PORTARIA GAB/MIR Nº 11, DE 9 DE JANEIRO DE 2026

PORTARIA GAB/MIR Nº 11, DE 9 DE JANEIRO DE 2026

Institui a Política de Segurança da Informação no âmbito do Ministério da Igualdade Racial e estabelece outras providências.

A MINISTRA DE ESTADO DA IGUALDADE RACIAL, no uso das atribuições conferidas pelo inciso II do parágrafo único do art. 87 da Constituição Federal, em conformidade com a Lei nº 13.709, de 14 de agosto de 2018, com o Decreto nº 12.572, de 4 de agosto de 2025, com o Decreto nº 12.573, de 4 de agosto de 2025, e com a Instrução Normativa PR/GSI nº 1, de 27 de maio de 2020, resolve:

Art. 1º Aprovar a Política de Segurança da Informação do Ministério da Igualdade Racial - POSIN, na forma do Anexo Único.

Art. 2º A POSIN e suas normas complementares serão revisadas dentro do intervalo máximo de 4 (quatro) anos ou sempre que ocorrerem mudanças significativas que afetem a base de avaliação de risco original ou em decorrência de alterações normativas e tecnológicas.

Art. 3º A POSIN, suas atualizações e as demais normas e instrumentos correlatos serão disponibilizados pelo endereço eletrônico https://www.gov.br/ igualdaderacial/pt-br/acesso-a-informacao/privacidade-e-dados-pessoais-1.

Art. 4º Esta portaria entra em vigor na data de sua publicação.

ANIELLE FRANCISCA DA SILVA

ANEXO ÚNICO

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO MINISTÉRIO DA IGUALDADE RACIAL

CAPÍTULO I - DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

Art. 1º A Política de Segurança da Informação - POSIN do Ministério da Igualdade Racial - MIR tem por objetivo estabelecer diretrizes, normas, responsabilidades e competências destinadas a garantir a proteção das informações tratadas e custodiadas pelo órgão, assegurando sua integridade, disponibilidade, confidencialidade, autenticidade e conformidade com a legislação e regulamentação vigentes.

Art. 2º A POSIN aplica-se a todas as autoridades, servidores, colaboradores, prestadores de serviços, estagiários e terceiros que, de qualquer forma, acessem, tratem ou utilizem os ativos de informação do MIR, constituídos pelos equipamentos, sistemas e outros meios de armazenamento, transmissão e processamento de informações, bem como os locais onde se encontram esses meios, os recursos humanos que a eles têm acesso e o conhecimento ou dado que tem valor para o MIR.

Art. 3º Aplicam-se as definições constantes do Glossário de Segurança da Informação aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, e suas atualizações.

CAPÍTULO II - DOS OBJETIVOS

Art. 4º São objetivos da Política de Segurança da Informação:

I - proteger as informações tratadas pelo MIR, em qualquer meio ou formato;

II- prevenir incidentes de segurança e danos a pessoas, sistemas e ao órgão;

III - assegurar a conformidade com as normas sobre segurança da informação, cibersegurança, governança de dados, privacidade e tratamento de dados pessoais e acesso à informação e outras sobre temas correlatos;

IV - definir controles e medidas de gestão de riscos relacionados à segurança da informação e temas correlatos;

V - estabelecer mecanismos de resposta a incidentes e continuidade das operações;

VI - promover a conscientização e o treinamento contínuo em segurança da informação; e

VII - fortalecer a governança e a cultura organizacional de segurança, privacidade e proteção de dados pessoais e cibersegurança;

CAPÍTULO III - PRINCÍPIOS

Art. 5º A POSIN é orientada pelos seguintes princípios:

I - necessidade de conhecer;

II - privilégio mínimo;

III - defesa em profundidade;

IV - proteção de dados pessoais e da privacidade;

V - gestão de riscos e melhoria contínua;

VI - simplicidade e objetividade dos controles;

VII - educação e cultura de segurança;

VIII - transparência e responsabilidade; e

IX - articulação entre segurança cibernética, defesa cibernética e proteção de dados.

CAPÍTULO IV - DAS DIRETRIZES GERAIS

Art. 6º As normas e procedimentos complementares deverão abordar, no mínimo:

I - tratamento e classificação da informação;

II - segurança física e lógica;

III - gestão de ativos e acessos;

IV - gestão de riscos e continuidade;

V - gestão de incidentes;

VI - auditoria, conformidade e registro de logs;

VII - uso de recursos tecnológicos e comunicações;

VIII - capacitação e conscientização contínua.

CAPÍTULO V - DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO

Art. 7º A governança da segurança da informação no MIR compreende:

I - a alta administração;

II - o Comitê Gerencial de Segurança da Informação - CGSI;

III - o gestor de segurança da informação;

IV - a Equipe de Tratamento e Resposta a Incidentes de Segurança Cibernética - ETIR-C; e

V - o encarregado pelo tratamento de dados pessoais.

CAPÍTULO VI - DAS RESPONSABILIDADES

Art. 8º Compete à alta administração:

I - aprovar e divulgar a POSIN;

II - tomar as decisões, implementar as medidas e prover os recursos que sejam necessários à execução da POSIN, especialmente em relação à gestão dos riscos à segurança da informação e privacidade e à catalogação, inventário e curadoria de dados;

III - zelar pela inclusão de cláusulas de segurança nos contratos;

IV - promover cultura institucional de proteção de dados e segurança da informação; e

V - aprovar os demais planos, normas e diretrizes e supervisionar sua execução.

Art. 9º Compete ao CGSI:

I - viabilizar a coordenação da implementação e do monitoramento da POSIN e dos demais componentes da governança de segurança da informação; e

II - deliberar sobre normas complementares, riscos, indicadores e resultados da POSIN; e

III - promover integração com o Comitê de Governança de Tecnologia da Informação e Comunicação e de Dados.

Art. 10\. Compete ao gestor de segurança da informação:

I - realizar a coordenação técnica e a integração entre os demais componentes da governança da segurança da informação;

II - conduzir os diagnósticos necessários à segurança da informação, bem como orientar, planejar e monitorar as medidas de segurança da informação.

Art. 11\. Compete à ETIR-C:

I - monitorar incidentes e ameaças cibernéticas;

II - registrar, classificar e responder aos incidentes;

III - manter histórico e relatórios periódicos ao CGSI; e

IV - cooperar com a Agência Nacional de Proteção de Dados - ANPD e órgãos de controle quando aplicável.

Art. 12\. Compete ao Encarregado pelo Tratamento de Dados Pessoais:

I - receber comunicações da ANPD e dos titulares de dados;

II- participar da formulação e adoção das medidas corretivas com o gestor de segurança da informação e a ETIR-C;

III - conduzir as medidas relativas ao diagnóstico de privacidade, bem como orientar os agentes sobre o planejamento, implementação e monitoramento das medidas de privacidade; e

IV - supervisionar o inventário de dados pessoais.

Art. 13\. Todos os servidores, colaboradores e prestadores de serviço devem:

I - cumprir esta Política e as normas complementares;

II - reportar imediatamente incidentes de segurança;

III - utilizar os ativos de informação de forma ética e institucional;

IV - participar dos treinamentos.

CAPÍTULO VII - DA RESPOSTA E DA COMUNICAÇÃO DE INCIDENTES

Art. 14\. As medidas de resposta a incidentes de segurança de informação, de cibersegurança e de privacidade devem observar as normas, procedimentos e prazos estabelecidos pela ANPD, pelo Gabinete de Segurança Institucional da Presidência da República - GSI/PR, pelo Ministério da Gestão e Inovação em Serviços Públicos - MGI, pela Controladoria-Geral da União - CGU e por outros órgãos supervenientes que venham a atuar como responsáveis pela orientação normativa e supervisão de medidas relacionados aos assuntos desta Política.

§ 1º Os incidentes de segurança relacionados a dados pessoais verificados a partir de procedimentos de apuração ou informados pelo recebimento de comunicações serão notificados pelo encarregado de dados pessoais à ANPD e aos titulares de dados pessoais com base nas normas e regulamentos aplicáveis.

§ 2º O MIR adotará as demais normas necessárias para resposta e tratamento de incidentes que especifique os procedimentos, prazos, registros e responsabilidades dos componentes da governança da segurança da informação.

CAPÍTULO VIII - DA GESTÃO DE RISCOS E DO ACESSO À INFORMAÇÃO

Art. 15\. O MIR adotará metodologia formal de Gestão de Riscos de Segurança da Informação em consonância com a Política de Gestão de Riscos e Controles Interno e ao Plano de Gestão de Riscos, abrangendo:

I - identificação, análise e avaliação de riscos;

II - definição de medidas de tratamento e aceitação de riscos residuais; e

III - manutenção de registro atualizado dos riscos e dos responsáveis por seu tratamento.

Art. 16\. É garantido o acesso público às informações sob custódia do MIR, observadas as exceções elencadas nos artigos 7º, §3º, 22, 23 e 31 da Lei nº 12.527, de 11 de novembro de 2011, e no artigo 13 do Decreto nº 7.724, de 16 de maio de 2012.

CAPÍTULO IX - DA CONTINUIDADE DO NEGÓCIO E DA AUDITORIA

Art. 17\. O MIR elaborará e manterá planos e medidas de continuidade de negócio, mitigação e recuperação de incidentes e desastres, que serão revisados periodicamente e testados sempre que houver alteração relevante na infraestrutura tecnológica.

Art. 18\. A execução das ações e controles previstos nesta Política estão sujeitos à auditoria do Sistema de Controle Interno do Poder Executivo Federal.

CAPÍTULO X - DAS PENALIDADES

Art. 19\. Ações que violem esta Política, normas ou controles de segurança correlatos estarão sujeitas às sanções disciplinares, civis e penais cabíveis, conforme legislação vigente.

CAPÍTULO XI - DAS DISPOSIÇÕES FINAIS

Art. 20\. A POSIN, suas normas complementares e planos associados deverão ser amplamente divulgados por meio eletrônico e institucional.

Art. 21\. Casos omissos serão resolvidos pelo CGSI, observando a legislação aplicável.