PORTARIA Nº 249, DE 06 DE ABRIL DE 2026

Institui a Norma de Segurança da Informação e Comunicação (NoSIC nº 03/2026), que estabelece o controle do uso dos ativos computacionais e sistemas de Tecnologia da Informação e Comunicação (TIC), no âmbito da Secretaria de Estado de Saúde do Distrito Federal (SES-DF).

O SECRETÁRIO DE ESTADO DE SAÚDE DO DISTRITO FEDERAL, no uso das atribuições que lhe confere o art. 105, parágrafo único, incisos I e III da Lei Orgânica do Distrito Federal, assim como o inciso II, do art. 509, do Regimento Interno da Secretaria de Estado de Saúde do Distrito Federal, aprovado pelo Decreto n.º 39.546, de 19 de dezembro de 2018, publicado no DODF nº 241, de 20 de dezembro de 2018, e tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), resolve:

Art.1º Aprova e torna pública a Norma de Segurança da Informação e Comunicação (Anexo I) e a Matriz RACI de Responsabilidades (Anexo II).

Art. 2º Esta Portaria entra em vigor na data de sua publicação.

JURACY CAVALCANTE LACERDA JÚNIOR

ANEXO I

NORMA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÃO

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Art. 1º Instituir a Norma de Segurança da Informação e Comunicação, doravante NoSIC nº 03/2026 SES-DF, com a finalidade de estabelecer o controle do uso dos ativos computacionais e sistemas de Tecnologia da Informação e Comunicação (TIC), por meio da adoção de padrões de comportamento seguro, no âmbito da Secretaria de Estado de Saúde do Distrito Federal (SES-DF).

Parágrafo único. Esta norma é de natureza complementar e deve ser aplicada em conformidade com os princípios e as diretrizes instituídas pela Política de Segurança da Informação e Comunicação do Governo do Distrito Federal (PoSIC), aprovada pela Resolução n.º 01, de 29 de abril de 2024, do Comitê Gestor de Tecnologia da Informação e Comunicação do Distrito Federal (CGTIC-DF).

Art. 2º As informações, serviços de tecnologia da informação e recursos computacionais devem ser usados para fins corporativos e servir ao interesse público.

Art. 3º A segurança eficaz é um esforço de equipe que envolve a participação e o apoio de cada agente público e afiliado que lida com informações e/ou sistemas de informação.

Art. 4º É responsabilidade de todo usuário conhecer esta norma e conduzir suas atividades adequadamente.

Art. 5º As diretrizes e restrições estabelecidas neste normativo são fundamentadas em riscos previamente identificados pela SES-DF. Assim, os principais riscos que motivaram a definição dos controles estão listados a seguir:

CAPÍTULO II

Seção I

Do Objetivo

Art. 6º Este normativo tem por objetivo estabelecer diretrizes e normas de Segurança da Informação que permitam a agentes públicos e demais usuários dos recursos computacionais da SES-DF adotar padrões de comportamento seguros, adequados às metas e necessidades do órgão.

Parágrafo único. Esta norma tem por objetivo ainda descrever as diretrizes, elegibilidade e responsabilidades relacionadas ao uso aceitável dos recursos de internet, e-mail corporativo, equipamentos de Tecnologia da Informação e Comunicação (TIC) e aparelhos celulares corporativos fornecidos pela SES-DF, de forma que o uso inadequado expõe a secretaria a riscos, incluindo ataques de vírus, comprometimento dos sistemas de rede e serviços e questões legais.

Seção II

Da aplicabilidade

Art. 7º Este normativo se aplica a todas as autoridades, servidores públicos, colaboradores e quaisquer pessoas, inclusive terceiros, que tenham acesso a informações da SES-DF.

CAPÍTULO III

DOS PRINCÍPIOS

Art. 8º Princípios orientadores:

I - privilégio mínimo: usuários devem ter acesso apenas aos recursos de tecnologia da informação necessários para realizar as tarefas que lhe foram designadas;

II - necessidade de conhecimento: os usuários são conhecedores de suas prerrogativas e responsabilidades;

III - responsabilização: os usuários possuem responsabilidade individual pelo uso adequado dos recursos computacionais.

CAPÍTULO IV

DAS RESPONSABILIDADES

Art. 9º As responsabilidades e autoridades atribuídas aos diferentes perfis envolvidos na gestão de acesso lógico estão detalhadas na Matriz RACI, constante do Anexo II desta norma, a qual deve ser utilizada como referência para esclarecimento de papéis e deveres.

Art. 10. Compete aos Usuários:

I - utilizar para fins laborais e de maneira responsável e produtiva os recursos de internet e e-mail corporativo disponibilizados pela SES-DF;

II - cumprir os deveres mencionados neste normativo, como denunciar situações de desacordo com as normas do órgão;

III - guardar e zelar pela conservação dos dispositivos móveis, equipamentos e acessórios corporativos fornecidos pela SES-DF, assim como controlar e fazer uso consciente destes;

IV - comunicar imediatamente a área gestora de Tecnologia da Informação e Comunicação em caso de avaria e/ou quebra do dispositivo móvel, equipamentos e acessórios corporativos, sob o seu uso ou de outro servidor público da SES-DF, caso este não possa fazer o reporte;

V - devolver à área gestora de Tecnologia da Informação e Comunicação todos os itens e/ou dispositivos móveis, equipamentos e acessórios corporativos que lhe foram fornecidos;

VI - assegurar a integridade, confidencialidade e disponibilidade dos dados e informações contidos no dispositivo móvel, equipamentos e nos sistemas de informação corporativos aos quais tenha acesso;

VII - comunicar imediatamente a área gestora de Tecnologia da Informação e Comunicação sobre quaisquer indícios ou possibilidades de irregularidades, desvios ou falhas identificadas nos dispositivos móveis, equipamentos e nos sistemas corporativos.

Art. 11. Compete à área gestora de Tecnologia da Informação e Comunicação:

I - gerir e garantir a disponibilidade dos recursos computacionais e acesso à internet corporativa, incluindo instalações externas pertencentes à secretaria;

II - implementar políticas e controles definidos pela área de segurança da informação;

III - disponibilizar dispositivos móveis, equipamentos e acessórios corporativos necessários para que os servidores elegíveis estejam aptos a utilizá-los;

IV - armazenar e entregar dispositivos móveis, equipamentos e acessórios corporativos ao servidor público por ocasião de sua admissão na SES-DF (“onboarding”) ou sempre que se fizer necessário;

V - controlar todos os dispositivos móveis, os equipamentos e os acessórios corporativos disponibilizados aos servidores.

Art. 12. Compete ao Setor de Recursos Humanos:

I - informar à área gestora de Tecnologia da Informação e Comunicação sobre qualquer nova contratação ou movimentação interna, para que dispositivos móveis, equipamentos e acessórios corporativos sejam preparados para entrega, conforme a necessidade de cada caso;

II - informar pontualmente à área gestora de Tecnologia da Informação e Comunicação sobre desligamentos de servidores públicos ou movimentações para outros órgãos.

Art. 13. Compete ao Subcomitê de Privacidade e Segurança da Informação:

I - implementar novos normativos e controles para assegurar que as informações sejam criadas, processadas, armazenadas e trafegadas de maneira segura;

II - monitorar e auditar qualquer recurso eletrônico corporativo, incluindo, mas não limitado a: contas de correio eletrônico corporativo, microcomputadores, diretórios de arquivos e aparelhos celulares funcionais;

III - aprovar ou reprovar as solicitações de exceções ao normativo após a aprovação do gestor do servidor público requerente.

Art. 14. Compete aos Gestores Públicos:

I - ser agente multiplicador, incentivando e conscientizando os servidores a cumprirem este normativo;

II - acompanhar e zelar pelo cumprimento das diretrizes presentes neste normativo;

CAPÍTULO V

DO USO DOS ATIVOS E TECNOLOGIA DA INFORMAÇÃO

Seção I

Do acesso aos sistemas através da Internet

Art. 15. As solicitações de acesso aos sistemas de informação corporativos devem ser emitidas pelo usuário através da abertura de chamado técnico, na Central de Serviços.

§1º Na abertura do chamado técnico, o usuário deve descrever a necessidade de acesso ao sistema de informação corporativo e incluir a aprovação do seu gestor imediato.

§2º No caso de mudança na função de trabalho, o usuário deverá criar uma nova solicitação de acesso e obter as aprovações necessárias.

§3º O acesso aos sistemas de informações corporativos pode ser descontinuado após o término do contrato, conclusão do contrato, término de serviço, solicitação do gestor imediato, ou medida disciplinar decorrente de violação deste Normativo.

Seção II

Do uso geral e da propriedade

Art. 16. Todo dado inserido pelo usuário nos sistemas de informação corporativos e consequentemente armazenado, transmitido e/ou recebido pelos recursos computacionais da SES-DF é considerado como pertencente ao órgão e é reconhecido como parte de sua propriedade intelectual. Por este motivo, quaisquer informações pessoais armazenadas em qualquer dispositivo de rede ou recursos computacionais corporativos não têm expectativa de privacidade garantida.

Art. 17. Para fins de segurança e manutenção da rede de comunicação de dados, a SES-DF poderá, a seu critério, monitorar equipamentos, sistemas de informação corporativos e tráfego de rede a qualquer momento, bem como conduzir auditoria interna e investigação para garantir o cumprimento deste Normativo.

Art. 18. À área gestora de Tecnologia da Informação e Comunicação e à área de Controle Interno reservam-se o direito de examinar e-mails, diretórios de arquivos pessoais, acesso à rede e sites e outras informações armazenadas nos recursos computacionais da SES-DF, a qualquer momento e sem aviso prévio, a fim de atender aos requisitos legais de auditoria e de legislações, tais como a LGPD (Lei Geral de Proteção de Dados) e o Marco Civil de Internet.

Art. 19. Todos os sites e downloads podem ser monitorados e/ou bloqueados pela área gestora de Tecnologia da Informação e Comunicação caso forem identificados riscos ou ameaças e/ou não forem pertinentes às atividades institucionais.

Art. 20. Não é recomendável que os usuários armazenem ou transmitam informações pessoais, como chaves privadas, número de cartão de crédito ou recursos pessoais, nos ambientes lógicos da SES-DF.

Art. 21. A SES-DF pode, a seu critério, buscar recursos legais por danos incorridos como resultado de qualquer violação. A Secretaria também pode ser obrigada por lei a denunciar certas atividades aos órgãos competentes.

Seção III

Do uso inaceitável dos ativos e da Tecnologia da Informação

Art. 22. São expressamente proibidos:

I - a realização de “phishing” ou roubo de identidade;

II - a disseminação de pragas virtuais ou qualquer variação de código malicioso;

III - a distribuição de pornografia ou conteúdo adulto relacionado ou o oferecimento de serviços de caráter sexual;

IV - promover ou facilitar qualquer tipo de violência ou atividades terroristas;

V - infringir a propriedade intelectual ou o direito de propriedade de terceiros;

VI - armazenar ou disseminar dados e informações ilegais ou discriminatórios, sejam em razão de raça, origem, sexo, orientação sexual, deficiência, religião ou crenças políticas ou qualquer razão descrita pela legislação vigente;

VII - acessar informações do órgão que não estão no escopo do seu trabalho, tais como a leitura não autorizada de informações de negócio, além de acessar informações que não são necessárias para suas funções de trabalho;

VIII - transmitir qualquer informação proprietária, confidencial ou sensível sem os controles apropriados;

IX - adotar qualquer conduta que constitua ou encoraje uma ofensa criminal, ou que leve à responsabilidade civil, ou que viole qualquer regulamento, lei local, estadual, nacional ou internacional;

X - o uso, transmissão, duplicação ou recebimento voluntário de material que infrinja os direitos autorais, marcas registradas, segredos comerciais ou direitos de patentes de qualquer pessoa ou organização;

XI - a criação, postagem, transmissão, recebimento voluntário ou armazenamento de qualquer ofensa ilegal, difamatória, material ameaçador ou de assédio, incluindo, mas não limitado a comentários baseados em raça, origem, sexo, orientação sexual, deficiência, religião ou crenças políticas.

XII - o download não autorizado de quaisquer programas para uso sem a autorização prévia da área gestora de Tecnologia da Informação e Comunicação;

XIII - o envolvimento em qualquer forma de coleta de inteligência de nossas instalações sem a devida autorização;

XIV - o uso de sistemas de e‐mail de terceiros e servidores de armazenamento, como Gmail, Yahoo, Hotmail, Dropbox, OneDrive, Google Drive, etc. para conduzir negócios em nome da Secretaria.

CAPÍTULO VI

DOS DISPOSITIVOS MÓVEIS

Seção I

Da disponibilização dos serviços de telefonia móvel e internet móvel

Art. 23. Os serviços de telefonia móvel e internet móvel são disponibilizados nos termos do Decreto nº 43.586, de 26 de julho de 2022, que regulamenta a utilização de serviços de telefonia móvel e internet móvel nos órgãos e entidades da Administração Direta e Indireta, e dá outras providências, e Portaria nº 11, de 06 de janeiro de 2023, que regulamenta a utilização e o controle dos serviços e equipamentos de telefonia móvel e internet móvel nos órgãos e entidades da Administração Direta e Indireta do Distrito Federal, e dá outras providências e suas atualizações.

Art. 24. Para fazer uso dos serviços de telefonia móvel e internet móvel, o usuário deverá requerer à área gestora de Tecnologia da Informação e Comunicação a disponibilidade do serviço, que será atendida mediante previsão legal e disponibilidade de recursos em estoque.

CAPÍTULO VII

DA SEGURANÇA DAS INFORMAÇÕES

Art. 25. Todos os usuários dos recursos computacionais corporativos da SES-DF devem seguir as diretrizes descritas no Normativo de Segurança da Informação para garantir que estejam em conformidade com as exigências de segurança do órgão.

Art. 26. A instalação e configuração de aplicativos, identificação e autenticação de usuários, logs de auditoria e demais procedimentos de segurança devem estar de acordo com os padrões estabelecidos pela área de Segurança da Informação.

Art. 27. O servidor público deve fazer uso, sempre que possível, de medidas de segurança, ainda que dentro das dependências do órgão, bem como não deve deixar seus equipamentos desprotegidos e sem a sua supervisão em lugares públicos ou de acesso livre.

Art. 28. O servidor público deve manter a confidencialidade das senhas e alterá-las em intervalos regulares.

Art. 29. Não é permitido alterar o sistema de fábrica do celular corporativo, seja em aparelhos com sistema iOS (“jailbreak”) ou Android (“rooting”). Essas mudanças deixam o dispositivo vulnerável e aumentam o risco de entrada de vírus e outros programas maliciosos.

Art. 30. Não é recomendado:

I - salvar dados pessoais no aparelho celular corporativo;

II - acessar links, vídeos, fotos, códigos QR, ofertas de download gratuito, promoções apelativas, entre outros com os aparelhos celulares corporativos;

III - conectar-se às redes Wi-Fi públicas e redes abertas desconhecidas sem mecanismos de proteção aos aparelhos celulares corporativos.

Art. 31. O uso de aparelhos celulares corporativos é monitorado e auditado, e qualquer abuso será considerado uma questão de má conduta disciplinar, ficando o servidor público responsável por esclarecer o que for necessário e sujeito às consequências que forem definidas pelo órgão.

Art. 32. É indicado manter o Bluetooth no modo "oculto", impedindo o emparelhamento com dispositivos que não sejam seguros ou devidamente autorizados.

Art. 33. Aqueles que tiverem ciência sobre abuso de utilização dos recursos por outros usuários e não informar a área gestora de Tecnologia da Informação e Comunicação também estarão sujeitos a sanções disciplinares.

Art. 34. O servidor público deve manter-se atualizado e cumprir com os demais normativos, recomendações e comunicações sobre segurança da informação que venham a ser informadas pela SES-DF.

CAPÍTULO VIII

DA CONSCIENTIZAÇÃO EM SEGURANÇA DA INFORMAÇÃO

Art. 35. A área de Segurança da Informação promoverá, periodicamente, campanhas educativas, envio de comunicados e disponibilização de materiais com o objetivo de conscientizar os usuários sobre os princípios e boas práticas de segurança da informação.

Art. 36. A conscientização em Segurança da Informação deverá ser continua, com atualização de conteúdo conforme evolução das ameaças, tecnologias e políticas institucionais.

Art. 37. As ações de conscientização em segurança da informação deverão abranger no mínimo os seguintes tópicos:

a) Uso aceitável de ativos de tecnologia da informação;

b) Riscos cibernéticos e boas práticas de proteção;

c) Políticas internas de segurança e privacidade; e

d) Procedimentos para reporte de incidentes.

CAPÍTULO IX

DAS DISPOSIÇÕES COMPLEMENTARES

Art. 38. Um servidor público ou terceiro que tenha violado este normativo pode estar sujeito a medidas disciplinares cabíveis ouvidos os Controles Internos.

Art. 39. As diretrizes estabelecidas neste normativo e nas demais normas e procedimentos de segurança não se esgotam em razão da contínua evolução tecnológica e constante surgimento de novas ameaças. Desta forma, este normativo não se constitui em rol taxativo, sendo obrigação do usuário da informação da SES-DF adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir proteção às informações do órgão.

Art. 40. Este normativo será revisado a cada dois anos ou conforme entendimento do Subcomitê de Privacidade e Segurança da Informação.

Art. 41. Os casos omissos, as dúvidas com relação a esse normativo e exceções devem ser submetidos ao subcomitê de Privacidade e Segurança da Informação.

ANEXO II – MATRIZ RACI DE RESPONSABILIDADES

Este texto não substitui o publicado no DODF nº 150, seção 1, 2 e 3 de 14/08/2026 p. 3, col. 1