DOU 30/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025123000057 57 Nº 248, terça-feira, 30 de dezembro de 2025 ISSN 1677-7042 Seção 1 Art. 8º Ao usuário de informação é assegurado o mínimo acesso aos recursos necessários para realizar uma dada tarefa. Art. 9º A POSI-MGI e suas atualizações, bem como normas específicas de segurança da informação e privacidade do Ministério da Gestão e da Inovação em Serviços Públicos deverão ser divulgadas amplamente a todos os usuários de informação a fim de promover sua observância, bem como a formação da cultura de segurança da informação e privacidade. § 1º Os usuários de informação devem ser continuamente capacitados nos procedimentos de segurança e privacidade e no uso correto dos ativos de informação quando da realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da informação e privacidade. § 2º As ações de capacitação de que trata o §1º devem ser conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre segurança da informação, observados os direitos autorais. Art. 10. Os editais de licitação e contratos de solução de tecnologia da informação com o Ministério da Gestão e da Inovação em Serviços Públicos deverão conter cláusula específica sobre: I - a obrigatoriedade de atendimento à POSI-MGI; e II - a exigência de termo de responsabilidade e termo de confidencialidade. Parágrafo único. Ato da autoridade titular da Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados disporá acerca dos termos de responsabilidade e termo de confidencialidade de que trata o inciso II do caput. CAPÍTULO II DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO Art. 11. A estrutura de Gestão de Segurança da Informação é composta por: I - alta administração do Ministério da Gestão e da Inovação em Serviços Públicos; II - Comitê de Governança Digital e Segurança da Informação, instituído pela Portaria MGI nº 3.844, de 28 de julho de 2023; III - Gestor de Segurança da Informação; IV - Gestor de Tecnologia da Informação e Comunicação; V - Encarregado pelo Tratamento de Dados Pessoais; VI - responsável pela Unidade de Controle Interno; VII - Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos; e VIII - usuários de informação. Art. 12. À alta administração do Ministério da Gestão e da Inovação em Serviços Públicos compete fornecer os recursos necessários para assegurar o desenvolvimento e a implementação da Gestão de Segurança da Informação e o tratamento das ações e decisões de segurança da informação em um nível de relevância e prioridade adequados. Art. 13. No que se refere à segurança da informação compete ao Comitê de Governança Digital e Segurança da Informação: I - assessorar na implementação das ações de segurança da informação; II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação; III - propor alterações na POSI-MGI; IV - propor normas internas relativas à segurança da informação; e V - deliberar sobre os assuntos ministeriais relativos à Política Nacional de Segurança da Informação - PNSI. Art. 14. Ao Gestor de Segurança da Informação compete: I - coordenar o Comitê de Governança Digital e Segurança da Informação nas deliberações relacionadas à segurança da informação; II - coordenar a elaboração da POSI-MGI e das normas internas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos, observadas a legislação vigente e as melhores práticas sobre o tema; III - assessorar a alta administração na implementação da POSI-MGI; IV - estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação; V - promover a divulgação da política e das normas internas de segurança da informação do órgão a todos os servidores, usuários e prestadores de serviços que trabalham no Ministério da Gestão e da Inovação em Serviços Públicos; VI - incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à segurança da informação; VII - propor recursos necessários às ações de segurança da informação; VIII - acompanhar os trabalhos da Equipe de Tratamento e Resposta a Incidentes Cibernéticos; IX - verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação; X - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; e XI - manter contato direto com o Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos à segurança da informação. Parágrafo único. O Gestor de Segurança da Informação será designado em ato da autoridade máxima do Ministério da Gestão e da Inovação em Serviços Públicos, dentre servidores públicos efetivos ou empregados públicos com formação ou capacitação técnica compatível com as atribuições previstas no caput. Art. 15. Ao Gestor de Tecnologia da Informação e Comunicação compete planejar, implementar e melhorar continuamente os controles de privacidade e segurança da informação em soluções de tecnologia da informação e comunicações, considerando a cadeia de suprimentos relacionada à solução, observado o disposto na Portaria SGD/ME nº 778, de 4 de abril de 2019. Art. 16. Ao Encarregado pelo Tratamento de Dados Pessoais compete conduzir o diagnóstico de privacidade e orientar, no que couber, os gestores proprietários dos ativos de informação, responsáveis pelo planejamento, implementação e melhoria contínua dos controles de privacidade em ativos de informação que realizem o tratamento de dados pessoais ou dados pessoais sensíveis, observado o disposto na Lei nº 13.709, de 14 de agosto de 2018, e demais normativos e orientações emitidas pela Autoridade Nacional de Proteção de Dados - ANPD. Art. 17. Ao responsável pela unidade de controle interno compete apoiar, supervisionar e monitorar as atividades desenvolvidas pela primeira linha de defesa, de que trata a Instrução Normativa CGU nº 3, de 9 de junho de 2017. Art. 18. À Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos compete: I - facilitar, coordenar e executar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos no Ministério da Gestão e da Inovação em Serviços Públicos; II - monitorar as redes computacionais; III - detectar e analisar ataques e intrusões; IV - tratar incidentes de segurança da informação; V - identificar vulnerabilidades e artefatos maliciosos; VI - recuperar sistemas de informação; VII - promover a cooperação com outras equipes, bem como participar de fóruns e redes relativas à segurança da informação; VIII - apoiar a condução de políticas de segurança cibernética e da informação; IX - realizar ações voltadas para o fortalecimento da resiliência cibernética do Ministério da Gestão e da Inovação em Serviços Públicos; X - comunicar ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov a ocorrência de incidentes cibernéticos com a maior brevidade possível; e XI - manter registro histórico de incidentes cibernéticos e vulnerabilidades que permitam a geração de dados estatísticos. Parágrafo único. Ato da autoridade titular da Secretaria de Serviços Compartilhados do Ministério da Gestão e da Inovação em Serviços Públicos disporá acerca da Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos de que trata o caput. Art. 19. Aos usuários de informação compete observar a POSI-MGI e as demais normas específicas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos. Parágrafo único. Os usuários de informação são responsáveis pela segurança dos ativos de informação que estejam sob a sua responsabilidade e devem comunicar às Unidades Gestoras, às áreas de segurança pertinentes ou diretamente ao Gestor de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos quando tiver conhecimento de tratamento de dados e informações em desconformidade com o disposto nesta Portaria. CAPÍTULO III DA GESTÃO DA SEGURANÇA DA INFORMAÇÃO Art.20. A POSI-MGI e demais normativos decorrentes desta Política integram o arcabouço normativo da Gestão de Segurança da Informação. Art. 21. A Gestão da Segurança da Informação é constituída, no mínimo, pelos seguintes processos: I - tratamento da informação; II - segurança física e do ambiente; III - gestão de incidentes em segurança da informação; IV - gestão de ativos; V - gestão do uso dos recursos operacionais e de comunicações, tais como e-mail, acesso à internet, mídias sociais e computação em nuvem; VI - controles de acesso; VII - gestão de riscos; VIII - gestão de continuidade; IX - gestão de mudanças; e X - auditoria e conformidade. § 1º O Comitê de Governança Digital e Segurança da Informação poderá definir outros processos de gestão de segurança da informação, desde que alinhados aos princípios e às diretrizes da POSI-MGI e destinados à implementação de ações de segurança da informação. § 2º Para cada um dos processos que constituem a Gestão de Segurança da Informação, deve ser observada a pertinência de elaboração de políticas, normas, procedimentos, orientações ou manuais que disciplinem ou facilitem o seu entendimento em conformidade com a legislação vigente e boas práticas de segurança de informação e privacidade. Art. 22. As políticas, normas, procedimentos, orientações ou manuais de que trata o art. 21, §2º, devem abordar, no mínimo, aspectos relacionados a: I - conformidade com as diretrizes dispostas na Lei nº 13.709, de 14 de agosto de 20218, e demais normativos e orientações emitidas pela ANPD; II - classificação da informação de acordo com seu nível de confidencialidade e criticidade, entre outros fatores, com vistas a determinar os controles de segurança adequados; III - proteção dos dados contra acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; IV - uso aceitável da informação e a utilização de mídias de armazenamento; V - entrada e saída de ativos de informação das instalações do Ministério da Gestão e da Inovação em Serviços Públicos; VI - perímetros de segurança do Ministério da Gestão e da Inovação em Serviços Públicos; VII - controles de acesso baseados no princípio do menor privilégio; VIII - etapas de identificação, contenção, erradicação e recuperação e atividades pós incidente; IX - critérios para a comunicação de incidentes aos titulares de dados pessoas e à ANPD; X - Plano de Gestão de Incidentes de Segurança, de forma a considerar diferentes cenários; XI - Política de Gestão de Ativos do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do ColaboraGov; XII - utilização adequada dos recursos operacionais e de comunicações fornecidos pelo Ministério da Gestão e da Inovação em Serviços Públicos, em conformidade com os princípios éticos e profissionais; XIII - procedimentos para o uso de e-mail, o envio de informações confidenciais, a instalação de software antivírus e a abertura de anexos de e-mail; XIV - acesso à internet, o download de arquivos da internet, vedado o uso de sites inadequados e a instalação de software não autorizado; XV - uso de mídias sociais, a divulgação de informações nas mídias sociais, o uso de contas pessoais para fins profissionais e a interação com estranhos nas mídias sociais; XVI - políticas e procedimentos para o uso da computação em nuvem, a seleção de provedores de serviços em nuvem, a segurança dos dados na nuvem e a conformidade com as leis e regulamentos aplicáveis; XVII - políticas e procedimentos para o controle de acesso, tais como: a) o uso de Múltiplo Fator de Autenticação - MFA; b) controles de autorização, baseados no princípio do menor privilégio; c) controles de segregação de funções; e d) trilhas de auditoria, rastreamento, acompanhamento, controle e verificação de acessos para os ativos de informação do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do ColaboraGov, desligamento ou afastamento de colaboradores e parceiros que utilizam ou operam os ativos de informação; XVIII - políticas e procedimentos para a gestão dos riscos de segurança da informação que possam afetar seus ativos de informação; XIX - políticas e procedimentos para Gestão de Continuidade de Negócios da organização, incluindo o Plano de Continuidade para garantir que o Ministério da Gestão e da Inovação em Serviços Públicos e órgãos solicitantes do ColaboraGov possam continuar suas atividades em caso de um incidente de segurança da informação e a realização de testes e exercícios periódicos baseados no Plano de Continuidade para garantir sua eficácia; XX - políticas e procedimentos para a Gestão de Mudanças nos ativos de informação do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do ColaboraGov, respaldado pelas informações dos relatórios de avaliação e tratamento de risco de segurança da informação, com a designação de papéis e responsabilidades para a avaliação, aprovação e implementação de mudanças e a criação de um processo formal para solicitação e documentação de mudanças; e XXI - políticas e procedimentos para a auditoria e conformidade do Ministério da Gestão e da Inovação em Serviços Públicos , abordando o Plano de Verificação de Conformidade, que considere as unidades abrangidas, os aspectos para verificação da conformidade, as ações e atividades a serem realizadas, os documentos necessários para a fundamentação da verificação de conformidade e as responsabilidades e o Relatório de Avaliação de Conformidade, que considere o detalhamento das ações e das atividades com identificação do responsável, o parecer de conformidade e as recomendações. § 1º Para os fins do disposto no inciso XI do caput, devem ser abordados aspectos relacionados a: I - proteção dos ativos e sua classificação de acordo com a criticidade do ativo para o Ministério da Gestão e da Inovação em Serviços Públicos e para os órgãos solicitantes do ColaboraGov; II - manutenção de inventário atualizado de ativos do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do ColaboraGov, contendo o tipo de ativo, sua localização, seu proprietário ou custodiante e seu status de segurança; III - uso aceitável de ativos, vedado o uso para fins particulares de seu responsável; IV - mapeamento de vulnerabilidades, ameaças e suas respectivas interdependências; o monitoramento de ativos, de acordo com os princípios legais de segurança da informação e privacidade; e