Decreto nº 11.785/2025

DECRETO Nº 11.785, DE 06 DE NOVEMBRO DE 2025

Dispõe sobre a Política de Segurança da Informação e Comunicação - POSIC.

A GOVERNADORA DO ESTADO DO ACRE, em exercício, no uso da atribuição que lhe confere o art 69 c/c art. 78, inciso VI, ambos da Constituição do Estado do Acre, DECRETA:

Art. 1º Fica instituída, no âmbito do Poder Executivo, a Política de Segurança da Informação e Comunicação - POSIC, regida pelos objetivos e diretrizes estabelecidos neste Decreto.

Art. 2º A Política de Segurança da Informação e Comunicação - POSIC estabelece diretrizes, responsabilidades e competências destinadas a assegurar a disponibilidade, integridade, confidencialidade e autenticidade das informações e comunicações, bem como a conformidade, padronização e normatização das atividades de gestão de segurança da informação e comunicação no Estado.

§ 1º Os agentes públicos que tenham acesso a informações do Estado ficam sujeitos às diretrizes e objetivos de segurança da informação previstos nesta Política, sendo responsáveis por adotar as medidas necessárias à proteção das informações sob sua guarda ou tratamento.

§ 2º Os agentes públicos se sujeitam também à Lei Geral de Proteção de Dados - LGPD e à legislação estadual que verse sobre o tema quando as informações se tratarem de dados pessoais.

Art. 3º Para fins deste Decreto, considera-se:

I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como a possibilidade de usar os ativos de informação do órgão;

II - agente público: todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego ou função pública, sendo equiparado também quem trabalha para empresa prestadora de serviços contratada ou conveniada para a execução de atividade, de qualquer natureza, desenvolvida no âmbito da Administração Pública estadual;

III - ameaça: conjunto de fatores externos, internos ou causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização;

IV - ativo: qualquer bem, tangível ou intangível, que tenha valor para a organização;

V - ativos de informação: os meios de armazenamento, transmissão e processamento, os sistemas de informação, bem como os locais onde se encontram esses meios e as pessoas que a eles têm acesso, qualquer informação produzida ou custodiada pela instituição, que tem valor para a Administração Pública e consequentemente necessita ser adequadamente protegida e armazenada em base de dados específica ou arquivo eletrônico;

VI - Grupo Técnico de Segurança da Informação: grupo de pessoas com a responsabilidade de assessorar a implementação das ações de segurança da informação e comunicações no âmbito da Administração Pública, designado pelo Comitê de Transformação Digital;

VII - criticidade: atributo inerente à segurança da informação que define a importância da informação para a continuidade das operações da instituição;

VIII - equipe de Tratamento e Resposta a Incidentes em Redes Computacionais: grupo de pessoas com a responsabilidade de receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em computadores;

IX - firewall: solução de segurança implementada para realizar controle de acesso aos serviços, tanto na origem quanto no destino, a uma ou mais redes;

X - gestor de área: responsável pela área funcional onde a informação é criada, comunicada, manuseada, armazenada, custodiada, transportadas ou descartadas;

XI - gestor setorial de Segurança da Informação e Comunicações: servidor responsável pelas ações de segurança da informação e comunicações no âmbito do órgão;

XII - gestor do Órgão Central de Segurança da Informação e Comunicações: servidor responsável pelas ações de segurança da informação e comunicações no âmbito do Poder Executivo;

XIII - incidente de segurança da informação: evento adverso, confirmado ou sob suspeita de fraude, sabotagem, desvio, falha ou evento indesejado, relacionado à segurança dos sistemas de informação, de computação ou das redes de computadores que possa comprometer as operações ou ameaçar a segurança dos serviços institucionais;

XIV - informação: é um ativo essencial para os negócios de uma organização e, por consequência, necessita ser adequadamente gerenciada e protegida independentemente de seu formato e meio;

XV - quebra de segurança: ação ou omissão, intencional ou acidental, que resulta no comprometimento da segurança da informação e das comunicações dos órgãos e entidade;

XVI - recursos de TIC: equipamentos, instalações e recursos de informação direta ou indiretamente administrados, mantidos ou operados por cada instituição, conforme a seguir:

a) equipamentos de informática de qualquer espécie e seus componentes periféricos;

b) equipamentos de redes e de telecomunicações de qualquer espécie;

c) laboratórios de informática de qualquer espécie, incluindo, mas não limitados a salas multimídia e de videoconferência;

d) recursos de informação que incluem todas as informações eletrônicas, serviço de correio eletrônico e outras formas de comunicação eletrônica, dados corporativos, documentos, páginas web, programas ou software, arquivos de configuração que são armazenados, executados ou transmitidos através da infraestrutura computacional da Administração Pública estadual, redes ou outros sistemas de informação;

XVII - Sistema de Gestão de Segurança da Informação - SGSI: sistema não necessariamente informatizado, que inclui toda a abordagem institucional usada para proteger a informação de acordo com seus princípios e atributos de confidencialidade, disponibilidade, integridade, responsabilidade, autenticidade e criticidade. Deve estabelecer políticas, objetivos, processos e procedimentos para a gestão de segurança da informação, por meio de processos específicos definidos em seu escopo;

XVIII - termo de responsabilidade: termo assinado pelo usuário concordando em contribuir com a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações que tiver acesso, bem como assumir responsabilidades decorrentes de tal acesso, independente da permanência ou não do usuário na instituição;

XIX - vulnerabilidade: conjunto de fatores internos ou causa potencial de um incidente indesejado, que podem resultar em risco para um sistema ou organização, os quais podem ser evitados por uma ação interna de segurança da informação;

XX - risco: probabilidade de uma ameaça explorar a vulnerabilidade de um bem de informação e, assim, prejudicar uma organização;

XXI - desastre: comprometimento da infraestrutura computacional física ou de serviço cuja causa pode ser humana ou natural, como falha de equipamentos ou ataque cibernético.

Art. 4º A Política de Segurança da Informação e Comunicação - POSIC se aplica aos recursos de Tecnologia da Informação e Comunicações - TIC, ambientes e processos de trabalho, estabelecendo responsabilidades e obrigações a todos os agentes públicos do Estado que tenham acesso às informações ou aos recursos de TIC de seus respectivos órgãos ou entidades.

Art. 5º São objetivos da Política Estadual de Segurança da Informação e Comunicação - POSIC:

I - promover as ações necessárias à manutenção e à evolução da segurança da informação de maneira uniforme e igualitária entre todos os órgãos e entidades supervisionadas;

II - instituir diretrizes que orientem a correta aplicação dos recursos e processos tecnológicos;

III - definir os papéis e as responsabilidades de forma a promover as atitudes necessárias à construção de uma cultura organizacional voltada à proteção dos ativos tecnológicos;

IV - promover a transversalidade das tecnologias e serviços de Segurança da Informação;

V - promover a preservação dos ativos de informação;

VI - implementar o Sistema de Gestão de Segurança da Informação no Estado.

Art. 6º As ações e procedimentos elencados neste Decreto deverão ser pautados nos seguintes princípios:

I - autenticidade: propriedade de que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, ou por um determinado sistema, órgão ou entidade; atributo inerente à segurança da informação que assegura a correspondência entre o autor de determinada informação e a pessoa, processo ou sistema a quem se atribui a autoria;

II - celeridade: as ações de segurança da informação oferecem respostas rápidas a incidentes e falhas;

III - clareza: as regras de segurança dos ativos de segurança da informação e comunicações são precisas, concisas e de fácil entendimento;

IV - confidencialidade: as informações somente estarão disponíveis ou reveladas à pessoa, sistema, órgão ou entidade autorizada e credenciada;

V - disponibilidade: as informações estarão disponíveis e utilizáveis a quem dela necessita e possua autorização para acessá-la;

VI - equanimidade: as normas e regras de segurança da informação são obedecidas por todos, sem distinção de cargo ou função;

VII - ética: os direitos dos agentes públicos são preservados sem comprometimento da segurança da informação e comunicações;

VIII - finalidade: as normas e regras de segurança da informação consideram a finalidade dos ativos e das informações a que se referirem;

IX - integridade: as informações não são modificadas ou destruídas de maneira não autorizada ou acidental;

X - menor privilégio: restringir o acesso às informações, ao estritamente necessário ao exercício das funções;

XI - privacidade: informação que fira o respeito, à intimidade, à integridade e a honra dos cidadãos não podem ser divulgadas;

XII - publicidade: dar transparência no trato das informações, observado os critérios legais, divulgando a todos os agentes públicos do Estado as diretrizes e a normas de segurança da informação;

XIII - responsabilidade: os agentes públicos têm o dever de conhecer e respeitar todas as normas de segurança da informação e comunicações do Estado.

Art. 7º Compete à Secretaria de Estado de Administração - SEAD a gestão da segurança da informação e comunicação no âmbito do Poder Executivo, tendo as seguintes atribuições:

I - elaborar e revisar continuamente os procedimentos e a normatização relacionada ao processo de gestão da segurança da informação;

II - avaliar propostas de modificação da POSIC encaminhadas pelos demais órgãos da Administração Pública;

III - planejar, elaborar e propor estratégias e ações para institucionalização da política, normas e procedimentos relativos à segurança da informação;

IV - avaliar a eficácia dos procedimentos relacionados à segurança da informação, propondo e implementando medidas que visem a melhoria do processo de gestão da segurança da informação no âmbito da Administração Pública;

V - apurar os incidentes de segurança críticos e dar o encaminhamento adequado atuando de forma preventiva e corretiva;

VI - promover a conscientização, o treinamento e a educação em segurança da informação;

VII - planejar e implementar diretrizes e normas na área de tecnologia da informação e de telecomunicações, incluindo a segurança da informação e comunicações para o tratamento de ameaças, riscos, incidentes, ataques, desastres e oportunidades relacionadas às variáveis externas (ambiente externo) direcionadas a potenciais fraquezas sob o aspecto das variáveis internas da instituição (ambiente interno);

VIII - promover ações alinhadas com as normas federais de segurança cibernética.

Art. 8º É de responsabilidade dos usuários:

I - estar ciente e conhecer a política instituída neste Decreto, suas normativas complementares e legislações de referência;

II - zelar pela guarda das informações e permissões que lhe forem concedidas;

III - zelar pelos ativos que lhe forem disponibilizados;

IV - reportar qualquer incidente ou evento que apresente risco de segurança ao seu superior imediato;

V - evitar o registro ou a reprodução de informações consideradas críticas em meio físico;

VI - evitar a transmissão não autorizada de dados físicos ou digitais institucionais para um destino ou recipiente externo.

Art. 9º Compete aos administradores setoriais de TIC:

I - implementar níveis de permissão, respeitando o princípio do menor privilégio, nas instituições que utilizam camada de solução de segurança;

II - mitigar o uso de contas genéricas e não vinculadas a usuários e a administradores dos recursos e serviços institucionais;

III - implementar e gerenciar os elementos técnicos necessários à adequada execução desta política e suas normativas complementares;

IV - atuar como disseminador dos princípios e das diretrizes constantes neste Decreto.

Art. 10. Compete aos gestores de segurança setorial:

I - solicitar acesso, para seus subordinados, aos sistemas em uso no exercício da sua função, respeitando os princípios e as diretrizes desta política;

II - zelar pela correta aplicação das diretrizes instituídas neste Decreto;

III - zelar pela correta aplicação das regras e procedimentos estabelecidos em normativas complementares à POSIC;

IV - incentivar a participação, por parte da sua equipe, nos cursos de capacitação em segurança da informação;

V - sanar com urgência as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações expedidas pelo Gestor do Órgão Central de Segurança;

VI - agir, sempre que for identificada falha de segurança nos ativos e usuários sob sua responsabilidade, reportando a área de TIC do seu órgão, ou ainda ao Gestor do Órgão Central de Segurança, se necessário;

VII - observar as políticas e diretrizes estabelecidas pela Estratégia Nacional de Segurança Cibernética para assegurar a governança e proteção da informação.

Art. 11. O Grupo Técnico de Segurança da Informação - GTSI é órgão colegiado de caráter permanente composto por especialistas técnicos indicados pelos seguintes órgãos:

I - Secretaria de Estado de Administração - SEAD;

II - Secretaria de Estado de Planejamento - SEPLAN;

III - Secretaria da Casa Civil - SECC;

IV - Secretaria de Estado da Fazenda - SEFAZ;

V - Secretaria de Estado de Inovação, Ciência e Tecnologia - SEICT;

VI - Secretaria de Estado de Justiça e Segurança Pública - SEJUSP;

VII - Secretaria de Estado de Educação - SEE;

VIII - Procuradoria-Geral do Estado - PGE;

IX - Controladoria-Geral do Estado - CGE.

§ 1º Compete à Secretaria de Estado de Administração - SEAD a presidência do GTSI, bem como a prestação de apoio administrativo ao Colegiado.

§ 2º Cada órgão deve indicar à Presidência do GTSI, mediante expediente do respectivo dirigente máximo, um membro titular e seu suplente.

§ 3º A participação no GTSI é considerada prestação de serviço público relevante, não remunerada.

§ 4º O GTSI elaborará regimento interno,

considerando a complexidade de suas atribuições e a conveniência para a organização de seus trabalhos, a ser aprovado pela maioria absoluta dos membros.

Art. 12. Compete ao GTSI:

I - propor as estratégias, as diretrizes e as orientações quanto à segurança da informação;

II - propor padrões de TIC dentro da sua área de atuação;

III - monitorar a Política de Segurança da Informação;

IV - assessorar o Sistema de Governança e Gestão de TIC na implementação das ações de segurança da informação;

V - fornecer subsídios aos gestores e aos demais Comitês, Comissões ou Grupos de Trabalho nas decisões relativas à segurança da informação;

VI - revisar periodicamente e propor alterações na Política de Segurança da Informação e nos demais documentos normativos relacionados à Política;

VII - propor a criação de grupos de trabalho para estudar e propor soluções específicas sobre segurança da informação;

VIII - propor investimentos relacionados à segurança da informação, com o objetivo de reduzir os riscos e melhorar a resolução de incidentes de segurança;

IX - avaliar as Políticas de Segurança da Informação dos órgãos e das entidades supervisionadas quanto à aderência a esta Política e a Política de TIC;

X - promover ações de capacitação em segurança da informação;

XI - monitorar os incidentes, riscos e vulnerabilidades;

XII - promover ações para mitigação de riscos de segurança da informação;

XIII - promover ações para eliminar vulnerabilidades;

XIV - atender ao Sistema de Governança e Gestão de TIC sempre que acionado.

Parágrafo único. O monitoramento realizado pelo GTSI não substitui as fiscalizações da Agência Nacional de Proteção de Dados no que se refere à Lei Geral de Proteção de Dados.

Art. 13. São diretrizes para resposta a incidentes de TIC:

I - o Sistema de Governança e Gestão de TIC, por intermédio do Grupo Técnico de Segurança da Informação, publicará normativa padronizando o processo de resposta a incidentes de Segurança da Informação;

II - a Política de Segurança da Informação do órgão deverá prever a criação e a manutenção do registro de eventos de segurança da informação;

III - os registros de evento de segurança da informação deverão ser classificados como informação de uso interno, restrito ou confidencial; e

IV - as informações dos registros de evento de segurança da informação devem ser protegidas contra o acesso não autorizado e contra possível adulteração.

Art. 14. São diretrizes para a gestão de incidentes de segurança da informação:

I - a gestão de incidentes de segurança da informação compreenderá os seguintes processos:

a) solução de incidentes;

b) mitigação das consequências de incidentes;

c) criação de protocolos e padrões próprios; e

d) monitoria das ações e protocolos implementados.

II - o Sistema de Governança e Gestão de TIC, por intermédio do GTSI, deverá estabelecer metodologia que possibilite a identificação, a priorização, o tratamento, a comunicação e a monitoração periódica dos incidentes de segurança da informação, observando:

a) os registros de evento de segurança da informação deverão ser classificados como informação de uso interno, restrito ou confidencial;

b) o acesso externo deverá ser solicitado na forma da Lei Federal nº 12.527 , de 18 de novembro de 2011, e Decreto nº 7.977 , de 10 de julho de 2014;

c) as informações deverão ser disponibilizadas ao GTSI sempre que solicitado;

III - os órgãos e as entidades subordinados a política de TIC, com apoio do Sistema de Governança e Gestão de TIC, deverão implementar e executar as atividades de gestão de incidentes de segurança da informação associadas aos ativos de informação sob sua responsabilidade;

IV - a gestão de incidentes de segurança da informação deverá estar alinhada e integrada à gestão de riscos e à gestão de vulnerabilidades técnicas.

Parágrafo único. Os membros do GTSI devem observar e seguir as diretrizes da Política Nacional de Segurança da Informação - PNSI, e demais normativas nacionais de segurança da informação, a fim de adequar-se aos padrões estabelecidos pelo Governo Federal, de modo que impossibilitem eventuais interpretações divergentes entre a legislação federal e estadual.

Art. 15. A classificação das informações deve observar a legislação vigente, especialmente a Lei Federal nº 12.527 , de 18 de novembro de 2011, e o Decreto nº 7.977 , de 10 de julho de 2014.

Art. 16. São diretrizes para uso da internet:

I - o acesso à internet deverá ser monitorado e gerenciado e autenticado;

II - deverão ser aplicados, sempre que possível, ferramentas de proteção de rede e de perímetro;

III - os níveis de permissão de acesso deverão estar de acordo com as atribuições dos usuários;

IV - deverão ser bloqueados os acessos aos conteúdos considerados inadequados, ilegais, ou que ofereçam riscos à segurança da informação.

Art. 17. São diretrizes para uso do correio eletrônico:

I - a ferramenta de correio eletrônico oficial do Estado (ac.gov.br) deverá ser utilizada apenas para fins institucionais;

II - é vedado o uso do correio eletrônico corporativo para fins particulares, tais como redes sociais, estabelecimentos comerciais, ou qualquer outro serviço não diretamente vinculado ao exercício de suas funções;

III - o serviço de correio eletrônico deverá contar com cópia de segurança conforme diretrizes do art. 21 deste Decreto;

IV - o acesso às mensagens é restrito ao remetente e ao destinatário, sendo estas invioláveis, salvo por determinação judicial, ou por motivo de segurança institucional com a ciência do usuário da conta;

V - a Política de Segurança da Informação do órgão deverá contemplar os métodos e protocolos seguros para acesso ao serviço de correio eletrônico;

VI - é proibido o envio e recebimento de mensagens de conteúdo impróprio relativo à pornografia, racismo, xenofobia, violência, incitação ao ódio, invasão de computadores, propaganda político-partidária, jogos de azar, correntes e pirâmides, investimentos privados, por meio da estrutura de correio eletrônico do Estado;

VII - é vedado o redirecionamento automático, de e-mail institucional, para caixas particulares;

VIII - o nome que formará o endereço eletrônico deverá ter, sempre que possível, a forma mais simples, isto é, prenome seguido de um ponto (.) seguido do sobrenome, observando:

a) quando constarem do sobrenome e agnome (Júnior, Filho, Neto e outros), é recomendável usar o sobrenome composto;

b) no caso de caixa postal institucional, o endereço eletrônico deverá ser composto de nome da gerência/projeto seguido de ponto (.) seguido de nome da secretaria.

Art. 18. São diretrizes para uso de dispositivos móveis:

I - a Política de Segurança da Informação do órgão, quando tratar de dispositivos móveis corporativos, deverá considerar os seguintes aspectos:

a) a administração e configuração dos recursos de segurança do equipamento deverão ser centralizadas na Tecnologia da Informação - TI - do órgão;

b) o equipamento deverá estar apto ao monitoramento e ao atendimento remoto;

c) sempre que possível, deve-se utilizar recursos de rastreamento;

II - a Política de Segurança da Informação do órgão, quando tratar de dispositivos móveis próprios do servidor, deverá considerar os seguintes aspectos:

a) requisitos mínimos de segurança conforme os incisos V e VI do art. 22 deste Decreto;

b) requisitos de segurança, para a realização de atividades que envolvam informações classificadas como críticas ou pessoais.

Art. 19. São diretrizes para a gestão de ativos de tecnologia da informação:

I - os ativos de tecnologia da informação pertencentes ao órgão, podem ser realocados a qualquer tempo, no âmbito da organização, por necessidade de serviço;

II - os ativos do Estado deverão ser utilizados para realização de atividades relacionadas às competências da organização;

III - para os casos em que o órgão mantém infraestrutura de servidores de aplicação e arquivos, deverá ser assegurada a segurança física de acesso aos recursos;

IV - o órgão deverá manter atualizado o inventário de ativos de TI;

V - a gestão de ativos é responsabilidade da área de tecnologia da informação do órgão;

VI - as informações produzidas e mantidas, resultantes da atividade da organização, são consideradas ativos de propriedade do Estado, sendo seu conteúdo de responsabilidade da área gestora, devendo sua classificação observar as diretrizes elencadas no art. 15 deste Decreto;

VII - o processo de descarte de ativos deverá garantir a inutilização de dispositivos de armazenamento ou a eliminação segura dos dados neles contidos;

VIII - deverão ser utilizados recursos de criptografia, sempre que possível, para a proteção do armazenamento e tráfego de dados;

IX - cada órgão é responsável pela proteção cibernética de seus ativos de informação.

Art. 20. São diretrizes para controle de acesso:

I - permissões de acesso devem respeitar o princípio do menor privilégio, garantindo apenas o acesso aos recursos necessários para realização de uma dada tarefa, pelo tempo necessário ao desempenho desta tarefa;

II - não será permitido o uso de contas genéricas e não vinculadas a usuários e a administradores;

III - a Política de Segurança da Informação do Estado deverá prever as condições necessárias para acesso aos recursos de TIC incluindo, mas não limitado ao termo de responsabilidade, contendo a ciência aos termos desta Política;

IV - a Política de Segurança da Informação do Estado deverá estabelecer as regras para permissão de acesso incluindo, mas não limitado a:

a) requisitos para a autorização formal de pedidos de acesso;

b) procedimentos para remoção de direitos de acesso;

c) regras bem definidas para o acesso privilegiado;

d) regras para renovação de permissões sempre que ocorrer a movimentação/remoção do servidor; e

e) obrigatoriedade ou não do uso de múltiplo fator de autenticação, salvo disposição específica do GTSI.

V - a Política de Segurança da Informação do Estado deverá estabelecer as regras para gestão de senhas incluindo, mas não limitado a:

a) nível mínimo de complexidade;

b) prazo para renovação; e

c) tamanho da senha.

VI - todos os acessos devem ser rastreáveis para que o usuário seja identificado individualmente;

VII - os processos de concessão ou remoção de acesso deverão, preferencialmente, ser iniciados na área de Recursos Humanos da organização.

Art. 21. São diretrizes para cópia de segurança e restauração de dados:

I - o tempo de guarda e frequência das rotinas de cópia de segurança deverão ser proporcionais e compatíveis com a criticidade das informações a serem protegidas;

II - o tempo de guarda, sempre que possível, deverá atender as normativas específica incluindo, mas não limitado a Lei Federal nº 13.709 , de 14 de agosto de 2018;

III - a Política de Segurança da Informação do Estado deverá estabelecer a frequência, o tempo de guarda e a periodicidade de testes das cópias de segurança armazenadas;

IV - as cópias de segurança deverão receber segurança física e lógica compatível com a criticidade das informações armazenadas;

V - recomenda-se a guarda de cópia de segurança em meio físico externo, ou por meio de adoção de mecanismos de proteção contra sequestro de dados;

VI - deve-se observar distância geográfica suficiente para escapar dos danos de um desastre ocorrido no local principal;

VII - o estabelecimento de mecanismos que permitam a guarda dos dados e sua eventual restauração em casos de indisponibilidades ou perdas por erro humano, ataques, catástrofes naturais ou outras ameaças;

VIII - a criação de Política de Backup e Restauração de Dados Digitais, onde será estabelecido o modo e a periodicidade de cópia dos dados armazenados pelos sistemas computacionais.

Parágrafo único. A política de backup e restauração de dados digitais deverá instituir diretrizes, responsabilidades e competências que visam à segurança, retenção, proteção e disponibilidade dos dados digitais custodiados e formalmente definidos como de necessária salvaguarda no órgão ou entidade, para se manter a continuidade do negócio.

Art. 22. São diretrizes para acesso remoto:

I - os ativos tecnológicos do Estado, em uso no acesso remoto, deverão ser utilizados para realização de atividades relacionadas às competências da organização;

II - é vedado o uso dos ativos tecnológicos do Estado por terceiros;

III - os ativos de tecnologia da informação, disponibilizados para uso em acesso remoto, pertencentes ao órgão, podem ser solicitadas a devolução a qualquer tempo;

IV - o tráfego das atividades realizadas durante o acesso remoto serão monitoradas para fins de auditoria de segurança;

V - sempre que possível, o acesso remoto aos ativos do Estado deverá considerar a utilização de múltiplo fator de autenticação; e

VI - equipamentos próprios, que serão utilizados no trabalho remoto, deverão ser providos com os seguintes requisitos mínimos de segurança, mas não limitado a:

a) sistema operacional regularizado e atualizado;

b) proteção de antivírus atualizada; e

c) "Firewall" ativo.

Parágrafo único. O serviço de acesso remoto à Rede de Dados Corporativos do Estado, será baseado na tecnologia Virtual Private Network - VPN, que utiliza o conjunto de protocolos IP Security - IPSec.

Art. 23. São diretrizes para contratação de serviços de TIC:

I - todos os contratos de prestação de serviços conterão cláusula específica sobre a obrigatoriedade de atendimento às diretrizes desta Política de Segurança da Informação;

II - todos os contratos de prestação de serviços conterão cláusula específica sobre aderência à Lei Federal nº 13.709 , de 2018, e as suas normas complementares;

III - as tecnologias deverão ser compatíveis com a arquitetura digital do Estado;

IV - sistemas operados em ambientes externos à infraestrutura de rede do Estado e à segurança da informação;

V - contratos de desenvolvimento deverão, preferencialmente, utilizar métodos de desenvolvimento de softwares seguros.

Parágrafo único. As diretrizes estabelecidas no caput também se aplicam a prestação de serviços em nuvem.

Art. 24. São diretrizes para a comunicação da segurança da informação:

I - a Política de Segurança da Informação do órgão ou da entidade deverá estar disponível para consulta dos usuários a qualquer tempo;

II - a Política de Segurança da Informação do Estado, suas referências e normativas assessórias, deverão ser disponibilizadas para consulta dos usuários a qualquer tempo;

III - sempre que possível, deverão estar disponíveis, aos usuários, materiais de capacitação em segurança da informação abrangendo, mas não limitado a:

a) capacitação básica em segurança da informação para todos os usuários;

b) segurança da informação para lideranças;

c) pré-requisitos e boas práticas de segurança da informação para o teletrabalho e acesso remoto;

d) princípios básicos da classificação da informação.

Art. 25. São diretrizes para a rede corporativa:

I - as instituições usuárias de rede e de sistemas eletrônicos corporativos, por meio de suas Gerências de Informática ou similares, devem colaborar com a Secretaria de Estado de Administração - SEAD para a implementação dos procedimentos de segurança aqui estabelecidos;

II - a acessibilidade aos sistemas corporativos, destina-se à gestão pública, como meio eletrônico imprescindível às soluções e modernização dos processos nas atividades do âmbito financeiro, executivo, administrativo, controle e patrimônio do Estado;

III - o acesso diferenciado em níveis de permissões se dará através de contas de usuário personalizadas para pessoa física qualificada e autorizadas mediante solicitação formal, seja servidor, empregado ou prestador de serviços, quanto à unidade administrativa ou grupo de trabalho com reconhecimento e habilitação pela Administração Pública, do qual o usuário possui competente responsabilidade:

a) pela a utilização com segurança da conta e senha de modo privativo, confidencial e não compartilhado com terceiros, em todos os níveis de acesso: rede, internet, sistema operacional e aplicação;

b) pela aceitação ou validação a integridade das informações e transações efetivadas;

c) pelo acesso físico e lógico aos recursos computacionais em quaisquer instalações, governamental ou particular, através de sua credencial eletrônica pessoal ou institucional;

IV - a instituição usuária deve estar em consonância com as diretrizes estabelecidas pela política de segurança, critérios de credenciamento, capacitação, orientação e responsabilidades, resguardando os princípios e política de segurança da informação;

V - os procedimentos básicos de segurança serão instituídos pela Secretaria de Estado de Administração - SEAD, e respeitados pelas instituições usuárias dos sistemas corporativos e da rede de dados;

VI - os demais procedimentos de segurança não detalhados neste instrumento serão implantados mediante observância das Normas TIA / EIA 568-A, 568B e NBR ISO 17799 aplicáveis à matéria.

Parágrafo único. O titular da conta de acesso identificado em incidentes, ocorrências e eventos de segurança, deverá se submeter à apuração de responsabilidade de acordo com a gravidade do fato, conforme legislação aplicável ao tema.

Art. 26. A gestão de vulnerabilidades técnicas compreende os seguintes processos:

I - identificação de vulnerabilidades;

II - proposição de ações de melhoria;

III - criação de protocolos e padrões próprios;

IV - monitoria das ações e protocolos implementados.

§ 1º O Sistema de Governança e Gestão de TIC, por intermédio do GTSI, deverá estabelecer metodologia que possibilite a identificação, a priorização, o tratamento, a comunicação e a monitoração periódica das vulnerabilidades técnicas.

§ 2º Os órgãos e as entidades subordinados à política de TIC, com apoio do GTSI, deverão implementar e executar as atividades de gestão de vulnerabilidades técnicas associadas aos ativos de informação sob sua responsabilidade.

§ 3º A gestão de vulnerabilidades técnicas deverá estar alinhada e integrada à gestão de riscos e à gestão de incidentes de segurança da informação.

Art. 27. A gestão de riscos compreende os seguintes processos:

I - identificação de ameaças;

II - realização de análises de impacto;

III - priorização de ações de mitigação dos riscos;

IV - criação de protocolos e padrões próprios;

V - monitoria das ações e protocolos implementados.

§ 1º O Sistema de Governança e Gestão de TIC, por intermédio do GTSI, deverá estabelecer metodologia que possibilite a identificação, a priorização, o tratamento, a comunicação e a monitoração periódica dos riscos.

§ 2º Os órgãos e as entidades subordinados à política de TIC, com apoio do GTSI, deverão implementar e executar as atividades de gestão dos riscos de segurança da informação e de comunicações associados aos ativos de informação sob sua responsabilidade.

§ 3º A gestão de riscos deverá estar alinhada e integrada à gestão de vulnerabilidades técnicas e à gestão de incidentes de segurança da informação.

§ 4º A gestão de riscos deverá estar alinhada com o planejamento estratégico de TIC do Estado.

§ 5º As ações de gestão de risco devem ser implementadas nos níveis de tecnologia, de processos e de pessoas.

Art. 28. O descumprimento deste Decreto poderá acarretar a suspensão temporária ou definitiva dos privilégios de acesso aos recursos de TIC, bem como a aplicação das sanções legais cabíveis, por meio de medidas administrativas, sem prejuízo da responsabilidade cível e criminal.

Parágrafo único. A aplicação deste decreto se dá sem prejuízo da competência sancionadora da Autoridade Nacional de Proteção de Dados.

Art. 29. Os demais procedimentos de segurança não detalhados neste instrumento serão implantados mediante observância das Normas ABNT NBR ISO/IEC 27000, 27001, 27005, 27007, 19011 e 27701, bem como outras aplicáveis a matéria.

Art. 30. Compete à Secretaria de Estado de Administração - SEAD editar normas complementares à execução da Política de Segurança da Informação e Comunicação - POSIC.

Art. 31. Este Decreto entra em vigor na data de sua publicação.

Rio Branco - Acre, 6 de novembro de 2025, 137º da República, 123º do Tratado de Petrópolis e 64º do Estado do Acre.

Mailza Assis da Silva

Governadora do Estado do Acre, em exercício

Este texto não substitui o publicado no DOE de 07/11/2025.

NOME DO ARQUIVO LINK PARA DOWNLOAD

Art. 1

Art. 2

Art. 3

Art. 4

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 15

Art. 16

Art. 17

Art. 18

Art. 19

Art. 20

Art. 21

Art. 22

Art. 23

Art. 24

Art. 25

Art. 26

Art. 27

Art. 28

Art. 29

Art. 30

Art. 31

×

Atos vinculados/indexados

Atos que alteram, regulamentam ou revogam este Decreto

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por este Decreto

Nenhum Ato.