DOU 21/05/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025052100113 113 Nº 94, quarta-feira, 21 de maio de 2025 ISSN 1677-7042 Seção 1 II - ser tratadas de forma integrada, respeitando as especificidades e a autonomia das unidades do Ministério; III - ser adotadas proporcionalmente aos riscos existentes e à magnitude dos danos potenciais, considerados o ambiente, o valor e a criticidade da informação; IV - visar à prevenção da ocorrência de incidentes; V - assegurar a conformidade com as legislações e regulamentações vigentes, incluindo a Lei Geral de Proteção de Dados Pessoais (LGPD); e VI - promover a conscientização e capacitação contínua dos usuários em temas de segurança da informação. Art. 12. O investimento necessário em medidas de segurança da informação deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo com o risco de potenciais prejuízos ao Ministério. Art. 13. Toda e qualquer informação gerada, custodiada, manipulada, utilizada ou armazenada no Ministério da Previdência Social compõe o seu rol de ativos de informação e deve ser protegida conforme normas em vigor. Parágrafo único. As informações citadas no caput, que tramitem pelo ambiente computacional do Ministério da Previdência Social, são passíveis de monitoramento e auditoria por este Ministério, respeitados os limites legais. Art. 14. O controle de acesso aos ativos de informação deve observar os princípios de: I - privilégio mínimo: garantir que usuários, sistemas e dispositivos automatizados possuam apenas as permissões necessárias para o desempenho de suas funções; II - necessidade de saber: acesso às informações restrito apenas àqueles cuja função exige o conhecimento específico; III - autenticação multifator: utilização de múltiplos métodos de verificação para acesso ao ambiente tecnológico e sistemas críticos; IV - revisão periódica dos acessos: auditoria regular das permissões concedidas para assegurar sua adequação; e V - revogação imediata de acessos: remoção de permissões de usuários que não mais necessitam delas, como em casos de desligamento ou mudança de função. § 1º É condição para acesso aos recursos de tecnologia da informação do Ministério a assinatura, preferencialmente eletrônica, de Termo de Responsabilidade indicando a ciência aos termos desta Política, as responsabilidades e os compromissos em decorrência deste acesso, bem como as penalidades cabíveis pela inobservância das regras previstas nas normas de segurança da informação do Ministério. § 2º O perfil de "administrador local" da estação de trabalho é exclusivo da equipe técnica da unidade de tecnologia da informação do Ministério, restando ao usuário que utilizará o equipamento o perfil de "usuário comum". § 3º Quando necessário ao usuário, para desempenho da função, o perfil de "administrador local" poderá ser autorizado pela unidade de tecnologia da informação do Ministério, mediante assinatura de Termo de Responsabilidade específico, com a autorização da chefia imediata, e parecer técnico ou documentação do sistema evidenciando a necessidade de tal permissão. Art. 15. A Política de Segurança da Informação e suas atualizações, bem como normas específicas de segurança da informação do Ministério da Previdência Social, deverão ser divulgadas amplamente a todos os usuários de informação, ainda que a atuação na Pasta seja temporária, a fim de promover sua observância, seu conhecimento, bem como a formação da cultura de segurança da informação. § 1º Os usuários de informação devem ser continuamente capacitados nos procedimentos de segurança e no uso correto dos ativos de informação quando da realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da informação. § 2º As ações de capacitação previstas no § 1º deverão ser conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre segurança da informação. Art. 16. Todos os contratos de prestação de serviços firmados pelo Ministério conterão cláusula específica sobre a obrigatoriedade de atendimento às diretrizes desta Política de Segurança da Informação, bem como das normas decorrentes da Política. CAPÍTULO V DA PROTEÇÃO DE DADOS PESSOAIS Art. 17. O Ministério compromete-se a proteger os dados pessoais sob sua custódia, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). Art. 18. São diretrizes para a proteção de dados pessoais: I - coletar apenas os dados pessoais necessários para o desempenho das atividades que competem ao Ministério; II - obter consentimento dos titulares dos dados, quando aplicável; III - assegurar que os dados pessoais sejam utilizados exclusivamente para os fins para os quais foram coletados; IV - implementar medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e incidentes; e V - garantir que os titulares dos dados possam exercer seus direitos, conforme previsto na LGPD. CAPÍTULO VI DAS VEDAÇÕES Art. 19. É proibida a utilização dos recursos de tecnologia da informação disponibilizados pelo Ministério da Previdência Social para acesso, guarda e divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente. Art. 20. São vedados o uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo Ministério da Previdência Social. Art. 21. É vedada a divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários. Art. 22. É vedada a exploração de eventuais vulnerabilidades, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 23. É vedado o uso de ferramentas de Inteligência Artificial (IA) não autorizadas, a fim de mitigar riscos de vazamento de dados pessoais ou restritos. CAPÍTULO VII DAS PENALIDADES Art. 24. A não observância do disposto nesta Política, bem como em seus instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, incluindo a Lei Geral de Proteção de Dados Pessoais (LGPD), sem prejuízo das responsabilidades penal e civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa. CAPÍTULO VIII DA VIGÊNCIA E REVISÃO Art. 25. A periodicidade da revisão da Política de Segurança da Informação não deve exceder três anos, podendo ser revisada a qualquer momento a critério do Comitê de Governança Digital e Segurança da Informação, considerando mudanças tecnológicas, novas ameaças cibernéticas e atualizações regulatórias. CAPÍTULO IX DAS DISPOSIÇÕES FINAIS Art. 26. As dúvidas sobre a Política de Segurança da Informação e seus documentos devem ser submetidas ao Comitê de Governança Digital e Segurança da Informação. WOLNEY QUEIROZ MACIEL PORTARIA MPS Nº 1.158, DE 19 DE MAIO DE 2025 Institui a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Ministério da Previdência social. O MINISTRO DE ESTADO DA PREVIDÊNCIA SOCIAL, no uso das atribuições que lhe conferem os incisos I e II do art. 87 da Constituição Federal, e no art. 15 do Decreto nº 9.637, de 26 de dezembro de 2018, resolve: DA EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES C I B E R N É T I CO S Art. 1º Fica instituída a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Ministério da Previdência Social (ETIR/MPS). D E F I N I ÇÕ ES Art. 2º Os conceitos e definições estabelecidos nesta Portaria pautam-se no glossário de segurança da informação do Gabinete de Segurança Institucional da Presidência da República, conforme aprovado na Portaria GSI/PR nº 93, de 2021. M I S S ÃO Art. 3º À ETIR compete: I - facilitar, coordenar e executar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos no Ministério da Previdência Social em conjunto com a ETIR do órgão prestador, considerando o modelo de arranjo colaborativo ou centro de serviços compartilhados; e II - promover a cooperação com outras equipes, incluindo a participação em fóruns e redes relativas à segurança da informação. P Ú B L I CO - A LV O Art. 4º A ETIR atenderá a todos os usuários de serviços computacionais do Ministério da Previdência Social, preferencialmente por chamado registrado eletronicamente, por meio da Central de Serviços utilizada pelo Ministério ou por intermédio de recebimento de mensagens eletrônicas para um endereço específico de e- mail. Art. 5º A ETIR comunicará a ocorrência de incidente de segurança ao Gestor de Tecnologia da Informação, ao Gestor de Segurança da Informação, ao proprietário e ao custodiante do ativo e ao Centro de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos de Governo, conforme procedimentos a serem definidos pelo próprio Centro, com vistas a permitir que sejam dadas soluções integradas para a administração pública federal. ESTRUTURA ORGANIZACIONAL Art. 6º A ETIR funcionará como grupo de trabalho permanente, multidisciplinar e de atuação primordialmente reativa. Art. 7º A ETIR, chefiada pelo Agente Responsável e acompanhada pelo Gestor de Segurança da Informação, será formada por membros da Coordenação de Tecnologia da Informação da Secretaria-Executiva, preferencialmente servidores efetivos, que, além de suas funções regulares, desempenharão as atividades relacionadas ao tratamento e resposta a incidentes em redes computacionais. Art. 8º A ETIR será formada por 3 (três) integrantes da Coordenação de Tecnologia da Informação da Secretaria-Executiva do Ministério da Previdência Social, sendo um deles designado Agente Responsável. § 1º O Agente Responsável, incumbido de chefiar e gerenciar a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos e, os demais integrantes da ETIR, serão indicados pela Coordenação de Tecnologia da Informação e designados pelo Secretário-Executivo do Ministério da Previdência Social. § 2º Para cada membro da ETIR será designado um substituto, que deverá ser treinado e orientado para a realização das tarefas e atividades da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos. § 3º Os integrantes da ETIR exercerão suas funções regulares, sem necessidade de dedicação exclusiva. Art. 9º. A ETIR se reunirá: I - ordinariamente, 4 (quatro) vezes ao ano, mediante convocação do Agente Responsável, sendo preferencialmente uma reunião em cada um dos quatro trimestres do ano; e II - extraordinariamente, por convocação do Agente Responsável ou por solicitação da maioria absoluta dos representantes, mediante correspondência oficial. § 1º O quórum de reunião é a maioria absoluta dos membros e o de votação é maioria dos presentes, em processo nominal e aberto. § 2º Os substitutos poderão participar livremente das reuniões, mas somente terão direito a voto quando estiverem na qualidade de substituto do representante titular. § 3º Na hipótese de empate, além do voto ordinário, o Agente Responsável, ou seu substituto legal, terá o voto de qualidade. Art. 10. Os membros do ETIR que se encontrarem no Distrito Federal se reunirão presencialmente ou por videoconferência, nos termos do disposto no Decreto nº 10.416, de 7 de julho de 2020, e os que se encontrarem em outros entes federativos participarão da reunião, obrigatoriamente, por meio de videoconferência. Art. 11. A participação na ETIR é considerada prestação de serviço público relevante, não remunerada. AT R I B U I ÇÕ ES Art. 12. Ao Gestor de Segurança da Informação do Ministério da Previdência Social, em conformidade com a Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009, compete prover os meios necessários para a capacitação e o aperfeiçoamento técnico dos membros da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos e prover a infraestrutura necessária. Art. 13. Ao Agente Responsável, em conformidade com a Norma Complementar nº 05/IN01/DSIC/GSIPR, de 2009, compete: I - chefiar e gerenciar a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos; II - ser interface com o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo; e III - criar os procedimentos internos, gerenciar as atividades e distribuir tarefas para a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos. Art. 14. Aos Integrantes da ETIR compete: I - receber, analisar, classificar e responder às notificações e às atividades relacionadas a incidentes de segurança em redes computacionais, além de armazenar registros para formação de séries históricas como subsídio estatístico; e II - exercer outras atividades que lhe forem cometidas no seu campo de atuação. MODELO DE IMPLEMENTAÇÃO Art. 15. A ETIR seguirá o Modelo 1 ("Utilizando a equipe de Tecnologia da Informação"), atuará de forma colaborativa com outras ETIRs governamentais e contará com a prestação de serviços de tecnologia e segurança da informação, nos casos em que os ativos estejam em ambiente tecnológico gerenciado pelo órgão prestador, conforme modelo de arranjo colaborativo ou centro de serviços compartilhados. § 1º Nesse modelo, as funções e serviços de tratamento de incidente serão realizados, preferencialmente, por administradores de rede ou de segurança, administradores de banco de dados, administradores de rede, analistas de suporte ou quaisquer outras pessoas com conhecimento técnico comprovado na área de segurança da informação. § 2º A ETIR possui autonomia para conduzir seu público-alvo para realizar ações ou medidas necessárias para reforçar a resposta ou a postura da organização na recuperação de incidentes de segurança, sem depender de níveis superiores de gestão. Art. 16. Durante um incidente de segurança, se houver justificativa, a ETIR poderá executar as medidas de recuperação, sem esperar pela aprovação de níveis superiores de gestão. Art. 17. Extraordinariamente, o Agente Responsável poderá convocar representantes de outras unidades da Coordenação de Tecnologia da Informação para atuar em tratamento e resposta de determinado incidente de segurança.