PORTARIA CADE Nº 489, DE 27 DE OUTUBRO DE 2026

PORTARIA CADE Nº 489, DE 27 DE OUTUBRO DE 2026
Institui a Política de Conscientização em Segurança
da Informação no âmbito do Conselho Administrativo
de Defesa Econômica - Cade.
O PRESIDENTE DO CONSELHO ADMINISTRATIVO DE DEFESA ECONÔMICA, no
uso de suas competências legais e regimentais, que lhe foram atribuídas pelo art. 10, inciso
IX, da Lei nº 12.529, de 30 de novembro de 2011, e pelo inciso IX do art. 19 do Regimento
Interno do Cade, aprovado pela Resolução nº 32, de 2 de fevereiro de 2021, e em
atendimento ao Decreto nº 12.572, de 4 de agosto de 2025, e observadas as diretrizes
estabelecidas pela Portaria Cade nº 94, de 23 de março de 2022, resolve:
Art. 1º Fica instituída a Política de Conscientização em Segurança da Informação
no âmbito do Conselho Administrativo de Defesa Econômica - Cade.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º A Política tem por finalidade promover a cultura institucional de
segurança da informação.
Art. 3º A Política integra os instrumentos de governança da informação e
aplica-se aos agentes públicos que exerçam atividades ou tenham acesso a informações,
ambientes, sistemas ou outros ativos do Cade.
CAPÍTULO II
DOS OBJETIVOS
Art. 4º São objetivos da Política:
I - promover a cultura institucional de segurança da informação;
II - reduzir riscos decorrentes de falhas humanas;
III - promover continuamente ações de sensibilização, conscientização,
capacitação e desenvolvimento profissional;
IV - assegurar a compreensão das responsabilidades relacionadas à segurança
da informação;
V - fortalecer a capacidade institucional de prevenir, identificar e responder a
incidentes;
VI - assegurar orientação adequada no ingresso e nas mudanças relevantes de
função, responsabilidade ou nível de acesso; e
VII - identificar e atender às necessidades de desenvolvimento conforme as
competências, responsabilidades e riscos associados às funções exercidas.
CAPÍTULO III
DO PROGRAMA DE CONSCIENTIZAÇÃO EM SEGURANÇA DA INFORMAÇÃO
Art. 5º O Programa será executado de forma contínua e planejado por
exercício.
§ 1º O Programa poderá compreender ações de sensibilização, conscientização,
capacitação, treinamento, formação e especialização, conforme o público, as funções e os
riscos envolvidos.
§ 2º O planejamento será consolidado em Matriz Anual de Conteúdos e Ações,
que identificará, no mínimo:
I - os objetivos e as necessidades a serem atendidas;
II - os temas e conteúdos previstos;
III - as ações, modalidades e públicos destinatários;
IV - os responsáveis e os períodos de realização; e
V - as metas, os indicadores e os resultados esperados.
§ 3º A Matriz poderá ser atualizada durante o exercício em razão de riscos,
incidentes, alterações normativas, institucionais ou tecnológicas, mediante registro da
justificativa.
§ 4º As ações formais de desenvolvimento destinadas aos servidores
observarão o Plano de Desenvolvimento de Pessoas - PDP e a governança estabelecida nas
normas aplicáveis.
§ 5º A Matriz Anual de Conteúdos e Ações não substitui o PDP nem os
procedimentos exigidos para a aprovação, execução, registro e certificação das ações de
desenvolvimento.
Art. 6º As ações do Programa poderão compreender:
I - orientações no ingresso e em mudanças de função ou de acesso;
II - capacitações e outras ações de desenvolvimento;
III - campanhas periódicas de conscientização;
IV - simulações e exercícios;
V - divulgação contínua e acessível das políticas, normas e orientações de
segurança da informação; e
VI - outras iniciativas adequadas aos objetivos desta Política.
§ 1º As ações poderão ser obrigatórias conforme o público destinatário, as
responsabilidades e os riscos envolvidos.
§ 2º A seleção, a priorização e o dimensionamento das ações considerarão as
necessidades identificadas, os riscos e o nível de maturidade da cultura de segurança da
informação do Cade.
CAPÍTULO IV
DOS EIXOS TEMÁTICOS DE CAPACITAÇÃO E DESENVOLVIMENTO
Art. 7º As ações serão organizadas em eixos temáticos gerais e específicos,
consideradas as atribuições, competências, responsabilidades, níveis de acesso e riscos.
§ 1º A trilha geral abrangerá, entre outros, os seguintes temas:
I - normas, responsabilidades e boas práticas de segurança da informação;
II - prevenção à engenharia social, Phishing, Spam e uso seguro de identidades,
credenciais, correio eletrônico, internet, redes, dispositivos e demais recursos
tecnológicos;
III - classificação, acesso, proteção e trâmite de documentos e informações,
observado o disposto na Lei nº 12.527, de 18 de novembro de 2011;
IV - ações de tecnologia da informação e comunicação para auxiliar no tratamento e
proteção de dados pessoais, observado o disposto na Lei nº 13.709, de 14 de agosto de 2018;
CAPÍTULO VI
DAS PENALIDADES
Art. 23. A observância do cumprimento desta Política e dos instrumentos
normativos que a complementam será avaliada periodicamente pelo Cade, por meio de
verificações formais de conformidade, visando à certificação do cumprimento dos
requisitos de segurança da informação, bem como à efetividade das cláusulas de
responsabilidade e sigilo constantes em termos de responsabilidade, contratos, convênios,
acordos e demais instrumentos congêneres.
Art. 24. A inobservância das disposições desta Política e dos normativos
correlatos poderá ensejar a aplicação das sanções administrativas cabíveis, nos termos da
legislação vigente, sem prejuízo da apuração de eventuais responsabilidades nas esferas
penal e civil, garantindo-se, em qualquer hipótese, o pleno exercício do contraditório e da
ampla defesa.
CAPÍTULO VII
DAs ATUALIZAÇÕES
Art. 25. A Política será revisada periodicamente, no mínimo a cada quatro anos,
ou com maior frequência, se necessário, a fim de refletir mudanças no ambiente do Cade,
nos riscos e nas melhores práticas de segurança da informação.
CAPÍTULO VIII
DAS DISPOSIÇÕES FINAIS
Art. 26. Os casos omissos e as dúvidas sobre esta Política e seus documentos
devem ser submetidos ao CGSD.
Art. 27. Ficam revogadas as seguintes portarias:
I - Portaria Cade nº 89, de 12 de abril de 2016;
II - Portaria Cade nº 177, de 15 de maio de 2017;
III - Portaria Cade nº 404, de 20 de maio de 2019; e
IV - Portaria Cade nº 745, de 1º de outubro de 2019.
Art. 28. Esta Portaria entra em vigor na data de sua publicação.
DIOGO THOMSON DE ANDRADE
Interino
V - uso seguro, ético e responsável de ferramentas de inteligência artificial, com
proteção das informações institucionais e supervisão humana; e
VI - prevenção, identificação e comunicação de vulnerabilidades, eventos e
incidentes de segurança da informação.
§ 2º A trilha destinada aos profissionais de Tecnologia da Informação e
Comunicação - TIC contemplará, conforme as atividades exercidas:
I - gestão de riscos, vulnerabilidades, acessos e incidentes;
II - segurança de infraestrutura, aplicações, dados e serviços em nuvem;
III - desenvolvimento seguro de software e prevenção e tratamento de
vulnerabilidades em aplicações, inclusive aplicações web;
IV - acesso, análise e utilização de registros de segurança, inclusive os gerados
por provedores de serviços em nuvem; e
V - continuidade, recuperação e resposta a incidentes.
§ 3º A trilha destinada aos gestores e às funções de nível estratégico
contemplará governança, gestão de riscos, responsabilidades legais, tomada de decisão em
incidentes e crises e prevenção avançada contra engenharia social.
§ 4º Os agentes que exerçam funções específicas ou críticas receberão
capacitação, treinamento ou especialização compatíveis com suas atribuições,
especialmente nas áreas de segurança da informação, resposta a incidentes,
desenvolvimento de sistemas, infraestrutura, serviços em nuvem, privacidade e gestão
documental.
§ 5º Os conteúdos previstos neste artigo têm caráter mínimo e não exaustivo
e serão atualizados conforme os riscos, as necessidades institucionais e a evolução
normativa e tecnológica.
CAPÍTULO V
DAS SIMULAÇÕES E DOS EXERCÍCIOS
Art. 8º Poderão ser realizadas simulações e exercícios com finalidade educativa
e preventiva, conforme o planejamento do Programa e os riscos identificados.
§ 1º As simulações e os exercícios poderão abranger:
I - campanhas simuladas de phishing e outras formas de engenharia social;
II - resposta a incidentes; e
III - gestão de crises de segurança da informação.
§ 2º Os resultados subsidiarão a identificação de necessidades e o
aperfeiçoamento das ações do Programa.
CAPÍTULO VI
DAS RESPONSABILIDADES
Art. 9º Compete à Alta Administração:
I - apoiar institucionalmente a implementação desta Política;
II - assegurar as condições necessárias à execução do Programa; e
III - promover a cultura organizacional de segurança da informação.
Art. 10. Compete ao Comitê de Governança Digital, Segurança da Informação,
Proteção de Dados e Governança de Dados - CGSD, no âmbito desta Política:
I - estabelecer diretrizes e prioridades; e
II - acompanhar a implementação e os resultados do Programa.
Art. 11. Compete ao Gestor de Segurança da Informação:
I - coordenar a elaboração e o acompanhamento do planejamento anual do
Programa;
II - estimular iniciativas de capacitação, treinamento e especialização;
III - promover ações de conscientização e a divulgação das normas de
segurança da informação; e
IV - submeter os resultados consolidados ao CGSD.
Art. 12. Compete ao Serviço de Segurança da Informação e Comunicação -
Sesic:
I - planejar, coordenar e executar tecnicamente o Programa;
II - identificar, em articulação com a Coordenação-Geral de Gestão Estratégica
de Pessoas - Cgesp e com as unidades do Cade, as necessidades de desenvolvimento em
segurança da informação;
III - definir ou articular os conteúdos técnicos das ações; e
IV - elaborar e manter atualizadas a Matriz Anual de Conteúdos e Ações e a
Matriz de Monitoramento, consolidando os resultados do Programa.
Art. 13. Compete à Coordenação-Geral de Gestão Estratégica de Pessoas -
Cgesp:
I - apoiar o levantamento e a consolidação das necessidades de
desenvolvimento em segurança da informação;
II - integrar ao PDP do Cade as necessidades e as ações formais de
desenvolvimento em segurança da informação destinadas aos servidores;
III - gerir a execução, o registro e a certificação dessas ações, conforme as
normas aplicáveis; e
IV - disponibilizar, no âmbito de suas competências, as informações e
evidências relativas à execução, ao registro e à certificação das ações de desenvolvimento
em segurança da informação.
Parágrafo único. A integração ao PDP não afasta a realização de ações de
conscientização e capacitação destinadas aos demais colaboradores, observados os
instrumentos aplicáveis aos respectivos vínculos.
Art. 14. Compete à Assessoria de Comunicação Social - Ascom:
I - apoiar o planejamento e a execução das campanhas; e
II - adequar e divulgar os conteúdos nos canais institucionais.
Art. 15. Compete aos dirigentes das unidades:
I - identificar e comunicar as necessidades de desenvolvimento relacionadas às
competências e aos riscos das funções sob sua responsabilidade; e
II - viabilizar a participação dos agentes nas ações aplicáveis.
Art. 16. Compete aos agentes públicos:
I - observar as normas e aplicar as boas práticas de segurança da
informação;
II - participar das ações aplicáveis ao seu perfil, especialmente daquelas
definidas como obrigatórias; e
III - comunicar eventos, incidentes e comportamentos suspeitos pelos canais
institucionais.
CAPÍTULO VII
DO MONITORAMENTO E DA MATURIDADE DA CULTURA DE SEGURANÇA
Art. 17. A execução do Programa será registrada em Matriz de Monitoramento,
que permitirá comparar as ações planejadas e executadas e avaliar seus resultados.
§ 1º A Matriz de Monitoramento deverá considerar, no mínimo:
I - as ações planejadas, executadas, reprogramadas ou não realizadas;
II - o quantitativo de pessoas alcançadas, capacitadas e concluintes, por público
destinatário;
III - a participação nas ações de sensibilização e conscientização;
IV - os resultados das avaliações de aprendizagem, campanhas, simulações e
exercícios;
V - o atendimento das necessidades relacionadas às funções específicas;
VI - a execução das ações vinculadas ao PDP; e
VII - outros indicadores necessários à avaliação da cultura de segurança da
informação.
§ 2º O monitoramento deverá utilizar informações consolidadas e observar a
proteção de dados pessoais e das informações de acesso restrito.
Art. 18. A maturidade da cultura de segurança da informação será avaliada
anualmente com base nos resultados do Programa.
§ 1º A avaliação considerará, conforme aplicável:
I - o alcance e a continuidade das ações;
II - o conhecimento e a percepção dos públicos destinatários;
III - a adoção de comportamentos seguros;
IV - a participação e o desempenho nas capacitações, campanhas, simulações e
exercícios;
V - a capacidade de reconhecer e comunicar eventos e incidentes; e
VI - a evolução dos resultados em relação aos períodos anteriores.
§ 2º Os critérios e a escala de maturidade serão definidos no planejamento do
Programa, de modo a permitir a comparação entre os exercícios.
§ 3º Os resultados serão consolidados em relatório anual, que apresentará:
I - os objetivos e conteúdos previstos;
II - as ações planejadas e executadas;
III - os públicos alcançados;
IV - os resultados e o nível de maturidade identificado;
V - as lacunas e necessidades remanescentes; e
VI - as recomendações para o exercício seguinte.
§ 4º O relatório anual subsidiará a revisão do Programa, a elaboração da Matriz
Anual de Conteúdos e Ações do exercício seguinte e o levantamento das necessidades
relacionadas ao PDP.
CAPÍTULO VIII
DAS DISPOSIÇÕES FINAIS
Art. 19. O Programa será avaliado anualmente e sempre que ocorrer alteração
relevante nos riscos, nas atribuições, nas tecnologias ou nas normas aplicáveis.
Art. 20. A Política será revisada em prazo não superior a quatro anos ou sempre
que alterações normativas, institucionais ou tecnológicas, avaliações de riscos, incidentes
ou recomendações das instâncias de governança e controle justificarem sua atualização.
Art. 21. Esta Portaria entra em vigor na data de sua publicação.
DIOGO THOMSON DE ANDRADE
Interino