PORTARIA MINC Nº 174, DE 17 DE DEZEMBRO DE 2024 (parte 1 de 2)

PORTARIA MINC Nº 174, DE 17 DE DEZEMBRO DE 2024
Dispõe sobre a Estratégia de uso de software e de
serviços de computação em nuvem no âmbito do
Ministério da Cultura.
A MINISTRA DE ESTADO DA CULTURA, no uso da atribuição que lhe conferem o
inciso II do parágrafo único do art. 87 da Constituição Federal, e o inciso II do art. 15 do
Decreto nº 9.637, de 26 de dezembro de 2018, resolve:
Art. 1º. A estratégia de uso de software e de serviços de computação em
nuvem tem o objetivo de assegurar que o Ministério da Cultura obtenha os resultados
esperados e mitigue os riscos associados à adoção de possíveis novas tecnologias ou novas
formas de contratação de softwares e serviços de computação em nuvem.
CAPÍTULO I
DISPOSIÇÕES GERAIS
Art. 2º. A Estratégia de uso de software e de serviços de computação em
nuvem do Ministério da Cultura considera a natureza e a finalidade do órgão e está
alinhada ao seu planejamento estratégico para as atividades de gestão da informação e
disponibilização de serviços internos e externos.
Art. 3º. A Estratégia de uso de software e de serviços de computação em
nuvem está alinhada com a Política de Segurança da Informação do órgão; portanto, para
os fins do disposto nesta Portaria, conforme o art. 2º do Decreto nº 9.637, de 26 de
dezembro de 2018, alterado pelo Decreto nº 10.641, de 2 de março de 2021, a segurança
da informação abrange:
I - a defesa cibernética;
II - a segurança física e a proteção de dados organizacionais; e
II - as ações destinadas a assegurar a disponibilidade, a integridade e a
autenticidade da informação, bem como sua confidencialidade, quando exigível.
Art. 4º. Esta estratégia deve ser aplicada para novas contratações de software
e de serviços de computação em nuvem no âmbito do Ministério da Cultura, tais como:
I - software sob o modelo de licenciamento permanente de direitos de uso;
II - software sob o modelo de cessão temporária de direitos de uso;
III - software sob o modelo de subscrição ou como Serviço (SaaS);
IV - infraestrutura como Serviço (IaaS);
V - plataforma como Serviço (PaaS);
VI - suporte técnico para software e serviços de computação em nuvem;
VII - serviço de operação e gerenciamento de recursos em nuvem;
VIII - serviço de migração de recursos para ambiente de nuvem;
IX - integração de serviços de computação em nuvem; e
X - consultoria especializada em software e/ou serviços de computação em
nuvem.
CAPÍTULO II
DAS REFERÊNCIAS
Art. 5º. Para o desenvolvimento da estratégia de uso de software e de serviços
de computação em nuvem, cabe ao Ministério da Cultura observar, sem prejuízo das
demais normas em vigor:
I - Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023 que estabelece
modelo de contratação de software e de serviços de computação em nuvem, no âmbito
dos órgãos e entidades integrantes do Sistema de Administração dos Recursos de
Tecnologia da Informação - SISP do Poder Executivo Federal;
II - Instrução Normativa GSI/PR Nº 5, de 30 de agosto de 2021, que dispõe
sobre os requisitos mínimos de segurança da informação para utilização de soluções de
computação em nuvem pelos órgãos e pelas entidades da administração pública federal;
III - Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política
Nacional de Segurança da Informação;
IV - Resolução SE/GSI nº 1, de 11 de setembro de 2019, que aprova o
Regimento Interno do Comitê Gestor de Segurança da Informação;
V - Portaria GSI/PR nº 93, de 18 de outubro de 2021, que aprova o Glossário
de Segurança da Informação;
VI - Decreto nº 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia
Nacional de Segurança Cibernética;
VII - Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020 que dispõe sobre
a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da
administração pública federal;
VIII - Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021 que dispõe sobre
os processos relacionados à gestão de segurança da informação nos órgãos e nas entidades
da administração pública federal;
IX - Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021 que dispõe
sobre os requisitos mínimos de segurança da informação para utilização de soluções de
computação em nuvem pelos órgãos e pelas entidades da administração pública federal;
X - Decreto nº 10.641, de 2 de março de 2021, que altera o Decreto nº 9.637,
de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação,
dispõe sobre a governança da segurança da informação, e altera o Decreto nº 2.295, de 4
de agosto de 1997, que regulamenta o disposto no art. 24, caput, inciso IX, da Lei nº 8.666,
de 21 de junho de 1993, e dispõe sobre a dispensa de licitação nos casos que possam
comprometer a segurança nacional;
XI - Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe o Programa
de Privacidade e Segurança da Informação; e
XII - demais leis, decretos, resoluções, portarias e instruções normativas
relacionadas à segurança da informação, publicadas pelo Gabinete de Segurança
Institucional da Presidência da República.
CAPÍTULO III
DOS PRINCÍPIOS
Art. 6º. A Política de Segurança da Informação do Ministério da Cultura será
norteada pelos princípios estabelecidos no art. 4º da Portaria MinC nº 48, de 1º de agosto
de 2023.
CAPÍTULO IV
DAS DIRETRIZES E NORMAS INTERNAS DE SEGURANÇA DA INFORMAÇÃO
Seção I
Da identificação das necessidades do negócio
Art. 7º. O Ministério da Cultura deve identificar e avaliar as necessidades de
negócio antes da contratação de software e de serviços de computação em nuvem, deve-
se determinar quais sistemas, aplicações, dados e serviços precisam ser movidos para a
nuvem, como eles serão acessados e quais recursos computacionais e de armazenamento
serão necessários.
Parágrafo único. Deve-se avaliar, quando da concepção de novos serviços e
sistemas, quanto à viabilidade de que os serviços sejam desenvolvidos para utilização em
ambientes de nuvem ou não.
Seção II
Da seleção dos modelos adequados
Art. 8º. O Ministério da Cultura deve avaliar quais modelos de serviço (IaaS,
PaaS, SaaS) e de implementação (nuvem pública, nuvem privada, nuvem híbrida etc.)
melhor se adequam aos requisitos de negócio, sempre dando preferência à adoção de uma
abordagem estratégica de nuvem híbrida.
§1º Quando houver estudos que apontem que a demanda prevista pode ser
melhor atendida integralmente por meio de serviços em nuvem, uma abordagem
completa, incluindo as demandas de migração do ambiente on-premises para a nuvem
deverá ser adotada.
§2º Quando houver a previsão de implementação de soluções totalmente em
nuvem, deverá ser inserido no processo de aquisição um plano de recuperação dos
serviços em caso de descontinuidade do instrumento contratual por fatores externos ao
controle do Ministério da Cultura.
Seção III
Da avaliação dos possíveis fornecedores
Art. 9º. Os estudos técnicos preliminares devem abranger o levantamento dos
possíveis fornecedores aptos ao atendimento dos requisitos de negócio, de forma a
garantir que exista uma quantidade mínima de fornecedores com experiência e que
atendam aos requisitos necessários ao atendimento da demanda. Fatores como segurança,
conformidade, disponibilidade e suporte técnico devem ser considerados nessa
avaliação.
Art. 10. Deve-se determinar quais requisitos de segurança são importantes ou
mandatórios para o negócio e deve ser avaliado, quando for o caso, como cada possível
fabricante ou fornecedor atende a esses requisitos.
Seção IV
Quanto ao uso seguro de software e de serviços de computação em nuvem
Art. 11. O Ministério da Cultura deve observar os normativos que versam sobre
segurança da informação e sobre o tratamento de informações em nuvem, bem como
identificar, sob essa perspectiva, quais os sistemas ou workloads que podem ser migrados,
assim como as medidas de gerenciamento de risco a serem adotadas para resguardar as
informações sigilosas que eventualmente serão tratadas em ambiente de nuvem.
Seção V
Condições mínimas de infraestrutura de TIC para utilizar serviços de
computação em nuvem
Art. 12. O Ministério da Cultura deve efetuar a avaliação quanto às condições
mínimas de infraestrutura de TIC do órgão ou da entidade para utilizar serviços de
computação em nuvem, a exemplo de conexão estável com a Internet e com banda
suficiente.
Seção VI
Definição de diretrizes de governança para o uso da nuvem
Art. 13. O Ministério da Cultura deve garantir que as contratações apresentem
claramente as diretrizes e os papéis e responsabilidades dos atores organizacionais (da TI,
das áreas de negócio e da nuvem), observando as práticas e orientações fornecidas pela
Secretaria de Governo Digital - SGD em seus manuais e normativos relacionados a
contratações de softwares e serviços em nuvem.
Seção VII
Definição dos princípios norteadores da estratégia
Art. 14. São princípios norteadores desta estratégia:
I - otimização do uso dos recursos disponíveis no Datacenter com foco na
perenidade e padronização das soluções;
II - utilização da Nuvem como solução complementar ao uso do Datacenter
local do Ministério da Cultura;
III - priorização das contratações de softwares por meio de licenças como
serviço, evitando a aquisição de soluções com licenciamento perpétuo;
IV - lift-and-shift como último recurso, devendo ser evitada a migração de
aplicativos do Datacenter para a nuvem sem primeiramente adaptar tais recursos para o
ambiente de nuvem.
Seção VIII
Quanto ao alinhamento com outros planos estratégicos
Art. 15. Esta estratégia possui alinhamento com os seguintes planos
estratégicos:
I - Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC;
II - Planejamento Estratégico Institucional do Ministério da Cultura;
III - Plano de Contratações Anual (PCA);
IV - Plano de Gestão de Segurança da Informação.
Seção IX
Estabelecimento de linhas de base e metas de benefícios/resultados
esperados
Art. 16. O Ministério da Cultura deve definir, em seu Plano Diretor de
Tecnologia da Informação e Comunicação, as linhas de base e metas de
benefícios/resultados esperados, junto às ações relacionadas a esta estratégia, objetivando
maior agilidade, redução de custos, resiliência, mais segurança.
Seção X
Capacitação da equipe do órgão ou entidade que gerenciará as ações desta
estratégia
Art. 17. O Ministério da Cultura deve capacitar a equipe que gerenciará,
operará ou utilizará os recursos de software e de computação de serviços em nuvem,
identificando as capacidades e habilidades necessárias.
Seção XI
Portabilidade e interoperabilidade entre sistemas, dados e serviços
Art. 18. O Ministério da Cultura deve considerar a viabilidade de adoção de
medidas para mitigar a dependência tecnológica ou aprisionamento ao provedor.
Seção XII
Dos requisitos regulatórios e de conformidade
Art. 19. O Ministério da Cultura deve considerar os requisitos regulatórios e de
conformidade para o uso seguro de software e serviços de computação em nuvem no
âmbito da administração pública federal.
Parágrafo único. Devem ser incluídos, nos instrumentos contratuais com os
provedores de nuvem, cláusulas e mecanismos que garantam, ao menos, o sigilo dos dados
no armazenamento e em trânsito, a não transferência dos dados a terceiros, a remoção
incondicional dos dados após o término do contrato e a não utilização dos dados, para
quaisquer fins, pelo provedor ou por terceiros.
Seção XIII
Estratégia de saída
Art. 20. O Ministério da Cultura deve considerar a análise de dependências e
aspectos de portabilidade (backup, redundância, contratos de apoio, retorno para a
infraestrutura local etc.).
CAPÍTULO V
DEFINIÇÃO DOS REQUISITOS PARA O USO SEGURO DE COMPUTAÇÃO EM
NUVEM
Seção XIV
Análise de riscos
Art. 21. O Ministério da Cultura deve considerar as diretrizes de gerenciamento
de riscos constantes no modelo de contratação de software e de serviços de computação
em nuvem estabelecidos na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, na
Instrução Normativa GSI/PR Nº 5, de 30 de agosto de 2021, ou em documentos
equivalentes publicados posteriormente.
Art. 22. O Ministério da Cultura deve tratar os requisitos para uso seguro de
computação em nuvem por meio de Norma Interna de Segurança da Informação a ser
aprovada pelo Comitê de Governança Digital e Segurança da Informação.
CAPÍTULO VI
DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES
Seção XV
Da Alta Administração
Art. 23. Compete à alta administração, apoiada pela área de tecnologia da
informação e demais áreas competentes:
I - assegurar a utilização de tecnologias de computação em nuvem em
conformidade com as orientações contidas neste documento; e
II - disponibilizar recursos financeiros e humanos para a implementação desta
estratégia.
Seção XVI
Do Comitê de Governança Digital e Segurança da Informação
Art. 24. As competências do Comitê de Governança Digital e Segurança da
Informação, no âmbito das ações de Segurança da Informação, estão previstas no art. 3º,
da Portaria MinC nº 13, de 30 de março de 2023.
Seção XVII
Do Gestor de Segurança da Informação
Art. 25. As competências do Gestor de Segurança da Informação estão
dispostas no art. 19 da Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020.
Seção XVIII
Quanto à área de Tecnologia da Informação do Ministério da Cultura
Art. 26. Compete à autoridade da área de tecnologia da informação do
Ministério da Cultura implementar os procedimentos relativos ao uso de tecnologias de
computação em nuvem, em conformidade com as orientações contidas neste documento
e na legislação pertinente.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 27. Esta estratégia de uso de software e de serviços de computação em
nuvem deverá ser divulgada amplamente no âmbito do Ministério da Cultura.
Parágrafo único. A Estratégia de uso de software e de serviços de computação
em nuvem, bem como todas as normas dela decorrentes, deverão ser revisadas e
atualizadas sempre que se fizer necessário, não excedendo o período máximo de 4 (quatro)
anos.
Art. 28. As novas contratações de software e serviços de computação em
nuvem devem observar as diretrizes apresentadas neste documento, bem como o modelo
de contratação de software e de serviços de computação em nuvem, no âmbito dos órgãos
e das entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da
Informação - SISP do Poder Executivo Federal.
Art. 29. Os casos omissos não abordados neste documento serão analisados
pelo Comitê de Governança Digital e Segurança da Informação.
Art. 30. Esta Portaria entra em vigor na data de sua publicação.
MARGARETH MENEZES DA PURIFICAÇÃO COSTA