Nota de escopo: a Política de Gestão de Vulnerabilidades de Tecnologia da Informação possui aplicação interna à Susep. Ela não deve ser apresentada como nova obrigação regulatória diretamente aplicável às entidades supervisionadas.
A Superintendência de Seguros Privados — Susep instituiu uma Política de Gestão de Vulnerabilidades de Tecnologia da Informação destinada a organizar a identificação, a avaliação, o tratamento e o acompanhamento de vulnerabilidades nos ativos tecnológicos da própria autarquia.
A iniciativa integra a estrutura de segurança da informação da Susep e busca fortalecer a proteção de sistemas, redes, aplicações, dados e serviços utilizados no desempenho de suas atividades institucionais.
Seus principais impactos concentram-se na governança interna de tecnologia, na definição de responsabilidades, na documentação das decisões de tratamento e na produção de evidências para auditoria e monitoramento.
Alcance da política
A política foi concebida para aplicação no ambiente interno da Susep, alcançando seus ativos, sistemas, unidades administrativas, agentes públicos, equipes de tecnologia e prestadores que atuem na sustentação de serviços tecnológicos.
O ato não estabelece, por si só, novos requisitos de gestão de vulnerabilidades para:
- sociedades seguradoras;
- entidades abertas de previdência complementar;
- sociedades de capitalização;
- resseguradores locais;
- sociedades cooperativas de seguros;
- administradoras de operações de proteção patrimonial mutualista;
- demais entidades supervisionadas.
As obrigações das supervisionadas relacionadas à segurança cibernética permanecem vinculadas à regulamentação específica do setor e às orientações divulgadas pela Susep.
Objetivos da gestão de vulnerabilidades
A política deve apoiar um processo estruturado e recorrente para redução da exposição dos ativos tecnológicos da autarquia.
Entre os objetivos esperados estão:
- identificar vulnerabilidades em sistemas, aplicações, redes e componentes de infraestrutura;
- avaliar a severidade e o impacto das falhas identificadas;
- priorizar o tratamento conforme risco e criticidade do ativo;
- definir responsáveis e prazos para remediação;
- registrar a aceitação temporária de riscos;
- acompanhar vulnerabilidades pendentes;
- validar a efetividade das correções implementadas;
- produzir informações para a governança e a gestão de riscos;
- manter evidências para auditorias e avaliações de conformidade.
A gestão de vulnerabilidades não deve se limitar à execução de ferramentas de varredura. O processo precisa conectar os achados técnicos ao inventário de ativos, à criticidade dos serviços e aos riscos institucionais.
Áreas e agentes envolvidos
A implementação da política demanda atuação coordenada entre diferentes funções da Susep.
Entre os participantes relevantes estão:
- unidades responsáveis pela infraestrutura de tecnologia;
- equipes de desenvolvimento e manutenção de sistemas;
- segurança da informação;
- proprietários e gestores dos ativos;
- responsáveis pelos serviços institucionais;
- gestão de riscos;
- gestores de contratos de tecnologia;
- prestadores de serviços;
- responsáveis pela proteção de dados;
- auditoria interna;
- instâncias de governança de tecnologia e segurança da informação.
A Coordenação-Geral de Infraestrutura de Tecnologia da Informação possui competências relacionadas à implantação de boas práticas de segurança cibernética na infraestrutura dos serviços tecnológicos da Susep.
Etapas do processo
Um processo consistente de gestão de vulnerabilidades deve contemplar, conforme o texto oficial e os procedimentos internos aplicáveis:
Identificação e manutenção do inventário de ativos.
Definição da criticidade dos ativos e serviços.
Execução periódica de varreduras e avaliações técnicas.
Registro centralizado das vulnerabilidades identificadas.
Classificação da severidade e do risco associado.
Definição de responsáveis e prazos para tratamento.
Aplicação de correções, atualizações ou controles compensatórios.
Realização de novos testes para validar a remediação.
Aprovação formal das exceções e dos riscos aceitos.
Monitoramento das vulnerabilidades pendentes.
Escalonamento de atrasos e exposições críticas.
Reporte periódico às instâncias de governança.
As metodologias de classificação devem considerar não apenas a pontuação técnica da vulnerabilidade, mas também a exposição do ativo, a possibilidade de exploração, o impacto para os serviços e a existência de controles compensatórios.
Pontos de atenção para controles internos
Os controles internos devem assegurar que as vulnerabilidades sejam identificadas e tratadas de forma tempestiva, consistente e rastreável.
Entre os principais controles estão:
- inventário atualizado de hardware, software e aplicações;
- identificação dos responsáveis pelos ativos;
- cobertura periódica das ferramentas de varredura;
- acompanhamento de vulnerabilidades divulgadas pelos fornecedores;
- classificação formal dos achados;
- definição de prazos conforme criticidade;
- segregação entre identificação, correção e validação;
- controle de atualizações e patches;
- testes antes da implantação em produção;
- aprovação de controles compensatórios;
- justificativa para postergação de correções;
- restrição de acesso às informações técnicas sensíveis;
- monitoramento de ativos operados por terceiros;
- registro de incidentes associados a vulnerabilidades conhecidas;
- manutenção de trilha completa das decisões.
Também devem existir mecanismos para identificar ativos não autorizados, sistemas legados, componentes sem suporte e aplicações que não estejam incluídas nas rotinas de avaliação.
Gestão de exceções e aceitação de riscos
Nem todas as vulnerabilidades podem ser corrigidas imediatamente. Limitações operacionais, indisponibilidade de atualizações ou riscos de interrupção podem exigir tratamento alternativo.
Nessas situações, a decisão deve ser formalizada e contemplar:
- descrição da vulnerabilidade;
- ativo e serviço afetados;
- justificativa para a não correção imediata;
- avaliação do risco residual;
- controles compensatórios adotados;
- responsável pela aceitação do risco;
- prazo de validade da exceção;
- data para nova avaliação;
- plano definitivo de tratamento.
A aceitação de risco não deve ser utilizada como encerramento automático do achado. Exceções precisam ser temporárias, aprovadas na alçada adequada e submetidas a monitoramento.
Gestão de fornecedores
Contratos de tecnologia podem envolver ativos, sistemas e componentes administrados por terceiros.
Os controles contratuais devem avaliar:
- responsabilidade pela identificação das vulnerabilidades;
- prazos para aplicação de correções;
- comunicação de falhas críticas;
- acesso da Susep aos resultados das avaliações;
- realização de testes de segurança;
- tratamento de componentes sem suporte;
- obrigação de preservar registros e evidências;
- comunicação de incidentes;
- requisitos para subcontratados;
- consequências aplicáveis ao descumprimento.
A terceirização de serviços tecnológicos não transfere integralmente o risco nem elimina a necessidade de supervisão pela autarquia.
Recomendações para auditoria interna
A auditoria interna pode avaliar o desenho e a efetividade do processo de gestão de vulnerabilidades.
Os procedimentos podem incluir:
Verificar a aprovação e a atualização da política.
Avaliar a definição de papéis e responsabilidades.
Comparar o inventário de ativos com o alcance das varreduras.
Selecionar amostras de vulnerabilidades críticas e elevadas.
Verificar o cumprimento dos prazos de tratamento.
Confirmar a validação independente das correções.
Avaliar as justificativas para vulnerabilidades vencidas.
Revisar as aprovações de aceitação de riscos.
Verificar a aplicação de controles compensatórios.
Avaliar o monitoramento de fornecedores.
Confrontar vulnerabilidades conhecidas com incidentes ocorridos.
Revisar indicadores e reportes apresentados à governança.
Avaliar a proteção das informações técnicas geradas.
Confirmar a manutenção de evidências suficientes.
A auditoria também pode utilizar análise de dados para identificar vulnerabilidades recorrentes, ativos com maior exposição, áreas com atrasos frequentes e exceções renovadas sucessivamente.
Indicadores de monitoramento
A gestão pode acompanhar indicadores como:
- percentual de ativos cobertos por varreduras;
- quantidade de vulnerabilidades por criticidade;
- tempo médio para tratamento;
- percentual de correções realizadas no prazo;
- vulnerabilidades críticas vencidas;
- quantidade de riscos aceitos;
- exceções próximas do vencimento;
- taxa de reincidência;
- ativos sem suporte do fabricante;
- vulnerabilidades associadas a incidentes;
- desempenho dos fornecedores;
- cobertura de testes após as correções.
Os indicadores devem ser analisados em conjunto com a criticidade dos serviços e com a exposição real dos ativos.
Relação com as entidades supervisionadas
A Política de Gestão de Vulnerabilidades da Susep não deve ser confundida com o Manual de Orientações sobre Segurança Cibernética destinado às entidades supervisionadas.
O manual setorial possui caráter orientativo e auxilia seguradoras, entidades abertas de previdência complementar, sociedades de capitalização, resseguradores locais, cooperativas de seguros e administradoras de proteção patrimonial mutualista na implementação da regulamentação vigente.
As supervisionadas devem continuar observando os requisitos específicos relacionados à política de segurança cibernética, gestão de riscos, continuidade de negócios, tratamento de incidentes e elaboração do relatório anual sobre prevenção e tratamento de incidentes e vulnerabilidades.
Como o T-Visor apoia o processo
O T-Visor pode apoiar a documentação, o acompanhamento e a auditoria do processo de gestão de vulnerabilidades.
A plataforma permite:
- cadastrar políticas e requisitos;
- mapear ativos, riscos e controles;
- atribuir responsáveis e prazos;
- organizar relatórios de varredura;
- solicitar e armazenar evidências;
- acompanhar vulnerabilidades pendentes;
- registrar riscos aceitos e controles compensatórios;
- controlar o vencimento de exceções;
- documentar testes de validação;
- monitorar planos de remediação;
- identificar ocorrências recorrentes;
- executar testes de aderência;
- gerar relatórios para gestão e auditoria;
- manter trilhas auditáveis das decisões.
A centralização das informações facilita a priorização dos riscos e reduz a possibilidade de perda de evidências, vulnerabilidades sem responsável e remediações não validadas.
Conclusão
A Política de Gestão de Vulnerabilidades de Tecnologia da Informação fortalece a governança interna de segurança da Susep e organiza responsabilidades relacionadas à identificação, classificação, tratamento e monitoramento de falhas em seus ativos tecnológicos.
Seu alcance é interno à autarquia e não cria diretamente novas obrigações para as entidades supervisionadas.
Para auditoria, os principais pontos de atenção são a cobertura do inventário, a priorização baseada em risco, o cumprimento dos prazos, a validação das correções, a gestão de exceções e a rastreabilidade das decisões.
Fonte institucional: Superintendência de Seguros Privados — Política de Gestão de Vulnerabilidades de Tecnologia da Informação.
Regulamentação relacionada para supervisionadas: Resoluções CNSP nº 416/2021, nº 491/2026 e nº 492/2026; Circular Susep nº 638/2021; e Manual de Orientações sobre Segurança Cibernética.
Fonte oficial: Superintendencia de Seguros Privados. Este material é informativo e não substitui a leitura da norma.