PORTARIA NORMATIVA SE/CGU Nº 208, DE 2 DE JULHO DE 2025

PORTARIA NORMATIVA SE/CGU Nº 208, DE 2 DE JULHO DE 2025
Institui a Política de Homologação de Software de
Terceiros no âmbito da Controladoria-Geral da
União.
A SECRETÁRIA-EXECUTIVA DA CONTROLADORIA-GERAL DA UNIÃO, no
exercício das atribuições previstas no art. 35 do Anexo I ao Decreto nº 11.330, de 1º
de janeiro de 2023, e no art. 5º, caput, inciso II, da Portaria Normativa CGU nº 164,
de 30 de agosto de 2024, e considerando o disposto no Decreto nº 12.069, de 21 de
junho de 2024, na Portaria SE/CGU nº 587, de 10 de março de 2021, e na Instrução
Normativa GSI/PR nº 3, de 28 de maio de 2021, bem como com base no Processo
Administrativo nº 00190.102082/2025-01, resolve:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Esta Portaria Normativa institui a Política de Homologação de
Software de Terceiros e estabelece princípios, diretrizes e responsabilidades
relacionadas à homologação de softwares de terceiros no âmbito da Controladoria-
Geral da União.
Art. 2º Para os efeitos desta Portaria Normativa, considera-se:
I - ativos de informação: meios de armazenamento, transmissão e
processamento de informação, equipamentos necessários, sistemas utilizados, locais
onde se encontram, recursos humanos que a eles têm acesso e conhecimento, ou,
ainda, dado que tem valor para um indivíduo ou uma organização;
II - curador da lista de softwares: servidor ou terceiro designado pela
Diretoria da Tecnologia da Informação como responsável por manter atualizada e
disponível a lista de softwares homologados e a lista de softwares não
homologados;
III - incidente de segurança: qualquer evento adverso, confirmado ou sob
suspeita, relacionado à segurança dos sistemas de computação ou das redes de
computadores;
IV - lista de softwares homologados: relação de softwares que foram
homologados pela Diretoria de Tecnologia da Informação, de ofício ou a pedido;
V - lista de softwares não homologados: relação de softwares que foram
avaliados pela Diretoria de Tecnologia da Informação, mas tiveram a homologação
indeferida;
VI - prova de conceito: demonstração prática e simplificada que tem como
objetivo verificar se uma ideia, tecnologia ou solução é viável e funciona conforme
esperado antes de investir recursos significativos em seu desenvolvimento completo;
VII - software homologado: software que tenha sido aprovado no processo
de homologação de software da Diretoria de Tecnologia da Informação quanto a sua
segurança, compatibilidade com o ambiente tecnológico da Controladoria-Geral da
União e demais características e critérios definidos no processo; e
VIII - software não homologado: software que passou pelo processo de
homologação de software da Diretoria de Tecnologia da Informação, entretanto teve a
homologação indeferida.
Parágrafo único. Na aplicação desta Portaria Normativa, deverão ser
observados, no que couber, os conceitos constantes do Glossário de Segurança da
Informação aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021.
Seção I
Objetivo
Art. 3º O objetivo da Política de Homologação de Software de Terceiros é
instituir princípios e responsabilidades na homologação de software de terceiros para
assegurar que apenas softwares autorizados sejam instalados em ativos de informação
da Controladoria-Geral da União.
Seção II
Abrangência
Art. 4º As disposições desta Portaria Normativa e da regulamentação
correlata aplicam-se:
I - aos ativos de informação da Controladoria-Geral da União; e
II - aos agentes públicos e terceiros que tenham acesso aos ativos de
informação da Controladoria-Geral da União.
Art. 5º Ficam dispensados da necessidade de homologação os softwares:
I - desenvolvidos:
a) internamente pela Controladoria-Geral da União; e
b) por outros órgãos ou entidades da administração pública federal;
II - avaliados em provas de conceito pelas equipes técnicas da
Controladoria-Geral da União;
III - adquiridos por meio de contratação direta ou licitação; e
IV - de uso temporário, a ser utilizado por um período determinado e com
instalação limitada a um ou alguns ativos de informação da Controladoria-Geral da
União.
Seção III
Da solicitação de homologação
Art. 6º Para utilização de softwares que não constem na lista de softwares
homologados, o solicitante deve realizar a solicitação de homologação de software por
meio de ferramenta de solicitação de chamados, oficialmente adotada pela Diretoria de
Tecnologia da Informação da Secretaria-Executiva.
§1º Na solicitação de que trata o caput, deve constar:
I - justificativa, informando que o software será utilizado, necessariamente,
para o desempenho de atividades institucionais na Controladoria-Geral da União;
II - autorização expressa da chefia imediata do solicitante, ou autoridade
hierarquicamente superior; e
III - informações obrigatórias a serem definidas pela Diretoria de Tecnologia
da Informação da Secretaria-Executiva.
§ 2º Para ocupantes de Cargos Comissionados Executivos ou Funções
Comissionadas Executivas de nível 13, ou superior, fica dispensado o procedimento
previsto no inciso II do § 1º.
Seção IV
Regime de excepcionalidade
Art. 7º A instalação excepcional de softwares de terceiros deverá ser
autorizada pela chefia imediata do solicitante da instalação e pelo curador da lista de
softwares.
§ 1º Os softwares que forem classificados, durante o processo de
homologação, como de alto risco na análise de segurança não poderão ser
homologados com o processo de exceção.
§ 2º Os softwares autorizados no regime de excepcionalidade deverão ser
inseridos na lista de softwares homologados com a informação de que se constituem
uma exceção e sua instalação é restrita à área solicitante.
CAPÍTULO II
DOS PRINCÍPIOS GERAIS
Art. 8º A Política de Homologação de Software de Terceiros de que trata
esta Portaria Normativa deve estar alinhada à Política de Segurança da Informação da
Controladoria-Geral da União, prevista na Portaria SE/CGU nº 587, de 10 de março de
2021.
Art. 9º A homologação de software será efetuada exclusivamente pela
Diretoria de Tecnologia da Informação da Secretaria-Executiva, de ofício ou por meio
de solicitação do usuário.
Art. 10. Os softwares ao serem homologados deverão constar na lista de
softwares homologados.
§ 1º A Diretoria de Tecnologia da Informação da Secretaria-Executiva
deverá:
I - definir os meios de publicação das listas de softwares homologados e
não homologados; e
II - promover a sua divulgação junto aos usuários internos da Controladoria-
Geral da União.
§ 2º A inclusão de softwares na lista de softwares homologados, decorrente
de solicitação do usuário, somente será realizada se aprovada no processo de
homologação de software de terceiros estabelecido pela Diretoria de Tecnologia da
Informação da Secretaria-Executiva.
§ 3º A lista de softwares homologados será mantida e atualizada,
periodicamente, pela Diretoria de Tecnologia da Informação da Secretaria-Executiva.
Art. 11. A Diretoria de Tecnologia da Informação da Secretaria-Executiva
poderá, a qualquer momento, revogar a homologação de qualquer software constante
na lista de softwares homologados, por razões técnicas ou visando a segurança do
ambiente tecnológico da Controladoria-Geral da União.
Art. 12. Os usuários que utilizam softwares cuja homologação tenha sido
revogada não poderão mantê-los instalados em ativos de informação da Controladoria-
Geral da União.
§ 1º A Diretoria de Tecnologia da Informação da Secretaria-Executiva poderá
efetuar as desinstalações quando necessário.
§ 2º A Diretoria de Tecnologia da Informação da Secretaria-Executiva deverá
informar aos usuários com permissão de utilização dos softwares mencionados no
caput, da sua revogação, apresentando a justificativa para a desinstalação.
Art. 13. Softwares não homologados pela Diretoria de Tecnologia da
Informação da Secretaria-Executiva:
I - não poderão ser utilizados em ativos de informação da Controladoria-
Geral da União; e
II - deverão ser inseridos na lista de softwares não homologados,
juntamente com o diagnóstico que resultou a não homologação.
Parágrafo único. Ao detectar o uso de softwares não homologados nos
ativos de informação da Controladoria-Geral da União, a Diretoria de Tecnologia da
Informação da Secretaria-Executiva poderá proceder à sua desinstalação, ou orientar o
usuário para que a efetue.
CAPÍTULO III
DAS RESPONSABILIDADES
Art. 14. O usuário da Controladoria-Geral da União que solicita a
homologação de software para uso em ativos de informação do órgão é responsável
por:
I - justificar a necessidade da utilização do software e fornecer informações
suficientes para sua avaliação no processo de homologação;
II - assegurar que o software atende aos requisitos de funcionalidade
necessários para a atividade pretendida; e
III - acompanhar o processo de homologação junto à Diretoria de Tecnologia
da Informação.
Parágrafo único. O usuário que utiliza software homologado é responsável
por:
I - ter conhecimento em como operar o software, independentemente de
qualquer apoio técnico da Diretoria de Tecnologia da Informação;
II - utilizar o software de forma adequada ao seu propósito; e
III - comunicar à Diretoria de Tecnologia da Informação da Secretaria-
Executiva qualquer potencial de incidente de segurança ou inconformidade que
impossibilite a continuidade do uso do software em ativos de informação da
Controladoria-Geral da União, do qual venha a tomar conhecimento.
Art. 15. A Diretoria de Tecnologia da Informação da Secretaria-Executiva é
responsável por:
I - elaborar, manter e fazer cumprir a Política e o Processo de Homologação
de Software de Terceiros da Controladoria-Geral da União;
II - estabelecer e manter um processo de homologação de software de
terceiros que defina os requisitos de segurança para autorizar a instalação de softwares
em ativos de informação da Controladoria-Geral da União;
III - definir a forma de instalação do software homologado, podendo ser
realizada diretamente pelo usuário ou pela Diretoria de Tecnologia da Informação,
conforme a complexidade do software e as exigências de segurança estabelecidas; e
IV - realizar a desinstalação de softwares não homologados ou que tiveram
a sua homologação revogada.
CAPÍTULO VI
DISPOSIÇÕES FINAIS
Art. 16. No caso de atualizações de versão de softwares de terceiros já
homologados, fica dispensado o atendimento dos requisitos descritos no art. 6º, §1º,
incisos I e II, desta Portaria Normativa.
Art. 17. Os casos omissos serão resolvidos pela Diretoria de Tecnologia da
Informação da Secretaria-Executiva.
Art. 18. A revisão desta Portaria Normativa deve ser realizada a cada dois
anos ou sempre que se fizer necessário.
Art. 19. Fica revogada a Ordem de Serviço DSI/SE/CGU nº 123 de 04 de
dezembro de 2008.
Art. 20. Esta Portaria Normativa entra em vigor na data de sua
publicação.
EVELINE MARTINS BRITO
SECRETARIA DE INTEGRIDADE PRIVADA
RETIFICAÇÃO
Na Decisão 229, de 12 de junho de 2025, publicada na edição do D.O.U. nº 116,
de 24 de junho de 2025, Seção 1, página 190, onde se lê: "...CNPJ nº 11.992.680/0001-
93...", leia-se: "...CNPJ nº 67.620.377/0001-14...".
RETIFICAÇÃO
Na Decisão 231, de 12 de junho de 2025, publicada na edição do D.O.U. nº 116,
de 24 de junho de 2025, Seção 1, página 190, onde se lê: "..CNPJ nº 11.992.680/0001-
93...", leia-se: "...CNPJ nº 67.620.377/0001-14...".