DOU 24/12/2025 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152025122400095
95
Nº 245, quarta-feira, 24 de dezembro de 2025
ISSN 1677-7042
Seção 1
Seção II
Do Escopo
Art. 5º Esta portaria se aplica a todas as informações e dados pessoais cujo
tratamento esteja sob responsabilidade do Ministério do Desenvolvimento e Assistência
Social, Família e Combate à Fome, independentemente do meio utilizado para este
tratamento, seja digital ou físico, e às suas dependências físicas, bem como a qualquer
pessoa que circule nas dependências ou que interaja exercendo controle administrativo,
técnico ou operacional, mesmo que eventual, dos meios de tratamento, incluindo,
especificamente:
I - todos os servidores, sejam efetivos ou temporários;
II - todos os colaboradores, contratados e terceiros que trabalham para o
Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome; e
III - todos os colaboradores de parceiros que acessam fisicamente as
dependências ou que acessam ativos de informação do Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome.
Seção III
Dos Conceitos e Definições
Art. 6º Os conceitos e definições utilizados nesta Portaria seguem o glossário
de segurança da informação do Gabinete de Segurança Institucional - GSI, da Presidência
da República.
Seção IV
Dos Princípios
Art. 7º Constituem princípios que fundamentam o gerenciamento de
identidades e controle de acessos:
I - necessidade de conhecer, segundo o qual uma entidade só tem acesso às
informações que requerer para executar suas tarefas (diferentes tarefas ou funções
significam diferentes informações de necessidade de conhecer e diferentes perfis de
acesso);
II - necessidade de uso, segundo o qual a uma entidade só é atribuído acesso
à infraestrutura de tecnologia da informação caso haja uma necessidade clara presente;
III - menor privilégio, que estabelece que um utilizador, aplicativo ou sistema
deve ter acesso apenas ao mínimo de permissões e recursos estritamente necessários para
realizar suas funções;
IV - segregação de funções, que estabelece que nenhuma pessoa deve ter todo
o poder ou controle sobre um processo crítico;
V - acesso Just-in-Time - JIT e temporário, segundo o qual o acesso privilegiado
deve ser concedido apenas quando necessário e por um período limitado, devendo um
administrador solicitá-lo para uma tarefa específica, em vez de ter privilégios permanentes,
e o acesso revogado automaticamente após a conclusão;
VI - confiança zero, que estabelece que não se deve confiar em qualquer
entidade interna ou externa à rede de infraestrutura de tecnologia da informação da
organização, atuando sempre com a suposição de que existem violações de segurança,
implicando o modelo em alteração na postura, na política e no processo institucional,
visando eliminar os problemas de estratégias, com foco apenas no perímetro, por meio da
adoção de três princípios básicos:
a) exigência de acesso seguro a todos os recursos, independentemente da
origem da solicitação interna ou externa ou de quais recursos acesse;
b) adoção de um modelo de privilégio mínimo, com a utilização de políticas
adaptativas baseadas em risco e proteção de dados, em especial pelo controle de
permissões desnecessárias e usuários inativos; e
c) inspeção e registro de todos os eventos, com a aplicação de análises
avançadas, para detectar e responder às anomalias em tempo real.
CAPÍTULO II
DO ACESSO LÓGICO
Art. 8º O acesso lógico aos recursos da rede local do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome será realizado por meio
de sistema de controle de acesso.
§ 1º Compete à Subsecretaria de Tecnologia da Informação - STI administrar o
acesso dos usuários baseado em suas funções e responsabilidades.
§ 2º A Subsecretaria de Tecnologia da Informação - STI deve realizar,
periodicamente ou quando novas funções e ativos forem inseridos na organização, análises
de controle de acesso nos ativos institucionais para validar se todos os privilégios estão
autorizados para a execução de atividades de cada função.
Art. 9º Os acessos lógicos serão concedidos e mantidos pela Subsecretaria de
Tecnologia da Informação - STI, observado o disposto no § 1º do art. 8º e as seguintes regras:
I - terão direito a acesso lógico aos recursos da rede local os usuários de
recursos de tecnologia da informação;
II -
o acesso remoto aos
ativos de informação do
Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome deve ser realizado por
meio de Rede Virtual Privada (Virtual Private Network - VPN), no que couber, após as
devidas autorizações;
III - quando suportado pelo ativo, é obrigatória a utilização de Múltiplos
Fatores de Autenticação - MFA para a autenticação de acessos remotos; e
IV - quando suportado pelos ativos, o acesso a todas as aplicações corporativas
ou de terceiros que estejam hospedadas em fornecedores deve utilizar o Múltiplos Fatores
de Autenticação - MFA.
Art. 10. A concessão de acesso aos usuários que lidam com dados pessoais é limitada,
estritamente, aos sistemas que processam esses dados e para cumprir as finalidades a que se destinam,
em conformidade com o princípio da necessidade mencionado na Lei nº 13.709, de 14 de agosto de 2018,
alterada pela Lei nº 13.853, de 8 de julho de 2019 (Lei Geral de Proteção de Dados Pessoais - LGPD).
Parágrafo único. Ao atribuir ou revogar os direitos de acesso, a Subsecretaria
de Tecnologia da Informação - STI deverá:
I - verificar se o nível de acesso concedido é apropriado às operações de
tratamento de dados pessoais, além de ser consistente com outros requisitos, tal como a
segregação de funções;
II - assegurar que os direitos de acesso não foram ativados antes que o
procedimento de autorização esteja completo;
III - manter um registro preciso e atualizado dos perfis de acesso criados,
incluindo a relação dos usuários autorizados e as matrizes de acesso correspondentes a
cada um em relação ao respectivo ativo de informação;
IV - manter atualizados os direitos de acesso dos usuários que tenham mudado
de função ou de atividades e promover a imediata remoção ou bloqueio dos direitos de
acesso dos usuários que não estejam mais vinculados ao Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome; e
V - analisar criticamente os direitos de acesso em intervalos regulares.
Art. 11. A Subsecretaria de Tecnologia da Informação - STI deverá manter um inventário
de todas as contas gerenciadas, incluindo contas de usuário, administrativas, de testes e de serviço.
§ 1º O inventário das contas de serviço deve abranger, no mínimo, informações
sobre:
I - a unidade organizacional gestora do serviço; e
II - a data de criação ou última autorização de renovação de acesso.
§ 2º Compete à Subsecretaria de Tecnologia da Informação - STI validar todas
as contas ativas do Ministério do Desenvolvimento e Assistência Social, Família e Combate
à Fome, a cada 90 (noventa) dias.
Art. 12. A Subsecretaria de Tecnologia da Informação - STI deverá manter um
inventário dos sistemas de autenticação e autorização do Ministério do Desenvolvimento
e Assistência Social, Família e Combate à Fome, revisado periodicamente.
Art. 13. Quando suportadas, a Autenticação, Autorização e Auditoria - AAA dos
ativos de informação da infraestrutura de rede do Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome devem ser geridas de forma centralizada, se
possível, por meio de um serviço de diretório ou provedor de autenticação único, como o
Single Sign-On - SSO.
Art. 14. O acesso à rede local do Ministério do Desenvolvimento e Assistência
Social, Família e Combate à Fome deve assegurar que apenas colaboradores e dispositivos
autorizados possam interagir com partes específicas da rede, não se limitando, dentre elas:
I - à segmentação de rede; e
II - a protocolos de comunicação e redes seguros.
Seção I
Das Contas de Acesso Lógico
Art. 15. Para a utilização das estações de trabalho do Ministério do
Desenvolvimento e Assistência Social, Família e Combate à Fome, é obrigatório o uso de
uma conta de acesso lógico (login) e senha, fornecidos pela Subsecretaria de Tecnologia da
Informação - STI mediante solicitação formal do gestor da unidade ao qual o usuário está
vinculado.
§ 1º O formulário de solicitação de criação de conta de acesso se encontra
disponível para preenchimento via Sistema Eletrônico de Informação - SEI.
§ 2º Os privilégios de acesso dos usuários à rede local são definidos pela
unidade à qual o usuário está vinculado, limitando-se a atividades estritamente necessárias
à realização de suas atribuições.
§ 3º Na necessidade de utilização de perfil diferente do disponibilizado, o
gestor da unidade à qual o usuário está vinculado deverá encaminhar solicitação para a
Subsecretaria de Tecnologia da Informação - STI, que a examinará, podendo negá-la nos
casos em que entender desnecessária.
Art. 16. O login e a senha são de uso pessoal e intransferível, sendo vedados
o seu compartilhamento e a sua divulgação e estando sujeitos ao bloqueio imediato pela
Subsecretaria de Tecnologia da Informação - STI se constatado o uso indevido ou qualquer
irregularidade que possa prejudicar a segurança do Ministério do Desenvolvimento e
Assistência Social, Família e Combate à Fome.
Parágrafo único. No caso do bloqueio citado no caput, para retomar o acesso
à rede, deverá ser formalizada nova requisição de desbloqueio pelo gestor da unidade à
qual o usuário está vinculado.
Art. 17. Preferencialmente, o identificador da conta de acesso do usuário deve
seguir a estrutura [primeiro nome] + [ponto] + [último sobrenome].
§ 1º Caso seja constatada a existência de uma conta de acesso em uso com o
mesmo nome do novo usuário, a Subsecretaria de Tecnologia da Informação - STI realizará
uma combinação distinta utilizando as outras possibilidades de sobrenome que conste no
nome completo do usuário para o qual a conta está sendo criada.
§ 2º A Subsecretaria de Tecnologia da Informação - STI fornecerá uma senha
temporária para cada conta de acesso criada, que deverá ser alterada pelo usuário no
primeiro acesso à rede local.
Art. 18. O padrão adotado para o formato da senha é o definido pela
Subsecretaria de Tecnologia da Informação -STI, considerando:
I - a obrigatoriedade do uso de letras maiúsculas, minúsculas e números, com
tamanho mínimo de oito caracteres para contas que utilizam Multi-Factor Authentication
- MFA e 14 (catorze) caracteres para as contas que não utilizam Multi-Factor
Authentication - MFA;
II - a recomendação de utilização de letras maiúsculas, minúsculas e caracteres
especiais (ex: $, %, &);
III - a não utilização de sequência numérica (123...), alfabética (abc...), nomes
próprios, palavras de fácil dedução, datas, placa de carro, número de telefone, a própria
conta de acesso, apelidos ou abreviações, ou termos óbvios, tais como Brasil, senha,
usuário, password ou system; e
IV - a não reutilização das últimas 5 (cinco) senhas.
Art. 19. As senhas de acesso possuem validade de 90 (noventa) dias, devendo
o usuário efetuar a troca ao ser notificado.
Parágrafo único. Caso a mudança da senha não seja efetuada no prazo
estabelecido, o login será bloqueado, impossibilitando seu acesso à rede local até que seja
realizada solicitação de desbloqueio e uma nova senha seja atribuída.
Seção II
Do Bloqueio, Desbloqueio e Cancelamento da Conta de Acesso
Art. 20. A conta de acesso será bloqueada nos seguintes casos:
I - após 3 (três) falhas consecutivas de tentativas de acesso;
II - mediante solicitação do superior imediato do usuário, com a devida
justificativa;
III - quando houver suspeita de uso indevido dos serviços disponibilizados pelo
Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome ou de
descumprimento da Política de Segurança da Informação - POSIN e normas correlatas em
vigência; e
IV - após 45 (quarenta e cinco) dias consecutivos sem utilização pelo
usuário.
Art. 21. O desbloqueio da conta de acesso à rede local será realizado mediante
solicitação formal com justificativa do gestor imediato ao qual o usuário está vinculado à
Subsecretaria de Tecnologia da Informação - STI.
Art. 22. Em caso de afastamento temporário do usuário, a conta de acesso
deverá ser bloqueada a pedido do superior imediato ou da Unidade de Gestão de
Pessoas.
Art. 23. A conta de acesso não utilizada há mais de 45 (quarenta e cinco) dias
deverá ser excluído o acesso.
Parágrafo único. O acesso não será excluído se o servidor ou colaborador
estiver em gozo de licença ou afastamento legalmente permitido.
Art. 24. O processo formal de cancelamento de usuários que administram ou
operam sistemas e serviços, estabelecido pela Subsecretaria de Tecnologia da Informação
- STI, deve incluir a desativação ou exclusão imediata de usuário que tenha deixado o
Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Parágrafo único. Em caso de usuários com acesso privilegiado, a Subsecretaria
de Tecnologia da Informação - STI priorizará a revogação ou a desativação de contas com
o objetivo de manter dados e logs para possíveis auditorias.
Art. 25. A Subsecretaria de Tecnologia da Informação - STI deve configurar
bloqueio
automático de
sessão nos
ativos
após um
período de
inatividade
preestabelecido.
Parágrafo único. O período de inatividade de que trata o caput é específico
para cada tipo de ativo.
CAPÍTULO III
DO ACESSO FÍSICO
Art. 26. A Subsecretaria de Tecnologia da Informação - STI estabelecerá
perímetros de segurança para proteger ambientes e ativos contra acesso físico não
autorizado, danos e interferências, com base nas seguintes diretrizes:
I - indicação da localização e resistência dos perímetros de acordo com os
requisitos de segurança da informação relacionados aos ativos que se encontrem dentro
dos perímetros;
II - proteção dos ambientes seguros contra acessos não autorizados por meio
de mecanismos de controle de acesso, como fechaduras tradicionais ou digitais, que
possibilitem autenticação por biometria, senhas, Personal Identification Number - PIN ou
cartões de acesso;
III - execução de testes nos mecanismos de controle de acesso em períodos
pré-definidos para assegurar a funcionalidade total dos equipamentos;
IV - monitoramento dos mecanismos de controle de acesso por parte da
Subsecretaria de Tecnologia da Informação - STI; e
V - estabelecimento de uma área de recepção ou outros meios de controle de
acesso físico a ambientes em que não seja conveniente a implementação de mecanismos
de controle de acesso.
Art. 27. O acesso físico a ambientes seguros ou ativos de tratamento e
armazenamento de dados do Ministério do Desenvolvimento e Assistência Social, Família
e Combate à Fome é destinado apenas a pessoal autorizado.
Parágrafo único. A Subsecretaria de Tecnologia da Informação - STI mantém
um processo de gestão de acessos para fornecimento, revisão periódica, atualização e
revogação das autorizações.
Art. 28. A Subsecretaria de Tecnologia da Informação - STI retém e mantém
seguros os logs ou registros de todos os acessos físicos aos ativos de informação.
Art. 29. O acesso por fornecedores ou prestadores de serviços a ambientes
seguros ou ativos de
tratamento e
armazenamento de
dados que estejam nas
dependências do Ministério do Desenvolvimento e Assistência Social, Família e Combate à
Fome será concedido, somente quando necessário:
I - para fins específicos e autorizados;

                            

Fechar