DOU 16/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025121600150 150 Nº 239, terça-feira, 16 de dezembro de 2025 ISSN 1677-7042 Seção 1 Dos conceitos e definições Art. 8º Para os efeitos da POSIN-MME, os termos utilizados seguem as definições do Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República e, no que couber, as do art. 5º da Lei Geral de Proteção de Dados, em especial: I - agente público: todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação, ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego ou função nos órgãos e entidades da administração pública federal, direta e indireta; II - ativos de informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; III - auditoria: processo de exame cuidadoso e sistemático das atividades desenvolvidas, cujo objetivo é averiguar se elas estão de acordo com as disposições planejadas e estabelecidas previamente, se foram implementadas com eficácia e se estão adequadas e em conformidade à consecução dos objetivos; IV - autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade; V - confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não autorizados nem credenciados; VI - controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais. Geralmente, requer procedimentos de autenticação; VII - defesa cibernética: ações realizadas no espaço cibernético, no contexto de um planejamento nacional de nível estratégico, coordenado e integrado pelo Ministério da Defesa, com as finalidades de proteger os ativos de informação de interesse da defesa nacional, obter dados para a produção de conhecimento de inteligência e buscar superioridade sobre os sistemas de informação do oponente; VIII - disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou entidade devidamente autorizados; IX - gestão de continuidade de negócios em segurança da informação: processo que identifica ameaças potenciais para uma organização e os possíveis impactos nas operações de negócio, caso estas ameaças se concretizem. Esse processo fornece uma estrutura para que se desenvolva uma resiliência organizacional que seja capaz de responder efetivamente e salvaguardar os interesses das partes interessadas, a reputação, a marca da organização e suas atividades de valor agregado; X - integridade: propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental; XI - tratamento da informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação; e XII - usuário de informação (ou usuário): pessoa física, seja servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de um órgão ou entidade da administração pública federal, formalizada por meio da assinatura de Termo de Responsabilidade. CAPÍTULO II DOS PRINCÍPIOS Art. 9º A POSIN-MME é orientada pelos princípios estabelecidos na Política Nacional de Segurança da Informação e pelos princípios constitucionais, administrativos e do arcabouço legislativo vigente que regem a Administração Pública Federal, bem como os seguintes princípios orientadores: I - alinhamento estratégico e sistêmico: necessidade desta política de alinhamento com o planejamento estratégico institucional, com o modelo de governança e com a Política de Gestão de Riscos do Ministério de Minas e Energia; II - transparência: obrigação fundamental de prestar informações confiáveis, relevantes e tempestivas à sociedade, visando à participação social na proposição e no monitoramento da execução das políticas públicas geridas pelo Ministério de Minas e Energia. É também refletida no dever institucional e dos agentes públicos de garantir o sigilo das informações e dos dados imprescindíveis à segurança da sociedade e do Estado e à inviolabilidade da intimidade da vida privada, da honra e da imagem das pessoas; III - corresponsabilidade: constituída pelo dever de todas as partes envolvidas em conhecer e respeitar a Política e as normas específicas a ela associadas; IV - clareza: as responsabilidades pela segurança dos ativos do Ministério de Minas e Energia e pelo cumprimento de processos de segurança devem ser claramente definidas; V - ética: todos os direitos e interesses legítimos dos usuários devem ser respeitados sem comprometimento da segurança; VI - menor privilégio: restringir o acesso às informações, ao estritamente necessário ao exercício das funções; VII - continuidade dos processos e serviços críticos: caráter de essencialidade ao funcionamento do Ministério de Minas e Energia e ao cumprimento de sua missão institucional, protegendo sua disponibilidade e segurança e definindo uma estratégia adequada de prevenção, gestão e recuperação de incidentes, visando à continuidade do negócio e à redução dos impactos em ocorrências de interrupção causadas por desastres e/ou falhas; VIII - educação, treinamento, conscientização, comunicação e cooperação: para fomento e aprimoramento das práticas de promoção da cultura em segurança da informação; IX - conformidade das normas e das ações de segurança da informação com a legislação regulamentos aplicáveis; e X - respeito ao acesso à informação, à proteção de dados pessoais e à proteção da privacidade. CAPÍTULO III DAS DIRETRIZES Seção I Dos pressupostos básicos Art. 10. A gestão de segurança da informação deve ser suportada por ações e métodos que visem à integração das atividades de gestão de riscos, à gestão de continuidade do negócio, ao tratamento de incidentes, ao tratamento das informações e dos dados, à conformidade, à segurança cibernética, à segurança física, à segurança lógica, à segurança orgânica e à segurança organizacional dos processos institucionais estratégicos, operacionais e táticos, considerando, sob caráter geral, o seguinte: I - informações e dados como ativos: toda e qualquer informação e dado gerados, custodiados, manipulados, utilizados ou armazenados no Ministério de Minas e Energia compõem um ativo de informação relevante para as suas atividades e devem ser protegidos e tratados com vistas à preservação dos princípios de disponibilidade, integridade, confidencialidade e autenticidade, bem como à proteção de dados pessoais e à privacidade, conforme as normas em vigor estabelecidas; II - classificação da informação como requisito: todo ativo de informação deve ser classificado e tratado segundo sua classificação de segurança da informação, de maneira a proteger adequadamente as informações e os dados na sua criação, coleta, utilização, custódia e no descarte; III - segregação de funções: sempre que processualmente viável, devem ser segregadas funções ou áreas de responsabilidade conflitantes, para que ninguém detenha controle de um processo crítico na sua totalidade, visando a reduzir os riscos de mau uso, acidental ou deliberado, dos ativos de informação; IV - estabelecer controles adequados à relevância e ao risco: as medidas e os controles de segurança devem ser estabelecidos considerando a relevância dos ativos de informação e os níveis de risco associados - considerando o ambiente, o valor e a criticidade das informações e dos dados - de forma proporcional e balanceada, visando sempre à prevenção da ocorrência de incidentes; V - menor privilégio e mínimo acesso: pessoas e aplicações devem ter o menor privilégio e o mínimo de acesso aos recursos necessários para realizar uma determinada tarefa, tendo como condição a ciência expressa dos termos desta Política, as responsabilidades e os compromissos decorridos deste acesso e o conhecimento das penalidades cabíveis pela inobservância das regras previstas; VI - responsabilização individual: todos os usuários são responsáveis pela segurança dos ativos de informação que estejam sob sua custódia, pelo uso e pela guarda de suas credenciais de acesso, sendo vedada a exploração de eventuais vulnerabilidades - que, assim que identificadas, devem ser imediatamente comunicadas às instâncias superiores; VII - corresponsabilidade de terceiros: todos os contratos de prestação de serviços, firmados pelo Ministério de Minas e Energia deverão conter cláusula específica sobre a obrigatoriedade de atendimento às diretrizes desta Política, incluindo a assinatura de Termo de Responsabilidade pelas empresas contratadas e de Termo de Ciência pelos colaboradores diretamente envolvidas na execução dos serviços contratados; VIII - restrição de uso dos ativos de informação: o acesso e uso das informações e dados que não sejam de domínio público e dos ativos de informação do Ministério de Minas e Energia são controlados e limitados às atribuições necessárias para cumprimento das atividades dos solicitantes e usuários devidamente autorizados e utilizados no estrito interesse do custodiante, apenas para as finalidades profissionais, lícitas, éticas, administrativamente aprovadas e devidamente autorizadas. Qualquer outra forma de acesso e uso necessitará de prévia autorização do proprietário do ativo de informação; IX - uso seguro dos ativos de informação: apenas os ativos de informação homologados e autorizados pelo Ministério de Minas e Energia devem ter uso permitido, desde que sejam identificados de forma individual, inventariados, protegidos e tenham um proprietário do ativo de informação responsável. Os ativos de informação devem ter documentação atualizada, riscos mapeados, capacidade e contingência adequadas e sua operação deve estar de acordo com as normas, cláusulas contratuais e a legislação em vigor; e X - divulgação desta política e suas atualizações, bem como normas específicas de segurança da informação do Ministério: devem ser divulgadas amplamente a todos os usuários de Informação, que devem ser continuamente capacitados nos procedimentos de segurança e no uso correto dos ativos de informação, a fim de promover sua observância, seu conhecimento, bem como a formação da cultura de segurança da informação. Art. 11. Essas diretrizes gerais constituem os pilares da gestão de segurança da informação e proteção de dados do Ministério de Minas e Energia e norteiam a construção de ações, planos e normas associados que objetivam a garantia dos princípios básicos de segurança da informação estabelecidos nesta Política. Seção II Do tratamento da informação Art. 12. Toda informação e dado criados manuseados, armazenados, transportados, descartados ou custodiados pelo Ministério de Minas e Energia são de sua responsabilidade e devem ser protegidos, classificados e tratados adequadamente, quanto aos aspectos de confidencialidade, integridade, autenticidade e disponibilidade, bem como à proteção de dados pessoais e à privacidade, segundo as diretrizes descritas e demais regulamentações em vigor. Art. 13. Toda informação e dado institucionais, se eletrônicos, serão armazenados nos servidores de arquivos (físicos, virtuais ou em nuvem) e bases de dados sob gestão e administração da Subsecretaria de Tecnologia e Inovação e, se não eletrônicos, mantidos em local físico adequado. Art. 14. Toda informação e dado institucionais sob a forma eletrônica deverão estar salvaguardados por meio de cópia de segurança (backup) em solução que garanta sua preservação e recuperação, quando necessária, conforme disposto em normas e procedimentos específicos sob responsabilidade da Subsecretaria de Tecnologia e Inovação. Art. 15. É expressamente proibido o acesso, a guarda ou o encaminhamento de material discriminatório, malicioso, não ético, obsceno ou ilegal por intermédio de quaisquer meios e recursos de tecnologia da informação disponibilizados pelo Ministério de Minas e Energia. Art. 16. As informações e os dados classificados, considerando a legislação vigente, que sejam produzidos, armazenados e/ou transportados em meio eletrônico utilizarão criptografia compatível com o respectivo grau de sigilo, em especial as informações de autenticação de usuários das aplicações geridas pelo Ministério de Minas e Energia. Art. 17. No tratamento das informações, deve-se respeitar a classificação segundo o grau de sigilo, a criticidade e a proteção de dados pessoais, conforme normas internas e legislação específica em vigor. Art. 18. A manipulação e a eliminação de informações classificadas em qualquer grau de sigilo devem seguir as normas internas e a legislação em vigor. Art. 19. Os responsáveis pelos ativos de informação devem manter registros e procedimentos que assegurem o rastreamento, o acompanhamento, o controle e a verificação de acesso, em especial aos sistemas corporativos e às redes computacionais. Seção III Da segurança física e do ambiente Art. 20. As ações de segurança física e ambiental, no que se referem aos aspectos de segurança da informação, deverão prover normas e procedimentos que abordem, no mínimo, os seguintes aspectos: I - controle e monitoramento de acesso físico: compreendem as necessidades de controle e monitoramento de acesso às instalações e aos ambientes físicos do Órgão, estabelecimento dos perímetros de segurança, regras de controle de acesso da gestão de autorizações e manutenção de registros de acesso de pessoal autorizado e de visitantes; II - controles ambientais: compreendem provisão e manutenção dos controles ambientais necessários, com base em uma avaliação de requisitos, que inclui, mas não se limita, a energia de reserva para facilitar um processo de desligamento ordenado (no mínimo), a detecção e supressão de incêndios, os controles de temperatura e umidade e a detecção e mitigação de danos ambientais; e III - descarte seguro de equipamentos: compreende a provisão e manutenção de controles para identificação e remoção permanente de quaisquer dados sensíveis e softwares licenciados em equipamentos antes do descarte. Seção IV Da gestão de incidentes em segurança da informação Art. 21. O Ministério de Minas e Energia deverá prover e manter normas e procedimentos de resposta a incidentes consistentes com as leis e políticas governamentais aplicáveis, incluindo, mas não se limitando, a identificação de papéis e responsabilidades, a investigação, os procedimentos de contenção e escalonamento, a documentação e preservação de evidências, os protocolos de comunicação e as lições aprendidas. Art. 22. O processo de gestão de incidentes deverá envolver também procedimentos adequados de comunicação de incidentes incluindo, mas não se limitando, a treinamento de servidores, demais colaboradores e terceiros para identificar e comunicar rapidamente incidentes e preparação e apresentação de relatórios de acompanhamento. Art. 23. Os incidentes que afetem dados pessoais deverão ser imediatamente comunicados ao Encarregado pelo Tratamento de Dados Pessoais, que orientará as práticas a serem adotadas. Art. 24. Caberá à Subsecretaria de Tecnologia e Inovação a responsabilidade pela infraestrutura necessária para fins de registro e resposta aos incidentes de segurança da informação no âmbito da rede corporativa do Ministério de Minas e Energia. Seção V Da gestão de ativos Art. 25. O Ministério de Minas e Energia manterá um processo de inventário e mapeamento dos ativos de informação objetivando a segurança das infraestruturas críticas que garantem suas informações e dados. O processo de inventário e mapeamento de ativos de informação subsidiará o conhecimento, a valoração, a proteção, a auditoria e a manutenção de seus ativos de informação e deverá ser dinâmico, periódico e estruturado, para manter a base de dados de ativos de informação atualizada. Seção VI Da gestão do uso dos recursos operacionais e de comunicações Comunicações Art. 26. Todos os sistemas de comunicação eletrônica, quer seja de origem externa, quer seja interna, são recursos de Tecnologia da Informação e Comunicação disponibilizados pelo Ministério de Minas e Energia a seus servidores, demais colaboradores e terceiros. Parágrafo único. Esses sistemas deverão ser utilizados precipuamente no exercício das funções institucionais, em conexão com a finalidade do Órgão e de forma aderente a esta Política e à legislação vigente, podendo ser concedidos ou revogados a qualquer tempo, em caráter total ou parcial, de acordo com os interesses do Ministério. Art. 27. Ao Ministério de Minas e Energia se reserva o direito de monitorar, acessar e revisar quaisquer aspectos de seus recursos de informação eletrônica e sistemas de comunicação, incluindo, entre outros, o uso da Internet, sistemas de comunicação eletrônica como e-mail, sistemas de telefonia, tráfego da rede e revisar ativos armazenados em qualquer sistema de comunicação.