RESOLUÇÃO-COFFITO Nº 648, DE 13 DE FEVEREIRO DE 2026 (parte 2 de 2)

Parágrafo único. A responsabilidade pela correta classificação da informação
é do gestor do processo ou do custodiante do ativo de informação, conforme definido
nas normas internas.
Seção IV
Da Revisão e Reavaliação da Classificação
Art. 21. A classificação da informação deverá ser revisada periodicamente ou
sempre que houver alteração relevante no contexto institucional, tecnológico ou
legal.
Art. 22. A desclassificação ou reclassificação da informação deverá observar
os mesmos critérios técnicos e legais adotados para a classificação inicial.
Seção V
Das Normas Complementares
Art. 23. Os critérios detalhados, procedimentos operacionais, fluxos e
responsabilidades específicos relativos à classificação da informação serão disciplinados
em normas complementares, manuais ou procedimentos internos, aprovados conforme
a governança de segurança da informação do COFFITO.
Parágrafo único. As normas complementares deverão observar os princípios
e diretrizes desta Política, podendo ser atualizadas sempre que necessário, sem prejuízo
da validade desta PSI.
CAPÍTULO III
DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES
Seção I
Da Estrutura de Governança de Segurança da Informação
Art. 24. A Gestão de Segurança da Informação no COFFITO é estruturada
pelas seguintes instâncias e papéis:
I - Alta Administração;
II - Comitê Interno de Segurança da Informação;
III - Gestor de Segurança da Informação;
IV - Usuários de Informação.
Parágrafo único. Para fins desta Política, considera-se Alta Administração o
conjunto formado pelo Plenário e pela Diretoria do COFFITO, nos termos da legislação
e do Regimento Interno.
Seção II
Das Competências e Arranjos Operacionais
Art. 25. Compete à Alta Administração:
I - designar, dentre os empregados efetivos do COFFITO, o Gestor de
Segurança da Informação, assegurando que a escolha recaia em profissional com perfil,
competência técnica e autonomia compatíveis com a responsabilidade do cargo;
II - instituir o Comitê Interno de Segurança da Informação;
III - assegurar mecanismos adequados para a prevenção, o tratamento e a
resposta a incidentes de segurança da informação e incidentes cibernéticos, observada
a capacidade institucional do COFFITO e o disposto em normas complementares;
IV - promover ações de capacitação e profissionalização dos recursos
humanos em temas relacionados à segurança da informação;
V - patrocinar, priorizar e assegurar os recursos humanos, tecnológicos,
financeiros e organizacionais necessários ao desenvolvimento, implementação,
manutenção e melhoria contínua da Gestão de Segurança da Informação do COFFITO,
garantindo que as ações e decisões relacionadas ao tema recebam o tratamento com
a relevância e prioridade compatíveis com sua importância para a governança
institucional e a credibilidade da Autarquia;
VI - aprovar a Política de Segurança da Informação do COFFITO, bem como
suas alterações e atualizações, zelando pela sua conformidade com as legislações
vigentes, com as recomendações dos órgãos de controle e com as melhores práticas
nacionais e internacionais em segurança da informação;
VII - apoiar e promover a ampla divulgação da Política e das normas internas
de segurança da informação, assegurando que tais instrumentos sejam disponibilizados
de forma clara, acessível e tempestiva a todos os empregados, usuários, prestadores de
serviço e demais partes interessadas, de modo a garantir o conhecimento, a adesão e
a efetiva aplicação de suas diretrizes;
VIII - fomentar a cultura organizacional de segurança da informação,
estimulando a conscientização, o engajamento e o compromisso de todos os níveis
hierárquicos com a proteção das informações sob responsabilidade do COFFITO;
IX - supervisionar a execução da Política de Segurança da Informação,
mediante análise de relatórios, auditorias, indicadores de desempenho e planos de
ação;
X - garantir a integração da gestão de riscos de segurança da informação à
governança de riscos institucional, assegurando planos de continuidade das atividades
institucionais críticas e resposta a incidentes;
XI - apreciar e acompanhar os resultados dos trabalhos de auditoria
relacionados à gestão de segurança da informação;
XII - determinar a adoção das medidas administrativas e corretivas cabíveis,
nos casos de violação da segurança da informação, observadas a legislação vigente, as
normas internas aplicáveis e o devido processo legal;
XIII - exercer outras competências relacionadas à segurança da informação e
à proteção de dados pessoais que, por sua relevância institucional, lhe sejam atribuídas
pela legislação, por esta Política ou por deliberação da própria Alta Administração.
Art. 26. O Comitê Interno de Segurança da Informação possui caráter
consultivo, propositivo e estratégico, competindo-lhe:
I - assessorar a Alta Administração;
II - propor diretrizes, prioridades e planos de ação;
III - acompanhar resultados e indicadores;
IV - analisar e propor normas internas de segurança da informação,
submetendo-as à aprovação da Alta Administração.
§ 1º O Comitê não executa atividades operacionais rotineiras.
§ 2º A composição, estrutura, recursos e funcionamento do Comitê Interno
de Segurança da Informação será definido em ato administrativo próprio, de acordo
com a legislação vigente.
§ 3º O Comitê Interno de Segurança da Informação deverá registrar atas de
suas reuniões e manter arquivados planos de ação, pareceres e relatórios técnicos,
observados os critérios de classificação da informação, assegurando a rastreabilidade, a
transparência e a publicidade interna de suas deliberações.
Art. 27. Compete ao Gestor de Segurança da Informação coordenar,
supervisionar e acompanhar a implementação da Política de Segurança da Informação,
atuando como instância técnica de articulação entre as unidades, sem prejuízo das
atribuições operacionais dos setores responsáveis.
Parágrafo único. As atividades operacionais, técnicas e executivas serão
desempenhadas pelas unidades competentes, cabendo ao Gestor de Segurança da
Informação o acompanhamento, a orientação técnica e a consolidação das informações
necessárias à governança da segurança da informação.
Art. 28. A prevenção, o tratamento e a resposta a incidentes de segurança
da informação serão realizados por meio de arranjos organizacionais flexíveis, observada
a capacidade institucional do COFFITO e conforme definido em normas
complementares.
§ 1º A constituição de equipe específica para o tratamento de incidentes
poderá ocorrer por designação temporária, ato administrativo ou grupo de trabalho,
dispensada a criação de estrutura permanente exclusiva.
§ 2º A forma de atuação, os fluxos de resposta e os níveis de escalonamento
serão definidos em norma complementar, observada a capacidade institucional e o
princípio da proporcionalidade.
Art. 29. Esta Política observa os princípios e diretrizes da Lei nº 13.709/2018
(Lei Geral de Proteção de Dados Pessoais - LGPD), no que couber à proteção da
informação e à segurança dos ativos informacionais, mantendo-se autônoma em relação
à Política de Privacidade, a ser instituída em ato normativo próprio.
§ 1º As atribuições relacionadas ao tratamento de dados pessoais, à
interação com titulares e à comunicação com a Autoridade Nacional de Proteção de
Dados (ANPD) competem ao Encarregado de Dados, designado nos termos da Portaria-
COFFITO nº 303/2024, com apoio da Comissão Gestora de Dados.
§ 2º Compete ao Gestor de Segurança da Informação atuar de forma
colaborativa e técnica, fornecendo subsídios relacionados à segurança da informação, à
prevenção de incidentes e à mitigação de riscos, sem prejuízo da autonomia e das
atribuições próprias do Encarregado de Dados.
Art. 30. Compete aos Usuários de Informação:
I - conhecer e cumprir esta Política e as normas internas correlatas;
II - solicitar esclarecimentos ao Comitê Interno de Segurança da Informação
em caso de dúvidas relacionadas à PSI;
III - utilizar ativos e recursos somente no interesse institucional;
IV - acessar a rede de dados do COFFITO somente após tomar ciência das
normas de Segurança da Informação e assinar o Termo de Responsabilidade;
V - utilizar as informações arquivísticas digitais e impressas disponibilizadas e
os sistemas e produtos computacionais de propriedade ou direito de uso do COFFITO
exclusivamente para o interesse do serviço;
VI - preservar o conteúdo das informações sigilosas a que tiver acesso, sem
divulgá-las para pessoas não autorizadas e/ou que não tenham necessidade de conhecê-
las;
VII - não tentar obter acesso à informação cujo grau de sigilo não seja
compatível com seu nível de acesso ou necessidade de conhecer;
VIII - não se fazer passar por outro usuário usando a identificação com login
e senha de acesso;
IX - no caso de exoneração, demissão, licenciamento, término de prestação
de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e
documentos sigilosos a que teve acesso;
X - não compartilhar, transferir, divulgar ou permitir o conhecimento de
credenciais de acesso (senhas) utilizadas no ambiente computacional do COFFITO por
terceiros;
XI - responder perante o COFFITO pelo uso indevido das suas credenciais de
acesso, no âmbito administrativo e, se for o caso, perante a justiça, no âmbito penal e civil;
XII - não acessar, transmitir, copiar ou reter arquivos contendo textos, fotos,
filmes ou quaisquer outros registros que contrariem a moral, os bons costumes e a
legislação vigente;
XIII - não transferir qualquer tipo de arquivo que pertença ao COFFITO para
outro local, seja por meio magnético ou não, exceto no interesse do serviço e mediante
autorização da autoridade competente;
XIV - utilizar as credenciais de acesso, login e senha, e os recursos
computacionais, em conformidade com a PSI do COFFITO e procedimentos estabelecidos
em normas específicas do Conselho;
XV - fazer uso da política de mesa limpa e tela protegida para garantir a
proteção das informações de maneira eficaz e reduzir os riscos de acesso não
autorizado, perda ou dano à informação durante e fora do horário normal de
trabalho.
CAPÍTULO IV
DOS PROCESSOS
Art. 31. A Gestão de Segurança da Informação no âmbito do COFFITO será
composta, no mínimo, pelos seguintes processos:
I - tratamento da informação;
II - segurança física e do ambiente;
III - gestão de incidentes de segurança da informação;
IV - inventário, mapeamento e gestão de ativos de informação;
V - gestão do uso de recursos operacionais e de comunicações
institucionais;
VI - controles de acesso;
VII - gestão de riscos de segurança da informação;
VIII - gestão de continuidade de negócios em segurança da informação;
IX - gestão de mudanças com impacto em segurança da informação;
X - avaliação de conformidade em segurança da informação.
§ 1º O Comitê Interno de Segurança da Informação poderá propor a criação
de outros processos de Gestão de Segurança da Informação, desde que alinhados aos
princípios e diretrizes desta Política.
§ 2º Para cada processo previsto no caput deverão ser elaboradas normas,
procedimentos, orientações ou manuais específicos, aprovados conforme a governança
de segurança da informação do COFFITO, com vistas a disciplinar sua aplicação e
padronizar condutas.
§ 3º As normas e instrumentos complementares integrarão a arquitetura de
segurança da informação do COFFITO, devendo observar esta PSI e ser revisados
periodicamente, quando necessário, em face da evolução de riscos, tecnologias e
diretrizes institucionais.
Art. 32. As normas, procedimentos ou manuais complementares de que trata
o § 2º do artigo anterior deverão contemplar, no mínimo:
I - requisitos de conformidade com a LGPD, LAI e demais normativos
aplicáveis, inclusive orientações da ANPD;
II - critérios de classificação da informação e definição de controles
proporcionais à sensibilidade, criticidade e riscos;
III - diretrizes de controle de acesso, credenciamento, segregação de funções,
rastreabilidade e uso do princípio do menor privilégio;
IV - regras de uso aceitável de recursos institucionais de comunicação e
tecnologia (e-mail, internet, mídias sociais, dispositivos móveis, nuvem e similares);
V - diretrizes e fluxos para gestão e resposta a incidentes, incluindo
comunicação de incidentes relevantes aos titulares e à ANPD quando cabível;
VI - metodologia de gestão de riscos e continuidade de negócios aplicáveis
aos ativos de informação;
VII - parâmetros de auditoria, monitoramento e avaliação de conformidade,
incluindo registros e trilhas de auditoria.
§ 1º As unidades organizacionais deverão cooperar com verificações internas de
conformidade em segurança da informação, quando demandadas pela governança de SI.
§ 2º Os processos, projetos, produtos e serviços do COFFITO deverão
observar requisitos de segurança da informação e proteção de dados desde sua
concepção, sempre que aplicável.
CAPÍTULO V
DAS VEDAÇÕES E DISPOSIÇÕES FINAIS
Art. 33. É vedada a utilização dos recursos de tecnologia da informação
disponibilizados pelo COFFITO para acesso, guarda ou divulgação de conteúdo
incompatível com o ambiente institucional, que viole direitos autorais ou infrinja a
legislação vigente.
Art. 34. É proibido o uso ou a instalação de recursos de tecnologia da
informação não homologados ou não autorizados pelo COFFITO.
Art. 35. É proibido compartilhar ou divulgar mecanismos de autenticação e
autorização de uso pessoal e intransferível fornecidos pelo COFFITO.
Art. 36. É vedado explorar, testar, divulgar ou se aproveitar de falhas,
vulnerabilidades ou fragilidades nos sistemas, redes ou ativos de informação do
COFFITO. Qualquer vulnerabilidade identificada deverá ser comunicada imediatamente
ao Setor de Tecnologia da Informação e ao Gestor de Segurança da Informação.
Art. 37. O COFFITO promoverá ações contínuas de conscientização e
capacitação em segurança da informação e proteção de dados adequadas aos papéis e
responsabilidades dos usuários.
Art. 38. Denúncias ou comunicações de violação a esta Política deverão ser
direcionadas ao Gestor de Segurança da Informação, sem prejuízo dos canais
institucionais cabíveis.
Art. 39. O cumprimento desta Política e de seus instrumentos
complementares será acompanhado pelo Gestor de Segurança da Informação, com
apoio do Setor de Tecnologia da Informação, por meio de avaliações de conformidade,
monitoramento e relatórios periódicos ao Comitê Interno de Segurança da Informação,
que poderá propor melhorias à Alta Administração.
Art. 40. A inobservância desta Política sujeita o infrator às sanções
administrativas cabíveis, conforme legislação vigente, assegurados o contraditório e a
ampla defesa, sem prejuízo de eventual responsabilização civil e penal.
Art. 41. Esta Política será revisada periodicamente, preferencialmente a cada
2 (dois) anos, e obrigatoriamente em até 4 (quatro) anos, ou sempre que ocorrerem
alterações relevantes:
I - na legislação aplicável ou diretrizes governamentais;
II - no ambiente tecnológico, organizacional ou institucional;
III - por identificação de falhas, riscos ou não conformidades;
IV - por recomendações de órgãos de controle ou auditorias;
V - pela evolução das ameaças ou maturidade institucional.
Parágrafo único. A revisão será coordenada pelo Comitê Interno de
Segurança da Informação, com apoio do Gestor de Segurança da Informação, e
submetida à Alta Administração.
Art. 42. Casos omissos relacionados à segurança da informação, inclusive
aqueles que envolvam dados pessoais, serão analisados à luz da legislação vigente.
Art. 43. Esta Resolução entra em vigor na data de sua publicação.
VINÍCIUS MENDONÇA ASSUNÇÃO
Diretor-Secretário
SANDROVAL FRANCISCO TORRES
Presidente do Conselho