DOU 08/04/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025040800093 93 Nº 67, terça-feira, 8 de abril de 2025 ISSN 1677-7042 Seção 1 IV - realizar a análise do incidente de segurança da informação, de forma a propor medidas para eliminar ou solucionar problemas que causaram o incidente; V - recolher e preservar as evidências para subsidiar a forense digital; VI - compor a rede de equipes formada pelos órgãos e entidades da administração pública federal, coordenada pelo Centro de Tratamento de Incidentes de Redes do Governo do Gabinete de Segurança Institucional da Presidência da República. Art. 52. Os incidentes de segurança da informação devem ser, em conformidade com a Política de Respostas a Incidentes de Segurança da Informação, identificados, analisados, comunicados e tratados, em tempo hábil, de forma a impedir que evento adverso possa interferir na perfeita execução das atividades desenvolvidas pelo Ministério. Seção IV Da Alta administração e dos gestores Art. 53. A alta administração deste Ministério é responsável por prover a orientação e o apoio necessários às ações de segurança da informação, de acordo com os objetivos estratégicos e com as leis e regulamentos pertinentes. Art. 54. Compete à alta administração a governança da segurança da informação, de acordo com as previstas no art. 17, do Decreto nº 9.637, de 26 de dezembro de 2018, alterado pelo Decreto nº 10.641, de 2 de março de 2021. Art. 55. É de responsabilidade dos demais gestores zelar pelo cumprimento das diretrizes desta Política no âmbito de suas áreas de atuação. Art. 56. Os servidores, os colaboradores, os consultores externos, os estagiários e os prestadores de serviço são responsáveis por observar o disposto nesta Política e comunicar os incidentes que afetam a segurança dos ativos de informação à Equipe de Prevenção, Tratamento e Resposta à Incidentes de Segurança. CAPÍTULO V DAS RESPONSABILIDADES Seção I Do proprietário da Informação Art. 57. O proprietário de informação é o responsável primário pela sua integridade, autenticidade, disponibilidade e, quando aplicável, por sua confidencialidade. Art. 58. Ao proprietário de informação caberá: I - comunicar ao Gestor de Segurança da Informação acerca do ingresso, da alteração de lotação ou localização, e do desligamento de servidor, estagiário, prestador de serviço ou colaborador em sua unidade organizacional; e II - colher a assinatura do Termo de Responsabilidade disponível no Anexo II e do Termo de Confidencialidade disponível no Anexo III dos usuários de informação em sua unidade organizacional. Seção II Das Responsabilidades do Usuário de Informação Art. 59. Ao Usuário de Informação caberá: I - acessar a rede de dados do Ministério dos Transportes somente após tomar ciência desta POSIN e das normas internas de Segurança da Informação e assinar o termo do Anexo II ou III que lhe for cabível; II - manter sigilo e trocar periodicamente a senha pessoal de acesso aos sistemas do ministério; III - não usar a identificação de acesso e senha de terceiros; IV - portar crachá de identificação de maneira visível ou uniforme, para os cargos que o exigirem, quando dentro das instalações do Ministério dos Transportes; V - zelar pelos equipamentos e ativos de informação disponibilizados pelo ministério, os quais deverão ser preservados como patrimônio público; VI - utilizar as informações digitais disponibilizadas e os sistemas e produtos computacionais de propriedade ou direito de uso do Ministério dos Transportes para o interesse do serviço; VII - preservar o conteúdo das informações sigilosas a que tiver acesso, sem divulgá-las para pessoas não autorizadas ou que não tenham necessidade de conhecê-las; VIII - não tentar obter acesso à informação cujo grau de sigilo não seja compatível com a sua Credencial de Segurança ou cujo teor não tenha autorização ou necessidade de conhecer; IX - não utilizar o ambiente computacional do Ministério dos Transportes para acessar, transmitir, copiar ou reter conteúdo ou arquivos com textos, fotos, filmes ou quaisquer outros registros que estejam em desacordo com a legislação vigente e a LGPD; X - não transferir qualquer tipo de arquivo que pertença ao Ministério dos Transportes para outro local, seja por meio magnético ou não, exceto no interesse do serviço e mediante autorização da autoridade competente; XI - estar ciente de que o processamento, o trâmite e o armazenamento de arquivos que não sejam de interesse do serviço não serão permitidos na rede computacional do Ministério dos Transportes; XII - preservar o sigilo das informações previamente classificadas a que eventualmente tenha acesso e abster-se de ter acesso àquelas para as quais não tenha a credencial de segurança compatível com o grau de sigilo; XIII - estar ciente de que toda informação digital armazenada, processada e transmitida no ambiente computacional do Ministério dos Transportes poderá ser auditada; XIV - estar ciente de que o e-mail institucional é de uso prioritário para o interesse do serviço, devendo ser evitado o seu uso para fins pessoais; XV - informar prontamente ao proprietário de informação a que esteja diretamente subordinado qualquer fato em desacordo com a POSIN de que tenha ciência, bem como qualquer informação de cuja veracidade suspeite; e XVI - no caso de exoneração, demissão, licença, término de prestação de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos sigilosos a que eventualmente teve acesso. Art. 60. O usuário de informação será responsável por eventuais prejuízos causados ao Ministério devido ao descumprimento das regras estabelecidas na POSIN e demais normas internas de segurança da informação, conforme a legislação vigente. Seção III Das Responsabilidades do Custodiante da Informação Art. 61. Ao Custodiante da Informação caberá: I - cumprir e zelar pela observância integral das diretrizes da POSIN e demais normas e procedimentos decorrentes; II - zelar pela disponibilidade, integridade e autenticidade das informações e recursos em qualquer suporte sob sua custódia, bem como sua confidencialidade, quando cabível; III - assinar o termo de responsabilidade de que trata o Anexo II desta portaria; IV - proteger as informações contra acesso, modificação, destruição ou divulgação não autorizados; V - preservar o sigilo das informações previamente classificadas a que eventualmente tenha acesso e abster-se de ter acesso àquelas para as quais não tenha a credencial de segurança compatível com o grau de sigilo; VI - adotar as medidas de proteção necessárias para minimizar ou eliminar os riscos a que estão sujeitos os ativos de informação sob sua custódia; e VII - comunicar imediatamente ao Proprietário da Informação e ao Gestor de Segurança da Informação sobre qualquer incidente que possa comprometer a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações sob sua custódia ou sobre qualquer fato em desacordo com a POSIN da qual tome conhecimento. CAPÍTULO VI DAS PENALIDADES Art. 62. A violação das regras estabelecidas na POSIN ou suas normas internas de segurança, por qualquer pessoa física ou jurídica, acarretará as penalidades civis, penais e administrativas previstas na legislação, conforme o caso. CAPÍTULO VII DAS DISPOSIÇÕES FINAIS Art. 63. Esta POSIN, suas normas internas de segurança e suas atualizações deverão ser divulgadas amplamente aos usuários de informações do Ministério dos Transportes. Parágrafo único. A POSIN, bem como todas as normas dela decorrentes, deverão ser revisados e atualizados sempre que se fizer necessário, não excedendo o período máximo de quatro anos. Art. 64. As unidades do Ministério dos Transportes poderão propor normas complementares a presente Política e submetê-las ao Comitê de Governança Digital e Segurança da Informação - CGDSI. Parágrafo único. Serão analisadas, ad referendum, do Comitê de Governança Digital e Segurança da Informação - CGDSI do Ministério, as normas estabelecidas em caráter extraordinário pelas unidades, dando celeridade ao processo até que ocorra a deliberação em definitivo deste Comitê. Art. 65. Os casos omissos e as dúvidas quanto a aplicação desta Portaria serão analisados, dirimidos ou solucionados pelo Comitê de Governança Digital e Segurança da Informação - CGDSI e obedecerão aos normativos estabelecidos pelo Gabinete de Segurança Institucional da Presidência da República - GSI/PR e demais normativos correlatos. Art. 66. Esta Portaria entra em vigor na data de sua publicação. JOSÉ RENAN VASCONCELOS CALHEIROS FILHO ANEXO I CONCEITOS E DEFINIÇÕES I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique. II - agente público: todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação, ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego ou função nos órgãos e entidades da administração pública federal, direta e indireta. III - ameaça: conjunto de fatores externos com o potencial de causar dano para um sistema ou organização. IV - ataque: ação que constitui uma tentativa deliberada e não autorizada para acessar ou manipular informações, ou tornar um sistema inacessível, não íntegro ou indisponível. V - ativos de informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização. VI - auditoria: processo de exame cuidadoso e sistemático das atividades desenvolvidas, cujo objetivo é averiguar se elas estão de acordo com as disposições planejadas e estabelecidas previamente, se foram implementadas com eficácia e se estão adequadas e em conformidade à consecução dos objetivos. VII - autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade. VIII - backup: conjunto de procedimentos que permite salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada. IX - comitê de governança digital e segurança da informação: grupo de pessoas com a responsabilidade de assessorar a implementação das ações de segurança da informação no âmbito do órgão ou entidade da administração pública federal. X - computação em nuvem: modelo de fornecimento e entrega de tecnologia de informação que permite acesso conveniente e sob demanda a um conjunto de recursos computacionais configuráveis, sendo que tais recursos podem ser provisionados e liberados com mínimo gerenciamento ou interação com o provedor do serviço de nuvem; XI - comprometimento: perda de segurança resultante do acesso não autorizado. XII - confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não autorizados nem credenciados. XIII - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais nos termos da Lei Geral de Proteção de Dados - LGPD. XIV - controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais. Via de regra, requer procedimentos de autenticação. XV - cópia de segurança: vide backup. XVI - credenciamento: processo pelo qual o usuário recebe credenciais de segurança que concederão o acesso, incluindo a identificação, a autenticação, o cadastramento de código de identificação e definição de perfil de acesso, em função de autorização prévia. XVII - custódia: consiste na responsabilidade de guardar um ativo para terceiro. A custódia não permite automaticamente o acesso ao ativo, nem o direito de conceder acesso a outros. XVIII - custodiante de informação: pessoa ou órgão com atribuição fornecida pelo proprietário da informação de proteger adequadamente esta informação em regime de custódia. XIX - dado pessoal: informação relacionada à pessoa natural identificada ou identificável. XX - descarte: eliminação correta de informações, documentos, mídias e acervos digitais. XXI - direito de acesso: privilégio associado a um cargo, pessoa ou processo, para ter acesso a um ativo. XXII - disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou entidade devidamente autorizados. XXIII - dispositivos móveis: equipamentos portáteis, dotados de capacidade de processamento, ou dispositivos removíveis de memória para armazenamento, entre os quais se incluem, não limitando a estes: e-books, notebooks, netbooks, smartphones, tablets, pendrives, USBdrives, HD externo, e cartões de memória. XXIV - documentos classificados: documentos que contenham informação classificada em qualquer grau de sigilo. XXV - eliminação: exclusão de dado ou conjunto de dados, armazenados em banco de dados, independentemente do procedimento empregado. XXVI - e-mail: sigla de correio eletrônico (electronic mail) XXVII - encarregado: pessoa indicada pelo controlador, para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. XXVIII - equipe de prevenção, tratamento e resposta a incidentes cibernéticos: grupo de agentes públicos com a responsabilidade de prestar serviços relacionados à segurança cibernética para o órgão ou a entidade da administração pública federal, em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do órgão ou da entidade. Anteriormente era chamada de Equipe de Tratamento de Incidentes de Rede. XXIX - gestão de continuidade de serviços em segurança da informação: processo que identifica ameaças potenciais para uma organização e os possíveis impactos nas operações de negócio, caso estas ameaças se concretizem. Esse processo fornece uma estrutura para que se desenvolva uma resiliência organizacional que seja capaz de responder efetivamente e salvaguardar os interesses das partes interessadas, a reputação, a marca da organização e suas atividades de valor agregado. XXX - gestão de incidentes cibernéticos: processo que realiza ações sobre qualquer evento adverso relacionado à segurança cibernética dos sistemas ou da infraestrutura de computação do Ministério dos Transportes. XXXI - gestão de riscos em segurança da informação: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificação, avaliação e gerenciamento de potenciais eventos