DOU 19/11/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025111900045 45 Nº 221, quarta-feira, 19 de novembro de 2025 ISSN 1677-7042 Seção 1 Art. 23. A Gestão da Segurança da Informação é constituída, no mínimo, pelos seguintes processos: 1. tratamento da informação; 2. segurança física e do ambiente; 3. gestão de incidentes em segurança da informação; 4. gestão de ativos; 5. gestão do uso dos recursos operacionais e de comunicações, tais como e- mail, acesso à internet, mídias sociais e computação em nuvem; 6. controles de acesso; 7. gestão de riscos; 8. gestão de continuidade; e 9. auditoria e conformidade. § 1º O CGSD poderá definir outros processos de Gestão de Segurança da Informação, desde que alinhados aos princípios e às diretrizes desta Política e destinados à implementação de ações de segurança da informação. § 2º Para cada um dos processos que constituem a Gestão de Segurança da Informação, deve ser observada a pertinência de elaboração de políticas, normas, procedimentos, orientações ou manuais que disciplinem ou facilitem o seu entendimento em conformidade com a legislação vigente e boas práticas de segurança de informação. Art. 24. As políticas, normas, procedimentos, orientações ou manuais vinculados a segurança da informação e comunicação devem abordar, no mínimo, aspectos relacionados: 1. a conformidade com as diretrizes dispostas na LGPD e demais normativos e orientações emitidas pela ANPD; 2. a classificação da informação de acordo com seu nível de confidencialidade e criticidade, entre outros fatores, com vistas a determinar os controles de segurança adequados; 3. a proteção dos dados contra acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; 4. ao uso aceitável da informação e a utilização de mídias de armazenamento; 5. a entrada e saída de ativos de informação das instalações da organização; 6. aos perímetros de segurança da organização; 7 aos controles de acesso baseados no princípio do menor privilégio; 8. as etapas de identificação, contenção, erradicação e recuperação e atividades pós incidente; 9. aos critérios para a comunicação de incidentes aos titulares de dados pessoas e a ANPD; 10. ao Plano de Gestão de Incidentes de Segurança, de forma a considerar diferentes cenários; 11. a Política de Gestão de Ativos da organização, abordando aspectos relacionados à proteção dos ativos, sua classificação de acordo com a criticidade do ativo para o a organização; a manutenção de inventario atualizado de ativos da organização, contendo o tipo de ativo, sua localização, seu proprietário ou custodiante e seu status de segurança; uso aceitável de ativos, vedado o uso para fins particulares de seu responsável; o mapeamento de vulnerabilidades, ameaças e suas respectivas interdependências; o monitoramento de ativos, de acordo com os princípios legais de Segurança da Informação e privacidade; a investigação de sua operação e uso quando houver indícios de quebra de segurança e/ou privacidade; 12. a utilização adequada dos recursos operacionais e de comunicações fornecidos pelo MCTI, a serem utilizados para fins profissionais, relacionados às atividades deste Ministério, em conformidade com os princípios éticos e profissionais do MCTI, evitando comportamentos antiéticos, discriminatórios, ofensivos ou que possam comprometer a reputação deste Ministério; 13. aos procedimentos para o uso de e-mail, o envio de informações confidenciais, a instalação de software antivírus e a abertura de anexos de e-mail; 14. o acesso à internet, o download de arquivos da internet, vedado o uso de sites inadequados e a instalação de software não autorizado; 15. o uso de mídias sociais, a divulgação de informações nas mídias sociais, o uso de contas pessoais para fins profissionais e a interação com estranhos nas mídias sociais; 16. as políticas e procedimentos para o uso da computação em nuvem, a seleção de provedores de serviços em nuvem, a segurança dos dados na nuvem e a conformidade com as leis e regulamentos aplicáveis; 17. as políticas e procedimentos para o controle de acesso, tais como o uso de Múltiplo Fator de Autenticação (MFA), controles de autorização, baseados no princípio do menor privilégio, controles de segregação de funções, trilhas de auditoria, rastreamento, acompanhamento, controle e verificação de acessos para os ativos de informação, desligamento ou afastamento de colaboradores e parceiros que utilizam ou operam os ativos de informação do MCTI; 18. as políticas e procedimentos para a gestão dos riscos de segurança da informação que possam afetar seus ativos de informação, abordando a análise do ambiente do MCTI, dos seus ativos de informação e das ameaças à segurança da informação; a adoção de uma metodologia estruturada para identificar riscos, a documentação dos riscos identificados, incluindo sua descrição, origem, impacto potencial e probabilidade de ocorrência; a avaliação de riscos, de forma a determinar o risco a se concretizar e o impacto potencial nos ativos de informação, bem como quais riscos devem ser priorizados para tratamento; o tratamento dos riscos identificados e avaliados, o que pode incluir a mitigação de riscos, por meio da implementação de controles de segurança, ou a aceitação de riscos; 19. as políticas e procedimentos para Gestão de Continuidade de Negócios da organização, incluindo o Plano de Continuidade para garantir que o MCTI possa continuar suas atividades em caso de um incidente de segurança da informação e a realização de testes e exercícios periódicos baseados no Plano de Continuidade para garantir sua eficácia; 20. as políticas e procedimentos para a Gestão de Mudanças nos ativos de informação da organização, respaldado pelas informações dos relatórios de avaliação e tratamento de risco de segurança da informação, com a designação de papéis e responsabilidades para a avaliação, aprovação e implementação de mudanças e a criação de um processo formal para solicitação e documentação de mudanças; e 21. as políticas e procedimentos para a auditoria e conformidade da organização, abordando o Plano de Verificação de Conformidade, que considere as unidades abrangidas, os aspectos para verificação da conformidade, as ações e atividades a serem realizadas, os documentos necessários para a fundamentação da verificação de conformidade e as responsabilidades e o Relatório de Avaliação de Conformidade, que considere o detalhamento das ações e das atividades com identificação do responsável, o parecer de conformidade e as recomendações. § 1º As unidades organizacionais do MCTI devem realizar periodicamente auditorias internas de sua segurança da informação para assegurar que ela esteja em conformidade com esta Política e com outros requisitos de segurança da informação aplicáveis. § 2º Todas as ações, realizadas pelas unidades do MCTI, que envolvem a segurança da informação devem estar em conformidade com as leis e regulamentos aplicáveis à esta temática. § 3º As atividades, produtos e serviços desenvolvidos no MCTI devem estar em conformidade com requisitos de privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes. CAPÍTULO V - DAS VEDAÇÕES E DISPOSIÇÕES FINAIS Art. 25. É vedada a utilização dos recursos de tecnologia da informação disponibilizados pelo MCTI para acesso, armazenamento ou divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente. Art. 26. São vedados o uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo MCTI. Art. 27. É vedada a divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários. Art. 28. É vedada a exploração de eventuais vulnerabilidades, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 29. A unidades organizacionais do MCTI devem promover ações de treinamento e conscientização para que os seus colaboradores compreendam suas responsabilidades e procedimentos relacionados à segurança da informação e à proteção de dados. Parágrafo único. A conscientização, a capacitação e a sensibilização em segurança da informação devem ser adequadas aos papéis e responsabilidades dos colaboradores. Art. 30. As denúncias de violação a esta Política podem ser comunicadas ao Gestor de Segurança da Informação e feitas preferencialmente pela Internet (Fala.BR - Plataforma Integrada de Ouvidoria e Acesso à Informação), ou através dos seguintes canais: e-mail ([email protected]) ou pelo telefone (61) 2033-8522. Art. 31. O cumprimento desta Política, bem como dos normativos que a complementam devem ser avaliados pelo MCTI periodicamente por meio de verificações de conformidade, buscando a certificação do cumprimento dos requisitos de segurança da informação e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres. Art. 32. A não observância do disposto nesta Política, bem como em seus instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa. Art. 33. Esta Política será revisada periodicamente, pelo menos a cada quatro anos, ou com mais frequência se necessário, para refletir as mudanças no ambiente do MCTI, nos riscos à segurança da informação e nas melhores práticas de segurança da informação. Art. 34. Os casos omissos e as dúvidas sobre a Política de Segurança da Informação - PSI e seus documentos devem ser submetidas ao CGSD. ANEXO II Referências Bibliográficas ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS: ABNT NBR ISO/IEC 27701:2019: Técnicas de segurança - Extensão da ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002 para gestão da privacidade da informação - Requisitos e diretrizes. Rio de Janeiro, 2019. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS: ABNT NBR ISO/IEC 27001:2022: Segurança da informação, segurança cibernética e proteção à privacidade - Sistemas de gestão da segurança da informação - Requisitos. Rio de Janeiro, 2022. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS: ABNT NBR ISO/IEC 27002:2022: Segurança da informação, segurança cibernética e proteção à privacidade - Controles de segurança da informação- Requisitos. Rio de Janeiro, 2023. BRASIL. Presidência da República. Casa Civil. Subchefia para Assuntos Jurídicos. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 07 ago. 2025. BRASIL. Presidência da República. Casa Civil. Secretaria Especial de Assuntos Internos. Decreto nº 12.572, de 4 de agosto de 2025. Política Nacional de Segurança da Informação. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2023- 2026/2025/decreto/D12572.htm. Acesso em: 07 ago. 2025. BRASIL. Presidência da República. Gabinete de Segurança Institucional. Portaria nº 93, de 26 de setembro de 2019. Glossário de Segurança da Informação. Disponível em: https://www.in.gov.br/en/web/dou/-/portaria-n-93-de-26-de-setembro-de-2019- %20219115663. Acesso em: 07 ago. 2025. BRASIL. Presidência da República. Gabinete de Segurança Institucional. Departamento de Segurança da Informação e Comunicações. Instrução Normativa nº 01, de 27 de maio de 2020. Brasília, DF, GSI/PR, 2020. Disponível em: https://www.in.gov.br/en/web/dou/-/instrucao-normativa-n-1-de-27-de-maio-de-2020- 258915215. Acesso em: 07 ago. 2025. BRASIL. Presidência da República. Gabinete de Segurança Institucional. Departamento de Segurança da Informação e Comunicações. Instrução Normativa nº 03, de 28 de maio de 2021. Brasília, DF, GSI/PR, 2021. Disponível em: https://www.gov.br/gsi/pt-br/ssic/legislacao/copy_of_IN03_consolidada.pdf. Acesso em: 07 ago. 2025. DIRETORIA DE PRIVACIDADE E SEGURANÇA DA INFORMAÇÃO DA SECRETARIA DE GOVERNO DIGITAL - DPSI/SGD. Guia do Framework de Privacidade e Segurança da Informação. Dezembro de 2024. Disponível em: https://www.gov.br/governodigital/pt- br/privacidade-e-seguranca/ppsi/guia_framework_psi.pdf . Acesso em: 07 ago. 2025. BRASIL. Presidência da República. Agência Nacional de Proteção de Dados - ANPD. Guia Orientativo - Tratamento de dados pessoais pelo Poder Público. Junho 2023. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/documentos- de-publicacoes/guia-poder-publico-anpd-versao-final.pdf. Acesso em: 07 ago. 2025. CONSELHO NACIONAL DE CONTROLE DE EXPERIMENTAÇÃO ANIMAL DELIBERAÇÃO CONCEA/MCTI Nº 14, DE 14 DE NOVEMBRO DE 2025 A Coordenadora do Conselho Nacional de Controle de Experimentação Animal - CONCEA/MCTI, no uso de suas atribuições e de acordo com o inc. II, art. 5º da Lei nº 11.794/2008; arts. 34 e 35 do Decreto nº 6.899/2009; e Resolução Normativa CONCEA/MCTI nº 24/2015, torna público a Deliberação do Plenário do CONCEA/MCTI, em desfavor da CRUZEIRO DO SUL EDUCACIONAL S.A. Processo nº 01245.000204/2024-16 (PI-086.2024) O Plenário da 70º Reunião Ordinária do CONCEA/MCTI, após análise do recurso apresentado pela CRUZEIRO DO SUL EDUCACIONAL S.A. (SEI 12826572) e do PARECER TÉCNICO Nº 551/2025/SEI-MCTI (SEI 12836020), deliberou pela manutenção da classificação da infração cometida pela instituição CRUZEIRO DO SUL EDUCACIONAL S.A. (CNPJ 62.984.091/0009-51) como de natureza grave com aplicação de multa de R$15.000,00 (quinze mil reais). A íntegra deste processo encontra-se arquivada na Coordenação da Secretaria Executiva do CONCEA/MCTI (SE-CONCEA/MCTI). Solicitações de informações complementares deverão ser encaminhadas por escrito à SE-CONCEA/MCTI. LUISA MARIA GOMES DE MACEDO BRAGA SECRETARIA DE CIÊNCIA E TECNOLOGIA PARA TRANSFORMAÇÃO DIGITAL PORTARIA SETAD/MCTI Nº 9.611, DE 17 DE NOVEMBRO DE 2025 Habilitação à fruição do crédito financeiro de que tratam o art. 4º da Lei nº 8.248, de 23 de outubro de 1991, e os arts. 2º, 3º e 4º da Lei nº 13.969, de 26 de dezembro de 2019. O SECRETÁRIO DE CIÊNCIA E TECNOLOGIA PARA TRANSFORMAÇÃO DIGITAL DO MINISTÉRIO DA CIÊNCIA, TECNOLOGIA E INOVAÇÃO, no uso da atribuição conferida pelo parágrafo único do art. 6º do Decreto nº 10.356, de 20 de maio de 2020, tendo em vista o disposto nos arts. 4º e 9º deste Decreto, e considerando o que consta no Processo MCTI nº 01245.011013/2025-61, de 16 de junho de 2025, resolve: Art. 1º Fica habilitada a pessoa jurídica SWEDA INFORMATICA LTDA, inscrita no Cadastro Nacional da Pessoa Jurídica do Ministério da Fazenda - CNPJ/MF sob o nº 53.485.215/0001-06, à fruição do crédito financeiro de que tratam o art. 4º da Lei nº 8.248, de 23 de outubro de 1991, os arts. 2º, 3º e 4º da Lei nº 13.969, de 26 de dezembro de 2019, e o Decreto nº 10.356, de 20 de maio de 2020. § 1º Fica cadastrado o estabelecimento fabril da pessoa jurídica identificada no caput, CNPJ/MF nº 53.485.215/0001-06, responsável pela fabricação do(s) seguinte(s) bem(ns) de tecnologias da informação e comunicação: I - Terminal de Autoatendimento para Compra de Mercadorias em Estabelecimentos Comerciais (Self-Checkout);