PORTARIA GM/MMULHERES Nº 133, DE 22 DE SETEMBRO DE 2026 (parte 2 de 3)

ANEXO I
ESTRATÉGIA DE USO DE SOFTWARE E DE SERVIÇOS DE COMPUTAÇÃO EM NUVEM
DO MINISTÉRIO DAS MULHERES
CAPÍTULO I
DAS DIRETRIZES GERAIS
Art. 1º A Coordenação de Tecnologia da Informação será responsável por
analisar, avaliar e autorizar os softwares e serviços de computação em nuvem destinados
ao uso corporativo, considerando os aspectos de conformidade técnica, aderência à
política de segurança da informação e privacidade e atendimento às necessidades de
negócio.
Parágrafo único. Nenhum software ou serviços de computação em nuvem
poderá ser contratado, implantado ou utilizado de forma institucional sem a prévia
avaliação da Coordenação de Tecnologia da Informação, de modo a garantir padronização,
interoperabilidade, governança no uso das soluções tecnológicas e o alinhamento às
estratégias de transformação digital do órgão.
Art. 2º Nas contratações de softwares e serviços de computação em nuvem, a
área demandante e a Coordenação de Tecnologia da Informação deverão identificar e
avaliar as necessidades de negócios, a fim de determinar os sistemas, aplicações, dados e
serviços a serem contratados, bem como a forma de acesso e os recursos computacionais
e de armazenamento necessários.
Parágrafo único. Deverão ser adotados mecanismos de análise e mitigação do
risco de dependência tecnológica em relação a fornecedores específicos (lock-in),
priorizando as soluções que assegurem portabilidade de dados, interoperabilidade entre
sistemas, uso de padrões abertos e possibilidade de substituição tecnológica futura, de
forma a preservar a autonomia institucional e a sustentabilidade das soluções adotadas.
Art. 3º A organização deverá manter, atualizado e periodicamente revisado, o
inventário de softwares e serviços de computação em nuvem utilizados pelo Ministério das
Mulheres, contemplando informações sobre licenciamento, vigência contratual,
responsáveis pela gestão, demandas de manutenção, custos associados e nível de
criticidade.
Parágrafo único. O inventário deverá subsidiar o planejamento estratégico de
tecnologia do Ministério, apoiar a tomada de decisão quanto a investimentos e
contratações, e assegurar maior transparência e governança no uso dos recursos
tecnológicos do órgão.
Art. 4º A Estratégia de Uso de Software e de Serviços de Computação em
Nuvem do Ministério das Mulheres aplica-se a todas as unidades do órgão, bem como a
novos projetos, contratações, renovações e migrações de sistemas e serviços tecnológicos
que envolvam software, infraestrutura ou plataformas em nuvem, abrangendo:
I - software sob licenciamento permanente, cessão temporária ou subscrição
(SaaS);
II - infraestrutura (IaaS) e plataformas (PaaS) como serviço;
III - serviços de suporte técnico, manutenção e operação;
IV - serviços de integração, migração, consultoria ou desenvolvimento em
nuvem; e
V - quaisquer outras soluções tecnológicas que utilizem ambientes de
computação em nuvem ou híbridos.
CAPÍTULO II
DOS OBJETIVOS E COMPETÊNCIAS
Art. 5º A Estratégia de Uso de Software e de Serviços de Computação em
Nuvem do Ministério das Mulheres tem como objetivos:
I - assegurar que a adoção de softwares e serviços de computação em nuvem
esteja alinhada às necessidades institucionais e aos princípios de eficiência, segurança,
economicidade e sustentabilidade;
II - promover a padronização, a interoperabilidade e a governança no uso das
soluções tecnológicas;
III - garantir que todas as contratações e aquisições de software e serviços em
nuvem observem critérios de conformidade técnica, jurídica, regulatória e de segurança da
informação;
IV - melhorar o desempenho e a disponibilidade dos serviços institucionais,
garantindo maior resiliência e capacidade de recuperação diante de incidentes e
desastres;
V - fomentar a modernização tecnológica, com prioridade para soluções que
ofereçam escalabilidade, agilidade e inovação;
VI - reduzir os esforços e custos relacionados à aquisição, implantação e
manutenção de infraestrutura física, priorizando soluções em nuvem quando viáveis;
VII - prevenir riscos de dependência tecnológica de fornecedores, assegurando
a portabilidade de dados e a possibilidade de substituição de soluções;
VIII - diminuir o tempo de adoção de novas tecnologias, favorecendo a
inovação, a produtividade interna e a qualidade dos serviços prestados à sociedade;
IX - estabelecer mecanismos de monitoramento, avaliação de resultados e
melhoria contínua da Estratégia, garantindo transparência e rastreabilidade; e
X - contribuir para a transformação digital do Ministério das Mulheres, em
alinhamento com a Estratégia de Governo Digital, a estratégia de Segurança da
Informação, aos planos estratégico e diretor de Tecnologia da Informação, ao plano de
contratação e ao plano estratégico institucional do órgão.
Art. 6º A governança da Estratégia de Uso de Software e de Serviços de
Computação em Nuvem será exercida de forma integrada, observando as competências
dos seguintes agentes institucionais:
I - Comitê de Governança Digital e Segurança da Informação: responsável por
aprovar esta Estratégia, deliberar sobre projetos prioritários e assegurar o alinhamento às
políticas institucionais e às diretrizes da Secretaria de Governo Digital;
II - Coordenação de Tecnologia da Informação: encarregada de aplicar os
princípios de governança definidos pelo Comitê, analisando e autorizando softwares e
serviços em nuvem, assegurando sua eficiência, segurança e racionalidade de custos;
III - Áreas demandantes de negócio: devem apoiar os processos de
contratação, estimar a demanda por recursos de software e nuvem e propor soluções
aderentes às suas áreas de atuação; e
IV - Gestão de Pessoas e capacitação institucional: responsável por promover
programas de treinamento e aperfeiçoamento contínuo para o uso e gestão segura de
softwares e serviços em nuvem.
CAPÍTULO III
DAS DIRETRIZES ESPECÍFICAS
Seção I
Da Seleção dos Modelos Adequados
Art. 7º Na seleção dos modelos de fornecimento e implementação de
softwares e serviços de computação em nuvem, deverão ser observadas as seguintes
diretrizes:
I - o modelo de fornecimento dos softwares deverá ser compatível com as
disponibilidades orçamentárias do órgão;
II - a natureza e a criticidade das informações deverão ser consideradas na
seleção do modelo de fornecimento do software;
III - o órgão deverá avaliar quais modelos de serviço (IaaS, PaaS, SaaS) e de
implementação (nuvem pública, nuvem privada, nuvem comunitária ou de governo, nuvem
híbrida etc.) melhor se adequam aos requisitos de negócio;
IV - para definir o modelo de implementação a ser adotado, deverão ser
consideradas as características de cada carga de trabalho (workloads) e a respectiva
necessidade de negócio que a originou;
V - sempre que possível, a adoção de soluções em nuvem deverá privilegiar a
modernização das aplicações, evitando a migração direta (lift-and-shift) sem análise prévia
de ganhos de eficiência, e sendo adotada somente em caráter excepcional, quando
demonstrada a inviabilidade técnica ou econômica de alternativas mais eficientes;
VI - quando se tratar de sistemas legados cuja modernização imediata não seja
viável, o órgão deverá avaliar a utilização de nuvem privada como alternativa de transição,
até que a atualização ou reestruturação tecnológica possa ser realizada;
VII - considerar, quando tecnicamente vantajoso, o uso de broker multicloud
para gerenciar, integrar e otimizar múltiplas plataformas de nuvem, favorecendo
interoperabilidade, portabilidade de dados e gestão de custos, com vistas à mitigação de
dependência tecnológica;
VIII - a estratégia deverá considerar preferencialmente modelos híbridos,
combinando nuvem pública e privada, de modo a equilibrar custos, eficiência, segurança
e mitigação de riscos de dependência tecnológica; e
IX - quando houver a previsão de implementação de soluções totalmente em
nuvem, deverá ser inserido no processo de aquisição um plano de recuperação dos
serviços em caso de descontinuidade do instrumento contratual por fatores externos.
Seção II
Da seleção dos Possíveis Fornecedores
Art. 8º Na etapa de planejamento das contratações de software e de serviços
de computação em nuvem, deverão ser observadas as seguintes diretrizes quanto à
seleção dos possíveis fornecedores:
I - ampliar a competitividade e a participação de fornecedores, assegurando os
critérios mínimos de qualidade, desempenho e segurança necessários para atendimento às
necessidades do órgão;
II - observar os princípios de segurança da informação, conformidade legal,
economicidade e transparência, de acordo com as diretrizes da Instrução Normativa
GSI/PR nº 5, de 30 de agosto de 2021, da Portaria SGD/MGI nº 5.950, de 26 de outubro
de 2023, e demais normativos aplicáveis;
III - realizar estudos técnicos preliminares abrangendo o levantamento dos
possíveis fornecedores aptos a atender os requisitos de negócio;
IV - avaliar, nos estudos comparativos, fatores qualitativos e quantitativos,
incluindo segurança, conformidade normativa, disponibilidade, desempenho, suporte
técnico, escalabilidade e custo total de propriedade;
V - priorizar, sempre que possível, fornecedores e integradores que
comprovem conformidade com padrões nacionais e internacionais de segurança e
governança, e demais normas aplicáveis à prestação de serviços em nuvem;
VI - observar integralmente os requisitos de residência, soberania e proteção
de dados institucionais, nos termos do art. 9º desta norma e dos regulamentos federais
aplicáveis;
VII - vedar a contratação de provedores que não assegurem mecanismos
mínimos de governança, rastreabilidade, segregação e portabilidade de dados, conforme
as exigências de segurança da informação aplicáveis à Administração Pública Federal;
VIII - garantir que, nos contratos firmados, constem cláusulas específicas sobre
confidencialidade, localização e eliminação de dados, auditorias de segurança, requisitos
de continuidade do serviço, e proibição expressa de compartilhamento e uso indevido de
informações; e
IX - realizar, quando tecnicamente justificável, provas de conceito, testes de
aderência ou outras formas de avaliação técnica prévia, para aferir o desempenho, a
interoperabilidade e a segurança dos serviços antes da contratação definitiva.
Seção III
Dos requisitos de segurança
Art. 9º Na contratação e utilização de softwares e de serviços de computação
em nuvem, deverão ser observados os requisitos de segurança da informação e de
proteção de dados previstos nos normativos federais aplicáveis, observando-se, no
mínimo, as seguintes diretrizes:
I - observar a legislação aplicável sobre segurança da informação e tratamento
de informações em nuvem, devendo identificar, sob essa perspectiva, quais sistemas,
dados e cargas de trabalho (workloads) podem ser migrados para ambiente de nuvem,
bem como as medidas de gerenciamento de risco necessárias à proteção das informações
sigilosas ou sensíveis tratadas nesses ambientes;
II - considerar o grau de sensibilidade, a criticidade e o sigilo das informações,
bem como o risco associado a cada sistema, aplicação, dado ou carga de trabalho a ser
hospedada em ambiente de nuvem;
III - assegurar que as informações e cargas de trabalho com restrição de acesso
legal ou sigilo previsto em lei sejam tratadas exclusivamente em nuvem de governo ou
nuvem privada, mediante autorização expressa do Comitê de Governança Digital e
Segurança da Informação;
IV - vedar o tratamento em nuvem pública de informações classificadas em
grau de sigilo, bem como de documentos preparatórios que possam originar informações
dessa natureza, nos termos do Decreto nº 7.724, de 16 de maio de 2012, e da Lei nº
12.527, de 18 de novembro de 2011;
V - garantir que os dados tratados em ambiente de nuvem sejam armazenados
e processados em data centers localizados em território nacional, admitindo-se, em
caráter excepcional e mediante justificativa técnica aprovada pela autoridade competente
de segurança da informação, o tratamento fora do país, desde que mantida cópia de
segurança atualizada no Brasil e observadas as políticas e normas federais de segurança da
informação;
VI - prever, nas contratações, controles de segurança e auditoria que incluam,
no mínimo:
a) registro e monitoramento de acessos administrativos e incidentes de
segurança;
b) mecanismos de autenticação multifator e segregação de privilégios;
c) utilização de criptografia para dados em repouso e em trânsito; e
d) manutenção de logs auditáveis, com retenção mínima de doze meses;
VII - exigir dos provedores de serviços em nuvem o cumprimento de padrões
e práticas reconhecidas de segurança e auditoria, aceitos pelo Gabinete de Segurança
Institucional, pela Secretaria de Governo Digital, e pelos órgãos de controle
competentes;
VIII - realizar, antes da migração de sistemas, dados ou serviços para a nuvem,
relatório de impacto à proteção de dados pessoais, quando aplicável, conforme previsto
na Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais),
contemplando os riscos à privacidade e as medidas de mitigação adotadas;
IX - manter planos de contingência e de recuperação de desastres compatíveis
com os requisitos de continuidade definidos na Política de Segurança da Informação e na
Portaria SGD/MGI nº 5.950/2023, assegurando a disponibilidade e integridade dos serviços
críticos hospedados em nuvem;
X - prever cláusulas de apoio técnico e transição assistida, assegurando a
continuidade operacional e a transferência segura de dados e sistemas em caso de
substituição de fornecedor ou encerramento contratual, sendo vedada a transferência de
informações unicamente entre provedores sem o envolvimento do órgão; e
XI - estabelecer plano de reversibilidade que possibilite o retorno dos serviços
à infraestrutura local do Ministério das Mulheres ou a migração para outro ambiente de
nuvem, caso necessário, preservando a integridade, confidencialidade e disponibilidade das
informações.
§ 1º As diretrizes estabelecidas neste artigo deverão ser observadas de forma
integrada à Política de Segurança da Informação e à Política de Proteção de Dados
Pessoais do Ministério das Mulheres, bem como aos planos e normas complementares de
gestão de riscos, continuidade de negócios e governança de tecnologia da informação.
§ 2º A interoperabilidade e a portabilidade de dados entre sistemas e
provedores deverão observar os mesmos princípios de transparência, rastreabilidade e
segurança da informação aplicáveis às demais operações em nuvem, assegurando a
integridade e a confidencialidade dos dados transferidos.
Art. 10. As contratações de softwares e serviços de computação em nuvem
deverão prever contratos de apoio técnico e administrativo para suporte contínuo,
contemplando, no mínimo:
I - atendimento e operação de 2º e 3º níveis, conforme a criticidade dos
serviços;
II - suporte em regime compatível com os níveis de serviço contratados
(incluindo 24x7 quando aplicável);
III - gestão de incidentes, problemas e mudanças, com prazos e métricas
definidos;
IV - atualização, correção e hardening de segurança, com evidências e
relatórios;
V - transferência de conhecimento e formação dos usuários e da equipe
técnica do Ministério;
VI - cooperação em auditorias e fornecimento de evidências de
conformidade;
VII - criação de documentação de apoio e suporte ao uso do software ou
serviço de computação em nuvem contratado; e
VIII - apoio à reversibilidade contratual, incluindo exportação de dados em
formatos abertos, assistência à migração/retorno e plano de transição aprovado pela
equipe técnica do órgão.
Parágrafo único. As obrigações de suporte contínuo e de transição assistida
permanecerão vigentes até a conclusão da reversibilidade contratual, garantida a
integridade, a confidencialidade e a disponibilidade das informações.
Seção IV
Da Infraestrutura de Tecnologia para Utilizar Serviços de Computação em
Nuvem
Art. 11. O uso de softwares e de serviços de computação em nuvem
dependerá da existência de condições mínimas de infraestrutura tecnológica que garantam
conectividade estável, desempenho adequado e segurança compatível com as demandas
institucionais.
Art. 12. No mínimo, as seguintes condições de infraestrutura deverão ser
avaliadas previamente à contratação:
I - a capacidade da infraestrutura de tecnologia da informação e comunicação
do órgão, incluindo rede de dados, conectividade à internet e largura de banda disponível,
de modo a garantir acesso estável e contínuo aos serviços de computação em nuvem;
II - a existência de mecanismos de redundância e contingência nos enlaces de
comunicação e nos serviços de rede, de modo a prevenir interrupções e manter a
disponibilidade dos serviços críticos;
III - a compatibilidade técnica entre os ambientes locais e os serviços de nuvem
contratados, assegurando interoperabilidade, integração segura e desempenho adequado
das aplicações corporativas;
IV - a atualização dos equipamentos e sistemas de rede, firewalls, antivírus e
soluções de endpoint, bem como o cumprimento dos requisitos de segurança definidos
pela Instrução Normativa GSI/PR nº 5, de 2021, e pela Política de Segurança da
Informação do Ministério das Mulheres;
V - os mecanismos de monitoramento contínuo da infraestrutura e do tráfego
de rede, com capacidade de detectar falhas, indisponibilidades e incidentes de segurança
em tempo hábil para sua correção;
VI - a existência de equipe técnica capacitada para operar, gerenciar e fiscalizar
o uso dos serviços de computação em nuvem, com competências em arquitetura de rede,
segurança da informação e gestão contratual;
VII - a conformidade com os requisitos mínimos de autenticação, controle de
acesso e segregação de ambientes, conforme definido na IN GSI/PR nº 5/2021 e nos
normativos internos do órgão; e
VIII - infraestrutura física e lógica apta a suportar integrações híbridas, quando
aplicável, possibilitando a comunicação segura entre os ambientes on-premises e os
ambientes em nuvem.
Art. 13. Deverão ser implementadas soluções de backup e redundância que
garantam a continuidade dos serviços e a integridade das informações tratadas em
ambiente de nuvem, conforme os critérios estabelecidos na política de backup do
Ministério e as recomendações do Gabinete de Segurança Institucional, da Secretaria de
Governo Digital e dos órgãos de controle competentes.
Art. 14. Deverão ser periodicamente avaliados o desempenho e a segurança da
infraestrutura de tecnologia da informação e comunicação, revisando e aprimorando os
controles e as capacidades de rede de acordo com a evolução tecnológica, e as
recomendações da Secretaria de Governo Digital, do Gabinete de Segurança Institucional
e dos órgãos de controle competentes.
Seção V
Dos mecanismos de governança, gestão e controle
Art. 15. A execução desta Estratégia de Uso de Software e de Serviços de
Computação em Nuvem observará integralmente a Política de Governança de Tecnologia
da Informação e Comunicação do Ministério das Mulheres, como instrumento orientador
das práticas de gestão, contratação e uso dos recursos tecnológicos do órgão.
Parágrafo único. As revisões desta Estratégia deverão considerar as
atualizações da Política de Governança de Tecnologia da Informação e Comunicação, da
Estratégia Federal de Governo Digital, da Estratégia Nacional de Segurança Cibernética, dos
normativos expedidos pela Secretaria de Governo Digital e pelo Gabinete de Segurança
Institucional da Presidência da República, e dos normativos legais aplicáveis a esta
estratégia.
Art. 16. Deverão ser implementados mecanismos de gestão e controle que
assegurem a execução eficiente, segura e transparente da Estratégia, contemplando, no
mínimo:
I - o monitoramento do consumo de recursos tecnológicos e dos custos
associados;
II - a verificação da conformidade das contratações com os requisitos técnicos,
legais e de segurança;
III - a avaliação periódica dos níveis de serviço e do desempenho das soluções
contratadas;
IV - a avaliação periódica das dependências tecnológicas e operacionais entre
sistemas, serviços e fornecedores, com vistas à mitigação de riscos de aprisionamento
tecnológico (lock-in) e à preservação da portabilidade e interoperabilidade das soluções;
V - o registro e a rastreabilidade das decisões, indicadores e resultados obtidos; e
VI - a integração dos processos de acompanhamento e prestação de contas aos
instrumentos de governança de tecnologia e às instâncias de controle interno.
Art. 17. Deverão ser realizadas auditorias técnicas e avaliações de
conformidade, de forma periódica, para verificar:
I - a aderência das contratações e serviços aos normativos internos e externos aplicáveis;
II - o cumprimento dos requisitos de segurança, privacidade e proteção de
dados pessoais;
III - a observância dos níveis mínimos de desempenho e continuidade
operacional; e
IV - a efetividade dos controles de gestão de riscos e das medidas corretivas
adotadas.
Parágrafo único. Os resultados das auditorias deverão subsidiar as revisões da
Estratégia e o aperfeiçoamento contínuo dos processos de contratação e gestão de
serviços de computação em nuvem.
Art. 18. Deverá ser estabelecido um processo contínuo de gestão de riscos
associado ao uso de softwares e serviços de computação em nuvem, abrangendo, no
mínimo:
I - a identificação, análise e avaliação de riscos técnicos, contratuais e de
segurança;
II - o estabelecimento de planos de mitigação e contingência;
III - o acompanhamento das ações corretivas implementadas; e
IV - a atualização periódica do mapa de riscos, conforme a evolução
tecnológica e os cenários institucionais.
Art. 19. O monitoramento e a avaliação dos resultados decorrentes da
execução desta Estratégia deverão basear-se em indicadores de desempenho e de
conformidade, que permitam mensurar:
I - o grau de eficiência e economicidade alcançado;
II - o nível de segurança e confiabilidade dos serviços em nuvem;
III - o cumprimento das metas e objetivos estabelecidos; e
IV - a contribuição da Estratégia para a transformação digital e a melhoria dos
serviços prestados pelo Ministério das Mulheres.
§ 1º Os indicadores deverão ser revisados periodicamente, em consonância
com o Plano Diretor de Tecnologia da Informação e Comunicação e com as diretrizes de
governança digital.
§ 2º As informações de desempenho e conformidade deverão ser
documentadas e apresentadas às instâncias de governança competentes, garantindo
transparência e melhoria contínua.
Art. 20. Projetos ou contratos de alta materialidade ou relevância para a
continuidade do serviço público deverão ser previamente aprovados pelo Comitê de
Governança Digital e ficar sob sua supervisão.
Seção VI
Das Considerações sobre Formação e Desenvolvimento
Art. 21. A Coordenação de Tecnologia da Informação deverá identificar e
manter atualizado o mapeamento das capacidades e habilidades necessárias à gestão e
operação de softwares e serviços de computação em nuvem, incluindo conhecimentos
técnicos sobre infraestrutura, segurança da informação, gerenciamento de projetos e
análise de dados.
Art. 22. Deverão ser desenvolvidos e disponibilizados programas contínuos de
formação e desenvolvimento voltados ao uso e à gestão segura de softwares e serviços de
computação em nuvem, abrangendo, no mínimo, os seguintes temas:
I - fundamentos e boas práticas de computação em nuvem, incluindo modelos
IaaS, PaaS e SaaS;
II - gestão e operação de ambientes híbridos e multicloud;
III - segurança da informação, proteção de dados pessoais e conformidade
regulatória;
IV - monitoramento de custos e práticas FinOps para otimização de
recursos;
V - arquitetura de soluções, interoperabilidade e portabilidade de dados;
VI - inovação tecnológica e uso de metodologias DevSecOps para automação e
desenvolvimento seguro; e
VII - especialização em áreas específicas, como segurança cibernética,
desenvolvimento de aplicativos em nuvem e gerenciamento de desempenho.
Art. 23. Deverão ser incentivadas certificações profissionais reconhecidas no
mercado em temas correlatos, bem como a participação de servidores e colaboradores em
cursos, oficinas e comunidades técnicas promovidas por órgãos públicos, instituições de
ensino e provedores de serviços de nuvem.
Art. 24. As ações de formação deverão ser registradas e revisadas
periodicamente, de modo a assegurar a atualização das competências institucionais e a
aderência às políticas de governança e transformação digital do Ministério das
Mulheres.
Art. 25. Deverá ser fomentada uma cultura de colaboração e comunicação
eficaz entre as equipes técnicas e administrativas envolvidas na gestão de softwares e
serviços de computação em nuvem, promovendo o compartilhamento de conhecimento, a
integração entre áreas e a melhoria contínua dos processos institucionais.
Seção VII
Do Monitoramento, das Linhas de Base e das Metas de Resultados
Art. 26. A Coordenação de Tecnologia da Informação deverá manter o
mapeamento contínuo do estado atual dos softwares, infraestruturas e serviços de
computação em nuvem utilizados pelo Ministério das Mulheres, identificando níveis de
maturidade, pontos fortes, fragilidades e oportunidades de melhoria.
Art. 27. Com base nesse diagnóstico, deverão ser estabelecidas metas e
resultados esperados que orientem a evolução do uso de software e serviços de nuvem,
priorizando eficiência, segurança, interoperabilidade e sustentabilidade.
Art. 28. A execução da Estratégia deverá estar vinculada a um plano de ação
que contemple etapas, prazos e recursos necessários para alcançar as metas definidas, em
alinhamento com o Plano Diretor de Tecnologia da Informação e Comunicação e com o
Plano Estratégico Institucional do Ministério das Mulheres.