Portaria COTIN/SECRE/COAF nº 01, de 24 de outubro de 2025
Portaria COTIN/SECRE/COAF nº 01, de 24 de outubro de 2025
Estabelece a Estratégia de Uso de Software e de Serviços de Computação em Nuvem no âmbito do Conselho de Controle de Atividades Financeiras (COAF).
O COORDENADOR-GERAL DE TECNOLOGIA DA INFORMAÇÃO E COMUNICAÇÃO – CGTIC, no uso das competências que lhe confere Resolução BCB n° 427 de 16/10/2024, e considerando a necessidade da definição da Estratégia de Uso de Software e de Serviços de Computação em Nuvem do Conselho de Controle de Atividades Financeiras (COAF), com vista ao atendimento à Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023,
RESOLVE:
Art. 1º Fica aprovado, na forma do Anexo Único desta Portaria, o Documento de Estratégia de Uso de Software e de Serviços de Computação em Nuvem do Conselho de Controle de Atividades Financeiras (COAF), em conformidade com a SGD/MGI nº 5.950, de 26 de outubro de 2023.
Art. 2º A área de TI do COAF deverá adotar, monitorar e garantir a aplicação das diretrizes estabelecidas na Estratégia de Uso de Software e de Serviços de Computação em Nuvem, visando garantir a qualidade e a conformidade na utilização dos recursos e nas contratações de software e dos serviços de nuvem de acordo com as necessidades de negócio do órgão.
Art. 3º Esta Portaria entra em vigor na data de sua publicação.
Coordenação-Geral de Tecnologia da Informação
COAF – Conselho de Controle de Atividades Financeiras
____________________________________________________________________________________________________________________________
ANEXO ÚNICO
DOCUMENTO DE ESTRATÉGIA DE USO DE SOFTWARE E DE SERVIÇOS DE COMPUTAÇÃO EM NUVEM DO CONSELHO DE CONTROLE DAS ATIVIDADES FINANCEIRAS
CAPÍTULO I – DAS DISPOSIÇÕES GERAIS
Art. 1º Este Documento de Estratégia de Uso de Software e de Serviços de Computação em Nuvem do Conselho de Controle de Atividades Financeiras – COAF tem por finalidade estabelecer diretrizes para a utilização racional, segura e eficiente dos recursos computacionais e para a evolução contínua de seus serviços, mediante a adoção de tecnologias modernas e inovadoras, de forma a:
I – alinhar o uso de software e de serviços de computação em nuvem aos objetivos estratégicos do COAF; e
II – orientar a contratação e a utilização de software e de serviços de computação em nuvem.
Art. 2º O uso de software e de serviços de computação em nuvem no COAF deve pautar-se pelo compromisso com a modernização institucional e pela busca de eficiência nos processos internos, por meio da adoção estratégica de tecnologias inovadoras.
Art. 3º Esta Estratégia aplica-se às novas contratações e aos projetos que envolvam software e serviços de computação em nuvem, compreendendo, entre outros:
I – software sob o modelo de licenciamento permanente de direitos de uso;
II – software sob o modelo de cessão temporária de direitos de uso;
III – software sob o modelo de subscrição ou como serviço (SaaS);
IV – infraestrutura como serviço (IaaS);
V – plataforma como serviço (PaaS);
VI – serviços de suporte técnico a software e a soluções em nuvem;
VII – serviços de operação e gerenciamento de recursos em nuvem;
VIII – serviços de migração de recursos para ambientes em nuvem;
IX – integração de serviços de computação em nuvem; e
X – consultoria especializada em software e serviços de computação em nuvem.
CAPÍTULO II – DOS OBJETIVOS, COMPETÊNCIAS E IDENTIFICAÇÃO DAS NECESSIDADES DE NEGÓCIO
Seção I – Dos objetivos e das necessidades de negócio
Art. 4º Os principais objetivos e necessidades de negócio a serem alcançados com o uso de software e de serviços de computação em nuvem são:
I – alinhar a utilização de software e de serviços de computação em nuvem aos objetivos estratégicos do COAF;
II – alcançar maior controle e administração sobre os custos relacionados ao armazenamento, processamento de dados e soluções do COAF em nuvem;
III – priorizar soluções que otimizem o uso dos recursos operacionais de serviços de computação em nuvem;
IV – proporcionar agilidade para o desenvolvimento de novos projetos e protótipos;
V – ampliar a capacidade de entrega de soluções de tecnologia da informação e comunicação (TIC);
VI – reduzir o intervalo de tempo entre a disponibilização de novas tecnologias pelo mercado e a sua efetiva utilização pelo COAF, especialmente aquelas voltadas à análise de dados e à inteligência artificial; e
VII – prover aos usuários dos sistemas do COAF capacitação contínua em tecnologias de computação em nuvem.
Art. 5º A Coordenação-Geral de Tecnologia da Informação – COTIN, com o apoio das áreas competentes, deverá identificar as necessidades de negócio para a contratação de software e serviços de computação em nuvem, adotando abordagem integrada que considere todas as partes e interconexões dos serviços do COAF, de forma a assegurar o alinhamento estratégico, a eficiência operacional e a conformidade com os requisitos técnicos e de segurança da informação.
Seção II – Dos Princípios
Art. 6º Os princípios que regem a Estratégia de Uso de Software e de Serviços de Computação em Nuvem do COAF são:
I – priorizar a adoção de serviços e soluções em nuvem sempre que possível, considerando fatores como custo, tecnologia, eficiência, agilidade, escalabilidade e segurança;
II – avaliar continuamente a possibilidade de otimização e modernização das aplicações, de modo a tirar o máximo proveito dos recursos e benefícios da nuvem, com foco no valor para o negócio;
III – adotar o modelo de Integrador de Serviços em Nuvem (Cloud Broker), limitado a dois provedores principais de serviços de computação em nuvem;
IV – reduzir a complexidade do gerenciamento de serviços de provedores de computação em nuvem, evitando a pulverização de fornecedores e a migração frequente entre eles;
V – incorporar medidas de segurança robustas em todas as camadas, desde o acesso e autenticação até a criptografia de dados e o monitoramento contínuo, observada a viabilidade técnica e o caso concreto, de modo a mitigar riscos cibernéticos e proteger os ativos institucionais, especialmente os dados, contra ameaças internas e externas;
VI – investir continuamente em capacitação e desenvolvimento de competências técnicas, promovendo cultura de inovação e colaboração, e incentivando a experimentação e o aprendizado contínuo em tecnologias de computação em nuvem e em softwares inovadores; e
VII – promover estratégias para identificar e mitigar continuamente os riscos associados ao uso da nuvem.
Seção III – Do Alinhamento Estratégico
Art. 7º Os projetos e ações relacionados ao uso de software e de serviços de computação em nuvem deverão estar alinhados ao Plano Estratégico do COAF, ao Plano Diretor de Tecnologia da Informação e Comunicação (PDTIC) e aos demais instrumentos de governança e gestão de riscos institucionais.
§ 1º O planejamento deverá adotar abordagem participativa, envolvendo as áreas de negócio, a área de tecnologia da informação e a alta administração, de forma a assegurar a integração de diferentes perspectivas e necessidades.
Seção IV – Das Competências, Atribuições e Responsabilidades
Art. 8º No âmbito da Estratégia de Uso de Software e de Serviços de Computação em Nuvem, são atribuições da Coordenação-Geral de Tecnologia da Informação (COTIN):
I – supervisionar a aplicação da Estratégia de Uso de Software e de Serviços de Computação em Nuvem;
II – propor ao Comitê de Gestão e Governança (CGG) a lista de países em que os dados e as informações custodiadas pelo COAF poderão ser armazenados em soluções de computação em nuvem; e
III – propor ao CGG a revisão da Estratégia de Uso de Software e de Serviços de Computação em Nuvem.
Art. 9º Compete à Coordenação de Gestão Integrada (CGI):
I – coordenar a implementação da Estratégia de Uso de Software e de Serviços de Computação em Nuvem, assegurando o alinhamento ao PDTIC vigente e a outras políticas correlatas;
II – definir e implementar estratégias de gestão financeira para otimizar os custos e investimentos em serviços de computação em nuvem;
III – submeter ao CGG proposta de revisão da Estratégia de Uso de Software e de Serviços de Computação em Nuvem;
IV – definir os requisitos criptográficos mínimos para o armazenamento de dados e informações custodiados pelo COAF em soluções de computação em nuvem;
V – estabelecer as condições de portabilidade e interoperabilidade entre provedores de serviços de computação em nuvem;
VI – verificar o cumprimento dos controles e dos níveis mínimos de serviço definidos, aplicando, em caso de eventuais desvios, as medidas de correção cabíveis; e
VII – comunicar aos órgãos competentes os incidentes cibernéticos, conforme sua relevância, informados pelos provedores de serviços de computação em nuvem.
Art. 10. Compete à Coordenação de Infraestrutura, como condição prévia à transferência de serviços ou informações para, ou provenientes de, um provedor de serviços em nuvem:
I – realizar a avaliação do risco cibernético envolvido, observando, no mínimo:
a) os aspectos de proteção de dados e de privacidade;
b) a segurança das informações, especialmente aquelas de acesso restrito;
c) a criticidade do sistema ou do serviço para o COAF; e
d) a classificação da informação ou do dado;
II – definir as medidas de mitigação de riscos e de custos para a implementação da solução de computação em nuvem e para o crescimento dessa solução; e
III – elaborar a Estratégia de Saída, considerando o disposto no inciso I, para a transferência de serviços ou informações do ambiente de computação em nuvem para ambiente computacional alternativo.
Parágrafo único. A Coordenação de Infraestrutura deverá encaminhar à Coordenação-Geral de Tecnologia da Informação relatório com a avaliação do risco cibernético e a lista das medidas de mitigação para a implementação da solução de computação em nuvem.
Seção V – Da Seleção dos Modelos Adequados
Art. 11. Os modelos de uso de software e de serviços de computação em nuvem – como Infraestrutura como Serviço (IaaS), Plataforma como Serviço (PaaS) e Software como Serviço (SaaS) – bem como suas modalidades de implementação – nuvem privada, nuvem pública ou nuvem de governo – serão avaliados pela Coordenação-Geral de Tecnologia da Informação (COTIN), a fim de que seja adotada a alternativa que melhor se adeque aos requisitos de negócio, de arquitetura tecnológica e de segurança da informação.
§ 1º Não poderão ser tratadas em ambiente de nuvem pública as informações e cargas de trabalho classificadas, nos termos da Instrução Normativa nº 5, de 30 de agosto de 2021, do Gabinete de Segurança Institucional da Presidência da República (GSI/PR), em grau de sigilo, nem documentos preparatórios que possam originar informações classificadas.
§ 2º As cargas de trabalho que tratem de informações submetidas à restrição de acesso público, em virtude de seu caráter pessoal ou de outras hipóteses de sigilo legal, poderão ser mantidas em ambiente de nuvem pública.
Subseção I – Da Avaliação dos Possíveis Fornecedores
Art. 12. Os estudos técnicos preliminares à contratação de serviços de computação em nuvem deverão abranger o levantamento dos possíveis fornecedores aptos ao atendimento dos requisitos de negócio.
Parágrafo único. A avaliação deverá considerar critérios de segurança cibernética, conformidade, disponibilidade, suporte técnico, custo de migração, custo de capacitação, potencial de inovação e melhoria dos serviços, bem como o risco associado ao fornecedor.
Art. 13. A fim de assegurar que o uso das plataformas de nuvem ou dos softwares contratados esteja alinhado às melhores práticas de arquitetura e segurança cibernética, conforme recomendação dos próprios fabricantes e provedores, deverá ser avaliada a necessidade de contratação de suporte técnico especializado.
Parágrafo único. No caso de contratação de software, o suporte técnico especializado do fabricante deverá integrar a solução contratada.
Art. 14. O tratamento de dados e informações do COAF em softwares e serviços de computação em nuvem deverá ocorrer, preferencialmente, em data centers localizados em território nacional, admitido o uso de recursos de infraestrutura situados em outros países quando houver justificativa técnica voltada à inovação ou à melhoria da eficiência operacional.
Parágrafo único. Fatores como compatibilidade com as arquiteturas tecnológicas existentes, conformidade regulatória, disponibilidade de profissionais especializados e suporte técnico dos fornecedores poderão ser considerados na avaliação mencionada no caput.
CAPÍTULO III – DAS DIRETRIZES DE SEGURANÇA, USO E CAPACITAÇÃO
Seção I – Da Definição de Requisitos de Segurança
Art. 15. Aplicam-se, sempre que cabíveis, as diretrizes, os princípios, os controles e as medidas definidos no Programa de Privacidade e Segurança da Informação e na Política de Cibersegurança do COAF.
Art. 16. Os recursos de software e de serviços de computação em nuvem estabelecidos para os sistemas deverão ser logicamente segmentados, de modo a garantir isolamento e segurança entre ambientes e aplicações.
Art. 17. Deverá ser implementada política de privilégio mínimo para acesso aos recursos, sistemas, softwares e serviços de computação em nuvem, priorizando processos e ferramentas de just-in-time access.
Art. 18. As aplicações e cargas de trabalho devem implementar, sempre que possível, controles destinados a detectar e impedir a exfiltração de dados, aplicando criptografia de forma abrangente e proporcional ao nível de risco.
Art. 19. Cargas de trabalho e aplicações deverão executar, periodicamente, varreduras de vulnerabilidade (scans) em todos os recursos computacionais sob sua responsabilidade.
Art. 20. Os controles e medidas de segurança mínimos necessários deverão ser definidos conforme a avaliação da criticidade de cada sistema.
Parágrafo único. A não implementação de determinado controle ou medida de segurança, quando tecnicamente inviável, deverá ser justificada com base em avaliação de risco prévia.
Seção II – Das Diretrizes para o Uso Seguro de Software e de Serviços de Computação em Nuvem
Art. 21. O uso de software e de serviços de computação em nuvem deverá observar, sempre que cabível, os princípios, diretrizes, controles e restrições de segurança aplicáveis aos softwares e equipamentos computacionais da rede interna do COAF, devendo seguir os mesmos processos de homologação ou autorização, ainda que em rito simplificado.
Art. 22. O uso de softwares ou serviços não nativamente disponibilizados pelos provedores de nuvem deverá ser precedido, preferencialmente, de análise de risco e estudo técnico que estabeleça as diretrizes de segurança aplicáveis.
Seção III – Da Avaliação das Condições Mínimas de Infraestrutura de TIC
Art. 23. A COTIN deverá especificar e prover as condições mínimas de infraestrutura do ambiente da rede interna e de prestadores de serviços, quando aplicável, para o uso de software e de serviços de computação em nuvem.
Art. 24. As arquiteturas tecnológicas, controles de acesso lógico, definição de perfis e outros temas correlatos estabelecidos para a rede interna do COAF deverão ser aplicados, sempre que possível, também ao uso de software e de serviços de computação em nuvem.
Seção IV – Da Capacitação no Uso de Computação em Nuvem
Art. 25. O COAF deverá manter seus colaboradores e prestadores de serviços terceirizados capacitados na operação, monitoramento e desenvolvimento de soluções em nuvem, abrangendo uma combinação de habilidades técnicas e conhecimentos especializados necessários para garantir a segurança, a eficiência e o desempenho planejados dos ambientes de nuvem.
CAPÍTULO IV – DA PORTABILIDADE, INTEROPERABILIDADE E ESTRATÉGIA DE SAÍDA
Seção I – Da Portabilidade e Interoperabilidade
Art. 26. A estratégia de desenvolvimento e sustentação de soluções que utilizem tecnologia de computação em nuvem no COAF deverá garantir flexibilidade e integração entre plataformas e serviços, em nuvem ou não, de modo a permitir a continuidade da prestação dos serviços institucionais.
Art. 27. Serão adotadas as seguintes medidas práticas com o objetivo de promover a portabilidade e interoperabilidade de sistemas e dados:
I – padrões abertos: serão priorizadas soluções baseadas em padrões abertos, a fim de facilitar a migração entre diferentes provedores de nuvem;
II – ferramentas de migração: será priorizada a utilização de ferramentas e serviços de migração que facilitem a transferência de aplicativos e dados entre ambientes de nuvem; e
III – monitoramento e gestão unificada: deverá ser fomentado o uso de ferramentas de monitoramento e gestão capazes de abranger múltiplos ambientes de nuvem.
Parágrafo único. A adoção de componentes menos portáveis poderá ser considerada quando houver justificativas técnicas e estratégicas, tais como ganhos de eficiência operacional, maior integração entre serviços, suporte especializado, aceleração da entrega de soluções ou acesso antecipado a inovações tecnológicas oferecidas pelos fornecedores.
Seção II – Da Estratégia de Saída
Art. 28. Deverão ser previstas estratégias de retorno das cargas de trabalho em nuvem para o ambiente on-premise, considerando os seguintes aspectos:
I – uso de serviços e funcionalidades proprietárias de provedores de serviços de computação em nuvem;
II – dependências entre sistemas, aplicativos e dados na nuvem;
III – interconexões e integrações críticas que possam impactar a migração de volta ao ambiente local;
IV – portabilidade das soluções e dos dados armazenados na nuvem, priorizando o uso de padrões abertos e evitando bloqueios de fornecedor (vendor lock-in);
V – utilização de ferramentas de migração e de cópias de segurança que suportem a transferência eficiente de dados entre a nuvem e o ambiente local;
VI – manutenção de cópias de segurança completas e atualizadas de todos os dados e sistemas hospedados em nuvem; e
VII – definição de estratégias de recuperação de desastres que garantam a integridade dos dados, a disponibilidade dos serviços e a continuidade do negócio.
Parágrafo único. As estratégias de saída deverão ser documentadas e revisadas periodicamente, de modo a assegurar sua atualidade e aplicabilidade frente à evolução tecnológica e contratual.
CAPÍTULO V – DA ANÁLISE DE RISCOS
Art. 29. O uso de software e de serviços de computação em nuvem deverá ser precedido de análise dos seguintes fatores de risco:
I – análise dos custos, cenários de escalabilidade e mecanismos de gestão, de modo a garantir previsibilidade e mitigação de riscos organizacionais durante todo o ciclo de vida da solução;
II – risco de acesso não autorizado às informações ou dados do COAF por parte do provedor de serviços;
III – risco de aprisionamento tecnológico (vendor lock-in);
IV – catástrofes e desastres naturais que possam comprometer a disponibilidade dos serviços;
V – custo de oportunidade relacionado às alternativas tecnológicas e contratuais existentes; e
VI – custo de oportunidade associado à não adoção da tecnologia em nuvem e à consequente perda de acesso a soluções tecnológicas inovadoras e estratégicas para o COAF.
Art. 30. O COAF deverá manter mapeamento atualizado de riscos relacionados às contratações e ao uso de software e de serviços de computação em nuvem, contemplando medidas de mitigação e planos de contingência correspondentes.
CAPÍTULO VI – DA REVISÃO E ATUALIZAÇÃO
Art. 31. Esta Estratégia, bem como os documentos dela decorrentes, deverá ser revisada, aprovada e atualizada sempre que ocorrerem alterações na legislação pertinente, nas diretrizes políticas do Governo Federal ou nas políticas e normas internas do COAF.
Art. 32. Considerando a capacidade dos provedores de serviços de computação em nuvem de implementar atualizações de segurança da informação em seus produtos e serviços, esta Estratégia deverá ser revisada a cada 2 (dois) anos), ou antes, quando necessário.
§ 1º Deverão ser implementados mecanismos de feedback contínuo que permitam ajustes tempestivos e garantam o alinhamento dos planos estratégicos sempre que houver mudanças tecnológicas ou institucionais relevantes.
CAPÍTULO VII – DAS DISPOSIÇÕES FINAIS
Art. 33. As novas contratações de software e de serviços de computação em nuvem deverão observar as diretrizes estabelecidas nesta Estratégia, bem como os critérios definidos no modelo de contratação correspondente.
Art. 34. A alta administração deverá assegurar a disponibilização dos recursos humanos, tecnológicos e financeiros necessários para a plena execução desta Estratégia.
Art. 35. Os casos omissos não abordados neste Documento de Estratégia de Uso de Software e de Serviços de Computação em Nuvem do COAF deverão ser apresentados à Coordenação-Geral de Tecnologia da Informação (COTIN) e submetidos à deliberação do Comitê de Gestão e Governança (CGG).
Brasília, 24 de outubro de 2025.
Coordenação-Geral de Tecnologia da Informação
COAF – Conselho de Controle de Atividades Financeiras