PORTARIA Nº 742, DE 27 DE NOVEMBRO DE 2023 (parte 1 de 2)

PORTARIA Nº 742, DE 27 DE NOVEMBRO DE 2023
Institui a Política de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania.
O MINISTRO DE ESTADO DOS DIREITOS HUMANOS E DA CIDADANIA, no uso
da atribuição que lhe confere o inciso II do parágrafo único do art. 87 da Constituição,
e tendo em vista o disposto no inciso II do art. 15 do Decreto nº 9.637, de 26 de
dezembro de 2018, nos incisos do art. 3º e no inciso VIII do art. 5º da Instrução
Normativa GSI/PR nº 1, de 27 de maio de 2020, resolve:
CAPÍTULO I
DO ESCOPO
Art. 1º Instituir a Política de Segurança da Informação, no âmbito do
Ministério dos Direitos Humanos e da Cidadania, com a finalidade de estabelecer
princípios e diretrizes para a implementação de ações de segurança da informação e,
no que couber, no relacionamento com outros órgãos públicos ou entidades
privadas.
§ 1º Todos os instrumentos normativos gerados a partir da Política de
Segurança da Informação do Ministério dos Direitos Humanos e da Cidadania são parte
integrante desta Política e emanam dos princípios e diretrizes nela estabelecidos.
§ 2º A estrutura da Política de Segurança da Informação do Ministério dos
Direitos Humanos e da Cidadania é integrada por três instrumentos normativos, de
níveis hierárquicos distintos, quais sejam:
I - política de segurança da informação, documento obrigatório que define
a estrutura, as diretrizes e as obrigações referentes à segurança da informação que
devem ser seguidas;
II - normas internas de segurança da informação, documentos que identificam as
regras básicas de como devem ser implementados os controles definidos pela POSIN; e
III - procedimentos de segurança da informação, documentos que
instrumentalizam as normas internas, permitindo a direta aplicação nas atividades do
Ministério dos Direitos Humanos e da Cidadania.
§ 3º As diretrizes de segurança da informação previstas nesta Política e nas
demais normas específicas de segurança da informação do Órgão são aplicadas a todos
os colaboradores, conforme definição dada no Anexo I, que tenham acesso às
informações e aos recursos de Tecnologia da Informação deste Ministério.
Art. 2º A Política de Segurança da Informação do Ministério dos Direitos
Humanos e da Cidadania tem como objetivos:
I - nortear a elaboração das normas necessárias à efetiva implementação da
segurança da informação;
II - estabelecer princípios e diretrizes a fim de proteger ativos de
informação e conhecimentos gerados ou recebidos;
III - estabelecer orientações gerais de segurança da informação e, desta
forma, contribuir para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis,
bem como preservar os princípios da disponibilidade, integridade, confiabilidade e
autenticidade das informações; e
IV - estabelecer competências e responsabilidades quanto à segurança da
informação.
CAPÍTULO II
DOS PRINCÍPIOS
Art. 3º As ações de segurança da informação do Ministério dos Direitos
Humanos e da Cidadania são orientadas pelos princípios constitucionais e
administrativos que regem a Administração Pública Federal, bem como pelos seguintes
princípios:
I - disponibilidade, integridade, confidencialidade e autenticidade das
informações;
II - continuidade dos processos e serviços essenciais para o funcionamento
do Ministério;
III - responsabilidade dos colaboradores, constituída no dever de conhecer
e respeitar a Política de Segurança da Informação do Ministério dos Direitos Humanos
e da Cidadania e demais normas específicas de segurança da informação do Órgão;
IV - alinhamento estratégico da Política e Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania com o planejamento estratégico do
Órgão, assim como demais normas específicas de segurança da informação da
Administração Pública Federal;
V - conformidade das normas e das ações de segurança da informação com
a legislação e regulamentos aplicáveis;
VI - educação e comunicação como alicerces fundamentais para o fomento
da cultura em segurança da informação;
VII - clareza, no sentido de que as regras que se fundam nesta política
devem ser claras, objetivas e concisas, a fim de viabilizar sua fácil compreensão;
VIII - publicidade, transparência às informações, respeitando a privacidade
do cidadão;
IX - auditabilidade, no sentido que todos os eventos significativos dos
processos e sistemas devem ser rastreáveis até o evento inicial, identificando, inclusive,
o responsável pelo seu acontecimento;
X - resiliência, significando que os processos, sistemas e controles devem ser
projetados para que possam resistir ou se recuperar dos efeitos de um desastre; e
XI - substituição da segurança em situações de emergência, ou seja, os
controles de segurança devem ser desconsiderados somente de formas pré-
determinadas e seguras, devendo existir procedimentos e controles alternativos
previamente elencados para minimizar o nível de risco em situações de emergência.
CAPÍTULO III
DAS DIRETRIZES GERAIS
Art. 4º Estas diretrizes constituem os principais pilares da gestão de
segurança da informação no Ministério dos Direitos Humanos e da Cidadania,
norteando a elaboração de políticas, planos e normas complementares no âmbito deste
Ministério e objetivam a garantia dos princípios básicos de segurança da informação
estabelecidos nesta Política.
Art. 5º As normas, procedimentos, manuais e metodologias de segurança da
informação do Ministério devem considerar, como referência, além das citadas no
Anexo II, as melhores práticas de segurança da informação.
Art. 6º As ações de segurança da informação devem:
I - considerar, prioritariamente, os objetivos estratégicos, os planos
institucionais, a estrutura e a finalidade do Órgão;
II - ser tratadas de forma integrada, respeitando as especificidades e
autonomia das unidades do Ministério;
III - ser adotadas proporcionalmente aos riscos existentes e à magnitude dos
danos potenciais, considerados o ambiente, o valor e a criticidade da informação; e
IV - visar à prevenção da ocorrência de incidentes.
Art. 7º O investimento necessário em medidas de segurança da informação
deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo com o
risco de potenciais prejuízos para o Ministério.
Art. 8º Toda e qualquer informação gerada, custodiada, manipulada,
utilizada ou armazenada no Ministério dos Direitos Humanos e da Cidadania compõe
o seu ativo da informação e deve ser protegida conforme normas em vigor
estabelecidas no âmbito do Órgão, e, no que couber, conforme normativos constantes
do Anexo II.
Art. 9º As pessoas e sistemas devem ter o menor privilégio e o mínimo
acesso aos recursos necessários para realizar uma dada tarefa.
Parágrafo único. É condição para acesso aos recursos de tecnologia da
informação do Órgão a assinatura de Termo de Responsabilidade ou Termo de Ciência,
contendo ciência aos termos desta Política, as responsabilidades e compromissos em
decorrência deste acesso e penalidades cabíveis pela inobservância das regras previstas
nas normas de segurança da informação do Ministério dos Direitos Humanos e da
Cidadania.
Art. 10. Esta Política de Segurança da Informação e suas atualizações, bem
como normas específicas de segurança da informação do Ministério dos Direitos
Humanos e da Cidadania, deverão ser divulgadas amplamente a todos os
colaboradores, ainda que a atuação no Órgão seja temporária, a fim de promover sua
observância, seu conhecimento, bem como a formação da cultura de segurança da
informação.
§ 1º Os colaboradores devem ser continuamente capacitados nos
procedimentos de segurança e no uso correto dos ativos de informação quando da
realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da
informação.
§ 2º As ações de capacitação previstas no parágrafo anterior deverão ser
conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre
segurança da informação.
Art. 11. Todos os contratos de prestação de serviços, firmados pelo
Ministério dos Direitos Humanos e da Cidadania conterão cláusula específica sobre a
obrigatoriedade de atendimento às diretrizes desta Política de Segurança da
Informação.
Art. 12. A estrutura do Sistema de Gestão de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania será definida em norma específica.
§ 1º A estrutura prevista no caput deverá, contemplar em sua composição,
ao menos:
I - o Gestor de Segurança da Informação do Órgão;
II - a(s) equipe(s) de tratamento e resposta a incidentes em redes
computacionais; e
III - os comitês e subcomitês de segurança da informação.
§ 2º A Política de Segurança da Informação integra o arcabouço legal do
Sistema de Gestão de Segurança da Informação do Ministério dos Direitos Humanos e
da Cidadania.
§ 3º A estrutura do Sistema de Gestão de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania deverá estar em conformidade com o
modelo de governança do Ministério dos Direitos Humanos e da Cidadania.
CAPÍTULO IV
DAS COMPETÊNCIAS E RESPONSABILIDADES
Art. 13. A alta administração do Ministério dos Direitos Humanos e da
Cidadania deve se comprometer com o desenvolvimento e com a implementação do
Sistema de Gestão de Segurança da Informação do Ministério dos Direitos Humanos e
da Cidadania, bem como com o tratamento das ações e decisões de segurança da
informação em um nível de relevância e prioridade adequados.
Art. 14. Cabe ao Comitê de Segurança da Informação do Ministério dos
Direitos Humanos e da Cidadania:
I - estabelecer, regulamentar e rever, quando necessário, os princípios e
diretrizes desta Política, promover a implementação das ações preventivas e corretivas
de segurança da informação, de forma sistêmica e integrada aos negócios, e respaldar
a realização de auditorias, dentre outras competências previstas em seu regimento;
e
II - estabelecer normas e procedimentos destinados a disciplinar e proteger
o uso da informação no âmbito do Ministério, complementando a Política de
Segurança da Informação do Ministério dos Direitos Humanos e da Cidadania, sobre,
dentre outros que julgar pertinente, os seguintes temas julgados relevantes para a sua
atuação:
a) Tratamento da Informação;
b) Segurança Física e do Ambiente;
c) Gestão de Incidentes em Segurança da Informação;
d) Gestão de Ativos;
e) Gestão do Uso dos Recursos Operacionais e de Comunicações, como: e-
mail, acesso à internet, mídias sociais, computação em nuvem, dentre outros;
f) Controles de Acesso;
g) Gestão de Risco;
h) Gestão de Continuidade;
i) Auditoria e Conformidade;
j) Criptografia; e
k) Desenvolvimento Seguro de Software.
Art. 15. É responsabilidade de todos os gestores do Ministério o
conhecimento e a disseminação desta Política e demais normas específicas de
segurança da informação do Órgão aos colaboradores que estão sob a sua gestão.
Art. 16. Todos os colaboradores são responsáveis pela segurança dos ativos
de informação que estejam sob a sua responsabilidade.
Art. 17. É vedada a exploração de eventuais vulnerabilidades, as quais
devem ser comunicadas de ofício às instâncias superiores, assim que identificadas.
Art. 18. A Política de Segurança da Informação, demais normas internas e
procedimentos complementares têm abrangência universal, e devem ser cumpridas por
todos os servidores, colaboradores, estagiários, consultores externos e prestadores de
serviço que exerçam atividades no âmbito do Ministério dos Direitos Humanos e da
Cidadania ou quem quer que tenha acesso a dados ou informações no ambiente do
Ministério.
CAPÍTULO V
DAS PENALIDADES
Art. 19. Ações que violem a Política de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania poderão acarretar, isolada ou
cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e
penais, assegurados aos envolvidos o contraditório e a ampla defesa.
CAPÍTULO VI
DA ATUALIZAÇÃO
Art. 20. A Política de Segurança da Informação do Ministério dos Direitos
Humanos e da Cidadania deverá ser revisada em função de alterações na legislação
pertinente, de diretrizes políticas do Governo Federal, de alterações nos normativos do
Órgão, quando considerada necessária pelo Comitê de Segurança da Informação, ou a
cada doze meses a contar da data de sua publicação.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 21. Os órgãos integrantes do Sistema de Gestão de Segurança da
Informação do Ministério dos Direitos Humanos e da Cidadania poderão expedir
instruções complementares, no âmbito de suas competências, que detalharão suas
particularidades e procedimentos relativos à segurança da informação alinhados às
diretrizes emanadas pelo Comitê de Segurança da Informação e aos respectivos Planos
Estratégicos Institucionais desses órgãos.
Art. 22. As dúvidas sobre a Política de Segurança da Informação do
Ministério dos Direitos Humanos e da Cidadania e seus documentos devem ser
submetidas ao Comitê Estratégico de Segurança da Informação.
Art. 23. Aplicam-se a esta Política de Segurança da Informação, no que
couber, as disposições da Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709, de
14 de agosto de 2018, e da Lei de Acesso à Informação, Lei nº 12.527, de 18 de
novembro de 2011.
Art. 24. Esta Portaria entra em vigor na data de sua publicação.
SILVIO LUIZ DE ALMEIDA