PORTARIA NORMATIVA AGU Nº 183, DE 24 DE JULHO DE 2025 (parte 1 de 2)

PORTARIA NORMATIVA AGU Nº 183, DE 24 DE JULHO DE 2025
Institui a Estratégia de Uso de Software e de Serviços
de Computação em Nuvem da Advocacia-Geral da
União e altera a Portaria Normativa AGU nº 166, de 12
de março de 2025, que institui a Política de Segurança
da Informação da Advocacia-Geral da União.
O ADVOGADO-GERAL DA UNIÃO SUBSTITUTO, no uso das atribuições que lhe
confere o art. 4º, caput, incisos I, XIII e XVIII, da Lei Complementar nº 73, de 10 de fevereiro
de 1993, tendo em vista o disposto na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023,
e o que consta no Processo Administrativo nº 00400.000354/2025-16, resolve:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Fica instituída a Estratégia de Uso de Software e de Serviços de
Computação em Nuvem da Advocacia-Geral da União, com a finalidade de estabelecer
regras e procedimentos para orientar o seu uso, conforme disposto no item 5 do Anexo
I da Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023.
§ 1º Para fins do disposto no art. 4º da Instrução Normativa GSI/PR nº 5, de
30 de agosto de 2021, esta Portaria Normativa contém também normas sobre o uso
seguro de computação em nuvem.
§ 2º O disposto nesta Portaria Normativa se aplica aos:
I - órgãos previstos no art. 2º do Anexo I ao Decreto nº 12.540, de 30 de
junho de 2025; e
II - usuários dos softwares e serviços de computação em nuvem da
Advocacia-Geral da União.
Art. 2º A Estratégia de Uso de Software e de Serviços de Computação em
Nuvem da Advocacia-Geral da União se aplica a todo software e serviço de computação
em nuvem, tais como:
I - software sob o modelo de:
a) licenciamento permanente de direitos de uso;
b) cessão temporária de direitos de uso;
c) subscrição ou como serviço - SaaS;
II - infraestrutura como serviço - IaaS;
III - plataforma como serviço - PaaS;
IV - suporte técnico para software e serviços de computação em nuvem;
V - serviço de operação e gerenciamento de recursos em nuvem;
VI - serviço de migração de recursos para ambiente de nuvem;
VII - integração de serviços de computação em nuvem; e
VIII - consultoria especializada em software ou serviços de computação em nuvem.
Art. 3º São objetivos da Estratégia de Uso de Software e de Serviços de Computação
em Nuvem da Advocacia-Geral da União:
I - orientar a seleção e a contratação de softwares e serviços de computação
em nuvem alinhados aos objetivos estratégicos institucionais, priorizando soluções que
otimizem recursos operacionais e agreguem valor aos processos de trabalho;
II - garantir a segurança das informações armazenadas e minimizar os riscos
associados à adoção de novas tecnologias ou modalidades de contratação;
III - ampliar a capacidade de armazenamento, escalabilidade e processamento
de dados, promovendo a integração entre sistemas e evitando a dependência excessiva
de um único fornecedor;
IV - implementar soluções de tecnologia da informação que aumentem a
produtividade e a eficiência dos serviços prestados, otimizando custos de infraestrutura
e alocação de recursos; e
V - definir o modelo de governança para o uso de software e serviços de
computação em nuvem.
Art. 4º O uso de software e de serviços de computação em nuvem na Advocacia-
Geral da União será norteado pelos seguintes princípios e diretrizes:
I - confidencialidade, integridade e disponibilidade das informações armazenadas
e processadas em nuvem;
II - priorização de soluções que promovam economia de custos, escalabilidade
e melhor alocação de recursos;
III - adoção de padrões abertos e arquiteturas flexíveis para a integração
entre diferentes sistemas;
IV - redução da dependência de fornecedores únicos e garantia de migração de serviços;
V - seleção de soluções de nuvem que minimizem o impacto ambiental;
VI - capacitação contínua em gestão, operação e segurança de ambientes em nuvem; e
VII - integração aos planos estratégicos e de segurança da informação da
Advocacia-Geral da União.
Art. 5º Para os efeitos desta Portaria Normativa, aplicam-se os termos:
I - do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR
nº 93, de 18 de outubro de 2021; e
II - do Modelo de Contratação de Software e de Serviços de Computação em
Nuvem, aprovado pela Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023.
CAPÍTULO II
DOS REQUISITOS PARA CONTRATAÇÃO E USO DE SOFTWARE E DE SERVIÇOS
DE COMPUTAÇÃO EM NUVEM
Seção I
Da identificação das necessidades de negócio
Art. 6º O Departamento de Tecnologia da Informação, com o apoio das áreas
requisitantes da solução, deve identificar as necessidades de negócio previamente à
contratação de software e de serviços de computação em nuvem.
Parágrafo único. A identificação das necessidades do negócio deve considerar os
objetivos estratégicos da Advocacia-Geral da União e a otimização dos recursos disponíveis.
Art. 7º O processo de identificação das necessidades de negócio deve considerar
os seguintes parâmetros de análise:
I - tomada de decisões baseada em dados;
II - capacidade de inovação;
III - segurança da informação;
IV - aprimoramento da experiência dos usuários internos e externos;
V - flexibilidade e adequação à demanda; e
VI - disponibilidade de serviços sob demanda.
Art. 8º No processo de identificação das necessidades de negócio, o
Departamento de Tecnologia da Informação deve:
I - consultar as áreas requisitantes da solução para mapear requisitos específicos,
requisitos regulatórios, apoio aos desafios operacionais e oportunidades de melhoria;
II - avaliar as condições mínimas de infraestrutura de tecnologia da
informação e comunicação, como conectividade, largura de banda e requisitos de
segurança;
III - analisar custos e benefícios da adoção de serviços em nuvem,
considerando escalabilidade, flexibilidade e impacto financeiro;
IV - assegurar o cumprimento das normas de segurança da informação aplicáveis
ao armazenamento e processamento de dados em nuvem;
V - identificar as necessidades de capacitação das equipes envolvidas, considerando
os perfis de gestores, operadores e usuários finais;
VI - mapear os requisitos de portabilidade e interoperabilidade entre
sistemas, dados e serviços, de modo a evitar dependência de fornecedores
específicos;
VII - verificar a viabilidade e os requisitos da contratação, garantindo alinhamento
com as melhores práticas do setor; e
VIII - indicar sistemas, aplicações, dados e serviços que podem ser migrados
para a nuvem e como eles serão acessados.
Art. 9º A identificação das necessidades de negócio deve ser realizada no
âmbito da elaboração dos artefatos de planejamento da contratação e deve conter os
seguintes elementos:
I - descrição do problema ou oportunidade;
II - metodologia de levantamento das informações com as áreas requisitantes
da solução;
III - resultados esperados;
IV - diagnóstico da situação atual;
V - requisitos da solução desejada;
VI - avaliação de viabilidade e benefícios;
VII - estratégia de saída;
VIII - capacitação da equipe;
IX - portabilidade e interoperabilidade;
X - resultados da prova de conceito;
XI - análise de riscos da migração, conforme determinado no art. 20;
XII - classificação de criticidade e confidencialidade dos dados;
XIII - classificação do software ou serviço de computação em nuvem como de
alta materialidade ou alta relevância, conforme definição prevista nos itens 5.6.2.1 e
5.6.2.2 do Anexo I da Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023;
XIV - recomendação técnica; e
XV - documentos anexos, como:
a) estimativas de custo;
b) especificações técnicas; e
c) outros documentos relevantes para a instrução do processo.
Parágrafo único. Na classificação prevista no inciso XIII do caput, devem ser
considerados como de alta relevância os softwares e serviços de computação em nuvem
classificados pelo Departamento de Tecnologia da Informação como muito críticos,
considerando as seguintes metodologias:
I - análise de impacto no negócio, realizada no processo de gestão de continuidade
de negócios em segurança da informação da Advocacia-Geral da União, conforme disposto na
Seção IX do Capítulo II da Portaria Normativa AGU nº 166, de 12 de março de 2025; e
II - boas práticas de avaliação de criticidade, por meio do alinhamento entre
processos de tecnologia da informação e estratégias institucionais.
Seção II
Da seleção dos modelos adequados
Art. 10. O Departamento de Tecnologia da Informação deve selecionar o modelo
de implantação e o tipo de software e serviço de computação em nuvem mais adequado,
considerando:
I - as características de cada carga de trabalho;
II - os requisitos de segurança da informação;
III - o nível de sigilo e a sensibilidade das informações; e
IV - os parâmetros legais e regulatórios vigentes.
Parágrafo único. A seleção do modelo de implantação, do tipo de software e
do serviço de computação em nuvem deve ser feita com o apoio das áreas requisitantes
da solução, considerando os resultados da identificação das necessidades de negócio, de
que trata a Seção I.
Art. 11. As cargas de trabalho que tratem informações com restrição de
acesso devem usar ambientes de nuvem de governo, salvo autorização do Comitê de
Governança Digital da Advocacia-Geral da União.
Art. 12. É vedado o tratamento em ambiente de nuvem pública de:
I - informações classificadas em grau de sigilo nos termos do Decreto nº
7.724, de 16 de maio de 2012; e
II - documentos preparatórios que possam originar tais informações.
Art. 13. As cargas de trabalho que tratem informações sem restrição de
acesso podem ser alocadas em ambientes de nuvem pública, desde que seja
garantido:
I - o cumprimento das regras de proteção de dados pessoais; e
II - o cumprimento dos requisitos de segurança da informação definidos na
Portaria Normativa AGU nº 166, de 12 de março de 2025.
Art. 14. Os dados tratados em software e serviços de computação em nuvem
devem, preferencialmente, ser armazenados em território nacional.
§ 1º O armazenamento de dados fora do território nacional somente poderá
ocorrer quando forem observadas as seguintes condições:
I - seja mantida pelo menos uma cópia de segurança atualizada dos dados em
território nacional;
II - não sejam armazenadas informações com restrição de acesso prevista em
lei, seus documentos preparatórios e suas cópias de segurança;
III - o armazenamento ocorra exclusivamente em países autorizados pelo
Comitê de Segurança da Informação da Advocacia-Geral da União, conforme disposto no
inciso I do art. 8º da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021; e
IV - havendo tratamento de dados pessoais, seja assegurado o cumprimento
das disposições da Lei nº 13.709, de 14 de agosto de 2018.
§ 2º O Termo de Referência das contratações de software e serviços de computação
em nuvem deve estabelecer a obrigação do fornecedor de indicar a região dos dados
armazenados, em conformidade com as regras estabelecidas nesta Portaria Normativa.
Seção III
Da avaliação de fornecedores
Art. 15. O Departamento de Tecnologia da Informação, na fase de planejamento
da contratação de softwares e serviços de computação em nuvem, deve realizar o
levantamento e a avaliação dos possíveis fornecedores, com base nos seguintes critérios:
I - segurança da informação;
II - conformidade legal e regulatória;
III - disponibilidade dos serviços e continuidade operacional;
IV - qualidade e abrangência do suporte técnico;
V - custo e complexidade de migração;
VI - custo de capacitação de usuários e equipes técnicas;
VII - impactos ambientais e mitigação de externalidades negativas; e
VIII - certificações e práticas de sustentabilidade.
Seção IV
Dos requisitos de segurança e do uso seguro
Art. 16. O uso de software e de serviços de computação em nuvem na
Advocacia-Geral da União deve observar:
I - a Política de Segurança da Informação da Advocacia-Geral da União -
POSIN-AGU, instituída pela Portaria Normativa AGU nº 166, de 12 de março de 2025;
II - os requisitos mínimos de segurança previstos na Instrução Normativa
GSI/PR nº 05, de 30 de agosto de 2021; e
III - os requisitos mínimos de adequação previstos na Portaria SGD/MGI nº
5.950, de 26 de outubro de 2023.
Art. 17. A não implementação dos requisitos de segurança previstos no art.
16, caput, somente poderá ocorrer:
I - após a realização de avaliação de risco específica e justificativa técnica
registrada em relatório no processo da gestão de riscos de segurança da informação do
Departamento de Tecnologia da Informação; e
II - quando autorizada pelo Comitê de Segurança da Informação da
Advocacia-Geral da União.
Art. 18. O uso de software e de serviços de computação em nuvem deve
observar os mesmos controles, restrições e requisitos aplicáveis aos softwares instalados
em ambiente computacional local da Advocacia-Geral da União.
Art. 19. Antes do início do uso de um novo software ou serviço de
computação em nuvem, o Departamento de Tecnologia da Informação, com o apoio das
áreas solicitantes da solução, deve realizar análise técnica para homologação do
cumprimento dos requisitos de segurança.
§ 1º A análise técnica para homologação do cumprimento dos requisitos de
segurança deve:
I - avaliar a compatibilidade do serviço com a arquitetura tecnológica vigente,
os requisitos de desempenho, escalabilidade, integração e disponibilidade;
II - verificar se há tratamento de dados pessoais ou sensíveis e sua
fundamentação legal;
III - analisar os controles de segurança aplicáveis, incluindo:
a) proteção dos dados;
b) conformidade com a Lei nº 13.709, de 14 de agosto de 2018;
c) cumprimento dos requisitos criptográficos mínimos definidos pelo Comitê
de Segurança da Informação da Advocacia-Geral da União, nos termos do inciso II do art.
8º da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021;
d) controles de acesso;
e) políticas de cópias de segurança e de recuperação de dados;
f) resposta a incidentes; e
g) gestão de vulnerabilidades.
IV - verificar a aderência do serviço às práticas de desenvolvimento seguro,
integração com sistemas legados e aderência a padrões internos de codificação e viabilidade
de automação;
V - examinar a compatibilidade com os sistemas de gerenciamento de dados
adotados pela Advocacia-Geral da União, os mecanismos de leitura e gravação, além de
aspectos de performance e replicação; e
VI - indicar as medidas de gerenciamento de riscos para resguardar as informações
sigilosas ou com restrição de acesso que poderão ser tratadas em ambiente de nuvem.
Seção V
Das análises de riscos de migração e de contratação
Art. 20. A migração de sistemas ou cargas de trabalho para ambientes de
computação em nuvem deve ser precedida de análise de risco de migração.
§ 1º A análise de risco de migração será conduzida pela unidade responsável
pela gestão do serviço a ser migrado, com apoio do Departamento de Tecnologia da
Informação, considerando, no mínimo:
I - os requisitos de negócio, desempenho, disponibilidade e escalabilidade;
II - a classificação da informação tratada no sistema, especialmente nos casos
que envolvam dados sigilosos ou pessoais;
III - os controles de segurança exigidos na Política de Segurança da
Informação da Advocacia-Geral da União, incluindo os critérios de segmentação,
criptografia, rastreabilidade e controle de acesso;
IV - a compatibilidade com os modelos de serviço e de implantação em nuvem; e
V - os aspectos contratuais, regulatórios e orçamentários envolvidos.
§ 2º O relatório da análise de risco da migração deverá:
I - identificar os ativos informacionais e processos de negócio impactados;
II - levantar ameaças, vulnerabilidades e impactos associados à operação do
sistema em nuvem;
III - definir controles mitigatórios, planos de contingência e requisitos técnicos
para continuidade e segurança da informação; e
IV - indicar o nível de risco residual e a sua respectiva aceitação pela
autoridade competente.
§ 3º A análise de risco de migração deverá ser anexada ao processo
administrativo de contratação e poderá servir como subsídio para o estudo técnico preliminar
previsto no art. 11 da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 21. O Departamento de Tecnologia da Informação deve realizar a análise
de riscos da contratação de software e serviços de computação pela Advocacia-Geral da
União.
§ 1º A análise de risco da contratação deve seguir:
I - as determinações da Instrução Normativa SGD/ME nº 94, de23 de dezembro 2022;
II - as diretrizes estabelecidas na Portaria SGD/MGI nº 5.950, de 26 de
outubro de 2023;
III - a Política de Segurança da Informação da Advocacia-Geral da União; e
IV - a Política de Gestão de Riscos da Advocacia-Geral da União.
§ 2º A análise de riscos da contratação de software e serviços de computação
deve conter, no mínimo:
I - identificação dos riscos;
II - análise e avaliação;
III - plano de tratamento de riscos; e
IV - monitoramento contínuo.
Art. 22. Os riscos de segurança da informação identificados devem ser
inseridos no plano de gestão de riscos de segurança da informação previsto no art. 39
da Portaria Normativa AGU nº 166, de 12 de março de 2025.
Art. 23. O Departamento de Tecnologia da Informação cientificará o Comitê
de Segurança da Informação da Advocacia-Geral da União dos riscos críticos identificados
e das medidas de segurança necessárias.
Seção VI
Das condições mínimas de infraestrutura de tecnologia da informação e comunicação
Art. 24. O Departamento de Tecnologia da Informação, na fase de planejamento
da contratação de software e de serviço de computação em nuvem, deve:
I - indicar as condições mínimas de infraestrutura de tecnologia da
informação e comunicação necessárias para a sua utilização;
II - avaliar a capacidade da infraestrutura de tecnologia da informação e
comunicação existente em atender aos requisitos mínimos indicados, considerando aspectos
como:
a) desempenho;
b) escalabilidade;
c) disponibilidade;
d) continuidade; e
e) integração.
III - se for o caso, estabelecer medidas para a adequação da infraestrutura de
tecnologia da informação e comunicação, considerando critérios de vantajosidade.
Parágrafo único. As condições mínimas de infraestrutura devem ser estabelecidas
com base nas necessidades do negócio e nas referências técnicas pertinentes, observando-se,
sempre que aplicável:
I - os recursos da rede interna; e
II - os padrões adotados para serviços prestados por terceiros.
Art. 25. No estabelecimento das condições mínimas de infraestrutura de
tecnologia da informação e comunicação, o Departamento de Tecnologia da Informação
deve adotar, no mínimo, as seguintes práticas:
I - utilização de ferramentas de monitoramento de rede para medir a
utilização da banda, identificar gargalos e planejar melhorias necessárias;
II - estabelecimento de parâmetros mínimos para conexões seguras e estáveis
em ambientes de nuvem, seguindo diretrizes de órgãos de referência;
III - estabelecimento de acordos com provedores de internet que garantam níveis
mínimos de disponibilidade e desempenho da conexão, com métricas claras para porcentagem
de tempo em que um sistema está ativo e funcionando e largura de banda; e
IV - implementação de soluções redundantes para garantir continuidade dos
serviços em caso de falhas na conexão principal.
Parágrafo único. O processo de definição das condições mínimas de
infraestrutura para o uso de softwares e serviços de computação em nuvem deve ser
consolidado no estudo técnico preliminar previsto no art. 11 da Instrução Normativa
SGD/ME nº 94, de 23 de dezembro de 2022.
Seção VII
Do estabelecimento de indicadores, linhas de base e metas
Art. 26. O Departamento de Tecnologia da Informação, com o apoio das áreas
requisitantes da solução, durante a fase de planejamento da contratação, deve:
I - mapear o cenário atual quanto ao uso de software e serviços de
computação em nuvem e indicar o cenário desejado; e
II - definir indicadores de desempenho, linhas de base e metas mensuráveis
para avaliar o progresso e o sucesso da contratação, conforme os modelos de serviços
e as necessidades das unidades.
Art. 27. As linhas de base devem ser estabelecidas a partir do diagnóstico do
ambiente computacional atual, considerando:
I - a infraestrutura legada;
II - os sistemas ativos;
III - os contratos vigentes; e
IV - os serviços que poderão ser migrados ou contratados em ambiente de nuvem.
Art. 28. Os indicadores e as metas devem considerar, no mínimo:
I - nível de disponibilidade e tempo de resposta;
II - eficiência de custos e elasticidade da solução;
III - conformidade com requisitos legais, normativos e de segurança da informação;
IV - percentual de migração de cargas de trabalho dentro do cronograma previsto;
V - frequência e gravidade de incidentes relacionados ao uso de serviços em nuvem; e
VI - adesão às práticas de governança e arquitetura institucional.
Art. 29. A definição de linhas de base, indicadores e metas deve constar no
estudo técnico preliminar e no termo de referência previstos na Instrução Normativa
SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 30. O Departamento de Tecnologia da Informação deve monitorar os
indicadores e o cumprimento das metas.
Parágrafo único. Os resultados de indicadores e metas serão apresentados
anualmente ao Comitê de Governança Digital da Advocacia-Geral da União.
Seção VIII
Da portabilidade e interoperabilidade
Art. 31. O uso de software e serviços de computação na Advocacia-Geral da
União deve assegurar flexibilidade e integração entre plataformas e serviços, em nuvem
ou não, a fim de garantir a continuidade dos serviços.
Parágrafo único. O Departamento de Tecnologia da Informação deve adotar,
no mínimo, as seguintes medidas para mitigar a dependência tecnológica ou o
aprisionamento ao provedor:
I - contratação de soluções baseadas em padrões abertos, a fim de facilitar
a migração entre diferentes provedores de nuvem;
II - distribuição de cargas de trabalho entre diferentes provedores de nuvem
pública ou privada, reduzindo o risco de dependência, considerando:
a) o custo de transferência de dados entre provedores de nuvem; e
b) a eficiência do serviço contratado.
III - utilização de ferramentas e serviços de migração, a fim de facilitar a
transferência de aplicativos e dados entre ambientes de nuvem; e
IV - uso de ferramentas de monitoramento e gestão que abranjam múltiplos
ambientes de nuvem.
Seção IX
Da estratégia de retorno para a infraestrutura local
Art. 32. O Departamento de Tecnologia da Informação deve definir a
estratégia de retorno à infraestrutura local na fase de planejamento das contratações de
softwares e serviços de computação em nuvem.
Parágrafo único. A estratégia de retorno à infraestrutura local deve considerar
ao menos os seguintes aspectos:
I - dependências entre sistemas, aplicativos e dados na nuvem;
II - interconexões críticas que possam impactar a migração de volta à
infraestrutura local;
III - portabilidade de soluções e dados armazenados na nuvem, considerando
padrões abertos e evitando bloqueios em virtude de fornecedores;
IV - utilização de ferramentas de migração e cópias de segurança que
suportem a transferência eficiente de dados entre a nuvem e a infraestrutura local;
V - celebração de contratos de apoio para retorno das operações;
VI - realização de cópias de segurança completas e atualizadas de todos os
dados digitais e sistemas armazenados em serviços de computação em nuvem; e
VII - estratégias para garantir a integridade dos dados e seu retorno à
infraestrutura local em caso de desastre.
Art. 33. A estratégia de retorno para a infraestrutura local deve constar do
estudo técnico preliminar e do termo de referência previstos na Instrução Normativa
SGD/ME nº 94, de 23 de dezembro de 2022.