DOU 17/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025121700046 46 Nº 240, quarta-feira, 17 de dezembro de 2025 ISSN 1677-7042 Seção 1 Art. 25. A Coordenação-Geral de Tecnologia e Gestão da Informação deve configurar o bloqueio automático de sessão nos ativos após um período de inatividade preestabelecido. Tal prazo pode ser específico para cada tipo de ativo. Art. 26. A Coordenação-Geral de Tecnologia e Gestão da Informação deve, sempre que possível, priorizar a revogação/desativação de contas com o objetivo de manter dados e logs para possíveis auditorias. CAPÍTULO VIII ACESSO FÍSICO Art. 27. O Incra deve definir perímetros de segurança para proteger ambientes e ativos contra acesso físico não autorizado, danos e interferências de acordo com as diretrizes a seguir: I - definir a localização e resistência dos perímetros de acordo com os requisitos de segurança da informação relacionados aos ativos que se encontre dentro dos perímetros; II - proteger os ambientes seguros contra acessos não autorizados por meio de mecanismos de controle de acesso, como fechaduras tradicionais ou digitais, que possibilitem autenticação por biometria, senhas, PINs ou cartões de acesso. Sendo assim: a) o Incra deve executar testes nos mecanismos de controle de acesso em períodos pré-definidos para assegurar a funcionalidade total do equipamento; b) os mecanismos de controle de acesso devem ser monitorados pela Coordenação-Geral de Tecnologia e Gestão da Informação. III - estabelecer uma área de recepção ou outros meios de controle de acesso físico a ambientes que não for conveniente a implementação de mecanismos de controle de acesso. Art. 28. O acesso físico a ambientes seguros ou ativos de tratamento e armazenamento de dados do Incra é destinado apenas a pessoal autorizado. Art. 29. O Incra deve manter um processo de gestão de acessos para fornecimento, revisão periódica, atualização e revogação das autorizações. Art. 30. O Incra deve implementar e manter seguro logs ou registro físico de todos os acessos aos ativos de informação. Art. 31. O acesso a ambientes seguros ou ativos de tratamento e armazenamento de dados por fornecedores ou prestadores de serviços será concedido somente quando necessário e de acordo com as seguintes diretrizes: I - para fins específicos e autorizados; II - autorização concedida pela Coordenação-Geral de Tecnologia e Gestão da Informação; III - supervisionado e monitorado. Art. 32. Os ativos de armazenamento e tratamento de dados que se encontrem fora do Incra devem ser protegidos contra perda, roubos, danos e acesso físico não autorizados conforme as seguintes diretrizes: I - não deixar o ativo sem vigilância em locais públicos e inseguros; II - proteger o ativo contra riscos associados a visualização de informações por outra pessoa; III - implementar as funcionalidades de rastreamento e limpeza remota. Art. 33. O Incra deve estabelecer uma política ou normativo equivalente sobre a gestão de mídias de armazenamento, de acordo com as seguintes diretrizes: I - exigir autorização para a saída de mídias de armazenamento do Incra; II - armazenar mídias em local seguro de acordo com a classificação de suas informações; III - criptografar as mídias de acordo com a classificação de suas informações; IV - manter cópias de segurança de mídias de acordo com a classificação de suas informações. Art. 34. O Incra deve elaborar política, ou normativo equivalente, que defina condições e restrições pertinentes ao acesso físico nos dispositivos de trabalho remoto, levando em consideração as seguintes diretrizes: I - segurança física do local de trabalho remoto; II - regras e orientações quanto ao acesso de familiares e visitantes ao dispositivo. CAPÍTULO IX MOVIMENTAÇÃO INTERNA Art. 35. Quando houver mudança do usuário para outra unidade ou o usuário ocupar uma nova função, os direitos de acesso à Rede Local devem ser revogados, sendo que: I - o novo superior imediato deve realizar a solicitação de novos acessos de acordo com nova unidade/função do usuário; II - os direitos de acesso antigos devem ser imediatamente cancelados, conforme solicitação do antigo superior imediato. CAPÍTULO X CONTA DE ACESSO BIOMÉTRICO Art. 36. A conta de acesso biométrico, quando implementada, deve ser vinculada a uma conta de acesso lógico e ambas devem ser utilizadas para se obter um acesso, a fim de atender os conceitos da autenticação de multifatores (MFA). Parágrafo único. O Incra deverá tratar seus respectivos dados biométricos como dados sigilosos, preferencialmente, utilizando-se de criptografia, na forma da legislação vigente. CAPÍTULO XI A D M I N I S T R A D O R ES Art. 37. A utilização de identificação (login) com acesso no perfil de administrador é permitida somente para usuários cadastrados para execução de tarefas específicas na administração de ativos de informação. Sendo que: I - somente os técnicos da Coordenação-Geral de Tecnologia e Gestão da Informação, devidamente identificados e habilitados, terão senha com privilégio de administrador nos equipamentos locais e na rede; II - na necessidade de utilização de login com privilégio de administrador do equipamento local, o usuário deverá encaminhar solicitação para a Coordenação-Geral de Tecnologia e Gestão da Informação, que poderá negar os casos em que entender desnecessária a utilização; III - se concedida a permissão ao usuário como administrador local na estação de trabalho, esse será responsável por manter a integridade da máquina, não podendo instalar, desinstalar ou remover qualquer programa sem autorização formal da Coordenação-Geral de Tecnologia e Gestão da Informação; IV - caso constatada a irregularidade, o usuário perderá o acesso como administrador, não mais podendo requerer outra permissão; V - a identificação (login) com privilégio de administrador nos equipamentos locais será fornecida em caráter provisório, podendo ser renovada por solicitação formal do titular da unidade requisitante; VI - salvo para atividades específicas da área responsável pela gestão da tecnologia da informação do órgão, não será concedida, para um mesmo usuário, identificação (login) com privilégio de administrador para mais de uma estação de trabalho, ou para acesso a equipamentos servidores e a dispositivos de rede; VII - excepcionalmente, poderão ser concedidas identificações (login) de acesso à rede de comunicação de dados a visitante em caráter temporário após apreciação do superior imediato, por meio do Recursos Humanos; VIII - a Coordenação-Geral de Tecnologia e Gestão da Informação deve implementar o MFA para todas as contas de administrador; IX - a Coordenação-Geral de Tecnologia e Gestão da Informação deve restringir os privilégios de administrador a contas de administrador dedicados nos ativos de informação, para que o usuário com privilégio de administrador não consiga realizar atividades gerais de computação, como navegação na Internet, e-mail e uso do pacote de produtividade, estas atividades deverão ser realizadas preferencialmente a partir da conta primária não privilegiada do usuário; X - ao tratar dados pessoais a Coordenação-Geral de Tecnologia e Gestão da Informação observar o princípio do privilégio mínimo como regra, para garantir que o usuário receba apenas os direitos mínimos necessários para executar suas atividades, para tanto podem ser realizadas as seguintes ações: a) remover os direitos de administrador nos dispositivos finais; b) remover todos os direitos de acesso root e admin aos servidores e utilizar tecnologias que permitam a elevação granular de privilégios conforme a necessidade, ao mesmo tempo em que fornecem recursos claros de auditoria e monitoramento; c) eliminar privilégios permanentes (privilégios que estão "sempre ativos") sempre que possível; d) limitar a associação de uma conta privilegiada ao menor número possível de pessoas; e) minimizar o número de direitos para cada conta privilegiada. CAPÍTULO XII R ES P O N S A B I L I DA D ES Art. 38. É de responsabilidade do superior imediato do usuário comunicar formalmente aos Recursos Humano e à Coordenação-Geral de Tecnologia e Gestão da Informação o desligamento ou saída do usuário do Incra, para que as permissões de acesso à Rede Local sejam canceladas. Art. 39. Caberá aos Recursos Humanos do Incra a criação, desbloqueio e revogação de permissões de acesso aos recursos via automação. Art. 40. É responsabilidade dos Recursos Humanos do Incra a comunicação imediata à Coordenação-Geral de Tecnologia e Gestão da Informação sobre desligamentos, férias e licenças de funcionários de empresas prestadoras de serviços, para que seja efetuado o bloqueio momentâneo ou revogação definitiva da permissão de acesso aos recursos. Ademais: I - os serviços serão filtrados por programas de antivírus, anti-phishing e anti-spam e, caso violem alguma regra de configuração, serão bloqueados ou excluídos automaticamente; II - nenhum usuário do Incra terá acesso ao conteúdo das informações armazenadas nos equipamentos servidores do Instituto sem autorização da unidade competente. Art. 41. É de responsabilidade da Coordenação-Geral de Tecnologia e Gestão da Informação o monitoramento da utilização de serviços de rede e de acesso à Internet, podendo ainda exercer fiscalização nos casos de apuração de uso indevido desses recursos, bem como bloquear, temporariamente, sem aviso prévio, a estação de trabalho que esteja realizando atividade que coloque em risco a segurança da rede, até que seja verificada a situação e descartada qualquer hipótese de dano à infraestrutura tecnológica do Incra. Art. 42. O usuário é responsável por todos os acessos realizados através de sua conta de acesso e por possíveis danos causados à Rede Local e a recursos de tecnologia custodiados ou de propriedade do Incra, logo: I - o usuário é responsável pela integridade e utilização de sua estação de trabalho, devendo, no caso de sua ausência temporária do local onde se encontra o equipamento, bloqueá-lo ou desconectar-se da estação, para coibir acessos indevidos; II - a utilização simultânea da conta de acesso à Rede Local em mais de uma estação de trabalho ou notebook deve ser evitada, sendo responsabilidade do usuário titular da conta de acesso os riscos que a utilização paralela implica; III - o usuário não poderá, em hipótese alguma, transferir ou compartilhar com outrem sua conta de acesso e respectiva senha à Rede Local. Art. 43. O usuário deve informar à Coordenação-Geral de Tecnologia e Gestão da Informação qualquer situação da qual tenha conhecimento que configure violação de sigilo ou que possa colocar em risco a segurança inclusive de terceiros. Art. 44. É dever de o usuário zelar pelo uso dos sistemas informatizados, tomando as medidas necessárias para restringir ou eliminar riscos para a Instituição, a saber: I - não permitir a interferência externa caracterizada como invasão, monitoramento ou utilização de sistemas por terceiros, e outras formas; II - evitar sobrecarga de redes, de dispositivos de armazenamento de dados ou de outros, para não gerar indisponibilidade de informações internas e externas; III - interromper a conexão aos sistemas e adotar medidas que bloqueiem o acesso de terceiros, sempre que completarem suas atividades ou quando se ausentarem do local de trabalho por qualquer motivo; IV - não se conectar a sistemas e não buscar acesso a informações para as quais não lhe tenham sido dadas senhas e/ou autorização de acesso; V - não divulgar a terceiros ou a outros usuários dispositivos ou programas de segurança existentes em seus equipamentos ou sistemas; VI - utilizar corretamente os equipamentos de informática e conservá-los conforme os cuidados e medidas preventivas estabelecidas; VII - não divulgar suas senhas e nem permitir que terceiros tomem conhecimento delas, reconhecendo-as como pessoais e intransferíveis; VIII - assinar o Termo de Responsabilidade (Modelo - Anexo I) quanto a utilização da respectiva conta de acesso. CAPÍTULO XIII DISPOSIÇÕES GERAIS Art. 45. Os incidentes que afetem a segurança das informações, assim como o descumprimento da Política de Segurança da Informação - PoSIC e Normas de Segurança, devem ser obrigatoriamente comunicados pelos usuários à Coordenação- Geral de Tecnologia e Gestão da Informação. Art. 46. Quando houver suspeita de quebra da segurança da informação que exponha ao risco os serviços ou recursos de tecnologia, a Coordenação-Geral de Tecnologia e Gestão da Informação fará a investigação, podendo interromper temporariamente o serviço afetado, sem prévia autorização, e considerando que: I - nos casos em que o ator da quebra de segurança for um usuário, a Coordenação-Geral de Tecnologia e Gestão da Informação comunicará os resultados ao superior imediato do mesmo para adoção de medidas cabíveis; II - ações que violem a PoSIC, ou que quebrem os controles de Segurança da Informação, serão passíveis de sansões civis, penais e administrativas, conforme a legislação em vigor, que podem ser aplicadas isoladamente ou cumulativamente; III - processo administrativo disciplinar específico deverá ser instaurado para apurar as ações que constituem em quebra das diretrizes impostas por esta Norma e pela PoSIC; IV - a resolução de casos de violação/transgressões omissos nas legislações correlatas será resolvida pelo Comitê de Segurança da Informação - CSI do Incra. Art. 47. Esta Portaria entra em vigor na data de sua publicação. CÉSAR FERNANDO SCHIAVON ALDRIGHI ANEXO Modelo de Termo de Responsabilidade SERVIÇO PÚBLICO FEDERAL Instituto Nacional de Colonização e Reforma Agrária - Incra TERMO DE RESPONSABILIDADE Pelo presente instrumento, eu ____, CPF _, identidade __, expedida pelo __, em _, e lotado no(a)_______deste Ministério, DECLARO , sob pena das sanções cabíveis nos termos da ____ (legislação vigente) que assumo a responsabilidade por: I - tratar o(s) ativo(s) de informação como patrimônio do Instituto Nacional de Colonização e Reforma Agrária - Incra; II - utilizar as informações em qualquer suporte sob minha custódia, exclusivamente, no interesse do serviço do Incra;