DOU 08/04/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025040800091 91 Nº 67, terça-feira, 8 de abril de 2025 ISSN 1677-7042 Seção 1 Ministério dos Transportes GABINETE DO MINISTRO PORTARIA Nº 287, DE 4 DE ABRIL DE 2025 Institui a Política de Segurança da Informação - POSIN no âmbito do Ministério dos Transportes - MT, e dá outras providências. O MINISTRO DE ESTADO DOS TRANSPORTES, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição Federal, o Decreto nº 11.360, de 1º de janeiro de 2023, o art. 2º do Decreto nº 12.198, de 24 de setembro de 2024, e considerando o disposto no inciso III do art. 3º do Decreto nº 7.579, de 11 de outubro de 2011, na Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e no processo nº 50000.015604/2024-12, resolve: Art. 1º Fica instituída a Política de Segurança da Informação - POSIN no âmbito do Ministério dos Transportes, que dispõe sobre as medidas para assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação nos ambientes convencionais e de tecnologia da informação do MT. Parágrafo único. Os conceitos e definições utilizados na POSIN se encontram no Anexo I desta Portaria. CAPÍTULO I DAS DISPOSIÇÕES GERAIS Art. 2º Para os fins do disposto nesta Portaria, conforme o art. 2º do Decreto nº 9.637, de 26 de dezembro de 2018, a segurança da informação abrange: I - defesa cibernética; II - segurança física e a proteção de dados organizacionais; e III - as ações destinadas a assegurar a disponibilidade, a integridade e a autenticidade da informação, bem como sua confidencialidade, quando exigível. CAPÍTULO II DOS PRINCÍPIOS Art. 3º A POSIN deverá orientar a promoção de uma cultura organizacional de uso dos recursos de Tecnologia da Informação e Comunicação - TIC, norteada pelos princípios da legalidade, publicidade, disponibilidade, integridade, autenticidade, segurança, privacidade, confidencialidade e ética. Art. 4º As ações e iniciativas relacionadas com a POSIN deverão também observar os seguintes critérios: I - prevalência da soberania nacional; II - submissão às regras de conformidade legal e normativa dos procedimentos relacionados à segurança da informação e das comunicações; III - utilização dos recursos de tecnologia da informação e comunicações estritamente para seu propósito institucional; IV - integração aos objetivos estratégicos, processos de gestão, de planejamento e de execução do Ministério; V - proteção de dados pessoais, a proteção da privacidade e acesso à informação sigilosa limitado a situações de necessidade do usuário, nos termos da legislação; VI - intercâmbio científico e tecnológico relacionado à segurança da informação, entre os órgãos e as entidades da administração pública federal; VII - articulação entre as ações de segurança cibernética, de defesa cibernética e de proteção de dados e ativos da informação; VIII - cooperação entre os órgãos de investigação e os órgãos e as entidades públicas no processo de credenciamento de pessoas para acesso às informações sigilosas; IX - integração e cooperação entre o poder público, o setor empresarial, a sociedade e as instituições acadêmicas; X - cooperação internacional, no campo da segurança da informação; XI - responsabilidade de todos do MT no tratamento da informação e no cumprimento das normas de segurança da informação; XII - ciência por todos agentes públicos e colaboradores do MT das normas de segurança da informação, para o pleno desempenho de suas atribuições; XIII - proporcionalidade do custo das ações de segurança da informação não devendo ser maior do que o valor do ativo da informação a ser protegido, salvo os casos formalmente analisados e justificados durante o processo de gestão de riscos de segurança da informação; XIV - publicidade e transparência no trato das informações, observados os critérios legais e normativos vigentes aplicáveis ao MT; XV - celeridade das ações de segurança da informação devendo oferecer respostas rápidas a incidentes e falhas; e XVI - clareza das regras de segurança da informação que devem ser precisas, concisas e de fácil entendimento. CAPÍTULO III DAS DIRETRIZES E NORMAS INTERNAS DE SEGURANÇA DA INFORMAÇÃO Seção I Diretrizes Gerais Art. 5º Para cada uma das diretrizes constantes das seções deste capítulo poderão ser elaboradas normas internas de segurança da informação, com procedimentos e orientações complementares à presente portaria, podendo ainda disciplinar outros temas de segurança da informação e comunicações, tais como: I - modelos de gestão da informação; II - gerenciamento de riscos; III - tratamento de incidentes de segurança e incidentes cibernéticos; IV - gestão de continuidade de serviços; V - acesso a informações, áreas, instalações e sistemas de informação; e VI - programas e ações de conscientização e educação em segurança da informação. Art. 6º O uso e o compartilhamento de dados, informações e documentos no âmbito do Ministério dos Transportes, em todo o seu ciclo de vida, visam à continuidade de seus processos em conformidade com as normas vigentes, obrigações contratuais ou congêneres, princípios da POSIN e as melhores práticas de segurança da informação. Parágrafo único. O ciclo de vida a que se refere o caput deste artigo diz respeito às fases de criação, tratamento, uso, armazenamento, divulgação e descarte da informação, conforme legislação específica. Art. 7º Visando alcançar a abrangência definida no art. 3º, toda e qualquer informação gerada, adquirida, utilizada ou armazenada pelo Ministério dos Transportes é considerada ativo de informação e faz parte do seu patrimônio. Seção II Do Tratamento da Informação Art. 8º Todo ativo de informação criado, adquirido ou custodiado no âmbito do Ministério dos Transportes deverá ser protegido contra ameaças, ataques, incidentes e outras formas de comprometimento à segurança da informação, com o objetivo de minimizar riscos, sem prejuízo da transparência ao cidadão. Art. 9º O tratamento de informações classificadas na forma dos arts. 25 a 30 do Decreto nº 7.724, de 16 de maio de 2012, somente poderá ser realizado por pessoa devidamente credenciada na forma do Decreto nº 7.845, de 14 de novembro de 2012, após os devidos procedimentos de classificação pela autoridade competente, na forma do art. 31 do Decreto nº 7.724, de 2012. Art. 10. É expressamente proibido o uso dos meios e recursos de tecnologia da informação disponibilizados pelo Ministério dos Transportes para acesso, guarda ou encaminhamento de material discriminatório, malicioso, antiético ou ilegal. Art. 11. As senhas utilizadas em sistemas do Ministério dos Transportes deverão ser criptografadas para proteção contra acesso indevido ou vazamento. Art. 12. O tratamento de dados pessoais obedecerá ao disposto na lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD. Seção III Da Segurança Física dos Equipamentos Art. 13. Os equipamentos e as áreas destinadas ao processamento de informações deverão ser protegidos contra acesso indevido, danos e interferências não autorizadas. Art. 14. A unidade responsável pela segurança organizacional e corporativa do Ministério dos Transportes deverá implementar perímetros de segurança a fim de garantir proteção e separação entre ambientes internos e externos. Art. 15. As áreas seguras serão protegidas por controles apropriados de registro e autorização de entrada para assegurar que somente pessoas autorizadas tenham acesso. Art. 16. As áreas seguras controladas pelo Ministério dos Transportes possuirão procedimentos adequados de proteção, bem como diretrizes que orientem o trabalho no seu interior, a ser definidos em norma interna de segurança da informação desta Pasta. Seção IV Do Uso de Ativos de Informação Art. 17. Os ativos da informação, sistemas e bancos de dados do Ministério dos Transportes deverão ser protegidos contra indisponibilidade, acessos indevidos, ameaças, ataques, alterações, falhas, perdas, danos, furtos, roubos, interrupções não programadas e outros incidentes de segurança. Art. 18. Os ativos de informação deverão ser inventariados e mapeados a fim de produzir subsídios para a Gestão de Segurança da Informação, Gestão de Riscos de Segurança da Informação, Gestão de Continuidade de Negócios, bem como para os procedimentos de avaliação da conformidade, de melhorias contínuas e de auditoria. Art. 19. O processo de inventário e mapeamento de ativos de informação deve ser dinâmico, periódico e estruturado para manter a Base de Dados de Ativos de Informação atualizada para prover informações para o desenvolvimento de ações e planos de aperfeiçoamento de práticas de Gestão da Segurança da Informação no âmbito do Ministério dos Transportes. Art. 20. Os ativos de informação deverão ser disponibilizados pela unidade organizacional de tecnologia da informação do Ministério dos Transportes, somente para usuários de informação cadastrados, mediante a utilização de credenciais individuais e intransferíveis, concedidas conforme solicitação da chefia imediata. Parágrafo único. Norma interna de segurança da informação disporá sobre: I - autorização de acesso a sistemas e redes; II - criação, administração e extinção de contas de usuários; III - identificação e credenciamento de usuários de informação com acesso a ativos de informação do Ministério; e IV - gestão de acessos a áreas e instalações de tecnologia da informação e de tratamento de informações. Art. 21. Somente será autorizado o uso de equipamento pessoal em áreas e sistemas do Ministério após a implementação de soluções de segurança da informação com padrões que atendam à Política de Segurança da Informação do Ministério dos Transportes e suas normas e procedimentos complementares em vigor. Art. 22. Toda a informação que trafega pelos ativos de informação poderá ser monitorada de acordo com as necessidades de segurança da informação estabelecidas em norma interna de segurança da informação do Ministério dos Transportes, conforme diretrizes desta portaria e respeitada a legislação vigente. Art. 23. Em caso de desligamento ou impedimento de um agente público que tenha executado atividades no Ministério dos Transportes, sua chefia imediata poderá requisitar a recuperação de informações armazenadas em ativos de informação que estejam sob a guarda da instituição, com a finalidade de continuidade das atividades realizadas pelo agente público no interesse institucional. Art. 24. Serão estabelecidos processos permanentes de conscientização, capacitação e sensibilização em segurança da informação, que alcancem todos os agentes públicos que executem atividades no Ministério dos Transportes, de acordo com suas competências funcionais. Seção V Do Uso do Acesso à Internet Art. 25. A concessão de acesso à internet em ambiente laboral no Ministério dos Transportes será disponibilizada como ferramenta de trabalho destinada ao atendimento das finalidades institucionais do órgão. Parágrafo único. Norma interna de Segurança da Informação poderá estabelecer procedimentos específicos para coibir o uso abusivo do acesso à internet no Ministério dos Transportes, com medidas e orientações aos proprietários e usuários de informação. Art. 26. O uso da internet no Ministério dos Transportes será monitorado e os acessos serão registrados em dispositivo ou sistema computacional que assegure a possibilidade de rastreio e apuração de responsabilidades em caso de incidentes cibernéticos, incidentes de segurança e outras violações a esta Política de Segurança da Informação. Parágrafo único. Para apuração das quebras de segurança de que trata o caput, os ativos de informação fornecidos pelo Ministério dos Transportes poderão ser analisados, a qualquer tempo, pela Equipe de Prevenção e Tratamento e Resposta a Incidentes Cibernéticos do Ministério. Art. 27. Os agentes públicos encarregados das ações de comunicação digital e demais formas de comunicação pública, gestão documental e de ativos de informação do Ministério dos Transportes que trafeguem pela internet são considerados custodiantes de informação. Seção VI Do Serviço de Backup Art. 28. Os procedimentos de backup deverão ser fixados por norma interna de segurança da informação do Ministério dos Transportes. § 1º O serviço de backup deverá ser automatizado por sistemas informacionais próprios, considerando, inclusive, a execução agendada fora do horário de expediente. § 2º A solução de backup deverá ser mantida sempre atualizada, considerando suas diversas características, tais como atualizações de correção, novas versões, ciclo de vida, garantia, melhorias, entre outros. § 3º Na inviabilidade de armazenamento de backup em nuvem, as mídias de backups deverão ser armazenadas em instalações seguras, objetivando manter a sua segurança e integridade. § 4º A execução de rotinas de backup e de recuperação deverá ser rigidamente controlada, documentada e auditada, conforme norma interna de segurança da informação do Ministério dos Transportes. Seção VII Da Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação Art. 29. A aquisição, manutenção e desenvolvimento de sistemas de informação deverão observar os padrões, critérios e controles de segurança estabelecidos nesta portaria, sem prejuízo das normas estabelecidas pelo órgão central do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP - de que trata o Decreto nº 7.579, de 11 de outubro de 2011. Art. 30. Os editais de licitação e contratos de solução de tecnologia da informação com o Ministério dos Transportes deverão conter cláusula específica sobre: I - a obrigatoriedade de atendimento a Política de Segurança da Informação do Ministério dos Transportes e II - a exigência de assinatura de termo de responsabilidade e termo de confidencialidade, na forma do Anexo II e III desta Portaria. Art. 31. Sem prejuízo de outras atividades previstas no art. 3º do Decreto nº 9.507, de 21 de setembro de 2018, não são passíveis de contratação e execução indireta as atividades de: I - gestão de segurança da informação e II - gestão de riscos em segurança da informação. Seção VII Do Uso de Computação em Nuvem Art. 32. A implementação ou contratação de computação em nuvem deverá estar em conformidade com as diretrizes desta POSIN e com a legislação sobre contratação vigente na Administração Pública Federal.