PORTARIA IBRAM Nº 4.144, DE 19 DE JUNHO DE 2026 (parte 1 de 2)

PORTARIA IBRAM Nº 4.144, DE 19 DE JUNHO DE 2026
Dispõe sobre a Estratégia de uso de software e de
serviços de computação em nuvem no âmbito do
Ibram - Instituto Brasileiro de Museus.
A PRESIDENTA DO INSTITUTO BRASILEIRO DE MUSEUS - IBRAM, no uso das
atribuições que lhe foram conferidas pelo art. 19, inciso IV, do Decreto n° 11.236, de
18 de outubro de 2022, tendo em vista o disposto no Decreto n° 12.572, de 4 de
agosto de 2025, e considerando a Portaria SGD/MGI n° 5.950, de 26 de outubro de
2023, a Instrução Normativa GSI/PR n° 1, de 27 de maio de 2020, e a Resolução
Normativa Ibram n° 4, de 28 de julho de 2021, resolve:
Art. 1° A estratégia de uso de software e de serviços de computação em
nuvem tem o objetivo de assegurar que o Ibram obtenha os resultados esperados e
mitigue os riscos associados à adoção de possíveis novas tecnologias ou novas formas
de contratação de softwares e serviços de computação em nuvem.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2° A Estratégia de uso de software e de serviços de computação em
nuvem está alinhada com a Política de segurança da informação do Ibram e ao seu
planejamento estratégico para as atividades de gestão da informação e disponibilização
de serviços internos e externos.
Art. 3° A segurança da informação abrange:
I - a defesa cibernética;
II - a segurança física e a proteção de dados organizacionais; e
III - as ações destinadas a assegurar a disponibilidade, a integridade e a
autenticidade da informação, bem como sua confidencialidade, quando exigível.
Art. 4° O disposto nesta Portaria será aplicado nas futuras contratações de
software e de serviços de computação em nuvem no âmbito do Ibram, tais como:
I - software sob o modelo de licenciamento permanente de direitos de
uso;
II - software sob o modelo de cessão temporária de direitos de uso;
III - software sob o modelo de subscrição ou como Serviço (SaaS);
IV - infraestrutura como Serviço (IaaS);
V - plataforma como Serviço (PaaS);
VI - suporte técnico para software e serviços de computação em nuvem;
VII - serviço de operação e gerenciamento de recursos em nuvem; e
VIII - serviço de migração de recursos para ambiente de nuvem.
CAPÍTULO II
DAS DIRETRIZES E NORMAS INTERNAS DE SEGURANÇA DA INFORMAÇÃO
Seção I
Da identificação das necessidades do negócio
Art. 5° O Ibram deverá identificar e avaliar as necessidades de negócio
antes da contratação de software e de serviços de computação em nuvem, bem
como:
I - determinar quais sistemas, aplicações, dados e serviços precisam ser
movidos para a nuvem, como eles serão acessados e quais recursos computacionais e
de armazenamento serão necessários; e
II - avaliar, quando da concepção de novos serviços e sistemas, quanto à
viabilidade de que os serviços sejam desenvolvidos para utilização em ambientes de
nuvem ou não.
Seção II
Da seleção dos modelos adequados
Art. 6° O Ibram deverá avaliar quais modelos de serviço (IaaS, PaaS, SaaS)
e de implementação (nuvem pública, nuvem privada, nuvem híbrida etc.) melhor se
adequam aos requisitos de negócio, sempre dando preferência à adoção de uma
abordagem estratégica de nuvem híbrida.
§ 1° Quando houver estudos que apontem que a demanda prevista pode
ser melhor atendida integralmente por meio de serviços em nuvem, deverá ser
adotada uma abordagem completa, incluindo as demandas de migração do ambiente
on-premises para a nuvem.
§ 2° Quando houver a previsão de implementação de soluções totalmente
em nuvem, deverá ser inserido no processo de aquisição um plano de recuperação dos
serviços em caso de descontinuidade do instrumento contratual por fatores externos
ao controle do Ibram.
Seção III
Da avaliação dos possíveis fornecedores
Art. 7° Os estudos técnicos preliminares devem abranger o levantamento
dos possíveis fornecedores aptos ao atendimento dos requisitos de negócio, de forma
a garantir que exista uma quantidade mínima de fornecedores com experiência e que
atendam aos requisitos necessários ao atendimento da demanda.
§ 1° Fatores como segurança, conformidade, disponibilidade e suporte
técnico devem ser considerados nessa avaliação.
§ 2° Deve-se determinar quais requisitos de segurança são importantes ou
mandatórios para o negócio, bem como avaliar, quando for o caso, como cada possível
fabricante ou fornecedor atende a esses requisitos.
Seção IV
Quanto ao uso seguro de software e de serviços de computação em
nuvem
Art. 8° O Ibram deverá observar os normativos que versam sobre segurança
da informação e sobre o tratamento de informações em nuvem, bem como identificar,
sob essa perspectiva, quais os sistemas ou workloads que podem ser migrados, assim
como as medidas de gerenciamento de risco a serem adotadas para resguardar as
informações sigilosas que eventualmente serão tratadas em ambiente de nuvem.
Seção V
Condições mínimas de infraestrutura de TIC para utilizar serviços de
computação em nuvem
Art. 9° O Ibram deverá efetuar a avaliação quanto às condições mínimas de
infraestrutura de TIC do órgão ou da entidade para utilizar serviços de computação em
nuvem, a exemplo de conexão estável com a Internet e com banda suficiente.
Seção VI
Definição de diretrizes de governança para o uso da nuvem
Art. 10 O Ibram deverá garantir que as contratações apresentem claramente
as diretrizes e os papéis e responsabilidades dos atores organizacionais (da TI, das
áreas de negócio e da nuvem), observando as práticas e orientações fornecidas pela
Secretaria de Governo Digital - SGD em seus manuais e normativos relacionados a
contratações de softwares e serviços em nuvem.
Seção VII
Definição dos princípios norteadores da estratégia
Art. 11 São princípios norteadores desta estratégia:
I - otimização do uso dos recursos disponíveis no Datacenter com foco na
perenidade e padronização das soluções;
II - utilização da Nuvem como solução complementar ao uso do Datacenter
do Ibram;
III - priorização das contratações de softwares por meio de licenças como
serviço, evitando a aquisição de soluções com licenciamento perpétuo; e
IV - lift-and-shift como último recurso, devendo ser evitada a migração de
aplicativos do Datacenter para a nuvem sem primeiramente adaptar tais recursos para
o ambiente de nuvem.
Seção VIII
Quanto ao alinhamento com outros planos estratégicos
Art. 12 Esta estratégia possui alinhamento com os seguintes planos
estratégicos:
I - Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC;
II - Planejamento Estratégico Institucional do Ibram;
III - Plano de Contratações Anual (PCA); e
IV - Plano de Gestão de Segurança da Informação.
Seção IX
Estabelecimento de linhas de base e metas de benefícios/resultados
esperados
Art. 13 O Ibram deverá definir, em seu Plano Diretor de Tecnologia da
Informação e Comunicação, as linhas de base e metas de benefícios/resultados
esperados, junto às ações relacionadas a esta estratégia, objetivando maior agilidade,
redução de custos, resiliência, mais segurança.
Seção X
Capacitação da equipe do órgão ou entidade que gerenciará as ações desta
estratégia
Art. 14 O Ibram deverá capacitar a equipe que gerenciará, operará ou
utilizará os recursos de software e de computação de serviços em nuvem, identificando
as capacidades e habilidades necessárias.
Seção XI
Portabilidade e interoperabilidade entre sistemas, dados e serviços
Art. 15 O Instituto Brasileiro de Museus deve considerar a viabilidade de
adoção de medidas para mitigar a dependência tecnológica ou aprisionamento ao
provedor. Parágrafo único. Os contratos devem prever a migração assistida e a
exportação em formatos abertos ou interoperáveis como JSON, XML, CSV, ou quaisquer
formatos compatíveis.
Seção XII
Dos requisitos regulatórios e de conformidade
Art. 16 O Ibram deverá considerar os requisitos regulatórios e de
conformidade para o uso seguro de software e serviços de computação em nuvem no
âmbito da administração pública federal.
Parágrafo único. Deverão ser incluídos, nos instrumentos contratuais com os
provedores de nuvem, cláusulas e mecanismos que garantam, ao menos, o sigilo dos
dados no armazenamento e em trânsito, a não transferência dos dados a terceiros, a
remoção incondicional dos dados após o término do contrato e a não utilização dos
dados, para quaisquer fins, pelo provedor ou por terceiros.
Seção XIII
Estratégia de saída
Art. 17 O Ibram deverá considerar a análise de dependências e aspectos de
portabilidade (backup, redundância, contratos de apoio, retorno para a infraestrutura
local etc.).
CAPÍTULO III
DEFINIÇÃO DOS REQUISITOS PARA O USO SEGURO DE COMPUTAÇÃO EM
NUVEM
Seção I
Análise de riscos
Art. 18 O Ibram deverá considerar as diretrizes de gerenciamento de riscos
constantes no modelo de contratação de software e de serviços de computação em
nuvem estabelecidos na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, na
Instrução Normativa GSI/PR Nº 5, de 30 de agosto de 2021, ou em documentos
equivalentes publicados posteriormente.
Art. 19. O Ibram deverá tratar os requisitos para uso seguro de computação
em nuvem por meio de Norma Interna de Segurança da Informação a ser aprovada
pelo Comitê de Governança Digital e Segurança da Informação.
CAPÍTULO IV
DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES
Seção I
Da Alta Administração
Art. 20 Compete à Presidência do Ibram, apoiada pela área de tecnologia da
informação e demais áreas competentes:
I - assegurar a utilização de tecnologias de computação em nuvem em
conformidade com as orientações contidas neste documento; e
II - disponibilizar recursos financeiros e humanos para a implementação
desta estratégia.
Seção II
Quanto à área de Tecnologia da Informação do Ibram
Art. 21 Compete à autoridade da área de tecnologia da informação do
Ibram implementar os procedimentos relativos ao uso de tecnologias de computação
em nuvem, em conformidade com as orientações contidas neste documento e na
legislação pertinente.
CAPÍTULO V
DAS DISPOSIÇÕES FINAIS
Art. 22 O disposto nesta Portaria deverá, deverá ser divulgada amplamente
no âmbito do Ibram.
Art. 23 Os casos omissos serão analisados pelo Comitê de Governança
Digital e Segurança da Informação do Ibram.
Art. 24 Esta Portaria entra em vigor na data de sua publicação.
FERNANDA SANTANA RABELLO DE CASTRO