PORTARIA MDS Nº 1.060, DE 25 DE FEVEREIRO DE 2025

PORTARIA MDS Nº 1.060, DE 25 DE FEVEREIRO DE 2025
Regulamenta o uso do serviço de correio eletrônico
(e-mail) institucional e normatiza regras para
criação, administração e exclusão de caixas postais
institucionais.
O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL,
FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o artigo 87,
parágrafo único, incisos I e II, da Constituição Federal, e tendo em vista o disposto no
Decreto nº 9.637, de 26 de dezembro de 2018, resolve:
Art. 1º Esta Portaria regulamenta o uso do serviço de correio eletrônico (e-
mail) institucional e normatiza as regras para criação, administração e exclusão de caixas
postais institucionais.
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 2º Os ativos de tecnologia da informação fornecidos pelo Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome - MDS são de uso
corporativo, para os fins a que se destinam e no interesse da Administração, sendo
considerada imprópria a sua utilização para propósitos não profissionais ou não
autorizados.
Art. 3º Os ativos de informação do MDS, tais como e-mail, internet,
computadores, sistemas e informações, são passíveis de monitoramento e podem ter seu
uso investigado quando houver indícios de quebra de segurança, por meio de mecanismos
que permitam a rastreabilidade de seu uso.
Art. 4º A utilização do correio eletrônico institucional, no âmbito do MDS,
observará as seguintes regras gerais:
I - será concedida ao colaborador uma única conta de correio eletrônico
individual, que terá a mesma identificação que a conta usada para login de rede e acesso
aos recursos de Tecnologia da Informação e Comunicações - TIC;
II - os dados de login (nome de usuário e senha) não devem ser
compartilhados com terceiros, sendo a responsabilidade exclusiva do usuário.
III - a senha deve ser complexa para evitar decifração fácil, devendo ser
evitada a utilização de senhas previsíveis, tais como data de nascimento, sobrenome ou
nomes que possam ser facilmente associados ao usuário;
IV - a utilização dos serviços de correio eletrônico pelo usuário deverá manter
afinidade com o objeto de seu trabalho, inclusive em relação ao conteúdo de documentos
e arquivos anexos;
V - as mensagens emitidas, por meio do correio eletrônico institucional são
elementos que contribuem para a formação da imagem do MDS, devendo guardar o
mesmo tratamento dedicado a documentos impressos;
VI - é vedada a cessão, a qualquer título, de endereços de correio eletrônico
institucionais a pessoas não pertencentes ao quadro de pessoal do MDS, salvo para
atender à finalidade específica do Ministério;
VII - o espaço de armazenamento de cada conta de correio eletrônico estará
limitado ao que for definido pelo MDS, cabendo ao seu usuário realizar a manutenção
deste espaço, para que não deixe de receber mensagens;
VIII - manutenções periódicas no sistema, que impliquem na indisponibilidade
temporária do serviço, devem ser planejadas para que aconteçam preferencialmente fora
do horário de expediente e informadas com antecedência aos usuários;
IX - o campo "Assunto" do formulário de correio eletrônico deve ser
preenchido de maneira a facilitar a organização documental tanto do destinatário quanto
do remetente; e
X - para que a mensagem do correio eletrônico tenha valor documental, é
importante que exista certificação digital que ateste a autenticidade do remetente nos
termos da legislação em vigor.
Art. 5º Considera-se uso indevido do correio eletrônico:
I - tentativa de acesso não autorizado à caixa postal de terceiro;
II - disponibilizar informações sobre usuários e suas respectivas senhas, mesmo
que de sua responsabilidade, para qualquer pessoa ou organização;
III - envio de mensagens em desacordo com a legislação vigente;
IV - envio de material obsceno, ilegal ou antiético, comercial, político-eleitoral,
estritamente pessoal, de propaganda, mensagens do tipo "corrente", entretenimento,
conteúdos ilegais de incitação à violência ou que não respeitem os direitos autorais ou
objetivos comerciais particulares, SPAM (envio de mensagem não solicitada), propaganda
política e HOAX (mensagens enganosas);
V - envio de mensagens ofensivas ou com intuito de atingir a honra, a imagem
e/ou a dignidade das pessoas;
VI - envio de mensagens contendo código malicioso (malware), vírus ou
qualquer forma de rotinas de programação prejudiciais ou danosas aos serviços de
tecnologia da informação e comunicação;
VII - falsificar a identidade de outrem, como usar o endereço de e-mail de
outra pessoa ou fazer declaração inverídica de sua identidade ou da fonte de qualquer
correio eletrônico;
VIII - transmitir ilegalmente propriedade intelectual de terceiros ou outros
tipos de informações proprietárias sem a permissão do proprietário ou do licenciante;
IX - usar o correio eletrônico institucional para violar direitos;
X - promover ou incentivar atividades ilícitas;
XI - vender, comprar, negociar, revender, transferir ou de alguma forma
explorar para fins comerciais não autorizados qualquer conta do correio eletrônico
institucional;
XII - modificar, adaptar, traduzir ou fazer engenharia reversa de qualquer parte
do serviço de correio eletrônico institucional;
XIII - reformatar qualquer página da web que faça parte do serviço de e-mail
institucional;
XIV - praticar quaisquer atos que violem a legislação vigente;
XV - outras atividades que possam afetar negativamente o MDS, servidores e
terceiros e que não tenham finalidade amparada pela legislação;
XVI - cadastrar conta de e-mail de usuário individual ou conta institucional em
qualquer tipo de serviço disponibilizado na internet, a exemplo de sites de
relacionamento, de comércio eletrônico e de redes sociais; e
XVII - o acesso, a guarda e o encaminhamento de material não ético,
discriminatório, malicioso, obsceno ou ilegal, por intermédio dos ativos de informação
disponibilizados pelo MDS.
§ 1º Caso ocorra a constatação de má utilização do serviço de mensageria,
poderá ser solicitado à Equipe de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos - ETIR que investigue o acesso do usuário ao correio eletrônico.
§ 2º O acesso do usuário ao serviço de correio eletrônico do MDS poderá ser
suspenso em caso de comprovação de utilização inadequada, sem prejuízo das ações
disciplinares e legais cabíveis.
Seção I
Do Objetivo
Art. 6º Esta norma complementar à Política de Segurança da Informação do
Ministério tem por objetivos:
I - disciplinar a utilização do correio eletrônico (e-mail) institucional;
II - estabelecer diretrizes básicas a serem seguidas pelos usuários e
administradores dessa ferramenta, no âmbito do MDS, com o intuito de garantir a
exclusividade de sua destinação às finalidades institucionais; e
III - preservar a disponibilidade, confidencialidade, integridade e autenticidade
das informações e dos dados pessoais, conforme a legislação vigente.
Seção II
Dos Conceitos e Definições
Art. 7º Os termos e as definições utilizados nesta norma complementar
seguem o Glossário de Segurança da Informação da Secretaria de Segurança da
Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da
República - SSIC/GSI/PR.
CAPÍTULO II
DO FORNECIMENTO E MANUTENÇÃO DAS CONTAS DE CORREIO ELETRÔNICO
Art. 8º Serão fornecidos os seguintes tipos de contas de correio eletrônico:
I - contas de usuário individual: para pessoa física, servidor público, agente
público, terceiro, desde que devidamente autorizado e credenciado para utilizar o serviço
de correio eletrônico institucional;
II - contas de usuário institucional: para grupos de usuários e/ou unidades
administrativas devidamente autorizados e credenciados para utilizar o serviço de correio
eletrônico institucional; e
III - conta de usuário externo/temporário: para usuários temporários, que
necessitam de acesso à rede deste Ministério, mas não fazem parte do quadro de
colaboradores do MDS, sendo o acesso ao correio eletrônico concedido apenas se um
servidor formalizar a solicitação, fornecendo uma justificativa adequada e especificando o
prazo de uso da conta.
Art. 9º Para solicitação de um endereço de correio eletrônico, o servidor
deverá entrar em contato com sua chefia imediata, que formalizará a demanda junto à
área competente, conforme disciplinado pelo MDS.
§ 1º A criação ou não de contas de correio eletrônico para estagiários será
disciplinada internamente, considerando as necessidades do Ministério.
§ 2º As contas criadas para usuários individuais são de responsabilidade do
próprio usuário.
§ 3º Uma conta de usuário institucional criada para atender um grupo de
usuários ou uma unidade administrativa será de responsabilidade de um único titular.
§ 4º Em caso de alteração de cargo ou função do usuário, a conta de correio
eletrônico será revisada para refletir a nova situação.
§ 5º As contas de usuário institucional criadas para atender uma unidade
administrativa deverão ter como nome de usuário a sigla da unidade administrativa,
conforme definida no Sistema de Organização e Inovação Institucional do Governo Federal
- SIORG (<https://siorg.planejamento.gov.br/siorg-
cidadaowebapp/pages/listar_orgaos_estruturas/listar_orgaos_estruturas.jsf >).
§ 6º Caso haja necessidade de criação de conta de usuário institucional que
não seja para atender unidade administrativa, no caso de grupo de trabalho ou equipe de
projeto, por exemplo, o solicitante deverá prever domínio próprio para esta finalidade.
Art. 10. A criação e manutenção das contas de correio eletrônico devem seguir
os seguintes procedimentos:
I - a criação de contas deve ser aprovada por unidade da Subsecretaria de
Assuntos Administrativos - SAA e registrada em sistema interno de controle;
II - o usuário é responsável por gerenciar o espaço disponível em suas caixas
de entrada e garantir que não excedam o limite estabelecido;
III - a manutenção de contas é de responsabilidade da Subsecretaria de
Tecnologia da Informação - STI, que deverá assegurar a atualização e a correção das
informações associadas às contas;
IV - qualquer alteração nas contas, como a mudança de cargo ou o
desligamento, deverá ser informada à STI para as devidas providências; e
V - contas inativas por mais de noventa dias serão bloqueadas e excluídas após
trinta dias do bloqueio, salvo em caso de justificativa válida pelo usuário.
Art. 11. As listas de distribuição serão criadas sob demanda, sendo compostas
somente de endereços de usuários que tenham autorizado a sua inclusão na lista.
§ 1º O uso de de listas de distribuição será somente interno.
§ 2º As listas de distribuição deverão ter como padrão o nome de usuário a
sigla da unidade administrativa (ex.:
[email protected]),conformedefinidanoSIORG(<https://siorg.planejamento.gov.br/siorg-
cidadaowebapp/pages/listar_orgaos_estruturas/listar_orgaos_estruturas.jsf >).
§ 3º Cada lista de distribuição deve ter um único responsável.
CAPÍTULO III
DA SEGURANÇA E MONITORAMENTO
Art. 12. A segurança do serviço de correio eletrônico deve ser garantida
mediante:
I - a adoção de medidas técnicas e administrativas adequadas para proteção
contra acesso não autorizado e vazamentos de dados;
II - a implementação de políticas de senha, que incluem a obrigatoriedade de
senhas complexas e sua troca periódica; e
III - o monitoramento contínuo do serviço para detectar e prevenir acessos
não autorizados e outros incidentes de segurança.
Art. 13. O monitoramento do serviço de correio eletrônico deve observar as
seguintes diretrizes:
I - deve ser realizado com o propósito de garantir a segurança e a
conformidade com as políticas institucionais;
II - qualquer interceptação de mensagens deve ser realizada conforme a
legislação e mediante autorização específica; e
III - o monitoramento deve respeitar a privacidade dos usuários, limitando-se
às finalidades para as quais foi autorizado.
Art. 14. A ETIR será responsável por:
I - investigar incidentes de segurança relacionados ao correio eletrônico;
II - implementar ações corretivas e preventivas para mitigar riscos
identificados; e
III - fornecer suporte e orientações sobre segurança da informação.
CAPÍTULO IV
DA EXCLUSÃO DA CONTA DE CORREIO ELETRÔNICO
Art. 15. A exclusão de contas de correio eletrônico ocorrerá nas seguintes
situações:
I - a pedido do usuário ou por determinação da chefia imediata, quando o
usuário não estiver mais vinculado ao MDS;
II - em casos de desligamento, afastamento ou término de vínculo com o
Ministério, a unidade administrativa responsável deve informar à STI, para que as
providências necessárias sejam tomadas; e
III - contas que não forem usadas por mais de noventa dias serão consideradas
para exclusão, salvo justificativa apresentada pelo usuário.
Parágrafo único. Cabe à unidade administrativa da SAA informar
periodicamente à STI sobre exoneração de servidores e término de contratos.
CAPÍTULO V
ESTRUTURA DAS CAIXAS POSTAIS
Art. 16. Quanto ao uso prático do serviço de e-mail:
I - o campo "Para:" deve conter apenas os endereços eletrônicos dos
destinatários dos quais se espera alguma ação sobre o assunto do e-mail;
II - o campo "Cc:" deve conter apenas os endereços eletrônicos dos
destinatários que necessitem ser informados sobre o assunto;
III - o campo "Cco:" pode ser usado quando há a necessidade de enviar
mensagens para vários destinatários de tal maneira que eles não conheçam uns aos
outros;
IV - o campo "Assunto": deve ser preenchido para facilitar o entendimento da
mensagem;
V - o envio de mensagens para um número igual ou superior a 25
destinatários deve ser efetuado por meio de listas de distribuição previamente
cadastradas;
VI - as mensagens de e-mail não podem ultrapassar o tamanho máximo de 150 MB.
Seção I
Do correio eletrônico individual
Art. 17. É permitida a utilização da caixa postal individual para o recebimento
de informativos produzidos por instituições, órgãos públicos, entidades de classe e sites
de informação sobre assuntos de interesse do órgão, desde que solicitados pelo
usuário.
Seção II
Do correio eletrônico institucional
Art. 18. O gestor ou chefe da unidade administrativa terá acesso à caixa postal
de sua respectiva unidade administrativa, além de designar outros servidores como
usuários responsáveis.
Art. 19. O usuário responsável pela caixa postal da unidade designará usuários
secundários, a fim de auxiliá-lo na administração das correspondências ou substituí-lo em
sua ausência.
CAPÍTULO VI
DOS DEVERES E DAS RESPONSABILIDADES
Art. 20. São deveres dos usuários do MDS:
I - manter em sigilo sua senha de acesso ao correio eletrônico institucional,
que deverá ser de uso pessoal e intransferível, e substituída em caso de suspeita de
violação;
II - trocar a senha de correio eletrônico periodicamente, recomendado o prazo
entre um e três meses ou conforme solicitado automaticamente pelo sistema;
III - bloquear o computador toda vez que se ausentar, com exigência de senha
para desbloqueio, evitando acesso indevido;
IV - efetuar a manutenção de sua caixa postal, evitando ultrapassar o limite de
armazenamento e garantindo o seu funcionamento contínuo; e
V - notificar o administrador de contas de e-mail quando ocorrerem alterações
que venham a afetar o cadastro do usuário de correio eletrônico.
Art. 21. São deveres de quem utiliza conta de usuário institucional (conta que
viabiliza o acesso a mais de uma pessoa credenciada):
I - utilizar o serviço exclusivamente para troca de mensagens que sejam de
interesse institucional ou do grupo;
II - não permitir acesso de terceiros (pessoas não autorizadas) à conta de
usuário institucional; e
III - guardar sigilo funcional sobre as informações contidas nos respectivos
grupos.
Parágrafo único. Os usuários das contas de correio eletrônico institucional que
infringirem as disposições desta Portaria estarão sujeitos às sanções previstas em lei e nos
atos normativos que regulamentam a matéria.
Art. 22. São deveres do administrador das contas de correio eletrônico:
I - disponibilizar a utilização do correio eletrônico institucional aos agentes do
MDS, reservando-se o direito de, a seu critério, fixar limites quanto ao tamanho das caixas
postais, volume total de mensagens enviadas, quantidade de mensagens armazenadas nos
servidores de e-mail, número de destinatários e tamanho de cada mensagem enviada;
II - informar tempestivamente aos usuários sobre interrupções previstas para o
serviço de correio eletrônico institucional;
III - adotar e administrar políticas, melhores práticas e procedimentos relativos
aos serviços de correio eletrônico institucional, zelando pelo cumprimento de leis e
normas aplicáveis;
IV - verificar periodicamente o desempenho, a disponibilidade e a integridade
do sistema de correio eletrônico institucional;
V - estabelecer procedimentos e rotinas de manutenção de contas de e-mail
institucional;
VI - controlar o limite de armazenamento da correio eletrônico e garantir seu
funcionamento contínuo; e
VII - verificar e controlar periodicamente os usuários autorizados a ter acesso
ao correio eletrônico institucional.
§1º A equipe da STI responsável pelo serviço de correio eletrônico institucional
deve utilizar os recursos necessários para o processo de registro de eventos relevantes
(guarda de log) e os mecanismos adequados para garantir segurança, sigilo, inviolabilidade
e individualidade das mensagens, logins, senhas e demais conteúdos armazenados no
servidor de e-mail.
§2º Mensagens cujos conteúdos não sejam compatíveis aos interesses ou que
possam trazer riscos aos ativos de informação poderão ser bloqueadas pelos serviços de
proteção automatizados.
Art. 23. São atribuições da equipe de Infraestrutura da STI:
I - definir as ferramentas autorizadas para uso do correio eletrônico;
II - estabelecer o tamanho máximo de mensagens e anexos que podem ser
recebidos ou enviados pelos usuários; e
III - estabelecer o tamanho das cotas de tamanho das caixas de e-mail.
Parágrafo único. Somente poderão ser utilizadas ferramentas homologadas
pela STI para acesso ao correio eletrônico do MDS.
Art. 24. Apenas o titular e seu substituto da unidade administrativa tem a
autorização para:
I - criar, excluir ou desativar uma lista ou grupo de distribuição de e-mails ou
caixa de e-mail corporativo; e
II - solicitar a inclusão ou remoção de membros nas listas e grupos de
distribuição de e-mail ou caixa de e-mail corporativo.
Art. 25. Recomenda-se que a infraestrutura de serviços de e-mail possua
recursos para alta disponibilidade de operação, de acordo com as necessidades
estabelecidas pelo MDS.
Art. 26. A recepção de mensagens de correio eletrônico deverá ser
acompanhada de procedimentos adequados de segurança da informação.
Art. 27. A STI deverá garantir a verificação da existência de vírus ou outro
código malicioso no envio e recebimento de mensagens.
Art. 28. Devem ser adotadas práticas de arquivamento e retenção de e-mail,
e observadas eventuais exigências por períodos de guarda decorrentes de requisitos legais
e contratuais.
Art. 29. Todos os usuários e administradores deverão observar a Política de
Segurança da Informação - POSIN do MDS, no que couber, em relação ao uso do correio
eletrônico.
CAPÍTULO VII
DOS PROCEDIMENTOS DE SEGURANÇA PARA TRATAMENTO DE MENSAGENS
RECEBIDAS
Art. 30. Os seguintes procedimentos devem ser observados pelos usuários
quando do recebimento de mensagens eletrônicas:
I - não clicar em links que porventura possam aparecer no conteúdo do e-mail
e se o objetivo for o de acessar a página do link, deve-se digitar o endereço diretamente
no navegador;
II - não abrir arquivos ou executar programas anexados aos e-mails, sem antes
verificá-los com um antivírus;
III - não responder ou acreditar em correntes, prêmios, promoções ou
cadastros desatualizados, bem como a comunicações supostamente enviadas por bancos,
serviços de proteção ao crédito, pela Secretaria da Receita Federal do Brasil, dentre
outros;
IV - desconfiar sempre de arquivos anexados à mensagem, mesmo que tenham
sido enviados por pessoas ou instituições conhecidas, uma vez que o endereço do
remetente pode ter sido forjado e o arquivo anexo pode conter código malicioso
(malware);
V - ter cautela ao lidar com arquivos anexados recebidos via correio eletrônico,
sendo que o usuário deve verificar a segurança dos anexos para prevenir a contaminação
por malwares; e
VI - na eventualidade de detecção de arquivos contaminados e na hipótese de
o usuário não conseguir remediar a situação, é obrigatório que se busque o suporte da
equipe da STI, imediatamente.
Art. 31. Em caso de mensagem suspeita, o usuário deve proceder da seguinte
forma:
I - encaminhar a mensagem com seus anexos para a ETIR ([email protected]) do
MDS, não apagando o seu conteúdo;
II - apagar a mensagem somente após análise e autorização de exclusão pela ETIR.
Art. 32. Os e-mails recebidos de fontes desconhecidas devem ser tratados com
extrema cautela.
Parágrafo único. Adicionalmente, deve-se evitar o envio de respostas, mesmo
automáticas, a este tipo de e-mail para não fornecer informações adicionais a fontes
desconhecidas.
Art. 33. Antes do envio de e-mail, deverá ser verificado cuidadosamente os
destinatários e seus endereços para evitar o envio indevido de mensagens.
Art. 34. Todos os usuários devem habilitar o aviso de ausência temporária do
correio eletrônico individual, nos casos de afastamento temporário de sua unidade de
lotação, no exercício de suas atividades e quando não for possível o acesso ao correio
eletrônico.
CAPÍTULO VIII
MONITORAMENTO E AUDITORIA
Art. 35. O MDS, como proprietário do sistema de correio eletrônico, poderá, a
qualquer tempo e sem aviso prévio, monitorar o uso do sistema e inclusive o conteúdo
das mensagens, quando julgar necessário.
Parágrafo único. Ocorrerá a interceptação legal, a qualquer tempo e sem aviso
prévio, sempre que houver determinação jurídica para tal.
CAPÍTULO IX
CERTIFICAÇÃO DIGITAL E CRIPTOGRAFIA
Art. 36. Considerando a importância da certificação digital para atestar a
autenticidade do remetente e, nos termos da legislação em vigor, para que a mensagem
do correio eletrônico tenha valor documental, e com o objetivo de garantir a identidade
do emissor, a integridade e a inviolabilidade do conteúdo da mensagem enviada, o correio
eletrônico institucional do MDS deve dispor de serviço de certificação digital - padrão: ICP-
Brasil (www.iti.gov.br).
Art. 37. Considerando a importância do uso do correio eletrônico institucional
para as iniciativas e ações do MDS, as fragilidades inerentes a este meio de comunicação
e a necessidade de proteção de informações classificadas, sensíveis ou sigilosas serão
criptografadas, num padrão de Criptografia de Estado, em conformidade com os
normativos e legislação vigentes sobre o tema.
CAPÍTULO X
DOS REGISTROS DE EVENTOS
Art. 38. Devem ser mantidos em ambiente próprio controlado, pelo período de
cinco anos, os registros de todos os acessos, incidentes e eventos cibernéticos, incluindo
informação sobre mensagens enviadas e recebidas.
CAPÍTULO XI
DAS DISPOSIÇÕES FINAIS
Art. 39. Os casos omissos serão dirimidos pelo Comitê de Governança Digital
do MDS.
Art. 40. As ações que violem a Segurança da Informação e a Proteção de
Dados Pessoais serão devidamente apuradas e aos responsáveis serão aplicadas as
sanções penais, administrativas e civis em vigor.
Art. 41. Esta Portaria entra em vigor na data de sua publicação.
JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS