PORTARIA GM/MPI Nº 215, DE 19 DE AGOSTO DE 2026

PORTARIA GM/MPI Nº 215, DE 19 DE AGOSTO DE 2026
Aprova a Política de Segurança da Informação do
Ministério dos Povos Indígenas - POSI/MPI.
O MINISTRO DE ESTADO DOS POVOS INDÍGENAS, no uso das atribuições que
lhe conferem os incisos I e IV do parágrafo único do art. 87 da Constituição Federal,
tendo em vista o disposto no art. 3º do Decreto nº 11.355, de 1º de janeiro de 2023,
e na Portaria GM/MPI nº 37, de 9 de fevereiro de 2024, e considerando o que consta
nos autos do Processo nº 15000.001186/2025-58, resolve:
Art. 1º Instituir a Política de Segurança da Informação, no âmbito do
Ministério dos Povos Indígenas - POSI/MPI, com a finalidade de estabelecer princípios e
diretrizes para a implementação de ações e controles que garantam a segurança das
informações e de dados pessoais, e no que couber, no relacionamento com outros
órgãos públicos ou entidades privadas.
§ 1º Esta Política de Segurança da Informação tem como objetivo estabelecer
os princípios, diretrizes, responsabilidades e práticas para a proteção das informações do
Ministério dos Povos Indígenas, visando garantir a confidencialidade, integridade,
autenticidade e disponibilidade das informações, assegurando o seu uso adequado e a
mitigação de riscos à segurança da informação, bem como o cumprimento da Lei Geral
de Proteção de Dados Pessoais (LGPD) e de outras normas vigentes.
§ 2º Esta Política de Segurança da Informação observa as diretrizes do
ColaboraGov, tendo em vista o Art. 4º, II, f, do Decreto 11.837, de 21 de dezembro de
2023, que dispõe sobre a participação do Ministério dos Povos Indígenas como órgão
integrante e solicitante do Centro de Serviços Compartilhados - ColaboraGov.
§ 3º Todos os instrumentos normativos gerados a partir da Política de
Segurança da Informação do Ministério dos Povos Indígenas são partes integrantes desta
Política e devem obedecer aos princípios e diretrizes nela estabelecidos.
§ 4º Esta Política se aplica a todos os ativos de informação do MPI, incluindo
dados, sistemas, aplicativos, dispositivos e redes.
§ 5º A Política se aplica a todos os colaboradores, funcionários, contratados,
parceiros e terceiros que acessam ou processam as informações do MPI.
§ 6º Esta política se aplica em todas as instalações físicas administradas ou
utilizadas pelo MPI.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º São objetivos da POSI-MPI :
I - estabelecer princípios e diretrizes a fim de proteger ativos de informação
e conhecimentos gerados, recebidos ou sob custódia do MPI;
II - estabelecer orientações gerais de segurança da informação e, desta forma,
contribuir para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis, bem como
preservar os princípios da disponibilidade, integridade, confidencialidade, irretratabilidade
e autenticidade das informações;
III - estabelecer competências e responsabilidades quanto à segurança da
informação;
IV- nortear a elaboração das normas necessárias à efetiva implementação da
segurança da informação;
V - promover o alinhamento estratégico da Política de Segurança da
Informação com o planejamento estratégico do MPI;
VI - promover o alinhamento com demais normas específicas de segurança da
informação da Administração Pública Federal;
Art. 3º. Para os efeitos desta Portaria e de suas regulamentações, aplicam-se
os termos do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº
93, de 18 de outubro de 2021.
CAPÍTULO II
DOS PRINCÍPIOS E DIRETRIZES
Art. 4º As ações de segurança da informação do MPI são norteadas pelos
princípios constitucionais e administrativos que norteiam a Administração Pública Federal,
bem como pelos seguintes princípios da POSI-MPI:
I - disponibilidade, integridade, confidencialidade e autenticidade das
informações;
II - continuidade dos processos e serviços essenciais para o funcionamento do
MPI;
III - economicidade da proteção dos ativos de informação;
IV - respeito ao acesso à informação, à proteção de dados pessoais e à
proteção da privacidade;
V - observância da publicidade como preceito geral e do sigilo como
exceção;
VI - responsabilidade do usuário de informação pelos atos que comprometam
a segurança dos ativos de informação;
VII - responsabilidade dos colaboradores, constituída no dever de conhecer e
respeitar esta Política de Segurança da Informação e demais normas específicas de
segurança da informação do MPI;
VIII - educação e comunicação como alicerces fundamentais para a
consolidação e o fomento da cultura em segurança da informação;
IX - conformidade das normas e das ações de segurança da informação com
a legislação e regulamentos aplicáveis;
X - alinhamento estratégico da Política de Segurança da Informação com o
planejamento estratégico do MPI, assim como demais normas específicas de segurança
da informação da Administração Pública Federal;
Art. 5º Estas diretrizes constituem os principais pilares da gestão de
segurança da informação norteando a elaboração de políticas, planos e normas
complementares no âmbito deste MPI, e objetivam a garantia dos princípios básicos de
segurança da informação estabelecidos nesta Política.
Art. 6º. As ações de segurança da informação devem:
I - considerar, prioritariamente, os objetivos estratégicos, os planos
institucionais, a estrutura e a finalidade do MPI;
II - ser tratadas de forma integrada, considerando as especificidades e
autonomia das unidades do MPI;
III - ser adotadas proporcionalmente aos riscos existentes e à magnitude dos
danos potenciais, considerados o ambiente, o valor e a criticidade da informação;
IV - visar à prevenção da ocorrência de incidentes;
V - visar à conformidade das normas e das ações de segurança da informação
com a legislação e regulamentos aplicáveis.
Art. 7º O investimento necessário em medidas de segurança da informação
deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo com o risco
de potenciais prejuízos para o MPI.
Art. 8º Toda e qualquer informação gerada, custodiada, manipulada, utilizada
ou armazenada no Ministério dos Povos Indígenas compõe o seu ativo da informação e
deve ser protegida conforme normas em vigor estabelecidas no âmbito do MPI, e no que
couber, conforme demais normas específicas de segurança da informação da
Administração Pública Federal.
Parágrafo único: As informações citadas no caput, que tramitem pelo
ambiente computacional do MPI, são passíveis de monitoramento e auditoria pelo MPI,
respeitados os limites legais.
Art. 9º Pessoas e sistemas devem ter o menor privilégio e o mínimo acesso
aos recursos necessários para realizar uma determinada tarefa.
Parágrafo único: É condição para acesso aos recursos de Tecnologia da
Informação do MPI o registro da solicitação por meio de sistema de abertura de
chamados utilizado no MPI, podendo o pedido ser objeto de análise por agente
componente do Sistema de Gestão de Segurança da Informação do MPI.
Art. 10º. Esta Política de Segurança da Informação e suas atualizações, bem
como normas específicas de segurança da informação do Ministério dos Povos Indígenas,
deverão ser divulgadas amplamente a todos os colaboradores, a fim de promover sua
observância, seu conhecimento, bem como a formação da cultura de segurança da
informação.
§ 1º Os Usuários de Informação devem ser continuamente capacitados nos
procedimentos de segurança e no uso correto dos ativos de informação quando da
realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da
informação.
§ 2º As ações de capacitação previstas no parágrafo anterior deverão ser
conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre
segurança da informação.
Art. 11º. Os editais de licitação e contratos de solução de tecnologia da
informação firmados pelo Ministério dos Povos Indígenas deverão conter cláusula
específica sobre:
I - a obrigatoriedade de atendimento à POSI-MPI;
II - a exigência de termo de responsabilidade e termo de
confidencialidade.
CAPÍTULO III
DA GESTÃO DA SEGURANÇA DA INFORMAÇÃO
Art. 12º. A estrutura de Gestão de Segurança da Informação é composta
por:
I. Alta Administração;
II. Subcomitê de Segurança da Informação;
III. Gestor de Segurança da Informação;
IV. Gestor de Tecnologia da Informação e Comunicação;
V. Encarregado pelo Tratamento de Dados Pessoais;
VI. Responsável pela Unidade de Controle Interno;
VII. Equipe de Prevenção, Tratamento e Respostas a Incidentes
Cibernéticos;
VIII. Usuários de Informação.
Art. 13º. A Gestão de Segurança da Informação compreende, no mínimo, os
seguintes processos:
I - Tratamento da Informação;
II - Tratamento de Incidentes de Rede;
III - Gestão de Risco;
IV - Gestão de Continuidade;
V - Controles de Acesso;
VI - Gestão do Uso dos Recursos Operacionais e de Comunicações, como: e-
mail, acesso à internet, mídias sociais, computação em nuvem, dentre outros;
VII - Gestão de Ativos de Informação;
VIII - Segurança Física e do Ambiente;
IX - Segurança em Recursos Humanos.
Art. 14º. É responsabilidade de todos os gestores do MPI o conhecimento e
a disseminação desta Política e demais normas específicas de segurança da informação
do MPI aos colaboradores que estão sob a sua gestão.
Art. 15º. Todos os colaboradores são responsáveis pela segurança dos ativos
de informação que estejam sob a sua responsabilidade.
Art. 16º. É vedada a exploração de eventuais vulnerabilidades, as quais devem
ser comunicadas imediatamente às instâncias superiores, assim que identificadas.
CAPÍTULO IV
DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO
Art. 17º. A estrutura da Gestão de Segurança da Informação do Ministério
dos Povos Indígenas será definida em norma específica.
§ 1º A estrutura prevista no caput deverá, minimamente, contemplar em sua
composição:
I - o Gestor de Segurança da Informação do MPI;
II - a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos
- ETIR;
III - o Subcomitê de Segurança da Informação ou estrutura equivalente.
§ 2º A Política de Segurança da Informação integra o arcabouço legal do
Sistema de Gestão de Segurança da Informação do Ministério dos Povos Indígenas.
§ 3º A estrutura do Sistema de Gestão de Segurança da Informação do
Ministério dos Povos Indígenas deverá estar em conformidade com as ações de
segurança da informação previstas no PPSI e no ColaboraGov.
Art. 18º. Compete à Alta Administração:
I. fornecer os recursos necessários para assegurar o desenvolvimento e a
implementação da Gestão de Segurança da Informação do MPI, bem como com o
tratamento das ações e decisões de segurança da informação em um nível de relevância
e prioridade adequados;
II. formalizar e aprovar a Política de Segurança da Informação do MPI, bem
como suas alterações e atualizações.
Art. 19º. Compete ao Gestor de Segurança da Informação:
I - coordenar as iniciativas de segurança da informação no âmbito do MPI,
garantindo o cumprimento das normas internas e da legislação vigente;
II - estimular iniciativas de capacitação em temas relacionados à segurança da
informação e promover ações de conscientização sobre boas práticas aos agentes
públicos;
III - divulgar as normas internas de segurança da informação a todos os
agentes públicos;
IV - realizar avaliações de riscos e análise dos impactos antes da adoção de
tecnologias emergentes no contexto do MPI;
V - planejar e propor os recursos orçamentários necessários à implementação,
atualização e manutenção de iniciativas de segurança da informação;
VI - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos;
VII - atuar como segunda linha de defesa no âmbito do Sistema de Controle
Interno;
VIII - realizar avaliações de conformidade em relação à implementação de
requisitos estabelecidos na Política Nacional de Segurança da Informação (PNSI), nas
normas inferiores e na legislação aplicável à segurança da informação, e apoiar auditorias
internas e externas;
IX - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da segurança da informação;
X - cooperar com o Encarregado pelo Tratamento de Dados Pessoais nas
ações relativas à segurança da informação quando envolver dados pessoais;
XI - elaborar e revisar o planejamento tático de segurança da informação, e
acompanhar sua implementação;
XII - participar de fóruns especializados para obtenção de experiências e
ampliação de capacidades, tanto no setor público quanto no setor privado;
XIII - avaliar a capacidade operacional do MPI, a fim de:
a) subsidiar as decisões dos gestores superiores sobre ações de segurança da
informação;
b) emitir parecer técnico ou recomendação sobre a conveniência de integrar
ou desligar-se de arranjos colaborativos de segurança da informação.
Art. 20º. À Equipe de Prevenção, Tratamento e Respostas a Incidentes
Cibernéticos compete:
I - facilitar, coordenar e executar as atividades de prevenção, tratamento e
resposta a incidentes cibernéticos no MPI;
II - monitorar as redes computacionais;
III - detectar e analisar ataques e intrusões;
IV - tratar incidentes de segurança da informação;
V - identificar vulnerabilidades e artefatos maliciosos;
VI - recuperar sistemas de informação;
VII - promover a cooperação com outras equipes, bem como participar de
fóruns e redes relativas à segurança da informação;
VIII - apoiar a condução de políticas de segurança cibernética e da
informação;
IX - realizar ações voltadas para o fortalecimento da resiliência cibernética do
MPI;
X - comunicar ao Centro de Prevenção, Tratamento e Resposta a Incidentes
Cibernéticos de Governo - CTIR Gov a ocorrência de incidentes cibernéticos com a maior
brevidade possível;
XI - manter registro histórico de incidentes cibernéticos e vulnerabilidades
que permitam a geração de dados estatísticos.
Art. 21º. Ao Subcomitê de Segurança da Informação compete:
I - assessorar a implementação das ações de segurança da informação;
II - constituir grupos de trabalho para tratar de temas e propor soluções
específicas sobre segurança da informação;
III - participar da elaboração da Política de Segurança da Informação e das
normas internas de segurança da informação;
IV - propor alterações à Política de Segurança da Informação e às normas
internas de segurança da informação;
V - deliberar sobre as ações propostas pelo gestor de segurança da
informação no parecer técnico sobre o relatório de avaliação de conformidade e
encaminhar à alta administração para aprovação o processo contendo os documentos
sobre a avaliação de conformidade.
CAPÍTULO V
DAS VEDAÇÕES E DISPOSIÇÕES FINAIS
Art. 22º. É vedada a utilização dos recursos de tecnologia da informação
disponibilizados pelo MPI para acesso, guarda e divulgação de material incompatível com
ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente.
Art. 23º. São vedados o uso e a instalação de recursos de tecnologia da
informação que não tenham sido homologados ou adquiridos pelo MPI.
Art. 24º. É vedada a divulgação a terceiros de mecanismos de identificação,
autenticação e autorização baseados em conta e senha ou certificação digital, de uso
pessoal e intransferível, que são fornecidos aos usuários.
Art. 25º. É vedada a exploração de eventuais vulnerabilidades, as quais devem
ser comunicadas às instâncias superiores assim que identificadas.
Art. 26º. As unidades organizacionais do MPI devem promover ações de
treinamento e conscientização para que os seus colaboradores entendam suas
responsabilidades e procedimentos voltados à segurança da informação e à proteção de
dados.
Parágrafo único. A conscientização, a capacitação e a sensibilização em
segurança da informação devem ser adequadas aos papéis e responsabilidades dos
colaboradores.
Art. 27º. As denúncias de violação a esta Política podem ser comunicadas ao
Gestor de Segurança da Informação e feitas através do seguinte canal:
I. [email protected].
Art. 28º. O cumprimento desta Política, bem como dos normativos que a
complementam devem ser avaliados pelo MPI periodicamente por meio de verificações
de conformidade, buscando a certificação do cumprimento dos requisitos de segurança
da informação e da garantia de cláusula de responsabilidade e sigilo constantes de
termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres.
Art. 29º. A Política de Segurança da Informação do Ministério dos Povos
Indígenas deverá ser revisada periodicamente, pelo menos a cada 3 (três) anos, ou, a
qualquer tempo, em função de alterações na legislação pertinente, de diretrizes políticas
do Governo Federal, de alterações nos normativos do MPI, ou ainda, quando considerada
necessária pelo Subcomitê de Governança Digital e Segurança da Informação.
Art. 30º. Os órgãos integrantes do Sistema de Gestão de Segurança da
Informação do MPI poderão propor instruções complementares, no âmbito de suas
competências, que detalharão suas particularidades e procedimentos relativos à
segurança da informação alinhados às diretrizes emanadas pelo Subcomitê de
Governança Digital e Segurança da Informação, pelo ColaboraGov e aos respectivos
Planos Estratégicos Institucionais.
Art. 31º. A não observância do disposto nesta Política, bem como em seus
instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções
administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal
e civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa.
Art. 32º. As dúvidas sobre esta Política de Segurança da Informação, seus
documentos e os casos omissos devem ser submetidas ao Subcomitê de Governança
Digital e Segurança da Informação.
Art. 33º. Esta Portaria entra em vigor na data de sua publicação.
ELOY TERENA