PORTARIA NORMATIVA AGU Nº 183, DE 24 DE JULHO DE 2025 (parte 2 de 2)

Art. 34. As estratégias de retorno para a infraestrutura local devem ser
revistas periodicamente pelo Departamento de Tecnologia da Informação, conforme a
criticidade do serviço, os resultados do monitoramento de desempenho e os riscos para
cada sistema ou serviço em nuvem.
Seção X
Do alinhamento com planos estratégicos
Art. 35. A contratação de software e de serviços de computação em nuvem
deve estar alinhada, no mínimo, aos seguintes planos estratégicos da Advocacia-Geral da
União:
I - Plano Estratégico Institucional - PEI;
II - Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC; e
III - Plano de Contratações Anual - PCA.
Parágrafo único. A adequação da contratação aos planos estratégicos da
Advocacia-Geral da União deve ser demonstrada no estudo técnico preliminar previsto
no art. 11 da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, com a
indicação de ações, projetos e programas relacionados.
Seção XI
Dos requisitos regulatórios e de conformidade
Art. 36. O uso de software e de serviços de computação em nuvem na
Advocacia-Geral da União deve obedecer aos requisitos regulatórios e de conformidade
em vigor, tais como os estabelecidos pelos seguintes instrumentos:
I - Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023;
II - Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021;
III - Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022;
IV - Portaria Normativa AGU nº 166, de 12 de março de 2025; e
V - Portaria Normativa AGU nº 165, de 12 de março de 2025.
Seção XII
Da capacitação
Art. 37. O Departamento de Tecnologia da Informação deve atuar, em parceria
com a Escola Superior da Advocacia-Geral da União Ministro Victor Nunes Leal, para capacitar
os agentes responsáveis pelo planejamento, pela contratação, operação e utilização de
software e serviços de computação em nuvem.
Parágrafo único. A capacitação deve priorizar o desenvolvimento das competências
necessárias à gestão segura, eficiente e inovadora de software e serviços de computação em nuvem.
Art. 38. A capacitação deve contemplar, no mínimo, os seguintes perfis e
conhecimentos:
I - para os gestores e responsáveis pelo planejamento e pela contratação de
software e serviços de computação em nuvem:
a) conhecimento sobre modelos e implantação de software e serviços de
computação em nuvem;
b) fundamentos de segurança da informação e proteção de dados
pessoais;
c) gestão de riscos e conformidade normativa, com base em modelos de
referência; e
d) elaboração e análise de processos de contratação de software e serviços
de computação em nuvem.
II - para os técnicos e operadores de infraestrutura, segurança e sistemas:
a) administração de ambientes em nuvem, incluindo ferramentas específicas
dos provedores contratados;
b) monitoramento, configuração e automação de recursos em nuvem;
c) implementação de controles de segurança; e
d) práticas de resiliência e recuperação.
III - para os usuários finais e os responsáveis pela definição dos requisitos do negócio:
a) noções básicas de uso seguro de soluções em nuvem;
b) boas práticas de proteção de dados;
c) responsabilidades compartilhadas entre provedor e cliente; e
d) cultura de inovação e colaboração digital, promovendo experimentação,
uso consciente e aprendizado contínuo.
Art. 39. O Departamento de Tecnologia da Informação deverá:
I - manter registro das capacitações realizadas; e
II - elaborar, em parceria com a Escola Superior da Advocacia-Geral da União
Ministro Victor Nunes Leal, plano anual de desenvolvimento de competências em
computação em nuvem, com base nos objetivos estratégicos da Advocacia-Geral da União.
CAPÍTULO III
DA GOVERNANÇA DO USO DE SOFTWARE E SERVIÇOS DE COMPUTAÇÃO EM NUVEM
Seção I
Dos eixos de gestão
Art. 40. A governança do uso de software e serviços de computação em
nuvem na Advocacia-Geral da União será realizada por meio dos seguintes instrumentos
de gestão:
I - definição de responsabilidades;
II - gestão de riscos e conformidade;
III - gestão de fornecedores e contratos;
IV - gestão de continuidade de negócio;
V - monitoramento de eventos;
VI - melhoria contínua;
VII - auditoria;
VIII - identificação e classificação de dados; e
IX - controle de acesso.
Seção II
Das responsabilidades
Art. 41. No âmbito da governança do uso de software e serviços de computação
em nuvem, compete:
I - ao Departamento de Tecnologia da Informação:
a) implementar as medidas relacionadas ao uso de software e serviços de
computação em nuvem, em conformidade com as determinações desta Portaria
Normativa e com normas e regulamentos estabelecidos na legislação pertinente;
b) informar o Comitê de Governança Digital da Advocacia-Geral da União
acerca do progresso e dos fatos relevantes do planejamento e da execução da
contratação de softwares e serviços de computação em nuvem classificados como de
alta relevância ou alta materialidade; e
c) apresentar informações e esclarecimentos sobre o uso de software e de
serviços de computação em nuvem sempre que solicitado pelo Comitê de Governança
Digital da Advocacia-Geral da União;
II - ao Comitê de Governança Digital da Advocacia-Geral da União:
a) acompanhar e monitorar os processos de gestão de software e serviços de
computação em nuvem;
b) editar, nos termos do que dispõe o art. 7º da Portaria Normativa AGU nº
141, de 19 de junho de 2024, regras complementares à Estratégia de Uso de Software
e de Serviços de Computação em Nuvem da Advocacia-Geral da União;
c) autorizar que cargas de trabalho que tratem informações com restrição de
acesso sejam mantidas em ambientes de nuvem que não sejam de governo, nos termos
do art. 11; e
d) supervisionar a execução dos contratos de software e de serviços de
computação em nuvem que sejam de alta relevância ou de alta materialidade.
III - ao Comitê de Segurança da Informação:
a) exercer as competências relacionadas à segurança da informação, nos
termos do art. 48 da Portaria Normativa AGU nº 166, de 12 de março de 2025;
b) estabelecer os países nos quais dados e informações poderão ser armazenados
em soluções de computação em nuvem nos termos do art. 8º, inciso I, da Instrução
Normativa GSI/PR nº 5, de 30 de agosto de 2021;
c) definir os requisitos criptográficos mínimos para o armazenamento de
dados e informações em soluções de computação em nuvem, nos termos do art. 8º,
inciso II, da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021; e
d) autorizar a não implementação dos requisitos de segurança previstos no
art. 16, caput.
IV - às áreas requisitantes da solução:
a) avaliar continuamente a adequação dos softwares e serviços de
computação em nuvem;
b) reportar imediatamente ao Departamento de Tecnologia da Informação a
ocorrência de falhas ou vulnerabilidades; e
c) apontar necessidades de melhorias ou alterações dos processos de trabalho
que utilizam softwares ou serviços de computação em nuvem.
Seção III
Da gestão de riscos e conformidade
Art. 42. O Departamento de Tecnologia da Informação deve implementar e
executar a gestão dos riscos no uso de software e de serviços de computação em nuvem
de forma permanente e seguindo:
I - a metodologia de gestão de riscos da Advocacia-Geral da União;
II - as determinações referentes à gestão de riscos de segurança da
informação previstas na Portaria Normativa AGU nº 166, de 12 de março de 2025; e
III - demais normas sobre gestão de riscos da Advocacia-Geral da União.
Art. 43. A verificação da conformidade do uso de serviços em nuvem deve seguir:
I - as regras previstas na Portaria SGD/MGI nº 5.950, de 26 de outubro de
2023, e na Portaria SGD/MGI nº 852, de 28 de março de 2023; e
II - os controles definidos em normas de referência e demais atos normativos
em vigor.
Seção IV
Da gestão de fornecedores e contratos
Art. 44. O Departamento de Tecnologia da Informação, com apoio das áreas
requisitantes da solução, deve monitorar permanentemente os fornecedores de software
e de serviços de computação em nuvem, considerando ao menos os seguintes
aspectos:
I - cumprimento das regras de segurança da informação;
II - conformidade contratual;
III - desempenho;
IV - satisfação dos usuários; e
V - disponibilidade.
Parágrafo único. Os resultados do monitoramento dos fornecedores de software
e serviços de computação em nuvem deve ser documentado no processo administrativo de
contratação.
Seção V
Da gestão de continuidade de negócio
Art. 45. O Departamento de Tecnologia da Informação deve atuar para garantir:
I - a continuidade dos softwares e serviços de computação em nuvem,
conforme recomendações da ISO/IEC 22301; e
II - a capacidade de recuperação dos dados em caso de desastres.
Art. 46. O Departamento de Tecnologia da Informação deve manter registro
atualizado dos testes de recuperação de dados realizados nos softwares e serviços de
computação em nuvem, indicando seus resultados e as ações de melhoria adotadas.
Art. 47. A gestão de continuidade de negócio e a recuperação de dados no
uso de software e serviços de computação em nuvem devem seguir, no que couber:
I - as diretrizes institucionais sobre gestão de continuidade de negócio de que
trata o inciso III do art. 41 da Portaria Normativa AGU nº 166, de 12 de março de 2025; e
II - as regras sobre gestão de cópias de segurança e de recuperação de dados
digitais da Advocacia-Geral da União, a serem estabelecidas em ato do Comitê de
Segurança da Informação.
Seção VI
Do monitoramento de eventos
Art. 48. O Departamento de Tecnologia da Informação deve estabelecer
rotina de monitoramento de eventos que envolvam software e serviços de computação
em nuvem, incluindo a definição:
I - dos eventos que serão monitorados;
II - da frequência de monitoramento;
III - da metodologia de análise dos dados; e
IV - do processo de resposta a incidentes com prazos de resposta e indicação
dos responsáveis.
Art. 49. O monitoramento dos eventos deve ser realizado por meio de
métodos de controle como:
I - ferramentas de observabilidade;
II - controle de acesso; e
III - geração de alertas conforme a classificação de criticidade do serviço.
Art. 50. O monitoramento dos incidentes em segurança da informação deve
indicar, ao menos:
I - comportamentos anômalos;
II - acessos indevidos; e
III - falhas operacionais.
Seção VII
Da melhoria contínua
Art. 51. A melhoria contínua dos processos, controles e das diretrizes relativos à
gestão dos softwares e serviços de computação em nuvem deve ser promovida com base no
ciclo planejar, fazer, verificar e agir, como prática sistemática de evolução dos instrumentos
de gestão previstos no art. 40.
Parágrafo único. O Departamento de Tecnologia da Informação deve manter
registro mensal das iniciativas de melhoria implementadas e de seus impactos.
Seção VIII
Da auditoria
Art. 52. A Secretaria de Controle Interno da Advocacia-Geral da União poderá
realizar auditorias para verificar a conformidade do uso de software e serviços de
computação em nuvem, devendo:
I - avaliar o cumprimento desta Portaria Normativa; e
II - monitorar o tratamento das informações, conforme previsto no art. 6º,
parágrafo único, da Portaria Normativa AGU nº 166, de 12 de março de 2025.
Seção IX
Da identificação e classificação de dados
Art. 53. Todos os dados armazenados ou processados em ambientes de
computação em nuvem devem ser previamente classificados quanto à sua criticidade e
confidencialidade, na forma do art.9º, inciso XII.
Parágrafo único. A classificação de criticidade e confidencialidade dos dados
armazenados ou processados em ambientes de computação em nuvem deve ser utilizada
para a definição de controles de acesso, de requisitos de criptografia e de requisitos
contratuais.
Art. 54. A classificação de confidencialidade dos dados armazenados ou
processados em ambientes de computação em nuvem deve seguir o disposto na Portaria
Normativa AGU nº 166, de 12 de março de 2025, e na Portaria AGU nº 529, de 23 de
agosto de 2016.
Seção X
Do controle de acesso
Art. 55. O controle de acesso aos softwares e serviços de computação em
nuvem deve assegurar, no mínimo:
I - a integridade dos dados de acesso;
II - a confidencialidade das credenciais e informações sensíveis;
III - a autenticação multifator para usuários com privilégios elevados;
IV - o princípio do menor privilégio, garantindo que os acessos sejam concedidos
apenas conforme a necessidade do cargo ou função;
V - a revisão periódica dos acessos concedidos, com remoção de permissões
obsoletas ou não utilizadas; e
VI - o registro e monitoramento de atividades para auditoria e detecção de
comportamentos incomuns.
Parágrafo único. O controle de acesso aos softwares e serviços de
computação em nuvem deve seguir, no que couber, as regras sobre gestão de acesso da
Advocacia-Geral da União, a serem estabelecidas em ato do Comitê de Segurança da
Informação.
Art. 56. A concessão, revisão e revogação de acessos aos softwares e serviços
de computação em nuvem devem estar integradas a processos formais de gestão de
identidade, com registro de usuário responsável pela autorização.
CAPÍTULO IV
DISPOSIÇÕES FINAIS
Art. 57. A Estratégia de Uso de Software e de Serviços de Computação em Nuvem
da Advocacia-Geral da União e suas regras complementares devem ser amplamente
divulgadas a todos os usuários e às partes interessadas para garantir sua disseminação e seu
cumprimento.
Art. 58. Os softwares e serviços de computação em nuvem contratados ou
implantados anteriormente à entrada em vigor desta Portaria Normativa devem ser
avaliados quanto à sua conformidade às regras estabelecidas nesta Portaria
Normativa.
§ 1º O Departamento de Tecnologia da Informação deverá elaborar, no prazo
de até um ano contado da entrada em vigor desta Portaria Normativa, plano de
adequação dos serviços em operação, priorizando aqueles classificados como de alta
materialidade, alta relevância ou com maior exposição a riscos.
§ 2º Durante o período de transição, os serviços existentes poderão continuar
em funcionamento, desde que não apresentem risco relevante à segurança da
informação, à conformidade legal ou à continuidade das operações institucionais.
Art. 59. Compete ao Departamento de Tecnologia da Informação propor a
revisão da presente Portaria Normativa sempre que as alterações de regulamentação e
atualizações tecnológicas assim determinarem, ou, no mínimo, a cada dois anos.
Art. 60. A Portaria Normativa AGU nº 166, de 12 de março de 2025, passa
a vigorar com as seguintes alterações:
"Art. 29-A. O uso de software e serviços de computação em nuvem deve
seguir o disposto na Portaria Normativa AGU nº 183, de 24 de julho de 2025."
(NR)
"Art. 48. ...............................................................................................................
.......................................................................................................................................
VIII - avaliar as ações propostas pelo gestor de segurança da informação;
IX - acompanhar, no âmbito da Advocacia-Geral da União, a execução do
Programa de Privacidade e Segurança da Informação, de que trata a Portaria SGD/MGI
nº 852, de 28 de março de 2023, e suas atualizações; e
X - exercer as competências previstas no art. 41, inciso III, da Portaria
Normativa AGU nº 183, de 24 de julho de 2025." (NR)
Art. 61. Esta Portaria Normativa entra em vigor na data de sua publicação.
FLAVIO JOSÉ ROMAN