DOU 12/09/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023091200096 96 Nº 174, terça-feira, 12 de setembro de 2023 ISSN 1677-7042 Seção 1 IV - acompanhar as investigações e as avaliações dos danos decorrentes de quebras de segurança e adotar as medidas administrativas necessárias à aplicação de ações corretivas; V - encaminhar os fatos apurados, decorrentes de quebra de segurança, para a aplicação das penalidades previstas no art. 74; VI - gerenciar a análise de risco; VII - verificar se os procedimentos de Segurança da Informação estão sendo aplicados de forma a atender à conformidade com legislações vigentes a respeito do assunto e normativos internos específicos; VIII - promover, com apoio da alta administração, a ampla divulgação da Política, das normas internas de segurança da informação e de suas atualizações, de forma ampla e acessível, a todos os usuários de informação e aos prestadores de serviço; IX - propor recursos necessários às ações de segurança da informação e das comunicações; X - acompanhar as atividades da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos; XI- promover e acompanhar estudos de novas tecnologias quanto a possíveis impactos na segurança da informação e comunicações; XII - propor normas internas relativas à segurança da informação e comunicações; XIII - promover a melhoria contínua dos processos de gestão de segurança da informação e propor ajustes corretivos a serem incluídos nas revisões desta POSIN; e XIV - propor conteúdo sobre segurança da informação, com vistas a facilitar a capacitação e a instrução dos servidores e colaboradores para a utilização de sistemas corporativos e acesso a informações nos níveis físico e lógico, em conformidade com as diretrizes desta POSIN. CAPÍTULO V DAS RESPONSABILIDADES Seção I Do Proprietário da Informação Art. 66. O setor ou a chefia imediata, proprietário da informação, é o responsável primário pela sua viabilidade e sobrevivência. Art. 67. Ao Proprietário da Informação caberá: I - comunicar ao Gestor de Segurança da Informação acerca do ingresso, da alteração de lotação ou localização, e do desligamento de servidor, inclusive colaboradores do Ministério do Turismo; e II - colher a assinatura do Termo de Responsabilidade disponível no Anexo II e do Termo de Confidencialidade disponível no Anexo III que envolvam o manuseio dos ativos de informação. Seção II Das Responsabilidades do Usuário de Informação Art. 68. O Usuário de Informação é a pessoa física, servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação do Ministério do Turismo. Art. 69. Todo usuário de informação deverá respeitar a classificação atribuída a uma informação e, a partir dela, conhecer e obedecer às restrições de acesso e divulgação associadas. Art. 70. Ao Usuário de Informação caberá: I - acessar a rede de dados do Ministério do Turismo somente após tomar ciência desta POSIN e das normas internas de Segurança da Informação e assinar o Termo de Responsabilidade (Anexo II); II - manter sigilo e trocar periodicamente a senha pessoal; III - não usar a identificação de acesso /login e senha de terceiros; IV - portar crachá de identificação de maneira visível ou uniforme, para os cargos que o exigirem, dentro das instalações do Ministério do Turismo; V - zelar pelos equipamentos disponibilizados para a execução do seu serviço e tratar a informação digital como patrimônio do Ministério do Turismo e como recurso que deva ter seu sigilo preservado; VI - utilizar as informações digitais disponibilizadas e os sistemas e produtos computacionais de propriedade ou direito de uso do Ministério do Turismo exclusivamente para o interesse do serviço; VII - preservar o conteúdo das informações sigilosas a que tiver acesso, sem divulgá-las para pessoas não autorizadas ou que não tenham necessidade de conhecê-las; VIII - não tentar obter acesso à informação cujo grau de sigilo não seja compatível com a sua Credencial de Segurança ou cujo teor não tenha autorização ou necessidade de conhecer; IX - não compartilhar, transferir, divulgar ou permitir o conhecimento de credenciais de acesso (senhas) utilizadas no ambiente computacional do Ministério do Turismo por terceiros; X - não utilizar o ambiente computacional do Ministério do Turismo para acessar, transmitir, copiar ou reter conteúdo ou arquivos com textos, fotos, filmes ou quaisquer outros registros que possam causar constrangimento a terceiros ou que estejam em desacordo com a moral e a ética públicas e com a legislação vigente; XI - não transferir qualquer tipo de arquivo que pertença ao Ministério do Turismo para outro local, seja por meio magnético ou não, exceto no interesse do serviço e mediante autorização da autoridade competente; XII - estar ciente de que o processamento, o trâmite e o armazenamento de arquivos que não sejam de interesse do serviço não serão permitidos na rede computacional do Ministério do Turismo; XIII - estar ciente de que toda informação digital armazenada, processada e transmitida no ambiente computacional do Ministério do Turismo poderá ser auditada; XIV - estar ciente de que o e-mail é de uso exclusivo para o interesse do serviço e que qualquer correspondência eletrônica originada ou retransmitida no ambiente computacional do Ministério do Turismo deverá obedecer a esse preceito; XV - ao assinar o Termo de Responsabilidade disponível no Anexo II, o usuário de informação declara, formalmente, ter pleno conhecimento e aceitar expressamente, sem reservas, os termos desta POSIN; XVI - utilizar as credenciais de acesso (login e senha) e os recursos computacionais em conformidade com a POSIN do Ministério do Turismo e procedimentos estabelecidos em normas específicas do órgão; XVII - informar prontamente à Central de Suporte ao Usuário caso tome conhecimento de fato que esteja em desacordo com esta POSIN ou suspeite da veracidade de mensagem ou arquivo recebidos; e XVIII - no caso de exoneração, demissão, licenciamento, término de prestação de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos sigilosos a que teve acesso. Seção III Das Responsabilidades do Custodiante da Informação Art. 71. O Custodiante da Informação é o agente público que tem responsabilidade formal de proteger a informação e aplicar os níveis de controles de segurança em conformidade com as exigências de segurança da informação comunicadas pelo proprietário da informação. Art. 72. Ao Custodiante da Informação caberá: I - cumprir e zelar pela observância integral das diretrizes desta POSIN e demais normas e procedimentos decorrentes; II - zelar pela disponibilidade, integridade, confidencialidade e autenticidade das informações e recursos em qualquer suporte sob sua custódia, conforme condições estabelecidas nesta POSIN e demais normas e procedimentos decorrentes, mediante assinatura do Termo de Responsabilidade (Anexo II); III - participar de capacitação, treinamento ou eventos em segurança da informação promovidos pelo GSI; IV - proteger as informações contra acesso, modificação, destruição ou divulgação não autorizada; V - preservar a classificação do grau de sigilo a documentos, dados e informações dos quais tiver conhecimento em decorrência do exercício de suas funções; VI - adotar as medidas de proteção necessárias para minimizar ou eliminar os riscos a que estão sujeitos seus ativos de informação no âmbito do Ministério do Turismo; e VII - comunicar imediatamente ao Proprietário da Informação e ao Gestor de Segurança da Informação sobre qualquer incidente que possa comprometer a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações ou sobre fato de que tenha conhecimento que esteja em desacordo com esta POSIN. CAPÍTULO VI DAS PENALIDADES Art. 73. O Usuário de Informação responderá pelo prejuízo que vier a ocasionar ao Ministério do Turismo em decorrência do descumprimento de uma ou mais regras desta POSIN e pelo uso indevido das suas credenciais de acesso. Art. 74. A desobediência às regras estabelecidas nesta POSIN, por qualquer pessoa física ou jurídica, no âmbito do Ministério do Turismo, implicará ao infrator as penalidades previstas, nos âmbitos civil e penal, quanto à tipificação criminal de delitos informáticos, conforme a Lei nº 12.737, de 30 de novembro de 2012, bem como perante a justiça administrativa, conforme a Lei nº 8.112, de 11 de dezembro de 1990. CAPÍTULO VII DAS DISPOSIÇÕES FINAIS Art. 75. Esta POSIN e suas atualizações deverão ser divulgadas amplamente aos usuários de informações do Ministério do Turismo. Parágrafo único. A atualização desta POSIN, bem como todos os instrumentos normativos gerados a partir dela, deverão ser revisados e atualizados sempre que se fizer necessário, não excedendo o período máximo de quatro anos. Art. 76. Todos os servidores, colaboradores, estagiários e demais agentes públicos ou particulares que executem atividade vinculada à atuação institucional do Ministério do Turismo, deverão seguir o estabelecido nesta POSIN e as normas internas de segurança da informação, bem como assinar o Termo de Responsabilidade (Anexo II) quanto ao sigilo do conhecimento dos dados e informações. Parágrafo único. O MTur poderá providenciar meio informatizado, para o Termo de Responsabilidade (Anexo II) desta POSIN, visando facilitar a manifestação dos usuários de ativos de informação. Art. 77. Fica revogada a Portaria MTur nº 108, de 22 de maio de 2013. Art. 78. Esta Portaria entra em vigor em 19 de setembro de 2023. CELSO SABINO ANEXO I CONCEITOS E DEFINIÇÕES Art. 1º Os conceitos e as definições utilizados nesta Política de Segurança da Informação, em sua maioria, estão contidos no Glossário de Segurança da Informação, aprovado pelo Gabinete de Segurança Institucional da Presidência da República mediante a Portaria GSI/PF nº 93, de 18 de outubro de 2021, dentre eles: I - acesso - ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique. II - agente público - todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação, ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego ou função nos órgãos e entidades da administração pública federal, direta e indireta. III - ameaça - conjunto de fatores externos com o potencial de causar dano para um sistema ou organização. IV - ataque - ação que constitui uma tentativa deliberada e não autorizada para acessar ou manipular informações, ou tornar um sistema inacessível, não íntegro ou indisponível. V - ativos de informação - meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização. VI - auditoria - processo de exame cuidadoso e sistemático das atividades desenvolvidas, cujo objetivo é averiguar se elas estão de acordo com as disposições planejadas e estabelecidas previamente, se foram implementadas com eficácia e se estão adequadas e em conformidade à consecução dos objetivos. VII - autenticidade - propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade. VIII - backup - conjunto de procedimentos que permite salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada. IX - comitê de governança digital e segurança da informação - grupo de pessoas com a responsabilidade de assessorar a implementação das ações de segurança da informação no âmbito do órgão ou entidade da administração pública federal. X - computação em nuvem: modelo de fornecimento e entrega de tecnologia de informação que permite acesso conveniente e sob demanda a um conjunto de recursos computacionais configuráveis, sendo que tais recursos podem ser provisionados e liberados com mínimo gerenciamento ou interação com o provedor do serviço de nuvem; XI - comprometimento - perda de segurança resultante do acesso não autorizado. XII - confidencialidade - propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não autorizados nem credenciados. XIII - controlador - pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais. XIV - controle de acesso - conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais. Via de regra, requer procedimentos de autenticação. XV - controle de acesso à informação classificada - realizado por meio de credencial de segurança e da demonstração da necessidade de conhecer. XVI - cópia de segurança - vide backup. XVII - credenciamento - processo pelo qual o usuário recebe credenciais de segurança que concederão o acesso, incluindo a identificação, a autenticação, o cadastramento de código de identificação e definição de perfil de acesso, em função de autorização prévia e da necessidade de conhecer. XVIII - crime cibernético - ato criminoso ou abusivo contra redes ou sistemas de informações, seja pelo uso de um ou mais computadores, utilizados como ferramentas para cometer o delito ou tendo como objetivo uma rede ou sistema de informações a fim de causar incidente, desastre cibernético ou obter lucro financeiro. XIX - criptografia - arte de proteção da informação, por meio de sua transformação em um texto cifrado (criptografado), com o uso de uma chave de cifragem e de procedimentos computacionais previamente estabelecidos, a fim de que somente o(s) possuidor(es) da chave de decifragem possa(m) reverter o texto criptografado de volta ao original (texto pleno). A chave de decifragem pode ser igual (criptografia simétrica) ou diferente (criptografia assimétrica) da chave de cifragem. XX - criticidade - o que é crítico, que envolve algum grau de risco. XXI - custódia - consiste na responsabilidade de guardar um ativo para terceiros. A custódia não permite automaticamente o acesso ao ativo, nem o direito de conceder acesso a outros. XXII - custodiante da informação - qualquer indivíduo ou estrutura de órgão ou entidade da administração pública federal, direta e indireta, que tenha responsabilidade formal de proteger a informação e aplicar os níveis de controles de segurança, em conformidade com as exigências de segurança da informação, comunicadas pelo proprietário da informação. XXIII - dado pessoal - informação relacionada à pessoa natural identificada ou identificável. XXIV - descarte - eliminação correta de informações, documentos, mídias e acervos digitais. XXV - dinâmico - que evolui permanentemente, que está em constante mudança;