DOMAM 03/09/2026 - Diario Oficial dos Municipios do Amazonas

TEXTO OFICIAL · ÍNTEGRA

Amazonas , 03 de Setembro de 2026 • Diário Oficial Eletrônico dos Municípios do Estado do Amazonas • ANO XVIII | Nº 4185

§8º A violação das regras aqui estabelecidas poderá ensejar responsabilização do servidor ou prestador de serviço, conforme previsto nesta Política e na legislação vigente.

DOS PROCEDIMENTOS DE BACKUP

Art. 13. O HUMAITAPREV deverá manter procedimentos de backup que garantam a integridade, disponibilidade e recuperação tempestiva dos dados e sistemas informatizados, em conformidade com os princípios da segurança da informação e com as exigências da Lei Geral de Proteção de Dados Pessoais – LGPD.

§1º Os backups deverão ser realizados de forma automatizada, com periodicidade definida por política interna, preferencialmente fora do horário comercial.

§2º As cópias de segurança deverão ser armazenadas em locais seguros, com proteção contra incêndio, umidade, acesso não autorizado e falhas de equipamento, inclusive em ambientes distintos do local de produção dos dados.

§3º Os procedimentos de backup deverão prever:

I – a integridade e o versionamento dos dados copiados;

II – a identificação clara das mídias e arquivos gerados;

III – a guarda em local com controle de acesso físico, conforme normas técnicas da ABNT;

IV – a realização de testes periódicos de restauração (restore), com registros documentais dos resultados;

V – a confidencialidade dos dados pessoais eventualmente incluídos nos backups, com mecanismos de criptografia e acesso restrito. §4º A área de Tecnologia da Informação será responsável por:

I – manter inventário atualizado das mídias e registros de backup;

II – definir e aplicar os prazos de retenção conforme o grau de criticidade da informação e a legislação vigente;

III – promover a substituição periódica das mídias de armazenamento, conforme recomendações técnicas;

IV – controlar os acessos às cópias de segurança e assegurar a rastreabilidade.

§5º Em caso de falha no processo de backup ou de restauração, o responsável técnico deverá realizar nova execução assim que sanado o problema, priorizando os sistemas críticos e comunicando o incidente à autoridade competente.

§6º A inobservância das normas de backup configura infração grave à Política de Segurança da Informação e poderá acarretar responsabilização administrativa, civil e/ou penal do agente envolvido.

DA PRIVACIDADE DA INFORMAÇÃO

Art. 14. O HUMAITAPREV assegura o respeito à privacidade dos dados pessoais e sensíveis sob sua guarda, em conformidade com a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).

§1º A coleta, o tratamento, o armazenamento e o compartilhamento de dados pessoais devem observar:

I - a finalidade específica e legítima;

II - a necessidade mínima dos dados para atingir a finalidade proposta; III - o livre acesso dos titulares às informações que lhes digam respeito;

IV - a qualidade e exatidão dos dados armazenados;

V - a transparência no tratamento de dados, respeitados os segredos institucionais e comerciais;

VI - a segurança dos dados contra acessos não autorizados e situações acidentais ou ilícitas.

§2º O acesso às informações e dados pessoais será restrito a pessoas devidamente autorizadas e capacitadas, com registro formal de autorização.

§3º Toda informação tratada no âmbito do HUMAITAPREV é considerada patrimônio institucional e deverá ser protegida, inclusive após o término do vínculo do servidor ou colaborador com a autarquia.

§4º O compartilhamento de dados pessoais com terceiros exige autorização da Diretoria Executiva ou base legal definida pela LGPD, devendo ser precedido de avaliação de risco e celebração de instrumentos contratuais com cláusulas específicas de proteção de dados.

DO MONITORAMENTO E DA AUDITORIA

Art. 15. O HUMAITAPREV poderá adotar mecanismos de monitoramento e auditoria em seus ambientes físicos e digitais, com o objetivo de garantir o cumprimento desta Política, assegurar a integridade dos ativos de informação, prevenir incidentes de segurança e promover a responsabilização de agentes infratores. §1º Os acessos a redes, sistemas, e-mails, aplicativos, dispositivos móveis, recursos em nuvem e demais infraestruturas tecnológicas poderão ser monitoradas, registrados e auditados com base em critérios técnicos previamente definidos pela área de Tecnologia da Informação e validados pela Comissão de Segurança da Informação. §2º O monitoramento deverá observar rigorosamente os princípios da legalidade, proporcionalidade, necessidade, finalidade e transparência, garantindo-se o respeito à privacidade individual e à proteção de dados pessoais, conforme a Lei nº 13.709/2018 – LGPD.

§3º A auditoria técnica de sistemas, equipamentos, ambientes, acessos e processos poderá ser realizada:

I - periodicamente, conforme plano anual de auditoria de segurança da informação;

II - extraordinariamente, em caso de incidentes, falhas, denúncias ou suspeitas de violação de segurança; III - por demanda da Controladoria Interna, da Comissão de Segurança da Informação ou da Diretoria Executiva;

IV - por exigência de órgãos de controle, fiscalização ou auditoria externa.

§4º Os relatórios de auditoria e os logs de acesso deverão ser armazenados em ambiente seguro, com controle de integridade e acesso restrito, respeitando os prazos legais e os critérios definidos na política de classificação e temporalidade da informação.

§5º As evidências de uso indevido, falhas, condutas inadequadas ou violações de segurança identificadas em auditorias deverão ser formalmente registradas e encaminhadas às instâncias competentes, podendo ensejar abertura de processo administrativo disciplinar, comunicação à autoridade de proteção de dados ou à autoridade policial, conforme a gravidade do caso.

§6º A critério da área técnica e da Comissão de Segurança da Informação, poderão ser utilizados sistemas de correlação de eventos, inteligência artificial ou soluções automatizadas de análise comportamental e detecção de anomalias, desde que observadas as salvaguardas legais de proteção à privacidade.

Parágrafo único. As atividades de monitoramento e auditoria deverão ser detalhadas em norma interna complementar e serão realizadas com base em plano formal, auditável, com registros rastreáveis, preservando-se o equilíbrio entre o controle institucional e os direitos fundamentais do usuário. As atividades de monitoramento e auditoria serão regulamentadas em instrumento normativo complementar, garantindo-se o equilíbrio entre o controle institucional e os direitos individuais.

DAS COMPETÊNCIAS DO RESPONSÁVEL PELA GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Art. 16. O HUMAITAPREV deverá designar formalmente um servidor responsável pela gestão da segurança da informação, que atuará como ponto focal para as ações de proteção dos ativos informacionais e de conformidade com esta Política.

§1º Compete ao responsável pela gestão da segurança da informação: a) prover todas as informações relativas à Gestão de Segurança da Informação no âmbito da unidade gestora do HUMAITAPREV;

b) garantir a ampla divulgação desta Política e das normas complementares para todos os servidores e prestadores de serviços; c) promover ações contínuas de conscientização sobre segurança da informação, incluindo treinamentos, campanhas e orientações operacionais;

d) propor projetos, medidas técnicas e organizacionais para o aperfeiçoamento da segurança da informação;

e) elaborar e manter atualizada a política de classificação da informação, incluindo a definição de temporalidade de guarda documental;

f) apoiar as ações de classificação e organização documental no caso de inexistência de Arquivo Público estruturado, podendo, para isso,

www.diariomunicipal.com.br/aam 10