PORTARIA CADE Nº 488, DE 27 DE OUTUBRO DE 2026

PORTARIA CADE Nº 488, DE 27 DE OUTUBRO DE 2026
Institui a Política de Segurança da Informação - Posin
no âmbito do Conselho Administrativo de Defesa
Econômica - Cade.
O PRESIDENTE DO CONSELHO ADMINISTRATIVO DE DEFESA ECONÔMICA, no
uso de suas competências legais e regimentais, que lhe foram atribuídas pelo art. 10, inciso
IX, da Lei nº 12.529, de 30 de novembro de 2011, e pelo inciso IX do art. 19 do Regimento
Interno do Cade, aprovado pela Resolução nº 32, de 2 de fevereiro de 2021, e em
atendimento ao Decreto nº 12.572, de 4 de agosto de 2025, resolve:
Art. 1º Fica instituída a Política de Segurança da Informação - Posin do
Conselho Administrativo de Defesa Econômica - Cade.
CAPÍTULO I
DO ESCOPO
Art. 2º A Posin tem como objetivo estabelecer princípios e diretrizes para a
implementação de ações e controles que garantam a segurança da informação, a
segurança cibernética e a proteção de dados, em alinhamento com a legislação vigente.
Parágrafo único. A abrangência da Posin e de suas orientações se estende a:
I - todos os ativos de informação do Cade, incluindo dados, sistemas,
documentos, dispositivos, computadores e infraestrutura de redes; e
II - qualquer pessoa ou entidade que acesse, processe ou manuseie
informações sob a custódia do Cade, como servidores, colaboradores, parceiros e
terceiros.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 3º Para os efeitos desta Portaria e de suas regulamentações, aplicam-se,
como referência principal, os termos e definições constantes do Glossário de Segurança da
Informação, aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, e do
Glossário de Proteção de Dados Pessoais e Privacidade elaborado pela Agência Nacional de
Proteção de Dados - ANPD.
CAPÍTULO III
DOS PRINCÍPIOS
Art. 4º A Posin do Cade está fundamentada nos seguintes princípios:
I - conformidade legal e normativa, assegurando o alinhamento com a
legislação vigente; e
II - princípios complementares e operacionais que garantem o tratamento e a
proteção da informação, tais como:
a) menor privilégio - concessão aos usuários apenas das permissões
estritamente necessárias ao desempenho de suas funções, reduzindo o risco de acesso
indevido;
b) não-repúdio - propriedade que impede que o usuário negue a autoria de
uma ação ou transação, assegurando a rastreabilidade e a responsabilização;
c) autenticidade - propriedade que garante que a informação foi produzida,
expedida, modificada ou destruída por pessoa física, equipamento, sistema, órgão ou
entidade determinados; e
d) proteção de dados - garantia de que o tratamento de dados esteja em
conformidade com as normas aplicáveis.
Parágrafo único. A Posin do Cade fundamenta-se, ainda, nos pilares da
segurança da informação, responsáveis por assegurar a proteção dos seus ativos de
informação com base nas seguintes propriedades:
I - confidencialidade - propriedade pela qual se assegura que a informação não
esteja disponível ou não seja revelada à pessoa, ao sistema, ao órgão ou à entidade não
autorizados nem credenciados;
II - integridade - propriedade pela qual se assegura que a informação não foi
modificada ou destruída de maneira não autorizada ou acidental; e
III - disponibilidade - propriedade pela qual se assegura que a informação esteja
acessível e utilizável, sob demanda, por uma pessoa física ou por determinado sistema,
órgão ou entidade devidamente autorizados.
CAPÍTULO IV
DAS DIRETRIZES GERAIS
Art. 5º A informação é um recurso essencial e estratégico para o adequado
funcionamento do Cade, constituindo patrimônio institucional a ser protegido, preservado
e gerido com a devida responsabilidade.
§ 1º Toda informação gerada, custodiada, manipulada, utilizada ou armazenada
no âmbito do Cade, independentemente do meio, forma de apresentação (física ou digital)
ou estágio do ciclo de vida em que se encontre, integra o conjunto de ativos de
informação da instituição.
§ 2º A proteção contínua dos ativos de informação do Cade é obrigatória e
deve ser garantida com observância aos princípios da confidencialidade, integridade e
disponibilidade, em conformidade com as normas legais e regulamentares vigentes, bem
como com as diretrizes internas de segurança da informação e governança de dados.
§ 3º A responsabilidade pela proteção da informação é compartilhada entre os
gestores, usuários e todos os agentes envolvidos, sendo obrigatória a adoção de medidas
técnicas e administrativas compatíveis com o grau de severidade e sensibilidade da
informação.
Art. 6º Todos os colaboradores do Cade devem tomar ciência e cumprir
integralmente a Posin e os normativos complementares, aplicando suas diretrizes e
requisitos no exercício de suas atribuições, com o objetivo de assegurar a segurança da
informação e a integridade institucional.
Art. 7º A participação nas ações de conscientização e capacitação em segurança
da informação e proteção de dados promovidas pelo Cade é obrigatória para todos os
colaboradores.
Art. 8º Os usuários devem aprimorar continuamente sua capacidade de
identificar artefatos maliciosos, incluindo engenharia social, phishing, spam e outras
ameaças cibernéticas, devendo reportar imediatamente, ao Serviço de Segurança da
Informação e Comunicação - Sesic, qualquer suspeita de conteúdo nocivo.
Art. 9º Quando forem identificados acessos ou eventos suspeitos nos recursos
institucionais de Tecnologia da Informação e Comunicação - TIC, o Sesic poderá adotar,
entre outras medidas, a suspensão temporária de acessos ou a redefinição das senhas do
usuário vinculado à anomalia, sempre que necessário, para garantir a segurança da
informação ou tratar incidentes, ainda que não seja possível contatar o usuário de
imediato.
Art. 10. É expressamente proibido aos usuários:
I - instalar, desinstalar ou utilizar softwares em qualquer equipamento
institucional sem autorização formal prévia da Coordenação-Geral de Tecnologia da
Informação - CGTI;
II - conectar dispositivos físicos à infraestrutura do Cade, tais como roteadores,
pontos de acesso (access points) ou quaisquer outros equipamentos não autorizados pela
CGTI; e
III - modificar o hardware ou o software dos ativos de informação do Cade sem
a devida homologação e autorização formal da CGTI.
Art. 11. É vedada a exploração de qualquer vulnerabilidade identificada nos
ativos de informação do Cade.
Parágrafo único. As vulnerabilidades, tão logo identificadas, deverão ser
comunicadas imediatamente ao Sesic, para que sejam adotadas as medidas corretivas
cabíveis.
Art. 12. Esta Política e demais normativos decorrentes dela integram o
arcabouço normativo da gestão de segurança da informação do Cade.
Art. 13. Em cumprimento ao art. 12, inciso IV, da Instrução Normativa GSI/PR
nº 1, de 27 de maio de 2020, esta Política estabelece as diretrizes gerais para a
implementação dos processos de segurança da informação no âmbito do Cade, sem
prejuízo do detalhamento técnico, procedimental e operacional em normas
complementares específicas.
§ 1º Para fins do disposto no caput, a gestão de segurança da informação do
Cade observará, no mínimo, as seguintes diretrizes:
I - o tratamento da informação deverá observar a classificação, a proteção, o
compartilhamento, o armazenamento, a transmissão, a retenção, o descarte e o uso
adequado das informações institucionais, de acordo com sua severidade, sensibilidade,
valor institucional e requisitos legais aplicáveis;
II - a segurança física e do ambiente deverá assegurar a proteção das
instalações, áreas, equipamentos, mídias, ambientes tecnológicos e demais recursos que
suportem o tratamento de informações institucionais, mediante controles compatíveis com
a severidade dos ativos e dos processos envolvidos;
III - a gestão de incidentes de segurança da informação deverá estabelecer
mecanismos para identificação, registro, comunicação, tratamento, resposta, recuperação,
lições aprendidas e melhoria contínua diante de eventos e incidentes que possam
comprometer a confidencialidade, a integridade, a disponibilidade, a autenticidade ou a
rastreabilidade das informações;
IV - a gestão de ativos deverá assegurar a identificação, o registro, a
classificação, a responsabilização, a atualização, a proteção, o uso adequado e o descarte
seguro dos ativos de informação, físicos, lógicos, digitais, tecnológicos, documentais e
demais recursos que suportem processos institucionais;
V - a gestão do uso dos recursos operacionais e de comunicações deverá
estabelecer regras para utilização segura, ética, autorizada e rastreável de recursos
institucionais, incluindo correio eletrônico, internet, redes, dispositivos, serviços digitais,
mídias sociais, computação em nuvem, sistemas de mensageria, estações de trabalho,
dispositivos móveis e demais meios de comunicação e processamento de informações;
VI - os controles de acesso deverão assegurar que o acesso a informações,
sistemas, serviços, redes, ambientes, instalações e ativos institucionais seja concedido,
revisado, monitorado e revogado com base na necessidade de conhecimento, no menor
privilégio, na segregação de funções, na autenticação adequada e na responsabilização dos
usuários;
VII - a gestão de riscos de segurança da informação deverá identificar, analisar,
avaliar, tratar, monitorar, comunicar e revisar riscos que possam afetar os ativos de
informação e os processos institucionais, observados os critérios de avaliação, aceitação,
tratamento e reporte definidos em norma específica;
VIII - a gestão de continuidade deverá estabelecer medidas de prevenção,
preparação, resposta, contingência, recuperação e retorno à normalidade, de modo a
reduzir impactos decorrentes de interrupções, incidentes, desastres, falhas ou
indisponibilidades que afetem processos, serviços, sistemas ou ativos críticos; e
IX - a auditoria e a conformidade deverão assegurar a verificação, o registro, a
avaliação e o acompanhamento do atendimento aos requisitos definidos em políticas,
normas, procedimentos, controles, planos, contratos, regulamentos técnicos e demais
instrumentos aplicáveis à segurança da informação.
§ 2º As diretrizes previstas no § 1º serão detalhadas, implementadas e
operacionalizadas por meio de normas complementares, procedimentos, planos, guias,
modelos, fluxos, registros, formulários e demais instrumentos específicos, que integrarão o
arcabouço normativo de segurança da informação do Cade e terão caráter vinculante para
suas unidades, agentes públicos, colaboradores, prestadores de serviço, fornecedores e
demais usuários autorizados.
§ 3º As normas complementares deverão observar esta Política, a Instrução
Normativa GSI/PR nº 1, de 27 de maio de 2020, a Instrução Normativa GSI/PR nº 3, de 28
de maio de 2021, as demais normas aplicáveis à Administração Pública Federal e os
requisitos institucionais de governança, gestão de riscos, continuidade, conformidade,
proteção de dados pessoais e segurança da informação.
§ 4º O detalhamento das diretrizes de que trata este artigo poderá abranger,
entre outros instrumentos:
I - Programa de Governança em Segurança da Informação;
II - Política de Conscientização em Segurança da Informação;
III - Norma de Gestão de Riscos de Segurança da Informação;
IV - Norma de Gestão de Continuidade;
V - Norma de Gestão de Mudanças relacionadas à Segurança da Informação;
VI - Norma de Gestão de Ativos de Informação;
VII - Norma de Tratamento da Informação;
VIII - Norma de Segurança Física e do Ambiente;
IX - Norma de Gestão de Incidentes de Segurança da Informação;
X - Norma de Uso dos Recursos Operacionais e de Comunicações;
XI - Norma de Controles de Acesso; e
XII - Norma de Avaliação de Conformidade nos Aspectos de Segurança da
Informação.
§ 5º As diretrizes estabelecidas neste artigo têm aplicação imediata, cabendo às
normas complementares disciplinar o detalhamento técnico, procedimental e operacional
de cada tema, sem prejuízo da observância da legislação, dos regulamentos, dos contratos
e dos demais normativos internos vigentes.
Art. 14. As denúncias de violação a esta Política poderão ser comunicadas ao
Gestor de Segurança da Informação, ao Sesic ou a ambos.
CAPÍTULO V
DAS COMPETÊNCIAS
Art. 15. A estrutura de Gestão de Segurança da Informação do Cade é
composta por:
I - Alta Administração;
II - Comitê de Governança Digital, Segurança da Informação, Proteção de Dados
e Governança de Dados - CGSD;
III - Gestor de Segurança da Informação;
IV - Coordenador-Geral de Tecnologia da Informação;
V - Encarregado pelo Tratamento de Dados Pessoais;
VI - Serviço de Segurança da Informação e Comunicação; e
VII - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos -
ETIR.
Art. 16. Compete à Alta Administração:
I - fornecer os recursos necessários para assegurar o desenvolvimento e a
implementação da gestão de segurança da informação do Cade, bem como tratar as ações
e decisões de segurança da informação com o nível de relevância e prioridade adequados;
e
II - formalizar e aprovar a Posin do Cade, suas alterações e atualizações, bem
como outros documentos dela decorrentes.
Art. 17. Compete ao CGSD as atribuições previstas na Portaria nº 260, de 30 de
junho de 2026 (Política de Governança Digital do Cade - PGD).
Art. 18. Compete ao Gestor de Segurança da Informação:
I - coordenar a elaboração da Posin e das normas internas de segurança da
informação, observadas a legislação vigente e as melhores práticas sobre o tema;
II - assessorar a Alta Administração na implementação da Posin;
III - estimular ações de capacitação e de profissionalização de recursos humanos
em temas relacionados à segurança da informação;
IV - promover a divulgação da Política e das normas internas de segurança da
informação a todos os agentes públicos, usuários e prestadores de serviços;
V - incentivar estudos de novas tecnologias e seus eventuais impactos
relacionados à segurança da informação;
VI - propor recursos necessários às ações de segurança da informação;
VII - acompanhar os trabalhos da ETIR;
VIII - verificar os resultados dos trabalhos de auditoria sobre a gestão da
segurança da informação;
IX - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação à segurança da informação;
X - manter contato direto ou delegar interlocução com o Centro de Prevenção,
Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov e com o Centro
Integrado de Segurança Cibernética do Governo Digital - CISC Gov.br, conforme as
necessidades operacionais e estratégicas da área de segurança da informação; e
XI - assistir o Encarregado pelo Tratamento de Dados Pessoais no contato direto
com a ANPD, em assuntos relacionados à segurança da informação de dados pessoais.
§ 1º O Diretor de Administração e Planejamento exerce automaticamente a
função de Gestor de Segurança da Informação no âmbito do Cade, e seu substituto
eventual atua como Gestor Substituto de Segurança da Informação durante sua
ausência.
§ 2º A substituição do Gestor de Segurança da Informação deverá ser
acompanhada de registro formal de transição, contendo, no mínimo, a relação dos
normativos vigentes, planos e ações em andamento, principais riscos identificados,
pendências de auditoria, incidentes relevantes, contatos institucionais, responsabilidades
atribuídas e demais informações necessárias à continuidade da gestão de segurança da
informação.
Art. 19. Compete ao Coordenador-Geral de TIC, além das atribuições previstas
na legislação vigente, planejar, implementar e aprimorar continuamente os controles de
segurança da informação nas soluções tecnológicas sob sua responsabilidade, abrangendo
sistemas, dados, infraestrutura e demais ativos de TIC.
Art. 20. Compete ao Encarregado pelo Tratamento de Dados Pessoais, além das
atribuições previstas na legislação vigente, conduzir o diagnóstico de privacidade e
orientar, quando aplicável, os gestores responsáveis pelos ativos de informação no
planejamento, implementação e aprimoramento contínuo dos controles de privacidade em
ativos que tratem dados pessoais ou sensíveis.
Art. 21. Compete ao Sesic exercer as atribuições e competências estabelecidas
na norma que aprova a estrutura, a competência e o funcionamento das unidades
subordinadas aos órgãos descritos na Resolução nº 28, de 21 de agosto de 2020, bem
como em outras normas específicas que venham a ser expedidas.
Art. 22. Compete à ETIR:
I - coordenar e executar as atividades de prevenção, tratamento e resposta a
incidentes cibernéticos no Cade;
II - monitorar as redes computacionais;
III - detectar e analisar ataques e intrusões;
IV - tratar incidentes de segurança da informação;
V - identificar vulnerabilidades e artefatos maliciosos;
VI - recuperar sistemas de informação; e
VII - promover a cooperação com outras Equipes de Prevenção, Tratamento e
Resposta a Incidentes Cibernéticos, e participar de fóruns e redes relativas à segurança da
informação.
Parágrafo único. A ETIR deve ser instituída em normativa específica.