Portaria MGI No 10.033, DE 29 DE dezembro DE 2025 Institui a Política de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos - POSI-MGI. O MINISTRO DE ESTADO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS SUBSTITUTO, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto no Decreto no 12.572, de 4 de agosto de 2025, no Decreto no 11.837, de 21 de dezembro de 2023, na Instrução Normativa GSI/PR no 1, de 27 de maio de 2020, e no processo 18001.000873/2025-34, resolve: CAPÍTULO I DISPOSIÇÕES PRELIMINARES Art. 1o Fica instituída a Política de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos - POSI-MGI, com a finalidade de estabelecer princípios e diretrizes para a implementação de ações de segurança da informação e, no que couber, para o relacionamento com outros órgãos públicos ou entidades privadas. Parágrafo único. O disposto nesta Portaria aplica-se a: I - órgãos de assistência direta e imediata e órgãos singulares da estrutura do Ministério da Gestão e da Inovação em Serviços Públicos; e II - usuários de informação do Ministério ou dos órgãos solicitantes do Centro de Serviços Compartilhados - Colabora Gov, de que trata o Decreto no 11.837, de 21 de dezembro de 2023. Art. 2o Para fins desta Portaria, consideram-se: I - ativos de informação - meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; II - usuário de informação - pessoa física, seja servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de um órgão ou entidade da administração pública federal, formalizada por meio da assinatura de Termo de Responsabilidade; III - recursos de tecnologia da informação - conjunto formado pelos bens e serviços de tecnologia da informação que constituem a infraestrutura utilizada na produção, coleta, tratamento, armazenamento, transmissão, recepção, comunicação e disseminação da informação; e IV - vulnerabilidades - condição que pode resultar em uma violação de segurança cibernética dos sistemas computacionais ou redes de computadores, e consiste na interseção de três fatores: suscetibilidade ou falha do sistema, acesso possível à falha e capacidade de explorar essa falha. Art. 3o São objetivos da POSI-MGI: I - nortear a elaboração das normas necessárias à efetiva implementação da segurança da informação; II - estabelecer princípios e diretrizes a fim de proteger ativos de informação e conhecimentos gerados ou recebidos; III - estabelecer orientações gerais de segurança da informação, a fim de contribuir para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis, bem como preservar os princípios da disponibilidade, integridade, confiabilidade e autenticidade das informações; IV - estabelecer competências e responsabilidades quanto à segurança da informação; e V - promover o alinhamento das ações de segurança da informação com as estratégias de planejamento organizacional do Ministério da Gestão e da Inovação em Serviços Públicos. Art. 4o São princípios da POSI-MGI: I - disponibilidade, integridade, confidencialidade e autenticidade das informações; II - continuidade dos processos e serviços essenciais para o funcionamento do Ministério da Gestão e da Inovação em Serviços Públicos e do Colabora Gov; III - economicidade da proteção dos ativos de informação; IV - respeito ao acesso à informação, à proteção de dados pessoais e à proteção da privacidade; V - observância da publicidade como preceito geral e do sigilo como exceção; VI - educação e comunicação como alicerces fundamentais para o fomento da cultura em segurança da informação e privacidade; e VII - observância das diretrizes da Política Nacional de Cibersegurança - PN Ciber, de que trata o Decreto no 11.856, de 26 de dezembro de 2023, e normas específicas de segurança da informação da administração pública federal. Art. 5o As ações de segurança da informação e privacidade de que trata esta Portaria serão orientadas pelas seguintes diretrizes: I - priorização dos objetivos estratégicos, planos institucionais, estrutura e finalidade do Ministério da Gestão e da Inovação em Serviços Públicos; II - tratamento de forma integrada, observadas as especificidades e a autonomia das unidades do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov; III - proporcionalmente em relação aos riscos existentes e à magnitude dos danos potenciais, considerados o ambiente, o valor e a criticidade da informação; e IV - prevenção da ocorrência de incidentes, inclusive incidentes cibernéticos. Art. 6o O investimento necessário em medidas de segurança da informação e privacidade deve ser dimensionado segundo o valor do ativo a ser protegido e de acordo com o risco de potenciais prejuízos para o Ministério da Gestão e da Inovação em Serviços Públicos. Art. 7o Toda e qualquer informação gerada, custodiada, manipulada, utilizada ou armazenada no Ministério da Gestão e da Inovação em Serviços Públicos compõe o seu ativo da informação e deve ser protegida conforme normas em vigor. § 1o Os sistemas informatizados disponibilizados pelo Ministério da Gestão e da Inovação em Serviços Públicos devem implementar processo para registro, cancelamento e provisionamento de usuários. § 2o As informações de que trata o caput, que tramitem pelo ambiente computacional do Ministério da Gestão e da Inovação em Serviços Públicos, são passíveis de monitoramento e auditoria, respeitados os limites legais. Art. 8o Ao usuário de informação é assegurado o mínimo acesso aos recursos necessários para realizar uma dada tarefa. Art. 9o A POSI-MGI e suas atualizações, bem como normas específicas de segurança da informação e privacidade do Ministério da Gestão e da Inovação em Serviços Públicos deverão ser divulgadas amplamente a todos os usuários de informação a fim de promover sua observância, bem como a formação da cultura de segurança da informação e privacidade. § 1o Os usuários de informação devem ser continuamente capacitados nos procedimentos de segurança e privacidade e no uso correto dos ativos de informação quando da realização de suas atribuições, de modo a minimizar possíveis riscos à segurança da informação e privacidade. § 2o As ações de capacitação de que trata o §1o devem ser conduzidas de modo a possibilitar o compartilhamento de materiais educacionais sobre segurança da informação, observados os direitos autorais. Art. 10. Os editais de licitação e contratos de solução de tecnologia da informação com o Ministério da Gestão e da Inovação em Serviços Públicos deverão conter cláusula específica sobre: I - a obrigatoriedade de atendimento à POSI-MGI; e II - a exigência de termo de responsabilidade e termo de confidencialidade. Parágrafo único. Ato da autoridade titular da Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados disporá acerca dos termos de responsabilidade e termo de confidencialidade de que trata o inciso II do caput. CAPÍTULO II DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO Art. 11. A estrutura de Gestão de Segurança da Informação é composta por: I - alta administração do Ministério da Gestão e da Inovação em Serviços Públicos; II - Comitê de Governança Digital e Segurança da Informação, instituído pela Portaria MGI no 3.844, de 28 de julho de 2023; III - Gestor de Segurança da Informação; IV - Gestor de Tecnologia da Informação e Comunicação; V - Encarregado pelo Tratamento de Dados Pessoais; VI - responsável pela Unidade de Controle Interno; VII - Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos; e VIII - usuários de informação. Art. 12. À alta administração do Ministério da Gestão e da Inovação em Serviços Públicos compete fornecer os recursos necessários para assegurar o desenvolvimento e a implementação da Gestão de Segurança da Informação e o tratamento das ações e decisões de segurança da informação em um nível de relevância e prioridade adequados. Art. 13. No que se refere à segurança da informação compete ao Comitê de Governança Digital e Segurança da Informação: I - assessorar na implementação das ações de segurança da informação; II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação; III - propor alterações na POSI-MGI; IV - propor normas internas relativas à segurança da informação; e V - deliberar sobre os assuntos ministeriais relativos à Política Nacional de Segurança da Informação - PNSI. Art. 14. Ao Gestor de Segurança da Informação compete: I - coordenar o Comitê de Governança Digital e Segurança da Informação nas deliberações relacionadas à segurança da informação; II - coordenar a elaboração da POSI-MGI e das normas internas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos, observadas a legislação vigente e as melhores práticas sobre o tema; III - assessorar a alta administração na implementação da POSI-MGI; IV - estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação; V - promover a divulgação da política e das normas internas de segurança da informação do órgão a todos os servidores, usuários e prestadores de serviços que trabalham no Ministério da Gestão e da Inovação em Serviços Públicos; VI - incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à segurança da informação; VII - propor recursos necessários às ações de segurança da informação; VIII - acompanhar os trabalhos da Equipe de Tratamento e Resposta a Incidentes Cibernéticos; IX - verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação; X - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; e XI - manter contato direto com o Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos à segurança da informação. Parágrafo único. O Gestor de Segurança da Informação será designado em ato da autoridade máxima do Ministério da Gestão e da Inovação em Serviços Públicos, dentre servidores públicos efetivos ou empregados públicos com formação ou capacitação técnica compatível com as atribuições previstas no caput. Art. 15. Ao Gestor de Tecnologia da Informação e Comunicação compete planejar, implementar e melhorar continuamente os controles de privacidade e segurança da informação em soluções de tecnologia da informação e comunicações, considerando a cadeia de suprimentos relacionada à solução, observado o disposto na Portaria SGD/ME no 778, de 4 de abril de 2019. Art. 16. Ao Encarregado pelo Tratamento de Dados Pessoais compete conduzir o diagnóstico de privacidade e orientar, no que couber, os gestores proprietários dos ativos de informação, responsáveis pelo planejamento, implementação e melhoria contínua dos controles de privacidade em ativos de informação que realizem o tratamento de dados pessoais ou dados pessoais sensíveis, observado o disposto na Lei no 13.709, de 14 de agosto de 2018, e demais normativos e orientações emitidas pela Autoridade Nacional de Proteção de Dados - ANPD. Art. 17. Ao responsável pela unidade de controle interno compete apoiar, supervisionar e monitorar as atividades desenvolvidas pela primeira linha de defesa, de que trata a Instrução Normativa CGU no 3, de 9 de junho de 2017. Art. 18. À Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos compete: I - facilitar, coordenar e executar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos no Ministério da Gestão e da Inovação em Serviços Públicos; II - monitorar as redes computacionais; III - detectar e analisar ataques e intrusões; IV - tratar incidentes de segurança da informação; V - identificar vulnerabilidades e artefatos maliciosos; VI - recuperar sistemas de informação; VII - promover a cooperação com outras equipes, bem como participar de fóruns e redes relativas à segurança da informação; VIII - apoiar a condução de políticas de segurança cibernética e da informação; IX - realizar ações voltadas para o fortalecimento da resiliência cibernética do Ministério da Gestão e da Inovação em Serviços Públicos; X - comunicar ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov a ocorrência de incidentes cibernéticos com a maior brevidade possível; e XI - manter registro histórico de incidentes cibernéticos e vulnerabilidades que permitam a geração de dados estatísticos. Parágrafo único. Ato da autoridade titular da Secretaria de Serviços Compartilhados do Ministério da Gestão e da Inovação em Serviços Públicos disporá acerca da Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos de que trata o caput. Art. 19. Aos usuários de informação compete observar a POSI-MGI e as demais normas específicas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos. Parágrafo único. Os usuários de informação são responsáveis pela segurança dos ativos de informação que estejam sob a sua responsabilidade e devem comunicar às Unidades Gestoras, às áreas de segurança pertinentes ou diretamente ao Gestor de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos quando tiver conhecimento de tratamento de dados e informações em desconformidade com o disposto nesta Portaria. CAPÍTULO III DA GESTÃO DA SEGURANÇA DA INFORMAÇÃO Art.20. A POSI-MGI e demais normativos decorrentes desta Política integram o arcabouço normativo da Gestão de Segurança da Informação. Art. 21. A Gestão da Segurança da Informação é constituída, no mínimo, pelos seguintes processos: I - tratamento da informação; II - segurança física e do ambiente; III - gestão de incidentes em segurança da informação; IV - gestão de ativos; V - gestão do uso dos recursos operacionais e de comunicações, tais como e-mail, acesso à internet, mídias sociais e computação em nuvem; VI - controles de acesso; VII - gestão de riscos; VIII - gestão de continuidade; IX - gestão de mudanças; e X - auditoria e conformidade. § 1o O Comitê de Governança Digital e Segurança da Informação poderá definir outros processos de gestão de segurança da informação, desde que alinhados aos princípios e às diretrizes da POSI-MGI e destinados à implementação de ações de segurança da informação. § 2o Para cada um dos processos que constituem a Gestão de Segurança da Informação, deve ser observada a pertinência de elaboração de políticas, normas, procedimentos, orientações ou manuais que disciplinem ou facilitem o seu entendimento em conformidade com a legislação vigente e boas práticas de segurança de informação e privacidade. Art. 22. As políticas, normas, procedimentos, orientações ou manuais de que trata o art. 21, §2o, devem abordar, no mínimo, aspectos relacionados a: I - conformidade com as diretrizes dispostas na Lei no 13.709, de 14 de agosto de 20218, e demais normativos e orientações emitidas pela ANPD; II - classificação da informação de acordo com seu nível de confidencialidade e criticidade, entre outros fatores, com vistas a determinar os controles de segurança adequados; III - proteção dos dados contra acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; IV - uso aceitável da informação e a utilização de mídias de armazenamento; V - entrada e saída de ativos de informação das instalações do Ministério da Gestão e da Inovação em Serviços Públicos; VI - perímetros de segurança do Ministério da Gestão e da Inovação em Serviços Públicos; VII - controles de acesso baseados no princípio do menor privilégio; VIII - etapas de identificação, contenção, erradicação e recuperação e atividades pós incidente; IX - critérios para a comunicação de incidentes aos titulares de dados pessoas e à ANPD; X - Plano de Gestão de Incidentes de Segurança, de forma a considerar diferentes cenários; XI - Política de Gestão de Ativos do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov; XII - utilização adequada dos recursos operacionais e de comunicações fornecidos pelo Ministério da Gestão e da Inovação em Serviços Públicos, em conformidade com os princípios éticos e profissionais; XIII - procedimentos para o uso de e-mail, o envio de informações confidenciais, a instalação de software antivírus e a abertura de anexos de e-mail; XIV - acesso à internet, o download de arquivos da internet, vedado o uso de sites inadequados e a instalação de software não autorizado; XV - uso de mídias sociais, a divulgação de informações nas mídias sociais, o uso de contas pessoais para fins profissionais e a interação com estranhos nas mídias sociais; XVI - políticas e procedimentos para o uso da computação em nuvem, a seleção de provedores de serviços em nuvem, a segurança dos dados na nuvem e a conformidade com as leis e regulamentos aplicáveis; XVII - políticas e procedimentos para o controle de acesso, tais como: a) o uso de Múltiplo Fator de Autenticação - MFA; b) controles de autorização, baseados no princípio do menor privilégio; c) controles de segregação de funções; e d) trilhas de auditoria, rastreamento, acompanhamento, controle e verificação de acessos para os ativos de informação do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov, desligamento ou afastamento de colaboradores e parceiros que utilizam ou operam os ativos de informação; XVIII - políticas e procedimentos para a gestão dos riscos de segurança da informação que possam afetar seus ativos de informação; XIX - políticas e procedimentos para Gestão de Continuidade de Negócios da organização, incluindo o Plano de Continuidade para garantir que o Ministério da Gestão e da Inovação em Serviços Públicos e órgãos solicitantes do Colabora Gov possam continuar suas atividades em caso de um incidente de segurança da informação e a realização de testes e exercícios periódicos baseados no Plano de Continuidade para garantir sua eficácia; XX - políticas e procedimentos para a Gestão de Mudanças nos ativos de informação do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov, respaldado pelas informações dos relatórios de avaliação e tratamento de risco de segurança da informação, com a designação de papéis e responsabilidades para a avaliação, aprovação e implementação de mudanças e a criação de um processo formal para solicitação e documentação de mudanças; e XXI - políticas e procedimentos para a auditoria e conformidade do Ministério da Gestão e da Inovação em Serviços Públicos , abordando o Plano de Verificação de Conformidade, que considere as unidades abrangidas, os aspectos para verificação da conformidade, as ações e atividades a serem realizadas, os documentos necessários para a fundamentação da verificação de conformidade e as responsabilidades e o Relatório de Avaliação de Conformidade, que considere o detalhamento das ações e das atividades com identificação do responsável, o parecer de conformidade e as recomendações. § 1o Para os fins do disposto no inciso XI do caput, devem ser abordados aspectos relacionados a: I - proteção dos ativos e sua classificação de acordo com a criticidade do ativo para o Ministério da Gestão e da Inovação em Serviços Públicos e para os órgãos solicitantes do Colabora Gov; II - manutenção de inventário atualizado de ativos do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov, contendo o tipo de ativo, sua localização, seu proprietário ou custodiante e seu status de segurança; III - uso aceitável de ativos, vedado o uso para fins particulares de seu responsável; IV - mapeamento de vulnerabilidades, ameaças e suas respectivas interdependências; o monitoramento de ativos, de acordo com os princípios legais de segurança da informação e privacidade; e V - investigação de sua operação e uso quando houver indícios de quebra de segurança ou privacidade. § 2o Para os fins do disposto no inciso XVIII do caput, devem ser abordados: I - a análise do ambiente do Ministério da Gestão e da Inovação em Serviços Públicos e dos órgãos solicitantes do Colabora Gov, dos seus ativos de informação e das ameaças à segurança da informação; II - a adoção de uma metodologia estruturada para identificar riscos; III - a documentação dos riscos identificados, incluindo sua descrição, origem, impacto potencial e probabilidade de ocorrência; IV - a avaliação de riscos, de forma a determinar o risco a se concretizar e o impacto potencial nos ativos de informação, bem como quais riscos devem ser priorizados para tratamento; e V - o tratamento dos riscos identificados e avaliados, o que pode incluir a mitigação de riscos, por meio da implementação de controles de segurança, ou a aceitação de riscos. Art. 23. Os órgãos de assistência direta e imediata e órgãos singulares da estrutura do Ministério da Gestão e da Inovação em Serviços Públicos devem realizar periodicamente auditorias internas de sua segurança da informação para assegurar que ela esteja em conformidade com a POSI-MGI e com outros requisitos de segurança da informação aplicáveis. Art. 24. As atividades, produtos e serviços desenvolvidos no Ministério da Gestão e da Inovação em Serviços Públicos devem estar em conformidade com requisitos de privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes. Art. 25. São vedadas as seguintes condutas: I - utilização dos recursos de tecnologia da informação disponibilizados pelo Ministério da Gestão e da Inovação em Serviços Públicos para acesso, guarda e divulgação de material incompatível com ambiente do serviço, que viole direitos autorais ou que infrinja a legislação vigente; II - uso e a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo Ministério da Gestão e da Inovação em Serviços Públicos; III - divulgação a terceiros de mecanismos de identificação, autenticação e autorização baseados em conta e senha ou certificação digital, de uso pessoal e intransferível, que são fornecidos aos usuários; e IV - exploração de eventuais vulnerabilidades, as quais devem ser comunicadas às instâncias superiores assim que identificadas. Art. 26. As denúncias de violação a POSI-MGI podem ser comunicadas ao Gestor de Segurança da Informação e feitas através dos canais disponibilizados na página de segurança da informação, na Intranet. CAPÍTULO IV DISPOSIÇÕES FINAIS Art. 27. O cumprimento da POSI-MGI, bem como dos normativos que a complementam devem ser avaliados periodicamente pelo Ministério da Gestão e da Inovação em Serviços Públicos, por meio de verificações de conformidade, buscando a certificação do cumprimento dos requisitos de segurança da informação e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres. Art. 28. A não observância do disposto na POSI-MGI, bem como em seus instrumentos normativos correlatos sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e civil, assegurados o contraditório e a ampla defesa. Art. 29. A POSI-MGI será revisada periodicamente, pelo menos a cada quatro anos, ou com mais frequência, se necessário, para refletir as mudanças no ambiente do Ministério da Gestão e da Inovação em Serviços Públicos, nos riscos à segurança da informação e nas melhores práticas de segurança da informação. Art. 30. As dúvidas sobre a POSI-MGI devem ser submetidas ao Comitê de Governança Digital e Segurança da Informação. Art. 31. Ficam revogadas: I - a Portaria ME no 218, de 19 de maio de 2020; II - a Portaria ME no 2.800, de 1o de abril de 2022; e III - a Portaria ME no 5.827, de 18 de maio de 2021. Art. 32. Esta Portaria entra em vigor na data de sua publicação. CILAIR RODRIGUES DE ABREU