PORTARIA SE/MTUR Nº 4, DE 24 DE NOVEMBRO DE 2025

Orientação

Seção

Estratégia Federal de Governo Digital 2024-2027

Em sua íntegra

Decreto Nº 10.046/2019 - Governança no Compartilhamento de Dados (GCD)

Art. 2º, inciso XXIII

Decreto Nº 10.222/2020 - Estratégia Nacional de Segurança Cibernética (E-CIBER)

Anexo, Item 2.3.4 e 2.3.5

Decreto Nº 9.573/2018 - Política Nacional de Segurança de Infraestruturas Críticas (PNSIC)

Anexo, art. 3º, Inciso I, II e V

Decreto Nº 9.637/2018 - Política Nacional de Segurança da Informação (PNSI)

CAPÍTULO I - Art. 2º, Incisos III e IV CAPÍTULO II - Art. 3º, Inciso III, IV, VIII XI CAPÍTULO VI - Seção IV – Art. 15

Framework Control Objectives for Information and Related Technology – Cobit, conjunto de boas práticas a serem aplicadas à governança da TI

v4.1: DS11: Gerenciar Dados v5: DSS01.01, DSS04.08; DSS06.04, DSS04.08, DSS05.06; DSS06.05-06, DSS04.08, DSS001.01; DSS05.02-05; DSS06.03; DSS06.06

Framework de segurança cibernética do CIS 8

Salvaguardas do controle 7 (Continuous Vulnerability Management), controle 11 (Data Recovery Capabilities), e controle 18 (Penetration Testing)

Framework Information Technology Infrastructure Library – ITIL, v. 4, conjunto de boas práticas a serem aplicadas na infraestrutura, operação e gerenciamento de serviços de TI

Gestão da Segurança da Informação

Guia de Framework de Privacidade e Segurança da Informação (PPSI)

Controle 7 em sua íntegra

Instrução Normativa 01/GSI/PR

Art. 12, Inciso IV, alíneas g, h

Instrução Normativa Nº 03/GSI/PR, de 28 de maio de 2021

Capítulo IV

Lei Nº 13.709/2018 – Lei Geral de Proteção de Dados

CAPÍTULO VII - Seção I – art. 46, Seção II - art. 50

Lei Nº 12.527/2011 – Lei de Acesso à Informação (LAI)

Em sua íntegra

Norma ABNT NBR ISO/IEC 27001:2013 Tecnologia da informação - Técnicas de segurança - Sistemas de gestão de segurança da informação - Requisitos

A.12.3 Cópias de segurança

Norma ABNT NBR ISO/IEC 27002:2013 Tecnologia da informação - Técnicas de segurança - Código de prática para a gestão da segurança da informação

12.3 Cópias de segurança 18 Conformidade

National Institute of Standards and Technology (NIST)

CSF: SP 800-40 Rev.2, Creating a Patch and Vulnerability Management Program CSF: SP 800-40 Rev 4, Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology

Portaria GSI/PR nº 93, de 18 de outubro de 2021

Em sua íntegra

Guia de Gerenciamento de Vulnerabilidades SGD

Em sua íntegra

NGINX.org

Correções de bugs

Office of the Chief Technology Officer – OCTO

Política de gerenciamento de vulnerabilidades

Vulnerability Management Policy Template for CIS Control 7

Em sua íntegra

Nível de severidade

Prazo de correção

Descrição do risco

Muito Crítico (6)

Até [2 dias]

Condição totalmente inaceitável quando medidas imediatas devem ser tomadas para eliminar a materialização do risco e mitigar perigos e impactos.

Crítico (5)

Até [30 dias]

Pessoas mal-intencionadas podem facilmente obter o controle do host, o que pode comprometer toda a sua rede. As vulnerabilidades incluem acesso de leitura e gravação a arquivos, execução remota de comandos e backdoors.

Alto (4)

Até [45 dias]

Pessoas mal-intencionadas podem obter o controle do host ou coletar informações altamente confidenciais, incluindo acesso de "leitura" ao arquivo, backdoors em potencial ou uma lista de todas as contas de usuário no host.

Médio (3)

Até [90 dias]

Pessoas mal-intencionadas podem obter acesso às configurações de segurança no host, o que pode levar ao acesso a arquivos e à divulgação de conteúdo de arquivos, navegação em diretórios, ataques de negação de serviço e uso não autorizado de serviços.

Baixo (2)

Até [120 dias]

Pessoas mal-intencionadas podem coletar informações confidenciais do host, como versões de software instaladas, que podem revelar vulnerabilidades conhecidas.

Muito baixo (1)

Até 180 dias

Pessoas mal-intencionadas podem coletar informações sobre o host por meio de portas ou serviços abertos, o que pode levar à divulgação de outras vulnerabilidades.