DOEMG 23/09/2026 - Diario Oficial do Estado de Minas Gerais - Diário do Executivo

TEXTO OFICIAL · ÍNTEGRA

28 – quarta-feira, 23 De Setembro De 2026

Diário Do executivo

miNaS GeraiS

II – garantir a existência de iniciativas para divulgação sobre informações de ameaças, códigos maliciosos e medidas de proteção para os usuários do Ipsemg; e III – apoiar e promover a divulgação desta Política, bem como ações de conscientização e orientação sobre segurança da informação para os públicos abrangidos . Art . 28 – Compete ao Assessor Estratégico: I – gerir a arquitetura de informação organizacional de forma compatível com os objetivos institucionais do Ipsemg e com os padrões de segurança dispostos nesta Política, incluindo a definição de diretrizes para acesso aos dados; II – sugerir boas práticas e estabelecer processos de utilização de dados do Ipsemg, tanto para disseminação do conhecimento quanto para apoio de evidências para tomada de decisão, visando controlar riscos e evitar ameaças à integridade, à confidencialidade, à disponibilidade e à autenticidade desses dados; III – promover a criação de estruturas analíticas, por meio do uso estratégico da tecnologia da informação e da integração articulada de ferramentas de gestão informacional, observados os padrões de segurança dispostos nesta Política; e IV – apoiar, avaliar e monitorar avanços tecnológicos para gestão informacional, bem como para coleta, armazenamento, análise e disseminação de informações, observados os padrões de segurança dispostos nesta Política . Art . 29 – Compete ao Encarregado pelo Tratamento de Dados Pessoais, no âmbito desta Política: I – atuar como canal de comunicação entre o Ipsemg, os titulares de dados e a Autoridade Nacional de Proteção de Dados, nos termos da legislação aplicável; II – receber as comunicações de incidentes de segurança que envolvam dados pessoais, encaminhadas pela ASGE, e orientar quanto às medidas cabíveis; e III – articular-se com a governança de segurança da informação para a observância dos princípios e obrigações previstos na Lei Federal nº 13 .709, de 2018, e no Decreto Estadual nº 48 .237, de 2021 . CAPÍTULO V DA CLASSIFICAÇÃO E DO TRATAMENTO DA INFORMAÇÃO Art. 30 – As informações institucionais serão classificadas em dois eixos complementares: quanto ao acesso, nos termos da Lei Federal nº 12 .527, de 2011 (Lei de Acesso à Informação), e quanto à natureza dos dados, nos termos da Lei Federal nº 13 .709, de 2018 (Lei Geral de Proteção de Dados Pessoais) . Parágrafo único. Uma mesma informação poderá receber classificação em ambos os eixos, aplicando-se-lhe, de forma cumulativa, os controles correspondentes . Seção I Da Classificação quanto ao Acesso Art . 31 – O acesso à informação é a regra e o sigilo a exceção, somente se admitindo a restrição de acesso nas hipóteses legais, observados a Lei Federal nº 12 .527, de 2011, e o Decreto Estadual nº 45 .969, de 2012 . Art. 32 – Quanto ao acesso, a informação será classificada em: I – pública: informação de acesso irrestrito, passível de divulgação a qualquer pessoa, observados o dever de transparência ativa e passiva; II – sigilosa: informação submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade à segurança da sociedade e do Estado, subdividida, conforme o prazo máximo de restrição, em: a) reservada, com prazo máximo de restrição de 5 (cinco) anos; b) secreta, com prazo máximo de restrição de 15 (quinze) anos; e c) ultrassecreta, com prazo máximo de restrição de 25 (vinte e cinco) anos . Art. 33 – A classificação da informação no grau de sigilo reservado, secreto ou ultrassecreto observará a competência da autoridade classificadora, o Termo de Classificação da Informação e os prazos máximos de restrição previstos na Lei Federal nº 12 .527, de 2011, e no Decreto Estadual nº 45 .969, de 2012 . § 1º – Cessada a situação que fundamentou o sigilo, ou decorrido o prazo de restrição, a informação tornar-se-á de acesso público, admitidas a desclassificação, a reavaliação e a reclassificação na forma da legislação . § 2º – A classificação no grau de sigilo não poderá ser utilizada para ocultar informação de interesse público, frustrar o controle social ou eximir o Ipsemg de suas obrigações de transparência . Seção II Da Classificação quanto à Natureza dos Dados Art. 34 – Quanto à natureza, os dados serão classificados em: I – dado pessoal: dado relacionado a pessoa natural identificada ou identificável; II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a organização de natureza sindical, religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural . § 1º – Os dados pessoais e os dados pessoais sensíveis têm acesso restrito por força de lei, independentemente de classificação no grau de sigilo, e seu tratamento observará a Lei Federal nº 13 .709, de 2018, e o Decreto Estadual nº 48 .237, de 2021 . § 2º – Os dados de saúde dos beneficiários do regime próprio de previdência social, por sua natureza de dado pessoal sensível, receberão proteção reforçada, na forma desta Política . Seção III Da Responsabilidade e do Tratamento Art. 35 – A classificação da informação é de responsabilidade do proprietário da informação, a quem compete revisá-la periodicamente e adequá-la quando se alterarem as razões que a fundamentaram, ressalvada a classificação no grau de sigilo, que observará a competência da autoridade classificadora, sendo o mínimo: I – classificar a informação e identificar a legislação aplicável à sua guarda; II – definir o prazo de retenção aplicável, observados os mínimos legais; III – sinalizar à ASGE os requisitos de guarda, recuperação e descarte; e IV – autorizar a eliminação dos dados ao término do prazo de guarda, observados os procedimentos cabíveis; Art . 36 – Os controles de proteção, acesso, transmissão, armazenamento, retenção e descarte serão proporcionais à classificação da informação, considerados ambos os eixos . § 1º – As informações sigilosas e os dados pessoais e pessoais sensíveis, em especial os dados de saúde, deverão ser protegidos por controles reforçados, incluindo criptografia, controle de acesso e registro de acessos, na forma desta Política e de norma complementar . § 2º – Na ausência de classificação expressa quanto ao acesso, a informação será tratada de forma compatível com a proteção devida, sem prejuízo da observância da natureza dos dados nela contidos . § 3º – Sempre que possível, as informações deverão ser rotuladas conforme sua classificação, e sua reprodução, compartilhamento e transmissão observarão a necessidade de conhecer e os controles compatíveis com o respectivo nível . CAPÍTULO VI DO BACKUP E DA RECUPERAÇÃO DAS INFORMAÇÕES Art . 37 – Este Capítulo estabelece as diretrizes para a realização de cópias de segurança (backup) e para a recuperação (restore) das informações institucionais do Ipsemg, com vistas a assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados, observada a natureza sensível dos dados de saúde tratados pela instituição . Parágrafo único . As diretrizes deste Capítulo observam a Resolução SEPLAG nº 084, de 2022, a Lei Federal nº 13 .709, de 2018 (Lei Geral de Proteção de Dados Pessoais), a Lei Federal nº 13 .787, de 27 de dezembro de 2018, e as normas do Conselho Federal de Medicina aplicáveis à guarda e à digitalização de prontuários de pacientes, sem prejuízo de outras normas pertinentes . Art . 38 – A política de backup do Ipsemg observará os seguintes princípios: I – proporcionalidade entre a frequência e a abrangência das cópias e a criticidade das informações; II – redundância e segregação física ou lógica entre os dados de produção e as respectivas cópias de segurança; III – confidencialidade e integridade das cópias, inclusive mediante criptografia; IV – capacidade de recuperação tempestiva das informações; V – rastreabilidade e documentação das rotinas executadas; e VI – retenção das cópias por prazos compatíveis com a legislação e com a finalidade institucional. Art . 39 – Compete ao Assessor-Chefe de Governança Eletrônica, no âmbito do backup e da recuperação: I – definir, documentar e manter as rotinas de backup e restore, incluindo escopo, periodicidade, retenção e responsáveis; II – instalar, manter, atualizar e configurar os recursos, sistemas e mídias destinados às soluções de backup e restore;

Art. 54 – A composição, o funcionamento, a classificação das mudanças e os procedimentos do Comitê de Mudanças serão detalhados em norma complementar . CAPÍTULO VIII DO CONTROLE DE ACESSO Seção I Disposições Gerais Art. 55 – Este Capítulo tem por finalidade assegurar que o acesso a sistemas, dados, aplicações, bancos de dados, rede corporativa, serviços digitais, diretórios, pastas, correio eletrônico, VPN, Wi-Fi corporativo, ambientes em nuvem, plataformas institucionais e demais recursos de TIC seja realizado de forma controlada, autorizada, rastreável, proporcional, segura e compatível com as atribuições do usuário . Art . 56 – São objetivos do controle de acesso: I – estabelecer critérios para concessão, alteração, suspensão, bloqueio e revogação de acessos; II – assegurar que cada usuário possua apenas os acessos necessários ao desempenho de suas atribuições; III – reduzir riscos de acesso indevido, fraude, vazamento de dados, uso abusivo de credenciais, violação de sigilo e comprometimento de sistemas; IV – garantir rastreabilidade das ações realizadas nos recursos de TIC; V – definir responsabilidades dos usuários, gestores, áreas de negócio, ASGE, Recursos Humanos, fornecedores e terceiros; VI – orientar a revisão periódica de acessos; VII – estabelecer regras para autenticação, autorização, segregação de funções, menor privilégio e necessidade de conhecer; e VIII – apoiar a conformidade com a legislação aplicável, com a proteção de dados pessoais, com contratos, normas internas e demais instrumentos de segurança da informação . Seção II Princípios e Diretrizes Art . 57 – O controle de acesso no Ipsemg deverá observar os seguintes princípios: I – menor privilégio; II – necessidade de conhecer; III – segregação de funções; IV – rastreabilidade; V – responsabilização individual; VI – segurança por padrão; VII – concessão formal e autorizada; VIII – revisão periódica; IX – revogação tempestiva; X – proteção de dados pessoais; XI – gestão baseada em riscos; e

III – executar e monitorar as rotinas de cópia de segurança; IV – realizar testes periódicos de recuperação que validem a integridade e a capacidade de restauração das cópias; V – manter mapa atualizado das mídias e de seus conteúdos; VI – controlar, substituir e descartar de forma segura as mídias que perderem funcionalidade, eliminando previamente seu conteúdo; e VII – planejar, junto às áreas de negócio, os procedimentos de backup e restore das informações sob sua responsabilidade . Parágrafo único . Nos ambientes administrados pela PRODEMGE, por empresa fornecedora de software como serviço (SaaS) ou por outros terceiros, as responsabilidades de backup e recuperação deverão estar definidas nos respectivos instrumentos contratuais, cabendo à ASGE acompanhar o seu cumprimento . Art . 40 – As informações institucionais armazenadas em servidores, bancos de dados, repositórios documentais e sistemas estruturantes deverão ser contempladas por rotinas regulares de backup . § 1º – O backup e a guarda das informações armazenadas exclusivamente nas estações de trabalho são de responsabilidade do usuário, devendo as informações pertinentes à atividade institucional ser mantidas em servidores de arquivos, repositórios corporativos ou sistemas institucionais contemplados por backup . § 2º – A periodicidade, a abrangência e a forma de armazenamento das cópias serão definidas conforme a criticidade da informação. Art . 41 – As cópias de segurança deverão ser protegidas por controles compatíveis com a classificação das informações nelas contidas, observado, no mínimo: I – criptografia das cópias que contenham dados pessoais, dados pessoais sensíveis ou informações sigilosas; II – restrição de acesso às cópias e às mídias aos usuários estritamente autorizados; III – armazenamento que assegure proteção contra acesso indevido, alteração, destruição e perda; e

IV – preferencialmente, manutenção de cópia em localidade distinta da dos dados de produção, de modo a mitigar riscos de sinistro físico . Art . 42 – Os dados de saúde e os prontuários de pacientes tratados pelo Ipsemg deverão observar prazos e condições de guarda específicos, em razão de sua sensibilidade e das exigências legais aplicáveis . § 1º – A digitalização de prontuários, quando realizada, deverá assegurar a integridade, a autenticidade e a confidencialidade do documento digital, observados os requisitos técnicos da legislação e das normas do Conselho Federal de Medicina .

§ 2º – As rotinas de backup deverão contemplar os dados de saúde de forma a garantir sua recuperação durante todo o período de guarda legalmente exigido . § 3º – O tratamento e a guarda dos dados de saúde observarão a finalidade, a necessidade e as demais bases e princípios da Lei Federal nº 13 .709, de 2018, vedada a utilização das cópias de segurança para finalidades incompatíveis com aquelas que motivaram a coleta dos dados . Art . 43 – O Ipsemg deverá manter procedimentos de recuperação que permitam a restauração das informações em casos de perda, exclusão indevida, corrupção, indisponibilidade, falha técnica ou incidente de segurança, incluindo ataques de sequestro de dados (ransomware) . § 1º – Os procedimentos de recuperação deverão ser testados periodicamente e documentados, de modo a assegurar sua efetividade . § 2º – Os procedimentos de backup e recuperação integram as medidas de continuidade das atividades institucionais e deverão estar articulados com a gestão de incidentes de segurança da informação prevista nesta Política .

XII – proporcionalidade dos controles à criticidade do recurso . Art . 58 – Todo acesso a recursos de TIC do Ipsemg deverá estar associado a uma necessidade institucional legítima, compatível com as atribuições do usuário e autorizado pela instância competente . §1º – A autorização de acesso será concedida pelo Diretor ou pelo Assessor-Chefe da unidade à qual o usuário esteja vinculado, ou por autoridade por eles formalmente delegada, observados os procedimentos definidos em norma complementar. §2º – A ASGE não avalia a conveniência ou a oportunidade negocial do acesso solicitado, que compete ao proprietário da informação, cabendo-lhe, contudo, avaliar a conformidade do pedido com esta Política e os riscos de segurança dele decorrentes, podendo indeferi-lo ou condicioná-lo a medidas compensatórias, mediante manifestação fundamentada .

Art . 44 – O descarte e a eliminação de cópias de segurança e de suas mídias deverão ser realizados de forma segura, mediante métodos que impeçam a recuperação não autorizada das informações, observados os prazos legais de guarda e as exigências de proteção de dados pessoais . Seção I Da Guarda e da Retenção dos Dados Art . 45 – A guarda, a retenção e a destinação dos documentos e dados do Ipsemg observarão a Lei Estadual nº 19 .420, de 11 de janeiro de 2011, as deliberações do Conselho Estadual de Arquivos (CEA) e as orientações do Arquivo Público Mineiro (APM), e serão disciplinadas pelo Plano de Classificação de Documentos e pela Tabela de Temporalidade e Destinação de Documentos (TTDD) do Ipsemg, elaborados e mantidos por sua Comissão Permanente de Avaliação de Documentos de Arquivo (CPAD) . Art . 46 – A eliminação de documentos de arquivo dependerá de prévia avaliação pela Comissão Permanente de Avaliação de Documentos de Arquivo (CPAD), de autorização do Arquivo Público Mineiro e da observância do rito previsto na legislação arquivística, em especial: I – a elaboração da Listagem de Eliminação de Documentos de Arquivo, na forma da Deliberação CEA nº 4/1998 e das orientações do Arquivo Público Mineiro; II – a publicação do Edital de Ciência de Eliminação de Documentos, assegurado o prazo legal para manifestação dos interessados; III – a destruição dos documentos por meio de fragmentação ou outro método que assegure a irreversibilidade da descaracterização; e IV – a vedação à eliminação de documentos de guarda permanente, que serão recolhidos ao Arquivo Público Mineiro . Parágrafo único . A eliminação que envolva dados pessoais observará, além do rito arquivístico, as exigências de descarte seguro e de proteção de dados previstas nesta Política e na Lei Federal nº 13 .709, de 2018 . Art . 47 – Decorrido o prazo de guarda e inexistindo fundamento legal para a conservação, os dados pessoais deverão ser eliminados ou anonimizados, e os documentos descartados de forma segura, na forma desta Política e da legislação aplicável . CAPÍTULO VII

Art . 59 – Nenhum usuário deverá possuir acesso a sistemas, informações, pastas, bancos de dados, rede, aplicações ou serviços digitais sem vínculo funcional, contratual, legal ou institucional que justifique a permissão. Art . 60 – Os acessos deverão ser concedidos preferencialmente por perfis padronizados, vinculados a cargos, funções, unidades, processos de trabalho ou papéis institucionais . Art. 61 – A concessão de acesso individual fora dos perfis padronizados deverá ser justificada, registrada e aprovada pelo gestor responsável. Art . 62 – A ASGE poderá bloquear, suspender ou restringir acessos quando houver risco à segurança, indício de uso indevido, incidente, determinação superior, descumprimento normativo ou encerramento da necessidade de acesso .

Seção III Acesso a Computadores, Rede, VPN, Wi-Fi Art . 63 – Cada usuário deverá possuir identidade digital própria e intransferível, expressa em conta nominal, que permita sua identificação inequívoca nos sistemas institucionais e a rastreabilidade de suas ações . Art . 64 – As credenciais de acesso devem observar os seguintes requisitos: I – as senhas devem atender a padrões mínimos de complexidade, comprimento e período de validade, observados os parâmetros da Resolução SEPLAG nº 084, de 2022, e o detalhamento previsto em norma complementar; II – é vedada a anotação em local exposto e o compartilhamento de senhas; III – senhas iniciais ou temporárias devem ser trocadas no primeiro

acesso;

IV – o usuário deve comunicar imediatamente à ASGE qualquer suspeita de comprometimento de suas credenciais; e V – o armazenamento de senhas em sistemas deve ser realizado por meio de mecanismos seguros, mediante uso de algoritmos de hash adequados, vedado o armazenamento em texto claro; VI – sempre que possível, deverá ser adotada autenticação multifator (MFA) como método adicional de verificação da identidade, em especial no acesso remoto, no acesso a sistemas que tratam dados pessoais sensíveis e no uso de contas com acesso privilegiado . Parágrafo único . Senhas vazadas serão comunicadas ao usuário, sendo ativado procedimento de troca de senhas . Art . 65 – O acesso à rede corporativa do Ipsemg deverá ser concedido apenas a usuários, dispositivos e serviços autorizados . Parágrafo único . A conexão de dispositivos à rede poderá ser condicionada a autenticação, conformidade técnica, inventário, segmentação, controle de acesso à rede, endereço autorizado ou outro mecanismo definido em norma específica pela ASGE. Art . 66 – O acesso remoto à rede corporativa do Ipsemg será disponibilizado por meio de Rede Privada Virtual (VPN) ou de outro meio aprovado pela ASGE, observado o disposto no art . 13 da Resolução SEPLAG nº 084, de 2022 . § 1º – O acesso remoto deverá observar, no mínimo, autorização formal, autenticação individual e a vedação ao compartilhamento de credenciais .

DA CONTINUIDADE DAS ATIVIDADES E DA RESILIÊNCIA Seção I Da Continuidade e da Resiliência

Art . 48 – O Ipsemg deverá adotar medidas destinadas a assegurar a continuidade das atividades institucionais e a resiliência dos serviços essenciais diante de incidentes, falhas, desastres ou indisponibilidades que afetem os recursos de tecnologia da informação e o tratamento das informações . Parágrafo único . Recebem prioridade os serviços relacionados ao atendimento assistencial e ao tratamento de dados de saúde, em razão do impacto direto de sua indisponibilidade sobre os beneficiários. Art . 49 – A gestão de continuidade observará, no mínimo: I – a identificação dos processos e serviços críticos e dos recursos de que dependem;

II – a análise de impacto e a avaliação dos riscos de interrupção; III – a definição de objetivos de recuperação, incluindo tempo objetivado de recuperação (RTO) e ponto objetivado de recuperação (RPO), compatíveis com a criticidade de cada serviço; IV – a elaboração e a manutenção de planos de continuidade e de recuperação, articulados com as rotinas de backup previstas nesta Política; e

§ 2º – A ASGE, em articulação com a PRODEMGE, poderá estabelecer controles complementares de acesso remoto, incluindo restrições por perfil de usuário, horário, dispositivo, endereçamento de rede ou escopo de recursos acessíveis, conforme o nível de criticidade dos sistemas e a necessidade institucional .

V – a realização de testes periódicos dos planos, com registro dos resultados e implementação de melhorias . Art . 50 – Os planos de continuidade deverão contemplar procedimentos de resposta a desastres e a incidentes de grande impacto, inclusive ataques de sequestro de dados (ransomware), prevendo medidas de contenção, recuperação e retorno à normalidade . Parágrafo único . Compete ao Gestor da Pasta (Assessor-Chefe ou Diretor), com apoio da ASGE, definir e manter os planos de continuidade dos processos sob sua responsabilidade, observado o disposto nesta Política . Art . 51 – A contratação de serviços de tecnologia deverá considerar requisitos de disponibilidade, continuidade e recuperação compatíveis com a criticidade dos serviços contratados . Seção II Da Gestão de Mudanças Art. 52 – As mudanças em sistemas, infraestrutura, redes, configurações e demais recursos de tecnologia da informação serão submetidas a processo formal de gestão de mudanças, com vistas a preservar a segurança, a integridade, a disponibilidade e a continuidade dos serviços .Art . 53 – A gestão de mudanças será conduzida por Comitê de Art . 53 – A gestão de mudanças será conduzida por Comitê de Mudanças, coordenado pela ASGE, ao qual compete avaliar, aprovar, priorizar, agendar e acompanhar as mudanças, bem como avaliar seus riscos e impactos . § 1º – As mudanças deverão ser registradas e classificadas conforme seu risco e urgência, contemplando, no mínimo, a avaliação de impacto, o planejamento da implementação e a previsão de plano de retorno (rollback) .

§ 3º – O Ipsemg reserva-se o direito de monitorar a utilização do acesso remoto disponibilizado, observada a legislação aplicável .

§ 4º – O descumprimento do disposto neste artigo sujeitará o usuário às medidas disciplinares, administrativas e legais cabíveis, sem prejuízo da revogação imediata dos acessos concedidos e da comunicação ao Encarregado pelo Tratamento de Dados Pessoais nos casos em que o acesso irregular implique risco à proteção de dados pessoais . Art . 67 – A criação de conta de acesso aos computadores e à rede do Ipsemg deverá ser solicitada pela área de Recursos Humanos, no momento da posse do colaborador, contendo as seguintes informações: I – CPF; II – nome; III – telefone;

IV – matrícula ou registro; e demais recursos de tecnologia da informação serão submetidas V – setor; a processo formal de gestão de mudanças, com vistas a preservar VI – localidade; e a segurança, a integridade, a disponibilidade e a continuidade dos VII – informações da chefia imediata. serviços .Art . 53 – A gestão de mudanças será conduzida por Comitê de § 1º – As solicitações de criação de contas de acesso de que trata este artigo serão dispostas em norma complementar . Mudanças, coordenado pela ASGE, ao qual compete avaliar, aprovar, § 2º – Caso as informações estejam incompletas, a ASGE retornará o priorizar, agendar e acompanhar as mudanças, bem como avaliar seus processo solicitando as informações faltantes . riscos e impactos . § 1º – As mudanças deverão ser registradas e classificadas conforme Art . 68 – O uso de contas genéricas ou compartilhadas é vedado, salvo seu risco e urgência, contemplando, no mínimo, a avaliação de impacto, em situações excepcionais devidamente justificadas, formalmente o planejamento da implementação e a previsão de plano de retorno aprovadas pela ASGE e submetidas a controles compensatórios (rollback) . que assegurem rastreabilidade, como registros de log, auditoria e § 2º – As mudanças de caráter emergencial poderão ser executadas monitoramento reforçado . mediante procedimento simplificado, com posterior submissão e I – a solicitação de contas genéricas deve ser feita por Diretor ou registro no Comitê de Mudanças . Assessor-Chefe, mediante Memorando no SEI, contendo a justificativa § 3º – As mudanças que envolvam sistemas que tratam dados pessoais de acesso, dispostas em norma complementar; e sensíveis, em especial dados de saúde, observarão controles reforçados II – a ASGE poderá indeferir a solicitação caso entenda que o acesso de avaliação de risco e de segregação de funções . não é pertinente à situação apresentada .

Art . 69 – As contas de serviço devem ser devidamente catalogadas, associadas ao respectivo sistema ou processo, submetidas a controles de acesso específicos e revisadas periodicamente, vedado seu uso interativo por usuários humanos, salvo em situações de manutenção devidamente autorizadas e registradas . Art . 70 – As contas de administrador de sistemas, infraestrutura, redes, bases de dados e demais recursos tecnológicos institucionais são de uso exclusivo dos servidores e colaboradores lotados na ASGE, sendo vedada sua concessão a usuários de outras unidades administrativas ou assistenciais do Ipsemg . § 1º – A concessão de conta de administrador a servidor ou colaborador da ASGE é condicionada à compatibilidade entre os privilégios solicitados e as atribuições técnicas efetivamente exercidas pelo usuário, de modo que funções sem atribuição técnica operacional sobre os respectivos sistemas ou recursos, como atividades de natureza administrativa, contratual, financeira ou de apoio, não fazem jus à concessão de acesso privilegiado de administrador, ainda que o usuário esteja lotado na ASGE . § 2º – Qualquer situação que demande, em caráter excepcional, a concessão de conta de administrador a servidor ou colaborador não enquadrado nos critérios deste artigo deverá ser formalmente solicitada pelo Assessor-Chefe da unidade requisitante ou pelo Diretor da área à qual o usuário esteja vinculado, conforme disposto em norma complementar, com exposição fundamentada da necessidade, da finalidade, do escopo e do período pretendido para o acesso. § 3º – A ASGE detém competência para avaliar os pedidos de que trata o § 2º, podendo indeferi-los sempre que concluir pela ausência de justificativa técnica suficiente, pelo risco à segurança da informação, pela incompatibilidade com as diretrizes desta Política ou por qualquer outro fundamento que comprometa a integridade, a confidencialidade ou a disponibilidade dos sistemas e recursos institucionais . § 4º – Excetuam-se do disposto no caput os profissionais de empresas contratadas e da PRODEMGE que, por força de objeto contratual, administrem sistemas, bancos de dados ou infraestrutura do Ipsemg, hipótese em que o acesso privilegiado observará conta nominal individualizada por preposto, vedada a utilização de conta compartilhada pela equipe do contratado, registro integral das atividades, revisão semestral e revogação imediata ao término do vínculo do preposto ou do contrato . Art . 71 – As contas de acesso que permanecerem sem utilização pelo prazo de 30 (trinta) dias, ou por outro prazo definido em norma complementar, serão automaticamente bloqueadas, observado o seguinte: I – efetuado o bloqueio, serão notificados a chefia imediata do usuário e o Gestor da Pasta (Assessor-Chefe ou Diretor) acerca do bloqueio da conta; II – confirmada a permanência do vínculo e da necessidade do acesso, a conta poderá ser reativada mediante solicitação da chefia imediata; e III – constatado o desligamento, a alteração de lotação ou o encerramento da necessidade do acesso, a conta será excluída . § 1º – A exclusão da conta não implicará a eliminação dos documentos, processos e informações institucionais produzidos pelo usuário, cuja custódia será transferida na forma desta Política . § 2º – O prazo de inatividade e os procedimentos de bloqueio, notificação, reativação e exclusão das contas serão detalhados em norma complementar . Art . 72 – O acesso ao Wi-Fi corporativo deverá ocorrer mediante autenticação individual ou mecanismo equivalente, com segregação e controles compatíveis com o perfil de uso. Parágrafo único . O Wi-Fi destinado a visitantes deverá ser segregado da rede corporativa e não poderá conceder acesso direto a sistemas internos, servidores, bases de dados ou ambientes restritos . Seção IV Acesso a Pastas de Rede, Arquivos e Repositórios Documentais Art . 73 – O acesso a pastas de rede, diretórios compartilhados, repositórios documentais, bibliotecas digitais e ambientes colaborativos deverá ser controlado por unidade, grupo, função ou necessidade específica. Art . 74 – Cabe ao Gestor da Pasta (Assessor-Chefe ou Diretor) responsável por pastas, arquivos e repositórios definir as permissões de acesso adequadas e revisar periodicamente os acessos concedidos, não cabendo à ASGE juízo de valor sobre a pertinência dos acessos por ele determinados, mas tão somente a sua implementação técnica e a observância das diretrizes desta Política . Art. 75 – Informações sensíveis, confidenciais, assistenciais, estratégicas ou contendo dados pessoais deverão ser armazenadas em locais com controle de acesso compatível com sua classificação. Art . 76 – É vedada a criação de pastas compartilhadas abertas a todos os usuários sem justificativa institucional e sem avaliação de risco. Art . 77 – O acesso público interno, quando necessário, deverá ser limitado a informações de caráter geral, institucional ou sem restrição de confidencialidade. Art . 78 – O Ipsemg poderá adotar o Microsoft SharePoint, ou solução equivalente homologada pela ASGE, como plataforma corporativa para armazenamento, compartilhamento e gestão colaborativa de documentos e repositórios institucionais . § 1º – O acesso aos sites, bibliotecas, pastas e documentos hospedados no SharePoint observará as diretrizes de controle de acesso previstas neste Capítulo, devendo as permissões ser concedidas por unidade, grupo, função ou necessidade específica, vedada a herança de permissões mais amplas do que as necessárias . § 2º – A criação de sites, bibliotecas e pastas no SharePoint e a definição de seu proprietário deverão ser previamente autorizadas e registradas, cabendo à ASGE estabelecer os padrões de estruturação, nomenclatura e governança em norma complementar . § 3º – A gestão de cada pasta no SharePoint é de responsabilidade exclusiva de seu proprietário, a quem compete a concessão, a alteração, a revisão e a revogação das permissões de acesso, a organização e a classificação dos documentos, o controle do compartilhamento interno e externo e a observância das diretrizes de segurança da informação e de proteção de dados aplicáveis ao seu conteúdo . § 4º – O compartilhamento de documentos e bibliotecas com usuários externos ao Ipsemg, inclusive por meio de links de acesso, somente será permitido quando houver justificativa institucional, autorização do proprietário da pasta e observância dos requisitos de proteção de dados pessoais, sendo vedado o compartilhamento aberto ou anônimo de informações sensíveis, sigilosas ou assistenciais . § 5º – O proprietário da pasta deverá revisar periodicamente as permissões concedidas e solicitar a revogação tempestiva dos acessos que deixarem de ser necessários, respondendo pela manutenção da rastreabilidade e da adequação dos acessos sob sua gestão . Art . 79 – A adoção do SharePoint como repositório documental não dispensa a existência de rotinas de cópia de segurança que assegurem a recuperação das informações institucionais . § 1º – A ASGE deverá assegurar que os dados armazenados no SharePoint sejam contemplados por solução de backup, preferencialmente independente do próprio ambiente da plataforma, de modo a permitir a restauração das informações em caso de perda, exclusão indevida, corrupção ou indisponibilidade do serviço . § 2º – Os documentos considerados críticos para a continuidade das atividades institucionais deverão dispor de medida de contingência que assegure sua disponibilidade local em situações de indisponibilidade de conexão à internet ou ao serviço em nuvem . Art . 80 – A eventual descontinuidade de servidores de arquivos locais (file server) em favor do SharePoint dependerá de avaliação prévia da ASGE quanto à capacidade de armazenamento, à existência de cópia de segurança adequada, aos riscos de indisponibilidade e às medidas de contingência, bem como de ações de capacitação dos usuários, registradas em plano específico de migração. Seção V Acesso a Dados, Bancos de Dados e Repositórios Art . 81 – O acesso a bancos de dados, repositórios, data warehouses, data lakes, bases analíticas, arquivos de exportação, relatórios gerenciais e conjuntos de dados deverá observar a necessidade institucional, a classificação da informação, o menor privilégio, a segregação de funções e a autorização do proprietário da informação . Art. 82 – Para os fins desta Seção, considera-se proprietário da informação o Gestor da Pasta (Assessor-Chefe ou Diretor) da área responsável pelo processo de negócio ao qual os dados estão vinculados, a quem compete classificar a informação, definir os critérios de acesso e autorizar, revisar e revogar as permissões sobre os respectivos dados . Art . 83 – A administração dos bancos de dados institucionais observará os seguintes modelos, conforme a titularidade e a forma de gestão de cada ambiente: I – bancos de dados administrados por profissional especializado (DBA) contratado no âmbito da ASGE, como o do Sistema de Gestão Hospitalar (MV); II – bancos de dados e aplicações administrados diretamente pela equipe técnica da ASGE;

Documento assinado eletronicamente com fundamento no art. 6º do Decreto nº 47.222, de 26 de julho de 2017. A autenticidade deste documento pode ser verificada no endereço http://www.jornalminasgerais.mg.gov.br/Autenticidade, sob o número 3202609238304807028.