DOU 02/08/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023080200016 16 Nº 146, quarta-feira, 2 de agosto de 2023 ISSN 1677-7042 Seção 1 Parágrafo único. A POSIN/MinC, bem como todas as normas dela decorrentes, deverão ser revisadas e atualizadas sempre que se fizer necessário, não excedendo o período máximo de quatro anos. Art. 55. Ficam revogadas: I - a Portaria MinC nº 25, de 7 de abril de 2015; e II - a Portaria MinC nº 63, de 11 de julho de 2017. Art. 56. Esta Portaria entra em vigor na data de sua publicação. MARGARETH MENEZES DA PURIFICAÇÃO COSTA ANEXO I CONCEITOS E DEFINIÇÕES I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique. II - agente público: todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação, ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego ou função nos órgãos e entidades da administração pública federal, direta e indireta. III - ameaça: conjunto de fatores externos com o potencial de causar dano para um sistema ou organização. IV - ataque: ação que constitui uma tentativa deliberada e não autorizada para acessar ou manipular informações, ou tornar um sistema inacessível, não íntegro ou indisponível. V - ativos de informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização. VI - auditoria: processo de exame cuidadoso e sistemático das atividades desenvolvidas, cujo objetivo é averiguar se elas estão de acordo com as disposições planejadas e estabelecidas previamente, se foram implementadas com eficácia e se estão adequadas e em conformidade à consecução dos objetivos. VII - autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade. VIII - backup: conjunto de procedimentos que permite salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada. IX - comitê de governança digital e segurança da informação: grupo de pessoas com a responsabilidade de assessorar a implementação das ações de segurança da informação no âmbito do órgão ou entidade da administração pública federal. X - computação em nuvem: modelo de fornecimento e entrega de tecnologia de informação que permite acesso conveniente e sob demanda a um conjunto de recursos computacionais configuráveis, sendo que tais recursos podem ser provisionados e liberados com mínimo gerenciamento ou interação com o provedor do serviço de nuvem. XI - comprometimento: perda de segurança resultante do acesso não autorizado. XII - confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não autorizados nem credenciados. XIII - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais nos termos da Lei Geral de Proteção de Dados - LGPD. XIV - controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais. Via de regra, requer procedimentos de autenticação. XV - cópia de segurança: vide backup. XVI - credenciamento: processo pelo qual o usuário recebe credenciais de segurança que concederão o acesso, incluindo a identificação, a autenticação, o cadastramento de código de identificação e definição de perfil de acesso, em função de autorização prévia. XVII - custódia: consiste na responsabilidade de guardar um ativo para terceiro. A custódia não permite automaticamente o acesso ao ativo, nem o direito de conceder acesso a outros. XVIII - custodiante de informação: pessoa ou órgão com atribuição fornecida pelo proprietário da informação de proteger adequadamente esta informação em regime de custódia. XIX - dado pessoal: informação relacionada à pessoa natural identificada ou identificável. XX - descarte: eliminação correta de informações, documentos, mídias e acervos digitais. XXI - direito de acesso: privilégio associado a um cargo, pessoa ou processo, para ter acesso a um ativo. XXII - disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou entidade devidamente autorizados. XXIII - dispositivos móveis: equipamentos portáteis, dotados de capacidade de processamento, ou dispositivos removíveis de memória para armazenamento, entre os quais se incluem, não limitando a estes: e-books, notebooks, netbooks, smartphones, tablets, pendrives, USBdrives, HD externo, e cartões de memória. XXIV - documentos classificados: documentos que contenham informação classificada em qualquer grau de sigilo. XXV - eliminação: exclusão de dado ou conjunto de dados, armazenados em banco de dados, independentemente do procedimento empregado. XXVI - e-mail: sigla de correio eletrônico (electronic mail). XXVII - encarregado: pessoa indicada pelo controlador, para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. XXVIII - equipe de prevenção, tratamento e resposta a incidentes cibernéticos: grupo de agentes públicos com a responsabilidade de prestar serviços relacionados à segurança cibernética para o órgão ou a entidade da administração pública federal, em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do órgão ou da entidade. Anteriormente era chamada de Equipe de Tratamento de Incidentes de Rede. XXIX - gestão de continuidade de serviços em segurança da informação: processo que identifica ameaças potenciais para uma organização e os possíveis impactos nas operações de negócio, caso estas ameaças se concretizem. Esse processo fornece uma estrutura para que se desenvolva uma resiliência organizacional que seja capaz de responder efetivamente e salvaguardar os interesses das partes interessadas, a reputação, a marca da organização e suas atividades de valor agregado. XXX - gestão de incidentes cibernéticos: processo que realiza ações sobre qualquer evento adverso relacionado à segurança cibernética dos sistemas ou da infraestrutura de computação do Ministério da Cultura. XXXI - gestão de riscos em segurança da informação: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificação, avaliação e gerenciamento de potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos. XXXII - gestão de segurança da informação: processo que visa integrar atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e organizacional, aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação. XXXIII - gestão de vulnerabilidades técnicas: processo que visa prevenir a exploração de vulnerabilidades na rede corporativa do Ministério da Cultura por meio da aplicação sistemática de ações de identificação, classificação e tratamento de vulnerabilidades, sendo regulamentada por norma interna de segurança da informação do Ministério da Cultura, conforme diretrizes desta Política de Segurança da Informação. XXXIV - gestor de segurança da informação: responsável pelas ações de segurança da informação no âmbito do órgão ou entidade da administração pública federal. XXXV - incidente cibernético: ocorrência que pode comprometer, real ou potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de informação ou das informações processadas, armazenadas ou transmitidas por esse sistema. XXXVI - incidente de segurança: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores. XXXVII - informação: dados, processados ou não, que podem ser utilizados para produção e para transmissão de conhecimento, contidos em qualquer meio, suporte ou formato. XXXVIII - informação classificada em grau de sigilo: informação sigilosa em poder dos órgãos e entidades públicas, observado o seu teor e em razão de sua imprescindibilidade à segurança da sociedade ou do Estado, a qual é e que pode ser classificada como ultrassecreta, secreta ou reservada. XXXIX - informação pessoal: informação relacionada à pessoa natural identificada ou identificável, relativa à intimidade, à vida privada, à honra e à imagem. XL - informação sigilosa: informação submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado e aquela abrangida pelas demais hipóteses legais de sigilo. XLI - integridade: propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental. XLII - internet: rede global, composta pela interligação de inúmeras redes, provendo comunicação e informações das mais variadas áreas de conhecimento. XLIII - invasão: incidente de segurança no qual o ataque foi bem-sucedido, resultando no acesso, na manipulação ou na destruição de informações em um computador ou em um sistema da organização. XLIV - log (registro de auditoria): registro de eventos relevantes em um dispositivo ou sistema computacional. XLV - medidas de segurança: medidas destinadas a garantir sigilo, inviolabilidade, integridade, autenticidade e disponibilidade da informação classificada em qualquer grau de sigilo. XLVI - níveis de acesso: especificam quanto de cada recurso ou sistema o usuário pode utilizar. XLVII - perfil de acesso: conjunto de atributos, de cada usuário, definidos previamente como necessários para credencial de acesso. XLVIII - perfil institucional: cadastro do órgão ou entidade da administração pública federal como usuário em redes sociais, alinhado ao planejamento estratégico e à Política de Segurança da Informação da instituição, com observância de sua correlata atribuição e competência. XLIX - política de segurança da informação: documento aprovado pela autoridade responsável pelo órgão ou entidade da administração pública federal, direta e indireta, com o objetivo de fornecer diretrizes, critérios e suporte administrativo suficientes à implementação da segurança da informação. Este termo substituiu o termo Política de Segurança da Informação e Comunicação. L - proprietário de informação: chefe de unidade organizacional geradora ou usuária de informação, ou pessoa por este designada. LI - rede de computadores: conjunto de computadores, interligados por ativos de rede, capazes de trocar informações e de compartilhar recursos, por meio de um sistema de comunicação. LII - redes sociais: estruturas sociais digitais, compostas por pessoas ou organizações, conectadas por um ou vários tipos de relações, que partilham valores e objetivos comuns. LIII - reduzir risco: forma de tratamento de risco na qual a alta administração decide realizar a atividade adotando ações para reduzir a probabilidade, as consequências negativas, ou ambas, associadas a um risco. LIV - segurança cibernética: ações voltadas para a segurança de operações, visando garantir que os sistemas de informação sejam capazes de resistir a eventos no espaço cibernético capazes de comprometer a disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados armazenados, processados ou transmitidos e dos serviços que esses sistemas ofereçam ou tornem acessíveis. LV - segurança da informação: ações que objetiva viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações. LVI - serviços: meio de fornecimento de valor a clientes, com vistas a entregar os resultados que eles desejam, sem que tenham que arcar com a propriedade de determinados custos e riscos. LVII - sistema de informação: conjunto de elementos materiais ou intelectuais colocado à disposição dos usuários em forma de serviços ou bens que possibilitam a agregação dos recursos de tecnologia, informação e comunicações de forma integrada. LVIII - termo de compromisso de manutenção de sigilo: termo utilizado para garantir o sigilo de uma informação classificada em grau de sigilo em caráter excepcional, mediante assinatura de pessoa natural não credenciada ou não autorizada por legislação. LXIX - termo de responsabilidade: termo assinado pelo usuário com a sua concordância em contribuir com a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações a que tiver acesso, bem como assumir responsabilidades decorrentes de tal acesso. LX - tratamento da informação: conjunto de ações referente à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação. LXI - tratamento da informação classificada: conjunto de ações referente à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle de informação classificada, independente do meio, suporte ou formato. LXII - trilha de auditoria: registro ou conjunto de registros gravado em arquivos de log ou outro tipo de documento ou mídia que possa indicar, de forma cronológica e inequívoca, o autor e a ação realizada em determinada operação, procedimento ou evento. LXIII - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais, por órgãos e entidades públicos, no cumprimento de suas competências legais, ou entre esses entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados. LXIV - usuário de informação: pessoa física, seja servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de um órgão ou entidade da administração pública federal, formalizada por meio da assinatura de Termo de Responsabilidade. ANEXO II TERMO DE RESPONSABILIDADE Pelo presente instrumento, eu,

, CPF nº __, Carteira de Identidade nº___, expedida pelo ____ em___, lotado(a) no(a)__ ___________, deste Ministério, na qualidade de USUÁRIO ou CUSTODIANTE de informações do Ministério da Cultura, declaro ter CONHECIMENTO da Política de Segurança da Informação (POSIN), segundo a qual devo cumprir todas as suas diretrizes e orientações.