PORTARIA MCOM Nº 14.196, DE 19 DE AGOSTO DE 2024 (parte 2 de 2)

ANEXO
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO MINISTÉRIO DAS
COMUNICAÇÕES
1. APRESENTAÇÃO
Art. 1º Este documento apresenta a Política de Segurança da Informação
(POSIN) do Ministério das Comunicações - MCOM. A POSIN está em conformidade com os
seguintes normativos:
I - Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política
Nacional de Segurança da Informação (PNSI) no âmbito da administração pública
federal;
II - Instrução Normativa nº 1, de 27 de maio de 2020, que estabelece a
Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da
administração pública federal;
III - Instrução Normativa nº 2, de 24 de julho de 2020, que altera a Instrução
Normativa nº 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão da
Segurança da Informação nos órgãos e nas entidades da administração pública federal;
IV - Instrução Normativa nº 3, de 28 de maio de 2021, que dispõe sobre os
processos relacionados à gestão de segurança da informação nos órgãos e nas entidades
da administração pública federal;
V - Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe sobre o
Programa de Privacidade e Segurança da Informação - PPSI; e
VI - Lei nº 13.709, de 14 de agosto de 2018, que cria a Lei Geral de Proteção
de Dados (LGPD).
2. INTRODUÇÃO
"Uma corrente é tão forte quanto seu elo mais fraco".
Art. 2º A Segurança da Informação abrange um conjunto de medidas destinadas
a proteger os ativos de informação contra diversos tipos de ameaças em seus aspectos
físicos, lógicos e humanos. Este documento estabelece princípios, diretrizes, competências,
responsabilidades e objetivos para a Política de Segurança da Informação (POSIN) do
Ministério das Comunicações - MCOM. A POSIN deve ser adotada e cumprida por todos os
servidores, estagiários, prestadores de serviços e demais usuários que utilizem informações
do ministério. A responsabilidade pela Segurança da Informação recai sobre todo o
ministério, abrangendo tanto atividades de apoio quanto atividades principais. Essa
responsabilidade deve ser compartilhada por todas as áreas e não se limita apenas aos
sistemas de informação, incluindo também documentos físicos e o comportamento das
pessoas. Portanto, o sucesso da POSIN depende do comprometimento de todos os
indivíduos, independentemente do seu nível hierárquico, pois qualquer pessoa, por
negligência ou má intenção, pode se tornar um vetor de divulgação não autorizada de
informações. A POSIN propõe uma abordagem de gestão que se baseia em controles e
procedimentos técnicos, ao mesmo tempo em que promove o comportamento adequado
dos colaboradores. Isso permite a aplicação da tecnologia adequada em todos os processos
e a efetiva proteção das informações em consonância com os objetivos do ministério, que
incluem compreender o negócio e aplicar medidas de segurança a ele.
Art. 3º Diversas ações e outros normativos de Segurança da Informação serão
implementados com o fim de padronizar e estabelecer regras sobre os processos
institucionais do MCOM.
3. ESCOPO
Art. 4º A Política de Segurança da Informação (POSIN) do Ministério das
Comunicações - MCOM, tem como principal objetivo estabelecer diretrizes e princípios que
orientam a segurança da informação no âmbito do MCOM. Essas diretrizes visam limitar a
exposição ao risco a níveis aceitáveis e garantir continuamente a disponibilidade,
integridade, confidencialidade, autenticidade, irretroatividade e não-repúdio das
informações que sustentam os objetivos estratégicos do ministério. Os objetivos específicos
da POSIN são os seguintes:
I - estabelecer diretrizes para a adoção de normas e procedimentos
relacionados à segurança da informação e comunicações no âmbito do MCOM;
II - fornecer ao MCOM normas que definem responsabilidades, diretrizes e
práticas adequadas para o manuseio, tratamento, controle e proteção contra a
indisponibilidade, divulgação, modificação e acesso não autorizado de dados e
informações; e
III - definir um conjunto de instrumentos normativos e organizacionais que
capacitem o MCOM a assegurar a confidencialidade, a integridade, a autenticidade, o não-
repúdio, a irretroatividade e a disponibilidade dos dados e das informações.
Art. 5º Esta POSIN aplica-se a todos os órgãos de assistência direta e imediata
ao Ministro de Estado, aos órgãos específicos singulares e às unidades descentralizadas,
não se aplicando às entidades vinculadas ao MCOM e deverá ser fielmente observada por
todos os usuários: pessoa física, seja servidor ou equiparado, empregado ou prestador de
serviços, habilitada pela administração para acessar os ativos de informação de um órgão
ou entidade da administração pública federal, formalizada por meio da assinatura de
Termo de Responsabilidade, conforme definição da Portaria GSI/PR nº 93, de 18 de
outubro de 2021, sob pena de responsabilidade, na forma da lei.
4. CONCEITOS E DEFINIÇÕES
Art. 6º Esta POSIN utiliza-se do Glossário de Segurança da Informação,
aprovado pelo Gabinete de Segurança Institucional da Presidência da República por meio
da Portaria GSI/PR nº 93, de 18 de outubro de 2021.
5. PRINCÍPIOS
Art. 7º A Política de Segurança da Informação do MCOM está fundamentada
nos seguintes princípios:
I - autenticidade: propriedade pela qual se assegura que a informação foi
produzida, expedida, modificada ou destruída por uma determinada pessoa física,
equipamento, sistema, órgão ou entidade;
II - celeridade: as ações de segurança da informação oferecem respostas
rápidas a incidentes e falhas;
III - clareza: as regras de segurança dos ativos de segurança da informação e
comunicações são precisas, concisas e de fácil entendimento;
IV - confidencialidade: propriedade pela qual se assegura que a informação não
esteja disponível ou não seja revelada a pessoa, a sistema, a entidade ou a órgão não
autorizados nem credenciados;
V - disponibilidade: propriedade pela qual se assegura que a informação esteja
acessível e utilizável sob demanda por uma pessoa física ou determinado sistema, órgão ou
entidade devidamente autorizados;
VI - equanimidade: as normas e regras de segurança da informação são
obedecidas por todos, sem distinção de cargo ou função;
VII - ética: os direitos dos agentes públicos são preservados sem
comprometimento da segurança da informação e comunicações;
VIII - finalidade: as normas e regras de segurança da informação consideram a
finalidade dos ativos e das informações a que se referirem;
IX - integridade: propriedade pela qual se assegura que a informação não foi
modificada ou destruída de maneira não autorizada ou acidental;
X - irretroatividade: visa garantir que o sistema não permita a geração de
documentos de forma retroativa no tempo;
XI - menor privilégio: restringir o acesso às informações, ao estritamente
necessário ao exercício das funções;
XII - não-repúdio: visa garantir que o autor não negue ter criado e assinado o
documento;
XIII - privacidade: informação que fira o respeito, à intimidade, à integridade e
a honra dos cidadãos não podem ser divulgadas;
XIV - publicidade: dar transparência no trato das informações, observado os
critérios legais. Divulgar a todos os agentes públicos do MCOM as diretrizes e as normas
de segurança da informação; e
XV - responsabilidade/obediência: os agentes públicos têm o dever de conhecer
e respeitar todas as normas de segurança da informação e comunicações do MCOM.
6. DIRETRIZES GERAIS
Art. 8º É dever do agente público do MCOM conhecer e cumprir a POSIN.
Art. 9º É condição para acesso aos ativos de informação do MCOM a adesão
formal aos termos desta Política, mediante assinatura de Termo de Responsabilidade.
Art. 10. Todos os agentes públicos do MCOM são responsáveis pela segurança
dos ativos de informação e comunicações que estejam sob a sua responsabilidade e por
todos os atos executados com suas identificações, tais como: identificação de usuário da
rede (login), crachá, carimbo, endereço de correio eletrônico ou qualquer forma de
assinatura digital.
Art. 11. Os recursos de Tecnologia da Informação e Comunicação (TIC)
disponibilizados pelo MCOM devem ser utilizados estritamente dentro do seu propósito.
7. DIRETRIZES ESPECÍFICAS
Art. 12. Esta política aplica-se tanto no ambiente informatizado quanto nos
meios convencionais de processamento, comunicação e armazenamento da informação e
rege-se pelas seguintes diretrizes:
I - Acesso à Internet - os critérios e procedimentos para utilização de serviço de
acesso à internet no âmbito do MCOM estão definidos na Portaria MCOM nº 5.055, de 24
de março de 2022, que aprova a norma complementar para uso seguro de serviço de
acesso à internet, em conformidade com esta POSIN e demais orientações e diretrizes
legais;
II - Auditoria e Conformidade - o uso dos recursos de Tecnologia da Informação
e Comunicação (TIC) disponibilizados pelo MCOM é passível de monitoramento e auditoria,
com utilização, sempre que possível, de softwares utilitários específicos para
monitoramento do uso dos sistemas, e serão implementados e mantidos, sempre que
possível, mecanismos que permitam a rastreabilidade desse uso;
III - Computação em Nuvem - as diretrizes e procedimentos para a utilização
segura de soluções de computação em nuvem no âmbito do MCOM estão estabelecidas
pela Portaria MCOM nº 5.053, de 24 de março de 2022, que aprova a norma
complementar para utilização segura de soluções de computação em nuvem, em
conformidade com esta POSIN e outras orientações e diretrizes legais pertinentes;
IV - Controles de Acesso - as regras de acesso lógico e utilização são definidas
na Portaria MCOM nº 2.805, de 11 de junho de 2021, que aprova a norma complementar
para controle de acesso lógico do Ministério das Comunicações, em conformidade com
esta POSIN e demais orientações e diretrizes legais;
V - Gestão de Ativos de Informação - as diretrizes para o processo de inventário
e mapeamento de ativos de informação do MCOM estão definidas na Portaria MCOM nº
4.549, de 28 de janeiro de 2021, que aprova a norma complementar para inventário e
mapeamento de ativos de informação, em conformidade com esta POSIN e demais
orientações e diretrizes legais;
VI - Gestão de Continuidade:
a) o MCOM deve manter Processo de Gestão de Continuidade de Negócio
(PGCN) em segurança da informação e comunicações no âmbito do MCOM, visando reduzir
a possibilidade de interrupção causada por desastres ou falhas nos recursos de TIC que
suportam as operações do MCOM e assegurar a sua retomada em tempo hábil; e
b) o PGCN será regido por norma específica, em conformidade com esta POSIN
e demais orientações governamentais e legislação em vigor.
VII - Gestão de Cópias de Segurança e Restauração de Dados - as diretrizes para
o processo de cópia e armazenamento dos dados sob a guarda da Coordenação-Geral de
Tecnologia da Informação estão estabelecidas pela Portaria MCOM nº 4.547, de 28 de
janeiro de 2021, que aprova a norma complementar para cópia de segurança e restauração
de dados, em conformidade com esta POSIN e outras orientações e diretrizes legais
pertinentes;
VIII - Gestão de Incidentes em Segurança da Informação - as diretrizes para o
serviço de tratamento de incidentes cibernéticos estão definidas na Portaria MCOM nº
3.857, de 14 de outubro de 2021, que aprova a norma complementar para tratamento de
incidentes cibernéticos, em conformidade com esta POSIN e demais orientações e
diretrizes legais;
IX - Gestão de Risco - os princípios, diretrizes e responsabilidades a serem
observadas e seguidas para a gestão de riscos e de controles internos referentes aos
planos estratégicos, programas, projetos e processos do MCOM estão estabelecidos pela
Resolução CTIR nº 1/2021/SEI-MCTIC, que aprova a política de gestão de riscos e controle
interno do MCOM, em conformidade com esta POSIN e outras orientações e diretrizes
legais pertinentes;
X - Gestão de Vulnerabilidades - as diretrizes para o gerenciamento de
vulnerabilidades no âmbito do MCOM estão estabelecidas pela Portaria MCOM nº 7.475,
de 11 de novembro de 2022, que aprova a norma complementar para gerenciamento de
vulnerabilidades, em conformidade com esta POSIN e outras orientações e diretrizes legais
pertinentes;
XI - Propriedade da Informação:
a) toda informação criada, armazenada, transportada ou descartada pelos
agentes públicos do MCOM, no exercício de suas atividades, é de propriedade do órgão e
é protegida segundo as diretrizes descritas na POSIN e nas regulamentações em vigor;
b) na cessão de bases de dados nominais, informação custodiada ou de
propriedade do MCOM a terceiros, o curador do dado providenciará a documentação
formal relativa à cessão ou autorização de acesso às informações antes da sua
disponibilização, sobretudo para os dados aos quais se aplique a Lei Geral de Proteção de
Dados Pessoais (LGPD), Lei nº 13.709, de 14 de agosto de 2018; e
c) nos casos de obtenção de informações de terceiros, o gestor da área na qual
a informação será utilizada deverá, se necessário, providenciar junto à concedente a
documentação formal relativa à cessão de direitos sobre informações de terceiros antes de
seu uso, sobretudo no caso de titulares de dados pessoais aos quais se aplique a Lei nº
13.709/2018.
XII - Redes Sociais - as diretrizes para uso seguro de mídias sociais estão
definidas na Portaria MCOM nº 7.477, de 11 de novembro de 2022, que aprova a norma
complementar para uso seguro de mídias sociais, em conformidade com esta POSIN e
demais orientações e diretrizes legais;
XIII - Segurança física e do ambiente:
a) deverão ser implementados controles de acesso físico para o acesso às
dependências do Ministério das Comunicações, com a disponibilização de credenciais que
permitam o acesso dos agentes públicos às instalações do órgão;
b) deverão ser disponibilizadas credenciais de acesso físico também aos
visitantes, que permitirão o acesso destes às instalações do Ministério, sempre mediante
autorização de servidor da área visitada; e
c) nos casos de invalidação temporária ou definitiva das credenciais de acesso
de agentes públicos, o acesso aos ativos de informação do órgão dar-se-á mediante as
condições estabelecidas para os visitantes.
XIV - Tratamento da Informação:
a) toda informação criada, manuseada, armazenada, transportada, descartada
ou custodiada pelo MCOM é de sua responsabilidade e são classificadas e protegidas
adequadamente, quanto aos aspectos de confidencialidade, integridade, autenticidade e
disponibilidade, de forma explícita ou implícita, conforme o Decreto nº 7.845, de 14 de
novembro de 2012 e a Lei nº 13.709, de 14 de agosto de 2018;
b) a classificação e reclassificação da informação é atribuição do Gestor da
Informação, que é também responsável por conceder acesso a ela;
c) toda informação institucional, se eletrônica, estará armazenada nos
servidores de arquivo e bases de dados sob gestão e administração da área de TIC e, se
não eletrônica, mantida em local que a salvaguarde adequadamente mediante
comunicação a área de gestão documental do MCOM;
d) toda informação institucional, sob a forma eletrônica, estará salvaguardada
por meio de cópia de segurança sob administração da área de TIC e mantida em local que
a proteja adequadamente e garanta sua recuperação em caso de perda da informação
original;
e) no descarte de informações institucionais são observados as políticas, as
normas, os procedimentos internos, a classificação que a informação possui, bem como a
temporalidade prevista na legislação; e
f) as informações classificadas conforme a legislação vigente, produzida,
armazenada e transportada em meios eletrônicos, utilizará criptografia compatível com o
grau de sigilo, em especial as informações de autenticação dos usuários das aplicações;
e
XV - Uso de correio eletrônico - as regras para o uso de correio eletrônico no
âmbito do MCOM estão definidas na Portaria MCOM nº 3.858, de 14 de outubro de 2021,
que aprova a norma complementar para regulamentação do uso de correio eletrônico, em
conformidade com esta POSIN e demais orientações e diretrizes legais.
8. COMPETÊNCIAS E RESPONSABILIDADES
Art. 13. Compete à alta direção do MCOM:
I - prestar o suporte administrativo necessário à gestão da POSIN; e
II - garantir os recursos necessários para a execução da POSIN no âmbito do
MCOM.
Art. 14. Compete à área de TIC, conforme previsão na Portaria MCOM nº 8.374,
de 6 de fevereiro de 2023, coordenar campanhas de divulgação para a disseminação da
Política de Segurança da Informação e da cultura de segurança cibernética entre os
usuários dos recursos de TIC.
Art. 15. As competências da Equipe de Tratamento e Resposta a Incidentes
Cibernéticos - ETIR, estão definidas na Portaria nº 8.490, de 24 de fevereiro de 2023, que
dispõe sobre a política de governança do MCOM.
Art. 16. As competências do Subcomitê de Segurança da Informação - SINF,
estão definidas na Portaria nº 8.490, de 24 de fevereiro de 2023, que dispõe sobre a
política de governança do MCOM.
Art. 17. Compete ao Gestor de Segurança da Informação, a ser designado pela
alta administração:
I - coordenar o Subcomitê de Segurança da Informação ou estrutura
equivalente;
II - coordenar a elaboração das normas internas de segurança da informação do
órgão, observadas as normas afins exaradas pelo Gabinete de Segurança Institucional da
Presidência da República;
III - assessorar a alta administração na implementação da Política de Segurança
da Informação;
IV - estimular ações de capacitação e de profissionalização de recursos
humanos em temas relacionados à segurança da informação;
V - promover com o apoio da alta administração, a divulgação da política e das
normas internas de segurança da informação do órgão a todos os servidores, usuários e
prestadores de serviços que trabalham no órgão ou na entidade;
VI - incentivar estudos de novas tecnologias, bem como seus eventuais
impactos relacionados à segurança da informação;
VII - propor recursos necessários às ações de segurança da informação;
VIII - acompanhar os trabalhos da Equipe de Tratamento e Resposta a
Incidentes Cibernéticos;
IX - verificar os resultados dos trabalhos de auditoria sobre a gestão da
segurança da informação;
X - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da segurança da informação;
XI - manter contato direto com o Departamento de Segurança da Informação
do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos
à segurança da informação; e
XII - aprovar normas e procedimentos relativos à segurança da informação e
comunicações no âmbito do Ministério das Comunicações.
Art. 18. Compete aos usuários dos ativos de informação e dos recursos de TIC
disponibilizados pelo MCOM:
I - acessar a rede de dados do MCOM somente após tomar ciência das normas
da POSIN e assinar o Termo de Responsabilidade;
II - ao assinar o Termo de Responsabilidade, o usuário declara, formalmente,
ter pleno conhecimento e aceitar expressamente, sem reservas, os termos desta POSIN;
III - tratar a informação digital como patrimônio do MCOM e um recurso cujo
sigilo deve ser preservado;
IV - utilizar as informações digitais disponibilizadas e os sistemas e produtos
computacionais de propriedade ou direito de uso do MCOM exclusivamente para o
interesse do serviço;
V - preservar o conteúdo das informações sigilosas a que tiver acesso, sem
divulgá-las para pessoas não autorizadas e/ou que não tenham necessidade de conhecê-las;
VI - não se fazer passar por outro usuário usando a identificação de acesso
(login) e senha de terceiros;
VII - no caso de exoneração, demissão, licenciamento, término de prestação de
serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos
sigilosos a que teve acesso;
VIII - não compartilhar, transferir, divulgar ou permitir o conhecimento de
credenciais de acesso (senhas) utilizadas no ambiente computacional do MCOM para terceiros;
IX - não transmitir, copiar ou reter arquivos contendo textos, fotos, filmes ou
quaisquer outros registros que contrariem a moral, os bons costumes e a legislação vigente;
X - não transferir qualquer tipo de arquivo que pertença ao MCOM para outro
local, seja por meio magnético ou não, exceto no interesse do serviço e mediante
autorização da autoridade competente;
XI - estar ciente de que toda informação digital armazenada, processada e
transmitida no ambiente computacional do MCOM pode ser auditada;
XII - estar ciente de que o correio eletrônico é de uso exclusivo para o interesse
do serviço e que qualquer correspondência eletrônica originada ou retransmitida no
ambiente computacional da administração central do Ministério das Comunicações deve
obedecer a esse preceito; e
XIII - utilizar as credenciais de acesso (login e senha) e os recursos
computacionais, em conformidade com a POSIN do MCOM procedimentos estabelecidos
em normas específicas do órgão.
9. PENALIDADES
Art. 19. O desrespeito, descumprimento ou violação de um ou mais itens
constantes nesta POSIN caracteriza infração funcional passível de suspensão temporária ou
permanente de privilégios de acesso aos recursos de TIC, em penas e sanções legais
impostas por meio de medidas administrativas sem prejuízo das demais medidas
administrativas, cíveis e penais cabíveis.
10. APROVAÇÃO E PUBLICAÇÃO
Art. 20. Conforme disposto nos arts. 9º e 10 da IN GSI/PR nº 1, de 27 de maio
de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos
e nas entidades da administração pública federal, é obrigatório a todos os órgãos e as
entidades da administração pública federal possuir uma Política de Segurança da
Informação, implementada a partir da formalização e aprovação por parte da autoridade
máxima da instituição, devendo ser elaborada sob a coordenação do Gestor de Segurança
da Informação do órgão com a participação do Comitê de Segurança da Informação.
Art. 21. Sua publicação deve ser oficializada por meio de Portaria assinada. Com
intuito de dar transparência e publicidade, o documento será divulgado no sítio eletrônico
do MCOM (https://www.gov.br/mcom/pt-br).
11. POLÍTICA DE ATUALIZAÇÃO
Art. 22. Esta POSIN deverá ser revisada e atualizada quando identificada
necessidade, no limite de até 4 (quatro) anos, a contar da data de sua publicação,
observados os devidos procedimentos de aprovação.
Art. 23. Os instrumentos normativos gerados a partir desta POSIN deverão ser
revisados sempre que se fizer necessário.
12. DISPOSIÇÕES FINAIS
Art. 24. Os casos omissos serão resolvidos pelo Subcomitê de Segurança da
Informação (SINF).
Art. 25. As propostas de alteração ou criação de normas internas sobre
segurança da informação deverão ser encaminhadas ao SINF.
Art. 26. Esta Política Interna entrará em vigor a partir da data de sua publicação.