DOU 16/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025121600151 151 Nº 239, terça-feira, 16 de dezembro de 2025 ISSN 1677-7042 Seção 1 Parágrafo único. O consentimento para tais registros e monitoramento é presumido por parte dos usuários, não cabendo qualquer contestação ou alegação de desconhecimento dessa regra. Art. 28. As comunicações eletrônicas são comunicações formais e espera-se que os usuários exerçam cuidado e profissionalismo na aplicação desses recursos, assim como o faria com qualquer outro expediente de comunicação formal emitido em nome do Ministério de Minas e Energia. Parágrafo único. O uso dos recursos de comunicação eletrônica deverá ser disciplinado em regramento próprio, associado a esta Política. Acesso à Internet Art. 29. O acesso à Internet no ambiente de trabalho do Ministério de Minas e Energia está condicionado às necessidades dos agentes públicos no exercício de suas atribuições e será regido por norma específica, em conformidade com esta Política e demais orientações governamentais e legislação em vigor. Art. 30. Cada usuário de informação é responsável por tomar todas as medidas razoáveis para utilizar os recursos de Internet de forma responsável e segura, tendo em vista que credenciais de acesso são pessoais e intransferíveis, sendo que o usuário é individualmente responsável por todas as atividades exercidas a partir de sua credencial. Art. 31. O uso da Internet no Ministério de Minas e Energia será monitorado e os acessos serão registrados em dispositivo ou sistema computacional que assegure a possibilidade de rastreio e apuração de responsabilidades em caso de incidentes cibernéticos, incidentes de segurança e outras violações a esta Política. Art. 32. Para apuração das quebras de segurança relativas ao uso da Internet, os ativos de informação fornecidos pelo Ministério de Minas e Energia poderão ser analisados, a qualquer tempo, pela Equipe de Prevenção e Tratamento e Resposta a Incidentes Cibernéticos deste Ministério. Art. 33. No que se refere ao acesso à Internet, cada usuário deverá: I - utilizar os recursos de forma a proteger a organização de qualquer risco legal, regulatório, operacional ou de reputação; II - não compartilhar suas credenciais de acesso; III - não acessar websites ou objetos com conteúdo inadequado ou ilegal; e IV - estar ciente de suas responsabilidades pelo uso apropriado da Internet e de que o uso dela está sujeito a registro e pode ser monitorado de acordo com as exigências das leis e dos regulamentos aplicáveis. Computação em Nuvem Art. 34. O uso de aplicativos e a contratação de serviços em nuvem deverá assegurar que toda a cadeia de suprimentos de TIC, baseada em provedores de serviços no ambiente de computação em nuvem, seja avaliada por todos os aspectos de segurança para proteger dados, metadados, informações e conhecimentos produzidos ou custodiados pelo Ministério de Minas e Energia, incluindo o cumprimento da legislação e regulamentação nacional e estrangeira, o gerenciamento de identidades, o monitoramento e auditoria regulares e as restrições de localizações geográficas. Mídias Sociais Art. 35. Os critérios, limitações e responsabilidades no uso institucional das mídias sociais, será regido por norma específica, em conformidade com esta Política e demais orientações governamentais e legislação em vigor. Seção VII Dos controles de acesso Art. 36. Todo usuário de informação que faça uso dos recursos de Tecnologia da Informação e Comunicação do Ministério de Minas e Energia deverá possuir uma conta de acesso único e intransferível, que permita seu reconhecimento individual de maneira inequívoca, e cujos concessão e gerenciamento serão regulamentados em norma específica associada. Art. 37. A concessão e a revogação dos privilégios de acesso às informações ficam atribuídas ao agente responsável pelo tratamento dos dados sob a sua tutela, considerando sempre o princípio do menor privilégio. Art. 38. O controle de acesso aos ativos de informação e às áreas e instalações deve ser implantado nos níveis físico e lógico, conforme procedimentos estabelecidos pelas áreas competentes. Seção VIII Da gestão de riscos Art. 39. A gestão de riscos em segurança da informação e proteção de dados deverá observar a legislação em vigor, e no que couber, as disposições da Política de Gestão de Riscos do Ministério de Minas e Energia. Art. 40. O processo de gestão de riscos em segurança da informação deverá fornecer uma estrutura consistente de gerenciamento por meio da qual os riscos relacionados às funções, ativos da informação e aos processos críticos possam ser identificados, avaliados, monitorados e tratados mediante sistemas de revisão, controle e garantia. Seção IX Da gestão de continuidade Art. 41. O Ministério de Minas e Energia deve estabelecer um Programa de Gestão de Continuidade de Negócio - PGCN, em Segurança da Informação e Proteção de Dados visando a reduzir a possibilidade de interrupção causada por desastres ou falhas nos recursos de Tecnologia da Informação e Comunicação que suportam as operações do Ministério. Art. 42. O PGCN deve prever a recuperação de perdas de ativos de informação em nível aceitável, por intermédio de ações de resposta a incidentes e recuperação de desastres. Art. 43. O processo de gestão de continuidade de negócios deve se basear no PGCN, estruturado a partir da análise e avaliação dos riscos de Segurança da Informação identificados e da prioridade de recuperação dos processos de negócio. Art. 44. Toda e qualquer solução, sistema, aplicação e/ou serviço crítico do Ministério de Minas e Energia deverá estar suportado pelo Programa de Gestão de Continuidade de Negócio. Seção X Da auditoria e conformidade Art. 45. O uso dos recursos de Tecnologia da Informação e Comunicação disponibilizados pelo Ministério de Minas e Energia é passível de monitoramento e auditoria, incluindo a análise regular de registros de eventos [log] com aplicação, sempre que viável, de softwares utilitários específicos para monitoramento do uso de sistemas computacionais. Art. 46. Sempre que possível, deverão ser implementados e mantidos mecanismos que permitam a rastreabilidade dos recursos de TIC por meio de estratégias como: trilhas de auditoria, rastreamento, acompanhamento, controle e verificação de acessos para todos os sistemas corporativos e rede corporativa. Art. 47. Como medida de preservação de evidências, sempre que tecnicamente possível, todo e qualquer ativo de informação deverá ser configurado para armazenar registros históricos de registros de eventos (log) em formato que permita a completa identificação dos fluxos de dados e das operações de seus usuários e/ou administradores. Parágrafo único. Esses registros devem ser armazenados pelo período mínimo de seis meses, sem prejuízo de outros prazos previstos em normativos específicos e os ativos de informação devem ser configurados de forma a armazenar seus registros de eventos [log] não apenas localmente, como também remotamente, por meio de tecnologia aplicável. CAPÍTULO IV DAS COMPETÊNCIAS E ESTRUTURA DE GESTÃO Art. 48. A estrutura de Gestão de Segurança da Informação do Ministério de Minas e Energia possui a seguinte composição: I - Alta administração: representada pela autoridade máxima do Ministério de Minas e Energia ou o seu substituto nomeado oficialmente, responsável por fornecer os recursos necessários para assegurar o desenvolvimento e a implementação da Gestão de Segurança da Informação e adotar as decisões acerca do tratamento das informações e dos dados vinculados à atuação institucional do Ministério; II - Subsecretaria de Tecnologia e Inovação: unidade responsável pela gestão da informação e proteção de dados em meio eletrônico no âmbito do Ministério de Minas e Energia, apoia as unidades na definição de procedimentos para proteção de suas informações e seus dados, monitora e avalia as práticas de segurança da informação e coordena ações de conscientização e treinamento bem como de tratamento de incidentes de segurança da informação, promove ações para viabilizar a aderência do Ministério às normas, boas práticas e controles de segurança cibernética, aplicáveis a seus ativos de informação, considerando as suas competências institucionais previstas no Decreto nº 11.492, de 17 de abril de 2023; III - Comitê de Governança Digital - CGD/MME: órgão colegiado de natureza consultiva e deliberativa e de caráter permanente, de cunho estratégico e executivo, instituído para deliberar sobre assuntos relativos à Governança Digital e às ações, aos programas, às políticas e aos projetos de Tecnologia da Informação e Comunicação no âmbito do Ministério de Minas e Energia, conforme competências estabelecidas na Portaria MME nº 784, de 6 de maio de 2024; IV - Comitê de Segurança da Informação e da Comunicação - CSIC/MME: colegiado responsável por tratar de assuntos relacionados à segurança da informação nos ambientes convencionais e de TIC e a cibersegurança das infraestruturas críticas, no âmbito do Ministério de Minas e Energia, conforme competências estabelecidas na Portaria MME nº 784, de 6 de maio de 2024, considerado como estrutura equivalente àquela prevista no art. 20 da Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020; V - Gestor de Segurança da Informação: servidor formalmente designado para exercer as competências definidas no art. 19 da Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020; VI - Dirigente de Unidade ou Subunidade: responsável por conscientizar servidores, demais colaboradores e terceiros em relação aos conceitos e às práticas de segurança da informação bem como incorporá-las aos processos de trabalho da unidade. Em caso de comprometimento da segurança da informação, devem tomar medidas administrativas para que sejam adotadas ações corretivas em tempo hábil; VII - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR/MME: responsável por receber, analisar e responder às notificações e atividades relacionadas a incidentes cibernéticos no âmbito do Ministério de Minas e Energia, prevista no art. 22 da Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e regulamentada pela Norma Complementar nº 05/IN01/DSIC/GSIPR; e VIII - Servidores, demais Colaboradores e Terceiros: qualquer pessoa que tenha acesso a informações e dados do Ministério de Minas e Energia, responsável pela segurança da informação dos ativos a que tenha acesso. Art. 49. Quanto à composição normativa, a gestão de segurança da informação do Ministério de Minas e Energia obedece à seguinte estrutura: I - política (nível estratégico): documento que define objetivos, princípios e diretrizes de alto nível que traduzem a visão estratégica do órgão nessa temática e orientam a elaboração de normas, procedimentos e ações de segurança da informação e proteção de dados; II - normas (nível tático): especificam, no plano tático, as regras, as escolhas tecnológicas e os controles que deverão ser implementados para execução dos objetivos e das diretrizes oriundas da Política de Segurança da Informação, dotando-a de instrumentos de implementação; e III - procedimentos (nível operacional): instrumentalizam o disposto nas normas, orientando e direcionando sua aplicação. CAPÍTULO V DAS PENALIDADES Art. 50. Ações que violem a Política Corporativa de Segurança da Informação do Ministério de Minas e Energia caracterizam infração funcional e poderão acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e penais, assegurado aos envolvidos o contraditório e a ampla defesa. CAPÍTULO VI DA ATUALIZAÇÃO E REVISÃO Art. 51. A Política de Segurança da Informação do Ministério de Minas e Energia deverá ser revisada em função de alterações na legislação pertinente, das diretrizes superiores do Governo Federal, de alterações nos normativos internos, quando considerada necessária ou no prazo máximo de quatro anos, a contar da data de sua publicação, mediante proposição do Comitê de Segurança da Informação e Comunicações. Art. 52. O Comitê de Segurança da Informação e Comunicações poderá expedir normas complementares associadas à POSIN-MME, no âmbito de sua competência regimental, visando a detalhar particularidades e procedimentos relativos à sua implementação no âmbito do Ministério de Minas e Energia. Art. 53. Incumbe à Subsecretaria de Tecnologia e Inovação expedir e gerir os procedimentos de nível operacional que instrumentalizam o disposto nas normas complementares e nesta Política. CAPÍTULO VII DAS DISPOSIÇÕES FINAIS Art. 54. Esta Política de Segurança da Informação e suas atualizações deverão ser divulgadas amplamente a todos os servidores, demais colaboradores e terceiros do Ministério de Minas e Energia, ainda que sua atuação no Órgão seja temporária, a fim de promover sua observância e seu conhecimento bem como a formação da cultura de segurança da informação. Art. 55. É responsabilidade de todos os gestores do Ministério de Minas e Energia promover o conhecimento e a disseminação desta Política e demais normas associadas à segurança da informação aos servidores, demais colaboradores e terceiros sob a sua gestão. Art. 56. É vedada a utilização dos recursos de tecnologia da informação disponibilizados pelo Ministério para acesso, guarda e divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente. Art. 57. São vedados o uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo Ministério. Art. 58. É vedada a divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários. Art. 59. É vedada a exploração de eventuais vulnerabilidades de processos e ativos digitais de informação, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 60. As unidades organizacionais do Ministério de Minas e Energia devem promover ações de treinamento e conscientização para que os seus colaboradores entendam suas responsabilidades e procedimentos voltados à segurança da informação e à proteção de dados. Parágrafo único. A conscientização, a capacitação e a sensibilização em segurança da informação devem ser adequadas aos papéis e responsabilidades dos colaboradores. Art. 61. Os casos omissos e as dúvidas sobre a POSIN-MME e seus complementos devem ser submetidas ao Comitê de Segurança da Informação e das Comunicações do Ministério de Minas e Energia. Art. 62. As referências normativas citadas neste documento devem ser consideradas em sua versão vigente, na data de publicação da Política. Caso venham a ser atualizadas ou substituídas, recomenda-se a adoção da versão mais recente, salvo disposição em contrário. Art. 63. Fica revogada a Portaria MME nº 679, de 29 de dezembro de 2014. Art. 64. Esta Portaria entra em vigor na data de sua publicação. ALEXANDRE SILVEIRA