PORTARIA MDS Nº 1.144, DE 23 DE DEZEMBRO DE 2025 (parte 2 de 2)

§ 2º Caso constatada alguma irregularidade, o usuário perderá o acesso como
administrador, não mais podendo requerer outra permissão.
§ 3º A identificação (login) com privilégio de administrador nos equipamentos
locais será fornecida em caráter provisório, podendo ser renovada por solicitação formal
do titular da unidade requisitante.
Art. 40. Salvo para atividades específicas da área responsável pela gestão da
Subsecretaria de Tecnologia da Informação - STI do Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome, não será concedida para um mesmo usuário
identificação (login) com privilégio de administrador para mais de uma estação de trabalho
ou para acesso a equipamentos servidores e a dispositivos de rede.
Art. 41. Excepcionalmente, poderá ser concedida identificação (login) de acesso
à rede de comunicação de dados a visitante em caráter temporário, após apreciação da
Subsecretaria de Tecnologia da Informação - STI.
Art. 42. A Subsecretaria de Tecnologia da Informação - STI deve implementar o
Múltiplos Fatores de Autenticação - MFA para todas as contas de administrador.
Art. 43. A Subsecretaria de Tecnologia da Informação - STI deve gerenciar os
privilégios das contas locais de administrador nos ativos de informação, de forma que o
usuário com privilégio administrativo não consiga realizar atividades gerais de computação,
como navegação na internet ou uso de e-mail e de pacote de produtividade.
Parágrafo único. As atividades previstas no caput devem ser executadas
preferencialmente a partir da conta primária e não privilegiada.
Art. 44. Ao tratar dados pessoais, o Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome observará o princípio da necessidade, como
regra, para garantir que o usuário receba apenas os direitos mínimos necessários para
executar suas atividades, podendo:
I - remover os direitos de administrador nos dispositivos finais;
II - remover todos os direitos de acesso root ou admin aos servidores e utilizar
tecnologias que permitam a elevação granular de privilégios, conforme a necessidade, ao
mesmo tempo em que fornecem recursos claros de auditoria e monitoramento;
III - eliminar privilégios permanentes, que estão "sempre ativos", sempre que
possível; e
IV - limitar a associação de uma conta privilegiada ao menor número possível
de pessoas e minimizar o número de direitos para cada conta privilegiada.
CAPÍTULO VII
DA RESTRIÇÃO DE ACESSO À INFORMAÇÃO
Art. 45. O controle de acesso aos ativos de informação devem seguir a
legislação vigente de restrição de acesso às informações.
Art. 46. Devem ser implementados controles de acesso físico ou lógico para o
isolamento de ativos que tratem de informações com restrição de acesso,
considerando:
I - o controle sobre quem pode acessar tais informações, durante qual o
período e de que forma;
II - o controle sobre o que ou quem pode acessar informações compartilhadas
com restrições de acesso, interna e externamente ao Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome;
III - o gerenciamento sobre o uso e distribuição das informações;
IV - a proteção das informações contra alterações não autorizadas, cópia e
distribuição, incluindo impressão;
V - o monitoramento do uso das informações com restrição de acesso; e
VI - o registro de quaisquer alterações nas informações que ocorram, no caso
de uma futura investigação, se necessária.
Art. 47. As técnicas dinâmicas de gerenciamento de acesso devem proteger as
informações durante todo o seu ciclo de vida, que abrange criação, processamento,
armazenamento, transmissão e descarte, incluindo:
I - estabelecer regras sobre a gestão do acesso dinâmico com base em casos
específicos de uso, considerando:
a) conceder permissões de acesso com base em identidade, dispositivo,
localização ou aplicação; e
b) aproveitar o esquema de classificação das informações para determinar
quais informações precisam ser protegidas com técnicas dinâmicas de gerenciamento de
acesso;
II - estabelecer processos operacionais, de monitoramento e de comunicação,
bem como suporte à infraestrutura técnica.
Parágrafo único. Os sistemas dinâmicos de gerenciamento de acesso devem
proteger as informações através de:
I - exigência de autenticação, credenciais apropriadas ou um certificado para
acessar informações;
II - restrição de acesso, como por um prazo especificado, por exemplo, após
uma determinada data ou até uma data específica;
III - uso de criptografia para proteger informações;
IV - definição de permissões de impressão das informações;
V - registro sobre quem acessa as informações e como as informações são
usadas; e
VI - alertas no caso de detecção de tentativas de uso indevido das
informações.
CAPÍTULO VIII
DO ACESSO AO CÓDIGO FONTE
Art. 48. Os acessos de leitura e escrita ao código-fonte, ferramentas de
desenvolvimento e bibliotecas de software devem ser adequadamente gerenciados.
Art. 49. Devem ser implementados controles para evitar a introdução de
funcionalidades não autorizadas, prevenir mudanças não intencionais ou maliciosas e
manter a confidencialidade de propriedade intelectual.
Art. 50. O acesso ao código-fonte e itens associados, como projetos,
especificações, planos de verificação e planos de validação, e ferramentas de
desenvolvimento, por exemplo, compiladores, construtores, ferramentas de integração,
plataformas de teste e ambientes, devem ser estritamente controlados.
Art. 51. O acesso de gravação no código fonte deve ser restrito.
Art. 52. Devem ser consideradas as seguintes diretrizes para o controle do
acesso e às bibliotecas de código do programa:
I - gerenciamento do acesso ao código fonte do programa e às bibliotecas de
origem do programa de acordo com procedimentos estabelecidos;
II - concessão do acesso de leitura e de escrita ao código fonte com base nos
requisitos de negócio e na gestão de tratativas de riscos de alteração ou uso indevido e
de acordo com procedimentos estabelecidos;
III - atualização do código-fonte e dos itens associados, e concessão de acesso
ao código-fonte de acordo com os procedimentos de controle de mudança, iniciando-se
sua execução somente após a autorização adequada ter sido recebida;
IV - não concessão aos desenvolvedores de acesso direto ao repositório de
código-fonte, mas sim através de ferramentas de desenvolvedor que controlem atividades
e autorizações no código fonte;
V - armazenamento da listagem dos programas em um ambiente seguro, onde
o acesso à leitura e escrita seja devidamente gerenciado e atribuído; e
VI - manutenção de um registro de auditoria de todos os acessos e de todas
as alterações no código fonte.
Art. 53. Devem ser implementados controles adicionais para a publicação do
código-fonte do programa para fornecimento da garantia sobre sua integridade.
CAPÍTULO IX
DOS LOGS
Art. 54. Devem ser produzidos registros (logs), atividades, exceções, falhas e
outros eventos relevantes relacionados ao controle de acesso, tais como:
I - IDs do usuário;
II - atividades do sistema;
III - datas, horários e detalhes dos eventos relevantes, por exemplo, log-on e
log-off;
IV - identidade do dispositivo, identificador do sistema e localização;
V - endereços e protocolos de rede;
VI - tentativas de acesso aos ativos de informação bem sucedidas e
rejeitadas;
VII - dados bem-sucedidos e rejeitados e outras tentativas de acesso a
recursos;
VIII - alterações na configuração dos ativos de informação;
IX - uso de privilégios;
X - uso de programas e aplicativos;
XI - arquivos acessados e o tipo de acesso, incluindo a exclusão de arquivos e
informações relevantes;
XII - alarmes levantados pelo sistema de controle de acesso;
XIII - ativação e desativação de sistemas de segurança, como sistemas antivírus
e sistemas de detecção de intrusões;
XIV - criação, modificação ou exclusão de identidades; e
XV - transações executadas pelos usuários em aplicativos.
Art. 55. Devem ser registrados eventos, geradas evidências, assegurada a
integridade das informações de registro, prevenidos acesso não autorizado, identificados
eventos de segurança da informação que possam levar a um incidente de segurança da
informação, apoiadas investigações e mantida uma base de dados sobre eventos que
impliquem em incidentes de segurança.
Parágrafo único. Os registros (logs) de atividades, exceções, falhas e demais
eventos relevantes devem ser armazenados por, no mínimo, 6 (seis) meses, salvo quando
houver procedimento de investigação em curso ou determinação legal, hipótese em que
deverão ser mantidos enquanto perdurar o processo ou pelo prazo legalmente
estabelecido.
CAPÍTULO X
DAS RESPONSABILIDADES
Art. 56. Compete ao superior imediato do usuário comunicar formalmente à
Unidade de Gestão de Pessoas e à Subsecretaria de Tecnologia da Informação - STI o
desligamento ou saída do usuário do Ministério do Desenvolvimento e Assistência Social,
Família e Combate à Fome, para que as permissões de acesso à rede local sejam
revogadas ou canceladas.
Art. 57. Compete à Unidade de Gestão de Pessoas a comunicação imediata à
Subsecretaria de Tecnologia da Informação - STI sobre desligamentos, férias e licenças de
servidores e funcionários de empresas prestadoras de serviços, para que seja efetuado o
bloqueio temporário ou revogação definitiva da permissão de acesso do usuário aos
recursos de rede.
Art. 58. Compete à Subsecretaria de Tecnologia da Informação - STI realizar o
monitoramento da utilização de recursos de rede e de acesso à internet, podendo exercer
fiscalização nos casos de apuração de uso indevido desses recursos, bem como bloquear,
temporariamente e sem aviso prévio, o usuário e a estação de trabalho em que esteja
realizando atividade que coloque em risco a segurança e integridade da rede, até que seja
verificado o caso concreto e descartada qualquer hipótese de dano à infraestrutura
tecnológica do Ministério do Desenvolvimento e Assistência Social, Família e Combate à
Fome.
Art. 59. O usuário será responsável por todos os acessos realizados por sua
conta de login e por possíveis danos causados à rede local e aos recursos de tecnologia
custodiados ou de propriedade do Ministério do Desenvolvimento e Assistência Social,
Família e Combate à Fome.
§ 1º O usuário será responsável pela integridade e utilização de sua estação de
trabalho, devendo, em casos de ausência temporária do local onde se encontra o
equipamento, bloqueá-lo ou encerrar a sessão da estação, para coibir acessos
indevidos.
§ 2º A utilização simultânea da conta de acesso à rede local em mais de uma
estação de trabalho ou notebook deve ser evitada, sendo responsabilidade do usuário
titular da conta de acesso os riscos que a utilização paralela implica.
§ 3º É vedado ao usuário transferir ou compartilhar com outrem sua conta de
acesso e respectiva senha à rede local.
Art. 60. O usuário deverá informar à Subsecretaria de Tecnologia da
Informação - STI qualquer situação da qual tenha conhecimento e que configure violação
de sigilo ou que possa colocar em risco a privacidade e segurança, inclusive de
terceiros.
Art. 61. É dever do usuário zelar pelo uso dos sistemas informatizados,
tomando as medidas necessárias para restringir ou eliminar riscos para o Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome, a saber:
I - não permitir a interferência externa caracterizada como invasão,
monitoramento ou utilização de sistemas por terceiros, ou outras formas;
II - evitar sobrecarga de redes, de dispositivos de armazenamento de dados ou
de outros, para não gerar indisponibilidade de ativos de informações internos e
externos;
III - interromper a conexão aos sistemas e adotar medidas que bloqueiem o
acesso de terceiros, sempre que completar suas atividades ou quando se ausentar do local
de trabalho por qualquer motivo;
IV - não se conectar a sistemas e não buscar acesso a informações para as
quais não lhe tenha sido dada autorização de acesso;
V - não divulgar a terceiros dispositivos ou programas de segurança existentes
em seus equipamentos ou sistemas;
VI - utilizar corretamente os equipamentos de informática e conservá-los
conforme os cuidados e as medidas preventivas estabelecidas; e
VII - não divulgar suas senhas e nem permitir que terceiros tomem
conhecimento delas, reconhecendo-as como pessoais e intransferíveis.
CAPÍTULO XI
DISPOSIÇÕES FINAIS
Art. 62. No caso de ciência ou suspeita de algum evento que seja contrário ao
cumprimento desta política, bem como da Política de Segurança da Informação - POSIN e
das normas de segurança vigentes, o usuário deve comunicar à Subsecretaria de
Tecnologia da Informação - STI.