Normas complementares de segurança da informação

Amparo legal

RESOLUÇÃO CGD n. 3, de 27 de novembro de 2025 - A Resolução institui 16 Normas Complementares de Segurança da Informação no âmbito do Ministério da Educação.

Objetivo:

Consolidar as diretrizes das Normas Complementares de Segurança da Informação do Ministério da Educação (MEC), publicadas em 27 de novembro de 2025, que abrangem a preservação da disponibilidade, integridade, confidencialidade e autenticidade dos dados, bem como a proteção da privacidade e dos dados pessoais. As normas estruturam controles técnicos, físicos, organizacionais e legais, incluindo gestão de ativos, uso aceitável da informação, segurança em trabalho remoto, ciclo de vida, proteção física e ambiental, configuração segura de TI, criptografia, gestão de identidade e acesso, tratamento de ameaças e vulnerabilidades, continuidade de negócios, segurança nas relações com fornecedores, conformidade legal e regulatória, gestão de incidentes e auditorias independentes.

Dessa forma, as Normas Complementares de Segurança da Informação (NCS-MEC) integrada à Política Corporativa de Segurança da Informação e Proteção de Dados (PSI-MEC), buscam garantir a resiliência, a conformidade e a confiança institucional.

Público Alvo:

Normas 

Acesso somente ao público interno do MEC. É necessário estar logado a rede interna do órgão.  

NCS01 - Escopo e Aplicabilidade
Esta norma define as diretrizes para a preservação da segurança da informação (disponibilidade, integridade, confidencialidade e autenticidade) e a proteção de dados pessoais no âmbito do Ministério da Educação (MEC), apresentando a estrutura, padrões e terminologias das Normas Complementares de SI (NCS-MEC).

NCS02 - Governança da Segurança da Informação
Esta norma estabelece controles detalhados de segurança da informação no Ministério da Educação (MEC), com o objetivo primordial de preservar a disponibilidade, integridade, confidencialidade e autenticidade dos dados, além de garantir a proteção de dados pessoais e a privacidade. Tais orientações, que servem de base para as Normas Complementares de SI (NCS-MEC), são parte integrante da Política Corporativa de Segurança da Informação e Proteção de Dados (PSI-MEC).

NCS03 - Gestão de Ativos de Informação
A norma do Ministério da Educação (MEC) estabelece controles de segurança da informação (SI) para identificar, classificar e proteger todos os ativos e recursos de TIC. As diretrizes focam na gestão de ativos, exigindo a manutenção de inventário com proprietários, a devolução de ativos por colaboradores ao término de vínculo, o gerenciamento de mídias de armazenamento em seu ciclo de vida completo e a proteção das informações nos dispositivos endpoint dos usuários.

NCS04 - Proteção da Informação
Esta norma de segurança da informação estabelece a obrigatoriedade de regras documentadas para o uso aceitável e manuseio de informações, regulando a transferência de dados (interna e externa) e exigindo a aplicação de medidas de segurança para proteger informações tratadas em trabalho remoto e em dispositivos endpoint dos usuários.

NCS05 - Segurança em Recursos Humanos
Esta norma abrange todo o ciclo de vida do colaborador, desde a seleção (com verificação de antecedentes) e a contratação (com inclusão das responsabilidades de SI no contrato), até a garantia de treinamento e conscientização regular. Além disso, a norma exige a formalização de um processo disciplinar para violações e a definição das responsabilidades de SI que perduram após o encerramento de vínculo.

NCS06 - Segurança Física
Esta norma do Ministério da Educação (MEC) estabelece controles de segurança física e ambiental para proteger a disponibilidade, integridade, confidencialidade e autenticidade dos dados e a privacidade, em conformidade com a NBR27002:2022.

NCS07 - Segurança de Sistemas e Redes
O objetivo da norma é estabelecer diretrizes como a implementação de medidas contra malware com apoio da conscientização dos usuários, o controle rigoroso do uso de programas utilitários privilegiados, a separação e proteção dos ambientes de desenvolvimento, teste e produção, a adoção de procedimentos formais de gestão de mudanças e o planejamento adequado de testes de auditoria e atividades de avaliação de sistemas, em conformidade com a NBR27002:2022.

NCS08 - Segurança de Aplicações
O objetivo da norma é estabelecer diretrizes como a implementação de medidas contra malware, o controle rigoroso do uso de programas utilitários privilegiados, a separação e proteção dos ambientes de desenvolvimento, teste e produção, a adoção de procedimentos formais de gestão de mudanças e o planejamento adequado de testes de auditoria e atividades de avaliação de sistemas, em conformidade com a NBR27002:2022.

NCS09 - Configuração de Segurança
O objetivo da norma é estabelecer diretrizes de configuração de segurança de TI voltadas para garantir a proteção dos sistemas operacionais e das informações neles armazenadas, por meio da implementação de procedimentos e medidas que assegurem a instalação controlada e segura de softwares, prevenindo riscos e vulnerabilidades. Além disso, a norma define regras para o uso efetivo da criptografia, incluindo o gerenciamento adequado das chaves criptográficas, de modo a preservar a confidencialidade, integridade e autenticidade dos dados, fortalecendo a privacidade e a resiliência dos ambientes tecnológicos.

NCS10 - Gestão de Identidade e Acesso
O objetivo da norma é estabelecer diretrizes para a gestão de identidade e acesso, assegurando que o controle físico e lógico às informações e ativos seja realizado de forma estruturada e alinhada aos requisitos de segurança da informação e de negócios. Para isso, prevê o gerenciamento completo do ciclo de vida das identidades, a aplicação de processos rigorosos para alocação e uso de informações de autenticação, o provisionamento e revisão crítica dos direitos de acesso, a restrição e controle dos acessos privilegiados, bem como a proteção do acesso a informações sensíveis e ao código-fonte. Além disso, determina a implementação de tecnologias e procedimentos de autenticação segura, garantindo que todos os acessos sejam devidamente regulados e compatíveis com as políticas específicas de controle de acesso do MEC.

NCS11 - Gestão de Ameaças e Vulnerabilidades
O objetivo da norma é fortalecer a gestão de ameaças e vulnerabilidades no âmbito da segurança da informação, por meio da coleta e análise sistemática de dados que permitam gerar inteligência de ameaças capaz de antecipar riscos e apoiar decisões estratégicas. Além disso, busca assegurar que as vulnerabilidades técnicas dos sistemas em uso sejam continuamente identificadas, avaliadas quanto ao impacto na exposição do Ministério da Educação e tratadas com medidas adequadas, garantindo a proteção dos ativos de informação e a resiliência dos ambientes tecnológicos.

NCS12 - Continuidade de Negócios
O objetivo da norma é assegurar a continuidade dos negócios por meio da manutenção da segurança da informação em níveis adequados mesmo durante situações de disrupção, garantindo que os processos críticos não sejam comprometidos. Para isso, estabelece diretrizes para o monitoramento e ajuste da capacidade dos recursos de acordo com as demandas atuais e futuras, a realização de backups regulares e testados de informações, softwares e sistemas, além da implementação de redundância nos recursos de TIC, de modo a garantir a disponibilidade e resiliência dos serviços essenciais do MEC.

NCS13 - Segurança da Informação nas Relações com Fornecedores
A norma pretende  garantir a segurança da informação nas relações com fornecedores, estabelecendo processos e procedimentos que permitam identificar, avaliar e mitigar riscos associados ao uso de seus produtos e serviços. Para isso, prevê a inclusão de requisitos específicos de segurança nos contratos, a gestão da segurança da informação em toda a cadeia de fornecimento de TIC, a definição de práticas seguras para aquisição, uso, gestão e saída de serviços em nuvem, além do monitoramento contínuo, análise crítica e gestão das mudanças nas práticas de segurança dos fornecedores, assegurando que o Ministério da Educação mantenha a proteção adequada de seus ativos e informações.

NCS14 - Aspectos Legais e Conformidade
A norma pretende assegurar que o Ministério da Educação cumpra integralmente os requisitos legais, estatutários, regulamentares e contratuais relacionados à segurança da informação, por meio da identificação, documentação e atualização contínua dessas obrigações. Além disso, busca garantir a proteção dos direitos de propriedade intelectual, preservar a integridade e autenticidade dos registros contra perdas, destruição, falsificação ou acessos não autorizados, e atender às exigências de privacidade e proteção de dados pessoais em conformidade com a legislação vigente e os compromissos contratuais, fortalecendo a confiança e a responsabilidade institucional.

NCS15 - Gestão de Eventos de Segurança da Informação
A norma traça a estruturação da gestão de eventos e incidentes de segurança da informação no Ministério da Educação, garantindo que haja planejamento e preparação adequados, com processos, papéis e responsabilidades claramente definidos e comunicados. A norma busca assegurar a avaliação criteriosa dos eventos para categorizá-los como incidentes quando necessário, a resposta conforme procedimentos documentados e o uso do aprendizado obtido para aprimorar controles de segurança. Além disso, estabelece diretrizes para coleta e preservação de evidências, criação de mecanismos de relato em tempo hábil, produção e análise de logs, monitoramento contínuo de redes e sistemas para identificar comportamentos anômalos e a sincronização dos relógios dos sistemas com fontes de tempo aprovadas, fortalecendo a confiabilidade e a resiliência da infraestrutura de informação.

NCS16 - Garantia da Segurança da Informação
O objetivo da norma é assegurar a garantia da segurança da informação no Ministério da Educação por meio de análises críticas independentes e periódicas sobre a gestão e implementação das práticas de segurança, abrangendo pessoas, processos e tecnologias, especialmente diante de mudanças significativas. Além disso, busca verificar regularmente a conformidade com a Política Corporativa de Segurança da Informação e Proteção de Dados (PSI-MEC), bem como com políticas específicas, regras e normas aplicáveis, garantindo que os controles adotados estejam alinhados às exigências institucionais e legais e que a proteção das informações seja continuamente fortalecida.