DOU 18/02/2026 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026021800267 267 Nº 32, quarta-feira, 18 de fevereiro de 2026 ISSN 1677-7042 Seção 1 Considerando que tais informações estão sujeitas a riscos decorrentes de incidentes naturais, falhas técnicas, vulnerabilidades cibernéticas, acessos indevidos, erros operacionais, extravio, perda, destruição ou divulgação não autorizada, exigindo a adoção de controles adequados de prevenção, detecção, resposta e recuperação; Considerando o crescimento de incidentes cibernéticos em âmbito nacional e internacional, que demandam processos de trabalho estruturados e contínuos voltados à governança, à gestão de riscos e à proteção da informação; Considerando a importância de estabelecer diretrizes, regras e responsabilidades internas relacionadas à segurança da informação, promovendo a cultura organizacional de proteção de dados e de uso seguro e responsável dos recursos tecnológicos; Considerando a necessidade de estabelecer diretrizes e padrões que assegurem a proteção das informações do COFFITO, em meios digitais e físicos, de forma controlada, eficiente e segura, garantindo sua integridade, confidencialidade, disponibilidade, autenticidade e privacidade, em conformidade com as legislações vigentes, com as boas práticas de governança, gestão de riscos e segurança da informação, de modo a atender às demandas institucionais, aos profissionais de Fisioterapia e de Terapia Ocupacional e à sociedade; Considerando a Portaria-COFFITO nº 303/2024, que instituiu a Comissão Gestora de Dados, definiu os agentes de tratamento de dados pessoais no âmbito do COFFITO e atribuiu ao Ouvidor a função de Encarregado pelo Tratamento de Dados Pessoais, com apoio do Departamento Jurídico; resolve: POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO COFFITO CAPÍTULO I DAS DISPOSIÇÕES GERAIS Seção I Do Escopo Art. 1º Fica instituída a Política de Segurança da Informação (PSI), que tem por objetivo estabelecer princípios, diretrizes e responsabilidades para garantir a proteção das informações sob a custódia do Conselho Federal de Fisioterapia e Terapia Ocupacional (COFFITO). Art. 2º Esta Política aplica-se a todos os processos, sistemas, serviços e ativos de informação do COFFITO, independentemente do meio ou forma de armazenamento. Art. 3º O disposto neste instrumento aplicar-se-á a todos os conselheiros, empregados, assessores, estagiários, jovens aprendizes e, quando pertinente, a terceiros e a quaisquer outras pessoas que prestem serviços ao COFFITO e que tenham acesso a qualquer informação ou comunicação, obrigando-os ao cumprimento de suas diretrizes para manuseio, tratamento, controle, proteção das informações e conhecimentos produzidos, armazenados ou transmitidos pelos sistemas de informação ou por meio de outros recursos. § 1º Os contratos, convênios e instrumentos congêneres conterão cláusulas específicas que imponham aos contratados e convenentes a obrigação de observarem o disposto nesta PSI, para o exercício de suas atividades no âmbito do COFFITO. § 2º Os termos aditivos dos contratos, convênios e instrumentos congêneres, celebrados após a aprovação desta PSI, deverão incluir cláusulas específicas que imponham aos contratados e convenentes a obrigação de observarem o disposto nesta Política. Seção II Dos Conceitos e Definições Art. 4º Os conceitos e definições adotados nesta Política têm como referência prioritária o Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República, podendo ser complementados por normas técnicas, guias oficiais e boas práticas reconhecidas, quando necessário à adequada compreensão do texto. I - Segurança da Informação: ações que têm como objetivo viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações; II - Informação: dados, processados ou não, que podem ser utilizados para produção e para transmissão de conhecimento, contidos em qualquer meio, suporte ou formato; III - Ativos de Informação: meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; IV - Disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão ou entidade devidamente autorizados; V - Integridade: propriedade que assegura que a informação não seja modificada ou destruída de forma não autorizada ou acidental; VI - Confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não autorizados; VII - Autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade; VIII - Termo de Responsabilidade: termo assinado pelo usuário, concordando em contribuir com a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações a que tiver acesso, bem como assumir responsabilidades decorrentes de tal acesso; IX - Risco: possibilidade de ocorrência de um evento que pode impactar o cumprimento dos objetivos. Pode ser mensurado em termos de impacto e de probabilidade; X - Ameaça: conjunto de fatores externos com o potencial de causar dano para um sistema ou organização; XI - Vulnerabilidade: condição que, quando explorada por um criminoso cibernético, pode resultar em uma violação de segurança cibernética dos sistemas computacionais ou redes de computadores, e consiste na interseção de três fatores: suscetibilidade ou falha do sistema, acesso possível à falha e capacidade de explorar essa falha; XII - Tratamento da Informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação; XIII - Gestão de Riscos em Segurança da Informação: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificação, avaliação e gerenciamento de potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos; XIV - Gestão de Incidentes Cibernéticos: processo que realiza ações sobre qualquer evento adverso relacionado à segurança cibernética dos sistemas ou da infraestrutura de computação; XV - Gestão de Segurança da Informação: processo que visa integrar atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e organizacional aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação; XVI - Gestor de Segurança da Informação: responsável pelas ações de segurança da informação no âmbito do COFFITO; XVII - Comitê Interno de Segurança da Informação: grupo de pessoas com a responsabilidade de assessorar a implementação das ações de segurança da informação no âmbito do COFFITO; XVIII - Gestão de Mudanças nos Aspectos Relativos à Segurança da Informação: processo estruturado que visa aumentar a probabilidade de sucesso em mudanças, com mínimos impactos, e assegurar a disponibilidade, integridade, confidencialidade e autenticidade da informação; XIX - Gestão de Continuidade em Segurança da Informação: processo que identifica ameaças potenciais para o COFFITO e os possíveis impactos nas funções e processos institucionais essenciais, caso essas ameaças se concretizem, fornecendo estrutura para o desenvolvimento da resiliência organizacional; XX - Usuário de Informação: pessoa física autorizada pelo COFFITO a acessar seus ativos de informação, incluindo empregados públicos, conselheiros, membros de comissões, prestadores de serviços, estagiários ou quaisquer outros colaboradores, ainda que sem vínculo empregatício, sujeita às responsabilidades previstas nesta Política e nas normas internas aplicáveis; XXI - Custodiante da Informação: pessoa física ou unidade organizacional que detenha responsabilidade formal por proteger a informação sob sua guarda e por aplicar controles de segurança, conforme as exigências comunicadas pelo proprietário da informação e pelas normas internas aplicáveis; XXII - Acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique; XXIII - Trilha de Auditoria: registro ou conjunto de registros gravados em arquivos de log ou outro tipo de documento ou mídia, que possam indicar, de forma cronológica e inequívoca, o autor e a ação realizada em determinada operação, procedimento ou evento; XXIV - Dado Pessoal: informação relacionada à pessoa natural identificada ou identificável; XXV - Titular do Dado: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento; XXVI - Criptografia: arte de proteção da informação, por meio de sua transformação em um texto cifrado (criptografado), com o uso de uma chave de cifragem e de procedimentos computacionais previamente estabelecidos, a fim de que somente o(s) possuidor(es) da chave de decifragem possa(m) reverter o texto criptografado de volta ao original (texto pleno). A chave de decifragem pode ser igual (criptografia simétrica) ou diferente (criptografia assimétrica) da chave de cifragem; XXVII - Incidente de Segurança: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores; XXVIII - Direito de Acesso: privilégio associado a um cargo, pessoa ou processo, para ter acesso a um ativo; XXIX - Backup: conjunto de procedimentos que permitem salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada; XXX - Dispositivos Móveis: equipamentos portáteis, dotados de capacidade de processamento, ou dispositivos removíveis de memória para armazenamento, entre os quais se incluem, não se limitando a estes: e-books, notebooks, netbooks, smartphones, tablets, pendrives, USB drives, HD externo, e cartões de memória; XXXI - Recurso Criptográfico: sistema, programa, processo, equipamento isolado ou em rede, que utiliza algoritmo simétrico ou assimétrico para realizar cifração ou decifração; XXXII - Computação em Nuvem: modelo de fornecimento e entrega de tecnologia de informação que permite acesso conveniente e sob demanda a um conjunto de recursos computacionais configuráveis, sendo que tais recursos podem ser provisionados e liberados com mínimo gerenciamento ou interação com o provedor do serviço de nuvem; XXXIII - Metadados: representam "dados sobre dados", fornecendo os elementos necessários para compreender as informações. São registros estruturados que oferecem uma descrição concisa do conteúdo armazenado, possibilitando sua localização, gerenciamento, interpretação e preservação ao longo do tempo. Desempenham papel fundamental na gestão da informação, pois viabilizam o processamento, a atualização e a consulta dos registros. Informações acerca da forma como foram criados ou derivados, do ambiente em que se encontram ou se encontravam, das modificações realizadas, entre outros aspectos, são obtidas por meio dos metadados; XXXIV - Spam: prática, muitas vezes associada a atividades maliciosas como phishing e disseminação de malware. A ênfase é na natureza não solicitada e no potencial de risco à segurança; XXXV - Phishing: é um tipo de fraude na qual o golpista tenta obter informações pessoais e financeiras do usuário, combinando meios técnicos e engenharia social. Do inglês "fishing", é uma analogia criada pelos golpistas, em que "iscas" (mensagens eletrônicas) são usadas para "pescar" informações de usuários; XXXVI - Plano de Continuidade em Segurança da Informação: documento que estabelece diretrizes, procedimentos e informações necessárias para assegurar a continuidade das atividades institucionais críticas e a proteção dos ativos de informação essenciais do COFFITO, em nível previamente definido, em situações de incidentes ou interrupções relevantes; XXXVII - Plano de Recuperação de Serviços Essenciais: documento que define os procedimentos e as informações necessárias para o restabelecimento controlado e progressivo dos serviços e das atividades institucionais críticas do COFFITO após a ocorrência de incidentes ou interrupções. Seção III Dos Objetivos Art. 5º A Política de Segurança da Informação do COFFITO tem por objetivos específicos: I - alinhar a gestão da segurança da informação às normas nacionais e internacionais aplicáveis, em especial à Política Nacional de Segurança da Informação (Decreto nº 12.572/2025), à Estratégia Nacional de Cibersegurança (Decreto nº 12.573/2025), às Instruções Normativas GSI/PR, à Lei Geral de Proteção de Dados Pessoais - LGPD (Lei nº 13.709/2018), à Lei de Acesso à Informação - LAI (Lei nº 12.527/2011) e às normas ABNT NBR ISO/IEC 27001:2022 e 27002:2022; II - apoiar a conformidade em auditorias internas e externas, em alinhamento com a Controladoria Interna do COFFITO, a Controladoria-Geral da União (CGU), o Tribunal de Contas da União (TCU) e a Autoridade Nacional de Proteção de Dados (ANPD); III - proteger a imagem institucional e a confiança pública no COFFITO, prevenindo riscos reputacionais decorrentes de incidentes de segurança ou falhas de proteção da informação; IV - promover a cultura de segurança da informação no âmbito do COFFITO, mediante capacitação contínua, campanhas de conscientização e disseminação de boas práticas de uso dos ativos de informação; V - implementar e manter o processo de gestão de riscos de segurança da informação, abrangendo identificação, análise, avaliação, tratamento e monitoramento permanente de ameaças e vulnerabilidades; VI - proteger as informações institucionais produzidas ou recebidas pelo COFFITO, em qualquer formato ou meio, assegurando sua confidencialidade, integridade, autenticidade e disponibilidade; VII - disciplinar o tratamento e a resposta a incidentes de segurança, garantindo comunicação tempestiva, mitigação de impactos, investigação adequada e prevenção de recorrências; VIII - assegurar interoperabilidade segura com os Conselhos Regionais de Fisioterapia e Terapia Ocupacional (CREFITOs) e com demais órgãos públicos, mediante padrões e controles de segurança consistentes; IX - garantir a continuidade dos serviços críticos do COFFITO, por meio de estratégias, planos de contingência e exercícios periódicos de recuperação e resiliência; X - assegurar a rastreabilidade e a auditoria das informações, garantindo registro, monitoramento e responsabilização pelos acessos e operações realizadas em sistemas, redes e documentos; XI - garantir a inclusão de requisitos de segurança da informação em contratos, convênios e demais instrumentos firmados pelo COFFITO, de forma a estender a proteção também a fornecedores e terceiros que tratem informações da Autarquia;