RESOLUÇÃO SUDECO Nº 325, DE 29 DE JULHO DE 2026.

RESOLUÇÃO SUDECO Nº 325, DE 29 DE JULHO DE 2026.
Institui a Política de Segurança da Informação - PSI -
da Superintendência de Desenvolvimento do Centro-
Oeste.
A PRESIDENTE DA DIRETORIA COLEGIADA DA SUPERINTENDÊNCIA DO
DESENVOLVIMENTO DO CENTRO-OESTE, no exercício das atribuições previstas no Decreto
n.º 11.057, de 29 de abril de 2022, na Resolução Sudeco n.º 142, de 14 de fevereiro de
2023, e considerando o deliberado na XXXª Reunião da Diretoria Colegiada, resolve:
Art. 1º Instituir a Política de Segurança da Informação, no âmbito da
Superintendência do Desenvolvimento do Centro-Oeste - Sudeco, com a finalidade de
estabelecer princípios, normas e procedimentos para a implementação de ações e
controles que garantam a segurança das informações e de dados pessoais, e no que
couber, no relacionamento com outras entidades públicas ou privadas.
Art. 2º Esta Política aplica-se a todas as unidades organizacionais do órgão, e
deverá ser observada por todos os usuários de informação, seja servidor ou equiparado,
empregado, prestador de serviços ou pessoa habilitada pela administração, por meio da
assinatura de Termo de Responsabilidade, para acessar os ativos de informação sob
responsabilidade desta Autarquia.
Parágrafo único. Os contratos e instrumentos congêneres celebrados pela
Sudeco deverão, quando compatíveis com o objeto e com os riscos envolvidos, conter
cláusulas de observância desta Política e das normas dela decorrentes, inclusive quanto a
segurança da informação, privacidade, confidencialidade e responsabilidade.
CAPÍTULO I
Disposições Gerais
Art. 3º São objetivos da Política de Segurança da Informação:
I - estabelecer princípios e diretrizes a fim de proteger ativos de informação e
conhecimentos gerados ou recebidos;
II - estabelecer orientações gerais de segurança da informação e, desta forma,
contribuir para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis, bem como
preservar os princípios da disponibilidade, integridade, confiabilidade e autenticidade das
informações;
III - estabelecer competências e responsabilidades quanto à segurança da
informação;
IV - nortear a elaboração das normas necessárias à efetiva implementação da
segurança da informação; e
V - promover o alinhamento das ações de segurança da informação com as
estratégias de planejamento organizacional da Sudeco.
Art. 4º Para os efeitos desta Resolução e de suas regulamentações, aplicam-se
os termos do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº 93,
de 18 de outubro de 2021.
CAPÍTULO II
Dos Princípios e Diretrizes
Art. 5º As ações de segurança da informação e privacidade da Sudeco e a
elaboração de políticas, planos e normas complementares são norteadas pelos seguintes
princípios:
I - disponibilidade, integridade, confidencialidade e autenticidade das
informações;
II - continuidade dos processos e serviços essenciais para o funcionamento da
Sudeco;
III - economicidade da proteção dos ativos de informação;
IV - respeito ao acesso à informação, à proteção de dados pessoais e à
proteção da privacidade;
V - observância da publicidade e da transparência como preceitos gerais e do
sigilo como exceção;
VI - responsabilidade do usuário de informação pelos atos que comprometam a
segurança dos ativos de informação;
VII - alinhamento estratégico da Política de Segurança da Informação com o
planejamento estratégico da Sudeco; e
VIII - educação e comunicação como alicerces fundamentais para o fomento da
cultura e segurança da informação.
Art. 6º As ações de segurança da informação e privacidade devem:
I - considerar, prioritariamente, os objetivos estratégicos, os planos
institucionais, a estrutura e a finalidade da Sudeco;
II - ser tratadas de forma integrada, respeitando as especificidades e a
autonomia das unidades do órgão;
III - ser adotadas proporcionalmente aos riscos existentes e à magnitude dos
danos potenciais, considerados o ambiente, o valor e a criticidade da informação; e
IV - visar à prevenção da ocorrência de incidentes.
Art. 7º O investimento necessário em medidas de segurança da informação e
privacidade deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo
com o risco de potenciais prejuízos à Sudeco.
Art. 8º Toda e qualquer informação gerada, custodiada, manipulada, utilizada
ou armazenada na Sudeco compõe o seu rol de ativos de informação e deve ser protegida
conforme normas em vigor.
Parágrafo único. As informações que tramitem pelos ambientes computacionais
da Sudeco poderão ser objeto de monitoramento, registro e auditoria para fins de
segurança da informação, continuidade, conformidade e apuração de incidentes, observada
a legislação aplicável e o disposto em normas internas específicas.
Art. 9º Pessoas e sistemas devem ter o menor privilégio e o mínimo acesso aos
recursos necessários para realizar uma dada tarefa.
Parágrafo único. Constitui condição para acesso aos recursos de tecnologia da
informação da Sudeco a assinatura, preferencialmente eletrônica, de termo de
responsabilidade que registre a ciência desta Política e das normas complementares
aplicáveis, bem como dos deveres e compromissos decorrentes do acesso concedido, sem
prejuízo das consequências previstas na legislação e nos instrumentos jurídicos
pertinentes.
Art. 10. A Política de Segurança da Informação e suas atualizações, bem como
normas específicas de segurança da informação da Sudeco, devem ser divulgadas
amplamente a todos os Usuários de Informação, a fim de promover sua observância, seu
conhecimento, bem como a formação da cultura de segurança da informação.
§ 1º Os Usuários de Informação devem ser continuamente capacitados nos
procedimentos de segurança e no uso correto dos ativos de informação quando da
realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da
informação.
§ 2º As ações de capacitação previstas no § 1º devem ser conduzidas de modo
a possibilitar o compartilhamento de materiais educacionais sobre segurança da
informação.
CAPÍTULO III
Da Estrutura de Gestão de Segurança da Informação
Art. 11. A estrutura de Gestão de Segurança da Informação é composta por:
I - Alta Administração, representada pelos integrantes da Diretoria Colegiada;
II - Comitê de Segurança da Informação e Privacidade - CSIP;
III - Comitê de Governança Digital - CGD;
IV - Gestor de Segurança da Informação;
V - Coordenador de Tecnologia da Informação e Comunicação - CTIC;
VI - Encarregado pelo Tratamento de Dados Pessoais;
VII - Auditor-Geral;
VIII - Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos -
ETIR; e
IX - Usuários de Informação.
Art. 12. Compete à Alta Administração, representada pelos integrantes da
Diretoria Colegiada:
I - gerir os riscos no âmbito organizacional e fornecer os recursos necessários
para assegurar o desenvolvimento e a implementação da Gestão de Segurança da
Informação da Sudeco, bem como com o tratamento das ações e decisões de segurança da
informação em um nível de relevância e prioridade adequados; e
II - formalizar e aprovar a Política de Segurança da Informação do órgão, bem
como suas alterações e atualizações.
Art. 13. Compete ao Comitê de Segurança da Informação e Privacidade -
CSIP:
I - assessorar na implementação das ações, medidas e controles de segurança
da informação e privacidade;
II - constituir grupos de trabalho para tratar de temas e propor soluções
específicas sobre segurança da informação e privacidade;
III - participar da elaboração da Política de Segurança da Informação e das
normas internas de segurança da informação e privacidade, bem como propor
alterações;
IV - avaliar as ações propostas pelo Gestor de Segurança da Informação, pelo
Encarregado pelo Tratamento de Dados Pessoais e pelos demais integrantes do Comitê; e
V - apoiar e monitorar o diagnóstico, análise de lacunas, planejamento e
implementação do Programa de Privacidade e Segurança da Informação (PPSI).
Parágrafo único. A composição, estrutura, recursos e funcionamento do Comitê
de Segurança da Informação e Privacidade - CSIP - serão definidos em Resolução emitida
pela Diretoria Colegiada.
Art. 14. Compete ao Comitê de Governança Digital - CGD:
I - Deliberar sobre as diretrizes de privacidade e segurança da informação.
Parágrafo único. A composição, estrutura, recursos e funcionamento do Comitê
de Governança Digital - CGD - serão definidos em Resolução emitida pela Diretoria
Colegiada.
Art. 15. Compete ao Gestor de Segurança da Informação:
I - conduzir o diagnóstico, análise de lacunas e planejamento das medidas de
segurança da informação, e apoiar a sua implementação;
II - coordenar a elaboração da Política de Segurança da Informação - PSI e das
normas internas de segurança da informação;
III - assessorar a Alta Administração na implementação da Política de Segurança
da Informação;
IV - estimular ações de capacitação e de profissionalização de recursos
humanos em temas relacionados à segurança da informação;
V - promover a divulgação da política e das normas internas de segurança da
informação do órgão a todos os servidores, usuários e prestadores de serviços que
trabalham no órgão;
VI - incentivar estudos de novas tecnologias, e seus eventuais impactos
relacionados à segurança da informação;
VII - propor recursos necessários às ações de segurança da informação;
VIII - acompanhar e integrar os trabalhos da Equipe de Prevenção, Tratamento
e Resposta a Incidentes Cibernéticos - ETIR;
IX - contribuir com a instrução de respostas e acompanhar os resultados dos
trabalhos de auditorias sobre a gestão da segurança da informação;
X - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da segurança da informação; e
XI - manter contato direto com o Gabinete de Segurança Institucional da
Presidência da República em assuntos relativos à segurança da informação.
Parágrafo único. O Gestor de Segurança da Informação da Sudeco será
designado por Portaria da autoridade máxima da Sudeco.
Art. 16. Compete à Coordenação de Tecnologia da Informação e Comunicação,
dentre outras atribuições dispostas na legislação vigente, em especial ao disposto na
Portaria SGD/ME nº 778, de 4 de abril de 2019, planejar, implementar e melhorar
continuamente os controles de privacidade e segurança da informação em soluções de
tecnologia da informação e comunicações, considerando a cadeia de suprimentos
relacionada à solução.
Art. 17. Compete ao Encarregado pelo Tratamento dos Dados Pessoais:
I - conduzir o diagnóstico, análise de lacunas e planejamento das medidas de
privacidade, e apoiar a sua implementação;
II - orientar os agentes de tratamento no planejamento, implementação e
monitoramento das medidas de privacidade;
III - assessorar a Alta Administração na implementação da Política de Proteção
de Dados Pessoais;
IV - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da privacidade;
V - apoiar, no âmbito de suas atribuições, a instrução e o encaminhamento das
comunicações de incidentes de segurança com dados pessoais à Autoridade Nacional de
Proteção de Dados e aos titulares, quando cabíveis, nos termos da LGPD e da
regulamentação aplicável.
Parágrafo único. O Encarregado pelo Tratamento dos Dados Pessoais da Sudeco
será designado por Portaria da autoridade máxima da Sudeco.
Art. 18. Compete à Auditoria Interna, observadas as atribuições previstas na
legislação vigente, avaliar, de forma independente e objetiva, a adequação e a eficácia dos
controles, da governança e da gestão de riscos relacionados à segurança da informação e
à privacidade.
Art. 19. Compete à Equipe de Prevenção, Tratamento e Respostas a Incidentes
Cibernéticos - ETIR:
I - facilitar, coordenar e executar as atividades de prevenção, tratamento e
resposta a incidentes cibernéticos na Sudeco;
II - monitorar as redes computacionais;
III - detectar e analisar ataques e intrusões;
IV - tratar incidentes de segurança da informação;
V - identificar vulnerabilidades e artefatos maliciosos;
VI - recuperar sistemas de informação;
VII - promover a cooperação com outras equipes, e participar de fóruns e redes
relativas à segurança da informação;
VIII - receber comunicações de incidentes de segurança por meio de e-mail
([email protected]), entre outros canais preferencialmente formais;
IX - prestar serviços previstos em sua norma de formação e implementar o
Plano de Gestão de Incidentes Cibernéticos para a administração pública federal,
estabelecido na Portaria GSI/PR nº 120, de 21 de dezembro de 2022;
X - notificar incidentes cibernéticos ao Centro de Segurança Cibernética
Integrado do Governo Digital do Brasil - CISC Gov.br, por meio do e-mail
[email protected]; e
XI - notificar incidentes cibernéticos de maior impacto ao Centro de Prevenção,
Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov, por meio do e-
mail [email protected].
Parágrafo único. A composição, estrutura, recursos e funcionamento da Equipe
de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos serão definidos em
Resolução emitida pela Diretoria Colegiada.
Art. 20. Compete aos Usuários de Informação conhecer e cumprir esta Política
e as demais normas específicas de segurança da informação e privacidade da Sudeco, bem
como comunicar situações de risco, incidentes ou desconformidades de que tenham
conhecimento.
Parágrafo único. Todos os Usuários de Informação são responsáveis pela
segurança dos ativos de informação que estejam sob a sua responsabilidade.
CAPÍTULO IV
Dos Processos e Normatizações
Art. 21. A Gestão da Segurança da Informação é constituída, no mínimo, pelos
seguintes processos:
I - tratamento da informação;
II - segurança física e do ambiente;
III - gestão de incidentes em segurança da informação;
IV - gestão de ativos, inclusive o seu mapeamento;
V - gestão do uso dos recursos operacionais e de comunicações, tais como e-
mail, acesso à internet, mídias sociais e computação em nuvem;
VI - controles de acesso;
VII - gestão de riscos;
VIII - gestão de continuidade e negócios;
IX - auditoria e conformidade; e
X - gestão de mudanças.
§ 1º O Comitê de Segurança da Informação e Privacidade - CSIP - poderá definir
outros processos de Gestão de Segurança da Informação, desde que alinhados aos
princípios e às diretrizes desta Política e destinados à implementação de ações de
segurança da informação.
§ 2º Para cada um dos processos que constituem a Gestão de Segurança da
Informação, deve ser observada a pertinência de elaboração de políticas, normas,
procedimentos, orientações ou manuais que disciplinem ou facilitem o seu entendimento
em conformidade com a legislação vigente e boas práticas de segurança de informação.
Art. 22. As políticas, normas, procedimentos, orientações e manuais
complementares poderão disciplinar, conforme a pertinência temática e o grau de risco,
aspectos relacionados a:
I - a conformidade com as diretrizes dispostas na LGPD e demais normativos e
orientações emitidas pela ANPD;
II - a classificação da informação de acordo com seu nível de confidencialidade
e criticidade, entre outros fatores, com vistas a determinar os controles de segurança
adequados;
III - a proteção dos dados contra acessos não autorizados e de situações
acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de
tratamento inadequado ou ilícito;
IV - aos critérios e procedimentos para a comunicação de incidentes de
segurança com dados pessoais à ANPD e aos titulares, quando cabível, nos termos da LGPD
e da regulamentação da ANPD;
V - a Política de Gestão de Ativos da organização, abordando aspectos
relacionados à proteção dos ativos, sua classificação de acordo com a criticidade do ativo
para o a organização; a entrada e saída de ativos de informação das instalações da
organização; aos perímetros físicos de segurança da organização; a manutenção de
inventario atualizado de ativos da organização, contendo o tipo de ativo, sua localização,
seu proprietário ou custodiante e seu status de segurança; uso aceitável de ativos, vedado
o uso para fins particulares de seu responsável; ao uso aceitável da informação e a
utilização de mídias de armazenamento; o mapeamento de vulnerabilidades, ameaças e
suas respectivas interdependências; o monitoramento de ativos, de acordo com os
princípios legais de Segurança da Informação e privacidade; a investigação de sua operação
e uso quando houver indícios de quebra de segurança e/ou privacidade;
VI - a utilização adequada dos recursos operacionais e de comunicações
fornecidos pela Sudeco, a serem utilizados para fins profissionais, relacionados às
atividades da Autarquia, em conformidade com os princípios éticos e profissionais do
órgão, evitando comportamentos antiéticos, discriminatórios, ofensivos ou que possam
comprometer a reputação da Sudeco;
VII - aos procedimentos para o uso de e-mail, o envio de informações
confidenciais, a instalação de software antivírus e a abertura de anexos de e-mail;
VIII - o acesso à internet, o download de arquivos da internet, vedado o uso de
sites inadequados e a instalação de software não autorizado;
IX - o uso de mídias sociais, a divulgação de informações nas mídias sociais, o
uso de contas pessoais para fins profissionais e a interação com estranhos nas mídias
sociais;
X - as políticas e procedimentos para o uso da computação em nuvem, a
seleção de provedores de serviços em nuvem, a segurança dos dados na nuvem e a
conformidade com as leis e regulamentos aplicáveis;
XI - a Política de Controle de Acesso, abordando inclusive: modelo de termo de
uso; definição de responsabilidades de atores específicos; forma de inventário de contas;
processos de entrada e saída de usuários; descrição de rotinas periódicas; prazos; definição
de perfis padrão; autorização baseada no menor privilégio; segregação de funções; efeitos
de férias e afastamentos; requisitos de senhas, bem como mecanismos como autenticação
multifator (MFA); controle de logs, rastreamento e trilhas de auditoria; formalidades e
documentações exigidas;
XII - as políticas e procedimentos para a Gestão dos Riscos de segurança da
informação que possam afetar seus ativos de informação, abordando a análise do
ambiente da Sudeco, dos seus ativos de informação e das ameaças à segurança da
informação; a adoção de uma metodologia estruturada para identificar riscos, a
documentação dos riscos identificados, incluindo sua descrição, origem, impacto potencial
e probabilidade de ocorrência; a avaliação de riscos, de forma a determinar o risco a se
concretizar e o impacto potencial nos ativos de informação, bem como quais riscos devem
ser priorizados para tratamento; o tratamento dos riscos identificados e avaliados, o que
pode incluir a mitigação de riscos, por meio da implementação de controles de segurança,
ou a aceitação de riscos;
XIII - as políticas e procedimentos para Gestão de Continuidade de Negócios e
de Incidentes de Segurança, incluindo o Plano de Continuidade, ou norma que o
contemple, de forma a considerar diferentes cenários de incidentes e garantir o
funcionamento do órgão, com realização de testes e exercícios periódicos para garantir a
sua eficácia, além de prever etapas de identificação, contenção, erradicação e recuperação
de atividades pós incidente; e
XIV - as políticas e procedimentos para a Gestão de Mudanças nos ativos de
informação da organização, respaldado pelas informações dos relatórios de avaliação e
tratamento de risco de segurança da informação, com a designação de papéis e
responsabilidades para a avaliação, aprovação e implementação de mudanças e a criação
de um processo formal para solicitação e documentação de mudanças.
§ 1º As unidades organizacionais da Sudeco devem realizar periodicamente
auditorias internas de sua segurança da informação para assegurar que ela esteja em
conformidade com esta Política e com outros requisitos de segurança da informação
aplicáveis.
§ 2º As atividades, produtos e serviços desenvolvidos na Sudeco devem estar
em conformidade com requisitos de privacidade e proteção de dados pessoais constantes
de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes.
CAPÍTULO V
Das Vedações e Disposições Finais
Art. 23. É vedada a utilização dos recursos de tecnologia da informação
disponibilizados pela Sudeco para acesso, armazenamento, produção ou divulgação de
conteúdo incompatível com o ambiente de trabalho, ilícito, ofensivo, discriminatório ou em
desconformidade com a legislação vigente, inclusive a relativa a direitos autorais.
Art. 24. São vedados o uso e a instalação de recursos de tecnologia da
informação que não tenham sido homologados ou adquiridos pela Sudeco.
Art. 25. É vedada a divulgação a terceiros de mecanismos de identificação,
autenticação e autorização baseados em conta e senha ou certificação digital, de uso
pessoal e intransferível, que são fornecidos aos usuários.
Art. 26. É vedada a exploração de eventuais vulnerabilidades, as quais devem
ser comunicadas às instâncias superiores assim que identificadas.
Art. 27. As unidades organizacionais da Sudeco devem promover ações de
treinamento e conscientização para que os seus colaboradores entendam suas
responsabilidades e procedimentos voltados à segurança da informação e à proteção de
dados.
Parágrafo único. A conscientização, a capacitação e a sensibilização em
segurança da informação devem ser adequadas aos papéis e responsabilidades dos
colaboradores.
Art. 28. As comunicações de suspeita ou ocorrência de violação a esta Política
poderão ser encaminhadas ao Gestor de Segurança da Informação, inclusive pelos mesmos
canais institucionais utilizados para o reporte de incidentes à ETIR, sem prejuízo de outros
canais formais disponibilizados pela Sudeco.
Art. 29. O cumprimento desta Política, bem como dos normativos que a
complementam devem ser avaliados pela Sudeco periodicamente por meio de verificações
de conformidade, por meio de verificações periódicas de conformidade, com vistas a aferir
a observância dos requisitos de segurança da informação e a presença, quando cabível, de
cláusulas de responsabilidade, confidencialidade e sigilo em termos de responsabilidade,
contratos, convênios, acordos e instrumentos congêneres.
Art. 30. A não observância do disposto nesta Política, bem como em seus
instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções
administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e
civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa.
Art. 31. Os casos omissos e as dúvidas sobre a Política de Segurança da
Informação e seus documentos devem ser submetidos ao Comitê de Segurança da
Informação e Privacidade - CSIP.
Parágrafo único. Esta Política será revisada periodicamente, pelo menos a cada
quatro anos, ou com mais frequência se necessário, para refletir as mudanças no ambiente
da Sudeco, nos riscos à segurança da informação e nas melhores práticas de segurança da
informação.
Art. 32. Esta Resolução entra em vigor na data da sua publicação.
LUCIANA DE SOUSA BARROS