PORTARIA MIDR No 386, DE 3 DE FEVEREIRO DE 2026 Institui a Política de Segurança da Informação - PSI do Ministério da Integração e do Desenvolvimento Regional - MIDR. O MINISTRO DE ESTADO DA INTEGRAÇÃO E DO DESENVOLVIMENTO REGIONAL, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto no Decreto no 12.572, de 4 de agosto de 2025, e na Instrução Normativa GSI/PR no 1, de 27 de maio de 2020, resolve: Art. 1o Fica instituída a Política de Segurança da Informação - PSI no âmbito do Ministério da Integração e do Desenvolvimento Regional - MIDR, com o objetivo de estabelecer princípios e diretrizes para a implementação de ações de segurança da informação, contribuindo para a gestão eficiente dos riscos, limitando-os a níveis aceitáveis, e preservando os princípios da disponibilidade, integridade, confidencialidade, confiabilidade e autenticidade dos dados e das informações. CAPÍTULO I DAS DISPOSIÇÕES GERAIS Art. 2o Esta Política de Segurança da Informação - PSI do Ministério da Integração e do Desenvolvimento Regional estabelece diretrizes, princípios, responsabilidades e controles para assegurar a proteção das informações institucionais, nos termos da legislação vigente, especialmente o Decreto no 12.572, de 4 de agosto de 2025, o Decreto no 12.573, de 4 de agosto de 2025, a Lei no 13.709, de 14 de agosto de 2018, e demais normativos correlatos. Art. 3o A segurança da informação no âmbito do Ministério da Integração e do Desenvolvimento Regional tem por objetivos: I - garantir a disponibilidade, integridade, confidencialidade e autenticidade das informações; II - assegurar o tratamento adequado de dados pessoais, conforme a Lei no 13.709, de 14 de agosto de 2018; III - promover a conformidade com a legislação vigente e com as normas internas aplicáveis; IV - proteger os ativos de informação por meio de medidas de segurança cibernética, segurança física e proteção dos dados organizacionais; e V - contribuir para a implementação da Estratégia Nacional de Cibersegurança - E-Ciber, com foco na proteção de serviços essenciais, infraestruturas críticas, cooperação institucional e resiliência cibernética. Art. 4o A PSI aplica-se a todos os agentes públicos, colaboradores, estagiários, prestadores de serviço e quaisquer pessoas físicas ou jurídicas que, direta ou indiretamente, tenham acesso a instalações, ambientes computacionais ou ativos de informação pertencentes ao Ministério da Integração e do Desenvolvimento Regional ou sob sua custódia. § 1o Esta Política também se aplica a todos os sistemas de informação, processos corporativos e aos relacionamentos institucionais mantidos pelo Ministério da Integração e do Desenvolvimento Regional com órgãos ou entidades públicas e privadas. § 2o Para fins de interpretação desta Política, aplicam-se os conceitos definidos no Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR no 93, de 18 de outubro de 2021, bem como os demais constantes da legislação pertinente. Art. 5o O Ministério da Integração e do Desenvolvimento Regional compromete-se com uma gestão eficaz da segurança da informação e, para tanto, adotará todas as medidas cabíveis para assegurar que esta Política seja devidamente comunicada, compreendida e observada em todos os níveis da organização. Parágrafo único. Esta Política será revisada periodicamente, de acordo com as necessidades institucionais e a evolução normativa e tecnológica, observado o prazo máximo de 4 (quatro anos), conforme o disposto no art. 12, § 1o, da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020. CAPÍTULO II DOS PRINCÍPIOS E DAS DIRETRIZES Art. 6o São princípios a serem observados na implementação da PSI do Ministério da Integração e do Desenvolvimento Regional: I - garantir a proteção das informações institucionais, com base na disponibilidade, integridade, confidencialidade e autenticidade, bem como preservar a imagem e os interesses do Ministério da Integração e do Desenvolvimento Regional; II - assegurar a proteção de dados pessoais e informações com acesso restrito, conforme a legislação vigente, especialmente a Lei no 13.709, de 14 de agosto de 2018; III - promover a cultura organizacional de segurança da informação e de privacidade, por meio da conscientização e da corresponsabilidade dos agentes envolvidos; e IV - manter a conformidade com a legislação, normas internas e boas práticas, orientando a tomada de decisões que assegurem a efetividade das ações de segurança da informação, com base na gestão de riscos. Seção I Das diretrizes gerais Art. 7o A PSI do Ministério da Integração e do Desenvolvimento Regional será pautada nas seguintes diretrizes gerais: I - governança e responsabilidades: estabelecer responsabilidades claras para a implementação da Política de Segurança da Informação, com a designação formal de um gestor de segurança da informação, responsável por coordenar sua implementação, execução e atualização, bem como apoiar a definição de papéis e competências institucionais; II - proteção da informação: classificar as informações conforme sua sensibilidade e criticidade; implementar controles de acesso baseados em autenticação e autorização; manter processos contínuos de identificação, avaliação e tratamento de vulnerabilidades; e instituir plano de resposta a incidentes de segurança da informação, com procedimentos definidos para minimizar danos e restaurar a operação normal; III - monitoramento, auditoria e melhoria contínua: adotar mecanismos de monitoramento, auditoria e avaliação da conformidade para assegurar a aplicação das políticas e subsidiar melhorias nos processos de segurança, gestão de riscos, continuidade e proteção dos ativos informacionais; IV - conscientização e cultura organizacional: promover ações de capacitação, de conscientização e de treinamentos contínuos, visando à formação de uma cultura institucional voltada à segurança da informação e à proteção de dados; e V - cooperação institucional: buscar a cooperação e integração com outros órgãos públicos e entidades privadas no intercâmbio de informações de segurança, alertas e iniciativas de cibersegurança, conforme previsto na Estratégia Nacional de Cibersegurança - E-Ciber. Seção II Do tratamento da informação Art. 8o Os dados e as informações institucionais do Ministério da Integração e do Desenvolvimento Regional são considerados bens e propriedades do órgão, devendo ser tratados e protegidos de acordo com as diretrizes desta Política e demais normas aplicáveis, com vistas a garantir sua disponibilidade, integridade, autenticidade e, quando necessário, confidencialidade, independentemente do meio ou ambiente em que estejam armazenados, processados ou transmitidos. § 1o A segurança da informação deve ser prevista e realizada em todo o ciclo de vida dos dados, sendo apoiada pelo desenvolvimento de software seguro e de uma governança efetiva dos dados. § 2o É permitido o tratamento de informações sem restrição de acesso em ambientes de nuvem interna ou externa, observadas as normas institucionais de segurança. Art. 9o O tratamento de informações, inclusive as de natureza pessoal, deve respeitar os direitos fundamentais à intimidade, à vida privada, à honra e à imagem, bem como as liberdades e garantias individuais, conforme a Lei no 13.709, de 14 de agosto de 2018, e a Lei no 12.527, de 18 de novembro de 2011. § 1o É vedado o uso de recursos tecnológicos do Ministério da Integração e do Desenvolvimento Regional para acesso, guarda ou disseminação de conteúdo discriminatório, malicioso, obsceno, ilegal ou contrário a ética. § 2o Os ativos de informação devem ser protegidos preventivamente contra ameaças e riscos, sendo obrigatória a observância das normas internas para o manuseio e descarte de informações classificadas em qualquer grau de sigilo. § 3o Os responsáveis por ativos de informação devem adotar medidas de controle, rastreabilidade e verificação de acessos, especialmente em sistemas corporativos e redes computacionais. § 4o O compartilhamento de dados com outros órgãos ou entidades da Administração Pública deve respeitar a legislação vigente, os níveis de sigilo e as diretrizes de segurança definidos pelo Ministério da Integração e do Desenvolvimento Regional . § 5o Todos os usuários são responsáveis pela proteção dos ativos de informação sob sua guarda ou uso, inclusive quando operando fora das dependências do órgão, devendo utilizar, preferencialmente, ferramentas de trabalho homologadas pela Unidade de Tecnologia da Informação. Seção III Da segurança física e do ambiente Art. 10. A segurança física e do ambiente no Ministério da Integração e do Desenvolvimento Regional tem como objetivo prevenir danos, perdas, roubos ou interferências nas instalações que possam comprometer os ativos de informação, garantindo a proteção adequada dos locais e dos equipamentos onde informações sensíveis ou críticas são tratadas. § 1o Devem ser adotados controles de acesso físico e salvaguardas nas áreas onde dados e informações são elaborados, processados, armazenados ou manuseados, independentemente do meio utilizado. § 2o Equipamentos e áreas destinados ao processamento de informações devem ser protegidos contra acessos não autorizados, danos ou interferências indevidas. § 3o A unidade responsável pela segurança organizacional deverá implementar perímetros físicos de segurança que assegurem a separação entre ambientes internos e externos, utilizando mecanismos de registro e autorização de entrada que garantam o acesso exclusivamente a pessoas autorizadas. Seção IV Da gestão de incidentes em segurança da informação Art. 11. Devem ser estabelecidos procedimentos formais para a prevenção, auditoria, detecção, notificação e tratamento de incidentes de segurança da informação, de forma a garantir a continuidade das atividades do Ministério da Integração e do Desenvolvimento Regional e prevenir impactos nos seus objetivos estratégicos. § 1o A estruturação da Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR, bem como as medidas de resposta, deverão estar alinhadas às diretrizes desta Política, competindo ao Comitê de Governança Digital, Segurança da Informação e Proteção de Dados Pessoais - CGDSP e à ETIR adotar providências dentro de suas respectivas competências. § 2o Os incidentes de segurança deverão ser registrados, analisados periodicamente e comunicados imediatamente ao Encarregado pelo Tratamento de Dados Pessoais, que orientará as ações corretivas a serem adotadas. § 3o Quando envolverem dados pessoais, os incidentes de segurança deverão ser comunicados, no prazo de 3 (três) dias úteis, à Autoridade Nacional de Proteção de Dados - ANPD e aos titulares afetados, sempre que houver risco ou dano relevante aos direitos desses titulares. Seção V Da gestão de ativos Art. 12. A gestão dos ativos de tecnologia da informação do Ministério da Integração e do Desenvolvimento Regional deve garantir sua proteção, rastreabilidade, uso adequado e integração com os processos de segurança da informação, observando os seguintes requisitos: I - os ativos devem ser inventariados e protegidos contra indisponibilidade, acessos indevidos, ameaças, alterações, falhas, perdas, danos, furtos, roubos, interrupções não programadas e demais incidentes de segurança; II - o mapeamento dos ativos deve subsidiar a gestão da segurança da informação, incidentes, riscos, continuidade de negócios, conformidade, auditoria e melhoria contínua; III - a entrada e a saída de ativos nas dependências do Ministério da Integração e do Desenvolvimento Regional devem ser previamente autorizadas e registradas por autoridade competente; IV - os ativos devem estar sujeitos a mecanismos de monitoramento e rastreabilidade de uso; V - deve ser identificado o custodiante responsável por cada ativo; VI - é vedado o uso de ativos institucionais para fins particulares ou de terceiros, entretenimento, veiculação de opiniões político-partidárias, religiosas, discriminatórias ou outras em desacordo com a legislação vigente; e VII - no caso de dispositivos móveis, deve haver registro formal de cessão e uso. Seção VI Da gestão do uso dos recursos operacionais e de comunicações Art. 13. É vedada a instalação de softwares ou sistemas não homologados pela Unidade de Tecnologia da Informação do Ministério da Integração e do Desenvolvimento Regional. Parágrafo único. Excepcionalmente, mediante justificativa, a instalação de softwares não homologados poderá ser autorizada pela Unidade de Tecnologia da Informação. Art. 14. O acesso remoto aos recursos computacionais deve ocorrer com mecanismos de segurança definidos pela Unidade de Tecnologia da Informação, mediante autorização formal. Parágrafo único. O suporte técnico poderá acessar remotamente as estações de trabalho dos usuários, com permissão destes ou por demanda da Unidade de Tecnologia da Informação, exclusivamente para fins de execução de serviços relacionados a recursos computacionais autorizados ou homologados por aquela Unidade de Tecnologia da Informação. Art. 15. A guarda e o uso das senhas de acesso à rede e aos sistemas são de responsabilidade de cada usuário. Art. 16. O uso dos recursos operacionais e de comunicação deve seguir as diretrizes desta Política e observar, no mínimo: I - o correio eletrônico institucional deve ser utilizado como canal oficial exclusivamente para fins funcionais; II - o acesso à internet deve ser disciplinado para uso restrito às atividades institucionais; III - a implementação ou contratação de soluções em nuvem deve obedecer à legislação vigente e às normas internas; e IV - informações classificadas em qualquer grau de sigilo devem ser protegidas com criptografia adequada. Seção VII Dos controles de acesso Art. 17. O controle de acesso, credenciais e perfis dos usuários deve observar os seguintes procedimentos: I - no ingresso do usuário: a) criação de perfis com níveis de autorização compatíveis com as atividades; b) concessão de credenciais de acesso; c) acesso apenas aos ativos necessários, com rastreabilidade das ações; d) assinatura de Termo de Compromisso de sigilo sobre informações restritas, inclusive após desligamento ou movimentação; e e) garantia de que o acesso físico e lógico seja concedido somente a pessoas autorizadas, com base em critérios de negócio e segurança da informação. II - no desligamento ou movimentação do usuário: a) desativação dos perfis; b) revogação das credenciais; e c) devolução dos ativos de informação sob sua responsabilidade. Parágrafo único. O princípio do menor privilégio deve ser observado na concessão de acessos. Art. 18. A proposição de ações de divulgação e conscientização em segurança da informação pode ser feita por qualquer agente público e será submetida à apreciação da Unidade de Tecnologia da Informação. Art. 19. O acesso à informação e aos ativos que a armazenam será concedido com base nos requisitos de negócio e de segurança, devendo ser monitorado para garantir a rastreabilidade e a auditoria. Parágrafo único. Os controles de acesso devem observar as disposições da Lei no 13.709, de 14 de agosto de 2018 e estar alinhados ao Programa de Governança em Privacidade - PGP do Ministério da Integração e do Desenvolvimento Regional, conforme previsto no art. 50 da referida Lei. Art. 20. Os sistemas que tratam informações restritas devem adotar, sempre que possível, autenticação com mais de um fator. Art. 21. O credenciamento de usuários para acesso a documentos classificados será regulamentado em norma específica. Art. 22. O controle de acesso deve abranger tanto o nível físico quanto o lógico, conforme procedimentos definidos pelas áreas competentes. Parágrafo único. O trabalho remoto, quando autorizado, deve ser realizado em conformidade com os requisitos de segurança da informação definidos nesta PSI e em normativos complementares, garantindo a proteção dos ativos de informação mesmo fora das dependências do Ministério da Integração e do Desenvolvimento Regional. Seção VIII Da gestão de riscos e de continuidade Art. 23. A gestão de riscos de segurança da informação deve ser realizada de forma sistemática e contínua, abrangendo todos os ativos de informação do Ministério da Integração e do Desenvolvimento Regional e considerando os aspectos de disponibilidade, integridade, confidencialidade e autenticidade. § 1o Deverá ser observada a Metodologia de Avaliação de Riscos e Controles aprovada pelo colegiado de governança do Ministério da Integração e do Desenvolvimento Regional. § 2o A segurança da informação deve contribuir para a continuidade dos negócios, com a definição de medidas de controle e recuperação, com base na priorização de processos críticos e nos riscos identificados. § 3o O processo de continuidade visa minimizar impactos decorrentes de falhas, desastres ou indisponibilidades significativas, por meio de ações de resposta a incidentes e recuperação de desastres. § 4o As contratações de serviços, convênios, acordos de cooperação e outros instrumentos congêneres que envolvam ativos de informação do Ministério da Integração e do Desenvolvimento Regional deverão conter cláusulas específicas de segurança da informação, observando as diretrizes desta PSI e dos normativos internos complementares. Seção IX Da auditoria e da conformidade Art. 24. O uso dos ativos de informação do Ministério da Integração e do Desenvolvimento Regional deve ser passível de monitoramento e auditoria, devendo existir mecanismos que permitam sua rastreabilidade, controle e verificação de acessos a sistemas e rede interna do Ministério. Parágrafo único. Fragilidades ou alterações identificadas durante atividades de auditoria ou monitoramento devem ser comunicadas imediatamente ao Comitê de Governança Digital, Segurança da Informação e Proteção de Dados Pessoais - CGDSP. Art. 25. A conformidade das práticas de segurança da informação adotadas pelo Ministério da Integração e do Desenvolvimento Regional deve ser verificada periodicamente, observando as diretrizes desta PSI, bem como as normas elaboradas pelo Gabinete de Segurança Institucional da Presidência da República - GSI/PR, na forma do art. 8o, do Decreto no 12.572, de 4 de agosto de 2025. Parágrafo único. As ações de conformidade interna deverão observar diretrizes do Plano Nacional de Cibersegurança - PN Ciber, de modo a articular os objetivos institucionais com a estratégia nacional. CAPÍTULO III RESPONSABILIDADES E COMPETÊNCIAS Art. 26. O Ministério da Integração e do Desenvolvimento Regional deverá instituir e manter instâncias e estruturas de governança voltadas à segurança da informação, incluindo a alta administração, os gestores das unidades organizacionais, o Gestor de Segurança da Informação, a Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR, entre outras que se fizerem necessárias, responsáveis por coordenar, implementar, monitorar e promover ações para a proteção dos ativos de informação, conforme legislação vigente e normativos internos específicos. Art. 27. O Comitê de Governança Digital, Segurança da Informação e Proteção de Dados Pessoais - CGDSP exercerá as competências do Comitê de Segurança da Informação - CSI, em atendimento ao art. 20 da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020: I - assessorar a implementação das ações de segurança da informação; II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação; III - participar da elaboração da PSI e das normas internas de segurança da informação; IV - propor alterações à PSI e às normas internas de segurança da informação; e V - deliberar sobre normas internas de segurança da informação. CAPÍTULO IV DAS DISPOSIÇÕES FINAIS Art. 28. A violação das regras estabelecidas nesta Política e nos normativos internos de segurança da informação poderá acarretar responsabilização administrativa, civil e penal, nos termos da legislação vigente, garantidos a ampla defesa e o contraditório. Art. 29. As omissões e dúvidas decorrentes da aplicação desta Política serão dirimidas pelo Comitê de Governança Digital, Segurança da Informação e Proteção de Dados Pessoais - CGDSP. Art. 30. Atos a serem editados, por meio de Portaria, pelo Ministro de Estado, ou por agente público que tenha recebido delegação formal de competência para tal finalidade, observados os limites estabelecidos no respectivo instrumento de delegação, disporão sobre: I - a designação do gestor de segurança da informação no âmbito do Ministério da Integração e do Desenvolvimento Regional conforme o disposto no art. 18 da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020; II - a instituição do CGDSP, bem como suas competências, composição e deliberações, de acordo com o art. 15, inciso II, art. 20 e art. 21, da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020; e III - a constituição, a composição, as atribuições e o escopo de atuação da ETIR, conforme o disposto no art. 15, inciso IV e no art. 22 da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020. § 1o A ETIR do Ministério da Integração e do Desenvolvimento Regional adotará procedimentos e guias metodológicos da rede federal coordenada pelo GSI/PR. § 2o A ETIR do Ministério da Integração e do Desenvolvimento Regional será responsável por adotar medidas específicas para serviços essenciais inerentes ao seu âmbito de atuação, conforme o Decreto no 12.572, de 4 de agosto de 2025, art. 4o, inciso II. Art. 31. Esta Portaria entra em vigor sete dias após a data de sua publicação. ANTONIO WALDEZ GÓES DA SILVA