PORTARIA Nº 239, DE 14 DE ABRIL DE 2026 (parte 2 de 3)

ANEXO
NORMA DE GESTÃO DE ATIVOS DE TECNOLOGIA DA INFORMAÇÃO
1. PROPÓSITO
1.1. Esta norma de gestão de ativos de tecnologia da informação objetiva
garantir que os ativos de informação do Ministério dos Transportes - MT sejam
identificados adequadamente e que os controles de proteção recomendados para esses
ativos de informação estejam em vigor.
1.2. Para manter a segurança e a continuidade do negócio no âmbito do MT,
é fundamental mapear e monitorar os ativos tecnológicos, de modo a assegurar maior
controle organizacional, apoiar a aplicação de atualizações, viabilizar a implementação de
controles de segurança e fortalecer os processos de gestão de riscos. O adequado
mapeamento contribui, ainda, para a eficiência das ações de resposta e recuperação em
caso de incidentes.
1.3. Os ativos de informação do MT devem ser classificados de modo a permitir
a definição dos níveis de segurança adequados a cada um. Cada ativo deverá possuir um
proprietário responsável por sua classificação, devendo essas informações ser registradas
em uma base de dados centralizada e devidamente gerenciada.
2. ESCOPO
2.1. Essa norma se aplica a todos os ativos de informação no Ministério dos
Transportes e aqueles armazenados em um serviço de nuvem. Ativos de informação neste
contexto, incluem:
I - Hardware: Equipamentos de escritório (computadores, notebooks);
Infraestrutura de rede (switches, roteadores, access points, firewall); e Servidores físicos e
virtuais (incluindo servidores de arquivos, aplicações, banco de dados, e-mail, entre
outros);
II - Software: Sistemas operacionais; Aplicativos e softwares licenciados ou
livres; Sistemas desenvolvidos internamente ou por terceiros; Bancos de dados; e
Ferramentas de virtualização e containers.
III - Dados: Informações pessoais, institucionais ou sob a guarda da Instituição;
e Dados armazenados em qualquer meio ou formato, incluindo bancos de dados, arquivos
digitais, logs de sistemas, backups, e mídias removíveis.
IV - Ativos de TI armazenados em serviços de computação em nuvem ou fora
das dependências físicas da Instituição, incluindo, dentre outros: PaaS - plataforma como
serviço; SaaS - software como serviço; IaaS - infraestrutura como serviço.
3. REFERÊNCIAS NORMATIVAS
3.1. São referências normativas para este documento:
I. Decreto nº 12.572/2025 - Institui a Política Nacional de Segurança da
Informação e dispõe sobre a governança da segurança da informação no âmbito da
administração pública federal;
II. Portaria SGD/MGI nº 9.511/2025 - Institui o Programa de Privacidade e
Segurança da Informação;
III. Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD);
IV. Portaria MT nº 287/2025 - POSIN do Ministério dos Transportes;
V. Instrução Normativa GSI/PR nº 1/2020 - Dispõe sobre a Estrutura de Gestão
de Segurança da Informação;
VI. Instrução Normativa Nº 03/GSI/PR, de 28 de maio de 2021 - Dispõe sobre
os processos relacionados à gestão de segurança da informação nos órgãos e nas
entidades da administração pública federal;
VII. Instrução Normativa Nº 04/GSI/PR, de 26 de março de 2020 - Dispõe sobre
os requisitos mínimos de Segurança Cibernética que devem ser adotados no
estabelecimento das redes 5G;
VIII. Instrução Normativa Nº 8/GSI/PR, de 6 de outubro de 2025 - Dispõe sobre
os requisitos mínimos de segurança da informação para tratamento de informação
classificada em computação em nuvem; e
IX. Guia do Framework de Privacidade e Segurança da Informação - PPSI 2.0; e
X. Modelo de Política de Gestão de Ativo- SGD/MGI, versão 2.3, junho/2024.
4. CONCEITOS E DEFINIÇÕES
4.1. Ficam estabelecidos os seguintes conceitos para essa norma:
I. Acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem
como possibilidade de usar os ativos de informação de um órgão ou entidade, observada
eventual restrição que se aplique;
II. Agente responsável pela gestão de ativos: servidor público ou empregado
público, ocupante de cargo efetivo incumbido de gerenciar o processo de inventário e
mapeamento de ativos de informação;
III. Ativos de informação: meios de armazenamento, transmissão e
processamento da informação, equipamentos necessários a isso, sistemas utilizados para
tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e
conhecimento ou dado que tem valor para um indivíduo ou organização;
IV. Autenticidade: propriedade pela qual se assegura que a informação foi
produzida, expedida, modificada ou destruída por uma determinada pessoa física,
equipamento, sistema, órgão ou entidade;
V. Confidencialidade: propriedade pela qual se assegura que a informação não
esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não
autorizados nem credenciados;
VI. Contêiner dos ativos de informação: local onde se encontra o ativo de
informação. Geralmente, um contêiner descreve algum tipo de ativo tecnológico -
hardware, software ou sistema de informação (mas também pode se referir a pessoas ou
mídias como papel, CD-ROM ou DVD-ROM). Um contêiner, portanto, é qualquer tipo de
ativo dentro do qual um ativo de informação é armazenado, transportado ou processado.
Ele pode ser um único ativo tecnológico (como um servidor), uma coleção de ativos
tecnológicos (como uma rede) ou uma coletânea de mídias digitais, entre outros;
VII. Custodiante da informação: qualquer indivíduo ou estrutura de órgão ou
entidade da administração pública federal, direta e indireta, que tenha responsabilidade
formal de proteger a informação e aplicar os níveis de controles de segurança, em
conformidade com as exigências de segurança da informação, comunicadas pelo
proprietário da informação;
VIII. Disponibilidade: propriedade pela qual se assegura que a informação esteja
acessível e utilizável, sob demanda, por uma pessoa física ou determinado sistema, órgão
ou entidade devidamente autorizados;
IX. Documento: unidade de registro de informações, qualquer que seja o
suporte ou o formato;
X. Gestão de Continuidade de Negócios: processo que identifica ameaças
potenciais para uma organização e os possíveis impactos nas operações de negócio, caso
estas ameaças se concretizem. Esse processo fornece uma estrutura para que se
desenvolva uma resiliência organizacional que seja capaz de responder efetivamente e
salvaguardar os interesses das partes interessadas, a reputação, a marca da organização e
suas atividades de valor agregado;
XI. Gestão de Riscos de Segurança da Informação: processo de natureza
permanente, estabelecido, direcionado e monitorado pela alta administração, que
contempla as atividades de identificação, avaliação e gerenciamento de potenciais eventos
que possam afetar a organização, destinado a fornecer segurança razoável quanto à
realização de seus objetivos;
XII. Gestor de segurança da informação e comunicações: responsável pelas
ações de segurança da informação e comunicações no âmbito do MT;
XIII. Informação: dados, processados ou não, que podem ser utilizados para
produção e para transmissão de conhecimento, contidos em qualquer meio, suporte ou
formato;
XIV. Integridade: propriedade pela qual se assegura que a informação não foi
modificada ou destruída de maneira não autorizada ou acidental;
XV. Proprietário da informação: parte interessada do órgão ou entidade da
administração pública federal, direta e indireta, ou indivíduo legalmente instituído por sua
posição ou cargo, que é responsável primário pela viabilidade e sobrevivência da
informação;
XVI. Valor do ativo de informação: valor, tangível e intangível, que reflete tanto
a importância do ativo de informação para o alcance dos objetivos estratégicos do MT,
quanto o quão cada ativo de informação é imprescindível aos interesses da sociedade e do
Estado; e
XVII. Vulnerabilidade: condição que, quando explorada por um criminoso
cibernético, pode resultar em uma violação de segurança cibernética dos sistemas
computacionais ou redes de computadores, e consiste na interseção de três fatores:
suscetibilidade ou falha do sistema, acesso possível à falha e capacidade de explorar essa
falha.
5. PRINCÍPIOS GERAIS
5.1. Essa norma de Gestão de Ativos de Informação está alinhada com a
Política de Segurança da Informação do Ministério dos Transportes e com a gestão de
continuidade de negócios em nível organizacional.
5.2. O processo de mapeamento de ativos de informação deve estruturar e
manter um registro de ativos de informação, destinados a subsidiar os processos de gestão
de risco, de gestão de continuidade e de gestão de mudanças nos aspectos relativos à
segurança da informação.
5.3. As rotinas de inventário e mapeamento de ativos de informação devem ser
orientadas para a identificação dos ativos de informação da organização, a fim de manter
o escopo da organização mapeado e documentado.
5.4. O processo de mapeamento de ativos de informação deve considerar,
preliminarmente os objetivos estratégicos da organização, seus processos internos, os
requisitos legais e sua estrutura organizacional.
5.5. O registro de ativos de informação resultante do processo de mapeamento
de ativos de informação deverá conter: os responsáveis (proprietários e custodiantes) de
cada ativo de informação; as informações básicas sobre os requisitos de segurança da
informação de cada ativo de informação; os contêineres de cada ativo de informação; as
interfaces de cada ativo de informação e as interdependências entre eles.
5.6. Os seguintes ativos de informação devem ser considerados no processo de
mapeamento de ativos de informação:
I. ativos físicos;
II. bancos de dados;
III. dispositivos móveis;
IV. hardwares;
V. mídias removíveis;
VI. níveis de permissões;
VII. serviços;
VIII. softwares;
IX. servidores virtuais;
X. unidades de Armazenamento Remotas.
6. DAS DIRETRIZES
6.1. Informações ou ativos de informação de instalações de processamento de
informações devem ser inventariados e documentados e esse registro deve ser mantido
atualizado.
6.2. A organização deve:
I. utilizar da segmentação de rede para organizar seus ativos de informação;
II. implementar o controle de acessos e privilégios mínimos para a
administração dos ativos de informação;
III. implementar a centralização de autenticação, autorização e auditoria (AAA)
para a administração de seus ativos de informação, principalmente os ativos que fazem
parte da infraestrutura de rede da organização;
IV. adotar e fazer cumprir os níveis mínimos de disponibilidade para seus ativos
de informação;
V. empregar mecanismos automatizados para identificar sistemas autorizados e
não autorizados, incluindo hardware e software;
VI. assegurar que todos os ativos de informação inventariados possuam
contrato de suporte vigente;
VII. utilizar ferramentas de descoberta ativa e/ou passiva para identificar dispositivos
conectados à rede institucional e atualizar automaticamente o inventário de ativos;
VIII. utilizar ferramentas de inventário de software, sempre que possível, em
toda a organização, para automatizar a descoberta e a documentação das aplicações
instaladas; e
IX. assegurar a existência de um processo semanal para tratar ativos não
autorizados;
X. utilizar controles técnicos em todos os ativos para garantir que apenas
software autorizado seja executado, sendo estes reavaliados semestralmente ou com mais
frequência.
XI. utilizar controles técnicos para garantir que apenas bibliotecas e scripts
autorizados, e assinados digitalmente tenham permissão para serem executados.
XII. utilizar scripts e protocolos de segurança para o acesso e administração dos
ativos de informação;
XIII. elaborar e manter diagramas e demais documentações da arquitetura de
rede da organização. A revisão destas documentações deverá ser realizada de forma
periódica ou quando ocorrerem mudanças significativas, que possam impactar tais
artefatos; e
XIV. garantir que a infraestrutura de rede da organização esteja atualizada.
Deverá ser realizada uma revisão das versões de software de forma periódica, ou quando
for identificada uma vulnerabilidade que eleve o risco da organização.
6.3. A categorização do inventário deve ser aprovada pelas partes apropriadas
ou autoridade de autorização.
6.4. O inventário também deverá incluir atualizações ou remoções dos
softwares, bem como dos sistemas de informação.
6.5. As atualizações e novas versões de softwares devem ser avaliadas e
aprovadas antes da instalação.
6.6. A organização utilizará ferramenta de gerenciamento de endereços IP - ex.:
Dynamic Host Configuration Protocol - DHCP - para atualizar o inventário de ativos da
instituição.
6.7. Cada ativo de informação (por exemplo, desktops, laptops, servidores,
tablets), quando aplicável, deve ter uma etiqueta afixada ao dispositivo com esse
identificador.
6.8. Registre o identificador de ativos da informação juntamente com outras
informações relevantes no inventário de TI. Isso inclui:
I. identificador de ativos;
II. data da compra;
III. preço de compra;
IV. descrição do item;
V. fabricante;
VI. número do modelo;
VII. número de série;
VIII. nome do proprietário do ativo corporativo (por exemplo, administrador,
usuário), função ou unidade de negócios, quando aplicável;
IX. localização física do ativo da empresa, quando aplicável;
X. endereço físico (controle de acesso à mídia (MAC));
XI. endereço de Protocolo de Internet (IP);
XII. data de validade da garantia/vida útil; e
XIII. qualquer informação de licenciamento relevante;
XIV. no caso de softwares instalados na organização deve ser registrado no
inventário informações como:
a) título do software;
b) desenvolvedor ou editor de software;
c) data de aquisição;
d) data de instalação;
e) duração do uso;
f) finalidade comercial;
g) lojas de aplicativos;
h) versões;
i) mecanismo de implantação;
j) data de fim do suporte, se conhecida;
k) qualquer informação de licenciamento relevante; e
l) data de descomissionamento.
6.9. Cabe ao gestor de segurança da informação coordenar o processo de
mapeamento de ativos de informação, bem como designar um agente responsável pela
gestão dos ativos de informação, dentre os servidores efetivos do órgão ou da
entidade.
6.10. Cabe ao agente responsável pela gestão dos ativos de informação:
I. identificar e classificar os ativos de informação por nível de criticidade;
II. identificar potenciais ameaças aos ativos de informação;
III. identificar vulnerabilidades dos ativos de informação;
IV. consolidar informações resultantes da análise do nível de segurança da
informação de cada ativo de informação ou de grupos de ativos de informação em um
relatório;
V. autorizar a atualização do relatório mencionado no inciso IV do caput; e
VI. avaliar os riscos dos ativos de informação ou do grupo de ativos de
informação.
6.11. Indivíduos que requerem acesso aos sistemas de informação devem
seguir o procedimento adequado para receber tal acesso, como descritos na política de
controle de acesso e catalogadas no sistema de gestão de ativos.
6.12. Os processos em torno do gerenciamento de mudança e de configuração
também serão estabelecidos e monitorados.
6.13. Todos os ativos de informação devem ser devolvidos após a rescisão do
contrato de trabalho ou contrato.
7. CRITICIDADE DO ATIVO DE INFORMAÇÃO
7.1. A criticidade dos ativos de informação críticos da organização é
determinada pelo:
I. requisitos legais;
II. nível básico de disponibilidade;
III. pelo valor financeiro;
IV. pelo seu potencial de agregar valor ao negócio; e
V. por sua vida útil.
8. CLASSIFICAÇÃO DE NÍVEL DE ACESSO DAS INFORMAÇÕES
8.1. Todos os ativos de informação devem ser classificados de acordo com seu
nível de acesso, a fim de assegurar o direito fundamental de acesso à informação, bem
como dispor sobre a devida restrição de acesso sobre informações sigilosas, conforme
previsto na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI)
e demais normas aplicáveis.
8.2. As informações armazenadas, transmitidas, processadas ou que se
encontram sob a guarda dos ativos de informação do Ministério dos Transportes,
independentemente de seu formato e suporte, devem ser classificadas segundo seu nível
de acesso, de acordo com a legislação pertinente, sobretudo com as disposições da LAI, do
Decreto nº 7.724, de 16 de maio de 2012, e orientações ou normas complementares
editadas por órgãos competentes.
8.3. A classificação de nível de acesso das informações deve observar as
diretrizes constantes na LAI, Decreto nº 7.724, de 16 de maio de 2012 e outros normativos
complementares que abordam o assunto.
8.4. As informações devem ser classificadas conforme os seguintes níveis de
acesso:
I. pública, com acesso irrestrito e visível a todos os usuários, inclusive pelo
público externo;
II. restrita, quando se tratar de informação sigilosa não classificada em grau de
sigilo, protegidas por demais hipóteses legais de restrição de acesso; e
III. sigilosa classificada em grau de sigilo, nos termos do art. 23 da Lei nº
12.527/2011, subdividida nos graus ultrassecreto, secreto ou reservado.
8.5. Os ativos de informação serão rotulados e manuseados com base nos procedimentos
apropriados de classificação de nível de acesso de informações usados pela organização.
9. MANIPULAÇÃO DE MÍDIA
9.1. A mídia removível deve ser:
I. gerenciada pelo mesmo procedimento de classificação de ativos de
informação usado pela organização; e
II. protegida contra acesso não autorizado e uso indevido durante o uso e em
trânsito, e deve ser descartada com segurança, usando os procedimentos apropriados.
9.2. A mídia contendo informações confidenciais e internas do Ministério dos
Transportes deve ser protegida contra acesso não autorizado, uso indevido, corrupção
durante o transporte e, preferencialmente, com o uso de criptografia.
10. USO ACEITÁVEL
10.1. Padrões ou diretrizes para o uso aceitável de ativos devem ser
documentados para indicar o que os usuários dos ativos de informação podem ou não
fazer.
10.2. Os seguintes itens devem ser cobertos nas diretrizes de uso aceitáveis:
I. uso do computador e dos sistemas de informação;
II. uso de softwares e dados;
III. uso da Internet e e-mail;
IV. uso do telefone; e
V. uso de equipamentos e materiais de escritório.
10.3. Como requisito de acesso ao ativo de informação e como componente do
treinamento de conscientização de segurança, todos os usuários dos ativos de informação,
sejam funcionários ou terceiros, serão obrigados a fornecer aceitação assinada das
diretrizes de uso aceitáveis.
11. PROCESSO DE INVENTÁRIO E MAPEAMENTO DE ATIVOS
11.1. O processo de mapeamento de ativos de informação deve considerar,
preliminarmente:
I. os objetivos estratégicos da organização;
II. os processos internos da organização;
III. os requisitos legais; e
IV. a estrutura do órgão ou da entidade.
11.2. O registro de ativos de informação resultante do processo de
mapeamento de ativos de informação deverá conter no mínimo:
I. os responsáveis - proprietários e custodiantes - de cada ativo de
informação;
II. as informações básicas sobre os requisitos de segurança da informação de
cada ativo de informação;
III. os contêineres de cada ativo de informação; e
IV. as interfaces de cada ativo de informação e as interdependências entre
eles.
11.3. O inventário deve conter, no mínimo: endereço de rede (se estático),
endereço de hardware, nome do ativo, proprietário, unidade organizacional, indicação se
o ativo foi aprovado para se conectar à rede.
11.4. Este inventário deve incluir ativos conectados à infraestrutura fisicamente,
virtualmente ou remotamente e aqueles dentro de ambientes de nuvem. Também deve
contemplar ativos regularmente conectados à infraestrutura de rede da organização,
mesmo que não estejam sob seu controle.
11.5. O agente responsável pela gestão dos ativos de informação, sob a
coordenação do gestor de segurança da informação, definirá a estratégia para o Processo
de Inventário e Mapeamento de Ativos para cada ciclo de execução, que incluirá no
mínimo:
I. o escopo de coleta;
II. o conjunto mínimo de informações de cada ativo e a identificação de seus
responsáveis;
III. a caracterização dos contêineres;
IV. a definição dos requisitos de segurança da informação e comunicações; e
V. os critérios para a definição do valor do ativo de informação.
11.6. O Processo de Inventário e Mapeamento de Ativos de Informação é
composto pelas seguintes etapas:
I. Etapa 1: Coleta de informações gerais dos ativos de informação;
II. Etapa 2: Detalhamento dos ativos de informação;
III. Etapa 3: Caracterização dos contêineres dos ativos de informação;
IV. Etapa 4: Definição dos requisitos de segurança da informação e
comunicações; e
V. Etapa 5: Estabelecimento do valor do ativo de informação.
11.7. Etapa 1: Coleta de Informações Gerais dos Ativos de Informação
11.7.1. Esta etapa consiste na definição dos responsáveis pela coleta e na
utilização de um conjunto essencial de informações para cada ativo de informação nos
termos das diretrizes dessa norma.
11.7.2. O agente responsável pela gestão dos ativos de informação, sob a
coordenação do gestor de segurança da informação, definirá o escopo do inventário para
cada ciclo de execução.
11.8. Etapa 2: Detalhamento dos Ativos de Informação
11.8.1. O detalhamento do ativo deve contemplar informações que:
I. determinem com clareza e objetividade o conteúdo do ativo de
informação;
II. identifiquem os responsáveis, proprietários e/ou custodiantes, de cada ativo
de informação;
III. identifiquem o valor de cada ativo de informação; e
IV. identifiquem os respectivos requisitos de segurança da informação e
comunicações dos ativos de informação.
11.9. Etapa 3: Caracterização dos Contêineres dos Ativos de Informação
11.9.1. O contêiner é o ambiente no qual o ativo de informação reside.
Recomenda-se que sua caracterização inclua, no mínimo, a relação de todos os meios,
dispositivos ou locais nos quais o ativo é armazenado, transportado ou processado, bem
como a identificação dos responsáveis por manter cada um desses recipientes.
11.9.2. Para a caracterização completa do contêiner, devem ser definidos os
limites do ambiente a ser considerado na análise de riscos e descritos os relacionamentos,
dependências e interações que precisam ser compreendidos para assegurar o atendimento
aos requisitos de Segurança da Informação e Comunicações.
11.10 Etapa 4: Definição dos Requisitos de Segurança da Informação e
Comunicações
11.10.1. Os requisitos de segurança da informação e comunicações devem ser
definidos por meio de critérios que atendam a disponibilidade, a integridade, a
confidencialidade e a autenticidade da informação.
11.10.2. Os critérios devem ser categorizados, no mínimo, em 5 categorias de
controle:
I. tratamento da informação;
II. controles de acesso físico e lógico;
III. gestão de risco de segurança da informação e comunicações;
IV. tratamento e respostas a incidentes em redes computacionais;
V. gestão de continuidade dos negócios nos aspectos relacionados à segurança
da informação e comunicações.
11.11. Etapa 5: Estabelecimento do Valor do Ativo de Informação
11.11.1 Os proprietários dos ativos de informação devem indicar o valor de
cada ativo, assegurando que essa classificação reflita sua importância para o alcance dos
objetivos estratégicos da organização, bem como sua relevância para os interesses da
sociedade e do Estado.
11.11.2. Compete aos proprietários avaliar o valor do ativo para o negócio do
Ministério, considerando os riscos aos quais esteja exposto - incluindo ameaças,
vulnerabilidades e impactos potenciais.
12. DISPOSIÇÕES FINAIS
12.1. A aplicação desta política está condicionada à disponibilidade de recursos
financeiros quando destes depender.