Política de Gestão de Controle de Acesso Lógico e Físico

PORTARIA MAPA Nº 491, DE 21 DE SETEMBRO DE 2022

Aprova, no âmbito do Ministério da Agricultura, Pecuária e Abastecimento, a Política de Gestão de Controle de Acesso Lógico e Físico.

O MINISTRO DE ESTADO DA AGRICULTURA, PECUÁRIA E ABASTECIMENTO, no uso das atribuições que lhe confere o art. 87, parágrafo único, inciso II, da Constituição Federal, tendo em vista o disposto no Decreto nº 9.637, de 26 de dezembro de 2018, na Instrução Normativa nº 1, de 27 de maio de 2020, do Gabinete de Segurança Institucional da Presidência da República, na Portaria MAPA nº 136, de 25 de maio de 2021, e o que consta do Processo nº 21000.031770/2022-98, resolve:

Art. 1º Fica aprovada, no âmbito do Ministério da Agricultura, Pecuária e Abastecimento, a Política de Gestão de Controle de Acesso Lógico e Físico, conforme previsto nos arts. 9º e 13 da Portaria MAPA nº 136, de 25 de maio de 2021, que aprova a Política de Segurança da Informação do Ministério da Agricultura, Pecuária e Abastecimento - PoSIC/MAPA, na forma do Anexo desta Portaria.

Art. 2º Esta Portaria entra em vigor em 3 de outubro de 2022.

MARCOS MONTES

ANEXO

POLÍTICA DE GESTÃO DE CONTROLE DE ACESSO LÓGICO E FÍSICO

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Seção I

Do objetivo

Art. 1º A Política de Gestão de Controle de Acesso Lógico e Físico tem por objetivo proteger os ativos de informação sob a responsabilidade do Ministério da Agricultura, Pecuária e Abastecimento contra acesso, perda, modificação ou divulgação não autorizada.

Seção II

Da abrangência

Art. 2º A Política de Gestão de Controle de Acesso Lógico e Físico abrangerá todos os órgãos de assistência direta e imediata ao Ministro de Estado da Agricultura, Pecuária e Abastecimento, os órgãos específicos singulares e os órgãos colegiados constantes da estrutura regimental do Ministério da Agricultura, Pecuária e Abastecimento.

§ 1º Os contratos firmados pelo Ministério da Agricultura, Pecuária e Abastecimento deverão conter cláusulas que determinem a observância desta Política de Gestão de Controle de Acesso Lógico e Físico por parte do contratado, e de seus dirigentes, prepostos, administradores, representantes e colaboradores.

§ 2º As entidades vinculadas de que trata o inciso IV do art. 2º do Anexo I do Decreto nº 10.827, de 30 de setembro de 2021, deverão editar suas respectivas políticas de gestão de controle de acesso lógico e físico.

CAPÍTULO II

DOS PRINCÍPIOS

Art. 3º A Política de Gestão de Controle de Acesso Lógico e Físico deverá atender aos seguintes princípios constantes da Política de Segurança da Informação do Ministério da Agricultura, Pecuária e Abastecimento - PoSIC/MAPA:

I - dever de garantir o sigilo de informações imprescindíveis à segurança da sociedade e do Estado e a inviolabilidade da vida privada, da honra e da imagem das pessoas;

II - respeito e promoção dos direitos humanos e das garantias fundamentais, em especial à liberdade de expressão, à proteção de dados pessoais, à proteção da privacidade e o acesso à informação;

III - preservação do acervo histórico do Ministério da Agricultura, Pecuária e Abastecimento;

IV - orientação à gestão de riscos e à gestão da segurança da informação;

V - articulação entre ações de segurança cibernética e de proteção de dados e ativos de informação; e

VI - need to know (necessidade de conhecer) para o acesso a informações sigilosas, nos termos da legislação vigente.

CAPÍTULO III

DO CONTROLE DE ACESSO LÓGICO

Seção I

Da nomenclatura

Art. 4º O padrão estabelecido pelo Departamento de Tecnologia da Informação da Secretaria-Executiva do Ministério da Agricultura, Pecuária e Abastecimento para a criação de conta de acesso à rede local deverá obedecer aos seguintes requisitos de segurança:

I - para servidores e empregados públicos, efetivos e cedidos, em exercício no Ministério da Agricultura, Pecuária e Abastecimento e ocupantes de cargo em comissão ou função de confiança deve-se adotar a regra da nomenclatura: prenome.últimosobrenome e, caso ocorra conflito na nomenclatura entre duas ou mais contas, prevalecerá a antecipação do sobrenome até que seja estabelecida a exclusividade da conta; e

II - para estagiários e prestadores de serviço contratados pelo Ministério da Agricultura, Pecuária e Abastecimento, além do requisito mencionado no inciso I do caput, será adotada a extensão de e-mail: @apoio.agro.gov.br.

Parágrafo único. Para efeitos do cadastramento de prestadores de serviço contratados, o gestor ou fiscal do contrato deverá realizar o credenciamento do prestador de serviço, caso necessário, e informar a data de desligamento do prestador de serviço quando vier a ocorrer antes do fim da data contratual, para que seja providenciado o cancelamento das credenciais.

Seção II

Dos requisitos para a criação e a administração de contas de acesso

Art. 5º Quanto à criação e à administração de contas de acesso deverão ser atendidos os seguintes requisitos de segurança:

I - permissão de acesso a recursos computacionais do Ministério da Agricultura, Pecuária e Abastecimento, exclusivamente, mediante identificação e autenticação de usuários por meio de conta de acesso autorizada;

II - uso obrigatório da ferramenta de múltiplo fator de autenticação habilitada para os usuários na rede do Ministério da Agricultura, Pecuária e Abastecimento; e

III - disponibilização, pessoal e intransferível, a cada usuário, de somente uma conta de acesso à rede local.

§ 1º O primeiro acesso à rede local condicionará o usuário do Ministério da Agricultura, Pecuária e Abastecimento à ciência e total concordância com as disposições estabelecidas na Política de Segurança da Informação do Ministério da Agricultura, Pecuária e Abastecimento - PoSIC/MAPA, responsabilizando-o, expressamente, às seguintes obrigações:

I - tratamento dos ativos de informação como patrimônio do Ministério da Agricultura, Pecuária e Abastecimento;

II - utilização das informações disponíveis exclusivamente no interesse do serviço do Ministério da Agricultura, Pecuária e Abastecimento;

III - contribuição para assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações, conforme dispõe a Instrução Normativa nº 1, de 27 de maio de 2020, do Gabinete de Segurança Institucional da Presidência da República, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e entidades da Administração Pública federal; e

IV - utilização de credenciais, contas de acesso e ativos de informação, em conformidade com a legislação vigente e as normas específicas do Ministério da Agricultura, Pecuária e Abastecimento, com possibilidade de abertura de processo de apuração, com vistas à responsabilização, caso seja constatado o uso indevido.

§ 2º As contas de acesso serão regidas em conformidade com a Lei nº 13.709, de 14 de agosto de 2018, em relação ao seu ciclo de vida, nas ações de processamento e armazenamento, e após o término da sua finalidade, nas ações de exclusão ou recolhimento desses dados.

Seção III

Da gestão de senhas

Art. 6º As senhas das contas de acesso aos recursos computacionais no âmbito do Ministério da Agricultura, Pecuária e Abastecimento deverão ser compostas, obrigatoriamente, por, no mínimo, oito caracteres, os quais devem conter, necessariamente, no mínimo, um caractere maiúsculo, um número e um caractere especial.

§ 1º As senhas de contas de acesso aos recursos computacionais deverão ser, obrigatoriamente, alteradas a cada cento e oitenta dias.

§ 2º Os usuários deverão cadastrar um dispositivo alternativo para recuperação de senha (e-mail, telefone celular ou outros).

Seção IV

Do bloqueio, desbloqueio e cancelamento

Art. 7º A conta de acesso do usuário será bloqueada, excepcionalmente, nas seguintes hipóteses:

I - automaticamente, após cinco tentativas de acesso malsucedidas;

II - por solicitação formal e justificada da chefia imediata ou do titular da unidade de lotação do usuário;

III - por solicitação da área de gestão de pessoas do Ministério da Agricultura, Pecuária e Abastecimento, quando das licenças ou afastamentos previstos em lei, e em decorrência de processo administrativo disciplinar;

IV - quando não utilizadas por período superior a cento e oitenta dias; e

V - quando o usuário não realizar a alteração de senha de que trata o § 1º do art. 6º desta Portaria.

Parágrafo único. Na hipótese de suspeita de uso indevido que infrinja o contido na Política de Segurança da Informação do Ministério da Agricultura, Pecuária e Abastecimento - PoSIC/MAPA e às demais normas correlatas em vigor, a equipe responsável do Departamento de Tecnologia da Informação da Secretaria-Executiva do Ministério da Agricultura, Pecuária e Abastecimento poderá efetuar, a seu critério, o bloqueio temporário e tempestivo das contas de acesso aos recursos computacionais, pelo prazo necessário ao esclarecimento da situação.

Art. 8º O desbloqueio da conta de acesso será realizado, exclusivamente, mediante solicitação formal da chefia imediata da unidade de lotação do usuário ao Departamento de Tecnologia da Informação da Secretaria-Executiva.

Seção V

Dos mecanismos de rastreamento

Art. 9º A rede local deverá possuir mecanismos que permitam identificar e rastrear os endereços de origem, destino e serviços utilizados pelos usuários.

CAPÍTULO IV

DA REDE PRIVADA VIRTUAL (VPN)

Art. 10. Quanto ao uso da Rede Privada Virtual (VPN) deverão ser observadas as seguintes ações:

I - provimento, pelo Departamento de Tecnologia da Informação da Secretaria-Executiva, de conexão via Rede Privada Virtual ao ambiente computacional instalado no Ministério da Agricultura, Pecuária e Abastecimento, por meio de conta de usuário, com vínculo institucional atualizado;

II - autorização de acesso à Rede Privada Virtual, de exclusiva responsabilidade do Departamento de Tecnologia da Informação da Secretaria-Executiva, que poderá recusar qualquer solicitação de acesso que não atenda aos requisitos mínimos de necessidade e de segurança;

III - monitoramento, por parte do Departamento de Tecnologia da Informação da Secretaria-Executiva, do volume de dados das conexões via Rede Privada Virtual, com possibilidade de desconexão automática de qualquer sessão em que se verifiquem taxas divergentes da média normal das demais sessões, caso o bom desempenho da rede local do Ministério da Agricultura, Pecuária e Abastecimento venha a ser comprometido;

IV - avaliação, por parte do Departamento de Tecnologia da Informação da Secretaria-Executiva, quando necessário e com autorização do usuário, de sistemas utilizados e da comunicação de dados para acesso por meio da Rede Privada Virtual, a fim de verificar se está de acordo com os requisitos listados neste Capítulo;

V - suspensão, por motivos de segurança ou correlatos, sem aviso prévio, por parte do Departamento de Tecnologia da Informação da Secretaria-Executiva, do serviço de Rede Privada Virtual disponibilizado;

VI - provimento do acesso à rede do Ministério da Agricultura, Pecuária e Abastecimento, via Rede Privada Virtual de apenas um equipamento por usuário, devidamente registrado no cadastro de usuários da área de gestão de pessoas;

VII - autorização para utilização do serviço de Rede Privada Virtual conforme horário de funcionamento regulamentado em norma específica do Ministério da Agricultura, Pecuária e Abastecimento, devendo ser devidamente justificadas as exceções, nas solicitações dirigidas ao Departamento de Tecnologia da Informação da Secretaria-Executiva;

VIII - validade da autorização para utilização do serviço de Rede Privada Virtual vinculada à manutenção do vínculo do usuário com o Ministério da Agricultura, Pecuária e Abastecimento; e

IX - finalização automática da conexão em caso de inatividade de tráfego por tempo igual ou superior a quinze minutos.

CAPÍTULO V

DO CONTROLE DE ACESSO FÍSICO

Art. 11. Os setores de logística do Ministério da Agricultura, Pecuária e Abastecimento, em Brasília-DF e nos Estados, deverão implementar mecanismos de controle de acesso físico diferenciado de acordo com a criticidade de cada ambiente.

Art. 12. Caberá ao Departamento de Administração da Secretaria-Executiva aprovar norma dispondo sobre os requisitos de segurança para acesso às instalações do Ministério da Agricultura, Pecuária e Abastecimento, localizadas em Brasília-DF, exceto no que se refere à Superintendência Federal de Agricultura, Pecuária e Abastecimento no Distrito Federal.

§ 1º Para as Unidades do Ministério da Agricultura, Pecuária e Abastecimento localizadas fora do Distrito Federal, a aprovação da norma de que trata o caput caberá aos seguintes órgãos:

I - Secretaria de Defesa Agropecuária, para a normatização de acesso aos Laboratórios Federais de Defesa Agropecuária;

II - Coordenação-Geral de Apoio às Superintendências da Secretaria-Executiva, para a normatização de acesso às Superintendências Federais de Agricultura, Pecuária e Abastecimento, inclusive a localizada no Distrito Federal e às Unidades Técnicas Regionais de Agricultura;

III - Serviço Florestal Brasileiro, para a normatização de acesso às Unidades Regionais; e

IV - Secretaria de Inovação, Desenvolvimento Sustentável e Irrigação, para a normatização de acesso às Superintendências Regionais de Desenvolvimento da Lavoura Cacaueira nos Estados e aos Distritos de Meteorologia do Instituto Nacional de Meteorologia.

§ 2º Qualquer alteração na Norma Operacional aprovada para Brasília-DF, atualmente regulamentada pela Portaria SE nº 602, de 14 de abril de 2021, e Unidades nos Estados da Federação, deverá ser submetida ao Comitê de Segurança da Informação - CSI/MAPA, para aprovação prévia.

CAPÍTULO VI

DAS PENALIDADES

Art. 13. A não observância do disposto nesta Portaria poderá acarretar responsabilização penal, civil e administrativa do usuário, inclusive no que se refere a eventual quebra de segurança decorrente da utilização indevida de credencial de acesso lógico e físico.

CAPÍTULO VII

DAS DISPOSIÇÕES FINAIS

Art. 14. Caberá ao Comitê de Segurança da Informação - CSI/MAPA aprovar as alterações posteriores à Política de Gestão de Controle de Acesso Lógico e Físico de que trata esta Portaria, por meio de Resolução, em reunião extraordinária, que delibere especificamente sobre este tema.

Art. 15. Os casos omissos deverão ser submetidos ao Comitê de Segurança da Informação - CSI/MAPA, para deliberação.