Art. 11
As serventias extrajudiciais deverão manter procedimentos documentados para gestão de incidentes de segurança da informação, contemplando, no mínimo, identificação, classificação por gravidade, medidas de contenção, erradicação, recuperação e registro das ocorrências.
Art. 11, § 1º
Incidentes classificados como críticos deverão ser comunicados à Corregedoria competente no prazo máximo definido no Anexo II, sem prejuízo das comunicações exigidas pela legislação específica.
Art. 11, § 2º
Todos os incidentes deverão ser objeto de análise de causa raiz e de registro formal das medidas corretivas adotadas.
Art. 11, § 3º
A gestão de vulnerabilidades observará os requisitos técnicos, prazos de tratamento, critérios de priorização e deveres de registro estabelecidos no Anexo II, devendo as diretrizes estratégicas correspondentes constar da Política Interna de Segurança da Informação prevista no Anexo III. Os prazos máximos e os critérios técnicos de tratamento constam exclusivamente do Anexo II, vedada interpretação autônoma de dispositivos da Política Interna que implique redução do padrão mínimo ali estabelecido.
Art. 11, § 4º
As medidas adotadas no âmbito da gestão de vulnerabilidades deverão ser registradas formalmente no dossiê técnico da serventia, com indicação da data de identificação, classificação de risco, providências implementadas e data de encerramento.