DOEMG 23/09/2026 - Diario Oficial do Estado de Minas Gerais - Diário do Executivo

TEXTO OFICIAL · ÍNTEGRA

quarta-feira, 23 De Setembro De 2026 – 29

Diário Do executivo

miNaS GeraiS

III – bancos de dados e aplicações sob gestão da Companhia de Tecnologia da Informação do Estado de Minas Gerais (PRODEMGE); e IV – bancos de dados administrados pela empresa fornecedora, no caso de sistemas contratados na modalidade de software como serviço (SaaS) ou de soluções hospedadas em ambiente do contratado . § 1º – Independentemente do modelo de administração, a concessão de acesso a dados dependerá de autorização do proprietário da informação e observará as diretrizes desta Política . § 2º – Nos ambientes administrados pela PRODEMGE, por empresa fornecedora de SaaS ou por outros terceiros, a ASGE atuará como interlocutora institucional, assegurando que os requisitos de segurança e proteção de dados previstos nesta Política e nos instrumentos contratuais sejam observados . § 3º – O profissional DBA e demais administradores de banco de dados, ainda que terceirizados ou vinculados a empresa fornecedora de SaaS, estão sujeitos aos controles de acesso privilegiado, à rastreabilidade e às obrigações de sigilo previstos nesta Política e nos respectivos contratos . § 4º – Na contratação de soluções na modalidade SaaS, os instrumentos contratuais deverão prever, no mínimo, a definição das responsabilidades do fornecedor quanto à segurança e à proteção dos dados, a localização e a forma de armazenamento das informações, os requisitos de criptografia, a manutenção de trilhas de auditoria, as condições de cópia de segurança e de recuperação, bem como a garantia de devolução ou de eliminação segura dos dados ao término do contrato . Art . 84 – O acesso administrativo ou privilegiado a bancos de dados,incluindo poderes de criação, alteração, exclusão de estruturas, extração massiva de dados ou gestão de usuários, é restrito aos administradores formalmente designados pelos proprietários da informação, segundo definidos nesta política, vedado seu uso para finalidades estranhas às atribuições técnicas. Parágrafo único . As atividades realizadas com contas privilegiadas em bancos de dados deverão ser registradas e submetidas a monitoramento e revisão periódica, observado o disposto na Resolução SEPLAG nº 084, de 2022, quanto à revisão dos direitos de acesso privilegiado . Art . 85 – O acesso a dados pessoais e a dados pessoais sensíveis armazenados em bancos de dados e repositórios observará a finalidade institucional, a necessidade e os princípios da Lei Federal nº 13 .709, de 2018, sendo limitado ao mínimo necessário ao cumprimento das atribuições do usuário . § 1º – Os dados pessoais e sensíveis deverão ser protegidos por criptografia em repouso e em trânsito, conforme padrões definidos pela ASGE em norma complementar . § 2º – Os bancos de dados e repositórios que contenham dados pessoais deverão manter trilhas de auditoria que registrem, no mínimo, os acessos, as consultas, as alterações e as extrações realizadas, preservadas de forma íntegra e por prazo compatível com a legislação aplicável . § 3º – Sempre que a finalidade pretendida puder ser atingida sem a identificação dos titulares, em especial nos usos analíticos, estatísticos e de pesquisa, deverão ser adotadas técnicas de anonimização ou de pseudonimização dos dados pessoais . Art . 86 – O ambiente analítico do Ipsemg, compreendendo data warehouses, data lakes, bases analíticas e ferramentas de inteligência de negócio (BI), observará controles de acesso compatíveis com a sensibilidade dos dados nele tratados . § 1º – O acesso ao ambiente analítico será concedido por perfis vinculados à necessidade institucional, sendo o acesso a dados pessoais condicionado à pseudonimização ou anonimização sempre que a identificação dos titulares não for indispensável à finalidade. § 2º – A criação de novas bases analíticas, integrações e fluxos de dados deverá ser registrada e submetida à avaliação de risco, observadas a classificação da informação de origem e as diretrizes da Assessoria Estratégica e da ASGE . Art . 87 – A extração, a exportação e o compartilhamento de conjuntos de dados, relatórios gerenciais e arquivos de bases de dados observarão a classificação da informação e dependerão de autorização do proprietário da informação . Parágrafo único . A extração massiva de dados, especialmente quando envolver dados pessoais, dependerá de justificativa, autorização específica e registro, sendo vedada a sua realização para finalidades não autorizadas ou incompatíveis com a finalidade original do tratamento. Art . 88 – O compartilhamento de dados com outros órgãos, entidades, parceiros ou terceiros deverá ser formalizado em instrumento próprio, com definição de finalidade, base legal, responsabilidades, prazos e medidas de segurança, observada a legislação de proteção de dados pessoais e de acesso à informação . Art . 89 – Os bancos de dados e repositórios institucionais deverão ser contemplados por rotinas de cópia de segurança e por procedimentos de recuperação que assegurem a disponibilidade e a integridade das informações, observadas a criticidade dos dados e as responsabilidades de cada administrador, inclusive nos ambientes sob gestão de terceiros ou da PRODEMGE . Seção VI Acesso aos Sistemas Institucionais Específicos Art. 90 – O acesso aos sistemas institucionais específicos do Ipsemg, tais como o Sistema de Gestão Hospitalar (MV), o Sistema de Cadastro Único (CADU), o SAFE, o SADS, o AREC, o SIAS e demais sistemas estruturantes, observará as diretrizes gerais de controle de acesso previstas neste Capítulo e o disposto nesta Seção, sem prejuízo das regras específicas definidas em norma complementar. Art. 91 – O controle de acesso aos sistemas institucionais específicos será estruturado em papéis e perfis de acesso, vinculados a cargos, funções, atividades ou processos de trabalho, observados o menor privilégio, a necessidade de conhecer e a segregação de funções . § 1º – Compete ao gestor máximo da respectiva área, Diretor ou Assessor-Chefe, aprovar os papéis e perfis de acesso ao sistema sob responsabilidade de sua área, bem como suas alterações, definindo as funcionalidades e os módulos a eles associados . § 2º – A aprovação dos papéis e perfis dispensa a aprovação individual de cada solicitação pelo gestor máximo, desde que a solicitação se enquadre em perfil previamente aprovado. Art . 92 – A solicitação de acesso individual de cada colaborador, no âmbito dos papéis e perfis aprovados, é de responsabilidade de sua chefia imediata, que indicará o perfil pretendido, compatível com as atribuições do colaborador . Parágrafo único. Compete à chefia imediata comunicar tempestivamente qualquer alteração que implique adequação, suspensão ou revogação do acesso concedido . Art . 93 – Compete ao gestor máximo da área, Diretor ou AssessorChefe, aprovar os casos omissos e as solicitações que fujam dos papéis e perfis previamente aprovados, incluindo acessos excepcionais, mediante justificativa específica. Art . 94 – O acesso a sistemas que envolvam tratamento de dados pessoais sensíveis, em especial dados de saúde, observará controles reforçados de autenticação, registro e auditoria, em conformidade com a Lei Federal nº 13 .709, de 2018 . Art. 95 – Os acessos aos sistemas institucionais específicos deverão ser revisados semestralmente e revogados tempestivamente nas hipóteses de desligamento, alteração de lotação, mudança de função ou encerramento da necessidade que fundamentou a concessão . Seção VII Acesso de Terceiros, Fornecedores e Parceiros Art . 96 – O acesso de terceiros, fornecedores, prestadores de serviço e parceiros a informações, sistemas e recursos de tecnologia da informação do Ipsemg será autorizado pelo Diretor ou Assessor-Chefe da área responsável pelo contrato, pela parceria ou pela informação acessada, mediante solicitação do fiscal ou gestor do contrato, limitado ao estritamente necessário ao objeto da contratação ou da parceria e submetido aos mesmos controles de autenticação, autorização, rastreabilidade e revogação aplicáveis aos usuários internos . § 1º – Compete ao fiscal ou gestor do contrato ou da parceria solicitar o acesso, acompanhar a sua utilização e comunicar em até 24 (vinte e quatro) horas a necessidade de alteração, suspensão ou revogação, observado o objeto contratado e o princípio do menor privilégio . § 2º – Os instrumentos contratuais e de parceria deverão prever cláusulas de segurança da informação e de proteção de dados pessoais compatíveis com esta Política e com a legislação aplicável . § 3º – Os acessos concedidos a terceiros deverão ser temporários, vinculados à vigência do contrato ou da parceria, e revogados tempestivamente ao seu término . CAPÍTULO IX DA SEGURANÇA FÍSICA E DO AMBIENTE Art . 97 – A segurança física e do ambiente tem por objetivo proteger as instalações, os ativos de informação, os equipamentos e as informações do Ipsemg contra acessos físicos não autorizados, danos, furtos, sinistros e interferências, observada a proteção dos dados pessoais e, em especial, dos dados de saúde tratados pela instituição .

Art . 98 – As dependências do Ipsemg serão organizadas em áreas,

DO USO DO SISTEMA ELETRÔNICO DE INFORMAÇÕES (SEI) E DA TRAMITAÇÃO DE PROCESSOS Seção I Disposições Gerais

conforme a criticidade e a sensibilidade das atividades e das informações nelas tratadas, podendo ser classificadas em: I – áreas de acesso livre, destinadas à circulação geral de pessoas; II – áreas de acesso controlado, destinadas às atividades administrativas e assistenciais, restritas aos agentes autorizados; e

e assistenciais, restritas aos agentes autorizados; e Art . 113 – O Sistema Eletrônico de Informações (SEI) é a ferramenta III – áreas de segurança, destinadas à guarda de ativos críticos e ao oficial para produção, edição, assinatura, tramitação, gestão e guarda tratamento de informações sensíveis, tais como salas de servidores, salas de documentos e processos administrativos eletrônicos no âmbito técnicas, arquivos e ambientes de processamento ou armazenamento de do Ipsemg, observados a legislação aplicável, os princípios da dados, com acesso restrito a pessoas expressamente autorizadas . Administração Pública e as diretrizes desta Política . Art . 99 – O acesso físico às dependências do Ipsemg observará os Art . 114 – O uso do SEI observará os princípios da publicidade, da seguintes controles: transparência, da eficiência, da impessoalidade, da segurança da I – identificação dos agentes públicos, colaboradores e terceiros, informação e da proteção de dados pessoais, bem como as boas práticas mediante crachá ou meio equivalente, de uso pessoal e intransferível;II – identificação, registro e acompanhamento de visitantes nas áreas de de gestão documental .Art . 115 – É vedada a tramitação de documentos e processos por meios acesso controlado e nas áreas de segurança; alternativos quando a matéria, por sua natureza, exigir registro no SEI, III – restrição do acesso às áreas de segurança às pessoas previamente autorizadas, com registro dos acessos, quando aplicável; eIV – adoção de mecanismos de controle de entrada e saída compatíveis com a criticidade da área, tais como fechaduras, controle eletrônico, salvo nas hipóteses de indisponibilidade ou de exceção formalmente previstas .Art . 116 – Todo documento interno produzido no SEI deverá ser assinado eletronicamente, mediante senha ou certificado digital, sendo crachá, biometria ou vigilância . os documentos não assinados considerados minutas, sem valor de documento oficial. Parágrafo único. O crachá ou meio de identificação deverá ser Parágrafo único . A assinatura eletrônica é pessoal e intransferível, devolvido ou desativado no desligamento, na alteração de lotação ou vinculada à identidade digital do usuário, vedado o seu no término do vínculo, observado o disposto no Capítulo da Segurança compartilhamento, nos termos do Capítulo VIII desta Política . em Recursos Humanos .Art . 100 – As salas de servidores, salas técnicas e demais áreas de Seção IIDos Níveis de Acesso a Documentos e Processos segurança que abriguem ativos críticos de tecnologia da informação Art. 117 – Os documentos e processos no SEI serão classificados terão acesso restrito aos profissionais da ASGE e às pessoas quanto ao nível de acesso em: expressamente autorizadas, vedado o acesso de terceiros sem I – público: acesso público, quando seu conteúdo é visível a todos os acompanhamento . usuários do sistema e, quando aplicável, aos cidadãos por meio de

Dos Níveis de Acesso a Documentos e Processos segurança que abriguem ativos críticos de tecnologia da informação Art. 117 – Os documentos e processos no SEI serão classificados terão acesso restrito aos profissionais da ASGE e às pessoas quanto ao nível de acesso em: expressamente autorizadas, vedado o acesso de terceiros sem I – público: acesso público, quando seu conteúdo é visível a todos os acompanhamento . usuários do sistema e, quando aplicável, aos cidadãos por meio de § 1º – O acesso de prestadores de serviço a essas áreas, inclusive consulta pública; para manutenção, deverá ser previamente autorizado, registrado e II – restrito: acesso restrito, quando o conteúdo é acessível apenas aos acompanhado por profissional responsável. usuários das unidades em que o processo esteja aberto ou por onde § 2º – As áreas de segurança deverão dispor de medidas de proteção tenha tramitado; e compatíveis com sua criticidade, incluindo, quando aplicável, controle III – sigiloso: acesso sigiloso, quando o acesso é limitado aos usuários de acesso, registro de entradas, vigilância e proteção contra riscos previamente credenciados, com acompanhamento de tramitação ambientais . realizado de forma individualizada . Art . 101 – Os ativos e equipamentos deverão ser protegidos contra Art . 118 – O acesso público é a regra, sendo os níveis restrito e sigiloso ameaças físicas e ambientais, tais como incêndio, alagamento, falha de energia, variações de temperatura e umidade, observadas medidas de exceções, admitidas somente quando houver fundamento legal que justifique a restrição. prevenção, detecção e resposta proporcionais à criticidade dos recursos . § 1º – A atribuição dos níveis restrito ou sigiloso deverá indicar a Parágrafo único . Os ambientes que abriguem servidores e equipamentos hipótese legal que a fundamenta, em especial as previstas na Lei críticos deverão dispor, quando aplicável, de fornecimento ininterrupto de energia, climatização adequada e proteção contra incêndio, articulando-se com as medidas de continuidade previstas nesta Política . Federal nº 12 .527, de 2011, no Decreto Estadual nº 45 .969, de 2012, e na Lei Federal nº 13 .709, de 2018 .§ 2º – Cessada a situação de fato ou de direito que justificou a restrição, Art . 102 – A retirada, a movimentação ou a instalação de equipamentos o nível de acesso deverá ser redefinido para público pela autoridade ou e ativos de informação para fora das dependências do Ipsemg unidade competente . dependerão de autorização e de registro, observados os controles de § 3º – A inclusão de documento restrito ou sigiloso em processo segurança aplicáveis . torna o processo, no todo ou em parte, sujeito ao maior nível de restrição existente, razão pela qual a classificação deve ser criteriosa Art . 103 – Os documentos, mídias e equipamentos que contenham e proporcional . informações de acesso confidencial deverão ser guardados em ambiente Art . 119 – Deverão observar nível de acesso restrito ou sigiloso, protegido e descartados de forma segura, observados a prática de mesa conforme o caso e o fundamento legal aplicável, os documentos e limpa e tela limpa e o disposto nesta Política quanto ao descarte seguro de mídias . processos que contenham:I – dados pessoais e dados pessoais sensíveis, especialmente dados de CAPÍTULO X saúde, biométricos ou genéticos; DO USO DO CORREIO ELETRÔNICOArt . 104 – O correio eletrônico institucional é disponibilizado ao II – informações relativas à intimidade, à vida privada, à honra e à imagem das pessoas;

Art . 104 – O correio eletrônico institucional é disponibilizado ao usuário como recurso profissional de apoio às suas atividades, imagem das pessoas;III – informações sobre prevenção, diagnóstico e tratamento médico; observado o disposto no Decreto Estadual nº 46 .226, de 2013, e nas IV – matéria objeto de apuração de responsabilidade, sindicância ou demais normas aplicáveis . processo administrativo disciplinar; Art . 105 – A conta de correio eletrônico institucional possui titularidade V – informações protegidas por sigilo legal, tais como fiscal, bancário específica, é de uso pessoal e intransferível e permite a identificação e a ou correlatos; e responsabilização do usuário quanto à sua utilização . VI – outras hipóteses legais de restrição de acesso . Art . 106 – São condições gerais de utilização do correio eletrônico Parágrafo único . O nível sigiloso deverá ser reservado às situações institucional: estritamente necessárias, dada a sua maior restrição à transparência e I – as mensagens deverão ter conteúdo profissional, relacionado às ao controle administrativo, privilegiando-se, sempre que suficiente, o funções exercidas, conferindo-se a elas o mesmo tratamento formal dos nível restrito . documentos institucionais; Art . 120 – O credenciamento para acesso a processos sigilosos II – é vedada a divulgação, por correio eletrônico, de informações será concedido de forma individual e fundamentada, observados sigilosas, de acesso restrito ou de propriedade da Administração Pública, salvo quando necessária ao desempenho das atribuições e a necessidade de conhecer e o menor privilégio, e revogado quando cessar a necessidade que o motivou . observados os controles de segurança; Seção III III – o tratamento de dados pessoais por correio eletrônico observará a Lei Federal nº 13 .709, de 2018, e o Decreto Estadual nº 48 .237, de a Lei Federal nº 13 .709, de 2018, e o Decreto Estadual nº 48 .237, de Da Tramitação de ProcessosArt . 121 – A tramitação de processos no SEI é realizada entre unidades 2021; eIV – recomenda-se o uso de assinatura ou certificado digital, quando IV – recomenda-se o uso de assinatura ou certificado digital, quando administrativas, e não entre usuários individuais, ficando o processo acessível aos usuários vinculados à unidade de destino . disponível, para garantir a autenticidade, a integridade e o não repúdio das mensagens .das mensagens . Parágrafo único . Nos processos sigilosos, o acompanhamento da tramitação e o acesso ocorrem de forma individualizada, mediante credencial específica. Art . 107 – Constitui uso indevido do correio eletrônico institucional, entre outras hipóteses previstas em legislação:entre outras hipóteses previstas em legislação: Art . 122 – A tramitação deverá observar as seguintes boas práticas:I – assinar todos os documentos internos antes do envio do processo I – a tentativa de acesso não autorizado a caixas postais de terceiros; a outra unidade;

III – o tratamento de dados pessoais por correio eletrônico observará a Lei Federal nº 13 .709, de 2018, e o Decreto Estadual nº 48 .237, de a Lei Federal nº 13 .709, de 2018, e o Decreto Estadual nº 48 .237, de 2021; eIV – recomenda-se o uso de assinatura ou certificado digital, quando IV – recomenda-se o uso de assinatura ou certificado digital, quando disponível, para garantir a autenticidade, a integridade e o não repúdio das mensagens .das mensagens . Art . 107 – Constitui uso indevido do correio eletrônico institucional, entre outras hipóteses previstas em legislação:entre outras hipóteses previstas em legislação: I – a tentativa de acesso não autorizado a caixas postais de terceiros; II – a utilização para finalidades estranhas às funções profissionais, tais como cadastro em redes sociais pessoais, sítios de compras ou fins de entretenimento;

como cadastro em redes sociais pessoais, sítios de compras ou fins de II – encaminhar o processo apenas às unidades competentes para nele atuar, evitando trâmites desnecessários; entretenimento; III – evitar manter o processo aberto na unidade de origem após o envio, III – o envio de mensagens de conteúdo ilícito, ofensivo, discriminatório, salvo quando houver atuação simultânea justificada, hipótese em que difamatório, obsceno, comercial, de spam ou de natureza estritamente poderá ser utilizado o acompanhamento especial; pessoal; IV – concluir o processo na unidade quando encerrada a sua atuação, IV – a cessão da lista de endereços dos usuários a pessoas alheias à de modo a refletir corretamente a situação e as estatísticas do sistema; Administração Pública, salvo para finalidade institucional; V – registrar no andamento eventuais devoluções por equívoco de V – o envio de mensagens contendo código malicioso ou rotinas tramitação; e prejudiciais; e VI – manter a base de conhecimento e os fluxos de trabalho atualizados, VI – a falsidade ou ocultação de identidade no envio de mensagens . quando aplicável, para orientar o trâmite correto . Art . 108 – São deveres do usuário do correio eletrônico institucional: Art . 123 – A coleta de assinaturas de usuários de diferentes I – manter o sigilo de sua senha, de uso pessoal e intransferível, unidades poderá ser realizada por meio de bloco de assinatura, e o substituindo-a em caso de suspeita de comprometimento;II – utilizar senha em conformidade com os requisitos definidos nesta compartilhamento de processos para conhecimento ou discussão, sem tramitação, por meio de bloco de reunião . Política e em norma complementar; Art . 124 – O cancelamento ou a exclusão de documentos no SEI III – não abrir mensagens, executar arquivos ou acessar anexos de observará as regras e limitações do sistema, sendo vedada a supressão origem desconhecida ou suspeita; indevida de documentos que componham a instrução processual, IV – não divulgar o endereço institucional para o recebimento de preservada a integridade e a rastreabilidade do processo . mensagens particulares ou de entidades alheias às atividades do Seção IV Ipsemg; e Dos Perfis, das Responsabilidades e do Controle de Acesso ao SEI V – comunicar à área competente qualquer incidente, acesso indevido Art . 125 – O acesso ao SEI será concedido mediante identidade digital ou fragilidade relacionados à sua conta .Art . 109 – O Ipsemg poderá monitorar a utilização do correio eletrônico própria e intransferível, vinculada à lotação do usuário, observado o disposto no Capítulo VIII desta Política quanto ao controle de acesso . institucional, para fins de auditoria, verificação de conformidade e Art. 126 – Os perfis de acesso ao SEI serão atribuídos conforme as segurança da informação, bem como eliminar mensagens e arquivos atribuições do usuário e o princípio do menor privilégio, contemplando, e bloquear conteúdos ou contas, temporária ou permanentemente, quando houver ameaça à segurança das informações ou uso indevido, entre outros:I – perfil básico, destinado aos usuários que produzem, editam, assinam observada a legislação aplicável .Parágrafo único . Recomenda-se que as informações institucionais e tramitam documentos e processos no âmbito de suas unidades; relevantes não sejam mantidas exclusivamente no correio eletrônico, II – perfis específicos ou estendidos, destinados a atividades especializadas, tais como administração de unidades, gestão devendo ser armazenadas nos repositórios e sistemas institucionais contemplados por cópia de segurança . documental, protocolo ou administração do sistema; e Art . 110 – Na ocorrência de evidências de uso irregular do correio eletrônico institucional, o fato será registrado como incidente de segurança da informação, sem prejuízo da instauração do procedimento administrativo cabível, com auditoria na conta sob suspeita, observados III – perfil de usuário externo, quando aplicável, destinado a pessoas físicas ou jurídicas externas ao Ipsemg, para peticionamento, consulta ou acompanhamento de processos, observados os controles específicos.Parágrafo único. A concessão de perfis com poderes de administração o contraditório e a ampla defesa . do sistema observará os requisitos de acesso privilegiado previstos no CAPÍTULO XIDO USO DE APLICATIVOS DE MENSAGENS INSTANTÂNEASArt . 111 – Não é vedada a utilização do WhatsApp e de outros Capítulo VIII desta Política .Art . 127 – A criação, a alteração, a suspensão e a revogação dos acessos e perfis no SEI seguirão os procedimentos institucionais de gestão de aplicativos de mensagens instantâneas para a comunicação informal e identidades e acessos, devendo ser revogados tempestivamente nas operacional entre os usuários no desempenho de suas atividades . hipóteses de desligamento, alteração de lotação, mudança de função ou Parágrafo único . Fica adotado o Microsoft Teams como aplicativo encerramento da necessidade do acesso . institucional oficial para comunicação, reuniões e colaboração entre os Art . 128 – Compete ao usuário do SEI: usuários, ou outro que venha a substituí-lo conforme orientações da I – utilizar o sistema de forma ética, observando a legislação e esta ASGE . Política; Art . 112 – É vedada, em qualquer hipótese, a tramitação de documentos II – classificar corretamente o nível de acesso dos documentos e por meio do WhatsApp ou de outros aplicativos de mensagens processos que produzir; instantâneas . III – zelar pelo sigilo de suas credenciais e pela proteção das § 1º – A tramitação de documentos e processos administrativos deverá informações a que tiver acesso; ocorrer exclusivamente pelo Sistema Eletrônico de Informações (SEI) IV – responsabilizar-se pelos documentos que assinar; e ou por outro meio oficial expressamente previsto, não produzindo V – comunicar incidentes, acessos indevidos ou fragilidades de que efeitos institucionais a tramitação realizada por aplicativos de tomar conhecimento . mensagens instantâneas . Art . 129 – Compete à unidade responsável pela gestão do SEI § 2º – Caso a tramitação de documentos ou informações por meio no Ipsemg, em articulação com a ASGE e com a área de gestão de aplicativos de mensagens instantâneas venha a se concretizar, documental, orientar o uso adequado do sistema, apoiar a definição de em desacordo com o disposto nesta Seção, a responsabilidade pelo perfis e fluxos, e promover ações de capacitação, observadas as boas ato e por suas consequências será do usuário que lhe der causa e do práticas e a legislação aplicável . Diretor e Assessor-Chefe de forma solidária, sem prejuízo das medidas CAPÍTULO XIII disciplinares, administrativas e legais cabíveis . DA SEGURANÇA EM RECURSOS HUMANOS § 3º – A vedação prevista neste artigo abrange, em especial, o Art . 130 – A segurança da informação será observada em todas as fases compartilhamento de documentos, dados pessoais, dados pessoais do vínculo dos agentes públicos, empregados, estagiários, residentes, sensíveis, dados de saúde e quaisquer informações sigilosas ou de colaboradores e terceiros com o Ipsemg, antes, durante e após a sua acesso restrito por meio dos referidos aplicativos . vigência .

§ 3º – A vedação prevista neste artigo abrange, em especial, o compartilhamento de documentos, dados pessoais, dados pessoais sensíveis, dados de saúde e quaisquer informações sigilosas ou de acesso restrito por meio dos referidos aplicativos .

Art . 131 – Previamente ou no momento do início das atividades, o usuário deverá tomar ciência desta Política e firmar termo de responsabilidade e de confidencialidade, comprometendo-se a observar as regras de segurança da informação e o sigilo das informações a que tiver acesso .

§ 1º – O dever de sigilo subsiste após o término do vínculo, relativamente às informações confidenciais e aos dados pessoais a que o usuário tenha tido acesso . § 2º – As obrigações de segurança da informação e de proteção de dados aplicáveis a terceiros deverão constar dos respectivos instrumentos contratuais . Art . 132 – Durante a vigência do vínculo, compete ao usuário utilizar adequadamente os recursos, manter o sigilo de suas credenciais, proteger as informações sob sua responsabilidade e participar das ações de capacitação e conscientização . Art . 133 – No desligamento, afastamento, alteração de lotação, mudança de função ou término de contrato, deverão ser adotadas, de forma tempestiva, as seguintes providências: I – revogação ou adequação dos acessos e credenciais do usuário; II – devolução dos ativos institucionais sob sua posse, tais como equipamentos, dispositivos móveis, mídias, crachás e certificados; III – transferência da custódia das informações e documentos sob sua responsabilidade; e IV – comunicação às áreas competentes, na forma desta Política . Parágrafo único. A área de Recursos Humanos e as chefias imediatas atuarão de forma articulada com a ASGE para assegurar o cumprimento do disposto neste artigo . Art . 134 – O descumprimento das obrigações de segurança da informação sujeitará o responsável às medidas disciplinares, administrativas, contratuais e legais cabíveis, observado o disposto no Capítulo da Responsabilização . CAPÍTULO XIV DA SEGURANÇA NAS CONTRATAÇÕES E NA GESTÃO DE FORNECEDORES Art . 135 – As contratações de bens e serviços de tecnologia da informação, bem como aquelas que envolvam o acesso, o tratamento, o armazenamento ou a custódia de informações do Ipsemg, deverão observar requisitos de segurança da informação e de proteção de dados pessoais proporcionais aos riscos envolvidos . Art . 136 – Os instrumentos contratuais deverão prever, quando aplicável, no mínimo: I – as obrigações de segurança da informação e de confidencialidade do contratado e de seus prepostos; II – as responsabilidades quanto ao tratamento de dados pessoais, na condição de operador, em conformidade com a Lei Federal nº 13 .709, de 2018; III – os requisitos de controle de acesso, rastreabilidade, criptografia, backup e recuperação aplicáveis; IV – a localização e a forma de armazenamento das informações, especialmente em serviços de computação em nuvem e software como serviço (SaaS); V – o direito de auditoria e de verificação de conformidade pelo Ipsemg; VI – as obrigações de comunicação de incidentes de segurança que envolvam informações do Ipsemg; e VII – a devolução ou a eliminação segura das informações ao término do contrato . Art . 137 – O acesso de fornecedores e de seus prepostos a informações, sistemas e recursos do Ipsemg observará os controles de acesso previstos nesta Política, devendo ser limitado ao necessário ao objeto da contratação, vinculado à sua vigência e revogado tempestivamente ao seu término . Art. 138 – A fiscalização dos contratos deverá acompanhar o cumprimento dos requisitos de segurança da informação e de proteção de dados, com apoio técnico da ASGE, comunicando-se eventuais descumprimentos para a adoção das medidas cabíveis . CAPÍTULO XV DA GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO Art . 139 – Os eventos e incidentes de segurança da informação deverão ser identificados, registrados, comunicados e tratados de forma tempestiva, proporcional à sua criticidade e ao seu impacto institucional . Art . 140 – Todo usuário que tomar conhecimento de evento suspeito, fragilidade ou incidente de segurança deverá comunicá-lo, sem demora, à ASGE, pelos canais por ela definidos. Art . 141 – A ASGE coordenará o tratamento dos incidentes de segurança da informação e, sempre que o incidente envolver dados pessoais, comunicará o fato ao Encarregado pelo Tratamento de Dados Pessoais, para a adoção das medidas previstas na legislação . Parágrafo único . As evidências relacionadas a incidentes deverão ser preservadas de forma a permitir a apuração de responsabilidades e a extração de lições aprendidas . CAPÍTULO XVI DA CONFORMIDADE, MONITORAMENTO E MELHORIA CONTÍNUA Art . 142 – O Ipsemg poderá adotar mecanismos de monitoramento, auditoria, verificação de conformidade e supervisão dos ativos, sistemas, redes, acessos e serviços institucionais, observados o interesse público, a finalidade institucional, a proporcionalidade e a legislação aplicável . Art . 143 – A governança de segurança da informação deverá promover o acompanhamento periódico da efetividade desta Política e de seus instrumentos complementares, incluindo, quando aplicável: I – análise de riscos; II – avaliação de incidentes ocorridos e lições aprendidas; III – verificação de aderência normativa; e IV – proposição de ações corretivas, preventivas e de melhoria . CAPÍTULO XVII DOS INSTRUMENTOS COMPLEMENTARES Art . 144 – Esta Política será complementada por normas e manuais aprovados na forma definida pela governança institucional. Art . 145 – Deverão ser instituídos normativos internos para os seguintes temas: I – controle de acesso;

II – gestão de identidades e acessos privilegiados; III – segurança física e do ambiente; IV – gestão de ativos;

V – classificação e tratamento das informações;

VI – transferência e compartilhamento de informações; VII – configurações seguras e manuseio seguro de dispositivos e endpoints do usuário; VIII – segurança de redes;

IX – gestão de incidentes de segurança da informação; X – backup e recuperação; XI – criptografia e gerenciamento de chaves; XII – gestão de vulnerabilidades técnicas; XIII – desenvolvimento seguro;

XIV – gestão de terceiros, fornecedores e parceiros; XV – uso aceitável de recursos de tecnologia da informação e comunicação; XVI – uso de inteligência artificial e tecnologias correlatas; e XVII – demais temas considerados relevantes pela governança institucional . Art . 146 – Os instrumentos complementares previstos nesta Política deverão observar, entre outros, os seguintes critérios: I – compatibilidade com esta Política e com a legislação vigente; II – clareza quanto às responsabilidades, regras, exceções e sanções aplicáveis; III – proporcionalidade dos controles aos riscos, à criticidade dos ativos e à sensibilidade das informações; e IV – possibilidade de revisão e atualização tempestiva, sem comprometer a estabilidade desta Política . CAPÍTULO XVIII DA RESPONSABILIZAÇÃO Art . 147 – O descumprimento desta Política, de suas normas complementares ou de obrigações de segurança da informação poderá ensejar a apuração de responsabilidade e a adoção das medidas administrativas, disciplinares, contratuais, civis e penais cabíveis, conforme a legislação vigente . Art . 148 – A apuração de responsabilidade observará o devido processo legal, o contraditório e a ampla defesa, na forma da legislação aplicável aos agentes públicos, colaboradores, terceiros e fornecedores, conforme a natureza do vínculo . CAPÍTULO XIX DAS EXCEÇÕES Art . 149 – Situações excepcionais ao disposto nesta Política ou nos instrumentos complementares somente poderão ser admitidas quando: I – formalmente justificadas; II – precedidas de avaliação de risco, quando aplicável; III – aprovadas pela autoridade competente; IV – limitadas no tempo e no escopo; e

Documento assinado eletronicamente com fundamento no art. 6º do Decreto nº 47.222, de 26 de julho de 2017. A autenticidade deste documento pode ser verificada no endereço http://www.jornalminasgerais.mg.gov.br/Autenticidade, sob o número 3202609238304807029.