DOU 30/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025123000058 58 Nº 248, terça-feira, 30 de dezembro de 2025 ISSN 1677-7042 Seção 1 V - investigação de sua operação e uso quando houver indícios de quebra de segurança ou privacidade. § 2º Para os fins do disposto no inciso XVIII do caput, devem ser abordados: I - a análise do ambiente do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do ColaboraGov, dos seus ativos de informação e das ameaças à segurança da informação; II - a adoção de uma metodologia estruturada para identificar riscos; III - a documentação dos riscos identificados, incluindo sua descrição, origem, impacto potencial e probabilidade de ocorrência; IV - a avaliação de riscos, de forma a determinar o risco a se concretizar e o impacto potencial nos ativos de informação, bem como quais riscos devem ser priorizados para tratamento; e V - o tratamento dos riscos identificados e avaliados, o que pode incluir a mitigação de riscos, por meio da implementação de controles de segurança, ou a aceitação de riscos. Art. 23. Os órgãos de assistência direta e imediata e órgãos singulares da estrutura do Ministério da Gestão e da Inovação em Serviços Públicos devem realizar periodicamente auditorias internas de sua segurança da informação para assegurar que ela esteja em conformidade com a POSI-MGI e com outros requisitos de segurança da informação aplicáveis. Art. 24. As atividades, produtos e serviços desenvolvidos no Ministério da Gestão e da Inovação em Serviços Públicos devem estar em conformidade com requisitos de privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes. Art. 25. São vedadas as seguintes condutas: I - utilização dos recursos de tecnologia da informação disponibilizados pelo Ministério da Gestão e da Inovação em Serviços Públicos para acesso, guarda e divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente; II - uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo Ministério da Gestão e da Inovação em Serviços Públicos; III - divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários; e IV - exploração de eventuais vulnerabilidades, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 26. As denúncias de violação a POSI-MGI podem ser comunicadas ao Gestor de Segurança da Informação e feitas através dos canais disponibilizados na página de segurança da informação, na Intranet. CAPÍTULO IV DISPOSIÇÕES FINAIS Art. 27. O cumprimento da POSI-MGI, bem como dos normativos que a complementam devem ser avaliados periodicamente pelo Ministério da Gestão e da Inovação em Serviços Públicos, por meio de verificações de conformidade, buscando a certificação do cumprimento dos requisitos de segurança da informação e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres. Art. 28. A não observância do disposto na POSI-MGI, bem como em seus instrumentos normativos correlatos sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e civil, assegurados o contraditório e a ampla defesa. Art. 29. A POSI-MGI será revisada periodicamente, pelo menos a cada quatro anos, ou com mais frequência, se necessário, para refletir as mudanças no ambiente do Ministério da Gestão e da Inovação em Serviços Públicos, nos riscos à segurança da informação e nas melhores práticas de segurança da informação. Art. 30. As dúvidas sobre a POSI-MGI devem ser submetidas ao Comitê de Governança Digital e Segurança da Informação. Art. 31. Ficam revogadas: I - a Portaria ME nº 218, de 19 de maio de 2020; II - a Portaria ME nº 2.800, de 1º de abril de 2022; e III - a Portaria ME nº 5.827, de 18 de maio de 2021. Art. 32. Esta Portaria entra em vigor na data de sua publicação. CILAIR RODRIGUES DE ABREU PORTARIA MGI Nº 10.035, DE 29 DE DEZEMBRO DE 2025 Dispõe sobre as diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos. O MINISTRO DE ESTADO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS SUBSTITUTO, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto nos art. 9º e art. 24 da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, na Portaria MGI Nº 10.033, de 29 de dezembro de 2025, e no processo 18001.000873/2025-34, resolve: Objeto e âmbito de aplicação Art. 1º Esta Portaria dispõe sobre as diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos, com a finalidade de promover alta disponibilidade e melhoria do desempenho das soluções de Tecnologia da Informação - TI, baseando-se nos princípios de segurança da informação. Parágrafo único. O disposto nesta Portaria aplica-se a: I - órgãos de assistência direta e imediata e órgãos singulares da estrutura do Ministério da Gestão e da Inovação em Serviços Públicos; II - órgãos solicitantes do ColaboraGov, de que trata o Decreto nº 11.837, de 21 de dezembro de 2023, que utilizem o serviço de nuvem a que se refere o caput; e III - agentes públicos e colaboradores que sejam usuários dos sistemas e serviços de TI do Ministério da Gestão e da Inovação em Serviços Públicos ou dos ativos de TI que suportam a respectiva rede. Definições Art. 2º Para os fins do disposto nesta Portaria, consideram-se: I - ambiente de computação em nuvem ou ambiente de nuvem - modelo computacional que permite acesso por demanda, independentemente da localização, a um conjunto compartilhado de recursos configuráveis de computação, tais como rede de computadores, servidores, armazenamento, aplicativos e serviços, provisionados com esforços mínimos de gestão ou de interação com o provedor de serviços; II - ativos de informação - meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; III - ColaboraGov - modelo centralizado de prestação de serviços de suporte administrativo, de forma organizada e padronizada, para órgãos da administração pública federal direta, nos termos do disposto no art. 3º, § 1º, do Decreto nº 11.837, de 21 de dezembro de 2023; IV - escritório digital - plataforma para trabalho colaborativo do Ministério da Gestão e da Inovação em Serviços Públicos, cujo objetivo é facilitar a gestão do trabalho e a interação entre os membros da equipe, independentemente de onde as pessoas estejam, inclusive fora das dependências do órgão, a partir de ativos de informação; e V - provedor de serviços de nuvem - ente, público ou privado, que fornece uma plataforma, infraestrutura, aplicativo, serviços de armazenamento ou ambientes de tecnologia da informação baseados em nuvem. Diretrizes gerais Art. 3º São diretrizes para o uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos: I - a continuidade dos negócios; II - a interoperabilidade dos dados na execução de políticas públicas; III - a prontidão no suporte às iniciativas do Governo Digital; IV - a otimização dos custos de infraestrutura e serviços; e V - a redução do tempo para a disponibilização de recursos. Utilização e migração de soluções de TI Art. 4º Fica autorizada a utilização e a migração de soluções de TI para o ambiente de computação em nuvem pelo Ministério da Gestão e da Inovação em Serviços Públicos. Parágrafo único. As diretrizes de governança, segurança, controle de acesso, definição de perfis de acesso e as condições mínimas de infraestrutura e sistema do ambiente informatizado do Ministério da Gestão e da Inovação em Serviços Públicos são válidas, no que se aplicar, ao ambiente de nuvem. Contratações Art. 5º Na aquisição de serviços ou produtos de infraestrutura de computação deve ser priorizada a solução de ambiente em nuvem, salvo quando demonstrada sua inviabilidade técnica ou econômica em estudo técnico preliminar da contratação, observadas as diretrizes estabelecidas pelo órgão central do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP. § 1º A contratação de soluções de computação em nuvem de que trata o caput busca: I - garantir benefícios de capacidade, segurança e eficiência em tecnologia para o Ministério da Gestão e da Inovação em Serviços Públicos; e II - cumprir as metas e os objetivos do Planejamento Estratégico Institucional e do Plano Diretor de Tecnologia da Informação do Ministério da Gestão e da Inovação em Serviços Públicos. § 2º Os novos sistemas de TI serão hospedados, preferencialmente, em ambiente de computação em nuvem. Tratamento das informações no ambiente de nuvem Art. 6º O tratamento de informações digitais no ambiente de computação em nuvem deve observar os princípios da Política de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos - POSI/MGI e as demais normas específicas de segurança da informação do Ministério e do Gabinete de Segurança Institucional da Presidência da República. Art. 7º Antes de transferir serviços ou dados para um provedor de serviço de nuvem, devem ser observadas, no mínimo, as seguintes condições: I - garantir que estejam alinhadas à legislação brasileira e aos direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros as seguintes operações: a) de coleta, armazenamento, guarda e tratamento de registros de dados pessoais; e b) de comunicações realizada por provedores de conexão e de aplicações de internet, em que pelo menos um desses atos ocorra em território nacional; II - realizar o gerenciamento de riscos, precedido por análise e relatório de impacto de dados pessoais, em conformidade com a legislação, dos seguintes itens: a) o tipo de informação a ser migrada; b) o fluxo de tratamento dos dados que podem ser afetados com a adoção da solução; c) o valor dos ativos envolvidos; e d) os benefícios da adoção de uma solução de computação em nuvem, em relação aos riscos de segurança e privacidade referentes à disponibilização de informações e serviços a um terceiro; III - definir o modelo de serviço e de implementação de computação em nuvem que será adotado; IV - avaliar quais informações serão hospedadas na nuvem, considerando: a) o processo de classificação da informação de acordo com a legislação; b) o valor do ativo de informação; c) os controles de acessos físico e lógico relativos à segurança da informação; e d) o modelo de serviço e de implementação de computação em nuvem; V - definir as medidas de mitigação de riscos e de custos para a implementação de solução de computação em nuvem e para possibilidade de crescimento dessa solução; e VI - planejar custos de migração das informações e dos serviços, nos casos de ingresso e de saída do serviço de computação em nuvem. Parágrafo único. A unidade custodiante da informação deve analisar a necessidade de criptografar as informações constantes nos sistemas migrados para um ambiente de nuvem, com base nos requisitos legais, nos riscos, no nível de criticidade, nos custos e nos benefícios. Art. 8º Em relação ao tratamento da informação em ambiente de computação em nuvem devem ser observadas as seguintes diretrizes: I - a informação sem restrição de acesso poderá ser tratada em ambiente de nuvem, considerada a legislação e os riscos de segurança da informação; II - a informação classificada em grau de sigilo e documento preparatório que possa originar informação classificada não poderão ser tratados em ambiente de computação em nuvem; e III - poderão ser tratados em ambiente de computação em nuvem, observados os riscos de segurança da informação e a legislação vigente: a) a informação com restrição de acesso prevista na legislação; b) o material de acesso restrito regulado pelo Ministério da Gestão e da Inovação em Serviços Públicos; c) a informação pessoal relativa à intimidade, vida privada, honra e imagem, nos termos do disposto na Lei nº 13.709, de 14 de agosto de 2018; e d) o documento preparatório não previsto no inciso II do caput. Parágrafo único. O disposto no caput aplica-se aos documentos e arquivos compartilhados ou armazenados no escritório digital, bem como aos eventuais anexos às mensagens transmitidas via correio eletrônico corporativo do Ministério da Gestão e da Inovação em Serviços Públicos. Armazenamento no ambiente em nuvem em outros países Art. 9º O armazenamento em nuvem de dados e informações produzidos ou custodiados pelo Ministério da Gestão e da Inovação em Serviços Públicos em outros países deverá seguir as diretrizes estabelecidas pelo Gabinete de Segurança Institucional da Presidência da República. Parágrafo único. Para fins do tratamento de dados pessoais, deve ser observado o disposto na Lei nº 13.709, de 14 de agosto de 2018. Responsabilidades Art. 10. Ao Gestor de Segurança da Informação compete: I - supervisionar a aplicação das diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos previstos nesta Portaria; II - assegurar a contínua efetividade da comunicação com o provedor de serviço de nuvem, que fornece tais serviços ao Ministério da Gestão e da Inovação em Serviços Públicos e aos órgãos solicitantes do ColaboraGov, de forma a assegurar que os controles e os níveis de serviço acordados sejam cumpridos; III - supervisionar a aplicação das medidas de correção pelo provedor de serviço de nuvem, em casos de eventuais desvios; e IV - comunicar incidentes cibernéticos informados pelo provedor de serviço de nuvem aos órgãos competentes para os seus tratamentos, conforme a relevância dos incidentes previamente estabelecida.