DOU 18/02/2026 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026021800268 268 Nº 32, quarta-feira, 18 de fevereiro de 2026 ISSN 1677-7042 Seção 1 XII - harmonizar a proteção de dados pessoais e o acesso à informação, assegurando o cumprimento da LGPD e da LAI de forma integrada, com a publicidade como regra e o sigilo como exceção, respeitada a devida classificação da informação; XIII - fortalecer a governança institucional e a credibilidade pública do COFFITO, promovendo transparência, conformidade normativa e confiança dos profissionais e da sociedade. Seção IV Dos Princípios e Diretrizes Art. 6º As ações de segurança da informação do COFFITO são norteadas pelos princípios constitucionais e administrativos que regem a Administração Pública, bem como pelos seguintes princípios: I - Disponibilidade: assegurar que as informações, sistemas e serviços estejam acessíveis e utilizáveis quando necessários por usuários autorizados; II - Integridade: preservar a exatidão, completude e confiabilidade das informações, prevenindo alterações, destruições ou perdas não autorizadas ou acidentais; III - Confidencialidade: assegurar que a informação seja acessada apenas por usuários, sistemas ou entidades devidamente autorizados; IV - Autenticidade: assegurar a comprovação da identidade, origem e autoria das informações, bem como de suas alterações; V - Não Repúdio: impedir que autores de ações, comunicações ou transações neguem posteriormente sua participação; VI - Privacidade e Sigilo: proteger dados pessoais e informações sensíveis, preservando os direitos fundamentais previstos na Constituição Federal, na Lei Geral de Proteção de Dados e nas demais legislações aplicáveis; VII - Transparência: assegurar publicidade como regra, e sigilo como exceção, conforme a LAI e regulamentações internas; VIII - Rastreabilidade: possibilitar a identificação e o registro de acessos, alterações e operações realizadas em informações e sistemas, de forma a permitir auditoria, responsabilização e controle; IX - Proporcionalidade: adotar medidas de segurança de forma equilibrada, de modo a proteger as informações sem comprometer a eficiência administrativa ou criar restrições excessivas ao interesse público; X - Economicidade: aplicar os recursos destinados à segurança da informação de forma eficiente, racional e alinhada aos objetivos institucionais; XI - Educação e Comunicação: promover cultura permanente de segurança da informação por meio de capacitação, sensibilização e comunicação interna. Art. 7º As ações de segurança da informação devem: I - alinhar-se aos objetivos estratégicos e aos planos institucionais do CO F F I T O ; II - ser tratadas de forma integrada, respeitando as especificidades das unidades; III - ser proporcionais aos riscos existentes, ao ambiente, ao valor e à criticidade da informação; IV - priorizar a prevenção de incidentes e a mitigação de vulnerabilidades. Art. 8º A gestão de segurança da informação deve ser contínua, dinâmica e alinhada à evolução tecnológica, considerando fatores internos e externos que possam impactar o alcance dos objetivos institucionais. Art. 9º Os investimentos em segurança da informação devem ser dimensionados de acordo com o valor do ativo, a sensibilidade da informação envolvida e os riscos potenciais para o COFFITO. Art. 10. Toda informação gerada, custodiada, manipulada, utilizada ou armazenada no COFFITO compõe seus ativos de informação e deve ser protegida conforme normas vigentes. Parágrafo único. As informações que trafeguem pelo ambiente computacional do COFFITO estão sujeitas a monitoramento e auditoria, observados os limites legais. Art. 11. Pessoas e sistemas devem operar com menor privilégio e mínimo acesso necessário ao desempenho de suas atividades. Parágrafo único. O acesso aos recursos de tecnologia da informação exige assinatura de Termo de Responsabilidade, preferencialmente eletrônico, com ciência das obrigações e penalidades decorrentes. Art. 12. A Política de Segurança da Informação e suas atualizações, bem como normas específicas de segurança da informação do COFFITO, devem ser divulgadas amplamente a todos os Usuários de Informação, a fim de promover sua observância, seu conhecimento, bem como a formação da cultura de segurança da informação. Parágrafo único. Os usuários de informação devem ser continuamente capacitados nos procedimentos de segurança e no uso correto dos ativos de informação quando da realização de suas atribuições, de modo a mitigar possíveis riscos à segurança da informação. Art. 13. Os contratos de prestação de serviços, convênios e instrumentos congêneres firmados pelo COFFITO deverão incluir cláusulas específicas que assegurem a observância desta Política e das normas complementares de segurança da informação. Parágrafo único. Quando houver tratamento de dados pessoais por terceiros em nome do COFFITO, estes atuarão como operadores, devendo observar integralmente esta Política, a LGPD e as orientações do COFFITO, na condição de controlador. CAPÍTULO II DA CLASSIFICAÇÃO DAS INFORMAÇÕES Seção I Das Disposições Gerais Art. 14. As informações produzidas, recebidas, armazenadas, tratadas ou custodiadas pelo COFFITO deverão ser classificadas de acordo com seu grau de sensibilidade, criticidade, valor institucional e requisitos legais, observadas as diretrizes desta Política e das normas complementares. Art. 15. A classificação da informação tem por finalidade: I - assegurar níveis adequados de proteção à confidencialidade, integridade, disponibilidade e autenticidade das informações; II - orientar a aplicação proporcional de controles de segurança; III - subsidiar decisões de acesso, armazenamento, compartilhamento, retenção e descarte; IV - harmonizar a proteção da informação com a publicidade como regra e o sigilo como exceção, nos termos da LAI. Seção II Dos Níveis de Classificação da Informação Art. 16. As informações do COFFITO deverão ser classificadas, no mínimo, nos seguintes níveis: I - Informação Pública: informação cujo acesso é franqueado ao público em geral, nos termos da Lei nº 12.527/2011, ressalvadas as hipóteses legais de restrição; II - Informação de Uso Interno: informação destinada ao uso exclusivo no âmbito interno do COFFITO, cujo acesso é restrito a usuários autorizados; III - Informação Restrita ou Sigilosa: informação cujo acesso é limitado, em razão de seu conteúdo sensível, estratégico ou protegido por legislação específica, incluindo dados pessoais, dados sensíveis e informações protegidas por sigilo legal. Parágrafo único. A classificação da informação deverá observar a legislação vigente, em especial a Lei de Acesso à Informação, a Lei Geral de Proteção de Dados Pessoais e demais normas aplicáveis. Art. 17. A classificação da informação deverá considerar, no mínimo: I - o impacto institucional em caso de acesso, alteração, perda ou divulgação indevida; II - a presença de dados pessoais ou dados pessoais sensíveis, nos termos da LGPD; III - requisitos legais, regulatórios ou contratuais aplicáveis; IV - o valor estratégico, operacional ou histórico da informação. Seção III Da Responsabilidade pela Classificação Art. 18. A responsabilidade pela classificação da informação compete: I - ao gestor da unidade que produziu ou detém a informação; II - ao custodiante da informação, no âmbito de suas atribuições; III - ao Gestor de Segurança da Informação, quando necessário, para fins de orientação técnica. Art. 19. Os níveis de classificação da informação, bem como os respectivos critérios, controles e responsabilidades, serão definidos em norma complementar específica, aprovada conforme a governança de segurança da informação do CO F F I T O. Art. 20. A classificação da informação deverá ser registrada, sempre que aplicável, nos sistemas, documentos ou metadados correspondentes, de forma a permitir sua adequada identificação, tratamento e controle. Parágrafo único. A responsabilidade pela correta classificação da informação é do gestor do processo ou do custodiante do ativo de informação, conforme definido nas normas internas. Seção IV Da Revisão e Reavaliação da Classificação Art. 21. A classificação da informação deverá ser revisada periodicamente ou sempre que houver alteração relevante no contexto institucional, tecnológico ou legal. Art. 22. A desclassificação ou reclassificação da informação deverá observar os mesmos critérios técnicos e legais adotados para a classificação inicial. Seção V Das Normas Complementares Art. 23. Os critérios detalhados, procedimentos operacionais, fluxos e responsabilidades específicos relativos à classificação da informação serão disciplinados em normas complementares, manuais ou procedimentos internos, aprovados conforme a governança de segurança da informação do COFFITO. Parágrafo único. As normas complementares deverão observar os princípios e diretrizes desta Política, podendo ser atualizadas sempre que necessário, sem prejuízo da validade desta PSI. CAPÍTULO III DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES Seção I Da Estrutura de Governança de Segurança da Informação Art. 24. A Gestão de Segurança da Informação no COFFITO é estruturada pelas seguintes instâncias e papéis: I - Alta Administração; II - Comitê Interno de Segurança da Informação; III - Gestor de Segurança da Informação; IV - Usuários de Informação. Parágrafo único. Para fins desta Política, considera-se Alta Administração o conjunto formado pelo Plenário e pela Diretoria do COFFITO, nos termos da legislação e do Regimento Interno. Seção II Das Competências e Arranjos Operacionais Art. 25. Compete à Alta Administração: I - designar, dentre os empregados efetivos do COFFITO, o Gestor de Segurança da Informação, assegurando que a escolha recaia em profissional com perfil, competência técnica e autonomia compatíveis com a responsabilidade do cargo; II - instituir o Comitê Interno de Segurança da Informação; III - assegurar mecanismos adequados para a prevenção, o tratamento e a resposta a incidentes de segurança da informação e incidentes cibernéticos, observada a capacidade institucional do COFFITO e o disposto em normas complementares; IV - promover ações de capacitação e profissionalização dos recursos humanos em temas relacionados à segurança da informação; V - patrocinar, priorizar e assegurar os recursos humanos, tecnológicos, financeiros e organizacionais necessários ao desenvolvimento, implementação, manutenção e melhoria contínua da Gestão de Segurança da Informação do COFFI T O, garantindo que as ações e decisões relacionadas ao tema recebam o tratamento com a relevância e prioridade compatíveis com sua importância para a governança institucional e a credibilidade da Autarquia; VI - aprovar a Política de Segurança da Informação do COFFITO, bem como suas alterações e atualizações, zelando pela sua conformidade com as legislações vigentes, com as recomendações dos órgãos de controle e com as melhores práticas nacionais e internacionais em segurança da informação; VII - apoiar e promover a ampla divulgação da Política e das normas internas de segurança da informação, assegurando que tais instrumentos sejam disponibilizados de forma clara, acessível e tempestiva a todos os empregados, usuários, prestadores de serviço e demais partes interessadas, de modo a garantir o conhecimento, a adesão e a efetiva aplicação de suas diretrizes; VIII - fomentar a cultura organizacional de segurança da informação, estimulando a conscientização, o engajamento e o compromisso de todos os níveis hierárquicos com a proteção das informações sob responsabilidade do COFFITO; IX - supervisionar a execução da Política de Segurança da Informação, mediante análise de relatórios, auditorias, indicadores de desempenho e planos de ação; X - garantir a integração da gestão de riscos de segurança da informação à governança de riscos institucional, assegurando planos de continuidade das atividades institucionais críticas e resposta a incidentes; XI - apreciar e acompanhar os resultados dos trabalhos de auditoria relacionados à gestão de segurança da informação; XII - determinar a adoção das medidas administrativas e corretivas cabíveis, nos casos de violação da segurança da informação, observadas a legislação vigente, as normas internas aplicáveis e o devido processo legal; XIII - exercer outras competências relacionadas à segurança da informação e à proteção de dados pessoais que, por sua relevância institucional, lhe sejam atribuídas pela legislação, por esta Política ou por deliberação da própria Alta Administração. Art. 26. O Comitê Interno de Segurança da Informação possui caráter consultivo, propositivo e estratégico, competindo-lhe: I - assessorar a Alta Administração; II - propor diretrizes, prioridades e planos de ação; III - acompanhar resultados e indicadores; IV - analisar e propor normas internas de segurança da informação, submetendo-as à aprovação da Alta Administração. § 1º O Comitê não executa atividades operacionais rotineiras. § 2º A composição, estrutura, recursos e funcionamento do Comitê Interno de Segurança da Informação será definido em ato administrativo próprio, de acordo com a legislação vigente. § 3º O Comitê Interno de Segurança da Informação deverá registrar atas de suas reuniões e manter arquivados planos de ação, pareceres e relatórios técnicos, observados os critérios de classificação da informação, assegurando a rastreabilidade, a transparência e a publicidade interna de suas deliberações. Art. 27. Compete ao Gestor de Segurança da Informação coordenar, supervisionar e acompanhar a implementação da Política de Segurança da Informação, atuando como instância técnica de articulação entre as unidades, sem prejuízo das atribuições operacionais dos setores responsáveis. Parágrafo único. As atividades operacionais, técnicas e executivas serão desempenhadas pelas unidades competentes, cabendo ao Gestor de Segurança da Informação o acompanhamento, a orientação técnica e a consolidação das informações necessárias à governança da segurança da informação.