PORTARIA Nº 1.510, DE 16 DE DEZEMBRO DE 2025 (parte 1 de 3)

PORTARIA Nº 1.510, DE 16 DE DEZEMBRO DE 2025
Estabelece a Política de Gestão do Controle de
Acesso no âmbito do Instituto Nacional de
Colonização e Reforma Agrária - Incra.
O PRESIDENTE DO INSTITUTO NACIONAL DE COLONIZAÇÃO E REFORMA
AGRÁRIA - INCRA, no uso das atribuições que lhe são conferidas pelo Decreto n.º
11.232, de 10 de outubro de 2022, alterado pelo Decreto n.º 12.171, de 09 de
setembro de 2024, combinado com o art. 143 do Regimento Interno da Autarquia,
aprovado pela Portaria n.º 925, de 30 de dezembro de 2024, publicada no Diário
Oficial da União do dia 31 de dezembro de 2024; resolve:
Art. 1º Fica instituída, no âmbito do Instituto Nacional de Colonização e
Reforma Agrária - Incra, a Política de Gestão do Controle de Acesso, em complemento
às diretrizes estabelecidas pelo art. 12, da Política de Segurança da Informação - PoSIC
(ref. Processo Administrativo nº 54000.018337/2022-16).
CAPÍTULO I
DO ESCOPO
Art. 2º A Política de Gestão do Controle de Acesso tem como objetivo
estabelecer diretrizes, competências e responsabilidades para sistematizar controles de
identificação, autenticação e autorização para salvaguardar as informações do Incra,
estejam elas em qualquer meio, seja físico ou digital, a fim de evitar a quebra de
segurança da informação e quaisquer acessos não autorizados que implique em risco
de destruição, alteração, perda, roubo ou divulgação indevida.
Art. 3º Esta política abrange diretrizes, competências e responsabilidades
sobre como o acesso às informações e recursos são concedidos, monitorados e
revogados dentro do Incra de forma a garantir que apenas pessoas autorizadas tenham
acesso às informações e recursos necessários para desempenhar suas funções,
minimizando assim o risco de violações de segurança e vazamento de dados. Ela inclui
diversos elementos, como por exemplo:
I - identificação e autenticação de usuários;
II - determina quais recursos, sistemas ou informações os usuários tem
permissão para acessar após a autenticação bem sucedida (definição de privilégios e
níveis de acesso de acordo com as responsabilidades de cada usuário);
III - gerencia o acesso a sistemas, dados digitais, acesso físico a edifícios,
salas de servidor e outros locais que abrigam informações críticas;
IV - estabelece práticas para monitorar e registrar as atividades de acesso
para identificar potenciais ameaças ou violações de segurança;
V - define diretrizes para revogar o acesso de um usuário, como por
exemplo demissão, mudança de função ou quando o acesso se torna desnecessário
para suas responsabilidades;
VI - envolve a conscientização de usuários sobre a importância do controle
de acesso, as melhores práticas de segurança e a importância de proteger as
credenciais de acesso.
VII - todas as informações, cuja o Incra seja o agente de tratamento, ao
meio utilizado para este tratamento, seja digital ou físico, e as dependências físicas
desta organização, bem como a qualquer pessoa que circule nas dependências ou que
interaja exercendo controle administrativo, técnico ou operacional, mesmo que
eventual, desses meios de tratamento. Especificamente, inclui os funcionários que
trabalham para o Incra, sejam servidores efetivos ou temporários, os contratados e
terceiros, parceiros que acessam fisicamente as dependências ou que acessam a rede
e sistemas de informação do Incra.
Art. 4° O Incra deve definir regras de limitação ou restrição de acesso aos
colaboradores, para que estes disponham de privilégios mínimos necessários para
exercerem suas atividades, funções e responsabilidades pré-definidas.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 5º Para fins de compreensão dos termos utilizados nesta política serão
utilizados os seguintes conceitos e definições:
I.acesso: ato de ingressar, transitar, conhecer ou consultar a informação,
bem como possibilidade de usar os ativos de informação de um órgão ou entidade,
observada eventual restrição que se aplique;
ameaça: conjunto de fatores externos com o potencial de causar dano para
um sistema ou organização;
ativo: tudo que tenha valor para a organização, material ou não;
ativos de informação: meios de armazenamento, transmissão e
processamento da informação, equipamentos necessários a isso, sistemas utilizados
para tal, locais onde se encontram esses meios, recursos humanos que a eles têm
acesso e conhecimento ou dado que tem valor para um indivíduo ou organização;
backup/cópia de segurança: conjunto de procedimentos que permitem
salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e
recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado
para identificar a mídia em que a cópia é realizada;
banco de dados: coleção de dados inter-relacionados, representando
informações sobre um domínio específico. São coleções organizadas de dados que se
relacionam, a fim de criar algum sentido (informação) e de dar mais eficiência durante
uma consulta ou a geração de informações ou conhecimento;
comitê de segurança da informação e comunicação (CSIC): grupo de pessoas
com a responsabilidade de assessorar a implementação das ações de segurança da
informação no âmbito do órgão ou entidade da administração pública federal;
computação em nuvem: modelo de fornecimento e entrega de tecnologia
de informação que permite acesso conveniente e sob demanda a um conjunto de
recursos computacionais configuráveis, sendo que tais recursos podem ser
provisionados e liberados com mínimo gerenciamento ou interação com o provedor do
serviço de nuvem;
conta de acesso: conjunto de procedimentos, recursos e meios utilizados
com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou
computacionais. Via de regra, requer procedimentos de autenticação;
conta de serviço: conta de acesso à rede corporativa de computadores,
necessária a um procedimento automático (aplicação, script, entre outros) sem
qualquer intervenção humana no seu uso;
controle de acesso: conjunto de procedimentos, recursos e meios utilizados
com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou
computacionais. Via de regra, requer procedimentos de autenticação;
controle: forma de gerenciar o risco, incluindo políticas, procedimentos,
diretrizes, práticas ou estrutura organizacionais, que podem ser de natureza
administrativa, técnica, de gestão ou legal;
controles de segurança: certificado que autoriza uma pessoa natural para o
tratamento de informação classificada;
CTIR GOV - Centro de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos de Governo, Segurança Institucional da Presidência da República;
documento: unidade de registro de informações, qualquer que seja o
suporte ou o formato;
e-mail: sigla de correio eletrônico (electronic mail); XXI - eliminação:
exclusão de dado ou conjunto de dados, armazenados em banco de dados,
independentemente do procedimento empregado;
equipe de tratamento e resposta a incidentes cibernéticos (ETIR): grupo de
agentes públicos com a responsabilidade de prestar serviços relacionados à segurança
cibernética para o órgão ou a entidade da administração pública federal, em
observância à política de segurança da informação e aos processos de gestão de riscos
de segurança da informação do órgão ou da entidade;
evento: qualquer mudança de estado que tem importância para a gestão de
um item de configuração ou serviço de tecnologia da informação. Em outras palavras,
qualquer ocorrência dentro do escopo de tecnologia da informação que tenha
relevância para a gestão dos serviços entregues ao cliente;
evento de segurança: qualquer ocorrência identificada em um sistema,
serviço ou rede, que indique uma possível falha da política de segurança, falha das
salvaguardas ou mesmo uma situação até então desconhecida, que possa se tornar
relevante em termos de segurança;
firewall: ferramenta para evitar acesso não autorizado, tanto na origem
quanto no destino, a uma ou mais redes. Podem ser implementados por meio de
hardware ou software, ou por meio de ambos. Cada mensagem que entra ou sai da
rede passa pelo firewall, que a examina a fim de determinar se atende ou não os
critérios de segurança especificados;
incidente: interrupção não planejada ou redução da qualidade de um
serviço, ou seja, ocorrência, ação ou omissão, que tenha permitido, ou possa vir a
permitir, acesso não autorizado, interrupção ou mudança nas operações (inclusive pela
tomada de controle), destruição, dano, deleção ou mudança da informação protegida,
remoção ou limitação de uso da informação protegida ou ainda a apropriação,
disseminação e publicação indevida de informação protegida de algum ativo de
informação crítico ou de alguma atividade crítica por um período de tempo inferior ao
tempo objetivo de recuperação;
incidente cibernético: ocorrência que pode comprometer, real ou
potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade
de sistema de informação ou das informações processadas, armazenadas ou
transmitidas por esse sistema;
incidente de segurança: qualquer evento adverso, confirmado ou sob
suspeita, relacionado à segurança dos sistemas de computação ou das redes de
computadores;
informação: dados, processados ou não, que podem ser utilizados para
produção e para transmissão de conhecimento, contidos em qualquer meio, suporte ou
formato;
internet: rede global, composta pela interligação de inúmeras redes;
medidas de segurança: medidas destinadas a garantir sigilo, inviolabilidade,
integridade, autenticidade e disponibilidade da informação classificada em qualquer
grau de sigilo;
MFA: sigla de autenticação de multifatores (multifactor authentication);
política: intenções e diretrizes globais formalmente expressas pela
direção;
prestador de serviço: pessoa envolvida com o desenvolvimento de
atividades, de caráter temporário ou eventual, exclusivamente para o interesse do
serviço, que poderão receber credencial especial de acesso;
rede de computadores: conjunto de computadores, interligados por ativos
de rede, capazes de trocar informações e de compartilhar recursos, por meio de um
sistema de comunicação;
recursos de processamento da informação: qualquer sistema de
processamento da informação, serviço ou infraestrutura, ou as instalações físicas que
os abriguem;
risco: no sentido amplo, trata-se da possibilidade de ocorrência de um
evento que pode impactar o cumprimento dos objetivos. Pode ser mensurado em
termos de impacto e de probabilidade;
risco de segurança da informação: risco potencial associado à exploração de
uma ou mais vulnerabilidades de um ou mais ativos de informação, por parte de uma
ou mais ameaças, com impacto negativo no negócio da organização;
segurança da informação: preservação da confidencialidade, integridade,
disponibilidade, adicionalmente outras propriedades, tais como autenticidade,
responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas;
serviços: meio de fornecimento de valor a clientes, com vistas a entregar os
resultados que eles desejam, sem que tenham que arcar com a propriedade de
determinados custos e riscos;
SI: sigla de segurança da informação;
sistema de informação: conjunto de elementos materiais ou intelectuais,
colocados à disposição dos usuários, em forma de serviços ou bens, que possibilitam
a agregação dos recursos de tecnologia, informação e comunicações de forma
integrada;
tecnologia da informação: ativo estratégico que apoia processos de negócios
institucionais, mediante a conjugação de recursos, processos e técnicas, utilizados para
obter, processar, armazenar, disseminar e fazer uso de informações; e
usuário: pessoa física ou jurídica, seja servidor público, estudante ou
prestador de serviços, voluntário habilitado pela administração para acessar os ativos
de informação do Incra.
CAPÍTULO III
DOS PRINCÍPIOS
Art. 6º Esta política considera os seguintes princípios:
I - respeito aos princípios e diretrizes constitucionais, legais e
regulamentares que regem a Administração Pública Federal;
II - garantia de integridade, autenticidade e disponibilidade da informação
sob a custódia do Incra, com respeito ao princípio da transparência e atribuição de
confidencialidade apenas nos casos expressamente previstos na legislação;
III - alinhamento estratégico da Política de Segurança da Informação - PoSIC
com os demais planos institucionais;
IV - responsabilidade pelo cumprimento das normas pertinentes à segurança
da informação vigentes; e
V - conscientização, educação e comunicação como alicerces fundamentais
para o fomento da cultura em segurança da informação.
CAPÍTULO IV
DAS DIRETRIZES GERAIS
Art. 7º As diretrizes gerais constituem os pilares do controle de acesso no
Incra, orientando a elaboração de norma, processo, planos, procedimentos,
metodologia e ações de controle que garantem que os princípios básicos de segurança
da informação sejam alcançados.
§ 1º Procedimento operacional padrão deve ser estabelecido, documentado
e atualizado para implementar controles de acesso físicos e lógicos à informação e aos
ativos associados à informação que são por ele gerenciados ou custodiados, com
objetivo de proteger adequadamente a confidencialidade das informações não públicas,
bem como a integridade e a disponibilidade das informações consideradas críticas para
o negócio.
§ 2º Os controles de acesso devem ser implementados para identificação,
autenticação e autorização garantindo que apenas usuários autorizados tenham acesso
físico ou lógico aos recursos, sistemas ou serviços de TI.
§ 3º Rotinas devem ser configuradas para criar, atribuir, gerenciar e revogar
credenciais de acesso e privilégios para contas de usuário, administrador e serviço para
ativos e software institucionais devem ser estabelecidas e mantidas atualizadas.
§ 4º Sempre que possível controles de acesso devem ser implementados
conforme necessidade legítima que justifique o acesso à informação por pessoa,
sistema ou entidade, seguindo o princípio "privilégio mínimo", o qual estabelece que
o perfil de acesso concedido deve incluir apenas os poderes necessários para atender
as legítimas necessidades.
§ 5º Quando possível, os controles de acesso lógicos no Incra devem utilizar
autenticação com certificado digital, a fim de proporcionar uma identificação
inequívoca de pessoas físicas e jurídicas, assim como comprovação de autoria em
transações digitais.
§ 6º Os direitos de acesso lógicos e físicos devem ser analisados
criticamente, a intervalos regulares, para remover direitos que deixaram de ser
necessários e para assegurar que privilégios indevidos não foram obtidos.
§ 7º Os controles de autorização, identificação e autenticação devem
garantir que apenas usuários autorizados tenham acesso físico ou façam uso dos
sistemas de informação do Incra.
CAPÍTULO V
ACESSO LÓGICO
Art. 8º O acesso lógico aos recursos da Rede Local deve ser realizado por
meio de sistema de controle de acesso. O acesso deve ser concedido e mantido pela
Coordenação-Geral de Tecnologia e Gestão da Informação, baseado nas
responsabilidades e tarefas de cada usuário, logo:
I - o Incra deve implementar protocolos de comunicação e redes
seguros.
II - terão direito a acesso lógico aos recursos da Rede Local os usuários de
recursos de tecnologia da informação.
III - para fins desta Portaria, consideram-se usuários de recursos de
tecnologia da informação servidores ocupantes de cargo efetivo, temporário ou cargo
em comissão, ocupantes de emprego público em exercício, assim como funcionários de
empresas prestadoras de serviços, estagiários e demais usuários temporários em
atividade no Incra, que acessam fisicamente as dependências ou que acessam a rede
e sistemas de informação do Incra.
IV - o acesso remoto deve ser realizado por meio de VPN - Rede Virtual
Privada, após as devidas autorizações.
V - deve ser utilizado o MFA para a autenticação de acesso remoto.
VI - o acesso a todas as aplicações corporativas ou de terceiros que estejam
hospedados em fornecedores deve utilizar MFA.
VII - o Incra deve centralizar a autenticação, autorização e auditoria (AAA)
dos ativos de informação da sua infraestrutura de rede.
VIII - o Incra deve adotar técnicas de segmentação de rede visando limitar
o acesso de forma eficiente e segura, assegurando que apenas colaboradores e
dispositivos autorizados possam interagir com partes específicas da rede.
Art. 9º O Incra deve estabelecer e manter um inventário de todas as contas
gerenciadas, este deve incluir contas de usuário, administrativas, testes e serviço. Em
caso de contas de serviço, o inventário deve conter no mínimo informações de:
I - área de negócio proprietária.
II - data de criação/última autorização de renovação de acesso;
III - a Coordenação-Geral de Tecnologia e Gestão da Informação é
responsável por validar todas as contas ativas do órgão a cada 90 dias;
Art. 10. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
implementar a centralização da gestão de contas por meio de serviço de diretório e/ou
identidade.
Art. 11. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
estabelecer e manter um inventário dos sistemas de autenticação e autorização da
organização, tal inventário deve ser revisado periodicamente.
Art. 12. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
centralizar o controle de acesso para todos os ativos de informação da organização por
meio de um serviço de diretório ou provedor de SSO.
Art. 13. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
definir e manter o controle de acesso dos usuários baseado em funções, logo:
I - deve ser elaborada a documentação dos direitos dos acessos para cada
função dentro da organização.
II - a Coordenação-Geral de Tecnologia e Gestão da Informação deverá
realizar análises de controle de acesso aos ativos institucionais para validar se todos
os privilégios estão autorizados para a execução de atividades de cada função, este
processo deve ser repetido de forma periódica ou quando novas funções e ativos de
informação forem inseridos na organização.
III - ao conceder acesso a usuários que lidam com dados pessoais, deve-se
limitar, estritamente, o acesso aos sistemas que processam esses dados ao mínimo
necessário para cumprir os objetivos essenciais do processamento, em conformidade
com o princípio da minimização de dados. Ao atribuir ou revogar os direitos de acesso
concedidos deve-se incluir:
a) verificação de que o nível de acesso concedido é apropriado às políticas
de acesso, além de ser consistente com outros requisitos, tais como, segregação de
funções;
b) garantia de que os direitos de acesso não estão ativados antes que o
procedimento de autorização esteja completo;
c) manutenção de um registro preciso e atualizado dos perfis dos usuários
criados para os que tenham sido autorizados a acessar o sistema de informação e os
dados pessoais neles contidos;
d) mudança dos direitos de acesso dos usuários que tenham mudado de
função ou de atividades, e imediata remoção ou bloqueio dos direitos de acesso dos
usuários que deixaram o Incra;
e) analisar criticamente os direitos de acesso em intervalos regulares;
f) analisar e aprovar, ad referendum, os pedidos de acesso a dados
institucionais, por meio de APIs (Apllication Programming Interface) disponibilizadas no
Conecta Gov.br, e ratificar os novos acessos no Comitê de Governança Digital - CGD
e comunicar ao Comitê de Segurança da Informação e Comunicação - CSIC;
g) disponibilizar, em ferramenta própria, funcionalidade para que as
unidades organizacionais, proprietárias de dados, possam avaliar e aprovar pedidos de
acesso a seus respectivos dados, antes de atribuir direitos de acessos.
Art. 14. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
implementar um processo formal de registro de usuários que tratem de dados pessoais
para permitir atribuição de direitos de acesso e fornecer medidas para lidar com o
comprometimento do controle de acesso do usuário, como corrupção ou
comprometimento de senhas ou outros dados de registro do usuário, para tanto
podem ser realizadas as seguintes ações:
I - o uso de um identificador de usuário único, para permitir relacionar os
usuários com suas responsabilidades e ações;
II - o uso compartilhado de identificador de usuário somente será permitido,
onde eles são necessários por razões operacionais ou de negócios e deverá ser
aprovado e documentado;
III - a garantia de que o um mesmo identificador de usuário não é emitido
para outros.
CAPÍTULO VI
CONTA DE ACESSO LÓGICO E SENHA
Art. 15. Para utilização das estações de trabalho do Incra, será obrigatório
o uso de uma única identificação (login) e de senha de acesso, fornecidos pela
Coordenação-Geral de Tecnologia e Gestão da Informação, mediante solicitação formal
pelo titular da unidade do requisitante, sendo assim, fazem-se necessários:
I - o preenchimento do formulário de solicitação de acesso se encontra
disponível no Sistema Eletrônico de Informações - SEI;
II - a definição, pela unidade requisitante ao qual o usuário está vinculado,
os privilégios de acesso dos usuários à Rede Local, limitando-se a atividades
estritamente necessárias à realização de suas tarefas.
III - na necessidade de utilização de perfil diferente do disponibilizado, o
titular da unidade do usuário deverá encaminhar solicitação para a Coordenação-Geral
de Tecnologia e Gestão da Informação, que a examinará, podendo negá-la nos casos
em que a entender desnecessária.
Art. 16. O login e senha são de uso pessoal e intransferível, sendo proibida
a sua divulgação, sob pena de serem bloqueados pela Coordenação-Geral de Tecnologia
e Gestão da Informação quando constatada qualquer irregularidade.
Parágrafo único. Para retomar o acesso à rede, deverá ser formalizada nova
requisição pelo titular da unidade do requisitante.
Art. 17. O padrão adotado para o formato da conta de acesso do usuário
é a sequência primeiro nome + ponto + último nome do usuário, como por exemplo,
joao.silva.
Parágrafo único. Nos casos de já existência de conta de acesso para outro
usuário, a Coordenação-Geral de Tecnologia e Gestão da Informação realizará outra
combinação utilizando o nome completo do usuário para o qual a conta está sendo
criada.
Art. 18. O padrão adotado para o formato da senha é o definido pela
Coordenação-Geral de Tecnologia e Gestão da Informação, que considera o tamanho
mínimo de caracteres, a tipologia (letras, número e símbolos) e a proibição de
repetição de senhas anteriores, sendo assim:
I - a formação da senha da identificação (login) de acesso à Rede Local deve
seguir as regras de:
a) possuir tamanho mínimo de oito caracteres, sendo obrigatório o uso de
letras e números, para contas que utilizam MFA e 14 (catorze) caracteres para contas
que não utilizam MFA;
b) recomenda-se a utilização de letras maiúsculas, minúsculas e caracteres
especiais ($, %, &,...);
c) não ser formada por sequência numérica (123...), alfabética (abc...),
nomes próprios, palavras de fácil dedução, datas, placa de carro, número de telefone,
a própria conta de acesso, apelidos ou abreviações;
d) não utilizar termos óbvios, tais como: Brasil, senha, usuário, password ou
system;
e) não reutilizar as últimas 05 (cinco) senhas.
II - a Coordenação-Geral de Tecnologia e Gestão da Informação fornecerá
uma senha temporária para cada conta de acesso criada no momento da liberação
dessa conta e a mesma deverá ser alterada pelo usuário quando do primeiro acesso
à Rede Local.
Art. 19. As senhas de acesso serão renovadas a cada 90 dias, devendo o
usuário ser informado antecipadamente, a fim de que ele próprio efetue a
mudança.
Parágrafo único. Caso não efetue a troca no prazo estabelecido, será
bloqueado seu acesso à Rede Local até que a nova senha seja configurada.
CAPÍTULO VII
BLOQUEIO, DESBLOQUEIO E CANCELAMENTO DA CONTA DE ACESSO
Art. 20. A conta de acesso será bloqueada nos seguintes casos:
I - após 5 tentativas consecutivas de acesso errado;
II - solicitação do superior imediato do usuário com a devida justificativa;
III - quando da suspeita de mau uso dos serviços disponibilizados pelo Incra
ou descumprimento da Política de Segurança da Informação - PoSIC e normas
correlatas em vigência;
IV - após 90 dias consecutivos sem movimentação pelo usuário.
Art. 21. O desbloqueio da conta de acesso à Rede Local será realizado
apenas após solicitação formal do superior imediato do usuário à Coordenação-Geral
de Tecnologia e Gestão da Informação.
Art. 22. Quando do afastamento temporário do usuário, a conta de acesso
deve ser bloqueada a pedido do superior imediato ou da unidade de Recursos
Humanos.
Art. 23. A conta de acesso não utilizada há mais de 180 dias poderá ser
cancelada.
Art. 24. O Incra deve garantir a implementação de um processo formal de
cancelamento de usuários que administrem ou operem sistemas e serviços que tratem
de dados pessoais. Tal processo deverá incluir:
I - a imediata remoção ou desabilitação de usuário que tenha deixado o Incra;
II - a remoção e identificação, de forma periódica, ou a desabilitação de
usuários com os mesmos identificadores.
Art. 25. A Coordenação-Geral de Tecnologia e Gestão da Informação deve
configurar o bloqueio automático de sessão nos ativos após um período de inatividade
preestabelecido. Tal prazo pode ser específico para cada tipo de ativo.
Art. 26. A Coordenação-Geral de Tecnologia e Gestão da Informação deve,
sempre que possível, priorizar a revogação/desativação de contas com o objetivo de
manter dados e logs para possíveis auditorias.