ATO DPR Nº 14/2026

Institui a Equipe de Resposta a Incidentes de Segurança da Informação no âmbito da SÃO PAULO TURISMO S.A. - SPTuris (CSIRT-SPTuris — Computer Security Incident Response Team), dispõe sobre sua composição, competências, funcionamento e dá outras providências.

O DIRETOR-PRESIDENTE DA SÃO PAULO TURISMO S.A. — SPTuris, no uso das atribuições que lhe são conferidas pelo Estatuto Social e pelas demais normas internas da Companhia, e CONSIDERANDO:

I – a necessidade de assegurar a confidencialidade, integridade e disponibilidade das informações e dos ativos de tecnologia da informação da organização;

II – o crescente cenário de ameaças cibernéticas e a exigência de capacidade institucional para prevenir, detectar, responder e recuperar-se de incidentes de segurança da informação de forma tempestiva e eficaz;

III – o disposto na Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente quanto ao dever de comunicação de incidentes de segurança envolvendo dados pessoais à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares;

IV – o disposto na Lei nº 12.965, de 23 de abril de 2014 — Marco Civil da Internet, na Lei nº 13.303, de 30 de junho de 2016 — Lei das Estatais, na Lei nº 12.846, de 1º de agosto de 2013 — Lei Anticorrupção, e na Lei nº 12.527, de 18 de novembro de 2011 — Lei de Acesso à Informação;

V – as deliberações e normativos da Controladoria Geral do Município de São Paulo (CGM), do Tribunal de Contas do Município de São Paulo (TCM/SP) e demais órgãos de controle aplicáveis às empresas estatais municipais;

VI - as diretrizes das normas ABNT NBR ISO/IEC 27001, ABNT NBR ISO/IEC 27002 e, em especial, ABNT NBR ISO/IEC 27035, que trata da gestão de incidentes de segurança da informação;

RESOLVE:

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída, no âmbito da São Paulo Turismo S.A. — SPTuris, a Equipe de Resposta a Incidentes de Segurança da Informação da SPTuris, doravante denominada CSIRT-SPTuris (Computer Security Incident Response Team), com a finalidade de coordenar a prevenção, detecção, análise, resposta, recuperação e aprendizado em relação a eventos e incidentes de segurança da informação.

Parágrafo único. O CSIRT-SPTuris é vinculado administrativamente à Diretoria-Presidência e tecnicamente ao Comitê de Proteção de Dados e Segurança da Informação, com autonomia operacional para a tomada de decisões técnicas durante a resposta a incidentes.

Art. 2º Para os efeitos deste ATO DPR, considera-se:

I – Evento de segurança da informação: ocorrência identificada em sistemas, serviços ou redes que indique possível falha de controle, violação de política ou situação relevante para a segurança da informação;

II – Incidente de segurança da informação: evento ou conjunto de eventos indesejados ou inesperados, com probabilidade significativa de comprometer as operações do negócio e ameaçar a segurança da informação;

III – Resposta a incidente: conjunto coordenado de ações destinadas à contenção, erradicação, recuperação e aprendizado pós-incidente;

IV – Cadeia de custódia: registro cronológico e ininterrupto da posse, transferência e manipulação de evidências digitais ou físicas relacionadas a um incidente;

V – Plano de resposta: documento que descreve papéis, procedimentos e ações a serem executadas diante de tipos específicos de incidentes (playbooks).

CAPÍTULO II

DAS COMPETÊNCIAS DO CSIRT

Art. 3º Compete ao CSIRT-SPTuris:

I – receber, registrar e triar denúncias, notificações e alertas de eventos e incidentes de segurança da informação encaminhados pelos canais oficiais;

II – classificar os incidentes quanto à categoria, severidade e prioridade, conforme matriz estabelecida na Política de Gestão de Incidentes;

III – conduzir e coordenar tecnicamente a resposta a incidentes, em todas as suas fases: preparação, identificação, contenção, erradicação, recuperação, comunicação e lições aprendidas;

IV – preservar evidências digitais e físicas, mantendo a integridade da cadeia de custódia para fins de investigação interna, auditoria, instrução de processos administrativos e, quando cabível, ações judiciais;

V – acionar e coordenar equipes técnicas internas e fornecedores externos especializados durante a resposta a incidentes;

VI – elaborar e manter atualizados os planos de resposta (playbooks) para os principais cenários de ameaça;

VII – produzir relatórios técnicos de incidentes (Root Cause Analysis — RCA), com cronologia, causa raiz, ações executadas e recomendações de melhoria;

VIII – comunicar à Diretoria-Presidência, ao Comitê de Proteção de Dados e Segurança da Informação, ao Encarregado de Dados (DPO) e ao Jurídico os incidentes classificados como críticos ou que envolvam dados pessoais, observados os prazos da Política de Gestão de Incidentes;

IX – subsidiar o Encarregado de Dados (DPO) na avaliação e na comunicação de incidentes à ANPD e aos titulares de dados pessoais, nos termos do art. 48 da LGPD;

X – propor melhorias em políticas, normas, procedimentos e controles técnicos com base nas lições aprendidas;

XI – executar outras atividades correlatas designadas pela Diretoria-Presidência ou pelo Comitê de Proteção de Dados e Segurança da Informação.

CAPÍTULO III

DA COMPOSIÇÃO E ESTRUTURA

Art. 4º O CSIRT-SPTuris será composto por membros permanentes e membros eventuais, designados por ato da Diretoria-Presidência mediante indicação das respectivas áreas, com a seguinte estrutura mínima:

I – Coordenador do CSIRT-SPTuris: profissional responsável pela liderança técnica e operacional da equipe;

II – Coordenador-substituto: profissional que assumirá a coordenação nos impedimentos e ausências do titular;

III – Analistas de Resposta a Incidentes: profissionais com conhecimento técnico em segurança da informação, redes, sistemas operacionais, análise de logs e forense computacional;

IV – Representante de Infraestrutura de TI: responsável pela articulação com as equipes operacionais de redes, servidores e estações de trabalho;

V – Representante de Desenvolvimento de Sistemas: responsável por incidentes que envolvam aplicações e código-fonte;

VI – Representantes eventuais: convocados conforme a natureza do incidente, podendo incluir membros das demais áreas da empresa e fornecedores externos.

Parágrafo único. Os membros permanentes do CSIRT-SPTuris exercerão suas atribuições sem prejuízo das funções ordinárias que desempenham na Companhia, não fazendo jus a qualquer remuneração adicional por sua participação.

Art. 5º A designação dos membros do CSIRT-SPTuris dar-se-á por prazo indeterminado, podendo os membros ser substituídos ou destituídos a qualquer tempo, por ato da Diretoria-Presidência.

CAPÍTULO IV

DO FUNCIONAMENTO

Art. 6º O CSIRT-SPTuris realizará, no mínimo:

I – reuniões ordinárias trimestrais para acompanhamento de indicadores e ações em curso;

II – reuniões extraordinárias sempre que houver incidente crítico em andamento ou demanda específica do Comitê de Proteção de Dados e Segurança da Informação;

III – exercícios de simulação (tabletop) semestrais, com cenários variados;

IV – revisão anual dos playbooks e planos de resposta.

Art. 7º Durante o tratamento de um incidente, o Coordenador do CSIRT-SPTuris atuará como Líder do Incidente (Incident Commander), possuindo autoridade para:

I – determinar a contenção imediata, incluindo isolamento de redes, segregação de sistemas, bloqueio de contas e revogação de acessos;

II – convocar membros eventuais e fornecedores externos;

III – solicitar a interrupção temporária de serviços não essenciais, mediante comunicação à Diretoria-Presidência;

IV – definir a linha de comunicação interna sobre o incidente em curso, observando o princípio do need-to-know.

Parágrafo único. As decisões de contenção que impliquem indisponibilidade de serviços essenciais ao negócio deverão ser comunicadas previamente à Diretoria-Presidência, salvo em casos de risco iminente que exijam ação imediata, hipótese em que a comunicação ocorrerá no menor prazo possível.

CAPÍTULO V

DOS RECURSOS E DA CAPACITAÇÃO

Art. 8º A Diretoria-Presidência assegurará ao CSIRT-SPTuris os recursos humanos, tecnológicos, orçamentários e organizacionais necessários ao cumprimento de suas atribuições.

CAPÍTULO VI

DAS DISPOSIÇÕES FINAIS

Art. 9º As omissões e os casos não previstos neste ATO DPR serão resolvidos pela Diretoria-Presidência, ouvido o Comitê de Proteção de Dados e Segurança da Informação.

Art. 10 Este ATO DPR poderá ser revisado a qualquer tempo, em razão de mudanças no contexto organizacional, regulatório ou de ameaças, devendo ser submetido à revisão obrigatória, no mínimo, a cada 2 (dois) anos.

Art. 11 Este ATO DPR entra em vigor na data de sua publicação.

São Paulo, 03 de agosto de 2026.

Marcelo Vieira Salles

Diretor-Presidente

São Paulo Turismo S.A. — SPTuris