PORTARIA GAB/MIR No 11, DE 9 DE JANEIRO DE 2026 Institui a Política de Segurança da Informação no âmbito do Ministério da Igualdade Racial e estabelece outras providências. A MINISTRA DE ESTADO DA IGUALDADE RACIAL, no uso das atribuições conferidas pelo inciso II do parágrafo único do art. 87 da Constituição Federal, em conformidade com a Lei no 13.709, de 14 de agosto de 2018, com o Decreto no 12.572, de 4 de agosto de 2025, com o Decreto no 12.573, de 4 de agosto de 2025, e com a Instrução Normativa PR/GSI no 1, de 27 de maio de 2020, resolve: Art. 1o Aprovar a Política de Segurança da Informação do Ministério da Igualdade Racial - POSIN, na forma do Anexo Único. Art. 2o A POSIN e suas normas complementares serão revisadas dentro do intervalo máximo de 4 (quatro) anos ou sempre que ocorrerem mudanças significativas que afetem a base de avaliação de risco original ou em decorrência de alterações normativas e tecnológicas. Art. 3o A POSIN, suas atualizações e as demais normas e instrumentos correlatos serão disponibilizados pelo endereço eletrônico igualdaderacial/pt-br/acesso-a-informacao/privacidade-e-dados-pessoais-1. Art. 4o Esta portaria entra em vigor na data de sua publicação. ANIELLE FRANCISCA DA SILVA ANEXO ÚNICO POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO MINISTÉRIO DA IGUALDADE RACIAL CAPÍTULO I - DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO Art. 1o A Política de Segurança da Informação - POSIN do Ministério da Igualdade Racial - MIR tem por objetivo estabelecer diretrizes, normas, responsabilidades e competências destinadas a garantir a proteção das informações tratadas e custodiadas pelo órgão, assegurando sua integridade, disponibilidade, confidencialidade, autenticidade e conformidade com a legislação e regulamentação vigentes. Art. 2o A POSIN aplica-se a todas as autoridades, servidores, colaboradores, prestadores de serviços, estagiários e terceiros que, de qualquer forma, acessem, tratem ou utilizem os ativos de informação do MIR, constituídos pelos equipamentos, sistemas e outros meios de armazenamento, transmissão e processamento de informações, bem como os locais onde se encontram esses meios, os recursos humanos que a eles têm acesso e o conhecimento ou dado que tem valor para o MIR. Art. 3o Aplicam-se as definições constantes do Glossário de Segurança da Informação aprovado pela Portaria GSI/PR no 93, de 18 de outubro de 2021, e suas atualizações. CAPÍTULO II - DOS OBJETIVOS Art. 4o São objetivos da Política de Segurança da Informação: I - proteger as informações tratadas pelo MIR, em qualquer meio ou formato; II- prevenir incidentes de segurança e danos a pessoas, sistemas e ao órgão; III - assegurar a conformidade com as normas sobre segurança da informação, cibersegurança, governança de dados, privacidade e tratamento de dados pessoais e acesso à informação e outras sobre temas correlatos; IV - definir controles e medidas de gestão de riscos relacionados à segurança da informação e temas correlatos; V - estabelecer mecanismos de resposta a incidentes e continuidade das operações; VI - promover a conscientização e o treinamento contínuo em segurança da informação; e VII - fortalecer a governança e a cultura organizacional de segurança, privacidade e proteção de dados pessoais e cibersegurança; CAPÍTULO III - PRINCÍPIOS Art. 5o A POSIN é orientada pelos seguintes princípios: I - necessidade de conhecer; II - privilégio mínimo; III - defesa em profundidade; IV - proteção de dados pessoais e da privacidade; V - gestão de riscos e melhoria contínua; VI - simplicidade e objetividade dos controles; VII - educação e cultura de segurança; VIII - transparência e responsabilidade; e IX - articulação entre segurança cibernética, defesa cibernética e proteção de dados. CAPÍTULO IV - DAS DIRETRIZES GERAIS Art. 6o As normas e procedimentos complementares deverão abordar, no mínimo: I - tratamento e classificação da informação; II - segurança física e lógica; III - gestão de ativos e acessos; IV - gestão de riscos e continuidade; V - gestão de incidentes; VI - auditoria, conformidade e registro de logs; VII - uso de recursos tecnológicos e comunicações; VIII - capacitação e conscientização contínua. CAPÍTULO V - DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO Art. 7o A governança da segurança da informação no MIR compreende: I - a alta administração; II - o Comitê Gerencial de Segurança da Informação - CGSI; III - o gestor de segurança da informação; IV - a Equipe de Tratamento e Resposta a Incidentes de Segurança Cibernética - ETIR-C; e V - o encarregado pelo tratamento de dados pessoais. CAPÍTULO VI - DAS RESPONSABILIDADES Art. 8o Compete à alta administração: I - aprovar e divulgar a POSIN; II - tomar as decisões, implementar as medidas e prover os recursos que sejam necessários à execução da POSIN, especialmente em relação à gestão dos riscos à segurança da informação e privacidade e à catalogação, inventário e curadoria de dados; III - zelar pela inclusão de cláusulas de segurança nos contratos; IV - promover cultura institucional de proteção de dados e segurança da informação; e V - aprovar os demais planos, normas e diretrizes e supervisionar sua execução. Art. 9o Compete ao CGSI: I - viabilizar a coordenação da implementação e do monitoramento da POSIN e dos demais componentes da governança de segurança da informação; e II - deliberar sobre normas complementares, riscos, indicadores e resultados da POSIN; e III - promover integração com o Comitê de Governança de Tecnologia da Informação e Comunicação e de Dados. Art. 10. Compete ao gestor de segurança da informação: I - realizar a coordenação técnica e a integração entre os demais componentes da governança da segurança da informação; II - conduzir os diagnósticos necessários à segurança da informação, bem como orientar, planejar e monitorar as medidas de segurança da informação. Art. 11. Compete à ETIR-C: I - monitorar incidentes e ameaças cibernéticas; II - registrar, classificar e responder aos incidentes; III - manter histórico e relatórios periódicos ao CGSI; e IV - cooperar com a Agência Nacional de Proteção de Dados - ANPD e órgãos de controle quando aplicável. Art. 12. Compete ao Encarregado pelo Tratamento de Dados Pessoais: I - receber comunicações da ANPD e dos titulares de dados; II- participar da formulação e adoção das medidas corretivas com o gestor de segurança da informação e a ETIR-C; III - conduzir as medidas relativas ao diagnóstico de privacidade, bem como orientar os agentes sobre o planejamento, implementação e monitoramento das medidas de privacidade; e IV - supervisionar o inventário de dados pessoais. Art. 13. Todos os servidores, colaboradores e prestadores de serviço devem: I - cumprir esta Política e as normas complementares; II - reportar imediatamente incidentes de segurança; III - utilizar os ativos de informação de forma ética e institucional; IV - participar dos treinamentos. CAPÍTULO VII - DA RESPOSTA E DA COMUNICAÇÃO DE INCIDENTES Art. 14. As medidas de resposta a incidentes de segurança de informação, de cibersegurança e de privacidade devem observar as normas, procedimentos e prazos estabelecidos pela ANPD, pelo Gabinete de Segurança Institucional da Presidência da República - GSI/PR, pelo Ministério da Gestão e Inovação em Serviços Públicos - MGI, pela Controladoria-Geral da União - CGU e por outros órgãos supervenientes que venham a atuar como responsáveis pela orientação normativa e supervisão de medidas relacionados aos assuntos desta Política. § 1o Os incidentes de segurança relacionados a dados pessoais verificados a partir de procedimentos de apuração ou informados pelo recebimento de comunicações serão notificados pelo encarregado de dados pessoais à ANPD e aos titulares de dados pessoais com base nas normas e regulamentos aplicáveis. § 2o O MIR adotará as demais normas necessárias para resposta e tratamento de incidentes que especifique os procedimentos, prazos, registros e responsabilidades dos componentes da governança da segurança da informação. CAPÍTULO VIII - DA GESTÃO DE RISCOS E DO ACESSO À INFORMAÇÃO Art. 15. O MIR adotará metodologia formal de Gestão de Riscos de Segurança da Informação em consonância com a Política de Gestão de Riscos e Controles Interno e ao Plano de Gestão de Riscos, abrangendo: I - identificação, análise e avaliação de riscos; II - definição de medidas de tratamento e aceitação de riscos residuais; e III - manutenção de registro atualizado dos riscos e dos responsáveis por seu tratamento. Art. 16. É garantido o acesso público às informações sob custódia do MIR, observadas as exceções elencadas nos artigos 7o, §3o, 22, 23 e 31 da Lei no 12.527, de 11 de novembro de 2011, e no artigo 13 do Decreto no 7.724, de 16 de maio de 2012. CAPÍTULO IX - DA CONTINUIDADE DO NEGÓCIO E DA AUDITORIA Art. 17. O MIR elaborará e manterá planos e medidas de continuidade de negócio, mitigação e recuperação de incidentes e desastres, que serão revisados periodicamente e testados sempre que houver alteração relevante na infraestrutura tecnológica. Art. 18. A execução das ações e controles previstos nesta Política estão sujeitos à auditoria do Sistema de Controle Interno do Poder Executivo Federal. CAPÍTULO X - DAS PENALIDADES Art. 19. Ações que violem esta Política, normas ou controles de segurança correlatos estarão sujeitas às sanções disciplinares, civis e penais cabíveis, conforme legislação vigente. CAPÍTULO XI - DAS DISPOSIÇÕES FINAIS Art. 20. A POSIN, suas normas complementares e planos associados deverão ser amplamente divulgados por meio eletrônico e institucional. Art. 21. Casos omissos serão resolvidos pelo CGSI, observando a legislação aplicável.