Texto completo
Ementa: Aprova a Política de Segurança da Informação do Ministério dos Povos Indígenas - POSI/MPI.
Texto completo:
PORTARIA GM/MPI Nº 215, DE 19 DE AGOSTO DE 2026 Aprova a Política de Segurança da Informação do Ministério dos Povos Indígenas - POSI/MPI. O MINISTRO DE ESTADO DOS POVOS INDÍGENAS, no uso das atribuições que lhe conferem os incisos I e IV do parágrafo único do art. 87 da Constituição Federal, tendo em vista o disposto no art. 3º do Decreto nº 11.355, de 1º de janeiro de 2023, e na Portaria GM/MPI nº 37, de 9 de fevereiro de 2024, e considerando o que consta nos autos do Processo nº 15000.001186/2025-58, resolve: Art. 1º Instituir a Política de Segurança da Informação, no âmbito do Ministério dos Povos Indígenas - POSI/MPI, com a finalidade de estabelecer princípios e diretrizes para a implementação de ações e controles que garantam a segurança das informações e de dados pessoais, e no que couber, no relacionamento com outros órgãos públicos ou entidades privadas. § 1º Esta Política de Segurança da Informação tem como objetivo estabelecer os princípios, diretrizes, responsabilidades e práticas para a proteção das informações do Ministério dos Povos Indígenas, visando garantir a confidencialidade, integridade, autenticidade e disponibilidade das informações, assegurando o seu uso adequado e a mitigação de riscos à segurança da informação, bem como o cumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD) e de outras normas vigentes. § 2º Esta Política de Segurança da Informação observa as diretrizes do ColaboraGov, tendo em vista o Art. 4º, II, f, do Decreto 11.837, de 21 de dezembro de 2023, que dispõe sobre a participação do Ministério dos Povos Indígenas como órgão integrante e solicitante do Centro de Serviços Compartilhados - ColaboraGov. § 3º Todos os instrumentos normativos gerados a partir da Política de Segurança da Informação do Ministério dos Povos Indígenas são partes integrantes desta Política e devem obedecer aos princípios e diretrizes nela estabelecidos. § 4º Esta Política se aplica a todos os ativos de informação do MPI, incluindo dados, sistemas, aplicativos, dispositivos e redes. § 5º A Política se aplica a todos os colaboradores, funcionários, contratados, parceiros e terceiros que acessam ou processam as informações do MPI. § 6º Esta política se aplica em todas as instalações físicas administradas ou utilizadas pelo MPI. CAPÍTULO I DAS DISPOSIÇÕES GERAIS Art. 2º São objetivos da POSI-MPI : I - estabelecer princípios e diretrizes a fim de proteger ativos de informação e conhecimentos gerados, recebidos ou sob custódia do MPI; II - estabelecer orientações gerais de segurança da informação e, desta forma, contribuir para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis, bem como preservar os princípios da disponibilidade, integridade, confidencialidade, irretratabilidade e autenticidade das informações; III - estabelecer competências e responsabilidades quanto à segurança da informação; IV- nortear a elaboração das normas necessárias à efetiva implementação da segurança da informação; V - promover o alinhamento estratégico da Política de Segurança da Informação com o planejamento estratégico do MPI; VI - promover o alinhamento com demais normas específicas de segurança da informação da Administração Pública Federal; Art. 3º. Para os efeitos desta Portaria e de suas regulamentações, aplicam-se os termos do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021. CAPÍTULO II DOS PRINCÍPIOS E DIRETRIZES Art. 4º As ações de segurança da informação do MPI são norteadas pelos princípios constitucionais e administrativos que norteiam a Administração Pública Federal, bem como pelos seguintes princípios da POSI-MPI: I - disponibilidade, integridade, confidencialidade e autenticidade das informações; II - continuidade dos processos e serviços essenciais para o funcionamento do MPI; III - economicidade da proteção dos ativos de informação; IV - respeito ao acesso à informação, à proteção de dados pessoais e à proteção da privacidade; V - observância da publicidade como preceito geral e do sigilo como exceção; VI - responsabilidade do usuário de informação pelos atos que comprometam a segurança dos ativos de informação; VII - responsabilidade dos colaboradores, constituída no dever de conhecer e respeitar esta Política de Segurança da Informação e demais normas específicas de segurança da informação do MPI; VIII - educação e comunicação como alicerces fundamentais para a consolidação e o fomento da cultura em segurança da informação; IX - conformidade das normas e das ações de segurança da informação com a legislação e regulamentos aplicáveis; X - alinhamento estratégico da Política de Segurança da Informação com o planejamento estratégico do MPI, assim como demais normas específicas de segurança da informação da Administração Pública Federal; Art. 5º Estas diretrizes constituem os principais pilares da gestão de segurança da informação norteando a elaboração de políticas, planos e normas complementares no âmbito deste MPI, e objetivam a garantia dos princípios básicos de segurança da informação estabelecidos nesta Política. Art. 6º. As ações de segurança da informação devem: I - considerar, prioritariamente, os objetivos estratégicos, os planos institucionais, a estrutura e a finalidade do MPI; II - ser tratadas de forma integrada, considerando as especificidades e autonomia das unidades do MPI; III - ser adotadas proporcionalmente aos riscos existentes e à magnitude dos danos potenciais, considerados o ambiente, o valor e a criticidade da informação; IV - visar à prevenção da ocorrência de incidentes; V - visar à conformidade das normas e das ações de segurança da informação com a legislação e regulamentos aplicáveis. Art. 7º O investimento necessário em medidas de segurança da informação deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo com o risco de potenciais prejuízos para o MPI. Art. 8º Toda e qualquer informação gerada, custodiada, manipulada, utilizada ou armazenada no Ministério dos Povos Indígenas compõe o seu ativo da informação e deve ser protegida conforme normas em vigor estabelecidas no âmbito do MPI, e no que couber, conforme demais normas específicas de segurança da informação da Administração Pública Federal. Parágrafo único: As informações citadas no caput, que tramitem pelo ambiente computacional do MPI, são passíveis de monitoramento e auditoria pelo MPI, respeitados os limites legais. Art. 9º Pessoas e sistemas devem ter o menor privilégio e o mínimo acesso aos recursos necessários para realizar uma determinada tarefa. Parágrafo único: É condição para acesso aos recursos de Tecnologia da Informação do MPI o registro da solicitação por meio de sistema de abertura de chamados utilizado no MPI, podendo o pedido ser objeto de análise por agente componente do Sistema de Gestão de Segurança da Informação do MPI. Art. 10º. Esta Política de Segurança da Informação e suas atualizações, bem como normas específicas de segurança da informação do Ministério dos Povos Indígenas, deverão ser divulgadas amplamente a todos os colaboradores, a fim de promover sua observância, seu conhecimento, bem como a formação da cultura de segurança da informação. § 1º Os Usuários de Informação devem ser continuamente capacitados nos procedimentos de segurança e no uso correto dos ativos de informação quando da realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da informação. § 2º As ações de capacitação previstas no parágrafo anterior deverão ser conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre segurança da informação. Art. 11º. Os editais de licitação e contratos de solução de tecnologia da informação firmados pelo Ministério dos Povos Indígenas deverão conter cláusula específica sobre: I - a obrigatoriedade de atendimento à POSI-MPI; II - a exigência de termo de responsabilidade e termo de confidencialidade. CAPÍTULO III DA GESTÃO DA SEGURANÇA DA INFORMAÇÃO Art. 12º. A estrutura de Gestão de Segurança da Informação é composta por: I. Alta Administração; II. Subcomitê de Segurança da Informação; III. Gestor de Segurança da Informação; IV. Gestor de Tecnologia da Informação e Comunicação; V. Encarregado pelo Tratamento de Dados Pessoais; VI. Responsável pela Unidade de Controle Interno; VII. Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos; VIII. Usuários de Informação. Art. 13º. A Gestão de Segurança da Informação compreende, no mínimo, os seguintes processos: I - Tratamento da Informação; II - Tratamento de Incidentes de Rede; III - Gestão de Risco; IV - Gestão de Continuidade; V - Controles de Acesso; VI - Gestão do Uso dos Recursos Operacionais e de Comunicações, como: e-mail, acesso à internet, mídias sociais, computação em nuvem, dentre outros; VII - Gestão de Ativos de Informação; VIII - Segurança Física e do Ambiente; IX - Segurança em Recursos Humanos. Art. 14º. É responsabilidade de todos os gestores do MPI o conhecimento e a disseminação desta Política e demais normas específicas de segurança da informação do MPI aos colaboradores que estão sob a sua gestão. Art. 15º. Todos os colaboradores são responsáveis pela segurança dos ativos de informação que estejam sob a sua responsabilidade. Art. 16º. É vedada a exploração de eventuais vulnerabilidades, as quais devem ser comunicadas imediatamente às instâncias superiores, assim que identificadas. CAPÍTULO IV DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO Art. 17º. A estrutura da Gestão de Segurança da Informação do Ministério dos Povos Indígenas será definida em norma específica. § 1º A estrutura prevista no caput deverá, minimamente, contemplar em sua composição: I - o Gestor de Segurança da Informação do MPI; II - a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR; III - o Subcomitê de Segurança da Informação ou estrutura equivalente. § 2º A Política de Segurança da Informação integra o arcabouço legal do Sistema de Gestão de Segurança da Informação do Ministério dos Povos Indígenas. § 3º A estrutura do Sistema de Gestão de Segurança da Informação do Ministério dos Povos Indígenas deverá estar em conformidade com as ações de segurança da informação previstas no PPSI e no ColaboraGov. Art. 18º. Compete à Alta Administração: I. fornecer os recursos necessários para assegurar o desenvolvimento e a implementação da Gestão de Segurança da Informação do MPI, bem como com o tratamento das ações e decisões de segurança da informação em um nível de relevância e prioridade adequados; II. formalizar e aprovar a Política de Segurança da Informação do MPI, bem como suas alterações e atualizações. Art. 19º. Compete ao Gestor de Segurança da Informação: I - coordenar as iniciativas de segurança da informação no âmbito do MPI, garantindo o cumprimento das normas internas e da legislação vigente; II - estimular iniciativas de capacitação em temas relacionados à segurança da informação e promover ações de conscientização sobre boas práticas aos agentes públicos; III - divulgar as normas internas de segurança da informação a todos os agentes públicos; IV - realizar avaliações de riscos e análise dos impactos antes da adoção de tecnologias emergentes no contexto do MPI; V - planejar e propor os recursos orçamentários necessários à implementação, atualização e manutenção de iniciativas de segurança da informação; VI - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos; VII - atuar como segunda linha de defesa no âmbito do Sistema de Controle Interno; VIII - realizar avaliações de conformidade em relação à implementação de requisitos estabelecidos na Política Nacional de Segurança da Informação (PNSI), nas normas inferiores e na legislação aplicável à segurança da informação, e apoiar auditorias internas e externas; IX - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; X - cooperar com o Encarregado pelo Tratamento de Dados Pessoais nas ações relativas à segurança da informação quando envolver dados pessoais; XI - elaborar e revisar o planejamento tático de segurança da informação, e acompanhar sua implementação; XII - participar de fóruns especializados para obtenção de experiências e ampliação de capacidades, tanto no setor público quanto no setor privado; XIII - avaliar a capacidade operacional do MPI, a fim de: a) subsidiar as decisões dos gestores superiores sobre ações de segurança da informação; b) emitir parecer técnico ou recomendação sobre a conveniência de integrar ou desligar-se de arranjos colaborativos de segurança da informação. Art. 20º. À Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos compete: I - facilitar, coordenar e executar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos no MPI; II - monitorar as redes computacionais; III - detectar e analisar ataques e intrusões; IV - tratar incidentes de segurança da informação; V - identificar vulnerabilidades e artefatos maliciosos; VI - recuperar sistemas de informação; VII - promover a cooperação com outras equipes, bem como participar de fóruns e redes relativas à segurança da informação; VIII - apoiar a condução de políticas de segurança cibernética e da informação; IX - realizar ações voltadas para o fortalecimento da resiliência cibernética do MPI; X - comunicar ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov a ocorrência de incidentes cibernéticos com a maior brevidade possível; XI - manter registro histórico de incidentes cibernéticos e vulnerabilidades que permitam a geração de dados estatísticos. Art. 21º. Ao Subcomitê de Segurança da Informação compete: I - assessorar a implementação das ações de segurança da informação; II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação; III - participar da elaboração da Política de Segurança da Informação e das normas internas de segurança da informação; IV - propor alterações à Política de Segurança da Informação e às normas internas de segurança da informação; V - deliberar sobre as ações propostas pelo gestor de segurança da informação no parecer técnico sobre o relatório de avaliação de conformidade e encaminhar à alta administração para aprovação o processo contendo os documentos sobre a avaliação de conformidade. CAPÍTULO V DAS VEDAÇÕES E DISPOSIÇÕES FINAIS Art. 22º. É vedada a utilização dos recursos de tecnologia da informação disponibilizados pelo MPI para acesso, guarda e divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente. Art. 23º. São vedados o uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo MPI. Art. 24º. É vedada a divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários. Art. 25º. É vedada a exploração de eventuais vulnerabilidades, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 26º. As unidades organizacionais do MPI devem promover ações de treinamento e conscientização para que os seus colaboradores entendam suas responsabilidades e procedimentos voltados à segurança da informação e à proteção de dados. Parágrafo único. A conscientização, a capacitação e a sensibilização em segurança da informação devem ser adequadas aos papéis e responsabilidades dos colaboradores. Art. 27º. As denúncias de violação a esta Política podem ser comunicadas ao Gestor de Segurança da Informação e feitas através do seguinte canal: I. segurancadainformacao.mpi@povosindigenas.gov.br. Art. 28º. O cumprimento desta Política, bem como dos normativos que a complementam devem ser avaliados pelo MPI periodicamente por meio de verificações de conformidade, buscando a certificação do cumprimento dos requisitos de segurança da informação e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres. Art. 29º. A Política de Segurança da Informação do Ministério dos Povos Indígenas deverá ser revisada periodicamente, pelo menos a cada 3 (três) anos, ou, a qualquer tempo, em função de alterações na legislação pertinente, de diretrizes políticas do Governo Federal, de alterações nos normativos do MPI, ou ainda, quando considerada necessária pelo Subcomitê de Governança Digital e Segurança da Informação. Art. 30º. Os órgãos integrantes do Sistema de Gestão de Segurança da Informação do MPI poderão propor instruções complementares, no âmbito de suas competências, que detalharão suas particularidades e procedimentos relativos à segurança da informação alinhados às diretrizes emanadas pelo Subcomitê de Governança Digital e Segurança da Informação, pelo ColaboraGov e aos respectivos Planos Estratégicos Institucionais. Art. 31º. A não observância do disposto nesta Política, bem como em seus instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa. Art. 32º. As dúvidas sobre esta Política de Segurança da Informação, seus documentos e os casos omissos devem ser submetidas ao Subcomitê de Governança Digital e Segurança da Informação. Art. 33º. Esta Portaria entra em vigor na data de sua publicação. ELOY TERENA Este conteúdo não substitui o publicado na versão certificada. Borda do rodapé Logo da Imprensa