PORTARIA GAB/MIR Nº 11, DE 9 DE JANEIRO DE 2026 (parte 2 de 2)

ANEXO ÚNICO
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO MINISTÉRIO DA IGUALDADE RACIAL
CAPÍTULO I - DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Art. 1º A Política de Segurança da Informação - POSIN do Ministério da Igualdade
Racial - MIR tem por objetivo estabelecer diretrizes, normas, responsabilidades e competências
destinadas a garantir a proteção das informações tratadas e custodiadas pelo órgão,
assegurando sua integridade, disponibilidade, confidencialidade, autenticidade e conformidade
com a legislação e regulamentação vigentes.
Art. 2º A POSIN aplica-se a todas as autoridades, servidores, colaboradores,
prestadores de serviços, estagiários e terceiros que, de qualquer forma, acessem, tratem ou
utilizem os ativos de informação do MIR, constituídos pelos equipamentos, sistemas e outros
meios de armazenamento, transmissão e processamento de informações, bem como os locais
onde se encontram esses meios, os recursos humanos que a eles têm acesso e o conhecimento
ou dado que tem valor para o MIR.
Art. 3º Aplicam-se as definições constantes do Glossário de Segurança da Informação
aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, e suas atualizações.
CAPÍTULO II - DOS OBJETIVOS
Art. 4º São objetivos da Política de Segurança da Informação:
I - proteger as informações tratadas pelo MIR, em qualquer meio ou formato;
II- prevenir incidentes de segurança e danos a pessoas, sistemas e ao órgão;
III - assegurar a conformidade com as normas sobre segurança da informação,
cibersegurança, governança de dados, privacidade e tratamento de dados pessoais e acesso à
informação e outras sobre temas correlatos;
IV - definir controles e medidas de gestão de riscos relacionados à segurança da
informação e temas correlatos;
V - estabelecer mecanismos de resposta a incidentes e continuidade das
operações;
VI - promover a conscientização e o treinamento contínuo em segurança da
informação; e
VII - fortalecer a governança e a cultura organizacional de segurança, privacidade e
proteção de dados pessoais e cibersegurança;
CAPÍTULO III - PRINCÍPIOS
Art. 5º A POSIN é orientada pelos seguintes princípios:
I - necessidade de conhecer;
II - privilégio mínimo;
III - defesa em profundidade;
IV - proteção de dados pessoais e da privacidade;
V - gestão de riscos e melhoria contínua;
VI - simplicidade e objetividade dos controles;
VII - educação e cultura de segurança;
VIII - transparência e responsabilidade; e
IX - articulação entre segurança cibernética, defesa cibernética e proteção de dados.
CAPÍTULO IV - DAS DIRETRIZES GERAIS
Art. 6º As normas e procedimentos complementares deverão abordar, no mínimo:
I - tratamento e classificação da informação;
II - segurança física e lógica;
III - gestão de ativos e acessos;
IV - gestão de riscos e continuidade;
V - gestão de incidentes;
VI - auditoria, conformidade e registro de logs;
VII - uso de recursos tecnológicos e comunicações;
VIII - capacitação e conscientização contínua.
CAPÍTULO V - DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO
Art. 7º A governança da segurança da informação no MIR compreende:
I - a alta administração;
II - o Comitê Gerencial de Segurança da Informação - CGSI;
III - o gestor de segurança da informação;
IV-aEquipedeTratamentoeRespostaaIncidentesdeSegurançaCibernética-ETIR-C;e
V - o encarregado pelo tratamento de dados pessoais.
CAPÍTULO VI - DAS RESPONSABILIDADES
Art. 8º Compete à alta administração:
I - aprovar e divulgar a POSIN;
II - tomar as decisões, implementar as medidas e prover os recursos que sejam
necessários à execução da POSIN, especialmente em relação à gestão dos riscos à
segurança da informação e privacidade e à catalogação, inventário e curadoria de dados;
III - zelar pela inclusão de cláusulas de segurança nos contratos;
IV - promover cultura institucional de proteção de dados e segurança da
informação; e
V - aprovar os demais planos, normas e diretrizes e supervisionar sua execução.
Art. 9º Compete ao CGSI:
I - viabilizar a coordenação da implementação e do monitoramento da POSIN e dos
demais componentes da governança de segurança da informação; e
II - deliberar sobre normas complementares, riscos, indicadores e resultados da
POSIN; e
III - promover integração com o Comitê de Governança de Tecnologia da
Informação e Comunicação e de Dados.
Art. 10. Compete ao gestor de segurança da informação:
I - realizar a coordenação técnica e a integração entre os demais componentes da
governança da segurança da informação;
II - conduzir os diagnósticos necessários à segurança da informação, bem como
orientar, planejar e monitorar as medidas de segurança da informação.
Art. 11. Compete à ETIR-C:
I - monitorar incidentes e ameaças cibernéticas;
II - registrar, classificar e responder aos incidentes;
III - manter histórico e relatórios periódicos ao CGSI; e
IV - cooperar com a Agência Nacional de Proteção de Dados - ANPD e órgãos de
controle quando aplicável.
Art. 12. Compete ao Encarregado pelo Tratamento de Dados Pessoais:
I - receber comunicações da ANPD e dos titulares de dados;
II- participar da formulação e adoção das medidas corretivas com o gestor de
segurança da informação e a ETIR-C;
III - conduzir as medidas relativas ao diagnóstico de privacidade, bem como
orientar os agentes sobre o planejamento, implementação e monitoramento das medidas de
privacidade; e
IV - supervisionar o inventário de dados pessoais.
Art. 13. Todos os servidores, colaboradores e prestadores de serviço devem:
I - cumprir esta Política e as normas complementares;
II - reportar imediatamente incidentes de segurança;
III - utilizar os ativos de informação de forma ética e institucional;
IV - participar dos treinamentos.
CAPÍTULO VII - DA RESPOSTA E DA COMUNICAÇÃO DE INCIDENTES
Art. 14. As medidas de resposta a incidentes de segurança de informação, de
cibersegurança e de privacidade devem observar as normas, procedimentos e prazos
estabelecidos pela ANPD, pelo Gabinete de Segurança Institucional da Presidência da República
- GSI/PR, pelo Ministério da Gestão e Inovação em Serviços Públicos - MGI, pela Controladoria-
Geral da União - CGU e por outros órgãos supervenientes que venham a atuar como
responsáveis pela orientação normativa e supervisão de medidas relacionados aos assuntos
desta Política.
§ 1º Os incidentes de segurança relacionados a dados pessoais verificados a partir
de procedimentos de apuração ou informados pelo recebimento de comunicações serão
notificados pelo encarregado de dados pessoais à ANPD e aos titulares de dados pessoais com
base nas normas e regulamentos aplicáveis.
§ 2º O MIR adotará as demais normas necessárias para resposta e tratamento de
incidentes que especifique os procedimentos, prazos, registros e responsabilidades dos
componentes da governança da segurança da informação.
CAPÍTULO VIII - DA GESTÃO DE RISCOS E DO ACESSO À INFORMAÇÃO
Art. 15. O MIR adotará metodologia formal de Gestão de Riscos de Segurança da
Informação em consonância com a Política de Gestão de Riscos e Controles Interno e ao Plano
de Gestão de Riscos, abrangendo:
I - identificação, análise e avaliação de riscos;
II - definição de medidas de tratamento e aceitação de riscos residuais; e
III - manutenção de registro atualizado dos riscos e dos responsáveis por seu
tratamento.
Art. 16. É garantido o acesso público às informações sob custódia do MIR,
observadas as exceções elencadas nos artigos 7º, §3º, 22, 23 e 31 da Lei nº 12.527, de 11 de
novembro de 2011, e no artigo 13 do Decreto nº 7.724, de 16 de maio de 2012.
CAPÍTULO IX - DA CONTINUIDADE DO NEGÓCIO E DA AUDITORIA
Art. 17. O MIR elaborará e manterá planos e medidas de continuidade de negócio,
mitigação e recuperação de incidentes e desastres, que serão revisados periodicamente e
testados sempre que houver alteração relevante na infraestrutura tecnológica.
Art. 18. A execução das ações e controles previstos nesta Política estão sujeitos à
auditoria do Sistema de Controle Interno do Poder Executivo Federal.
CAPÍTULO X - DAS PENALIDADES
Art. 19. Ações que violem esta Política, normas ou controles de segurança
correlatos estarão sujeitas às sanções disciplinares, civis e penais cabíveis, conforme legislação
vigente.
CAPÍTULO XI - DAS DISPOSIÇÕES FINAIS
Art. 20. A POSIN, suas normas complementares e planos associados deverão ser
amplamente divulgados por meio eletrônico e institucional.
Art. 21. Casos omissos serão resolvidos pelo CGSI, observando a legislação aplicável.