DOU 29/11/2023 - Diário Oficial da União - Brasil

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152023112900028
28
Nº 226, quarta-feira, 29 de novembro de 2023
ISSN 1677-7042
Seção 1
k) Desenvolvimento Seguro de Software.
Art. 15. É responsabilidade de todos
os gestores do Ministério o
conhecimento e a disseminação desta Política
e demais normas específicas de
segurança da informação do Órgão aos colaboradores que estão sob a sua gestão.
Art. 16. Todos os colaboradores são responsáveis pela segurança dos ativos
de informação que estejam sob a sua responsabilidade.
Art. 17. É vedada a exploração de eventuais vulnerabilidades, as quais
devem ser comunicadas de ofício às instâncias superiores, assim que identificadas.
Art. 18. A Política de Segurança da Informação, demais normas internas e
procedimentos complementares têm abrangência universal, e devem ser cumpridas por
todos os servidores, colaboradores, estagiários, consultores externos e prestadores de
serviço que exerçam atividades no âmbito do Ministério dos Direitos Humanos e da
Cidadania ou quem quer que tenha acesso a dados ou informações no ambiente do
Ministério.
CAPÍTULO V
DAS PENALIDADES
Art. 19. Ações que violem a Política de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania poderão acarretar, isolada ou
cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e
penais, assegurados aos envolvidos o contraditório e a ampla defesa.
CAPÍTULO VI
DA ATUALIZAÇÃO
Art. 20. A Política de Segurança da Informação do Ministério dos Direitos
Humanos e da Cidadania deverá ser revisada em função de alterações na legislação
pertinente, de diretrizes políticas do Governo Federal, de alterações nos normativos do
Órgão, quando considerada necessária pelo Comitê de Segurança da Informação, ou a
cada doze meses a contar da data de sua publicação.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 21. Os órgãos integrantes do Sistema de Gestão de Segurança da
Informação do Ministério dos Direitos Humanos e da Cidadania poderão expedir
instruções complementares, no âmbito de suas competências, que detalharão suas
particularidades e procedimentos relativos à segurança da informação alinhados às
diretrizes emanadas pelo Comitê de Segurança da Informação e aos respectivos Planos
Estratégicos Institucionais desses órgãos.
Art. 22. As dúvidas sobre a Política de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania e seus documentos devem ser
submetidas ao Comitê Estratégico de Segurança da Informação.
Art. 23. Aplicam-se a esta Política de Segurança da Informação, no que
couber, as disposições da Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709, de
14 de agosto de 2018, e da Lei de Acesso à Informação, Lei nº 12.527, de 18 de
novembro de 2011.
Art. 24. Esta Portaria entra em vigor na data de sua publicação.
SILVIO LUIZ DE ALMEIDA
ANEXO I
CONCEITOS E DEFINIÇÕES
1. Para os fins da Política de Segurança da Informação do Ministério dos
Direitos Humanos e da Cidadania, fica estabelecido o significado dos seguintes termos
e expressões:
1.1. Ativo: qualquer coisa que tenha valor para a organização;
1.2. Ativo de informação: o patrimônio composto por todos os dados e
informações geradas, custodiadas, manipuladas, utilizadas ou armazenada no Ministério
dos Direitos Humanos e da Cidadania, bem assim todos os elementos de pessoal
(colaboradores que manuseiam os ativos), infraestrutura, tecnologia, hardware e
software necessários à execução dos processos da organização;
1.3. Autenticidade: propriedade pela qual se assegura que a informação foi
produzida, expedida, modificada ou destruída por uma determinada pessoa física,
equipamento, sistema, órgão ou entidade;
1.4. Colaborador: todas as pessoas envolvidas com o desenvolvimento de
atividades no Ministério dos Direitos Humanos e da Cidadania, de caráter permanente,
continuado ou eventual, incluindo autoridades, servidores, prestadores de serviço,
consultores e estagiários;
1.5. Confidencialidade: propriedade pela qual se assegura que a informação
não esteja disponível ou não seja revelada a pessoa, a sistema, a órgão ou a entidade
não autorizados nem credenciados;
1.6. Comitê de Segurança da Informação: grupo de pessoas com a
responsabilidade de assessorar a implementação das ações de segurança da informação
no âmbito do órgão ou entidade da Administração Pública Federal;
1.7. Conscientização: atividade que tem por finalidade orientar sobre o que
é segurança da informação levando os participantes a obterem um nível adequado de
conhecimento sobre segurança, além de um senso apropriado de responsabilidade;
1.8. Desastre: evento, ação ou omissão, repentino e não planejado, que
tenha permitido acesso não autorizado, interrupção ou mudança nas operações
(inclusive pela tomada de controle), destruição, dano, deleção ou mudança da
informação protegida, remoção ou limitação de uso da informação protegida ou ainda
a apropriação, disseminação e publicação indevida de informação protegida de algum
ativo de informação crítico ou de alguma atividade crítica, causando perda para toda
ou parte da organização e gerando sérios impactos em sua capacidade de entregar
serviços essenciais ou críticos por um período de tempo superior ao tempo objetivo de
recuperação;
1.9. Diretrizes de Segurança da Informação: ações que definem a Política de
Segurança da Informação do Ministério dos Direitos Humanos e da Cidadania, visando
a
preservar a
disponibilidade,
integridade,
confiabilidade e
autenticidade das
informações da Instituição;
1.10. Disponibilidade: propriedade pela qual se assegura que a informação
esteja acessível e utilizável sob demanda por uma pessoa física ou determinado
sistema, órgão ou entidade devidamente autorizados;
1.11. Equipe de Tratamento e Resposta a Incidentes cibernéticos (ETIR):
grupo de pessoas com a responsabilidade de receber, analisar e responder às
notificações e
atividades relacionadas
a incidentes de
segurança em
redes de
computadores;
1.12. Firewall: recurso destinado a evitar acesso não autorizado a uma
determinada rede, ou um a conjunto de redes, ou a partir dela;
1.13. Gestão de continuidade: processo abrangente de gestão que identifica
ameaças potenciais para uma organização e os possíveis impactos nas operações de
negócio, caso essas ameaças se concretizem;
1.14. Gestão de riscos: processo de natureza permanente, estabelecido,
direcionado e monitorado pela alta administração, que contempla as atividades de
identificar, avaliar, e gerenciar potenciais eventos que possam afetar a organização,
destinado a fornecer segurança razoável quanto à realização de seus objetivos;
1.15. Gestão de Segurança da Informação: ações e métodos que visam à
integração das atividades de gestão de riscos, gestão de continuidade do negócio,
tratamento de incidentes, tratamento da informação, conformidade, credenciamento,
segurança
cibernética,
segurança
física, segurança
lógica,
segurança
orgânica e
segurança organizacional
aos processos institucionais estratégicos,
operacionais e
táticos, não se limitando, portanto, às tecnologias da informação e comunicação;
1.16. Gestor de Segurança da
Informação: servidor público efetivo
responsável pelas ações de segurança da informação do Ministério dos Direitos
Humanos e da Cidadania;
1.17. Incidente: evento, ação ou omissão, que tenha permitido, ou possa vir
a permitir, acesso não autorizado, interrupção ou mudança nas operações (inclusive
pela tomada de controle), destruição, dano, deleção ou mudança da informação
protegida, remoção ou limitação de uso da informação protegida ou ainda a
apropriação, disseminação e publicação indevida de informação protegida de algum
ativo de informação crítico ou de alguma atividade crítica por um período de tempo
inferior ao tempo objetivo de recuperação;
1.18. Incidente de segurança: qualquer evento adverso, confirmado ou sob
suspeita, relacionado à segurança dos sistemas de computação ou das redes de
computadores;
1.19. Integridade: propriedade pela qual se assegura que a informação não
foi modificada ou destruída de maneira não autorizada ou acidental;
1.20. Plano de Continuidade de Negócios: documentação dos procedimentos
e informações necessárias para que os órgãos ou entidades da Administração Pública
Federal mantenham seus ativos de informação críticos e a continuidade de suas
atividades críticas em local alternativo em um nível previamente definido, em casos de
incidentes;
1.21. Plano de Gerenciamento de Incidentes: plano de ação claramente
definido e documentado, para ser usado quando ocorrer um incidente que basicamente
cubra os principais recursos, serviços e outras ações que sejam necessárias para
implementar o processo de gerenciamento de incidentes;
1.22. Plano de Tratamento dos Riscos: processo e implementação de ações
de segurança da informação para evitar, reduzir, reter ou transferir um risco;
1.23. POSIN: acrônimo de política de segurança da informação;
1.24. Quebra de segurança: ação ou omissão, intencional ou acidental, que
resulta no comprometimento da segurança da informação;
1.25. Recurso: é um meio de qualquer natureza (humano, físico, tecnológico,
financeiro, de imagem de mercado, de credibilidade, entre outros) que permite
alcançar aquilo a que se propõe;
1.26. Recursos de Tecnologia da Informação: conjunto formado pelos bens
e serviços de tecnologia da informação que constituem a infraestrutura utilizada na
produção, coleta, tratamento, armazenamento, transmissão, recepção, comunicação e
disseminação da informação;
1.27. Responsável pelo ativo de informação: servidor público responsável
pela salvaguarda do ativo de informação;
1.28. Risco: possibilidade de ocorrência de um evento que venha a ter
impacto no cumprimento dos objetivos, sendo mensurado em termos de impacto e de
probabilidade;
1.29. Risco de segurança da informação: potencial associado à exploração de
uma ou mais vulnerabilidades de um ativo de informação ou de um conjunto de tais
ativos, por parte de uma ou mais ameaças, com impacto negativo no negócio da
organização;
1.30. Segurança da informação: ações que objetivam viabilizar e assegurar a
disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;
1.31. Servidor
público: toda
pessoa legalmente
investida em
cargo
público;
1.32. Sistema de Gestão de Segurança da Informação: é um conjunto de
pessoas, processos e procedimentos, baseado em normas e na legislação vigente, que
uma organização deve implementar para prover segurança no uso de seus ativos de
informação de modo a preservá-los quanto aos aspectos de disponibilidade,
integridade, confidencialidade e autenticidade, independentemente do meio em que se
encontram;
1.33. Tratamento: toda operação realizada com dados pessoais, como as
que se referem a coleta, produção, recepção, classificação, utilização, acesso,
reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento,
eliminação,
avaliação
ou
controle
da
informação,
modificação,
comunicação,
transferência, difusão ou extração;
1.34. Tratamento da informação: conjunto de ações referentes à produção,
recepção,
classificação,
utilização,
acesso,
reprodução,
transporte,
transmissão,
distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou
controle da informação;
1.35. Tratamento de incidentes: serviço que consiste em receber, filtrar,
classificar e responder às solicitações e alertas e realizar as análises dos incidentes de
segurança, procurando extrair informações que permitam impedir a continuidade da
ação maliciosa e também a identificação de tendências;
1.36. Usuário: pessoa física, seja servidor ou equiparado, empregado ou
prestador de serviços,
habilitada pela administração para acessar
os ativos de
informação de um órgão ou entidade da Administração Pública Federal, formalizada
por meio da assinatura de Termo de Responsabilidade; e
1.37. Vulnerabilidades: fatores internos ou causa potencial de um incidente
indesejado, que podem resultar em risco para um sistema ou organização, e podem ser
corrigidas ou evitadas por uma ação interna de segurança da informação.
ANEXO II
REFERÊNCIAS LEGAIS E NORMATIVAS
1. Esta norma foi elaborada em conformidade às seguintes referências legais
e normativas:
1.1. Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e suas
normas complementares, que disciplinam a Gestão de Segurança da Informação e
Comunicação na Administração Pública Federal;
1.2. Decreto nº 7.724, de 16 de maio de 2012, que regulamenta, no âmbito
do Poder Executivo federal, os procedimentos para a garantia do acesso à informação
e para a classificação de informações sob restrição de acesso, observados grau e prazo
de sigilo, conforme o disposto na Lei nº 12.527, de 18 de novembro de 2011, que
dispõe sobre o acesso a informações previsto no inciso XXXIII do caput do art. 5º , no
inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição;
1.3. Decreto nº 7.845, de 14 de novembro de 2012, que regulamenta
procedimentos
para credenciamento
de segurança
e
tratamento de
informação
classificada em qualquer grau de sigilo, e dispõe sobre o Núcleo de Segurança e
Credenciamento;
1.4. Lei nº 12.527, de 18 de novembro de 2011, Lei de Acesso à
Informação, que regula o acesso a informações;
1.5. Decreto nº 10.332, de 28 de abril de 2020, que institui a Política de
Governança Digital no âmbito dos órgãos e das entidades da administração pública
federal direta, autárquica e fundacional;
1.6. Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de
Dados Pessoais (LGPD);
1.7. Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política
Nacional de Segurança da Informação;
1.8. Decreto nº 9.832, de 12 de junho de 2019, que altera o Decreto nº
9.637, de 26 de dezembro de 2018, e o Decreto nº 7.845, de 14 de novembro de
2012, para dispor sobre o Comitê Gestor da Segurança da Informação;
1.9. ABNT NBR ISO/IEC 27001 - Tecnologia da informação - Técnicas de
segurança - Sistemas de gestão de segurança da informação;
1.10. ABNT NBR ISO/IEC 27002 - Tecnologia da informação - Técnicas de
segurança - Código de prática para a gestão da segurança da informação; e
1.11. ABNT NBR ISO/IEC 27005 - Tecnologia da informação - Técnicas de
segurança - Gestão de riscos de segurança da informação.