INSTRUÇÃO NORMATIVA SGD/MGI Nº 4, DE 14 DE JANEIRO DE 2026 (parte 2 de 2)

ANEXO I
MEDIDAS DO CICLO DE 2026
a) MEDIDAS PRIORIZADAS PARA O CICLO DE IMPLEMENTAÇÃO DE 2026
Tabela 1 - Medidas priorizadas para o ciclo de implementação de 2026
. .Segmento .Controle .Medidas
. BASE .0 - ESTRUTURAÇÃO BÁSICA PARA GOVERNANÇA .0.1
0.5
0.7
. . .0 - INSTRUMENTOS FUNDAMENTAIS .0.9
0.13
0.14
0.15
0.16
0.17
. SEGURANÇA DA INFORMAÇÃO .3 - PROTEÇÃO DE DADOS .3.7
3.8
3.9
3.11
3.12
. .5 - GESTÃO DE CONTAS .5.5
5.6
. .6 - GESTÃO DE ACESSO .6.7
6.8
. .8 - GESTÃO DE REGISTROS DE AUDITORIA .8.5
8.9
8.12
. .12 - GESTÃO DA INFRAESTRUTURA DE REDE .12.2
. .13 - MONITORAMENTO E DEFESA DA REDE .13.1
. .14 - CONSCIENTIZAÇÃO E TREINAMENTO DE COMPETÊNCIAS .14.9
. .15 - GESTÃO DE PROVEDOR DE SERVIÇOS .15.2
15.3
15.4
15.5
15.6
15.7
. .16 - SEGURANÇA DE APLICAÇÕES .16.4
16.9
16.13
. .17 - GESTÃO DE INCIDENTES .17.5
17.6
. . .18 - TESTES DE INTRUSÃO .18.1
. PRIVACIDADE .19 - REGISTRO DAS OPERAÇÕES DE TRATAMENTO DE DADOS PESSOAIS .19.1
19.2
19.3
19.4
. .20 - AÇÕES DE PREVENÇÃO .20.1
20.2
20.3
20.4
. .21 - ENCARREGADO E DIREITOS DOS TITULARES .21.1
21.2
21.3
21.4
21.5
21.6
. .22 - CONTRATOS, ACORDOS E INSTRUMENTOS CONGÊNERES .22.1
22.2
22.3
22.4
. .23 - ANÁLISE DAS OPERAÇÕES DE TRATAMENTO .23.1
23.2
23.3
23.4
23.5
23.6
23.7
. .24 - COMPARTILHAMENTO E TRANSFERÊNCIA INTERNACIONAL .24.1
24.2
24.3
24.4
24.5
. 25 - PRINCÍPIOS DA LGPD 25.1
. 25.2
. 25.3
. 25.4
. 25.5
. 25.6
. 25.7
. 25.8
. 25.9
. . . .25.10
b) MEDIDAS DE GESTÃO CONTÍNUA
Tabela 2 - Medidas de gestão contínua
. .Segmento .Controle .Medidas
. BASE .0 - ESTRUTURAÇÃO BÁSICA PARA GOVERNANÇA .0.2
0.3
0.4
0.6
0.8
. . .0 - INSTRUMENTOS FUNDAMENTAIS .0.10
0.11
0.12
. SEGURANÇA DA INFORMAÇÃO .1 - INVENTÁRIO DE ATIVOS INSTITUCIONAIS .1.1
1.2
. .2 - INVENTÁRIO DE SOLUÇÕES DE SOFTWARE .2.1
2.2
2.3
2.4
. 3 - PROTEÇÃO DE DADOS 3.1
3.2
3.3
3.4
. . .3.5
3.6
3.10
3.14
. .4 - CONFIGURAÇÃO SEGURA DE ATIVOS INSTITUCIONAIS E SOLUÇÕES DE SOFTWARE .4.1
4.2
4.3
4.4
4.5
4.6
4.7
. .5 - GESTÃO DE CONTAS .5.1
5.2
5.3
5.4
. .6 - GESTÃO DE ACESSO .6.1
6.2
6.3
6.4
6.5
6.6
. .7 - GESTÃO CONTÍNUA DE VULNERABILIDADES .7.1
7.2
7.3
7.4
7.7
. .8 - GESTÃO DE REGISTROS DE AUDITORIA .8.1
8.2
8.3
8.4
8.6
8.10
. .9 - PROTEÇÕES DE E-MAIL E NAVEGADOR WEB .9.1
9.2
. .10 - DEFESAS CONTRA MALWARE .10.1
10.2
10.3
. .11 - RECUPERAÇÃO DE DADOS .11.1
11.2
11.3
11.4
11.5
. .12 - GESTÃO DA INFRAESTRUTURA DE REDE .12.1
12.4
. 14 - CONSCIENTIZAÇÃO E TREINAMENTO DE COMPETÊNCIAS 14.1
14.2
14.3
14.4
. . .14.5
14.6
14.7
14.8
. .15 - GESTÃO DE PROVEDOR DE SERVIÇOS .15.1
. .16 - SEGURANÇA DE APLICAÇÕES .16.8
. . .17 - GESTÃO DE INCIDENTES .17.1
17.2
17.3
17.4
ANEXO II
NÍVEIS DE IMPLEMENTAÇÃO DAS MEDIDAS
a) NÍVEIS DE IMPLEMENTAÇÃO DAS MEDIDAS AVALIADAS DE FORMA GRADUAL
Tabela 3 - Níveis de implementação das medidas avaliadas de forma gradual e respectivas pontuações
. .Nível .Descrição .Pontuação
. .0 - Não se aplica .A medida não se aplica. .-
. .1 - Não adota ou há decisão formal .A medida é aplicável, mas não é implementada ou existe apenas um planejamento ou decisão formal para implementá-la. .0,00
. .2 - Inicial .A implementação da medida atende menos de 40% do seu propósito. .0,25
. .3 - Intermediário .A implementação da medida atende entre 40% e 80% do seu propósito. .0,50
. .4 - Completo .A implementação da medida atende mais de 80% do seu propósito. .0,75
. .5 - Aprimorado .A implementação da medida atende mais de 80% do seu propósito e é monitorada e revisada continuamente de forma
sistemática, com base em métricas quantitativas, possuindo mecanismos que garantem uma implementação consistente ao
longo do tempo.
.1,00
b) NÍVEIS DE IMPLEMENTAÇÃO DAS MEDIDAS AVALIADAS DE FORMA BINÁRIA
Tabela 4 - Níveis de implementação das medidas avaliadas de forma binária e respectivas pontuações
. .Nível .Descrição .Pontuação
. .0 - Não se aplica .A medida não se aplica. .-
. .1 - Não .A medida é aplicável, mas não é implementada ou existe apenas um planejamento ou decisão formal para implementá-la. .0,00
. .2 - Sim .Medida integralmente implementada. .1,00 1_MGI_16_001
b) NÍVEIS DE ADOÇÃO DOS CONTROLES
Tabela 5 - Níveis de adoção dos controles e respectivos intervalos
. .Nível .Descrição .Intervalo do NAC
. .0 - Não se aplica .O controle não se aplica. .-
. .1 - Não adota ou há decisão formal .O controle é aplicável, mas não é implementado ou existe apenas um planejamento ou decisão formal para
implementá-lo.
.NAC = 0,00
. .2 - Inicial .A média da implementação das medidas contidas no controle atinge menos de 40% do seu propósito. .0,00 < NAC < 0,25
. .3 - Intermediário .A média da implementação das medidas contidas no controle atinge entre 40% e 80% do seu propósito. .0,25 <= NAC < 0,50
. .4 - Completo .A média da implementação das medidas contidas no controle atinge mais de 80% do seu propósito. .0,50 <= NAC < 0,75
. .5 - Aprimorado .A média da implementação das medidas contidas no controle atinge mais de 80% do seu propósito, e as
medidas são monitoradas e revisadas continuamente de forma sistemática, com base em métricas
quantitativas, possuindo mecanismos que garantem uma implementação consistente ao longo do tempo.
.0,75 <= NAC <= 1,00
1_MGI_16_002
d) NÍVEIS DE MATURIDADE DOS INDICADORES iBase, iSeg e iPriv
Tabela 6 - Níveis de maturidade dos indicadores iBase, iSeg e iPriv e respectivos intervalos
. .Nível .Descrição .Intervalo do indicador
. .1 - Inicial .O órgão atua de forma reativa, com ações pontuais e baseadas em demandas circunstanciais. Dispõe de
nenhuma ou poucas políticas, normas e procedimentos.
.0,00 <= iBase/iSeg/iPriv < 0,30
. .2 - Intermediário .O órgão apresenta iniciativas de estruturação que dependem de esforços individuais. Dispõe de algumas
políticas, normas e procedimentos definidos, mas ainda enfrenta desafios de implementação prática destes
instrumentos.
.0,30 <= iBase/iSeg/iPriv < 0,60
. .3 - Em aprimoramento .O órgão possui políticas, normas e procedimentos definidos e aplicados de forma consistente na maioria das
áreas. Resultados são monitorados de forma parcial.
.0,60 <= iBase/iSeg/iPriv < 0,90
. .4 - Aprimorado .O órgão demonstra capacidade de governança institucional consolidada. Resultados são monitorados, avaliados
e aprimorados continuamente.
.0,90 <= iBase/iSeg/iPriv <= 1,00