DOU 12/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025121200077 77 Nº 237, sexta-feira, 12 de dezembro de 2025 ISSN 1677-7042 Seção 1 PORTARIA MDS Nº 1.138, DE 11 DE DEZEMBRO DE 2025 Aprova as diretrizes para o uso do serviço de rede privada virtual, Virtual Private Network - VPN, no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL, FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição Federal, e tendo em vista o disposto no Decreto nº 12.572, de 4 de agosto de 2025, resolve: Art. 1º Ficam aprovadas as diretrizes para o uso do serviço de rede privada virtual, Virtual Private Network - VPN, no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. CAPÍTULO I DISPOSIÇÕES GERAIS SEÇÃO I DO OBJETIVO Art. 2º Este documento tem por objetivo regulamentar o acesso remoto aos ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e enfatizar a importância de proteger as informações confidenciais transmitidas por meio do acesso remoto. SEÇÃO II DA ABRANGÊNCIA Art. 3º As regras estabelecidas nesta Portaria devem ser cumpridas por todos os colaboradores que utilizam a Virtual Private Network - VPN. SEÇÃO III DOS CONCEITOS E DEFINIÇÕES Art. 4º Para efeitos desta Portaria, aplicam-se os conceitos e definições elencados no Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República - GSI/PR e da Política de Segurança da Informação - POSIN do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. CAPÍTULO II DAS RESPONSABILIDADES Art. 5º São responsabilidades dos usuários de Virtual Private Network - VPN: I - manter sigilo das informações de acesso ao ambiente de rede do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e da conexão remota, sendo de sua total e exclusiva responsabilidade qualquer operação realizada por meio de suas credenciais de acesso; II - comunicar, imediatamente, à Subsecretaria de Tecnologia da Informação - STI qualquer situação que coloque em risco os ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; e III - informar formalmente ao seu chefe imediato e solicitar a revogação de seu acesso à informação quando identificar direitos de acesso remoto desnecessários à execução das suas atividades. Art. 6º São responsabilidades dos gestores dos ativos de informação: I - solicitar o acesso ou a revogação das credenciais de acesso remoto dos usuários sob sua gestão; II - conscientizar os usuários em seu domínio administrativo quanto às orientações presentes nesta Portaria e nas boas práticas de segurança; III - comunicar, imediatamente, à Subsecretaria de Tecnologia da Informação - STI, após tomar conhecimento, quaisquer indícios de ameaça, vulnerabilidade ou situação que possa colocar em risco os ativos de informação institucionais; e IV - manter atualizada a relação de usuários e a necessidade de acesso à Virtual Private Network - VPN para verificação de conformidade com esta Portaria e com as normas internas de controle de acesso. Parágrafo único. Cabe ao gestor estabelecer o ciclo de validação e continuidade das credenciais. Art. 7º São responsabilidades da Subsecretaria de Tecnologia da Informação - STI quanto ao acesso à Virtual Private Network - VPN: I - administrar os acessos remotos ao ambiente de rede de dados do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; II - manter a disponibilidade, integridade, confidencialidade e autenticidade em todo o ambiente de rede; III - monitorar todo o ambiente de modo a identificar proativamente anomalias e acessos maliciosos; IV - manter os registros de acesso para fins de auditoria respeitando a legislação e as boas práticas de mercado; V - manter mecanismos de segregação de acesso lógico entre os ambientes de acesso remoto e os recursos computacionais em ambiente de rede local controlando o acesso por meio de política de mínimo privilégio; VI - manter registro histórico de solicitações de criação e revogação de usuários para fins de auditoria e controle por período de tempo indeterminado; VII - efetuar análises críticas periodicamente no ambiente como forma de garantir que os mecanismos de segurança adotados se mantenham eficientes; e VIII - conscientizar os servidores quanto às orientações presentes nesta Portaria e na Política de Segurança da Informação - POSIN. Art. 8º Cabe à Coordenação-Geral de Gestão de Pessoas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome: I - notificar, semanalmente, à Subsecretaria de Tecnologia da Informação - STI, as licenças sem vencimento, desligamento definitivo, desligamento temporário por decisão judicial e afastamentos por licença de saúde; e II - conscientizar os novos servidores quanto às orientações presentes nesta Portaria e na Política de Segurança da Informação - POSIN. Parágrafo único. Cabe aos gestores de contratos de terceirização, consultoria, estágios, organizações externas e outros que tenham acesso à Virtual Private Network - VPN: I - notificar, semanalmente, à Subsecretaria de Tecnologia da Informação - STI, as licenças sem vencimento, desligamento definitivo, desligamento temporário por decisão judicial e afastamentos por licença de saúde; e II - conscientizar os novos servidores quanto às orientações presentes nesta Portaria e na Política de Segurança da Informação - POSIN. CAPÍTULO III DAS DIRETRIZES Art. 9º A instalação e configuração dos aplicativos homologados pela Subsecretaria de Tecnologia da Informação - STI e necessários ao estabelecimento da conexão Virtual Private Network - VPN ficarão a cargo do próprio usuário, apoiado pelo atendimento da STI, quando necessário. Art. 10. O acesso à rede corporativa por meio da Virtual Private Network - VPN deverá ser exclusivamente para usos relacionados às atividades corporativas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, proibida a sua utilização para outra finalidade que não o desempenho das atividades relacionadas à sua função. Art. 11. O usuário das credenciais de acesso à Virtual Private Network - VPN é o único responsável pela salvaguarda das informações necessárias ao acesso à rede corporativa, como senha, nome de usuário, endereço do gateway remoto e demais informações de acesso remoto. Art. 12. O compartilhamento das credenciais de acesso à Virtual Private Network - VPN é terminantemente proibido, podendo caracterizar crime de violação de sigilo funcional, sendo todo acesso registrado e auditado, em conformidade com a Lei Geral de Proteção de Dados - LGPD e a Política de Segurança da Informação - POSIN. Art. 13. O acesso Virtual Private Network - VPN implica em riscos para os ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, sendo possível através dele acessá-los, de forma privilegiada, a partir de qualquer ponto da internet, como se o usuário estivesse fisicamente nas instalações institucionais. Art. 14. Todos os usuários deverão: I - manter-se conectados à rede via Virtual Private Network - VPN apenas pelo tempo necessário à execução da tarefa que requereu o uso do serviço, numa emergência ou para uso diário, em caso de trabalho home office; e II - não usar a Virtual Private Network - VPN em redes wi-fi públicas, abertas (sem criptografia) ou compartilhadas por terceiros. Parágrafo único. Se houver indícios de quebra de segurança, o acesso à Virtual Private Network - VPN será bloqueado. Art. 15. Os computadores que possuírem aplicativos configurados com as informações de acesso à rede corporativa por meio da Virtual Private Network - VPN deverão possuir mecanismo de controle de acesso que utilize, no mínimo, usuário e senha, e aplicativo antivírus atualizado, devendo o seu uso ser restrito ao usuário detentor da credencial de acesso. Parágrafo único. Havendo necessidade do compartilhamento do computador, as informações definidas no aplicativo de acesso à Virtual Private Network - VPN deverão ser excluídas. Art. 16. A responsabilidade de informar à Subsecretaria de Tecnologia da Informação - STI o desligamento ou inatividade de qualquer integrante possuidor de credenciais de acesso à Virtual Private Network - VPN é do solicitante, colaborando com a segurança da rede corporativa do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome - MDS. Art. 17. O acesso ao serviço de Virtual Private Network - VPN a usuários que não fazem parte do corpo de colaboradores do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome terá validade definida conforme a demanda dos serviços que serão prestados, havendo necessidade de renovação do prazo. Art. 18. A solicitação de revalidação do acesso Virtual Private Network - VPN deve ser realizada pelo solicitante legal, dentro dos prazos de validade para cada conta, com a devida justificativa, sendo aprovada pela chefia imediata e pelo gestor da unidade. Art. 19. Todos os computadores conectados às redes internas do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome via Virtual Private Network - VPN devem estar com as versões mais atualizadas de softwares antivírus e com os últimos patches de segurança instalados. Art. 20. Deverá ser estabelecida apenas uma única conexão Virtual Private Network - VPN com a rede institucional. Art. 21. Não se deve alterar, sem prévio consentimento, a configuração default da Virtual Private Network - VPN fornecida pela área de Tecnologia da Informação - TI institucional. Art. 22. O usuário deve restringir o uso do acesso via Virtual Private Network - VPN para as finalidades relacionadas à execução de suas atividades, devendo abster-se de usar a funcionalidade para quaisquer outras atividades. Art. 23. O usuário nunca deve deixar sessões Virtual Private Network - VPN abertas (logadas), devendo realizar o executar logoff ou bloquear seu equipamento. Art. 24. É obrigatório ao usuário de Virtual Private Network - VPN, a assinatura de termo de responsabilidade em que constará as condições legais a que está sujeito. Art. 25. Os dispositivos pessoais devem ser configurados de acordo com os normativos de segurança mandatórios estabelecidos pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome. Art. 26. Para a concessão de credencial de acesso à Virtual Private Network - VPN, o solicitante do setor, obrigatoriamente, necessitará requisitar formalmente para a Subsecretaria de Tecnologia da Informação - STI, por meio de formulário específico de cadastramento de usuários no Sistema Eletrônico de Informação - SEI. CAPÍTULO IV DO GERENCIAMENTO DA VPN - AUTENTICAÇÃO DE USUÁRIOS Art. 27. A autenticação para a Virtual Private Network - VPN e para outras ferramentas e sistemas utilizados na rede deverá ser centralizada por meio de um sistema de Single Sign-On - SSO e poderá ser gerenciado na plataforma em nuvem do gov.br. Art. 28. O sistema de que trata o art. 27 adere estritamente a todos os protocolos de segurança estabelecidos, incluindo a exigência de senhas robustas e a implementação de Autenticação Multifatorial - MFA. Art. 29. Para manter a integridade e a segurança da rede, os protocolos de que trata o art. 28 produzem registros detalhados em todas as camadas relevantes, incluindo processos de autenticação, atividades do firewall e registros de acesso. Art. 30. As práticas de que trata este Capítulo são essenciais para atender às políticas de segurança e ao provimento da documentação abrangente durante processos de auditoria, que constarão na base de custódia de todos os eventos. CAPÍTULO V DO MONITORAMENTO E REVISÃO Art. 31. A Subsecretaria de Tecnologia da Informação - STI reserva-se o direito de monitorar o uso da Virtual Private Network - VPN para garantir a conformidade com a Política de Segurança da Informação - POSIN. § 1º Os dados eventualmente coletados serão tratados em conformidade com a legislação vigente de proteção de dados pessoais e privacidade. § 2º Os ativos de informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, tais como e-mail, internet, intranet, Virtual Private Network - VPN, computadores, sistemas e informações são passíveis de monitoramento e devem ter seu uso investigado quando houver indícios de quebra de segurança, por meio de mecanismos que permitam a rastreabilidade do uso dos ativos. CAPÍTULO VI CONSIDERAÇÕES FINAIS Art. 32. As dúvidas e questões decorrentes não descritas nesta Portaria deverão ser encaminhadas à Subsecretaria de Tecnologia da Informação - STI. Art. 33. A violação da política disciplinada por qualquer usuário será reportada à Subsecretaria de Tecnologia da Informação - STI, que poderá tomar decisões cabíveis, cujo objetivo é suspender de imediato, temporariamente ou permanentemente os seus privilégios de acesso à infraestrutura computacional do Ministério, sem prejuízo da adoção de ações legais contra o infrator. Art. 34. Havendo precedentes e novos fatores a serem considerados, a Subsecretaria de Tecnologia da Informação - STI tomará iniciativas com vistas a proceder a alterações a qualquer tempo, mediante o surgimento de fatos relevantes ou que não tenham sido contemplados nesta Portaria. Art. 35. Esta Portaria entra em vigor na data de sua publicação. JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS