PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

PROAD Nº 19409/2023

ESTUDO TÉCNICO PRELIMINAR (Lei nº 14.133/2021)

I	– Necessidade da contratação:

De acordo com os doc. 13 do PROAD nº 19409/2023, a contratação decorre da necessidade de aperfeiçoar/capacitar o servidor Fábio Nogueira da Silva, lotado na Secretaria de Tecnologia da Informação e Comunicação.

A capacitação refere-se aos cursos presenciais “Foundations of Incident Management (FIM)", a ser realizado no período de 24/07/2023 a 28/07/2023, em São Paulo/SP, com carga horária de 40 horas-aula e "Advanced Topics in Incident Handling (ATIH)”, a ser realizado no período de 27/11/2023 a 01/12/2023, em São Paulo/SP, com carga horária de 40 horas- aula, ressalvando que o primeiro curso é pré-requisito para o segundo curso.

O treinamento é indicado para os servidores que integram a ETIR – Equipe de Tratamento e Resposta a Incidentes de Segurança da Informação.

Com o aumento de ataques cibernéticos é essencial manter as equipes com treinamentos atualizados a fim de oferecer maior segurança para os serviços de Tecnologia da Informação do TRT24.

Dentre os processos de Segurança da Informação (SI) que necessitam de especial atenção está o Tratamento e resposta a incidentes de SI. O servidor indicado para fazer este

TEREZINHA MARIA DE SOUZA
02/06/2023 11:27

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

treinamento faz parte de tal equipe e será um ponto de difusão do conhecimento obtido com os cursos solicitados.

O Curso “Foundations of Incident Management" fornece conhecimentos fundamentais para profissionais que precisam entender as funções de um serviço de Gestão de Incidentes Cibernéticos e como prover este serviço com resiliência. Ele apresenta uma visão geral dos conceitos relacionados com gestão de incidentes, onde estas atividades se encaixam no ecossistema de segurança cibernética e gestão de risco, bem como aborda tópicos como ameaças atuais mais relevantes e a natureza das atividades de resposta a incidentes.

Já o curso “Advanced Topics in Incident Handling” aborda técnicas para detecção e resposta tanto de ataques comumente usados quanto ataques e ameaças emergentes. Este curso baseia-se fortemente nas ferramentas e métodos discutidos no curso Foundations of Incident Management e fornece passos que incident handlers podem seguir para responder a ameaças e ataques complexos, incluindo ameaças persistentes (APTs). é complementar ao curso “Foundations of Incident Management”.

Ressalte ainda, que auditorias já apontaram a necessidade urgente de se treinar a equipe de tratamento e resposta a incidentes de SI, em especial citamos a auditoria do CSJT realizada no PROAD n. 19929/2022, documento 16 – relatório de auditoria nº 3/2022, achado nº 1, a saber: “Ausência de ações de capacitação em segurança da informação / cibernética para membros da ETIR nos últimos dois anos” (doc. 13, item 9).

Dessa forma, a capacitação do servidor é fundamental em razão das atribuições de suas funções na SETIC.
A execução da despesa correrá por conta do Programa de

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

Trabalho Resumido (PTRES)– 214279 - Programa de Capacitação de Servidores da TI, Elemento de Despesa 339040 – Serviços de terceiros - PJ - capacitação servidores – Item de execução 161.

II	– Previsão da contratação no Planejamento da Administração:

A contratação está alinhada com o Planejamento estratégico, contribuindo para o objetivo “incrementar modelo de gestão de pessoas” na orientação estratégica “desenvolvimento de perfis profissionais vinculados à estratégica”, formando servidores para o objetivo estratégico “Aprimorar a Governança de TIC e a proteção de dados” (Resolução Administrativa Nº 66/2021 – p.54).
A contratação também está alinhada com o Plano de Capacitação da SETIC (Proad nº 5294/2015 – doc. 92), bem como alinhada à recomendação do Relatório de Auditoria nº 3/2022 do PROAD Nº 19929/2022.

III	– Requisitos da Contratação:

Para a contratação é necessário que o profissional ou empresa possua notória especialização no campo da especialidade da matéria a ser ministrada.
Não se trata de serviço de natureza continuada. Para o atendimento da demanda, o setor demandante realizou pesquisa (docs. 3-7) para buscar a solução do mercado que melhor atenda às necessidades do Tribunal, considerando o conteúdo a ser ministrado, necessário para a capacitação, e qualificação técnica profissional que permita inferir ser o mais adequado à plena satisfação do objeto do contrato.

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

IV	– Estimativas das quantidades, acompanhadas das memórias de cálculo e dos documentos que lhes dão suporte:

Conforme doc. 1, o Setor demandante indicou 1 servidor a ser capacitado.

V	– Levantamento de mercado e justificativa da escolha do tipo de solução a contratar:

O demandante realizou pesquisa no mercado de empresas que promovem capacitação com a mesma matéria.

Identificaram-se cinco empresas: NIC.BR, ACADI-TI, DataSecurity, CECyber e Strong Security (docs. 3-7).

Dentre as empresas pesquisadas o demandante por meio do doc. 1 – itens 7 e 11 apresenta justificativa da empresa que possui a solução mais adequada para o Tribunal, preservando a relação custo-benefício e com o conteúdo que atende às necessidades de aprendizado.

O CERT.br é um Grupo de Resposta a Incidentes de Segurança (CSIRT) de Responsabilidade Nacional, mantido pelo NIC.br, do Comitê Gestor da Internet no Brasil. O NIC.br é uma organização privada sem fins lucrativos criada para implementar as decisões e os projetos do CGI.br, que é o responsável por coordenar e integrar as iniciativas e serviços da Internet no país. Sendo assim, a instituição escolhida para ministrar os treinamentos “Foundations of Incident Management (FIM)” e “Advanced Topics in Incident Handling (ATIH)” possui profissionais efetivamente habilitados e experimentados no dia a dia de uma sala de guerra relacionado aos diversos incidentes

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

de SI que acometem uma rede de dados. Ademais, é a única instituição no Brasil com licenciamento para ministrar os cursos da “SEI/CERT Division”, organização dos EUA líder em cibe segurança.1
Observa-se nas pesquisas de mercado apresentadas, que a empresa NIC.BR/CERT.BR é a que melhor atende ao Tribunal, pois possui a qualificação necessária para a contratação, demonstrando por atestado de capacidade técnica a notória especialização (docs. 29 e 30).

VI	– Estimativas de preços ou preços referenciais:

Por meio de pesquisa no mercado identificaram-se os seguintes preços referenciais, conforme docs. 13- item 11:

- NIC.BR/CERT.BR (docs. 3, 10, 11 e 25) – R$3.300,00,
inscrição de cada curso, modalidade presencial, (40 horas cada curso). O valor hora-aula é de R$ 82,50.

-	ACADI-TI (doc. 4) – R$6.050,00, a inscrição, curso na modalidade EAD on line2, (20 horas). O valor hora-aula é de R$ 302,50.

-	CECyber (doc. 5) – R$ 10.544,00 a inscrição, curso na modalidade EAD, (30 horas). O valor hora-aula é R$ 351,46.

-	DataSecurity (doc. 6) – R$ 3.000,00 a inscrição, curso na modalidade EAD, (40 horas). O valor hora-aula é R$ 75,00.

1 Fontes: https://cursos.cert.br/sobre/
https://www.sei.cmu.edu/education-outreach/license-seimaterials/licensed-partner-organizations/index.cfm
2 Fonte: https://acaditi.com.br/calendario-de-curso/

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

-	Strong Security (doc. 7) – R$ 8.600,00 a inscrição, curso na modalidade presencial, (40 horas3). O valor hora-aula é R$ 215,00.

O pedido de contratação é para os cursos presenciais “Foundations of Incident Management (FIM)" e "Advanced Topics in Incident Handling (ATIH)”, ressalvando que o primeiro curso é pré-requisito para o segundo curso.

A capacitação está sendo organizada pelo NÚCLEO DE INFORMAÇÃO E COORDENAÇÃO DO PONTO BR – NIC.BR (NIC.BR – nome de
fantasia), CNPJ nº 05.506.560/0001-36, instituição de referência que faz a gestão, tratamento e reposta aos incidentes de SI no Brasil. Ademais, é a única instituição credenciada a ministrar esses treinamentos pela SEI/CERT Division, instituição estrangeira (EUA) líder em cibe segurança e notadamente reconhecida pelo padrão de qualidade de seus cursos.
Foram juntadas notas de empenhos (docs. 26-28) demonstrando que o valor da proposta é similar ao mesmo valor que a empresa está praticando no mercado para as contratações do mesmo treinamento.

VII	– Descrição da solução como um todo:

Para o atendimento da demanda, faz-se necessária capacitação, com empresa/profissional de notória especialização, para ministrar a capacitação, cuja programação atende às necessidades do TRT24.
Dessa forma, o NIC.BR possui qualificação necessária,

3 Fonte: https://loja.strongsecurity.com.br/treinamentos/ec- council/treinamento-ecih-ec-council-certified-incident-handler

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

sendo conhecida pela qualidade na entrega dos mais diversos conteúdos técnicos, utilizando-se de profissionais de notória especialização que ministra treinamento cujo conteúdo é que melhor atende às necessidades de capacitação, conforme doc. 13, item 7.

VIII	– Justificativas para o parcelamento ou não da contratação:

Por se tratar de capacitação de curta duração, não há parcelamento do objeto.

IX	– Demonstrativo dos resultados pretendidos em termos de economicidade e de melhor aproveitamento dos recursos humanos, materiais ou financeiros disponíveis:

Em termos de resultado, pretende-se com o treinamento a ampliação e atualização dos conhecimentos técnicos da equipe e difusão do conhecimento adquirido pelo servidor indicado entre os membros da ETIR, personalizando o conteúdo à realidade do processo gerenciar incidentes de SI do TRT24.

X	– Providências a serem adotadas pela Administração previamente à celebração do contrato, inclusive quanto à capacitação de servidores ou de empregados para fiscalização e gestão contratual:

Não há necessidade de providências a serem adotadas pela Administração do Tribunal para execução da contratação.

XI	– Contratações correlatas e/ou interdependentes:

PODER JUDICIÁRIO
TRIBUNAL REGIONAL DO TRABALHO DA 24ª REGIÃO

Não há contratações correlatas ou interdependentes relacionada aos presentes autos.

XII	– Descrição de possíveis impactos ambientais e respectivas medidas mitigadoras:

Não há impactos ambientais e necessidade de adequação do ambiente do Tribunal para execução da contratação.

XIII	– Posicionamento conclusivo sobre a adequação da contratação:

Considerando os benefícios oriundos da capacitação (item IX), considerando que essas ações estão previstas no Plano anual de Capacitação e alinhadas com o planejamento estratégico do Tribunal, considerando que o custo-benefício torna favorável a contratação, considerando que o valor a ser contratado está compatível com o praticado no mercado, considerando que a empresa demonstra qualificação técnica, e os profissionais que irão ministrar o treinamento são especializados na matéria (doc. 37), atendendo ao conteúdo de necessidade do Tribunal e considerando a disponibilidade orçamentária para a ação de capacitação, é viável a realização da contratação.

Terezinha Maria de Souza
Chefe da Seção de Formação
e Desenvolvimento de Servidores Escola Judicial

Aprovado por:

Cristhiano Karlo Moraes Sandim
Secretário da Escola Judicial