A Superintendência de Seguros Privados (Susep) instituiu uma política permanente para identificação, avaliação, priorização e tratamento de vulnerabilidades em seus ativos de tecnologia da informação. Publicada por meio da Resolução Susep nº 89, de 21 de julho de 2026, a norma estabelece um processo contínuo para gerenciamento de falhas de segurança em sistemas, redes, servidores, bancos de dados, aplicações e demais ativos de TI da autarquia.
Pela nova política, a gestão de vulnerabilidades deixa de ser tratada como uma atividade pontual e passa a seguir um ciclo permanente composto pelo mapeamento dos ativos de tecnologia, identificação das vulnerabilidades, avaliação dos riscos, definição de prioridades, aplicação de medidas de tratamento e comunicação periódica dos resultados. A resolução determina que todo esse processo seja documentado, revisado periodicamente e acompanhado por indicadores de desempenho.
A política abrange todos os ativos de tecnologia da informação da Susep, incluindo sistemas operacionais, softwares, APIs, infraestrutura de redes, servidores, computadores, bancos de dados, sistemas de informação, aplicações e serviços de TI. A norma admite exceções apenas para ativos que apresentem impossibilidade técnica, restrições contratuais ou impedimentos normativos para realização das análises, desde que haja justificativa formal e aprovação do Gestor de Segurança da Informação.
Para identificar vulnerabilidades, a resolução estabelece que deverão ser utilizadas, preferencialmente, ferramentas automatizadas de varredura. As falhas encontradas deverão ser registradas em banco de dados centralizado e poderão ser complementadas por testes de invasão (pentests), quando considerados necessários. Antes da comunicação das vulnerabilidades, a norma determina que elas sejam confirmadas tecnicamente, sempre que possível, para reduzir registros incorretos.
Após a identificação, as vulnerabilidades deverão ser classificadas de acordo com sua gravidade, criticidade do sistema afetado, facilidade de exploração e disponibilidade de solução. Essa classificação servirá de base para o planejamento das ações de remediação e mitigação. O tratamento poderá incluir aplicação de correções, atualizações, patches de segurança ou outras medidas técnicas destinadas a eliminar ou reduzir os riscos identificados.
A resolução também define a estrutura de governança da política. As unidades de tecnologia da informação ficam responsáveis por executar o mapeamento dos ativos, implementar as ações de tratamento e manter atualizadas as informações sob sua responsabilidade. À área de segurança da informação caberá implantar e operar a estrutura de gestão de vulnerabilidades, apoiar tecnicamente as equipes de TI, consolidar os resultados do processo e propor soluções e ferramentas para o gerenciamento das vulnerabilidades. O Gestor de Segurança da Informação será responsável por coordenar a política, enquanto o Comitê de Segurança da Informação analisará as vulnerabilidades que permanecerem sem tratamento e deliberará sobre os riscos associados.
A norma prevê que os resultados das atividades de gestão de vulnerabilidades sejam consolidados periodicamente, em intervalo mínimo trimestral, e apresentados ao Comitê de Segurança da Informação e às unidades de tecnologia da informação. Também autoriza a edição de normas complementares para detalhar procedimentos operacionais e indicadores do processo.
Segundo a resolução, a implementação da Política de Gestão de Vulnerabilidades de Tecnologia da Informação ocorrerá de forma gradual, com prazo máximo de 24 meses a partir da publicação da norma. A medida foi aprovada pelo Conselho Diretor da Susep e publicada hoje (31) no Diário Oficial da União.
