PORTARIA Nº 287, DE 4 DE ABRIL DE 2025 (parte 2 de 3)

II - definir estratégias para a implementação da POSIN e suas normas internas
de segurança da informação;
III - supervisionar e analisar a efetividade dos processos, procedimentos,
sistemas e dispositivos de segurança da informação;
IV - acompanhar as investigações e as avaliações dos danos decorrentes de
quebras de segurança e adotar as medidas administrativas necessárias à aplicação de
ações corretivas;
V - encaminhar às autoridades competentes para aplicação de penalidades os
fatos apurados em incidentes de segurança ou incidentes cibernéticos que constituam
violações administrativas, civis ou penais à POSIN;
VI - realizar a gestão de risco e demais atividades de gestão de segurança da
informação;
VII - verificar se os procedimentos de segurança da informação estão sendo
aplicados em conformidade com as legislações vigentes e normas internas de segurança da
informação;
VIII - promover, com apoio da alta administração, a ampla divulgação da POSIN,
das normas internas de segurança da informação e de suas atualizações, de forma ampla
e acessível, a todos os usuários de informação e aos prestadores de serviço;
IX - propor recursos necessários às ações de segurança da informação e das
comunicações;
X - acompanhar as atividades da Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos;
XI - promover e acompanhar estudos de novas tecnologias quanto a possíveis
impactos na segurança da informação e comunicações;
XII - propor normas internas de segurança da informação e comunicações;
XIII - promover a melhoria contínua dos processos de gestão de segurança da
informação e propor ajustes corretivos a serem incluídos nas revisões desta POSIN; e
XIV - propor conteúdo sobre segurança da informação, com vistas a facilitar a
capacitação e a instrução dos servidores e colaboradores para a utilização de sistemas
corporativos e acesso a informações nos níveis físico e lógico, em conformidade com as
diretrizes da POSIN.
Seção III
Da Equipe de Prevenção, Tratamento e Resposta a Incidentes de Segurança
Art. 49. A Equipe de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos - ETIR será composta preferencialmente por servidores públicos ocupantes de
cargo público efetivo e deverá contar com pessoal com capacitação técnica compatível e
capaz de apoiar as atividades de prevenção, de tratamento e de resposta a incidentes
cibernéticos.
Art. 50. A Equipe de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos - ETIR, instituída por Portaria deste Ministério, ficará responsável pela
divulgação de práticas e recomendações de Segurança da Informação e pela avaliação das
condições de segurança de rede por meio de verificações de conformidade, com o objetivo
de evitar que ocorram incidentes de segurança.
Parágrafo único. A ETIR do Ministério dos Transportes integrará a Rede Federal
de Gestão de Incidentes Cibernéticos, nos termos do Decreto nº 9.637, de 26 de dezembro
de 2018, e sua atuação será orientada por normas e procedimentos técnicos estabelecidos
pelo Centro de Prevenção e Tratamento e Resposta a Incidentes cibernéticos de governo,
sem prejuízo das demais metodologias e procedimentos aprovados pelo Comitê de
Governança Digital e Segurança da Informação do Ministério dos Transportes.
Art. 51. É obrigatória a publicação de documento de criação da ETIR, alinhado
à presente POSIN e aos normativos, padrões e procedimentos técnicos exarados pelo CTIR
Gov, e que deverá prever, entre outras, as seguintes atribuições:
I - monitorar o ambiente e recursos de TIC do Ministério, a fim de identificar
possíveis incidentes de segurança da informação;
II - realizar a investigação do incidente de segurança da informação, propondo
medidas de contenção;
III - assessorar o Gestor de Segurança da Informação - CGDSI na análise e
tomada de decisões a respeito de situações resultantes de incidentes de segurança da
informação;
IV - realizar a análise do incidente de segurança da informação, de forma a
propor medidas para eliminar ou solucionar problemas que causaram o incidente;
V - recolher e preservar as evidências para subsidiar a forense digital;
VI - compor a rede de equipes formada pelos órgãos e entidades da
administração pública federal, coordenada pelo Centro de Tratamento de Incidentes de
Redes do Governo do Gabinete de Segurança Institucional da Presidência da República.
Art. 52. Os incidentes de segurança da informação devem ser, em
conformidade com a Política de Respostas a Incidentes de Segurança da Informação,
identificados, analisados, comunicados e tratados, em tempo hábil, de forma a impedir que
evento adverso possa interferir na perfeita execução das atividades desenvolvidas pelo
Ministério.
Seção IV
Da Alta administração e dos gestores
Art. 53. A alta administração deste Ministério é responsável por prover a
orientação e o apoio necessários às ações de segurança da informação, de acordo com os
objetivos estratégicos e com as leis e regulamentos pertinentes.
Art. 54. Compete à alta administração a governança da segurança da
informação, de acordo com as previstas no art. 17, do Decreto nº 9.637, de 26 de
dezembro de 2018, alterado pelo Decreto nº 10.641, de 2 de março de 2021.
Art. 55. É de responsabilidade dos demais gestores zelar pelo cumprimento das
diretrizes desta Política no âmbito de suas áreas de atuação.
Art. 56. Os servidores, os colaboradores, os consultores externos, os estagiários
e os prestadores de serviço são responsáveis por observar o disposto nesta Política e
comunicar os incidentes que afetam a segurança dos ativos de informação à Equipe de
Prevenção, Tratamento e Resposta à Incidentes de Segurança.
CAPÍTULO V
DAS RESPONSABILIDADES
Seção I
Do proprietário da Informação
Art. 57. O proprietário de informação é o responsável primário pela sua
integridade, autenticidade, disponibilidade e, quando aplicável, por sua
confidencialidade.
Art. 58. Ao proprietário de informação caberá:
I - comunicar ao Gestor de Segurança da Informação acerca do ingresso, da
alteração de lotação ou localização, e do desligamento de servidor, estagiário, prestador
de serviço ou colaborador em sua unidade organizacional; e
II - colher a assinatura do Termo de Responsabilidade disponível no Anexo II e
do Termo de Confidencialidade disponível no Anexo III dos usuários de informação em sua
unidade organizacional.
Seção II
Das Responsabilidades do Usuário de Informação
Art. 59. Ao Usuário de Informação caberá:
I - acessar a rede de dados do Ministério dos Transportes somente após tomar
ciência desta POSIN e das normas internas de Segurança da Informação e assinar o termo
do Anexo II ou III que lhe for cabível;
II - manter sigilo e trocar periodicamente a senha pessoal de acesso aos
sistemas do ministério;
III - não usar a identificação de acesso e senha de terceiros;
IV - portar crachá de identificação de maneira visível ou uniforme, para os
cargos que o exigirem, quando dentro das instalações do Ministério dos Transportes;
V - zelar pelos equipamentos e ativos de informação disponibilizados pelo
ministério, os quais deverão ser preservados como patrimônio público;
VI - utilizar as informações digitais disponibilizadas e os sistemas e produtos
computacionais de propriedade ou direito de uso do Ministério dos Transportes para o
interesse do serviço;
VII - preservar o conteúdo das informações sigilosas a que tiver acesso, sem
divulgá-las para pessoas não autorizadas ou que não tenham necessidade de conhecê-las;
VIII - não tentar obter acesso à informação cujo grau de sigilo não seja
compatível com a sua Credencial de Segurança ou cujo teor não tenha autorização ou
necessidade de conhecer;
IX - não utilizar o ambiente computacional do Ministério dos Transportes para
acessar, transmitir, copiar ou reter conteúdo ou arquivos com textos, fotos, filmes ou
quaisquer outros registros que estejam em desacordo com a legislação vigente e a LGPD;
X - não transferir qualquer tipo de arquivo que pertença ao Ministério dos
Transportes para outro local, seja por meio magnético ou não, exceto no interesse do
serviço e mediante autorização da autoridade competente;
XI - estar ciente de que o processamento, o trâmite e o armazenamento de
arquivos que não sejam de interesse do serviço não serão permitidos na rede
computacional do Ministério dos Transportes;
XII - preservar o sigilo das informações previamente classificadas a que
eventualmente tenha acesso e abster-se de ter acesso àquelas para as quais não tenha a
credencial de segurança compatível com o grau de sigilo;
XIII - estar ciente de que toda informação digital armazenada, processada e
transmitida no ambiente computacional do Ministério dos Transportes poderá ser
auditada;
XIV - estar ciente de que o e-mail institucional é de uso prioritário para o
interesse do serviço, devendo ser evitado o seu uso para fins pessoais;
XV - informar prontamente ao proprietário de informação a que esteja
diretamente subordinado qualquer fato em desacordo com a POSIN de que tenha ciência,
bem como qualquer informação de cuja veracidade suspeite; e
XVI - no caso de exoneração, demissão, licença, término de prestação de
serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos
sigilosos a que eventualmente teve acesso.
Art. 60. O usuário de informação será responsável por eventuais prejuízos
causados ao Ministério devido ao descumprimento das regras estabelecidas na POSIN e
demais normas internas de segurança da informação, conforme a legislação vigente.
Seção III
Das Responsabilidades do Custodiante da Informação
Art. 61. Ao Custodiante da Informação caberá:
I - cumprir e zelar pela observância integral das diretrizes da POSIN e demais
normas e procedimentos decorrentes;
II - zelar pela disponibilidade, integridade e autenticidade das informações e
recursos em qualquer suporte sob sua custódia, bem como sua confidencialidade, quando
cabível;
III - assinar o termo de responsabilidade de que trata o Anexo II desta
portaria;
IV - proteger as informações contra acesso, modificação, destruição ou
divulgação não autorizados;
V - preservar o sigilo das informações previamente classificadas a que
eventualmente tenha acesso e abster-se de ter acesso àquelas para as quais não tenha a
credencial de segurança compatível com o grau de sigilo;
VI - adotar as medidas de proteção necessárias para minimizar ou eliminar os
riscos a que estão sujeitos os ativos de informação sob sua custódia; e
VII - comunicar imediatamente ao Proprietário da Informação e ao Gestor de
Segurança da Informação sobre qualquer incidente que possa comprometer a
disponibilidade, a integridade, a confidencialidade e a autenticidade das informações sob
sua custódia ou sobre qualquer fato em desacordo com a POSIN da qual tome
conhecimento.
CAPÍTULO VI
DAS PENALIDADES
Art. 62. A violação das regras estabelecidas na POSIN ou suas normas internas
de segurança, por qualquer pessoa física ou jurídica, acarretará as penalidades civis, penais
e administrativas previstas na legislação, conforme o caso.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 63. Esta POSIN, suas normas internas de segurança e suas atualizações
deverão ser divulgadas amplamente aos usuários de informações do Ministério dos
Transportes.
Parágrafo único. A POSIN, bem como todas as normas dela decorrentes,
deverão ser revisados e atualizados sempre que se fizer necessário, não excedendo o
período máximo de quatro anos.
Art. 64. As unidades do Ministério dos Transportes poderão propor normas
complementares a presente Política e submetê-las ao Comitê de Governança Digital e
Segurança da Informação - CGDSI.
Parágrafo único. Serão analisadas, ad referendum, do Comitê de Governança
Digital e Segurança da Informação - CGDSI do Ministério, as normas estabelecidas em
caráter extraordinário pelas unidades, dando celeridade ao processo até que ocorra a
deliberação em definitivo deste Comitê.
Art. 65. Os casos omissos e as dúvidas quanto a aplicação desta Portaria serão
analisados, dirimidos ou solucionados pelo Comitê de Governança Digital e Segurança da
Informação - CGDSI e obedecerão aos normativos estabelecidos pelo Gabinete de
Segurança Institucional da Presidência da República - GSI/PR e demais normativos
correlatos.
Art. 66. Esta Portaria entra em vigor na data de sua publicação.
JOSÉ RENAN VASCONCELOS CALHEIROS FILHO