais das Tecnologias de Informação e outros profissionais;
3. c)Utilização de boas práticas comuns e alinhamento com boas práticas de referência na área de cibersegurança e, em especial, no âmbito do setor da Saúde;
4. d)Adoção de uma visão holística da cibersegurança, considerando as dimensões de Organização, Processos, Pessoas e Tecnologias;
5. e)Ações de auditoria inicial e iniciativas de suporte à melhoria contínua;
6. f)Ações de mitigação de vulnerabilidades e reforço de controlos de curto e médio prazo;
7. g)Comportamentos organizacionais;
8. h)Benchmarking e partilha de experiências e informação internacional proveniente das agências especializadas neste âmbito, designadamente, a Agência da União Europeia para a Segurança das Redes e da Informação;
9. i)Mecanismos de informação ao membro do Governo responsável pela área da saúde e aos utilizadores dos sistemas quanto aos riscos, medidas e ações a adotar;
10. j)A implementação de processos de melhoria contínua por forma a adaptar as políticas e os processos em função dos incidentes ocorridos;
11. k)Incentivos à investigação em matéria de cibersegurança em parceria com instituições públicas de ensino e investigação, nacionais ou internacionais;
12. l)Criação de um cadastro das aplicações informáticas do SNS/MS até 90 dias após publicação do presente despacho;
2 -A SPMS, E. P. E., mantém um repositório informático do cadastro mencionado na alínea supra, emitindo documento de registo, com validade anual, por cada aplicação e entidade.

Artigo 5.º

Responsabilidades

Compete às entidades abrangidas pelo presente despacho:

a)Adotar as medidas relativas ao Programa de Gestão de Risco e Segurança do eSIS;
b)Atribuir as funções e responsabilidades de responsável de segurança da informação (Chief Information Security Officer - CISO) e de responsável técnico de segurança (Chief Security Officer - CSO) para garantir a colaboração com o responsável máximo de sistemas de informação da respetiva entidade, e serem indicados à SPMS, E. P. E., no prazo máximo de 60 dias após a entrada em vigor do presente despacho;
c)Elaborar relatórios regulares sobre o perfil evolutivo da implementação das políticas e controlos de segurança na entidade, de forma a permitir avaliar e comparar níveis de maturidade;
d)Garantir a disponibilização dos recursos humanos, tecnológicos e financeiros, necessários para assegurar o cumprimento dos níveis de serviço definidos pela SPMS, E. P. E.;
e)Assumir um papel participativo e colaborativo na partilha de boas práticas e de melhoria contínua para responder à dinâmica evolutiva dos diversos contextos de cibersegurança;
f)Cumprir as medidas e procedimentos na área da cibersegurança;
g)Promover em tempo útil a disponibilidade dos meios de proteção, deteção, resposta e recuperação reportando aos órgãos competentes, sempre que confrontada com situações que comprometam a segurança;
h)Acompanhar, apoiar e monitorizar o desenvolvimento de medidas de proteção, deteção, resposta e recuperação dos recursos críticos locais;
i)Adotar o modelo de avaliação para a gestão e monitorização das medidas de segurança;
j)Colaborar com a SPMS, E. P. E., no processo de definição normativo e nos modelos de gestão da segurança a implementar.
k)Cumprir as indicações a emitir por circular normativa da SPMS, E. P. E., com vista à realização do disposto na alínea l) do artigo 4.º, garantindo assim toda a colaboração para a constituição do cadastro aplicacional do MS e sua atualização permanente, no espaço máximo de 30 dias após publicação do presente despacho.

Artigo 6.º

Aquisição e gestão de tecnologias com vista à cibersegurança

1 -Compete à SPMS, E. P. E., proceder à agregação das necessidades de aquisição de todos os bens e serviços necessários à implementação dos planos de cibersegurança na saúde, bem como assegurar a tramitação prévia dos procedimentos de aquisição nos termos definidos no contrato de mandato administrativo a celebrar entre a SPMS, E. P. E., e as entidades adquirentes.
2 -A agregação das necessidades prevista no número anterior é obrigatória para todas as entidades referidas no artigo 2.º
3 -Às instituições referidas no número anterior cumpre prever nos seus orçamentos as verbas necessárias para acautelar os investimentos necessários no âmbito da modernização tecnológica crítica em cada momento, que resultam da implementação de uma política de segurança e levantamento de necessidades indicadas pela SPMS, E. P. E.

Artigo 7.º

Auditorias e avaliações de cibersegurança

Sem prejuízo das competências do GNS/CNCS, compete à SPMS, E. P. E., efetuar ou determinar auditorias e avaliações de cibersegurança às entidades abrangidas pelo presente despacho para determinar o nível tecnológico adequado a garantir o nível de segurança definido, bem como a coerência entre iniciativas processuais e tecnológicas, sistemas legados e novos sistemas e as aquisições futuras com vista a racionalização dos esforços financeiros.

Artigo 8.º

Financiamento

1 -O custo com as auditorias de cibersegurança, que venham a ser determinadas ao abrigo do artigo 7.º, é suportado pela entidade auditada, no âmbito do seu plano de investimentos em tecnologias de informação.
2 -As ações efetuadas pela SPMS, E. P. E., ao abrigo do artigo 7.º são suportadas pelas verbas do contrato programa entre Administração Central do Sistema de Saúde, I. P. (ACSS, I. P.) e a SPMS, E. P. E.

Artigo 9.º

Recursos Humanos e Capacitação

1 -As entidades garantem formação e certificação dos seus quadros técnicos em matéria de cibersegurança, garantir formação e sensibilização dos profissionais de saúde e outros trabalhadores em matéria de segurança da informação e indicar um responsável de alto nível para a segurança da informação.
2 -A SPMS, E. P. E., disponibiliza um quadro de referência na formação em cibersegurança com recursos próprios ou recorrendo a parcerias com universidades públicas, e um programa inicial de formação geral sem encargos para as entidades do SNS.
3 -A ACSS, I. P., no âmbito das suas competências para gestão dos Recursos Humanos no SNS e MS, garante a capacidade de reforço dos quadros internos que garantam a existência de meios humanos para implementação das medidas e procedimentos de cibersegurança referidas no presente despacho.

Artigo 10.º

Adesão voluntária

As entidades convencionadas com o SNS, bem como outras entidades públicas ou privadas, designadamente as que integrem as Regiões Autónomas, podem aderir ao programa de cibersegurança objeto do presente despacho, mediante contrato de adesão a celebrar com a SPMS, E. P. E.

Artigo 11.º

Entrada em vigor

O presente despacho entra em vigor no dia seguinte ao da sua publicação.

29 de setembro de 2017. - O Secretário de Estado da Saúde, Manuel Martins dos Santos Delgado.

310821546

Artigo 5.º

Responsabilidades

Compete às entidades abrangidas pelo presente despacho:

a)Adotar as medidas relativas ao Programa de Gestão de Risco e Segurança do eSIS;
b)Atribuir as funções e responsabilidades de responsável de segurança da informação (Chief Information Security Officer - CISO) e de responsável técnico de segurança (Chief Security Officer - CSO) para garantir a colaboração com o responsável máximo de sistemas de informação da respetiva entidade, e serem indicados à SPMS, E. P. E., no prazo máximo de 60 dias após a entrada em vigor do presente despacho;
c)Elaborar relatórios regulares sobre o perfil evolutivo da implementação das políticas e controlos de segurança na entidade, de forma a permitir avaliar e comparar níveis de maturidade;
d)Garantir a disponibilização dos recursos humanos, tecnológicos e financeiros, necessários para assegurar o cumprimento dos níveis de serviço definidos pela SPMS, E. P. E.;
e)Assumir um papel participativo e colaborativo na partilha de boas práticas e de melhoria contínua para responder à dinâmica evolutiva dos diversos contextos de cibersegurança;
f)Cumprir as medidas e procedimentos na área da cibersegurança;
g)Promover em tempo útil a disponibilidade dos meios de proteção, deteção, resposta e recuperação reportando aos órgãos competentes, sempre que confrontada com situações que comprometam a segurança;
h)Acompanhar, apoiar e monitorizar o desenvolvimento de medidas de proteção, deteção, resposta e recuperação dos recursos críticos locais;
i)Adotar o modelo de avaliação para a gestão e monitorização das medidas de segurança;
j)Colaborar com a SPMS, E. P. E., no processo de definição normativo e nos modelos de gestão da segurança a implementar.
k)Cumprir as indicações a emitir por circular normativa da SPMS, E. P. E., com vista à realização do disposto na alínea l) do artigo 4.º, garantindo assim toda a colaboração para a constituição do cadastro aplicacional do MS e sua atualização permanente, no espaço máximo de 30 dias após publicação do presente despacho.