A Superintendência de Seguros Privados (Susep) instituiu uma política específica para a gestão de registros de auditoria em seus ambientes computacionais. A Resolução Susep nº 95, de 11 de setembro de 2026, estabelece regras para coleta, armazenamento, manutenção e análise de logs e trilhas de auditoria gerados pelos sistemas, equipamentos e demais recursos de tecnologia utilizados pela autarquia.
A Política de Gestão de Registros de Auditoria em Ambientes Computacionais (PGRAC) busca ampliar a rastreabilidade das atividades realizadas na infraestrutura tecnológica da Susep. Na prática, os registros deverão permitir a identificação de eventos ocorridos nos sistemas, auxiliar investigações de incidentes de segurança, reduzir o tempo de resposta a problemas e facilitar a identificação da origem e da autoria de determinadas ações.
A política alcança os recursos de tecnologia da informação da Susep e estabelece que equipamentos e sistemas conectados à infraestrutura da autarquia, próprios ou de terceiros, deverão gerar registros de eventos e trilhas de auditoria. Há exceções para tecnologias que não tenham capacidade técnica de gerar logs, estejam submetidas a restrições contratuais ou normativas, sejam consideradas tecnicamente inviáveis para esse tipo de controle ou pertençam a terceiros em situações específicas. Nesses casos, a área responsável deverá formalizar a justificativa para a isenção.
Os registros deverão ser coletados continuamente e enviados para um ambiente centralizado, redundante e protegido por controles de acesso físico e lógico. Normas complementares ainda deverão definir detalhes como formatos de gravação, requisitos técnicos mínimos e a relação dos eventos que obrigatoriamente precisarão ser monitorados.
A resolução também estabelece que servidores e prestadores de serviços com privilégios administrativos sobre os sistemas deverão seguir as regras da política. Os termos de responsabilidade para acesso aos recursos computacionais deverão informar expressamente que as ações realizadas nesses ambientes poderão ser monitoradas, registradas, analisadas e auditadas.
Os logs e trilhas de auditoria passam a ser tratados como informações sensíveis, com acesso restrito às pessoas responsáveis pela implementação e operação da política. A autorização para acesso aos registros ficará submetida à estrutura de segurança da informação da Susep, enquanto a análise deverá incluir rotinas para identificação de atividades anômalas e correlação de eventos registrados em diferentes sistemas.
Quando os registros revelarem um incidente de segurança, o caso deverá ser comunicado imediatamente à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR), responsável pelo tratamento e pela resposta aos eventos que possam comprometer dados, sistemas ou redes da autarquia.
A resolução também estabelece regras para retenção das informações. Quando não existir prazo específico previsto em legislação ou outra norma aplicável, os logs e trilhas de auditoria deverão ser mantidos por pelo menos 90 dias. Os registros também precisarão contar com cópias de segurança armazenadas em local geograficamente diferente daquele onde ficam os dados principais.
A exclusão antecipada ou alteração dos registros fica proibida. Quando for necessário apagar cópias de segurança, deverão ser adotados procedimentos de descarte seguro e sanitização dos dados, de modo a impedir sua reconstrução ou recuperação.
Outro ponto previsto pela política é a padronização temporal dos registros. Os sistemas deverão registrar os horários utilizando o Tempo Universal Coordenado (UTC), sem conversão para o fuso horário local. Os relógios dos recursos computacionais também deverão permanecer sincronizados por meio de protocolos padronizados, reduzindo divergências entre registros gerados por diferentes equipamentos e sistemas.
Nos casos em que empresas ou profissionais externos precisarem acessar informações para apoiar atividades relacionadas à política, a autorização deverá ser concedida apenas de forma pontual, pelo período estritamente necessário e limitada ao menor conjunto de permissões necessário para a execução do trabalho.
A estrutura de governança divide as responsabilidades entre instâncias estratégicas, gerenciais e operacionais. O Comitê de Segurança da Informação, o gestor de segurança e a área responsável pela gestão do tema participarão da definição das regras e da autorização de acessos, enquanto as equipes operacionais ficarão encarregadas da geração, coleta, monitoramento e análise dos registros.
A Susep terá prazo de até 24 meses, contado da publicação da resolução, para implementar as medidas previstas. A política também deverá ser revista sempre que mudanças regulatórias ou alterações relevantes no ambiente de tecnologia da informação exigirem atualização das regras.
Com a Resolução nº 95, a autarquia passa a estabelecer formalmente como os rastros digitais deixados por usuários, sistemas e equipamentos devem ser preservados e analisados, criando uma estrutura voltada à investigação de incidentes, controle de acessos e reconstrução de eventos ocorridos em sua infraestrutura computacional.
