Versão 2 — Portaria nº 36/2026

PORTARIA Nº 36, DE 21 DE SETEMBRO DE 2026.

Institui a Política de Segurança da Informação no âmbito do Instituto de Previdência dos Servidores do Estado de Minas Gerais – Ipsemg.

O PRESIDENTE DO INSTITUTO DE PREVIDÊNCIA DOS SERVIDORES DO ESTADO DE MINAS GERAIS, no uso da competência que lhe é conferida pelo Decreto nº 48.823, de 16 de maio de 2024, e
CONSIDERANDO o disposto na Constituição da República Federativa do Brasil de 1988, especialmente quanto à proteção da intimidade, da vida privada, do sigilo de dados, do acesso à informação, da proteção de dados pessoais e dos princípios que regem a Administração Pública;
CONSIDERANDO a Lei Federal nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais —, e o Decreto Estadual nº 48.237, de 22 de julho de 2021, que dispõe sobre a aplicação da LGPD no âmbito da Administração Pública direta e indireta do Poder Executivo do Estado de Minas Gerais;
CONSIDERANDO a Lei Federal nº 12.527, de 18 de novembro de 2011 — Lei de Acesso à Informação —, e o Decreto Estadual nº 45.969, de 24 de maio de 2012, que regulamenta o acesso à informação no âmbito do Poder Executivo do Estado de Minas Gerais;
CONSIDERANDO a Lei Federal nº 12.965, de 23 de abril de 2014 — Marco Civil da Internet —, e a Lei Federal nº 14.129, de 29 de março de 2021, que dispõe sobre princípios, regras e instrumentos para o Governo Digital e para o aumento da eficiência pública;
CONSIDERANDO a Lei Federal nº 14.133, de 1º de abril de 2021 — Lei de Licitações e Contratos Administrativos —, especialmente quanto aos requisitos de segurança da informação e de proteção de dados aplicáveis às contratações e à gestão de fornecedores;
CONSIDERANDO o Decreto Estadual nº 46.226, de 24 de abril de 2013, que dispõe sobre o uso de correio eletrônico institucional no âmbito da Administração Pública direta, autárquica e fundacional do Poder Executivo;
CONSIDERANDO a Lei Estadual nº 24.313, de 28 de abril de 2023, que estabelece a estrutura orgânica do Poder Executivo do Estado de Minas Gerais e dá outras providências;
CONSIDERANDO o Decreto Estadual nº 48.383, de 18 de março de 2022, que regulamenta o Governo Digital Estadual no âmbito da Administração Pública direta, autárquica e fundacional do Poder Executivo;
CONSIDERANDO o Decreto Estadual nº 48.937, de 6 de novembro de 2024, que institui a Estratégia Estadual de Governo Digital da Administração Pública e dispõe sobre o Comitê de Tecnologia da Informação e Comunicação do Governo do Estado de Minas Gerais (Cetic);
CONSIDERANDO a Lei Estadual nº 24.030, de 29 de dezembro de 2021, que dispõe sobre o uso da assinatura eletrônica no âmbito do Estado de Minas Gerais;
CONSIDERANDO o Decreto Estadual nº 47.228, de 4 de agosto de 2017, que dispõe sobre o uso e a gestão do Sistema Eletrônico de Informações (SEI) no âmbito do Poder Executivo;
CONSIDERANDO o Decreto Estadual nº 49.009, de 27 de março de 2025, que institui o Data Lake MG e o Comitê Gestor de Governança de Dados do Estado de Minas Gerais;
CONSIDERANDO o Decreto Estadual nº 48.419, de 16 de maio de 2022, que dispõe sobre a Política Mineira de Promoção da Integridade;
CONSIDERANDO a Resolução SEPLAG nº 084, de 11 de novembro de 2022, que regulamenta a Política de Segurança da Informação no que se refere à utilização da Tecnologia da Informação e Comunicação pelos usuários dos órgãos e entidades do Poder Executivo Estadual;
CONSIDERANDO a necessidade de estabelecer diretrizes institucionais para a proteção das informações, dos dados pessoais, dos dados pessoais sensíveis, dos ativos de informação, dos sistemas, dos serviços digitais e dos recursos de tecnologia da informação e comunicação sob responsabilidade do Ipsemg;
CONSIDERANDO ainda, as boas práticas reconhecidas de segurança da informação, governança, gestão de riscos, continuidade de serviços e proteção de dados pessoais, especialmente aquelas previstas nas normas ABNT NBR ISO/IEC 27001, 27002, 27005, 27701, 27035 e correlatas;
RESOLVE:

CAPÍTULO I
DISPOSIÇÕES GERAIS

Art. 1º – Fica instituída a Política de Segurança da Informação do Instituto de Previdência dos Servidores do Estado de Minas Gerais – Ipsemg, instrumento normativo que estabelece as diretrizes para a proteção das informações institucionais, dos dados pessoais, dos ativos de informação e dos serviços de tecnologia da informação e comunicação.

Art. 2º – A Política de Segurança da Informação tem por finalidade:
I – orientar a atuação institucional do Ipsemg em matéria de segurança da informação;
II – promover a proteção das informações ao longo de todo o seu ciclo de vida;
III – assegurar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações;
IV – apoiar a continuidade das atividades institucionais e a resiliência operacional;
V – reduzir riscos de incidentes de segurança da informação e seus impactos;
VI – fortalecer a conformidade com a legislação, regulamentações e obrigações contratuais aplicáveis; e
VII – estabelecer base normativa para a elaboração de políticas, normas, procedimentos e controles específicos de segurança da informação.

Art. 3º – Esta Política de Segurança da Informação aplica-se:
I – a todas as unidades administrativas, assistenciais e demais áreas do Ipsemg;
II – a todos os agentes públicos, empregados, colaboradores, residentes, estagiários, terceirizados e prestadores de serviço que atuem em nome do Instituto ou utilizem informações, ativos de informação ou recursos tecnológicos sob sua responsabilidade; e
III – a fornecedores, parceiros, contratados e terceiros que tratem, acessem, armazenem, processem, transmitam ou custodiem informações do Ipsemg ou operem ativos e serviços relacionados.

Art. 4º – Esta Política de Segurança da Informação abrange, de forma geral, as informações institucionais em qualquer meio ou formato, incluindo, entre outros:
I – documentos físicos e digitais;
II – dados pessoais e dados pessoais sensíveis;
III – sistemas de informação;
IV – infraestrutura tecnológica e serviços digitais;
V – bases de dados, registros, logs, trilhas de auditoria e evidências eletrônicas; e
VI – informações assistenciais, administrativas, financeiras, contratuais, estratégicas e técnicas.

CAPÍTULO II
PRINCÍPIOS E DIRETRIZES

Art. 5º – A segurança da informação no âmbito do Ipsemg observará, no mínimo, os seguintes princípios:
I – alinhamento com os objetivos estratégicos institucionais;
II – proteção da informação como ativo essencial ao negócio;
III – conformidade legal, regulatória, contratual e ética;
IV – gestão baseada em riscos;
V – proteção proporcional ao valor, criticidade e sensibilidade da informação;
VI – responsabilidade compartilhada entre áreas de negócio, áreas de apoio e tecnologia;
VII – necessidade de conhecer e menor privilégio;
VIII – segregação de funções e responsabilização;
IX – segurança desde a concepção e por padrão, sempre que aplicável;
X – melhoria contínua dos controles e práticas de segurança;
XI – rastreabilidade, transparência interna e capacidade de resposta a incidentes; e
XII – conscientização permanente dos usuários.

Art. 6º – Constituem diretrizes gerais da segurança da informação no Ipsemg:
I – proteger as informações institucionais durante criação, coleta, recepção, classificação, uso, compartilhamento, armazenamento, transmissão, arquivamento e descarte;
II – adotar controles administrativos, técnicos e físicos compatíveis com os riscos identificados;
III – estabelecer requisitos de segurança da informação em processos, sistemas, projetos, aquisições, contratações, integrações e iniciativas de transformação digital;
IV – tratar o acesso às informações e aos recursos tecnológicos de forma controlada, justificada, rastreável e compatível com as atribuições do usuário;
V – promover o monitoramento e a gestão de eventos e incidentes de segurança da informação, com tratamento compatível com criticidade e impacto;
VI – assegurar que fornecedores e terceiros atendam aos requisitos de segurança da informação definidos pelo Ipsemg;
VII – promover capacitação e conscientização periódica sobre segurança da informação e proteção de dados;
VIII – apoiar a continuidade das atividades institucionais mediante medidas de prevenção, resposta e recuperação;
IX – preservar evidências necessárias à apuração de incidentes, não conformidades e responsabilidades; e
X – formalizar exceções, quando estritamente necessárias, mediante avaliação de risco e aprovação da autoridade competente.

Art. 7º – A segurança da informação deverá ser considerada requisito transversal em todas as iniciativas institucionais, especialmente naquelas relacionadas a:
I – atendimento assistencial e tratamento de informações em saúde;
II – desenvolvimento, aquisição, evolução e sustentação de sistemas;
III – contratações e gestão de fornecedores;
IV – transformação digital e uso de tecnologias emergentes;
V – compartilhamento de informações com órgãos, entidades, cidadãos, beneficiários e parceiros; e
VI – gestão documental, inteligência informacional e tomada de decisão baseada em dados.

Seção I
Disposições Gerais

Art. 8º – Os recursos de tecnologia da informação disponibilizados pelo Ipsemg destinam-se ao desempenho das atividades institucionais, admitido eventual uso pessoal de forma moderada, desde que não comprometa a segurança, o desempenho, a disponibilidade dos recursos ou o cumprimento das atribuições do usuário.

Seção II
Do Uso das Estações de Trabalho e Equipamentos

Art. 9º – No uso das estações de trabalho e demais equipamentos, o usuário deverá:
I – utilizar os equipamentos exclusivamente mediante sua identidade digital, bloqueando a sessão ao se ausentar;
II – adotar a prática de tela limpa e de mesa limpa, protegendo informações pessoais, sensíveis e confidenciais da visualização indevida;
III – não instalar programas ou conectar dispositivos sem autorização da ASGE;
IV – não desabilitar ou burlar mecanismos de segurança, tais como antivírus, atualizações e configurações de proteção; e
V – armazenar as informações institucionais nos repositórios e sistemas corporativos, e não exclusivamente nas estações de trabalho.

Art. 10 – O usuário é responsável pela guarda e pela conservação dos equipamentos colocados à sua disposição, devendo zelar pelo seu uso adequado e comunicar à área competente qualquer dano, defeito ou irregularidade.

Art. 11 – É vedado ao usuário:
I – violar, romper ou remover lacres das estações de trabalho ou de qualquer equipamento, bem como abrir, modificar ou substituir componentes de hardware sem autorização da ASGE;
II – instalar, copiar ou utilizar software sem o devido licenciamento ou sem homologação da ASGE, observada a legislação de propriedade intelectual;
III – conectar aos equipamentos dispositivos pessoais de armazenamento ou periféricos não autorizados;
IV – alterar as configurações de segurança, desinstalar ou inibir o funcionamento de antivírus, atualizações e demais mecanismos de proteção; e
V – alimentar-se ou ingerir líquidos de forma que exponha os equipamentos a risco de dano.

Art. 12 – As estações de trabalho deverão observar configuração segura definida pela ASGE, incluindo, no mínimo, a instalação de programas antivírus atualizados, a aplicação tempestiva de atualizações de segurança e o bloqueio automático de sessão após período de inatividade.
Parágrafo único. Compete à ASGE definir, documentar e manter os padrões de configuração segura (hardening) das estações de trabalho e equipamentos.

Seção III
Do Uso da Internet

Art. 13 – No uso da internet e dos serviços de rede, é vedado o acesso, o armazenamento ou a disseminação de conteúdo ilícito, ofensivo, discriminatório ou incompatível com as atividades institucionais, bem como o uso que comprometa a segurança da rede corporativa.
Parágrafo único. O Ipsemg poderá monitorar, filtrar e registrar o uso da internet e dos recursos de rede, para fins de segurança, auditoria e verificação de conformidade, observada a legislação aplicável.

Seção IV
Dos Dispositivos Móveis e Particulares (BYOD)

Art. 14 – A utilização de dispositivos móveis institucionais,tais como notebooks, smartphones, tablets e mídias removíveis, observará os controles de segurança definidos pela ASGE, incluindo, quando aplicável, criptografia, proteção por senha e backup, sendo o usuário responsável pela guarda do dispositivo e pela proteção das informações nele contidas.
Parágrafo único. Em caso de furto, roubo, perda ou extravio de dispositivo móvel institucional, o usuário deverá comunicar imediatamente a ASGE, para a adoção das medidas de segurança cabíveis.

Art. 15 – A utilização de dispositivos particulares para o acesso a recursos ou informações do Ipsemg (BYOD) somente será admitida mediante autorização, observados os controles de segurança definidos pela ASGE.
§ 1º – O Ipsemg poderá definir os recursos e dados acessíveis por dispositivos particulares, bem como suspender tal acesso em caso de risco ou incidente de segurança.
§ 2º – A segurança e a manutenção dos dispositivos particulares são de responsabilidade de seus proprietários, que deverão observar as regras de segurança aplicáveis.
§ 3º – É vedado o armazenamento exclusivo de informações institucionais em dispositivos particulares, bem como a retenção dessas informações após o término do vínculo ou da autorização.

Seção V
Do Uso de Impressoras, Copiadoras, Digitalizadores e Demais Recursos Tecnológicos

Art. 16 – As impressoras, copiadoras, digitalizadores, equipamentos multifuncionais e demais recursos tecnológicos periféricos disponibilizados pelo Ipsemg destinam-se ao desempenho das atividades institucionais e deverão ser utilizados de forma compatível com a classificação e a proteção das informações.

Art. 17 – No uso de impressoras, copiadoras e equipamentos multifuncionais, o usuário deverá:
I – imprimir ou copiar somente o necessário ao desempenho de suas atribuições, evitando a reprodução desnecessária de documentos;
II – retirar imediatamente da bandeja os documentos impressos ou copiados, especialmente os que contenham dados pessoais, dados de saúde ou informações de acesso restrito;
III – não deixar documentos com informações sensíveis ou confidenciais expostos junto aos equipamentos; e
IV – descartar de forma segura, mediante fragmentação ou outro método que impeça a recuperação, os impressos que contenham informações de acesso restrito.
Parágrafo único. Sempre que disponíveis, deverão ser utilizados mecanismos de impressão segura, com liberação mediante autenticação do usuário, para os documentos que contenham informações de acesso restrito.

Art. 18 – Os equipamentos multifuncionais e digitalizadores que armazenem informações em memória interna, disco ou outro meio, ou que as transmitam por rede, correio eletrônico ou serviços externos, serão tratados como ativos que processam informação, observando-se:
I – a proteção e o controle de acesso compatíveis com a classificação das informações processadas;
II – a configuração segura e a manutenção sob responsabilidade da ASGE; e
III – a eliminação segura das informações armazenadas em sua memória ou disco antes da devolução, manutenção externa, alienação ou descarte do equipamento.

Art. 19 – A digitalização de documentos deverá observar a classificação da informação e os controles de segurança aplicáveis, em especial quanto aos dados de saúde e aos dados pessoais sensíveis, observado o disposto nesta Política e nas normas do Conselho Federal de Medicina quanto à digitalização de prontuários.

Art. 20 – É vedada a captação, a reprodução ou o armazenamento não autorizados de imagens, sons ou telas de documentos, sistemas ou ambientes do Ipsemg que contenham informações de acesso confidencial, inclusive por meio de câmeras, gravadores, telefones celulares ou outros dispositivos pessoais.
§ 1º – A captação de imagem ou som para finalidade institucional deverá observar a necessidade, a finalidade e a proteção dos dados pessoais, especialmente em áreas assistenciais e de atendimento a beneficiários.
§ 2º – A instalação e a operação de sistemas de videomonitoramento pelo Ipsemg observarão a legislação aplicável e a Lei Federal nº 13.709, de 2018, quanto ao tratamento dos dados pessoais coletados.

Art. 21 – O uso de mídias removíveis e de dispositivos de digitalização para o tratamento de informações institucionais observará os controles definidos pela ASGE, vedado o armazenamento exclusivo de informações institucionais nesses meios e exigida a sua proteção compatível com a classificação da informação.

CAPÍTULO III
DEFINIÇÕES

Art. 22 – Para fins desta Política, considera-se:
I – acesso lógico: permissão concedida a usuário, sistema, aplicação, serviço, dispositivo ou integração para utilizar recurso tecnológico, informação, rede, banco de dados, aplicação ou serviço digital;
II – usuário: pessoa física autorizada a acessar recursos de TIC do Ipsemg;
III – identidade digital: representação eletrônica de um usuário, sistema, serviço ou dispositivo utilizada para autenticação, autorização e rastreabilidade;
IV – credencial: elemento utilizado para autenticar um usuário ou serviço, como senha, token, certificado digital, chave de acesso, biometria, código temporário ou mecanismo equivalente;
V – autenticação: processo de verificação da identidade de usuário, sistema, serviço ou dispositivo;
VI – autorização: processo de concessão de permissões de acesso a recursos, dados, sistemas ou funcionalidades;
VII – perfil de acesso: conjunto de permissões associadas a uma função, cargo, atividade, área, sistema ou processo;
VIII – menor privilégio: princípio segundo o qual o usuário deve receber apenas os acessos estritamente necessários para executar suas atividades;
IX – necessidade de conhecer: princípio segundo o qual o acesso à informação deve ser concedido apenas a quem necessita dela para finalidade institucional legítima;
X – segregação de funções: separação de responsabilidades e permissões para evitar concentração indevida de poderes, conflito de interesse, fraude ou erro não detectado;
XI – conta nominal: conta individual atribuída a uma pessoa específica, permitindo identificação e rastreabilidade;
XII – conta genérica ou compartilhada: conta utilizada por mais de uma pessoa, cuja utilização deve ser evitada e somente admitida em caráter excepcional;
XIII – conta de serviço: conta utilizada por aplicação, sistema, integração, rotina automatizada ou serviço técnico;
XIV – acesso privilegiado: acesso com poderes elevados de administração, alteração, exclusão, configuração, extração massiva, gestão de usuários ou controle de ambiente;
XV – gestor do acesso: autoridade funcional responsável por aprovar, revisar e validar os acessos de usuários sob sua responsabilidade;
XVI – proprietário do sistema ou da informação: o Gestor da Pasta, assim entendido o Assessor-Chefe ou o Diretor da área à qual a informação, o sistema ou o processo de negócio se vincula, responsável por classificá-la e por autorizar, revisar e revogar os acessos;
XVII – PRODEMGE: Companhia de Tecnologia da Informação do Estado de Minas Gerais, responsável pela prestação de serviços de TIC no âmbito da Rede Governo;
XVIII – ASGE: Assessoria de Governança Eletrônica do Ipsemg, unidade responsável pela governança e coordenação de tecnologia da informação e comunicação;
XIX – tecnologia da informação e comunicação (TIC): conjunto de recursos tecnológicos, sistemas, equipamentos, dispositivos, redes, softwares, serviços digitais e infraestrutura utilizados para o tratamento, o armazenamento, a transmissão e a recuperação de dados e informações no âmbito do Ipsemg;
XX – dispositivo particular (BYOD): equipamento de propriedade do usuário, tais como notebook, smartphone ou tablet, eventualmente utilizado para o acesso a recursos, sistemas ou informações do Ipsemg, cuja sigla deriva da expressão inglesa bring your own device (traga seu próprio dispositivo).

CAPÍTULO IV
DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO

Art. 23 – Compete ao Assessor-Chefe da unidade responsável pela governança e coordenação de tecnologia da informação e comunicação, Assessoria de Governança Eletrônica (ASGE), ou àquela que vier a substituí-la:
I – coordenar a implementação desta Política;
II – estabelecer políticas específicas, normas, padrões e procedimentos complementares;
III – apoiar as áreas na adoção de controles de segurança da informação;
IV – orientar tecnicamente a gestão de riscos, incidentes, acessos e ativos de informação, no âmbito de sua competência;
V – acompanhar a aderência institucional às diretrizes desta Política;
VI – articular-se com as demais áreas competentes para assegurar a efetividade da governança de segurança da informação; e
VII – reportar a ocorrência de incidentes de segurança ao Encarregado pelo Tratamento de Dados Pessoais.

Art. 24 – Compete ao Gestor da Pasta (Assessor-Chefe ou Diretor), no âmbito das unidades administrativas e assistenciais sob sua responsabilidade:
I – zelar pela proteção das informações sob sua responsabilidade;
II – apoiar a identificação da criticidade e da sensibilidade das informações e processos de negócio;
III – assegurar que o acesso às informações e aos recursos sob sua responsabilidade observe critérios de necessidade, adequação e autorização;
IV – comunicar incidentes, vulnerabilidades, desvios e não conformidades de que tenham conhecimento; e
V – observar e fazer observar esta Política e os instrumentos complementares dela decorrentes.
§ 1º – Compete às chefias imediatas gerenciar os acessos dos integrantes de suas equipes aos sistemas e recursos institucionais, bem como comunicar em até 24 horas aos gestores responsáveis pelos acessos quaisquer movimentações, desligamento, exoneração, cessão, afastamento, licença, alteração de lotação ou mudança de função, que impliquem concessão, alteração, revisão ou revogação de permissões.
§ 2º – Compete às chefias imediatas definir, manter e apoiar a execução de planos de contingência e continuidade relacionados aos processos e serviços sob sua responsabilidade, especialmente nos casos de incidentes de segurança da informação que possam comprometer a confidencialidade, a integridade, a disponibilidade ou a autenticidade dos dados, sistemas de informação e serviços institucionais.

Art. 25 – Compete aos usuários abrangidos por esta Política:
I – cumprir as diretrizes institucionais de segurança da informação;
II – utilizar adequadamente os ativos, serviços e informações disponibilizados pelo Ipsemg;
III – proteger suas credenciais, acessos e informações sob sua guarda;
IV – comunicar, sem demora, eventos suspeitos, incidentes, fragilidades ou violações de segurança; e
V – participar das ações de orientação e conscientização promovidas pelo Instituto.

Art. 26 – Compete ao Gerente de Recursos Humanos, solidariamente às chefias imediatas, comunicar em até 24 horas aos gestores responsáveis pelos acessos aos sistemas e à ASGE, ou àquela que vier a substituí-la, toda movimentação funcional de pessoal, incluindo admissão, desligamento, exoneração, cessão, afastamento, licença, alteração de lotação, mudança de função ou qualquer outra alteração que implique concessão, revisão, alteração, suspensão ou revogação de acessos e permissões.

Art. 27 – Compete ao Assessor-Chefe de Comunicação Social:
I – aprovar a comunicação externa e a divulgação institucional de informações sobre incidentes de segurança da informação, ressalvadas as comunicações obrigatórias à Autoridade Nacional de Proteção de Dados, aos titulares de dados, aos órgãos de controle e às autoridades competentes, que observarão prazos e ritos próprios e serão conduzidas pelo Encarregado pelo Tratamento de Dados Pessoais em articulação com a ASGE;
II – garantir a existência de iniciativas para divulgação sobre informações de ameaças, códigos maliciosos e medidas de proteção para os usuários do Ipsemg; e
III – apoiar e promover a divulgação desta Política, bem como ações de conscientização e orientação sobre segurança da informação para os públicos abrangidos.

Art. 28 – Compete ao Assessor Estratégico:
I – gerir a arquitetura de informação organizacional de forma compatível com os objetivos institucionais do Ipsemg e com os padrões de segurança dispostos nesta Política, incluindo a definição de diretrizes para acesso aos dados;
II – sugerir boas práticas e estabelecer processos de utilização de dados do Ipsemg, tanto para disseminação do conhecimento quanto para apoio de evidências para tomada de decisão, visando controlar riscos e evitar ameaças à integridade, à confidencialidade, à disponibilidade e à autenticidade desses dados;
III – promover a criação de estruturas analíticas, por meio do uso estratégico da tecnologia da informação e da integração articulada de ferramentas de gestão informacional, observados os padrões de segurança dispostos nesta Política; e
IV – apoiar, avaliar e monitorar avanços tecnológicos para gestão informacional, bem como para coleta, armazenamento, análise e disseminação de informações, observados os padrões de segurança dispostos nesta Política.

Art. 29 – Compete ao Encarregado pelo Tratamento de Dados Pessoais, no âmbito desta Política:
I – atuar como canal de comunicação entre o Ipsemg, os titulares de dados e a Autoridade Nacional de Proteção de Dados, nos termos da legislação aplicável;
II – receber as comunicações de incidentes de segurança que envolvam dados pessoais, encaminhadas pela ASGE, e orientar quanto às medidas cabíveis; e
III – articular-se com a governança de segurança da informação para a observância dos princípios e obrigações previstos na Lei Federal nº 13.709, de 2018, e no Decreto Estadual nº 48.237, de 2021.

CAPÍTULO V
DA CLASSIFICAÇÃO E DO TRATAMENTO DA INFORMAÇÃO

Art. 30 – As informações institucionais serão classificadas em dois eixos complementares: quanto ao acesso, nos termos da Lei Federal nº 12.527, de 2011 (Lei de Acesso à Informação), e quanto à natureza dos dados, nos termos da Lei Federal nº 13.709, de 2018 (Lei Geral de Proteção de Dados Pessoais).
Parágrafo único. Uma mesma informação poderá receber classificação em ambos os eixos, aplicando-se-lhe, de forma cumulativa, os controles correspondentes.

Seção I
Da Classificação quanto ao Acesso

Art. 31 – O acesso à informação é a regra e o sigilo a exceção, somente se admitindo a restrição de acesso nas hipóteses legais, observados a Lei Federal nº 12.527, de 2011, e o Decreto Estadual nº 45.969, de 2012.

Art. 32 – Quanto ao acesso, a informação será classificada em:
I – pública: informação de acesso irrestrito, passível de divulgação a qualquer pessoa, observados o dever de transparência ativa e passiva;
II – sigilosa: informação submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade à segurança da sociedade e do Estado, subdividida, conforme o prazo máximo de restrição, em:
a) reservada, com prazo máximo de restrição de 5 (cinco) anos;
b) secreta, com prazo máximo de restrição de 15 (quinze) anos; e
c) ultrassecreta, com prazo máximo de restrição de 25 (vinte e cinco) anos.

Art. 33 – A classificação da informação no grau de sigilo reservado, secreto ou ultrassecreto observará a competência da autoridade classificadora, o Termo de Classificação da Informação e os prazos máximos de restrição previstos na Lei Federal nº 12.527, de 2011, e no Decreto Estadual nº 45.969, de 2012.
§ 1º – Cessada a situação que fundamentou o sigilo, ou decorrido o prazo de restrição, a informação tornar-se-á de acesso público, admitidas a desclassificação, a reavaliação e a reclassificação na forma da legislação.
§ 2º – A classificação no grau de sigilo não poderá ser utilizada para ocultar informação de interesse público, frustrar o controle social ou eximir o Ipsemg de suas obrigações de transparência.

Seção II
Da Classificação quanto à Natureza dos Dados

Art. 34 – Quanto à natureza, os dados serão classificados em:
I – dado pessoal: dado relacionado a pessoa natural identificada ou identificável;
II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a organização de natureza sindical, religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
§ 1º – Os dados pessoais e os dados pessoais sensíveis têm acesso restrito por força de lei, independentemente de classificação no grau de sigilo, e seu tratamento observará a Lei Federal nº 13.709, de 2018, e o Decreto Estadual nº 48.237, de 2021.
§ 2º – Os dados de saúde dos beneficiários do regime próprio de previdência social, por sua natureza de dado pessoal sensível, receberão proteção reforçada, na forma desta Política.

Seção III
Da Responsabilidade e do Tratamento

Art. 35 – A classificação da informação é de responsabilidade do proprietário da informação, a quem compete revisá-la periodicamente e adequá-la quando se alterarem as razões que a fundamentaram, ressalvada a classificação no grau de sigilo, que observará a competência da autoridade classificadora, sendo o mínimo:
I – classificar a informação e identificar a legislação aplicável à sua guarda;
II – definir o prazo de retenção aplicável, observados os mínimos legais;
III – sinalizar à ASGE os requisitos de guarda, recuperação e descarte; e
IV – autorizar a eliminação dos dados ao término do prazo de guarda, observados os procedimentos cabíveis;

Art. 36 – Os controles de proteção, acesso, transmissão, armazenamento, retenção e descarte serão proporcionais à classificação da informação, considerados ambos os eixos.
§ 1º – As informações sigilosas e os dados pessoais e pessoais sensíveis, em especial os dados de saúde, deverão ser protegidos por controles reforçados, incluindo criptografia, controle de acesso e registro de acessos, na forma desta Política e de norma complementar.
§ 2º – Na ausência de classificação expressa quanto ao acesso, a informação será tratada de forma compatível com a proteção devida, sem prejuízo da observância da natureza dos dados nela contidos.
§ 3º – Sempre que possível, as informações deverão ser rotuladas conforme sua classificação, e sua reprodução, compartilhamento e transmissão observarão a necessidade de conhecer e os controles compatíveis com o respectivo nível.

CAPÍTULO VI
DO BACKUP E DA RECUPERAÇÃO DAS INFORMAÇÕES

Art. 37 – Este Capítulo estabelece as diretrizes para a realização de cópias de segurança (backup) e para a recuperação (restore) das informações institucionais do Ipsemg, com vistas a assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade dos dados, observada a natureza sensível dos dados de saúde tratados pela instituição.
Parágrafo único. As diretrizes deste Capítulo observam a Resolução SEPLAG nº 084, de 2022, a Lei Federal nº 13.709, de 2018 (Lei Geral de Proteção de Dados Pessoais), a Lei Federal nº 13.787, de 27 de dezembro de 2018, e as normas do Conselho Federal de Medicina aplicáveis à guarda e à digitalização de prontuários de pacientes, sem prejuízo de outras normas pertinentes.

Art. 38 – A política de backup do Ipsemg observará os seguintes princípios:
I – proporcionalidade entre a frequência e a abrangência das cópias e a criticidade das informações;
II – redundância e segregação física ou lógica entre os dados de produção e as respectivas cópias de segurança;
III – confidencialidade e integridade das cópias, inclusive mediante criptografia;
IV – capacidade de recuperação tempestiva das informações;
V – rastreabilidade e documentação das rotinas executadas; e
VI – retenção das cópias por prazos compatíveis com a legislação e com a finalidade institucional.

Art. 39 – Compete ao Assessor-Chefe de Governança Eletrônica, no âmbito do backup e da recuperação:
I – definir, documentar e manter as rotinas de backup e restore, incluindo escopo, periodicidade, retenção e responsáveis;
II – instalar, manter, atualizar e configurar os recursos, sistemas e mídias destinados às soluções de backup e restore;
III – executar e monitorar as rotinas de cópia de segurança;
IV – realizar testes periódicos de recuperação que validem a integridade e a capacidade de restauração das cópias;
V – manter mapa atualizado das mídias e de seus conteúdos;
VI – controlar, substituir e descartar de forma segura as mídias que perderem funcionalidade, eliminando previamente seu conteúdo; e
VII – planejar, junto às áreas de negócio, os procedimentos de backup e restore das informações sob sua responsabilidade.
Parágrafo único. Nos ambientes administrados pela PRODEMGE, por empresa fornecedora de software como serviço (SaaS) ou por outros terceiros, as responsabilidades de backup e recuperação deverão estar definidas nos respectivos instrumentos contratuais, cabendo à ASGE acompanhar o seu cumprimento.

Art. 40 – As informações institucionais armazenadas em servidores, bancos de dados, repositórios documentais e sistemas estruturantes deverão ser contempladas por rotinas regulares de backup.
§ 1º – O backup e a guarda das informações armazenadas exclusivamente nas estações de trabalho são de responsabilidade do usuário, devendo as informações pertinentes à atividade institucional ser mantidas em servidores de arquivos, repositórios corporativos ou sistemas institucionais contemplados por backup.
§ 2º – A periodicidade, a abrangência e a forma de armazenamento das cópias serão definidas conforme a criticidade da informação.

Art. 41 – As cópias de segurança deverão ser protegidas por controles compatíveis com a classificação das informações nelas contidas, observado, no mínimo:
I – criptografia das cópias que contenham dados pessoais, dados pessoais sensíveis ou informações sigilosas;
II – restrição de acesso às cópias e às mídias aos usuários estritamente autorizados;
III – armazenamento que assegure proteção contra acesso indevido, alteração, destruição e perda; e
IV – preferencialmente, manutenção de cópia em localidade distinta da dos dados de produção, de modo a mitigar riscos de sinistro físico.

Art. 42 – Os dados de saúde e os prontuários de pacientes tratados pelo Ipsemg deverão observar prazos e condições de guarda específicos, em razão de sua sensibilidade e das exigências legais aplicáveis.
§ 1º – A digitalização de prontuários, quando realizada, deverá assegurar a integridade, a autenticidade e a confidencialidade do documento digital, observados os requisitos técnicos da legislação e das normas do Conselho Federal de Medicina.
§ 2º – As rotinas de backup deverão contemplar os dados de saúde de forma a garantir sua recuperação durante todo o período de guarda legalmente exigido.
§ 3º – O tratamento e a guarda dos dados de saúde observarão a finalidade, a necessidade e as demais bases e princípios da Lei Federal nº 13.709, de 2018, vedada a utilização das cópias de segurança para finalidades incompatíveis com aquelas que motivaram a coleta dos dados.

Art. 43 – O Ipsemg deverá manter procedimentos de recuperação que permitam a restauração das informações em casos de perda, exclusão indevida, corrupção, indisponibilidade, falha técnica ou incidente de segurança, incluindo ataques de sequestro de dados (ransomware).
§ 1º – Os procedimentos de recuperação deverão ser testados periodicamente e documentados, de modo a assegurar sua efetividade.
§ 2º – Os procedimentos de backup e recuperação integram as medidas de continuidade das atividades institucionais e deverão estar articulados com a gestão de incidentes de segurança da informação prevista nesta Política.

Art. 44 – O descarte e a eliminação de cópias de segurança e de suas mídias deverão ser realizados de forma segura, mediante métodos que impeçam a recuperação não autorizada das informações, observados os prazos legais de guarda e as exigências de proteção de dados pessoais.

Seção I
Da Guarda e da Retenção dos Dados

Art. 45 – A guarda, a retenção e a destinação dos documentos e dados do Ipsemg observarão a Lei Estadual nº 19.420, de 11 de janeiro de 2011, as deliberações do Conselho Estadual de Arquivos (CEA) e as orientações do Arquivo Público Mineiro (APM), e serão disciplinadas pelo Plano de Classificação de Documentos e pela Tabela de Temporalidade e Destinação de Documentos (TTDD) do Ipsemg, elaborados e mantidos por sua Comissão Permanente de Avaliação de Documentos de Arquivo (CPAD).

Art. 46 – A eliminação de documentos de arquivo dependerá de prévia avaliação pela Comissão Permanente de Avaliação de Documentos de Arquivo (CPAD), de autorização do Arquivo Público Mineiro e da observância do rito previsto na legislação arquivística, em especial:
I – a elaboração da Listagem de Eliminação de Documentos de Arquivo, na forma da Deliberação CEA nº 4/1998 e das orientações do Arquivo Público Mineiro;
II – a publicação do Edital de Ciência de Eliminação de Documentos, assegurado o prazo legal para manifestação dos interessados;
III – a destruição dos documentos por meio de fragmentação ou outro método que assegure a irreversibilidade da descaracterização; e
IV – a vedação à eliminação de documentos de guarda permanente, que serão recolhidos ao Arquivo Público Mineiro.
Parágrafo único. A eliminação que envolva dados pessoais observará, além do rito arquivístico, as exigências de descarte seguro e de proteção de dados previstas nesta Política e na Lei Federal nº 13.709, de 2018.

Art. 47 – Decorrido o prazo de guarda e inexistindo fundamento legal para a conservação, os dados pessoais deverão ser eliminados ou anonimizados, e os documentos descartados de forma segura, na forma desta Política e da legislação aplicável.

CAPÍTULO VII
DA CONTINUIDADE DAS ATIVIDADES E DA RESILIÊNCIA

Seção I
Da Continuidade e da Resiliência

Art. 48 – O Ipsemg deverá adotar medidas destinadas a assegurar a continuidade das atividades institucionais e a resiliência dos serviços essenciais diante de incidentes, falhas, desastres ou indisponibilidades que afetem os recursos de tecnologia da informação e o tratamento das informações.
Parágrafo único. Recebem prioridade os serviços relacionados ao atendimento assistencial e ao tratamento de dados de saúde, em razão do impacto direto de sua indisponibilidade sobre os beneficiários.

Art. 49 – A gestão de continuidade observará, no mínimo:
I – a identificação dos processos e serviços críticos e dos recursos de que dependem;
II – a análise de impacto e a avaliação dos riscos de interrupção;
III – a definição de objetivos de recuperação, incluindo tempo objetivado de recuperação (RTO) e ponto objetivado de recuperação (RPO), compatíveis com a criticidade de cada serviço;
IV – a elaboração e a manutenção de planos de continuidade e de recuperação, articulados com as rotinas de backup previstas nesta Política; e
V – a realização de testes periódicos dos planos, com registro dos resultados e implementação de melhorias.

Art. 50 – Os planos de continuidade deverão contemplar procedimentos de resposta a desastres e a incidentes de grande impacto,
inclusive ataques de sequestro de dados (ransomware), prevendo medidas de contenção, recuperação e retorno à normalidade.
Parágrafo único. Compete ao Gestor da Pasta (Assessor-Chefe ou Diretor), com apoio da ASGE, definir e manter os planos de continuidade dos processos sob sua responsabilidade, observado o disposto nesta Política.

Art. 51 – A contratação de serviços de tecnologia deverá considerar requisitos de disponibilidade, continuidade e recuperação compatíveis com a criticidade dos serviços contratados.

Seção II
Da Gestão de Mudanças

Art. 52 – As mudanças em sistemas, infraestrutura, redes, configurações e demais recursos de tecnologia da informação serão submetidas a processo formal de gestão de mudanças, com vistas a preservar a segurança, a integridade, a disponibilidade e a continuidade dos serviços.

Art. 53 – A gestão de mudanças será conduzida por Comitê de Mudanças, coordenado pela ASGE, ao qual compete avaliar, aprovar, priorizar, agendar e acompanhar as mudanças, bem como avaliar seus riscos e impactos.
§ 1º – As mudanças deverão ser registradas e classificadas conforme seu risco e urgência, contemplando, no mínimo, a avaliação de impacto, o planejamento da implementação e a previsão de plano de retorno (rollback).
§ 2º – As mudanças de caráter emergencial poderão ser executadas mediante procedimento simplificado, com posterior submissão e registro no Comitê de Mudanças.
§ 3º – As mudanças que envolvam sistemas que tratam dados pessoais sensíveis, em especial dados de saúde, observarão controles reforçados de avaliação de risco e de segregação de funções.

Art. 54 – A composição, o funcionamento, a classificação das mudanças e os procedimentos do Comitê de Mudanças serão detalhados em norma complementar.

CAPÍTULO VIII
DO CONTROLE DE ACESSO

Seção I
Disposições Gerais

Art. 55 – Este Capítulo tem por finalidade assegurar que o acesso a sistemas, dados, aplicações, bancos de dados, rede corporativa, serviços digitais, diretórios, pastas, correio eletrônico, VPN, Wi-Fi corporativo, ambientes em nuvem, plataformas institucionais e demais recursos de TIC seja realizado de forma controlada, autorizada, rastreável, proporcional, segura e compatível com as atribuições do usuário.

Art. 56 – São objetivos do controle de acesso:
I – estabelecer critérios para concessão, alteração, suspensão, bloqueio e revogação de acessos;
II – assegurar que cada usuário possua apenas os acessos necessários ao desempenho de suas atribuições;
III – reduzir riscos de acesso indevido, fraude, vazamento de dados, uso abusivo de credenciais, violação de sigilo e comprometimento de sistemas;
IV – garantir rastreabilidade das ações realizadas nos recursos de TIC;
V – definir responsabilidades dos usuários, gestores, áreas de negócio, ASGE, Recursos Humanos, fornecedores e terceiros;
VI – orientar a revisão periódica de acessos;
VII – estabelecer regras para autenticação, autorização, segregação de funções, menor privilégio e necessidade de conhecer; e
VIII – apoiar a conformidade com a legislação aplicável, com a proteção de dados pessoais, com contratos, normas internas e demais instrumentos de segurança da informação.

Seção II
Princípios e Diretrizes

Art. 57 – O controle de acesso no Ipsemg deverá observar os seguintes princípios:
I – menor privilégio;
II – necessidade de conhecer;
III – segregação de funções;
IV – rastreabilidade;
V – responsabilização individual;
VI – segurança por padrão;
VII – concessão formal e autorizada;
VIII – revisão periódica;
IX – revogação tempestiva;
X – proteção de dados pessoais;
XI – gestão baseada em riscos; e
XII – proporcionalidade dos controles à criticidade do recurso.

Art. 58 – Todo acesso a recursos de TIC do Ipsemg deverá estar associado a uma necessidade institucional legítima, compatível com as atribuições do usuário e autorizado pela instância competente.
§1º – A autorização de acesso será concedida pelo Diretor ou pelo Assessor-Chefe da unidade à qual o usuário esteja vinculado, ou por autoridade por eles formalmente delegada, observados os procedimentos definidos em norma complementar.
§2º – A ASGE não avalia a conveniência ou a oportunidade negocial do acesso solicitado, que compete ao proprietário da informação, cabendo-lhe, contudo, avaliar a conformidade do pedido com esta Política e os riscos de segurança dele decorrentes, podendo indeferi-lo ou condicioná-lo a medidas compensatórias, mediante manifestação fundamentada.

Art. 59 – Nenhum usuário deverá possuir acesso a sistemas, informações, pastas, bancos de dados, rede, aplicações ou serviços digitais sem vínculo funcional, contratual, legal ou institucional que justifique a permissão.

Art. 60 – Os acessos deverão ser concedidos preferencialmente por perfis padronizados, vinculados a cargos, funções, unidades, processos de trabalho ou papéis institucionais.

Art. 61 – A concessão de acesso individual fora dos perfis padronizados deverá ser justificada, registrada e aprovada pelo gestor responsável.

Art. 62 – A ASGE poderá bloquear, suspender ou restringir acessos quando houver risco à segurança, indício de uso indevido, incidente, determinação superior, descumprimento normativo ou encerramento da necessidade de acesso.

Seção III
Acesso a Computadores, Rede, VPN, Wi-Fi

Art. 63 – Cada usuário deverá possuir identidade digital própria e intransferível, expressa em conta nominal, que permita sua identificação inequívoca nos sistemas institucionais e a rastreabilidade de suas ações.
Art. 64 – As credenciais de acesso devem observar os seguintes requisitos:
I – as senhas devem atender a padrões mínimos de complexidade, comprimento e período de validade, observados os parâmetros da Resolução SEPLAG nº 084, de 2022, e o detalhamento previsto em norma complementar;
II – é vedada a anotação em local exposto e o compartilhamento de senhas;
III – senhas iniciais ou temporárias devem ser trocadas no primeiro acesso;
IV – o usuário deve comunicar imediatamente à ASGE qualquer suspeita de comprometimento de suas credenciais; e
V – o armazenamento de senhas em sistemas deve ser realizado por meio de mecanismos seguros, mediante uso de algoritmos de hash adequados, vedado o armazenamento em texto claro;
VI – sempre que possível, deverá ser adotada autenticação multifator (MFA) como método adicional de verificação da identidade, em especial no acesso remoto, no acesso a sistemas que tratam dados pessoais sensíveis e no uso de contas com acesso privilegiado.
Parágrafo único. Senhas vazadas serão comunicadas ao usuário, sendo ativado procedimento de troca de senhas.

Art. 65 – O acesso à rede corporativa do Ipsemg deverá ser concedido apenas a usuários, dispositivos e serviços autorizados.
Parágrafo único. A conexão de dispositivos à rede poderá ser condicionada a autenticação, conformidade técnica, inventário, segmentação, controle de acesso à rede, endereço autorizado ou outro mecanismo definido em norma específica pela ASGE.

Art. 66 – O acesso remoto à rede corporativa do Ipsemg será disponibilizado por meio de Rede Privada Virtual (VPN) ou de outro meio aprovado pela ASGE, observado o disposto no art. 13 da Resolução SEPLAG nº 084, de 2022.
§ 1º – O acesso remoto deverá observar, no mínimo, autorização formal, autenticação individual e a vedação ao compartilhamento de credenciais.
§ 2º – A ASGE, em articulação com a PRODEMGE, poderá estabelecer controles complementares de acesso remoto, incluindo restrições por perfil de usuário, horário, dispositivo, endereçamento de rede ou escopo de recursos acessíveis, conforme o nível de criticidade dos sistemas e a necessidade institucional.
§ 3º – O Ipsemg reserva-se o direito de monitorar a utilização do acesso remoto disponibilizado, observada a legislação aplicável.
§ 4º – O descumprimento do disposto neste artigo sujeitará o usuário às medidas disciplinares, administrativas e legais cabíveis, sem prejuízo da revogação imediata dos acessos concedidos e da comunicação ao Encarregado pelo Tratamento de Dados Pessoais nos casos em que o acesso irregular implique risco à proteção de dados pessoais.

Art. 67 – A criação de conta de acesso aos computadores e à rede do Ipsemg deverá ser solicitada pela área de Recursos Humanos, no momento da posse do colaborador, contendo as seguintes informações:
I – CPF;
II – nome;
III – telefone;
IV – matrícula ou registro;
V – setor;
VI – localidade; e
VII – informações da chefia imediata.
§ 1º – As solicitações de criação de contas de acesso de que trata este artigo serão dispostas em norma complementar.
§ 2º – Caso as informações estejam incompletas, a ASGE retornará o processo solicitando as informações faltantes.

Art. 68 – O uso de contas genéricas ou compartilhadas é vedado, salvo em situações excepcionais devidamente justificadas, formalmente aprovadas pela ASGE e submetidas a controles compensatórios que assegurem rastreabilidade, como registros de log, auditoria e monitoramento reforçado.
I – a solicitação de contas genéricas deve ser feita por Diretor ou Assessor-Chefe, mediante Memorando no SEI, contendo a justificativa de acesso, dispostas em norma complementar; e
II – a ASGE poderá indeferir a solicitação caso entenda que o acesso não é pertinente à situação apresentada.

Art. 69 – As contas de serviço devem ser devidamente catalogadas, associadas ao respectivo sistema ou processo, submetidas a controles de acesso específicos e revisadas periodicamente, vedado seu uso interativo por usuários humanos, salvo em situações de manutenção devidamente autorizadas e registradas.

Art. 70 – As contas de administrador de sistemas, infraestrutura, redes, bases de dados e demais recursos tecnológicos institucionais são de uso exclusivo dos servidores e colaboradores lotados na ASGE, sendo vedada sua concessão a usuários de outras unidades administrativas ou assistenciais do Ipsemg.
§ 1º – A concessão de conta de administrador a servidor ou colaborador da ASGE é condicionada à compatibilidade entre os privilégios solicitados e as atribuições técnicas efetivamente exercidas pelo usuário, de modo que funções sem atribuição técnica operacional sobre os respectivos sistemas ou recursos, como atividades de natureza administrativa, contratual, financeira ou de apoio, não fazem jus à concessão de acesso privilegiado de administrador, ainda que o usuário esteja lotado na ASGE.
§ 2º – Qualquer situação que demande, em caráter excepcional, a concessão de conta de administrador a servidor ou colaborador não enquadrado nos critérios deste artigo deverá ser formalmente solicitada pelo Assessor-Chefe da unidade requisitante ou pelo Diretor da área à qual o usuário esteja vinculado, conforme disposto em norma complementar, com exposição fundamentada da necessidade, da finalidade, do escopo e do período pretendido para o acesso.
§ 3º – A ASGE detém competência para avaliar os pedidos de que trata o § 2º, podendo indeferi-los sempre que concluir pela ausência de justificativa técnica suficiente, pelo risco à segurança da informação, pela incompatibilidade com as diretrizes desta Política ou por qualquer outro fundamento que comprometa a integridade, a confidencialidade ou a disponibilidade dos sistemas e recursos institucionais.
§ 4º – Excetuam-se do disposto no caput os profissionais de empresas contratadas e da PRODEMGE que, por força de objeto contratual, administrem sistemas, bancos de dados ou infraestrutura do Ipsemg, hipótese em que o acesso privilegiado observará conta nominal individualizada por preposto, vedada a utilização de conta compartilhada pela equipe do contratado, registro integral das atividades, revisão semestral e revogação imediata ao término do vínculo do preposto ou do contrato.

Art. 71 – As contas de acesso que permanecerem sem utilização pelo prazo de 30 (trinta) dias, ou por outro prazo definido em norma complementar, serão automaticamente bloqueadas, observado o seguinte:
I – efetuado o bloqueio, serão notificados a chefia imediata do usuário e o Gestor da Pasta (Assessor-Chefe ou Diretor) acerca do bloqueio da conta;
II – confirmada a permanência do vínculo e da necessidade do acesso, a conta poderá ser reativada mediante solicitação da chefia imediata; e
III – constatado o desligamento, a alteração de lotação ou o encerramento da necessidade do acesso, a conta será excluída.
§ 1º – A exclusão da conta não implicará a eliminação dos documentos, processos e informações institucionais produzidos pelo usuário, cuja custódia será transferida na forma desta Política.
§ 2º – O prazo de inatividade e os procedimentos de bloqueio, notificação, reativação e exclusão das contas serão detalhados em norma complementar.

Art. 72 – O acesso ao Wi-Fi corporativo deverá ocorrer mediante autenticação individual ou mecanismo equivalente, com segregação e controles compatíveis com o perfil de uso.
Parágrafo único. O Wi-Fi destinado a visitantes deverá ser segregado da rede corporativa e não poderá conceder acesso direto a sistemas internos, servidores, bases de dados ou ambientes restritos.

Seção IV
Acesso a Pastas de Rede, Arquivos e Repositórios Documentais

Art. 73 – O acesso a pastas de rede, diretórios compartilhados, repositórios documentais, bibliotecas digitais e ambientes colaborativos deverá ser controlado por unidade, grupo, função ou necessidade específica.

Art. 74 – Cabe ao Gestor da Pasta (Assessor-Chefe ou Diretor) responsável por pastas, arquivos e repositórios definir as permissões de acesso adequadas e revisar periodicamente os acessos concedidos, não cabendo à ASGE juízo de valor sobre a pertinência dos acessos por ele determinados, mas tão somente a sua implementação técnica e a observância das diretrizes desta Política.

Art. 75 – Informações sensíveis, confidenciais, assistenciais, estratégicas ou contendo dados pessoais deverão ser armazenadas em locais com controle de acesso compatível com sua classificação.

Art. 76 – É vedada a criação de pastas compartilhadas abertas a todos os usuários sem justificativa institucional e sem avaliação de risco.

Art. 77 – O acesso público interno, quando necessário, deverá ser limitado a informações de caráter geral, institucional ou sem restrição de confidencialidade.

Art. 78 – O Ipsemg poderá adotar o Microsoft SharePoint, ou solução equivalente homologada pela ASGE, como plataforma corporativa para armazenamento, compartilhamento e gestão colaborativa de documentos e repositórios institucionais.
§ 1º – O acesso aos sites, bibliotecas, pastas e documentos hospedados no SharePoint observará as diretrizes de controle de acesso previstas neste Capítulo, devendo as permissões ser concedidas por unidade, grupo, função ou necessidade específica, vedada a herança de permissões mais amplas do que as necessárias.
§ 2º – A criação de sites, bibliotecas e pastas no SharePoint e a definição de seu proprietário deverão ser previamente autorizadas e registradas, cabendo à ASGE estabelecer os padrões de estruturação, nomenclatura e governança em norma complementar.
§ 3º – A gestão de cada pasta no SharePoint é de responsabilidade exclusiva de seu proprietário, a quem compete a concessão, a alteração, a revisão e a revogação das permissões de acesso, a organização e a classificação dos documentos, o controle do compartilhamento interno e externo e a observância das diretrizes de segurança da informação e de proteção de dados aplicáveis ao seu conteúdo.
§ 4º – O compartilhamento de documentos e bibliotecas com usuários externos ao Ipsemg, inclusive por meio de links de acesso, somente será permitido quando houver justificativa institucional, autorização do proprietário da pasta e observância dos requisitos de proteção de dados pessoais, sendo vedado o compartilhamento aberto ou anônimo de informações sensíveis, sigilosas ou assistenciais.
§ 5º – O proprietário da pasta deverá revisar periodicamente as permissões concedidas e solicitar a revogação tempestiva dos acessos que deixarem de ser necessários, respondendo pela manutenção da rastreabilidade e da adequação dos acessos sob sua gestão.

Art. 79 – A adoção do SharePoint como repositório documental não dispensa a existência de rotinas de cópia de segurança que assegurem a recuperação das informações institucionais.
§ 1º – A ASGE deverá assegurar que os dados armazenados no SharePoint sejam contemplados por solução de backup, preferencialmente independente do próprio ambiente da plataforma, de modo a permitir a restauração das informações em caso de perda, exclusão indevida, corrupção ou indisponibilidade do serviço.
§ 2º – Os documentos considerados críticos para a continuidade das atividades institucionais deverão dispor de medida de contingência que assegure sua disponibilidade local em situações de indisponibilidade de conexão à internet ou ao serviço em nuvem.

Art. 80 – A eventual descontinuidade de servidores de arquivos locais (file server) em favor do SharePoint dependerá de avaliação prévia da ASGE quanto à capacidade de armazenamento, à existência de cópia de segurança adequada, aos riscos de indisponibilidade e às medidas de contingência, bem como de ações de capacitação dos usuários, registradas em plano específico de migração.

Seção V
Acesso a Dados, Bancos de Dados e Repositórios

Art. 81 – O acesso a bancos de dados, repositórios, data warehouses, data lakes, bases analíticas, arquivos de exportação, relatórios gerenciais e conjuntos de dados deverá observar a necessidade institucional, a classificação da informação, o menor privilégio, a segregação de funções e a autorização do proprietário da informação.

Art. 82 – Para os fins desta Seção, considera-se proprietário da informação o Gestor da Pasta (Assessor-Chefe ou Diretor) da área responsável pelo processo de negócio ao qual os dados estão vinculados, a quem compete classificar a informação, definir os critérios de acesso e autorizar, revisar e revogar as permissões sobre os respectivos dados.

Art. 83 – A administração dos bancos de dados institucionais observará os seguintes modelos, conforme a titularidade e a forma de gestão de cada ambiente:
I – bancos de dados administrados por profissional especializado (DBA) contratado no âmbito da ASGE, como o do Sistema de Gestão Hospitalar (MV);
II – bancos de dados e aplicações administrados diretamente pela equipe técnica da ASGE;
III – bancos de dados e aplicações sob gestão da Companhia de Tecnologia da Informação do Estado de Minas Gerais (PRODEMGE); e
IV – bancos de dados administrados pela empresa fornecedora, no caso de sistemas contratados na modalidade de software como serviço (SaaS) ou de soluções hospedadas em ambiente do contratado.
§ 1º – Independentemente do modelo de administração, a concessão de acesso a dados dependerá de autorização do proprietário da informação e observará as diretrizes desta Política.
§ 2º – Nos ambientes administrados pela PRODEMGE, por empresa fornecedora de SaaS ou por outros terceiros, a ASGE atuará como interlocutora institucional, assegurando que os requisitos de segurança e proteção de dados previstos nesta Política e nos instrumentos contratuais sejam observados.
§ 3º – O profissional DBA e demais administradores de banco de dados, ainda que terceirizados ou vinculados a empresa fornecedora de SaaS, estão sujeitos aos controles de acesso privilegiado, à rastreabilidade e às obrigações de sigilo previstos nesta Política e nos respectivos contratos.
§ 4º – Na contratação de soluções na modalidade SaaS, os instrumentos contratuais deverão prever, no mínimo, a definição das responsabilidades do fornecedor quanto à segurança e à proteção dos dados, a localização e a forma de armazenamento das informações, os requisitos de criptografia, a manutenção de trilhas de auditoria, as condições de cópia de segurança e de recuperação, bem como a garantia de devolução ou de eliminação segura dos dados ao término do contrato.

Art. 84 – O acesso administrativo ou privilegiado a bancos de dados,incluindo poderes de criação, alteração, exclusão de estruturas, extração massiva de dados ou gestão de usuários, é restrito aos administradores formalmente designados pelos proprietários da informação, segundo definidos nesta política, vedado seu uso para finalidades estranhas às atribuições técnicas.
Parágrafo único. As atividades realizadas com contas privilegiadas em bancos de dados deverão ser registradas e submetidas a monitoramento e revisão periódica, observado o disposto na Resolução SEPLAG nº 084, de 2022, quanto à revisão dos direitos de acesso privilegiado.

Art. 85 – O acesso a dados pessoais e a dados pessoais sensíveis armazenados em bancos de dados e repositórios observará a finalidade institucional, a necessidade e os princípios da Lei Federal nº 13.709, de 2018, sendo limitado ao mínimo necessário ao cumprimento das atribuições do usuário.
§ 1º – Os dados pessoais e sensíveis deverão ser protegidos por criptografia em repouso e em trânsito, conforme padrões definidos pela ASGE em norma complementar.
§ 2º – Os bancos de dados e repositórios que contenham dados pessoais deverão manter trilhas de auditoria que registrem, no mínimo, os acessos, as consultas, as alterações e as extrações realizadas, preservadas de forma íntegra e por prazo compatível com a legislação aplicável.
§ 3º – Sempre que a finalidade pretendida puder ser atingida sem a identificação dos titulares, em especial nos usos analíticos, estatísticos e de pesquisa, deverão ser adotadas técnicas de anonimização ou de pseudonimização dos dados pessoais.

Art. 86 – O ambiente analítico do Ipsemg, compreendendo data warehouses, data lakes, bases analíticas e ferramentas de inteligência de negócio (BI), observará controles de acesso compatíveis com a sensibilidade dos dados nele tratados.
§ 1º – O acesso ao ambiente analítico será concedido por perfis vinculados à necessidade institucional, sendo o acesso a dados pessoais condicionado à pseudonimização ou anonimização sempre que a identificação dos titulares não for indispensável à finalidade.
§ 2º – A criação de novas bases analíticas, integrações e fluxos de dados deverá ser registrada e submetida à avaliação de risco, observadas a classificação da informação de origem e as diretrizes da Assessoria Estratégica e da ASGE.

Art. 87 – A extração, a exportação e o compartilhamento de conjuntos de dados, relatórios gerenciais e arquivos de bases de dados observarão a classificação da informação e dependerão de autorização do proprietário da informação.
Parágrafo único. A extração massiva de dados, especialmente quando envolver dados pessoais, dependerá de justificativa, autorização específica e registro, sendo vedada a sua realização para finalidades não autorizadas ou incompatíveis com a finalidade original do tratamento.

Art. 88 – O compartilhamento de dados com outros órgãos, entidades, parceiros ou terceiros deverá ser formalizado em instrumento próprio, com definição de finalidade, base legal, responsabilidades, prazos e medidas de segurança, observada a legislação de proteção de dados pessoais e de acesso à informação.

Art. 89 – Os bancos de dados e repositórios institucionais deverão ser contemplados por rotinas de cópia de segurança e por procedimentos de recuperação que assegurem a disponibilidade e a integridade das informações, observadas a criticidade dos dados e as responsabilidades de cada administrador, inclusive nos ambientes sob gestão de terceiros ou da PRODEMGE.

Seção VI
Acesso aos Sistemas Institucionais Específicos

Art. 90 – O acesso aos sistemas institucionais específicos do Ipsemg, tais como o Sistema de Gestão Hospitalar (MV), o Sistema de Cadastro Único (CADU), o SAFE, o SADS, o AREC, o SIAS e demais sistemas estruturantes, observará as diretrizes gerais de controle de acesso previstas neste Capítulo e o disposto nesta Seção, sem prejuízo das regras específicas definidas em norma complementar.

Art. 91 – O controle de acesso aos sistemas institucionais específicos será estruturado em papéis e perfis de acesso, vinculados a cargos, funções, atividades ou processos de trabalho, observados o menor privilégio, a necessidade de conhecer e a segregação de funções.
§ 1º – Compete ao gestor máximo da respectiva área, Diretor ou Assessor-Chefe, aprovar os papéis e perfis de acesso ao sistema sob responsabilidade de sua área, bem como suas alterações, definindo as funcionalidades e os módulos a eles associados.
§ 2º – A aprovação dos papéis e perfis dispensa a aprovação individual de cada solicitação pelo gestor máximo, desde que a solicitação se enquadre em perfil previamente aprovado.

Art. 92 – A solicitação de acesso individual de cada colaborador, no âmbito dos papéis e perfis aprovados, é de responsabilidade de sua chefia imediata, que indicará o perfil pretendido, compatível com as atribuições do colaborador.
Parágrafo único. Compete à chefia imediata comunicar tempestivamente qualquer alteração que implique adequação, suspensão ou revogação do acesso concedido.

Art. 93 – Compete ao gestor máximo da área, Diretor ou Assessor-Chefe, aprovar os casos omissos e as solicitações que fujam dos papéis e perfis previamente aprovados, incluindo acessos excepcionais, mediante justificativa específica.

Art. 94 – O acesso a sistemas que envolvam tratamento de dados pessoais sensíveis, em especial dados de saúde, observará controles reforçados de autenticação, registro e auditoria, em conformidade com a Lei Federal nº 13.709, de 2018.

Art. 95 – Os acessos aos sistemas institucionais específicos deverão ser revisados semestralmente e revogados tempestivamente nas hipóteses de desligamento, alteração de lotação, mudança de função ou encerramento da necessidade que fundamentou a concessão.

Seção VII
Acesso de Terceiros, Fornecedores e Parceiros

Art. 96 – O acesso de terceiros, fornecedores, prestadores de serviço e parceiros a informações, sistemas e recursos de tecnologia da informação do Ipsemg será autorizado pelo Diretor ou Assessor-Chefe da área responsável pelo contrato, pela parceria ou pela informação acessada, mediante solicitação do fiscal ou gestor do contrato, limitado ao estritamente necessário ao objeto da contratação ou da parceria e submetido aos mesmos controles de autenticação, autorização, rastreabilidade e revogação aplicáveis aos usuários internos.
§ 1º – Compete ao fiscal ou gestor do contrato ou da parceria solicitar o acesso, acompanhar a sua utilização e comunicar em até 24 (vinte e quatro) horas a necessidade de alteração, suspensão ou revogação, observado o objeto contratado e o princípio do menor privilégio.
§ 2º – Os instrumentos contratuais e de parceria deverão prever cláusulas de segurança da informação e de proteção de dados pessoais compatíveis com esta Política e com a legislação aplicável.
§ 3º – Os acessos concedidos a terceiros deverão ser temporários, vinculados à vigência do contrato ou da parceria, e revogados tempestivamente ao seu término.

CAPÍTULO IX
DA SEGURANÇA FÍSICA E DO AMBIENTE

Art. 97 – A segurança física e do ambiente tem por objetivo proteger as instalações, os ativos de informação, os equipamentos e as informações do Ipsemg contra acessos físicos não autorizados, danos, furtos, sinistros e interferências, observada a proteção dos dados pessoais e, em especial, dos dados de saúde tratados pela instituição.

Art. 98 – As dependências do Ipsemg serão organizadas em áreas, conforme a criticidade e a sensibilidade das atividades e das informações nelas tratadas, podendo ser classificadas em:
I – áreas de acesso livre, destinadas à circulação geral de pessoas;
II – áreas de acesso controlado, destinadas às atividades administrativas e assistenciais, restritas aos agentes autorizados; e
III – áreas de segurança, destinadas à guarda de ativos críticos e ao tratamento de informações sensíveis, tais como salas de servidores, salas técnicas, arquivos e ambientes de processamento ou armazenamento de dados, com acesso restrito a pessoas expressamente autorizadas.

Art. 99 – O acesso físico às dependências do Ipsemg observará os seguintes controles:
I – identificação dos agentes públicos, colaboradores e terceiros, mediante crachá ou meio equivalente, de uso pessoal e intransferível;
II – identificação, registro e acompanhamento de visitantes nas áreas de acesso controlado e nas áreas de segurança;
III – restrição do acesso às áreas de segurança às pessoas previamente autorizadas, com registro dos acessos, quando aplicável; e
IV – adoção de mecanismos de controle de entrada e saída compatíveis com a criticidade da área, tais como fechaduras, controle eletrônico, crachá, biometria ou vigilância.
Parágrafo único. O crachá ou meio de identificação deverá ser devolvido ou desativado no desligamento, na alteração de lotação ou no término do vínculo, observado o disposto no Capítulo da Segurança em Recursos Humanos.

Art. 100 – As salas de servidores, salas técnicas e demais áreas de segurança que abriguem ativos críticos de tecnologia da informação terão acesso restrito aos profissionais da ASGE e às pessoas expressamente autorizadas, vedado o acesso de terceiros sem acompanhamento.
§ 1º – O acesso de prestadores de serviço a essas áreas, inclusive para manutenção, deverá ser previamente autorizado, registrado e acompanhado por profissional responsável.
§ 2º – As áreas de segurança deverão dispor de medidas de proteção compatíveis com sua criticidade, incluindo, quando aplicável, controle de acesso, registro de entradas, vigilância e proteção contra riscos ambientais.

Art. 101 – Os ativos e equipamentos deverão ser protegidos contra ameaças físicas e ambientais, tais como incêndio, alagamento, falha de energia, variações de temperatura e umidade, observadas medidas de prevenção, detecção e resposta proporcionais à criticidade dos recursos.
Parágrafo único. Os ambientes que abriguem servidores e equipamentos críticos deverão dispor, quando aplicável, de fornecimento ininterrupto de energia, climatização adequada e proteção contra incêndio, articulando-se com as medidas de continuidade previstas nesta Política.

Art. 102 – A retirada, a movimentação ou a instalação de equipamentos e ativos de informação para fora das dependências do Ipsemg dependerão de autorização e de registro, observados os controles de segurança aplicáveis.

Art. 103 – Os documentos, mídias e equipamentos que contenham informações de acesso confidencial deverão ser guardados em ambiente protegido e descartados de forma segura, observados a prática de mesa limpa e tela limpa e o disposto nesta Política quanto ao descarte seguro de mídias.

CAPÍTULO X
DO USO DO CORREIO ELETRÔNICO

Art. 104 – O correio eletrônico institucional é disponibilizado ao usuário como recurso profissional de apoio às suas atividades, observado o disposto no Decreto Estadual nº 46.226, de 2013, e nas demais normas aplicáveis.

Art. 105 – A conta de correio eletrônico institucional possui titularidade específica, é de uso pessoal e intransferível e permite a identificação e a responsabilização do usuário quanto à sua utilização.

Art. 106 – São condições gerais de utilização do correio eletrônico institucional:
I – as mensagens deverão ter conteúdo profissional, relacionado às funções exercidas, conferindo-se a elas o mesmo tratamento formal dos documentos institucionais;
II – é vedada a divulgação, por correio eletrônico, de informações sigilosas, de acesso restrito ou de propriedade da Administração Pública, salvo quando necessária ao desempenho das atribuições e observados os controles de segurança;
III – o tratamento de dados pessoais por correio eletrônico observará a Lei Federal nº 13.709, de 2018, e o Decreto Estadual nº 48.237, de 2021; e
IV – recomenda-se o uso de assinatura ou certificado digital, quando disponível, para garantir a autenticidade, a integridade e o não repúdio das mensagens.

Art. 107 – Constitui uso indevido do correio eletrônico institucional, entre outras hipóteses previstas em legislação:
I – a tentativa de acesso não autorizado a caixas postais de terceiros;
II – a utilização para finalidades estranhas às funções profissionais, tais como cadastro em redes sociais pessoais, sítios de compras ou fins de entretenimento;
III – o envio de mensagens de conteúdo ilícito, ofensivo, discriminatório, difamatório, obsceno, comercial, de spam ou de natureza estritamente pessoal;
IV – a cessão da lista de endereços dos usuários a pessoas alheias à Administração Pública, salvo para finalidade institucional;
V – o envio de mensagens contendo código malicioso ou rotinas prejudiciais; e
VI – a falsidade ou ocultação de identidade no envio de mensagens.

Art. 108 – São deveres do usuário do correio eletrônico institucional:
I – manter o sigilo de sua senha, de uso pessoal e intransferível, substituindo-a em caso de suspeita de comprometimento;
II – utilizar senha em conformidade com os requisitos definidos nesta Política e em norma complementar;
III – não abrir mensagens, executar arquivos ou acessar anexos de origem desconhecida ou suspeita;
IV – não divulgar o endereço institucional para o recebimento de mensagens particulares ou de entidades alheias às atividades do Ipsemg; e
V – comunicar à área competente qualquer incidente, acesso indevido ou fragilidade relacionados à sua conta.

Art. 109 – O Ipsemg poderá monitorar a utilização do correio eletrônico institucional, para fins de auditoria, verificação de conformidade e segurança da informação, bem como eliminar mensagens e arquivos e bloquear conteúdos ou contas, temporária ou permanentemente, quando houver ameaça à segurança das informações ou uso indevido, observada a legislação aplicável.
Parágrafo único. Recomenda-se que as informações institucionais relevantes não sejam mantidas exclusivamente no correio eletrônico, devendo ser armazenadas nos repositórios e sistemas institucionais contemplados por cópia de segurança.

Art. 110 – Na ocorrência de evidências de uso irregular do correio eletrônico institucional, o fato será registrado como incidente de segurança da informação, sem prejuízo da instauração do procedimento administrativo cabível, com auditoria na conta sob suspeita, observados o contraditório e a ampla defesa.

CAPÍTULO XI
DO USO DE APLICATIVOS DE MENSAGENS INSTANTÂNEAS

Art. 111 – Não é vedada a utilização do WhatsApp e de outros aplicativos de mensagens instantâneas para a comunicação informal e operacional entre os usuários no desempenho de suas atividades.
Parágrafo único. Fica adotado o Microsoft Teams como aplicativo institucional oficial para comunicação, reuniões e colaboração entre os usuários, ou outro que venha a substituí-lo conforme orientações da ASGE.

Art. 112 – É vedada, em qualquer hipótese, a tramitação de documentos por meio do WhatsApp ou de outros aplicativos de mensagens instantâneas.
§ 1º – A tramitação de documentos e processos administrativos deverá ocorrer exclusivamente pelo Sistema Eletrônico de Informações (SEI) ou por outro meio oficial expressamente previsto, não produzindo efeitos institucionais a tramitação realizada por aplicativos de mensagens instantâneas.
§ 2º – Caso a tramitação de documentos ou informações por meio de aplicativos de mensagens instantâneas venha a se concretizar, em desacordo com o disposto nesta Seção, a responsabilidade pelo ato e por suas consequências será do usuário que lhe der causa e do Diretor e Assessor-Chefe de forma solidária, sem prejuízo das medidas disciplinares, administrativas e legais cabíveis.
§ 3º – A vedação prevista neste artigo abrange, em especial, o compartilhamento de documentos, dados pessoais, dados pessoais sensíveis, dados de saúde e quaisquer informações sigilosas ou de acesso restrito por meio dos referidos aplicativos.

CAPÍTULO XII
DO USO DO SISTEMA ELETRÔNICO DE INFORMAÇÕES (SEI) E DA TRAMITAÇÃO DE PROCESSOS

Seção I
Disposições Gerais

Art. 113 – O Sistema Eletrônico de Informações (SEI) é a ferramenta oficial para produção, edição, assinatura, tramitação, gestão e guarda de documentos e processos administrativos eletrônicos no âmbito do Ipsemg, observados a legislação aplicável, os princípios da Administração Pública e as diretrizes desta Política.

Art. 114 – O uso do SEI observará os princípios da publicidade, da transparência, da eficiência, da impessoalidade, da segurança da informação e da proteção de dados pessoais, bem como as boas práticas de gestão documental.

Art. 115 – É vedada a tramitação de documentos e processos por meios alternativos quando a matéria, por sua natureza, exigir registro no SEI, salvo nas hipóteses de indisponibilidade ou de exceção formalmente previstas.

Art. 116 – Todo documento interno produzido no SEI deverá ser assinado eletronicamente, mediante senha ou certificado digital, sendo os documentos não assinados considerados minutas, sem valor de documento oficial.
Parágrafo único. A assinatura eletrônica é pessoal e intransferível, vinculada à identidade digital do usuário, vedado o seu compartilhamento, nos termos do Capítulo VIII desta Política.

Seção II
Dos Níveis de Acesso a Documentos e Processos

Art. 117 – Os documentos e processos no SEI serão classificados quanto ao nível de acesso em:
I – público: acesso público, quando seu conteúdo é visível a todos os usuários do sistema e, quando aplicável, aos cidadãos por meio de consulta pública;
II – restrito: acesso restrito, quando o conteúdo é acessível apenas aos usuários das unidades em que o processo esteja aberto ou por onde tenha tramitado; e
III – sigiloso: acesso sigiloso, quando o acesso é limitado aos usuários previamente credenciados, com acompanhamento de tramitação realizado de forma individualizada.

Art. 118 – O acesso público é a regra, sendo os níveis restrito e sigiloso exceções, admitidas somente quando houver fundamento legal que justifique a restrição.
§ 1º – A atribuição dos níveis restrito ou sigiloso deverá indicar a hipótese legal que a fundamenta, em especial as previstas na Lei Federal nº 12.527, de 2011, no Decreto Estadual nº 45.969, de 2012, e na Lei Federal nº 13.709, de 2018.
§ 2º – Cessada a situação de fato ou de direito que justificou a restrição, o nível de acesso deverá ser redefinido para público pela autoridade ou unidade competente.
§ 3º – A inclusão de documento restrito ou sigiloso em processo torna o processo, no todo ou em parte, sujeito ao maior nível de restrição existente, razão pela qual a classificação deve ser criteriosa e proporcional.

Art. 119 – Deverão observar nível de acesso restrito ou sigiloso, conforme o caso e o fundamento legal aplicável, os documentos e processos que contenham:
I – dados pessoais e dados pessoais sensíveis, especialmente dados de saúde, biométricos ou genéticos;
II – informações relativas à intimidade, à vida privada, à honra e à imagem das pessoas;
III – informações sobre prevenção, diagnóstico e tratamento médico;
IV – matéria objeto de apuração de responsabilidade, sindicância ou processo administrativo disciplinar;
V – informações protegidas por sigilo legal, tais como fiscal, bancário ou correlatos; e
VI – outras hipóteses legais de restrição de acesso.
Parágrafo único. O nível sigiloso deverá ser reservado às situações estritamente necessárias, dada a sua maior restrição à transparência e ao controle administrativo, privilegiando-se, sempre que suficiente, o nível restrito.

Art. 120 – O credenciamento para acesso a processos sigilosos será concedido de forma individual e fundamentada, observados a necessidade de conhecer e o menor privilégio, e revogado quando cessar a necessidade que o motivou.

Seção III
Da Tramitação de Processos

Art. 121 – A tramitação de processos no SEI é realizada entre unidades administrativas, e não entre usuários individuais, ficando o processo acessível aos usuários vinculados à unidade de destino.
Parágrafo único. Nos processos sigilosos, o acompanhamento da tramitação e o acesso ocorrem de forma individualizada, mediante credencial específica.

Art. 122 – A tramitação deverá observar as seguintes boas práticas:
I – assinar todos os documentos internos antes do envio do processo a outra unidade;
II – encaminhar o processo apenas às unidades competentes para nele atuar, evitando trâmites desnecessários;
III – evitar manter o processo aberto na unidade de origem após o envio, salvo quando houver atuação simultânea justificada, hipótese em que poderá ser utilizado o acompanhamento especial;
IV – concluir o processo na unidade quando encerrada a sua atuação, de modo a refletir corretamente a situação e as estatísticas do sistema;
V – registrar no andamento eventuais devoluções por equívoco de tramitação; e
VI – manter a base de conhecimento e os fluxos de trabalho atualizados, quando aplicável, para orientar o trâmite correto.

Art. 123 – A coleta de assinaturas de usuários de diferentes unidades poderá ser realizada por meio de bloco de assinatura, e o compartilhamento de processos para conhecimento ou discussão, sem tramitação, por meio de bloco de reunião.

Art. 124 – O cancelamento ou a exclusão de documentos no SEI observará as regras e limitações do sistema, sendo vedada a supressão indevida de documentos que componham a instrução processual, preservada a integridade e a rastreabilidade do processo.

Seção IV
Dos Perfis, das Responsabilidades e do Controle de Acesso ao SEI

Art. 125 – O acesso ao SEI será concedido mediante identidade digital própria e intransferível, vinculada à lotação do usuário, observado o disposto no Capítulo VIII desta Política quanto ao controle de acesso.

Art. 126 – Os perfis de acesso ao SEI serão atribuídos conforme as atribuições do usuário e o princípio do menor privilégio, contemplando, entre outros:
I – perfil básico, destinado aos usuários que produzem, editam, assinam e tramitam documentos e processos no âmbito de suas unidades;
II – perfis específicos ou estendidos, destinados a atividades especializadas, tais como administração de unidades, gestão documental, protocolo ou administração do sistema; e
III – perfil de usuário externo, quando aplicável, destinado a pessoas físicas ou jurídicas externas ao Ipsemg, para peticionamento, consulta ou acompanhamento de processos, observados os controles específicos.
Parágrafo único. A concessão de perfis com poderes de administração do sistema observará os requisitos de acesso privilegiado previstos no Capítulo VIII desta Política.

Art. 127 – A criação, a alteração, a suspensão e a revogação dos acessos e perfis no SEI seguirão os procedimentos institucionais de gestão de identidades e acessos, devendo ser revogados tempestivamente nas hipóteses de desligamento, alteração de lotação, mudança de função ou encerramento da necessidade do acesso.

Art. 128 – Compete ao usuário do SEI:
I – utilizar o sistema de forma ética, observando a legislação e esta Política;
II – classificar corretamente o nível de acesso dos documentos e processos que produzir;
III – zelar pelo sigilo de suas credenciais e pela proteção das informações a que tiver acesso;
IV – responsabilizar-se pelos documentos que assinar; e
V – comunicar incidentes, acessos indevidos ou fragilidades de que tomar conhecimento.

Art. 129 – Compete à unidade responsável pela gestão do SEI no Ipsemg, em articulação com a ASGE e com a área de gestão documental, orientar o uso adequado do sistema, apoiar a definição de perfis e fluxos, e promover ações de capacitação, observadas as boas práticas e a legislação aplicável.

CAPÍTULO XIII
DA SEGURANÇA EM RECURSOS HUMANOS

Art. 130 – A segurança da informação será observada em todas as fases do vínculo dos agentes públicos, empregados, estagiários, residentes, colaboradores e terceiros com o Ipsemg, antes, durante e após a sua vigência.
Art. 131 – Previamente ou no momento do início das atividades, o usuário deverá tomar ciência desta Política e firmar termo de responsabilidade e de confidencialidade, comprometendo-se a observar as regras de segurança da informação e o sigilo das informações a que tiver acesso.
§ 1º – O dever de sigilo subsiste após o término do vínculo, relativamente às informações confidenciais e aos dados pessoais a que o usuário tenha tido acesso.
§ 2º – As obrigações de segurança da informação e de proteção de dados aplicáveis a terceiros deverão constar dos respectivos instrumentos contratuais.

Art. 132 – Durante a vigência do vínculo, compete ao usuário utilizar adequadamente os recursos, manter o sigilo de suas credenciais, proteger as informações sob sua responsabilidade e participar das ações de capacitação e conscientização.

Art. 133 – No desligamento, afastamento, alteração de lotação, mudança de função ou término de contrato, deverão ser adotadas, de forma tempestiva, as seguintes providências:
I – revogação ou adequação dos acessos e credenciais do usuário;
II – devolução dos ativos institucionais sob sua posse, tais como equipamentos, dispositivos móveis, mídias, crachás e certificados;
III – transferência da custódia das informações e documentos sob sua responsabilidade; e
IV – comunicação às áreas competentes, na forma desta Política.
Parágrafo único. A área de Recursos Humanos e as chefias imediatas atuarão de forma articulada com a ASGE para assegurar o cumprimento do disposto neste artigo.

Art. 134 – O descumprimento das obrigações de segurança da informação sujeitará o responsável às medidas disciplinares, administrativas, contratuais e legais cabíveis, observado o disposto no Capítulo da Responsabilização.

CAPÍTULO XIV
DA SEGURANÇA NAS CONTRATAÇÕES E NA GESTÃO DE FORNECEDORES

Art. 135 – As contratações de bens e serviços de tecnologia da informação, bem como aquelas que envolvam o acesso, o tratamento, o armazenamento ou a custódia de informações do Ipsemg, deverão observar requisitos de segurança da informação e de proteção de dados pessoais proporcionais aos riscos envolvidos.

Art. 136 – Os instrumentos contratuais deverão prever, quando aplicável, no mínimo:
I – as obrigações de segurança da informação e de confidencialidade do contratado e de seus prepostos;
II – as responsabilidades quanto ao tratamento de dados pessoais, na condição de operador, em conformidade com a Lei Federal nº 13.709, de 2018;
III – os requisitos de controle de acesso, rastreabilidade, criptografia, backup e recuperação aplicáveis;
IV – a localização e a forma de armazenamento das informações, especialmente em serviços de computação em nuvem e software como serviço (SaaS);
V – o direito de auditoria e de verificação de conformidade pelo Ipsemg;
VI – as obrigações de comunicação de incidentes de segurança que envolvam informações do Ipsemg; e
VII – a devolução ou a eliminação segura das informações ao término do contrato.

Art. 137 – O acesso de fornecedores e de seus prepostos a informações, sistemas e recursos do Ipsemg observará os controles de acesso previstos nesta Política, devendo ser limitado ao necessário ao objeto da contratação, vinculado à sua vigência e revogado tempestivamente ao seu término.

Art. 138 – A fiscalização dos contratos deverá acompanhar o cumprimento dos requisitos de segurança da informação e de proteção de dados, com apoio técnico da ASGE, comunicando-se eventuais descumprimentos para a adoção das medidas cabíveis.

CAPÍTULO XV
DA GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO

Art. 139 – Os eventos e incidentes de segurança da informação deverão ser identificados, registrados, comunicados e tratados de forma tempestiva, proporcional à sua criticidade e ao seu impacto institucional.

Art. 140 – Todo usuário que tomar conhecimento de evento suspeito, fragilidade ou incidente de segurança deverá comunicá-lo, sem demora, à ASGE, pelos canais por ela definidos.

Art. 141 – A ASGE coordenará o tratamento dos incidentes de segurança da informação e, sempre que o incidente envolver dados pessoais, comunicará o fato ao Encarregado pelo Tratamento de Dados Pessoais, para a adoção das medidas previstas na legislação.
Parágrafo único. As evidências relacionadas a incidentes deverão ser preservadas de forma a permitir a apuração de responsabilidades e a extração de lições aprendidas.

CAPÍTULO XVI
DA CONFORMIDADE, MONITORAMENTO E MELHORIA CONTÍNUA

Art. 142 – O Ipsemg poderá adotar mecanismos de monitoramento, auditoria, verificação de conformidade e supervisão dos ativos, sistemas, redes, acessos e serviços institucionais, observados o interesse público, a finalidade institucional, a proporcionalidade e a legislação aplicável.

Art. 143 – A governança de segurança da informação deverá promover o acompanhamento periódico da efetividade desta Política e de seus instrumentos complementares, incluindo, quando aplicável:
I – análise de riscos;
II – avaliação de incidentes ocorridos e lições aprendidas;
III – verificação de aderência normativa; e
IV – proposição de ações corretivas, preventivas e de melhoria.

CAPÍTULO XVII
DOS INSTRUMENTOS COMPLEMENTARES

Art. 144 – Esta Política será complementada por normas e manuais aprovados na forma definida pela governança institucional.

Art. 145 – Deverão ser instituídos normativos internos para os seguintes temas:
I – controle de acesso;
II – gestão de identidades e acessos privilegiados;
III – segurança física e do ambiente;
IV – gestão de ativos;
V – classificação e tratamento das informações;
VI – transferência e compartilhamento de informações;
VII – configurações seguras e manuseio seguro de dispositivos e endpoints do usuário;
VIII – segurança de redes;
IX – gestão de incidentes de segurança da informação;
X – backup e recuperação;
XI – criptografia e gerenciamento de chaves;
XII – gestão de vulnerabilidades técnicas;
XIII – desenvolvimento seguro;
XIV – gestão de terceiros, fornecedores e parceiros;
XV – uso aceitável de recursos de tecnologia da informação e comunicação;
XVI – uso de inteligência artificial e tecnologias correlatas; e
XVII – demais temas considerados relevantes pela governança institucional.

Art. 146 – Os instrumentos complementares previstos nesta Política deverão observar, entre outros, os seguintes critérios:
I – compatibilidade com esta Política e com a legislação vigente;
II – clareza quanto às responsabilidades, regras, exceções e sanções aplicáveis;
III – proporcionalidade dos controles aos riscos, à criticidade dos ativos e à sensibilidade das informações; e
IV – possibilidade de revisão e atualização tempestiva, sem comprometer a estabilidade desta Política.

CAPÍTULO XVIII
DA RESPONSABILIZAÇÃO

Art. 147 – O descumprimento desta Política, de suas normas complementares ou de obrigações de segurança da informação poderá ensejar a apuração de responsabilidade e a adoção das medidas administrativas, disciplinares, contratuais, civis e penais cabíveis, conforme a legislação vigente.

Art. 148 – A apuração de responsabilidade observará o devido processo legal, o contraditório e a ampla defesa, na forma da legislação aplicável aos agentes públicos, colaboradores, terceiros e fornecedores, conforme a natureza do vínculo.

CAPÍTULO XIX
DAS EXCEÇÕES

Art. 149 – Situações excepcionais ao disposto nesta Política ou nos instrumentos complementares somente poderão ser admitidas quando:
I – formalmente justificadas;
II – precedidas de avaliação de risco, quando aplicável;
III – aprovadas pela autoridade competente;
IV – limitadas no tempo e no escopo; e
V – acompanhadas, quando necessário, de medidas compensatórias.
Parágrafo único. As exceções deverão ser registradas e mantidas sob controle, de forma a permitir rastreabilidade e reavaliação periódica.

CAPÍTULO XX
DA CAPACITAÇÃO E DA CONSCIENTIZAÇÃO

Art. 150 – A ASGE, ou a unidade que vier a substituí-la, em cooperação com o apoio técnico das áreas envolvidas, promoverá ações contínuas de capacitação, orientação e conscientização em segurança da informação e proteção de dados, compatíveis com os perfis de acesso, as atribuições funcionais e os riscos institucionais.

Art. 151 – As ações de capacitação e conscientização deverão abranger, sempre que pertinente:
I – boas práticas de segurança da informação;
II – proteção de dados pessoais;
III – prevenção a fraudes, engenharia social e demais ameaças;
IV – uso seguro de sistemas, dispositivos e serviços institucionais;
V – reporte de incidentes e não conformidades; e
VI – responsabilidades de usuários, gestores e terceiros.

CAPÍTULO XXI
DAS DISPOSIÇÕES FINAIS

Art. 152 – Esta Política deverá ser revisada sempre que houver alteração relevante no ambiente normativo, tecnológico, organizacional ou de riscos do Ipsemg.

Art. 153 – Os casos omissos serão dirimidos pela ASGE, ou pela unidade que vier a substituí-la, com apoio técnico das áreas envolvidas, conforme a matéria.

Art. 154 – Esta Política entra em vigor na data de sua publicação, aplicando-se imediatamente as suas diretrizes, sem prejuízo dos prazos de implementação a seguir estabelecidos para os dispositivos que dependam de estruturação, designação, edição de normas complementares ou implantação de controles técnicos, contados da data de publicação:
I – arts. 135 a 138 (cláusulas de segurança nos contratos e capacitação da fiscalização): 30 (trinta) dias;
II – arts. 53 e 54 (Comitê de Mudanças): 60 (sessenta) dias;
III – art. 131 (termo de responsabilidade e de confidencialidade): 60 (sessenta) dias;
IV – arts. 24, § 1º, e 26 (fluxo de comunicação das movimentações funcionais que afetem acessos): 60 (sessenta) dias;
V – art. 71 (bloqueio de contas inativas, notificação e exclusão): 90 (noventa) dias;
VI – art. 27, I (fluxo de aprovação de comunicação sobre incidentes): 90 (noventa) dias;
VII – arts. 91 a 93 (aprovação dos papéis e perfis de acesso e respectivo fluxo de solicitação): 120 (cento e vinte) dias;
VIII – arts. 95 e art. 84, parágrafo único (revisão periódica de acessos e revogação, inclusive de acessos privilegiados): 120 (cento e vinte) dias;
IX – art. 12, parágrafo único (configuração segura – hardening – das estações de trabalho): 120 (cento e vinte) dias;
X – art. 85, §§ 1º e 2º (criptografia em repouso e em trânsito e trilhas de auditoria dos dados pessoais): 120 (cento e vinte) dias;
XI – arts. 37 a 44 (rotinas de backup e procedimentos de recuperação): 180 (cento e oitenta) dias;
XII – arts. 150 e 151 (programa de capacitação e conscientização): 120 (cento e vinte) dias;
XIII – art. 45 (Plano de Classificação e Tabela de Temporalidade e Destinação de Documentos – TTDD): 180 (cento e oitenta) dias;
XIV – art. 46 (rito de eliminação de documentos: Listagem, Edital de Ciência e fragmentação): 180 (cento e oitenta) dias;
XV – arts. 48 a 50 (planos de continuidade e recuperação, com definição de RTO e RPO): 180 (cento e oitenta) dias;
XVI – arts. 98 e 99 (classificação das áreas físicas e controles de acesso físico): 180 (cento e oitenta) dias;
XVII – art. 145, incisos I a X (edição das normas complementares de controle de acesso; gestão de identidades e acessos privilegiados; segurança física e do ambiente; gestão de ativos; classificação e tratamento das informações; transferência e compartilhamento de informações; configurações seguras de dispositivos e endpoints; segurança de redes; gestão de incidentes; e backup e recuperação): 180 (cento e oitenta) dias;
XVIII – art. 145, incisos XI a XVI (edição das normas complementares de criptografia e gerenciamento de chaves; gestão de vulnerabilidades técnicas; desenvolvimento seguro; gestão de terceiros, fornecedores e parceiros; uso aceitável de recursos de tecnologia da informação e comunicação; e uso de inteligência artificial e tecnologias correlatas): 240 (duzentos e quarenta) dias; e
XIX – arts. 142 e 143 (ciclo de conformidade, monitoramento e melhoria contínua): implantação em até 180 (cento e oitenta) dias e execução de forma contínua a partir de então.
§ 1º – Até o cumprimento do respectivo prazo de implementação, o descumprimento de dispositivo ainda em fase de adequação não ensejará, isoladamente, responsabilização, sem prejuízo do dever de envidar esforços para a sua observância e da vigência plena das obrigações legais já exigíveis, em especial as relativas à proteção de dados pessoais e ao acesso à informação.
§ 2º – Os prazos previstos neste artigo poderão ser prorrogados uma única vez, por igual período, mediante justificativa e decisão da autoridade competente.

Belo Horizonte, 21 de setembro de 2026.

André Luiz Moreira dos Anjos
Presidente - Instituto de Previdência dos Servidores do Estado de Minas Gerais. Registro documental mantido pela Okai.