Resumo

  • Os departamentos devem classificar serviços críticos pelo impacto de um comprometimento e enviar a lista ao Enterprise Portfolio Management do Treasury Board of Canada Secretariat até 30 de novembro.
  • Treasury Board of Canada Secretariat, Shared Services Canada e Canadian Centre for Cyber Security considerarão risco, dependências e capacidade ao coordenar prioridades de implementação e apoio.

Análise

A Security Policy Implementation Notice (SPIN), uma diretriz federal, entrou em vigor em 1º de outubro. Ela transforma uma agenda ampla de preparação cibernética em uma decisão concreta: quais serviços públicos seriam mais difíceis de manter caso seus sistemas fossem comprometidos? A ação IDT-1 pede que os departamentos revisem os serviços críticos e seus sistemas de suporte, classifiquem-nos pelo possível impacto operacional, jurídico, financeiro ou reputacional e enviem a lista priorizada ao Enterprise Portfolio Management (EPM) do Treasury Board of Canada Secretariat até 30 de novembro.

O aviso diz que isso apoiará a priorização central e o planejamento da Shared Services Canada; não afirma que a lista será pública.

A classificação deve ligar continuidade e trabalho técnico. A diretriz também pede inventários atualizados de aplicações, diagramas dos sistemas e caminhos de ataque e visibilidade de ativos conectados à internet. Esses dados podem relacionar um serviço a identidades, redes, aplicações e fornecedores dos quais dependem sua disponibilidade e recuperação. O programa mais amplo inclui identificação de ativos, resposta a vulnerabilidades, reforço de identidades e redes, monitoramento e preparação para recuperação.

O arranjo institucional é explícito. O Treasury Board of Canada Secretariat (TBS), com Shared Services Canada (SSC) e Canadian Centre for Cyber Security, definirá prioridades de implementação e apoio da SSC conforme risco cibernético, dependências e capacidade de entrega. A SSC oferece serviços comuns de TI, mas os departamentos continuam responsáveis por informações e ativos do governo mesmo quando terceiros ou serviços gerenciados participam. Por isso, requisitos de segurança devem constar de compras, contratos e gestão contratual contínua. Infraestrutura compartilhada não transfere a responsabilidade pelo serviço.

Se não houver capacidade para todos os serviços ao mesmo tempo, o aviso recomenda começar por até três de maior prioridade e depois ampliar o método ao restante. É uma recomendação de sequência, não um teto permanente. A execução dependerá de justificativa sólida para o primeiro grupo e de manter as dependências visíveis à medida que a cobertura aumenta.

A HRD-6 inclui agentes de IA entre entidades não pessoais, junto com contas de serviço e identidades de máquina. Ela pede responsável claro, finalidade documentada, gestão do ciclo de vida e revisão regular de privilégios, reduzindo acessos permanentes e credenciais estáticas. Isso faz da governança de agentes uma questão prática: quem responde pela identidade automatizada que alcança um sistema crítico, quem pode revogar o acesso e como sua atividade é revista?

A orientação de fronteira do Canadian Centre for Cyber Security oferece contexto sobre limites à autonomia, controle de acesso, registros, testes e intervenção; não comprova um incidente específico.

O TBS também prevê verificação ativa do perímetro do governo e de sistemas públicos, acompanhamento do progresso e contato com altos funcionários se ações exigidas não forem cumpridas. O Apêndice A chama seus indicadores de “notionais”: são possíveis medidas, como atualização de inventários e registro de responsáveis por identidades não pessoais, e não resultados atuais. O primeiro marco é o prazo de 30 de novembro; depois, será preciso observar como as listas se convertem em prioridades e provas de execução.

Fontes