São apresentadas as normas de segurança da informação na UFRR e a legislação federal correspondente.
Instrução Normativa nº 1, de 27 de maio de 2020 Presidência da República/Gabinete de Segurança Institucional – Dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos
Art. 15. … compete aos órgãos e às entidades da administração pública federal, …
I – designar um gestor de segurança da informação interno, indicado pela alta administração do órgão ou da entidade;
II – instituir Comitê de Segurança da Informação ou estrutura equivalente, para deliberar sobre os assuntos relativos à Política Nacional de Segurança da Informação;
III – promover ações de capacitação e profissionalização dos recursos humanos em temas relacionados à segurança da informação;
IV – instituir e implementar Equipe de Tratamento e Resposta a Incidentes Cibernéticos – ETIR, que constituirá a rede de equipes, integrada pelos órgãos e pelas entidades da administração pública federal, coordenada pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo do Gabinete de Segurança Institucional da Presidência da República; (…)
A INSTRUÇÃO NORMATIVA GSI/PR Nº 9, DE 8 DE JANEIRO DE 2026 altera a Instrução Normativa nº 1, de 27 de maio de 2020, criando mais requisitos e novas competências para o Gestor de Segurança da Informação.
O DECRETO Nº 10.748, DE 16 DE JULHO DE 2021 institui a Rede Federal de Gestão de Incidentes Cibernéticos, composta pelas equipes de prevenção, tratamento e resposta a incidentes cibernéticos (ETIR) dos órgãos federais, e coordenada pelo Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), do Gabinete de Segurança Institucional da Presidência da República (GSI/PR);
Art. 4º … considera-se:
I – equipe de prevenção, tratamento e resposta a incidentes cibernéticos – grupo de agentes públicos com a responsabilidade de prestar serviços relacionados à segurança cibernética para o órgão ou a entidade da administração pública federal, em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do órgão ou da entidade; (…)
§ 2º Os órgãos (…) atuarão na Rede Federal de Gestão de Incidentes Cibernéticos por meio das suas equipes de prevenção, tratamento e resposta a incidentes cibernéticos (…)
Art. 12. Compete aos órgãos (…):
I – instituir e implementar as suas equipes de prevenção, tratamento e resposta a incidentes cibernéticos, nos termos (…) nas normas de segurança da informação estabelecidas pelo Gabinete de Segurança Institucional da Presidência da República; (…)
IV – comunicar imediatamente o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, por meio de suas equipes de prevenção, tratamento e resposta a incidentes cibernéticos, sobre a existência de vulnerabilidades ou incidentes de segurança cibernética que impactem ou que possam impactar os serviços prestados ou contratados (…)
O Decreto nº 12.572, de 04 de agosto de 2025 institui a Política Nacional de Segurança da Informação:
Art. 10. Compete aos órgãos (…)
II – instituir comitê interno de segurança da informação ou estrutura equivalente;
III – designar o gestor de segurança da informação;
IV – elaborar, publicar, implementar e revisar regularmente suas políticas de segurança da informação e suas normas internas de segurança da informação, observados os normativos sobre segurança da informação editados pelo Gabinete de Segurança Institucional; (…)
O Programa de Privacidade e Segurança da Informação – PPSI, instituído pelo Portaria SGD/Ministério da Gestão e Inovação nº 9.511, de 28 de outubro de 2025, cria o Centro Integrado de Segurança Cibernética do Governo Digital – CISC Gov.br para coordenar operacionalmente as equipes de prevenção, tratamento e resposta a incidentes cibernéticos (ETIR’s) dos órgãos como a UFRR.
Art. 7º Compõem a estrutura de governança do PPSI:
I – a alta administração, (…);
II – o gestor de tecnologia da informação e comunicação, (…);
III – o gestor de segurança da informação, (…)
IV – o encarregado pelo tratamento de dados pessoais, (…)
V – o responsável setorial pela gestão da integridade, (…)
Art. 8º À alta administração compete gerir os riscos no âmbito organizacional, fornecer os recursos necessários para assegurar a gestão da privacidade e da segurança da informação, viabilizar a implementação da estrutura de governança do PPSI e adotar decisões sobre privacidade e segurança da informação (…).
Art. 9º Ao gestor de tecnologia da informação e comunicação compete planejar, desenvolver, executar e monitorar as medidas de privacidade e segurança da informação em soluções de tecnologia da informação e comunicação, considerando inclusive a cadeia de suprimentos relacionada à solução.
Art. 10. Ao gestor de segurança da informação compete conduzir o diagnóstico de segurança da informação, bem como orientar, planejar e monitorar as medidas de segurança da informação.
Art. 11. Ao encarregado pelo tratamento de dados pessoais compete conduzir o diagnóstico de privacidade, bem como orientar os agentes de tratamento no planejamento, implementação e monitoramento das medidas de privacidade.
Art. 12. Ao responsável setorial pela gestão da integridade compete o diagnóstico das medidas relativas à estruturação básica e instrumentos fundamentais de governança do PPSI, além da coordenação e gestão dos riscos para a integridade relacionados aos temas. (…)
Art. 14. Os órgãos (…) devem adotar o framework de privacidade e de segurança da informação, sendo sua gestão sob responsabilidade da estrutura de governança do PPSI. (…)
A Política de Segurança da Informação e Comunicação da UFRR – RESOLUÇÃO CUNI/UFRR Nº 035, de 16 de abril de 2021, estabelece que:
“Art. 13. Os recursos de tecnologia da informação e telecomunicações devem ser utilizados para a execução das atividades profissionais e acadêmicas dos usuários, exclusivamente.
….
Art. 15. Não é permitida a intervenção do usuário para manutenção física ou lógica, instalação, desinstalação, configuração ou modificação de qualquer natureza no equipamento.
…
Art. 20. … Parágrafo único. É obrigação do usuário não acessar conteúdo duvidoso, ilegal ou que possa representar um risco para a organização.
…
Art. 24. É responsabilidade do gestor do usuário ou do contrato, em conjunto com a área de recursos humanos, informar a área de TIC sobre o desligamento de um colaborador ou término de um contrato, para que as credenciais de acesso sejam devidamente revogadas.”
