RESOLUÇÃO-COFFITO Nº 648, DE 13 DE FEVEREIRO DE 2026 (parte 1 de 2)

RESOLUÇÃO-COFFITO Nº 648, DE 13 DE FEVEREIRO DE 2026
Aprova a Política de Segurança da Informação (PSI)
do Conselho Federal de Fisioterapia e Terapia
Ocupacional - COFFITO.
O PLENÁRIO DO CONSELHO FEDERAL DE FISIOTERAPIA E TERAPIA
OCUPACIONAL - COFFITO, mediante atribuições que lhe são conferidas pela Lei nº 6.316,
de 17 de dezembro de 1975, e conforme o deliberado na 41ª Reunião Plenária
Ordinária, realizada no dia 17 de dezembro de 2025, na sede do COFFITO, situada no
SIA, Trecho 17, Lote 810, Parque Ferroviário de Brasília, Brasília/DF, CEP: 71200-260;
Considerando o disposto na Lei nº 12.527, de 18 de novembro de 2011 (Lei
de Acesso à Informação - LAI), que estabelece a publicidade como preceito geral e o
sigilo como exceção, impondo aos órgãos públicos o dever de assegurar a gestão, a
proteção e o acesso adequado às informações sob sua responsabilidade;
Considerando o disposto na Lei nº 13.709, de 14 de agosto de 2018 (Lei
Geral de Proteção de Dados Pessoais - LGPD), que disciplina o tratamento de dados
pessoais com vistas a proteger os direitos fundamentais de liberdade, privacidade e livre
desenvolvimento da personalidade da pessoa natural;
Considerando o Decreto nº 12.572, de 4 de agosto de 2025, que instituiu a
Política Nacional de Segurança da Informação, especialmente no que se refere à
implementação de ações estruturadas de proteção da informação no âmbito da
Administração Pública;
Considerando o Decreto nº 12.573, de 4 de agosto de 2025, que instituiu a
Estratégia Nacional de Cibersegurança;
Considerando as Instruções Normativas GSI/PR nº 1/2020 e nº 3/2021, que
estabelecem diretrizes, princípios e responsabilidades para a Gestão de Segurança da
Informação no âmbito dos órgãos e entidades da Administração Pública Federal;
Considerando as boas práticas consagradas nas normas ABNT NBR ISO/IEC
27001:2022, 27002:2022 e demais normas da série 27000 aplicáveis, que orientam a
implementação de sistemas de gestão de segurança da informação baseados em riscos
e controles estruturados;
Considerando o Acórdão nº 1372/2025 - Plenário/TCU, que determinou aos
Conselhos de Fiscalização Profissional a adoção de medidas formais de governança,
gestão de riscos e segurança da informação, incluindo a instituição de Política de
Segurança da Informação (PSI);
Considerando que o COFFITO recebe, produz, utiliza e armazena informações
em formatos físicos e digitais, as quais devem permanecer íntegras, disponíveis,
autênticas e, quando aplicável, sob regime de confidencialidade e sigilo, de modo a
assegurar a continuidade das atividades institucionais;
Considerando que tais informações estão sujeitas a riscos decorrentes de
incidentes naturais, falhas técnicas, vulnerabilidades cibernéticas, acessos indevidos,
erros operacionais, extravio, perda, destruição ou divulgação não autorizada, exigindo a
adoção de controles adequados de prevenção, detecção, resposta e recuperação;
Considerando o crescimento de incidentes cibernéticos em âmbito nacional e
internacional, que demandam processos de trabalho estruturados e contínuos voltados
à governança, à gestão de riscos e à proteção da informação;
Considerando a importância de estabelecer diretrizes, regras e
responsabilidades internas relacionadas à segurança da informação, promovendo a
cultura organizacional de proteção de dados e de uso seguro e responsável dos recursos
tecnológicos;
Considerando a necessidade de estabelecer diretrizes e padrões que
assegurem a proteção das informações do COFFITO, em meios digitais e físicos, de
forma controlada, eficiente e segura, garantindo sua integridade, confidencialidade,
disponibilidade, autenticidade e privacidade, em conformidade com as legislações
vigentes, com as boas práticas de governança, gestão de riscos e segurança da
informação, de modo a atender às demandas institucionais, aos profissionais de
Fisioterapia e de Terapia Ocupacional e à sociedade;
Considerando a Portaria-COFFITO nº 303/2024, que instituiu a Comissão
Gestora de Dados, definiu os agentes de tratamento de dados pessoais no âmbito do
COFFITO e atribuiu ao Ouvidor a função de Encarregado pelo Tratamento de Dados
Pessoais, com apoio do Departamento Jurídico; resolve:
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO COFFITO
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Seção I
Do Escopo
Art. 1º Fica instituída a Política de Segurança da Informação (PSI), que tem
por objetivo estabelecer princípios, diretrizes e responsabilidades para garantir a
proteção das informações sob a custódia do Conselho Federal de Fisioterapia e Terapia
Ocupacional (COFFITO).
Art. 2º Esta Política aplica-se a todos os processos, sistemas, serviços e ativos
de informação do COFFITO, independentemente do meio ou forma de
armazenamento.
Art. 3º O disposto neste instrumento aplicar-se-á a todos os conselheiros,
empregados, assessores, estagiários, jovens aprendizes e, quando pertinente, a terceiros
e a quaisquer outras pessoas que prestem serviços ao COFFITO e que tenham acesso
a qualquer informação ou comunicação, obrigando-os ao cumprimento de suas diretrizes
para manuseio, tratamento, controle, proteção das informações e conhecimentos
produzidos, armazenados ou transmitidos pelos sistemas de informação ou por meio de
outros recursos.
§ 1º Os contratos, convênios e instrumentos congêneres conterão cláusulas
específicas que imponham aos contratados e convenentes a obrigação de observarem o
disposto nesta PSI, para o exercício de suas atividades no âmbito do COFFITO.
§ 2º Os termos aditivos dos contratos, convênios e instrumentos congêneres,
celebrados após a aprovação desta PSI, deverão incluir cláusulas específicas que
imponham aos contratados e convenentes a obrigação de observarem o disposto nesta
Política.
Seção II
Dos Conceitos e Definições
Art. 4º Os conceitos e definições adotados nesta Política têm como
referência prioritária o Glossário de Segurança da Informação do Gabinete de Segurança
Institucional da Presidência da República, podendo ser complementados por normas
técnicas, guias oficiais e boas práticas reconhecidas, quando necessário à adequada
compreensão do texto.
I - Segurança da Informação: ações que têm como objetivo viabilizar e
assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das
informações;
II - Informação: dados, processados ou não, que podem ser utilizados para
produção e para transmissão de conhecimento, contidos em qualquer meio, suporte ou
formato;
III - Ativos de Informação: meios de armazenamento, transmissão e
processamento da informação, equipamentos necessários a isso, sistemas utilizados para
tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e
conhecimento ou dado que tem valor para um indivíduo ou organização;
IV - Disponibilidade: propriedade pela qual se assegura que a informação
esteja acessível e utilizável, sob demanda, por uma pessoa física ou determinado
sistema, órgão ou entidade devidamente autorizados;
V - Integridade: propriedade que assegura que a informação não seja
modificada ou destruída de forma não autorizada ou acidental;
VI - Confidencialidade: propriedade pela qual se assegura que a informação
não esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade
não autorizados;
VII - Autenticidade: propriedade pela qual se assegura que a informação foi
produzida, expedida, modificada ou destruída por uma determinada pessoa física,
equipamento, sistema, órgão ou entidade;
VIII - Termo de Responsabilidade: termo assinado pelo usuário, concordando
em contribuir com a disponibilidade, a integridade, a confidencialidade e a autenticidade
das informações a que tiver acesso, bem como assumir responsabilidades decorrentes
de tal acesso;
IX - Risco: possibilidade de ocorrência de um evento que pode impactar o
cumprimento dos objetivos. Pode ser mensurado em termos de impacto e de
probabilidade;
X - Ameaça: conjunto de fatores externos com o potencial de causar dano
para um sistema ou organização;
XI - Vulnerabilidade: condição que, quando explorada por um criminoso
cibernético, pode resultar em uma violação de segurança cibernética dos sistemas
computacionais ou redes de computadores, e consiste na interseção de três fatores:
suscetibilidade ou falha do sistema, acesso possível à falha e capacidade de explorar
essa falha;
XII - Tratamento da Informação: conjunto de ações referentes à produção,
recepção, classificação, utilização, acesso, reprodução, transporte, transmissão,
distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou
controle da informação;
XIII - Gestão de Riscos em Segurança da Informação: processo de natureza
permanente, estabelecido, direcionado e monitorado pela alta administração, que
contempla as atividades de identificação, avaliação e gerenciamento de potenciais
eventos que possam afetar a organização, destinado a fornecer segurança razoável
quanto à realização de seus objetivos;
XIV - Gestão de Incidentes Cibernéticos: processo que realiza ações sobre
qualquer evento adverso relacionado à segurança cibernética dos sistemas ou da
infraestrutura de computação;
XV - Gestão de Segurança da Informação: processo que visa integrar
atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de
incidentes, tratamento da informação, conformidade, credenciamento, segurança
cibernética, segurança física, segurança lógica, segurança orgânica e organizacional aos
processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto,
à tecnologia da informação;
XVI - Gestor de Segurança da Informação: responsável pelas ações de
segurança da informação no âmbito do COFFITO;
XVII - Comitê Interno de Segurança da Informação: grupo de pessoas com a
responsabilidade de assessorar a implementação das ações de segurança da informação
no âmbito do COFFITO;
XVIII - Gestão de Mudanças nos Aspectos Relativos à Segurança da
Informação: processo estruturado que visa aumentar a probabilidade de sucesso em
mudanças, com mínimos impactos, e assegurar a disponibilidade, integridade,
confidencialidade e autenticidade da informação;
XIX - Gestão de Continuidade em Segurança da Informação: processo que
identifica ameaças potenciais para o COFFITO e os possíveis impactos nas funções e
processos institucionais essenciais, caso essas ameaças se concretizem, fornecendo
estrutura para o desenvolvimento da resiliência organizacional;
XX - Usuário de Informação: pessoa física autorizada pelo COFFITO a acessar
seus ativos de informação, incluindo empregados públicos, conselheiros, membros de
comissões, prestadores de serviços, estagiários ou quaisquer outros colaboradores, ainda
que sem vínculo empregatício, sujeita às responsabilidades previstas nesta Política e nas
normas internas aplicáveis;
XXI - Custodiante da Informação: pessoa física ou unidade organizacional que
detenha responsabilidade formal por proteger a informação sob sua guarda e por
aplicar controles de segurança, conforme as exigências comunicadas pelo proprietário da
informação e pelas normas internas aplicáveis;
XXII - Acesso: ato de ingressar, transitar, conhecer ou consultar a informação,
bem como possibilidade de usar os ativos de informação de um órgão ou entidade,
observada eventual restrição que se aplique;
XXIII - Trilha de Auditoria: registro ou conjunto de registros gravados em
arquivos de log ou outro tipo de documento ou mídia, que possam indicar, de forma
cronológica e inequívoca, o autor e a ação realizada em determinada operação,
procedimento ou evento;
XXIV - Dado Pessoal: informação relacionada à pessoa natural identificada ou
identificável;
XXV - Titular do Dado: pessoa natural a quem se referem os dados pessoais
que são objeto de tratamento;
XXVI - Criptografia: arte de proteção da informação, por meio de sua
transformação em um texto cifrado (criptografado), com o uso de uma chave de
cifragem e de procedimentos computacionais previamente estabelecidos, a fim de que
somente o(s) possuidor(es) da chave de decifragem possa(m) reverter o texto
criptografado de volta ao original (texto pleno). A chave de decifragem pode ser igual
(criptografia simétrica) ou diferente (criptografia assimétrica) da chave de cifragem;
XXVII - Incidente de Segurança: qualquer evento adverso, confirmado ou sob
suspeita, relacionado à segurança dos sistemas de computação ou das redes de
computadores;
XXVIII - Direito de Acesso: privilégio associado a um cargo, pessoa ou
processo, para ter acesso a um ativo;
XXIX - Backup: conjunto de procedimentos que permitem salvaguardar os
dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem
a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a
mídia em que a cópia é realizada;
XXX - Dispositivos Móveis: equipamentos portáteis, dotados de capacidade de
processamento, ou dispositivos removíveis de memória para armazenamento, entre os
quais se incluem, não se limitando a estes: e-books, notebooks, netbooks, smartphones,
tablets, pendrives, USB drives, HD externo, e cartões de memória;
XXXI - Recurso Criptográfico: sistema, programa, processo, equipamento
isolado ou em rede, que utiliza algoritmo simétrico ou assimétrico para realizar cifração
ou decifração;
XXXII - Computação em Nuvem: modelo de fornecimento e entrega de
tecnologia de informação que permite acesso conveniente e sob demanda a um
conjunto de recursos computacionais configuráveis, sendo que tais recursos podem ser
provisionados e liberados com mínimo gerenciamento ou interação com o provedor do
serviço de nuvem;
XXXIII - Metadados: representam "dados sobre dados", fornecendo os
elementos necessários para compreender as informações. São registros estruturados que
oferecem uma descrição concisa do conteúdo armazenado, possibilitando sua
localização, gerenciamento, interpretação e preservação ao longo do tempo.
Desempenham papel fundamental na gestão da informação, pois viabilizam o
processamento, a atualização e a consulta dos registros. Informações acerca da forma
como foram criados ou derivados, do ambiente em que se encontram ou se
encontravam, das modificações realizadas, entre outros aspectos, são obtidas por meio
dos metadados;
XXXIV - Spam: prática, muitas vezes associada a atividades maliciosas como
phishing e disseminação de malware. A ênfase é na natureza não solicitada e no
potencial de risco à segurança;
XXXV - Phishing: é um tipo de fraude na qual o golpista tenta obter
informações pessoais e financeiras do usuário, combinando meios técnicos e engenharia
social. Do inglês "fishing", é uma analogia criada pelos golpistas, em que "iscas"
(mensagens eletrônicas) são usadas para "pescar" informações de usuários;
XXXVI - Plano de Continuidade em Segurança da Informação: documento que
estabelece diretrizes, procedimentos e informações necessárias para assegurar a
continuidade das atividades institucionais críticas e a proteção dos ativos de informação
essenciais do COFFITO, em nível previamente definido, em situações de incidentes ou
interrupções relevantes;
XXXVII - Plano de Recuperação de Serviços Essenciais: documento que define
os procedimentos e as informações necessárias para o restabelecimento controlado e
progressivo dos serviços e das atividades institucionais críticas do COFFITO após a
ocorrência de incidentes ou interrupções.
Seção III
Dos Objetivos
Art. 5º A Política de Segurança da Informação do COFFITO tem por objetivos
específicos:
I - alinhar a gestão da segurança da informação às normas nacionais e
internacionais aplicáveis, em especial à Política Nacional de Segurança da Informação
(Decreto nº 12.572/2025), à Estratégia Nacional de Cibersegurança (Decreto nº
12.573/2025), às Instruções Normativas GSI/PR, à Lei Geral de Proteção de Dados
Pessoais - LGPD (Lei nº 13.709/2018), à Lei de Acesso à Informação - LAI (Lei nº
12.527/2011) e às normas ABNT NBR ISO/IEC 27001:2022 e 27002:2022;
II - apoiar a conformidade em auditorias internas e externas, em alinhamento
com a Controladoria Interna do COFFITO, a Controladoria-Geral da União (CGU), o
Tribunal de Contas da União (TCU) e a Autoridade Nacional de Proteção de Dados
(ANPD);
III - proteger a imagem institucional e a confiança pública no COFFITO,
prevenindo riscos reputacionais decorrentes de incidentes de segurança ou falhas de
proteção da informação;
IV - promover a cultura de segurança da informação no âmbito do COFFITO,
mediante capacitação contínua, campanhas de conscientização e disseminação de boas
práticas de uso dos ativos de informação;
V - implementar e manter o processo de gestão de riscos de segurança da
informação, abrangendo identificação, análise, avaliação, tratamento e monitoramento
permanente de ameaças e vulnerabilidades;
VI - proteger as informações institucionais produzidas ou recebidas pelo
COFFITO, em qualquer formato ou meio, assegurando sua confidencialidade, integridade,
autenticidade e disponibilidade;
VII - disciplinar o tratamento e a resposta a incidentes de segurança,
garantindo comunicação tempestiva, mitigação de impactos, investigação adequada e
prevenção de recorrências;
VIII - assegurar interoperabilidade segura com os Conselhos Regionais de
Fisioterapia e Terapia Ocupacional (CREFITOs) e com demais órgãos públicos, mediante
padrões e controles de segurança consistentes;
IX - garantir a continuidade dos serviços críticos do COFFITO, por meio de
estratégias, planos de contingência e exercícios periódicos de recuperação e
resiliência;
X - assegurar a rastreabilidade e a auditoria das informações, garantindo
registro, monitoramento e responsabilização pelos acessos e operações realizadas em
sistemas, redes e documentos;
XI - garantir a inclusão de requisitos de segurança da informação em
contratos, convênios e demais instrumentos firmados pelo COFFITO, de forma a
estender a proteção também a fornecedores e terceiros que tratem informações da
Autarquia;
XII - harmonizar a proteção de dados pessoais e o acesso à informação,
assegurando o cumprimento da LGPD e da LAI de forma integrada, com a publicidade
como regra e o sigilo como exceção, respeitada a devida classificação da informação;
XIII - fortalecer a governança institucional e a credibilidade pública do
COFFITO, promovendo transparência, conformidade normativa e confiança dos
profissionais e da sociedade.
Seção IV
Dos Princípios e Diretrizes
Art. 6º As ações de segurança da informação do COFFITO são norteadas
pelos princípios constitucionais e administrativos que regem a Administração Pública,
bem como pelos seguintes princípios:
I - Disponibilidade: assegurar que as informações, sistemas e serviços estejam
acessíveis e utilizáveis quando necessários por usuários autorizados;
II - Integridade: preservar a exatidão, completude e confiabilidade das
informações, prevenindo alterações, destruições ou perdas não autorizadas ou
acidentais;
III - Confidencialidade: assegurar que a informação seja acessada apenas por
usuários, sistemas ou entidades devidamente autorizados;
IV - Autenticidade: assegurar a comprovação da identidade, origem e autoria
das informações, bem como de suas alterações;
V - Não Repúdio: impedir que autores de ações, comunicações ou transações
neguem posteriormente sua participação;
VI - Privacidade e Sigilo: proteger dados pessoais e informações sensíveis,
preservando os direitos fundamentais previstos na Constituição Federal, na Lei Geral de
Proteção de Dados e nas demais legislações aplicáveis;
VII - Transparência: assegurar publicidade como regra, e sigilo como exceção,
conforme a LAI e regulamentações internas;
VIII - Rastreabilidade: possibilitar a identificação e o registro de acessos,
alterações e operações realizadas em informações e sistemas, de forma a permitir
auditoria, responsabilização e controle;
IX - Proporcionalidade: adotar medidas de segurança de forma equilibrada,
de modo a proteger as informações sem comprometer a eficiência administrativa ou
criar restrições excessivas ao interesse público;
X - Economicidade: aplicar os recursos destinados à segurança da informação
de forma eficiente, racional e alinhada aos objetivos institucionais;
XI - Educação e Comunicação: promover cultura permanente de segurança da
informação por meio de capacitação, sensibilização e comunicação interna.
Art. 7º As ações de segurança da informação devem:
I - alinhar-se aos objetivos estratégicos e aos planos institucionais do
COFFITO;
II - ser tratadas de forma integrada, respeitando as especificidades das
unidades;
III - ser proporcionais aos riscos existentes, ao ambiente, ao valor e à
criticidade da informação;
IV - priorizar a prevenção de incidentes e a mitigação de vulnerabilidades.
Art. 8º A gestão de segurança da informação deve ser contínua, dinâmica e
alinhada à evolução tecnológica, considerando fatores internos e externos que possam
impactar o alcance dos objetivos institucionais.
Art. 9º Os investimentos em segurança da informação devem ser
dimensionados de acordo com o valor do ativo, a sensibilidade da informação envolvida
e os riscos potenciais para o COFFITO.
Art. 10. Toda informação gerada, custodiada, manipulada, utilizada ou
armazenada no COFFITO compõe seus ativos de informação e deve ser protegida
conforme normas vigentes.
Parágrafo único. As informações que trafeguem pelo ambiente computacional
do COFFITO estão sujeitas a monitoramento e auditoria, observados os limites legais.
Art. 11. Pessoas e sistemas devem operar com menor privilégio e mínimo
acesso necessário ao desempenho de suas atividades.
Parágrafo único. O acesso aos recursos de tecnologia da informação exige
assinatura de Termo de Responsabilidade, preferencialmente eletrônico, com ciência das
obrigações e penalidades decorrentes.
Art. 12. A Política de Segurança da Informação e suas atualizações, bem
como normas específicas de segurança da informação do COFFITO, devem ser divulgadas
amplamente a todos os Usuários de Informação, a fim de promover sua observância,
seu conhecimento, bem como a formação da cultura de segurança da informação.
Parágrafo único. Os usuários de informação devem ser continuamente
capacitados nos procedimentos de segurança e no uso correto dos ativos de informação
quando da realização de suas atribuições, de modo a mitigar possíveis riscos à
segurança da informação.
Art. 13. Os contratos de prestação de serviços, convênios e instrumentos
congêneres firmados pelo COFFITO deverão incluir cláusulas específicas que assegurem
a observância desta Política e das normas complementares de segurança da
informação.
Parágrafo único. Quando houver tratamento de dados pessoais por terceiros
em nome do COFFITO, estes atuarão como operadores, devendo observar integralmente
esta Política, a LGPD e as orientações do COFFITO, na condição de controlador.
CAPÍTULO II
DA CLASSIFICAÇÃO DAS INFORMAÇÕES
Seção I
Das Disposições Gerais
Art. 14. As informações produzidas, recebidas, armazenadas, tratadas ou
custodiadas pelo COFFITO deverão ser classificadas de acordo com seu grau de
sensibilidade, criticidade, valor institucional e requisitos legais, observadas as diretrizes
desta Política e das normas complementares.
Art. 15. A classificação da informação tem por finalidade:
I - assegurar níveis adequados de proteção à confidencialidade, integridade,
disponibilidade e autenticidade das informações;
II - orientar a aplicação proporcional de controles de segurança;
III - subsidiar decisões de acesso, armazenamento, compartilhamento,
retenção e descarte;
IV - harmonizar a proteção da informação com a publicidade como regra e
o sigilo como exceção, nos termos da LAI.
Seção II
Dos Níveis de Classificação da Informação
Art. 16. As informações do COFFITO deverão ser classificadas, no mínimo,
nos seguintes níveis:
I - Informação Pública: informação cujo acesso é franqueado ao público em
geral, nos termos da Lei nº 12.527/2011, ressalvadas as hipóteses legais de restrição;
II - Informação de Uso Interno: informação destinada ao uso exclusivo no
âmbito interno do COFFITO, cujo acesso é restrito a usuários autorizados;
III - Informação Restrita ou Sigilosa: informação cujo acesso é limitado, em
razão de seu conteúdo sensível, estratégico ou protegido por legislação específica,
incluindo dados pessoais, dados sensíveis e informações protegidas por sigilo legal.
Parágrafo único. A classificação da informação deverá observar a legislação
vigente, em especial a Lei de Acesso à Informação, a Lei Geral de Proteção de Dados
Pessoais e demais normas aplicáveis.
Art. 17. A classificação da informação deverá considerar, no mínimo:
I - o impacto institucional em caso de acesso, alteração, perda ou divulgação
indevida;
II - a presença de dados pessoais ou dados pessoais sensíveis, nos termos da LGPD;
III - requisitos legais, regulatórios ou contratuais aplicáveis;
IV - o valor estratégico, operacional ou histórico da informação.
Seção III
Da Responsabilidade pela Classificação
Art. 18. A responsabilidade pela classificação da informação compete:
I - ao gestor da unidade que produziu ou detém a informação;
II - ao custodiante da informação, no âmbito de suas atribuições;
III - ao Gestor de Segurança da Informação, quando necessário, para fins de
orientação técnica.
Art. 19. Os níveis de classificação da informação, bem como os respectivos
critérios, controles e responsabilidades, serão definidos em norma complementar
específica, aprovada conforme a governança de segurança da informação do
COFFITO.
Art. 20. A classificação da informação deverá ser registrada, sempre que
aplicável, nos sistemas, documentos ou metadados correspondentes, de forma a
permitir sua adequada identificação, tratamento e controle.