Gerenciador de Documentos
Portaria 88
Ano
2026
Data de Criação
09/07/2026
Data de Vigência
Data de Revogação
Documentos Relacionados
Nenhum documento relacionadoInstituir Política de Segurança da Informação (PSI)
Portaria CFA nº 88, de 09 de julho de 2026
O PRESIDENTE DO CONSELHO FEDERAL DE ADMINISTRAÇÃO, no uso das atribuições que lhe conferem a Lei n.º 4.769, de 9 de setembro de 1965, e o Regulamento aprovado pelo Decreto n.º 61.934, de 22 de dezembro de 1967, e o Regimento do CFA aprovado pela Resolução Normativa CFA nº 661, de 27 de dezembro de 2024,
CONSIDERANDO os dispostos nos artigos 53º, incisos IV e V, do Regimento do CFA, supracitado,
RESOLVE:
Art. 1º. Instituir Política de Segurança da Informação (PSI), com a finalidade de definir as regras para proteger as informações da Autarquia contra roubo, vazamento, alteração indevida ou indisponibilidade, nos termos do Anexo I desta portaria.
Art. 2º. A presente Portaria entra em vigor nesta data.
Adm. Leonardo José Macêdo
Presidente CFA
CRA-CE n.º 08277
ANEXO I
Política de Segurança da Informação (PSI) do conselho federal de administração
CAPÍTULO I - DAS DISPOSIÇÕES GERAIS
Art. 1º Esta Política tem por objetivo definir as regras não negociáveis para proteger as informações da Autarquia contra roubo, vazamento, alteração indevida ou indisponibilidade.
Art. 2º As disposições desta Política aplicam-se, obrigatoriamente, a todos os conselheiros, colaboradores, estagiários e prestadores de serviço que acessem dados ou recursos da entidade.
Art. 3º A Política de Segurança da Informação fundamenta-se na ABNT NBR ISO/IEC 27002:2022, nos controles técnicos do CIS Controls v8 e na legislação vigente, incluindo a Lei Geral de Proteção de Dados Pessoais (LGPD), a Lei de Acesso à Informação (LAI) e as normas do Gabinete de Segurança Institucional da Presidência da República (GSI/PR).
CAPÍTULO II - DOS PRINCÍPIOS E DIRETRIZES
Art. 4º São princípios fundamentais da Segurança da Informação no âmbito da Autarquia:
I - patrimônio institucional: toda informação produzida ou custodiada no exercício da função pertence à Autarquia, e não ao usuário;
II - menor privilégio: o usuário terá acesso apenas ao estritamente necessário para a realização de seu trabalho;
III - segurança baseada em risco: as medidas de proteção serão proporcionais à criticidade e ao valor da informação;
IV - monitoramento: não há expectativa de privacidade no uso de recursos corporativos (e-mail, internet e computadores), os quais são monitorados para garantir a segurança e a conformidade.
Art. 5º As diretrizes de proteção e uso abrangem a gestão de identidade e acesso, o tratamento da informação, o controle de ativos e dispositivos, e o uso de internet e e-mail institucional.
§ 1º No que tange à identidade e ao acesso:
I - o login e a senha são credenciais pessoais e intransferíveis;
II - o uso de Autenticação Multifator (MFA) é obrigatório para acessos remotos (VPN), contas administrativas e sistemas críticos;
III - os acessos a contas administrativas (privilegiadas) são restritos e monitorados.
§ 2º No que tange ao tratamento da informação:
I - toda informação deve ser classificada quanto ao sigilo (Pública, Reservada ou Secreta) e protegida conforme essa classificação;
II - o tratamento de dados pessoais deve obedecer estritamente à finalidade legal e às diretrizes de privacidade da entidade, em conformidade com a LGPD.
§ 3º No que tange aos ativos e dispositivos corporativos:
I - todos os dispositivos e softwares conectados à rede devem ser identificados e autorizados em inventário;
II - adota-se o regime de "Lista de Permissão" (Application Whitelisting), sendo permitida a instalação ou execução apenas de softwares homologados;
e III - notebooks e smartphones corporativos devem possuir criptografia de disco ativada e proteção por senha ou biometria.
§ 4º A finalidade do uso da internet e do e-mail corporativo é prioritariamente profissional.
CAPÍTULO III - DA GESTÃO DE SEGURANÇA DA INFORMAÇÃO
Art. 6º A gestão de ameaças e vulnerabilidades será realizada da seguinte forma:
I - a Autarquia realizará varreduras contínuas em seus sistemas, aplicando compulsoriamente as correções de segurança (patches) conforme o risco identificado;
II - os sistemas de antivírus e Endpoint Detection and Response (EDR) deverão ser mantidos permanentemente ativos;
III - a execução automática de mídias removíveis (tais como pen-drives) ficará bloqueada.
Art. 7º A auditoria e o tratamento de incidentes observarão as seguintes diretrizes:
I - todas as ações críticas nos sistemas gerarão registros (logs), que serão preservados por, no mínimo, 6 (seis) meses para fins de auditoria e investigação;
II - qualquer suspeita de violação de segurança (perda de senha, computador infectado, recebimento de e-mail suspeito) deverá ser comunicada imediatamente aos canais de suporte ou ao CESIP.
Art. 8º Para garantir a continuidade de negócios e a conformidade técnica, a Autarquia deverá:
I - realizar cópias de segurança (backups) periodicamente e testá-las a cada 90 (noventa) dias;
II - manter as cópias de segurança críticas isoladas, de forma offline ou imutável, para proteção contra ataques de ransomware;
III - mensurar continuamente a segurança do ambiente utilizando os parâmetros do framework CIS Controls (Center for Internet Security), exigindo-se plano de ação imediato em caso de não cumprimento dos índices de conformidade.
CAPÍTULO IV - DAS VEDAÇÕES E DISPOSIÇÕES FINAIS
Art. 9º. Fica expressamente vedado, no âmbito da Autarquia:
I - o compartilhamento de logins e senhas;
II - o uso de contas administrativas (privilegiadas) para a realização de tarefas cotidianas, como a leitura de e-mails;
III - o envio de dados sensíveis ou estratégicos para meios não autorizados, tais como e-mails pessoais ou serviços de nuvem pública não homologados;
IV - a prática de pirataria de software, considerada crime e totalmente proibida nas dependências ou em equipamentos da instituição;
V - o acesso a sites maliciosos ou de conteúdo impróprio, cujo bloqueio deve ser mantido de forma permanente;
VI - a abertura de anexos ou de links suspeitos que possam configurar ataques cibernéticos, como phishing;
VII - a utilização do e-mail corporativo para a realização de cadastros em sites de interesse estritamente pessoal.
Parágrafo único. Ferramentas de monitoramento e de prevenção de vazamento de dados (Data Loss Prevention - DLP) atuarão de forma ativa para bloquear as ações previstas no inciso III do caput deste artigo.
Art. 10. A violação de qualquer norma constante nesta Política de Segurança da Informação é considerada falta grave.
§ 1º O infrator estará sujeito a sanções administrativas cabíveis, que poderão consistir em advertência, suspensão ou demissão, observada a legislação aplicável e o devido processo administrativo.
§ 2º As punições das sanções administrativas previstas no § 1º não afasta a apuração de eventuais responsabilidades civis e penais, quando cabíveis.