PLANO DE GESTÃO DE RISCOS DE TECNOLOGIA DA INFORMAÇÃO E COMUNICAÇÃO

PGRTIC 2026

Data: 25/03/2026

Versão 4.0

Plano de Gestão de Riscos de Tecnologia da Informação e Comunicação no âmbito do Poder Judiciário do Estado de Pernambuco

Presidente do Tribunal de Justiça do Estado de Pernambuco (gestão 2026- 2028) Desembargador Francisco Bandeira de Mello

1° Vice-Presidente

Desembargador Alberto Nogueira Virgínio

2° Vice-Presidente

Desembargador Fausto de Castro Campos

Corregedor-Geral da Justiça

Desembargador Alexandre Guedes Alcoforado Assunção

Secretaria de Tecnologia da Informação e Comunicação

Juliana Neiva de Gouvêa Ribeiro

Equipe Técnica na elaboração deste documento (servidores do SETIC)

Diego Augusto de Araújo Madeira Iveruska Carmem Jatobá Basto Justiniano Frederico Saraiva Vasconcelos Marcelo Ferreira de Lima Moisés Neves Camêlo

HISTÓRICO DE ALTERAÇÕES

Versão	Data	Autor(es)	Descrição
1.0	02/03/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Criação do Documento
1.1	14/03/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Sugestão do processo de gestão de riscos e inserir matriz RPCI.
1.2	23/03/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Validar sugestões de alterações no processo de gestão de riscos.
1.3	10/04/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Ajustar processo de gestão de riscos e suas atividades.
1.4	07/06/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Ajuste final para aumentar fonte do processo, corrigir nome da tarefa e inserir texto introdutório sobre os perfis e responsabilidades.
1.5	10/08/2023	AGTIC – Assessoria de Governança de Tecnologia da Informação	Mudança de nomenclatura de G7 para CGETIC.
1.6	AGTIC – Assessoria de Governança de Tecnologia da Informação	Apresentado ao CGETIC o plano de gestão de riscos, correções com os apontamentos do CGETIC e publicação.
3.0	05/03/2024	AGSI – Assessoria de Gestão de Segurança da Informação	Atualizar o documento para o ano de 2024, como: nova composição da mesa diretora do TJPE, responsáveis e atores.
4.0	25/03/2026	AGSI – Assessoria de Gestão de Segurança da Informação	Atualizar o documento para o ano de 2026, como: nova composição da mesa diretora do TJPE, responsáveis e atores. Inclusão de Riscos de Inteligência Artificial (IA). Fortalecimento da Cultura de Riscos (Conscientização e Treinamento)

SUMÁRIO

1. APRESENTAÇÃO	5

2. OBJETIVO	5

3. BENEFÍCIOS E RESULTADOS NO PROCESSO DE GESTÃO DE RISCOS	6

4. ABREVIAÇÕES E DEFINIÇÕES	7

5. REFERÊNCIAS NORMATIVAS	9

6. FLUXO DO PROCESSO	12

7. RESPONSABILIDADES	14

8. METODOLOGIA E PROCESSO DE GESTÃO DE RISCOS DE TIC	19

9. PRINCIPAIS RISCOS TRATADOS	21

10. PLANO DE AÇÃO SOBRE RISCOS DE TIC	22

11. CULTURA E CONSCIENTIZAÇÃO EM GESTÃO DE RISCOS	23

12. CONSIDERAÇÕES FINAIS	24

13. ANEXOS	24

13.1. ESCALA DE VALORES PARA APURAÇÃO DO NÍVEL DE RISCO	24

13.2. Planilha modelo para Gestão de Riscos de TIC (parte 1)	26

13.3. Planilha modelo para Gestão de Riscos de TIC (parte 2)	27

TABELAS

Tabela 1 - Documentos de Referência para elaborar o PGRTIC do TJPE ........................................ 12

FIGURAS

Figura 1 - Fluxo do Processo de Gestão de Riscos do TJPE ........................................................... 16

1. APRESENTAÇÃO

Este documento está estruturado da seguinte forma:

Objetivos;

Benefícios e resultados no processo de gestão de riscos;

Abreviações e definições;

Referências normativas;

Fluxo do processo;

Responsabilidades;

Metodologia do processo de gestão de riscos de TIC;

Principais tratados;

Plano de ação sobre riscos de TIC;

Considerações finais;

Anexos

Contempla também os demais aspectos do Plano de Gestão de Riscos de TIC, de forma alinhada às diretrizes institucionais da Política de Segurança da Informação e Gestão de Riscos do TJPE, além de servir de referência na sua execução.

Diante disso, os riscos associados à área de TI devem ser gerenciados de forma eficiente e eficaz. Este documento define o Plano de Gestão de Riscos de TIC (PGRTIC) que deverá ser aplicado na Secretaria de Tecnologia da Informação e Comunicação (SETIC).

A Resolução nº 370/2021 do CNJ, que estabelece a Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTIC-JUD), para o período 2021 a 2026, dispõe no Art. 37 que “Cada órgão deverá elaborar Plano de Gestão de Riscos de TIC, com foco na continuidade de negócios, manutenção dos serviços e alinhado ao plano institucional de gestão de riscos, objetivando mitigar as ameaças mapeadas para atuar de forma preditiva e preventiva às possíveis incertezas”

Nesse contexto, o presente plano contempla um conjunto de atividades que permitem identificar e implementar as medidas de proteção necessárias para minimizar ou eliminar os riscos associados à Tecnologia da Informação e Comunicação, contribuindo para o fortalecimento da governança de TIC, a tomada de decisões e o alcance dos objetivos institucionais.

2. OBJETIVO

Este documento visa direcionar as ações da Secretaria de Tecnologia da Informação e Comunicação (SETIC), em conformidade com as diretrizes da Instrução de Serviço nº 001, de 05 de outubro de 2017.

O plano estabelece conceitos, obrigações, responsabilidades e diretrizes para o processo de gerenciamento de riscos, aplicável ao uso interno da SETIC.

Sua aplicação abrange todas as áreas da SETIC, incluindo infraestrutura, redes, segurança da informação, suporte técnico, desenvolvimento de sistemas, governança e gestão de TI.

O escopo da Gestão de Riscos de TIC é o de analisar os possíveis riscos relacionados aos processos e aos ativos de TIC que podem afetar os objetivos estratégicos da organização.

Este documento está alinhado com o Planejamento Estratégico Institucional e o Plano Diretor de TIC, referente ao ciclo de 2022 - 2024, sendo objeto de revisão periódica anual, buscando adequações à realidade do órgão e da sociedade e de mudanças do Judiciário.

3. BENEFÍCIOS E RESULTADOS NO PROCESSO DE GESTÃO DE RISCOS

O processo de gestão de riscos de segurança da informação é fundamental para garantir a proteção adequada de dados e sistemas contra ameaças internas e externas. Esse processo envolve a identificação, avaliação e tratamento de riscos que possam impactar o TJPE.

Existem vários benefícios e resultados associados à implementação de um processo de gestão de riscos, incluindo:

Melhoria da segurança da informação: ajuda a garantir que as informações estejam protegidas adequadamente contra ameaças e permite que o TJPE identifique áreas de vulnerabilidade e tome medidas proativas para mitigar os riscos.

Conformidade regulatória: muitas regulamentações, como a LGPD, exigem que as organizações implementem medidas de segurança adequadas para proteger dados pessoais e informações sensíveis. Um processo de GR pode ajudar o TJPE a cumprir essas regulamentações e evitar sanções.

Melhoria da eficiência operacional: pode ajudar na identificação de áreas onde os processos podem ser melhorados. Isso pode resultar em maior eficiência operacional e redução de custos.

Fortalecimento da resiliência humana, transformando servidores e magistrados na primeira linha de defesa contra riscos operacionais e cibernéticos.

Como:

Gerir os riscos de TIC do TJPE;

Plano de Riscos de TIC atualizado, sendo realizadas revisões periodicamente;

Propiciar a melhoria contínua na SETIC;

Reduzir as surpresas e os prejuízos operacionais;

Aproveitar oportunidades;

Dinamismo e interatividade durante todo o processo;

4. ABREVIAÇÕES E DEFINIÇÕES

ABREVIAÇÕES:

CNJ: Conselho Nacional de Justiça

SETIC: Secretaria de Tecnologia da Informação e Comunicação

ENTIC-JUD: Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário

IA: Inteligência Artificial

PCSTIC: Plano de Contratações de Solução de TIC

PCTIC: Plano de Capacitação de TIC

PDTIC: Plano Diretor de Tecnologia da Informação e Comunicação

PSI: Política de Segurança da Informação

PTD: Plano de Transformação Digital

SEI: Sistema Eletrônico de Informações

SIC: Segurança da Informação e Comunicação

TCU: Tribunal de Contas da União

TIC: Tecnologia da Informação e Comunicação

DEFINIÇÕES:

Ameaça: causa potencial de um incidente indesejado, que possui potencial para comprometer ativos através de exploração de vulnerabilidades.

Apetite a risco: nível de risco que a instituição está disposta a aceitar para atingir os objetivos identificados no contexto analisado.

Ativos de TIC: qualquer elemento de valor para organização, seja tangível ou intangível, que esteja relacionado à Tecnologia da Informação e Comunicação.

Causa de Risco: razão que pode promover a ocorrência do risco.

CGTIC – Comitê de Governança de Tecnologia da Informação e Comunicação: comitê responsável por apoiar e orientar as iniciativas, projetos e investimentos em Tecnologia da Informação e Comunicação, observando a estratégia institucional, dentre outros.

CGESTIC – Comitê Gestor de Tecnologia da Informação e Comunicação: comitê responsável pelos planos táticos e operacionais, análise de demandas, acompanhamento da execução de planos, estabelecimento de indicadores operacionais, dentre outros.

CGSI – Comitê de Gestão de Segurança da Informação: comitê responsável por apreciar, assessorar e aprovar a implementação das ações de segurança da informação e garantir a implementação da Política de Segurança de Tecnologia da Informação.

Consequências: resultado de um evento que afeta os objetivos estabelecidos.

Escopo: é a soma total de todos os produtos do processo de trabalho e seus requisitos ou características.

Evento: incidente ou ocorrência originada a partir de fontes internas ou externas que afetem a implementação da estratégia ou a realização dos objetivos.

Fonte de Risco: elemento que, individualmente ou combinado, tem potencial para dar origem a um risco específico, podendo ou não estar sob controle.

Impacto: efeito da ocorrência do evento nos objetivos.

Gestão de Riscos: processo contínuo aplicado a toda a instituição que consiste no desenvolvimento de um conjunto de ações destinadas a identificar, analisar, avaliar, tratar e monitorar eventos em potencial, contribuindo para a sua redução ou neutralização.

Matriz de Riscos: representação formal na qual são registrados os riscos identificados, considerando as probabilidades e os impactos, de forma a permitir a definição das ações necessárias ao seu gerenciamento.

Nível de Risco: representação numérica da magnitude do risco, que é expressa pelo produto das variáveis “impacto” e “probabilidade”.

Parte interessada (Stakeholder): pessoa ou organização que pode afetar, ser afetada ou perceber-se afetada por uma decisão ou atividade.

Plano de Contingência: documento que apresenta detalhadamente os procedimentos e recursos a serem utilizados em caso de ocorrência de eventos que possam afetar a segurança de pessoas, do patrimônio ou de sistemas de informação, bem como outros que possam interromper a continuidade da prestação de serviços jurisdicionais.

Probabilidade: possibilidade de ocorrência do evento.

Risco: evento capaz de afetar positiva ou negativamente os objetivos e metas do Poder Judiciário do Estado de Pernambuco.

Risco-Chave: risco com elevado impacto nos objetivos da instituição.

Risco Inerente: é aquele ao qual a instituição está exposta, considerando os controles existentes, mas quando não são estabelecidos nem adotados tratamentos para alterar a probabilidade ou o impacto dos eventos.

Risco Residual: risco remanescente após estabelecimento e adoção de tratamento.

5. REFERÊNCIAS NORMATIVAS

ID Documento Descrição
RN01	CNJ - Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTICJUD), no período de 2021-2026.	Dispõe sobre a Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTICJUD), no período de 2021-2026. Resolução nº 370 do CNJ, 28/01/2021.
RN02	CNJ - Política de Governança das Contratações Públicas no Poder Judiciário.	Dispõe sobre a Política de Governança das Contratações Públicas no Poder Judiciário. Resolução nº 347 do CNJ, 13/10/2020.
RN03	Política de Segurança de Tecnologia da Informação do TJPE.	Dispõe sobre a Política de Segurança de Tecnologia da Informação, no âmbito do Poder Judiciário do Estado de Pernambuco, e estabelece competências administrativas aos seus órgãos integrantes. Objetiva instituir responsabilidades e diretrizes corporativas para a proteção dos ativos de Tecnologia da Informação e a prevenção de responsabilidade legal para todas as autoridades judiciais, servidores e usuários do Poder Judiciário do Estado do Pernambuco. Resolução nº 349 de 04 de março de 2013, publicado no Diário de Justiça Eletrônico no dia 05 de março de 2013 na edição nº42/2013.
RN04	Instrução de serviço para tratamento de gestão de riscos de tecnologia de informação e comunicação do TJPE.	Estabelecimento de conceitos, obrigações e responsabilidades e definição de diretrizes para processo de gerenciamento de riscos de uso interno da Secretaria de Tecnologia da Informação e Comunicação (SETIC). Instrução de serviço de nº 001/2017, publicado no Diário de Justiça Eletrônico no dia 10 de outubro de 2017 na edição nº186/2017.

ID Documento Descrição
RN05	Política de Proteção aos Dados Pessoais, conforme a Lei nº 13.709/2018 (LGPD).	Estabelece medidas para o processo de adequação à Lei Geral de Proteção de Dados Pessoais a serem adotadas pelos tribunais.
RN06	Comitê de Gestão de Segurança da Informação	Instituir o Comitê de Gestão da Segurança da Informação no âmbito do poder judiciário do Estado de Pernambuco. Publicado na portaria de nº16 de 16 de julho de 2022.
RN07	Comitê de Governança e Tecnologia da Informação e Comunicação (CGTIC)	Institui o Comitê Governança de Tecnologia da Informação e Comunicação (CGTIC) do Poder Judiciário de Pernambuco. Resolução de nº388, de 25 de agosto de 2016.
RN08	Comitê Gestor de Proteção de Dados (CGPD)	Institui o Comitê Gestor de Proteção de Dados e define suas diretrizes no âmbito do Tribunal de Justiça do Estado de Pernambuco. DJE nº 166/2020 de 15 de setembro de 2020
RN09	ABNT NBR ISO/IEC 31000:2018	ABNT NBR ISO/IEC 31000:2018 – Gestão de riscos – Diretrizes.
RN10	ABNT NBR ISO/IEC 27005:2019	ABNT NBR ISO/IEC 27005:2019 – Tecnologia da informação — Técnicas de segurança — Gestão de riscos de segurança da informação.
RN11	Manual de Gestão de Riscos do TCU.	Manual de Gestão de Riscos do TCU (2020). Disponível em: https://portal.tcu.gov.br/, acessado em 07/03/2023.
RN13	Processo de Gestão de Riscos do STJ	Disponível no link https://www.stj.jus.br/static_files/STJ/Institucional/Gest%C3%A3o%20estrat%C3%A9gica/6_gestao_riscos_21jun.pdf , acessado em 08/06/2023.
RN14	Resolução CNJ nº 615 de 2025	Estabelece diretrizes para o desenvolvimento, utilização e governança de soluções desenvolvidas com recursos de inteligência artificial no Poder Judiciário. Disponível no link: https://atos.cnj.jus.br/atos/detalhar/6001
RN15	Resolução CNJ nº 446 de 2022	Sobre o uso de sistemas de inteligência artificial pelos órgãos do Poder Judiciário. Disponível no link: https://atos.cnj.jus.br/files/original1359212022031562309bb95c911.pdf

Tabela 1 - Documentos de Referência para elaborar o PGRTIC do TJPE

6. FLUXO DO PROCESSO

Figura 1 – Fluxo de atividades no processo de gestão de riscos do TJPE (aumentar fonte)

6.1. Descritivo do processo de Gestão de riscos de TIC

Atividade: Identificar Risco (escopo e cenários)
Objetivo	Realizar a identificação dos riscos, estabelecer qual será o escopo de aplicação (determinando produto ou processo ou projeto) e cenários (ambientes interno e externo além de cenários político, econômico, sociocultural, tecnológico, sustentabilidade etc.).
Responsável	Agente do Poder Judiciário
Entradas	-
Saídas	Proposta de contexto
Descrição	É uma atividade de realizar a identificação dos riscos do âmbito de sua unidade, conforme contexto definido. processo de gestão de riscos de segurança da informação se define a estratégia de gestão de riscos, que se concretiza com o estabelecimento de diversos elementos, tais como: parâmetros internos e externos; equipe responsável; escopo de aplicação, acompanhamento e monitoramento. Essa atividade pode ser iniciada por qualquer agente do Poder Judiciário de Pernambuco.

Atividade: Analisar os riscos de TIC
Objetivo	O principal objetivo da análise de riscos é antecipar as situações que possam representar ameaças para um negócio. Além disso, ela também aponta oportunidades e as probabilidades de que essas situações ocorram. A partir desse conhecimento, se consegue elaborar planos de ação para enfrentar cada uma delas.
Responsável	Proprietário do Risco
Entradas	- Riscos de TIC identificados. - Insumos ou elementos necessários das unidades
Saídas	- Riscos de TIC analisados
Descrição	Essa atividade pode ser executada em conjunto com quem identificou o risco. As partes envolvidas deverão realizar a análise dos riscos conforme a metodologia institucional do TJPE.

Atividade: Avaliar riscos de TIC (Avaliador)
Objetivo	Sumarizar os resultados da avaliação dos riscos segundo metodologia institucional de gestão de riscos, após as tarefas de identificação e análise.
Responsável	Avaliador dos Riscos
Entradas	- Riscos de TIC analisados pelo proprietário dos riscos
Saídas	- Resultado da avaliação dos riscos
Descrição	Após realizar a análise e avaliação dos riscos segundo metodologia institucional e documentar em proposta de planilha para análise posterior em grupo. A avaliação é feita da probabilidade e do impacto do risco. Qualquer dúvida deve ser encaminhada ao Proprietário de riscos de TIC. Por se tratar de uma avaliação de riscos, que não há necessidade de decisão estratégica do CGESTIC (CGETIC), este é apenas informado sobre o risco avaliado. E esta a avaliação é encaminhada para equipe competente para tratar os riscos.

Atividade: Avaliar riscos de TIC (CGESTIC – SETIC CGETIC)
Objetivo	Sumarizar os resultados da avaliação dos riscos segundo metodologia institucional de gestão de riscos, após as tarefas de identificação e análise.
Responsável	CGESTIC – SETIC (CGETIC)
Entradas	- Riscos de TIC levantados por todas as unidades
Saídas	- Resultado da avaliação dos riscos
Descrição	Quando a atividade de avaliar os riscos transcender os limites de competência do avaliador de riscos, essa atividade deverá ser encaminhada ao CGESTIC (CGETIC). Após realizar a análise e avaliação dos riscos segundo metodologia institucional e documentar em proposta de planilha para análise posterior em grupo. A avaliação é feita da probabilidade e do impacto do risco. Qualquer dúvida deve ser encaminhada ao Proprietário de riscos de TIC.

Atividade: Tratar o Risco
Objetivo	Encaminhar os resultados consolidados após a identificação, análise e avaliação dos riscos, a equipe de tratamento de riscos.
Responsável	Equipe de tratamento de riscos
Entradas	- Planilha de riscos e controles ajustada pelos representantes das unidades. - Uma lista de riscos priorizada, de acordo com os critérios de avaliação de riscos, em relação aos cenários de incidentes que podem levar a esses riscos
Saídas	- Planilha de riscos homologada pelo CGESTIC (CGETIC).
Descrição	Subsidiar ao proprietário do risco com informações sobre riscos de TIC e deliberar sobre os riscos considerados altos e extremos que, eventualmente, lhes forem apresentados pelos proprietários de risco. Convém que controles para modificar, reter, evitar ou compartilhar os riscos sejam selecionados e o plano de tratamento do risco seja definido.

Atividade: Aceitar Riscos
Objetivo	Convém que a decisão de aceitar os riscos seja feita e formalmente registrada, juntamente com a responsabilidade pela decisão (isso se refere ao parágrafo 4.2.1 h) da ABNT NBR ISO/IEC 27001:2006).
Responsável	Proprietário do Risco
Entradas	O plano de tratamento do risco e o processo de avaliação do risco residual sujeito à decisão dos gestores da organização relativa à aceitação do mesmo.
Saídas	Uma lista de riscos aceitos, incluindo uma justificativa para aqueles que não satisfaçam os critérios normais para aceitação do risco.
Descrição	O CGESTIC (CGETIC) e o Proprietário do Risco é quem tem autoridade, dentro da SETIC, para submeter o Processo de Riscos de TIC para aprovação e publicação.

7. RESPONSABILIDADES

Com relação ao assunto Riscos de TIC, reforçamos abaixo as principais atribuições e responsabilidades citados em outros normativos:

Atividades	Papéis

Agente do Poder Judiciário	Proprietário do Risco	Equipe de Tratamento de Riscos	Avaliador de riscos	CEGESTIC – SETIC (CGETIC)
Identificar Risco	R	I	I
Analisar Risco	I/C	R/A	I	I	I
Avaliar Risco	I	I/C	I	R/A	R/A/C/I
Tratar o Risco	I	I/C	R/A	I	I
Aceitar Risco	I	R/A	I	I/C

Tabela 2 – Matriz RACI com papeis e responsabilidades

R = Responsável – Unidades responsáveis por executar as etapas.

A = Autoridade – Unidade que deve responder pelo cumprimento/conclusão da etapa.

C = Consultado – Unidades que devem ser consultadas e participar da decisão ou execução das etapas.

I = Informado – Unidades as quais o trabalho depende das etapas realizadas e/ou que devem ser atualizadas acerca dos progressos alcançados com a execução das etapas.

Durante a execução do nosso projeto, a matriz de responsabilidades tem como principal função promover o alinhamento entre as pessoas envolvidas. Por meio dessa técnica, consegue-se esclarecer o que cabe e o que não cabe à cada um dos agentes, o que facilita a cobrança por resultados e evita desentendimentos. Abaixo descrevemos os principais papéis e responsabilidades no contexto da SETIC-TJPE.

Comitê de Governança de Tecnologia da Informação e Comunicação (CGTIC) CGTIC

Normatizar, fomentar e acompanhar a implementação e operação do processo de gestão de riscos de TIC, exceto de riscos de segurança da informação;

Definir e acompanhar a manutenção de nível de risco tolerável (“apetite a risco”) de TIC;

Aprovar o objetivo e o escopo das análises e avaliação de riscos de TIC, exceto de riscos de segurança da informação;

Deliberar sobre priorização de ações cuja necessidade resulte de planos de tratamento de riscos de TIC, exceto de riscos de segurança da informação.

Comitê de Gestão de Segurança da Informação (CGSI)

Normatizar, fomentar e acompanhar a implementação e operação do processo de gestão de riscos de TIC exclusivamente sobre o escopo dos riscos de segurança da informação, inclusive quando da sua aplicação no SGSI (Sistema de Gestão de Segurança da Informação);

Definir e acompanhar a manutenção de nível de risco tolerável (“apetite a risco”) para segurança da informação;

Aprovar o objetivo e o escopo das análises e avaliação de riscos de segurança da informação;

Deliberar sobre priorização de ações cuja necessidade resulte de planos de tratamento de riscos de segurança da informação.

Comitê Gestor de Proteção de Dados Pessoais (CGPD)

Subsidiar o processo de gestão de gestão de riscos com informações a respeito da legislação, normas do poder judiciário e normas internas pertinentes a análise e avaliação de riscos relacionados aos dados pessoais sob responsabilidade do TJPE;

Definir e acompanhar a manutenção de nível de risco tolerável (“apetite a risco”) para os titulares de dados pessoais sob responsabilidade do TJPE;

Aprovar o objetivo e o escopo das análises e avaliação de riscos para titulares de dados pessoais sob responsabilidade do TJPE;

Deliberar sobre priorização de ações cuja necessidade resulte de planos de tratamento de riscos que impliquem na proteção de dados pessoais.

Encarregado pelo Tratamento de Dados Pessoais

Participar da execução de todas as fases do processo de gestão de risco quando este envolver análise e avaliação de riscos para titulares de dados pessoais sob responsabilidade do TJPE;

Definir o objetivo e o escopo das avaliações de risco para titulares de dados pessoais e submeter ao CGPD;

Definir critérios/controles para a análise e avaliação de riscos para titulares de dados pessoais;

Reportar resultados de avalições de risco para o CGPD.

Comitê de Gestão de Tecnologia da Informação e Comunicação da SETIC (CGESTIC-SETIC) CGETIC

Implantar, manter e acompanhar a operacionalização e melhorias do processo de gestão de riscos de TIC;

Avaliar e revisar continuamente a adequação, a suficiência e a eficácia da estrutura de gestão de riscos de TIC;

Submeter alterações da estrutura de gestão de riscos de TIC ao CGTIC e ao CGSI;

Subsidiar os CGTIC, CGSI e CGPD com informações sobre riscos de TIC;

Gerir os riscos da área de TIC;

Operacionalizar a aplicação dos recursos disponibilizados para a gestão de riscos de TIC na SETIC;

Dirimir eventuais dúvidas dos proprietários de risco, na execução da Gestão de Riscos de TIC;

Deliberar sobre os riscos considerados altos e extremos que, eventualmente, lhes forem apresentados pelos proprietários de risco;

Submeter aos Comitês CGTIC, CGSI e CGPD, após sua apreciação e manifestação, os riscos de se considerados altos e extremos;

Subsidiar os Comitês CGTIC, CGSI e CGPD com informações técnicas, visando auxiliá-los no processo de tomada de decisão;

Conscientizar os gestores sobre a importância da gestão de riscos de TIC e as responsabilidades dos proprietários dos riscos;

Submeter aos Comitês CGTIC e CGSI, nos seus respectivos âmbitos de atuação, os objetivos e escopos dos processos de análise e avaliação de riscos sobre os processos de trabalho que envolvam recursos de TIC.

Proprietário de Risco de TIC /Agente do Poder Judiciário / Gestor de Risco de TIC / Gestor de Unidade da SETIC

Identificar, analisar, avaliar, tratar, monitorar e comunicar os Riscos de TIC dos seus respectivos processos de trabalho, atividades, sistemas, serviços, projetos, contratos ou iniciativas sob sua responsabilidade;

Realizar a seleção dos riscos que deverão ser priorizados para tratamento por meio de ações de caráter imediato ou de aperfeiçoamento contínuo;

Definir e implementar as ações de tratamento de riscos, estabelecendo prazos, responsáveis e meios para avaliação dos resultados;

Reportar para Assessoria de Governança de TIC os riscos considerados altos ou extremos;

Garantir que as informações sobre o risco estejam disponíveis para tomada de decisões;

Realizar reuniões periódicas com envolvidos para monitorar os riscos de TIC identificados com alto ou extremo;

Acompanhar a Gestão de Riscos de TIC e comunicar ao gestor imediato e Assessoria de Governança de TIC.

Assessoria de Governança de TIC

Propor diretrizes para compor o Plano de Gestão de Riscos de TIC;

Acompanhar os riscos classificados como de nível alto e extremo, ou seja, fora do apetite a riscos da instituição, de forma a verificar se as ações de tratamento e monitoramento estão sendo cumpridas pelos responsáveis dentro dos prazos estabelecidos;

Reportar Riscos de TIC (altos e extremos) aos comitês (CGESTIC, CGSI e ao CGTIC);

Manter interlocução com o Núcleo de Governança, Riscos e Compliance deste Tribunal sobre os Riscos de TIC.

Núcleos de Gestão de Projetos e Processos da SETIC

Coordenar e monitorar a execução das atividades relativas à gestão de riscos em projetos de TIC;

Coordenar e monitorar a execução das atividades relativas à gestão de riscos em processos de TIC, considerando inclusive aqueles presentes na cadeia de valor institucional.

Núcleo de Gestão da Segurança da Informação da SETIC

Coordenar e monitorar a execução das atividades relativas à gestão de riscos de segurança da informação, relacionadas ao ambiente tecnológico da instituição;

Propor definições na área de TIC que envolvam segurança da informação, proteção de dados, serviços em nuvem, continuidade de serviços essenciais, incidentes e riscos de segurança e assuntos correlatos;

Promover a utilização de gestão de outros tipos de riscos de TIC junto a outras áreas da SETIC e do TJPE, com o objetivo de difundir o uso do processo para outros fins além da análise e avaliação dos riscos de segurança da informação;

Planejar e executar o cronograma anual de conscientização, incluindo simulados de ataques (phishing) e a disseminação de pílulas de conhecimento, visando capacitar os Agentes do Poder Judiciário na identificação proativa de riscos;

Elaborar, em conjunto com a SETIC e outras áreas da AGTIC, o Manual de Gestão de Riscos de TIC do TJPE;

Coordenar e monitorar o gerenciamento de riscos de segurança da informação;

Consolidar a matriz de riscos-chave de segurança da informação;

Elaborar e encaminhar o Plano de Tratamento de Riscos-Chave de segurança da informação;

Prestar apoio técnico aos gestores de risco nas atividades afetas ao gerenciamento de riscos.

Assessoria Administrativa de TIC

Coordenar e monitorar a execução das atividades relativas à Gestão de Riscos em Contratações de TIC;

Avaliador dos Riscos

Avaliar a eficácia da Gestão de Riscos de TIC;

Comunicar à Alta Administração os resultados da avaliação da Gestão de Riscos de TIC.

8. METODOLOGIA E PROCESSO DE GESTÃO DE RISCOS DE TIC

A Gestão de Riscos de TIC no TJPE deve seguir as diretrizes da norma ABNT NBR ISO 27005:2019, que propõe um processo cíclico e contínuo que ajuda a identificar, avaliar e gerenciar os riscos de segurança da informação, visando garantir o preparo do tribunal para lidar com potenciais ameaças de segurança e a proteger a confidencialidade, integridade e disponibilidade das informações.

Nesse contexto o TJPE deve adotar em sua metodologia controles estabelecidos pelas principais normas de referência, como a ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27031 e ISO/IEC 27701; além de controles estabelecidos pela legislação vigente e órgãos de regulamentação externa.

A gestão de riscos de TIC no TJPE ocorre da seguinte forma:

Contexto da organização: nesta etapa, é importante entender o contexto da organização em termos de objetivos, metas, requisitos legais e regulatórios, e a identificação dos ativos relevantes e suas interdependências.

Avaliação de riscos: nesta etapa, os riscos potenciais são identificados e avaliados em termos de probabilidade de ocorrência e impacto potencial. Isso é feito através da análise de ameaças, vulnerabilidades e impactos na confidencialidade, integridade e disponibilidade da informação.

Tratamento de riscos: nesta etapa, as opções de tratamento de risco são identificadas, avaliadas e selecionadas. Isso pode incluir a aceitação do risco, a implementação de controles de segurança, a transferência do risco para outra parte ou a redução do risco através de ações preventivas.

Implementação de controles de segurança: nesta etapa, os controles de segurança selecionados são implementados e monitorados para garantir sua eficácia na redução dos riscos.

Monitoramento e revisão: nesta etapa, o processo de gestão de riscos é continuamente monitorado e revisado para garantir que os riscos sejam gerenciados de forma eficaz e que os controles de segurança sejam mantidos atualizados.

Figura 1 - Fluxo do Processo de Gestão de Riscos do TJPE

Em relação à metodologia adotada para implementação dos controles de risco a SETIC utiliza o NIST (National Institute of Standards and Technology) SP 800-30, que fornece orientações sobre a identificação, avaliação e resposta a riscos de segurança da informação e é baseada em um processo iterativo que requer monitoramento contínuo e atualizações regulares para garantir que a organização esteja sempre preparada para lidar com ameaças de segurança da informação.

9. PRINCIPAIS RISCOS TRATADOS

Inicialmente, o presente plano considera os riscos de TIC que envolvem os seguintes “pilares”:

Riscos Estratégicos de TIC: riscos identificados e analisados no escopo da elaboração dos artefatos e nos sistemas e serviços estratégicos para o Tribunal. Após o levantamento, será atribuído a uma área proprietária, ainda que outras áreas possam estar envolvidas na mitigação e controle. Os gestores destas áreas serão os proprietários destes riscos. Com o término da vigência do PDTIC, os riscos serão avaliados quanto a pertinência em transportá-los para as futuras versões do plano.

Riscos de Segurança da Informação e Comunicação (SIC): riscos identificados e analisados no escopo de segurança da informação e comunicação ou normas relacionadas, considerando-se principalmente os sistemas e serviços críticos de TIC para o Tribunal e aqueles identificados no Plano de Continuidade de Serviços de TIC. Os responsáveis pelos sistemas, serviços e pelos ativos que os suportam são identificados juntamente com a avaliação de cada controle, cabendo a estes o monitoramento do risco residual após o tratamento.

Riscos aos Titulares de Dados Pessoais: riscos identificados e analisados que possam causar impactos para os titulares de dados pessoais, inclusive sensíveis, cujo controle é do Tribunal de Justiça;

Riscos em Contratações de TIC e Segurança da Cadeia de Suprimentos de Software: Os riscos das contratações de TIC devem ser identificados, avaliados, tratados e monitorados em todas as fases do processo, desde o planejamento até o encerramento da vigência contratual, incluindo, obrigatoriamente, aqueles relacionados à Segurança da Cadeia de Suprimentos de Software, abrangendo componentes de terceiros, bibliotecas de código aberto, serviços em nuvem e demais dependências externas; a gestão desses riscos deve contemplar, no mínimo, a avaliação de fornecedores, a verificação da integridade e procedência de artefatos, a identificação e tratamento de vulnerabilidades, a adoção de práticas seguras de desenvolvimento e a definição de requisitos contratuais de segurança da informação, cabendo à equipe de planejamento a atuação até a homologação do processo licitatório e ao gestor do contrato o monitoramento durante a execução, devendo, ao término da vigência, os riscos serem reavaliados quanto à sua permanência na base de riscos de TIC.

Riscos em Projetos de TIC: são gerenciados no âmbito de cada projeto de TIC, devendo ser identificados pelo PMO ou Líder de Projeto do mesmo. Os riscos em projetos de TIC são monitorados pelos Líderes de Projetos.

Riscos em Processos de TIC: riscos identificados nos processos mapeados e/ou instituídos pela SETIC.

Riscos de Algoritmos e Inteligência Artificial (IA): riscos associados ao desenvolvimento, implementação e uso de sistemas baseados em IA no Tribunal. Incluem a possibilidade de resultados enviesados (discriminação algorítmica), falta de aplicabilidade das decisões automatizadas, "alucinações" de modelos de linguagem, riscos éticos e o uso não autorizado de ferramentas de IA generativa (Shadow AI). Estes riscos devem ser avaliados quanto ao impacto na prestação jurisdicional e na confiança pública no Judiciário.

Assim que todo os riscos citados acima forem contemplados no Processo de Riscos de TIC, outros poderão ser sugeridos.

A Assessoria de Governança de TIC fará reuniões de acompanhamento da execução do processo de gestão de Riscos de TIC, conforme acordado na Matriz dos Riscos de TIC (ver sugestão de modelo de matriz no anexo 11). Os procedimentos operacionais e dinâmica das reuniões serão divulgados em documento específico.

Sugere-se semestralmente ou quando surgirem novos riscos altos ou extremos que de demandem uma prestação de contas de Riscos de TIC aos membros do CGESTIC, CGSI e CGTIC.

As ações definidas neste Plano terão a sua execução acompanhada pelos comitês CGESTIC, CGSI e CGTIC, bem como qualquer deliberação que seja necessária daquele fórum, considerando as suas atribuições e responsabilidades, definidas na Política.

10. PLANO DE AÇÃO SOBRE RISCOS DE TIC

Atividades necessárias ou próximas ações para continuidade da análise dos riscos de TIC, a serem realizadas no período de março de 2024 a março de 2025:

ID Título
1	Revisar a Política de Segurança de TI e seus normativos
2	Definir a Lista de Serviços de Críticos de TIC para o Tribunal
3	Revisar a lista de sistemas e serviços Críticos de TIC para a SETIC
4	Realizar o processo de gestão de riscos de TIC para os serviços críticos de TIC
5	Realizar o processo de gestão de riscos de TIC para os sistemas e serviços críticos de TIC ou originados pelo Plano de Gestão da Continuidade de Serviços de TIC
6	Realizar o processo de gestão de riscos nas Contratações de TIC para exercício 2023 e 2024
7	Realizar o processo de gestão de riscos de TIC nos contratos de TIC vigentes.
8	Realizar o processo de gestão de riscos TIC nos projetos de TIC estratégicos.
9	Realizar o processo de gestão de riscos TIC nos processos de TIC estratégicos.
10	Realizar o mapeamento e avaliação de riscos nos sistemas que utilizam Inteligência Artificial ou automação de decisões no TJPE.
11	Elaborar e executar o calendário anual de conscientização em riscos de TIC e segurança da informação (Ciclo 2026 – 2028)

11. CULTURA E CONSCIENTIZAÇÃO EM GESTÃO DE RISCOS

A eficácia deste plano depende diretamente da maturidade da cultura de riscos entre todos os Agentes do Poder Judiciário. Para que a identificação de riscos ocorra no dia a dia operacional, a SETIC promoverá ações contínuas de capacitação e sensibilização, tais como:

Campanhas de Phishing Simulado: Realização periódica de testes de engenharia social para avaliar e treinar a capacidade de resposta dos usuários a ataques cibernéticos, fortalecendo a proteção dos ativos de TIC.

Pílulas de Conhecimento: Envio de conteúdos curtos e objetivos (vídeos, infográficos ou textos) via e-mail ou intranet, abordando temas como proteção de dados, senhas seguras e identificação de comportamentos suspeitos em sistemas.

Workshops de Gestão de Riscos: Treinamentos específicos para os "Proprietários de Riscos" e "Gestores de Unidade" sobre como utilizar a metodologia descrita neste plano para atualizar suas matrizes de riscos.

Integração de Novos Servidores: Inclusão de módulo básico sobre Segurança da Informação e Riscos de TIC no processo de boas-vindas de novos colaboradores e estagiários.

12. CONSIDERAÇÕES FINAIS

A área da Tecnologia da Informação e Comunicação (TIC) se mostra cada vez mais estratégica para o Tribunal, e entender os riscos de TIC que podem afetar os objetivos institucionais é um caminho crucial para uma gestão de excelência e contribui para a tomada de decisão. Tais técnicas podem não ser suficientes para garantir que eventos negativos ocorram, no entanto, o domínio sobre estes eventos serve para reduzir a probabilidade que ocorram ou o impacto ao efetivamente ocorrerem.

Em suma, a adoção da Gestão de Riscos de TIC é parte integrante positiva para a efetividade da gestão governamental

13. ANEXOS

13.1. ESCALA DE VALORES PARA APURAÇÃO DO NÍVEL DE RISCO

PROBABILIDADE (1 a 5):

IMPACTO (1 a 5):

NÍVEL DE RISCO, calculado por (probabilidade X impacto):

13.2. Planilha modelo para Gestão de Riscos de TIC (parte 1)

13.3. Planilha modelo para Gestão de Riscos de TIC (parte 2)