DOU 01/12/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023120100095 95 Nº 228, sexta-feira, 1 de dezembro de 2023 ISSN 1677-7042 Seção 1 V - orientar os funcionários e os contratados sob sua responsabilidade a respeito das práticas a serem tomadas em relação à segurança da informação e à proteção de dados pessoais. Art. 107. Cabe ao Gestor de Ativo de Informação: I - garantir a segurança dos ativos de informação sob sua responsabilidade; II - definir e gerir os requisitos de segurança para os ativos de informação sob sua responsabilidade, em conformidade com esta Política de Segurança da Informação e com seus documentos complementares; III - conceder e revogar acessos aos ativos de informação; IV - comunicar à ETIR a ocorrência de incidentes de Segurança da Informação e de proteção de dados; V - designar os custodiantes dos ativos de informação, quando aplicável; VI - manter registro das operações de tratamento de dados pessoais que realizarem; e VII - manter o inventário e mapeamento dos ativos de informação sob sua responsabilidade. Parágrafo único. O gestor de ativo da informação pode ser equiparado ao controlador conforme disposto na Lei Geral de Proteção de Dados Pessoais em vigor. Art. 108. Cabe ao custodiante do ativo de informação proteger e manter as informações, bem como controlar o acesso, conforme requisitos definidos pelo gestor de ativo de informação e dos dados pessoais e em conformidade com esta Política de Segurança da Informação e seus documentos complementares. Parágrafo único. O custodiante do ativo da informação pode ser equiparado ao operador descrito na Lei Geral de Proteção de Dados Pessoais em vigor. Art. 109. Cabe ao titular das unidades administrativas: I - corresponsabilizar-se pelas ações realizadas por aqueles que estão sob sua responsabilidade; II - incorporar e manter aos processos de trabalho de sua unidade, ou de sua área, práticas inerentes à Segurança da Informação; III - tomar as medidas administrativas necessárias para que sejam aplicadas ações corretivas nos casos de violações da Segurança da Informação por parte dos usuários sob sua supervisão; IV - informar à área de Gestão de Pessoas deste Ministério sobre a movimentação de pessoal de sua unidade; e V - comunicar à ETIR a ocorrência de incidentes de Segurança da Informação e de proteção de dados. Art. 110. Cabe aos terceiros e fornecedores: I - tomar conhecimento desta Política de Segurança da Informação; II - fornecer listas atualizadas da documentação dos ativos, licenças, acordos ou direitos relacionados aos ativos de informação objetos do contrato; III - fornecer toda a documentação dos sistemas, produtos, serviços relacionados às suas atividades; IV - adotar medidas de segurança, técnicas e administrativas aptas a proteger os ativos de informação e os dados pessoais, sob sua custódia, de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, conforme legislação em vigor; V - manter registro das operações de tratamento de dados pessoais que realizarem; e VI - assinar o Termo de Responsabilidade e Sigilo - Anexo II. Art. 111. Cabe aos usuários: I - conhecer e cumprir todos os princípios, diretrizes e responsabilidades desta Política de Segurança da Informação, bem como os demais normativos e resoluções relacionados à Segurança da Informação e proteção de dados pessoais; II - assinar o Termo de Responsabilidade e Sigilo - Anexo II; III - obedecer aos requisitos de controle de segurança da informação especificados pelos gestores e custodiantes dos ativos de informação; e IV - comunicar à ETIR a ocorrência de incidentes de Segurança da Informação e de proteção de dados. Art. 112. O funcionamento e composição da câmara técnica de Segurança da Informação e de Proteção de Dados serão regulados por regimentos internos, que deverão ser definidos e aprovados em reunião do Comitê Interno de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. CAPÍTULO VI DAS PENALIDADES Art. 113. Ações que violem a Política de Segurança da Informação ou que quebrem os controles de Segurança da Informação e de proteção de dados pessoais serão devidamente apuradas e aos responsáveis serão aplicadas as sanções penais, administrativas e civis em vigor. CAPÍTULO VII DAS VEDAÇÕES Art. 114. É vedado comprometer a disponibilidade, a integridade, a confidencialidade, a autenticidade dos ativos de informação e dados pessoais geridos, custodiados ou tratados pelo Ministério. Art. 115. É vedada a divulgação de informações produzidas por usuários e terceiros para uso exclusivo do Ministério, em quaisquer outros projetos ou atividades de uso diverso daquele estabelecido pelo Ministério. Art. 116. Os ativos de informação devem ser utilizados estritamente dentro do seu propósito, sendo vedado seu uso para fins indevidos. § 1º Serão considerados para fins indevidos, dentre outros: a) cometer fraudes; b) invadir os ativos de informação; c) utilizar os ativos de informação para fins particulares ou de terceiros; d) utilizar jogos; e) realizar downloads, instalar e usar sistemas não homologados ou não autorizados pelo Ministério; f) realizar acessos não autorizados; g) fazer uso de personificação; h) utilizar de falsa identidade; i) obter senhas e dados privativos; j) realizar perseguição; k) realizar ameaças; l) distribuir códigos maliciosos; m) acessar, guardar e disseminar material não ético, ofensivo, difamatório, discriminatório, preconceituoso, malicioso, obsceno, ilegal ou atentatório à moral e aos bons costumes; n) instalar softwares piratas; o) utilizar práticas em desacordo com o Código de Conduta Ética do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; e p) disseminar conteúdos ilegais de incitação à violência, que não respeitem os direitos autorais ou objetivos comerciais particulares. CAPÍTULO VIII DO PLANO DE INVESTIMENTOS EM SEGURANÇA DA INFORMAÇÃO DO MINISTÉRIO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL, FAMÍLIA E COMBATE À FO M E Art. 117. Os investimentos em Segurança da Informação serão realizados de forma planejada e consolidados por meio de um plano de investimentos. Art. 118. O plano de investimentos será elaborado com base na priorização dos riscos a serem tratados e será obtido a partir da aplicação de método que considere, no mínimo, a probabilidade e o impacto do risco. Art. 119. O plano de investimentos, assim como a correspondente proposta orçamentária, será aprovado pelo Comitê Interno de Governança do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, mediante recomendação elaborada pela Estrutura de Governança e Gestão de Segurança da Informação. Art. 120. Caso a dotação concedida na Lei Orçamentária Anual (LOA) seja inferior à solicitada na proposta orçamentária, ou haja limitação na execução orçamentária, caberá ao Comitê Interno de Governança deste Ministério realizar a correspondente revisão do plano de investimentos. CAPÍTULO IX DA POLÍTICA DE ATUALIZAÇÃO Art. 121. A periodicidade máxima para a revisão da Política de Segurança da Informação e dos respectivos instrumentos normativos não deve exceder 4 (quatro) anos. CAPÍTULO X DAS DISPOSIÇÕES FINAIS Art. 122. A Política de Segurança da Informação e os documentos dela derivados devem ser revisados sempre que mudanças significativas na estrutura do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome ocorrerem ou quando alterações em normas e outras políticas forem aprovadas, ou ainda periodicamente, conforme legislação vigente, sendo atualizados quando necessário. Art. 123. A Política de Segurança da Informação, as normas complementares e os procedimentos de Segurança da Informação a ela associados deverão ser amplamente divulgados. Art. 124. Exceções à Política de Segurança da Informação devem sempre ser documentadas e ter aprovação do Gestor de Segurança da Informação. Art. 125. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deve considerar as diretrizes do Governo Federal, representado pelo Gabinete de Segurança Institucional da Presidência da República, que recomenda a implantação no âmbito de cada órgão da Administração Pública Federal, de processos e de metodologias de Segurança da Informação, bem como leis, normas, recomendações que regem o tratamento de informações, dados pessoais, processos, pessoas e tecnologias. Art. 126. Fica instituído o Sistema de Gestão de Segurança da Informação, composto por políticas, procedimentos, diretrizes, recursos e atividades associados, de forma a proteger os ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. CAPÍTULO XI DAS REFERÊNCIAS LEGAIS E NORMATIVAS Art. 127. A Política de Segurança da Informação está em consonância, entre outros, com os seguintes atos normativos: I - Lei nº 8.112, de 11 de dezembro de 1990, que dispõe sobre o regime jurídico dos servidores públicos civis da União, das autarquias e das fundações públicas federais; II - Lei nº 8.159, de 8 de janeiro de 1991, que dispõe sobre a Política Nacional de Arquivos Públicos e Privados e dá outras providências; III - Lei nº 12.527, de 18 de novembro de 2011, que regulamenta o acesso às informações públicas; IV - Lei nº 12.965, de 23 de abril de 2014, que estabelece princípios, garantias, direitos e deveres para uso da Internet no Brasil; V - Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais; VI - Lei nº 13.853, de 8 de julho de 2019, que altera a Lei nº 13.709, de 14 de agosto de 2018, para dispor sobre a proteção de dados pessoais e para criar a Autoridade Nacional de Proteção de Dados; e dá outras providências; VII - Decreto nº 1.171, de 22 de junho de 1994, que aprova o Código de Ética Profissional do Servidor Público Civil do Poder Executivo Federal; VIII - Decreto nº 4.073, de 3 de janeiro de 2002, que regulamenta a Lei nº 8.159, de 8 de janeiro de 1991, que dispõe sobre a política nacional de arquivos públicos e privados; IX - Decreto nº 7.579, de 11 de outubro de 2011, que dispõe sobre o Sistema de Administração dos Recursos de Tecnologia da Informação --SISP, do Poder Executivo Fe d e r a l ; X - Decreto nº 7.724, de 16 de maio de 2012, que regulamenta a Lei nº 12.527 de 18 de novembro de 2011; XI - Decreto nº 7.845, de 14 de novembro de 2012, que regulamenta procedimentos para credenciamento de segurança e tratamento de informação classificada em qualquer grau de sigilo, e dispõe sobre o Núcleo de Segurança e Credenciamento; XII - Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação nos órgãos e entidades da Administração Pública Fe d e r a l ; XIII - Decreto nº 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional de Segurança Cibernética - E-Ciber é orientação manifesta do Governo federal à sociedade brasileira sobre as principais ações por ele pretendidas, em termos . nacionais e internacionais, na área da segurança cibernética e terá validade no quadriênio 2020-2023; XIV - Decreto nº 10.332, de 28 de abril de 2020, que institui a Estratégia de Governo Digital para o período de 2020 a 2023, no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional e dá outras providências; XV - Decreto nº 10.641, de 2 de março de 2021, que altera o Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, dispõe sobre a governança da segurança da informação, e altera o Decreto nº 2.295, de 4 de agosto de 1997, que regulamenta o disposto no artigo 24, caput, inciso IX, da Lei nº 8.666, de 21 de junho de 1993, e dispõe sobre a dispensa de licitação nos casos que possam comprometer a segurança nacional; XVI - Decreto nº 10.748, de 16 de Julho de 2021, que institui a Rede Federal de Gestão de Incidentes Cibernéticos; XVII - Decreto nº 11.529, de 16 de maio de 2023, que institui o Sistema de Integridade, Transparência e Acesso à Informação da Administração Pública Federal e a Política de Transparência e Acesso à Informação da Administração Pública Federal; XVII - Portaria GSI/PR nº 93, de 18 de outubro de 2021, que aprova o Glossário de Segurança da Informação; XIX - Portaria GSI/PR nº 120, de 21 de dezembro de 2022, que aprova o Plano de Gestão de Incidentes Cibernéticos para a administração pública federal; XX - Instrução Normativa GSI nº 1 - 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal; XXI - Instrução Normativa GSI nº 2 - 24 de julho de 2020, que altera a Instrução Normativa nº 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal; XXII - Instrução Normativa GSI/PR nº 2, de 5 de fevereiro de 2013, que dispõe sobre o credenciamento de segurança para o tratamento de informação classificada, em qualquer grau de sigilo, no âmbito do Poder Executivo Federal; XXIII - Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, que dispõe sobre os processos relacionados à gestão de segurança da informação nos órgãos e nas entidades da administração pública federal; XXIV - Instrução Normativa GSI nº 3, de 6 de março de 2013, que dispõe sobre os parâmetros e padrões mínimos dos recursos criptográficos baseados em algoritmos de Estado para criptografia da informação classificada no âmbito do Poder Executivo Fe d e r a l ; XXV - Instrução Normativa GSI nº 4, de 26 de março de 2020, que dispõe sobre os requisitos mínimos de Segurança Cibernética que devem ser adotados no estabelecimento das redes 5G; XXVI - Instrução Normativa GSI nº 5, de 30 de agosto de 2021, que dispõe sobre os requisitos mínimos de segurança da informação para utilização de soluções de computação em nuvem pelos órgãos e pelas entidades da administração pública federal; XXVII - Instrução Normativa GSI nº 6, de 23 de dezembro de 2021, que estabelece diretrizes de segurança da informação para o uso seguro de mídias sociais nos órgãos e nas entidades da administração pública federal; XXVIII - Instrução Normativa GSI nº 7, de 29 de novembro de 2022, que altera a Instrução Normativa nº 1, de 27 de maio de 2020, do Gabinete de Segurança Institucional da Presidência da República; a Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021; e a Instrução Normativa nº 6, de 23 de dezembro de 2021, do Gabinete de Segurança Institucional da Presidência da República; XXIX - Norma ABNT NBR ISO/IEC 27001:2022: Segurança da informação, segurança cibernética e proteção à privacidade - Sistemas de gestão da segurança da informação - Requisitos; XXX - Norma ABNT NBR ISO/IEC 27002:2022: Segurança da informação, segurança cibernética e proteção à privacidade - Controles de segurança da informação; XXXI - Norma ABNT NBR ISO/IEC 27005:2023: Segurança da informação, segurança cibernética e proteção à privacidade - Orientações para gestão de riscos de segurança da informação; e