Ato Normativo da Procuradoria Geral nº 12/2025

ATO NORMATIVO Nº 12/2025-GAB/PGJ

Institui a Política de Gestão de Riscos de Tecnologia da Informação no âmbito do Ministério Público do Estado do Amapá.

O PROCURADOR-GERAL DE JUSTIÇA DO ESTADO DO AMAPÁ, no uso das atribuições que lhe confere o art. 127,

§ 2º, da Constituição Federal , e o art. 4º., inciso II, da Lei Complementar Estadual nº 0079 /2013;

CONSIDERANDO a Política Nacional de Tecnologia da Informação do Ministério Público (PNTI - MP), disciplinada pela Resolução nº 171, de 27 de junho de 2017, do Conselho Nacional do Ministério Público;

CONSIDERANDO as normas ABNT NBR ISO/IEC 27005:2018, ABNT NBR ISO/IEC 31000:2018 e o framework NIST Cybersecurity Framework (CSF), RESOLVE:

CAPÍTULO I

Das Disposições Preliminares

Art. 1º Fica instituída a Política de Gestão de Riscos de TI - TIRis no âmbito do Ministério Público do Estado do Amapá (MPAP), que estabelece objetivos, princípios, diretrizes e responsabilidades relacionadas à Gestão dos Riscos de TI.

Parágrafo único. Esta política aplica-se a todo o Departamento de Tecnologia da Informação (DTI) e a outras unidades que utilizem os ativos de TI para a execução total ou parcial de suas atividades, inclusive as unidades do Centro Integrado de Inteligência e Investigação (CIII), englobando, direta ou indiretamente, membros, servidores, estagiários, voluntários, residentes, visitantes e prestadores de serviços que tenham acesso aos ativos de informação do MPAP.

Art. 2º Para os fins deste ato, consideram-se os termos e as definições constantes no Glossário das Políticas de TI do MPAP.

CAPÍTULO II

Dos Objetivos, Princípios e Diretrizes

Art. 3º São objetivos da Política de Gestão de Riscos de TI do MPAP:

I - Estabelecer diretrizes e responsabilidades para a gestão eficaz de riscos de TI;

II - Assegurar a conformidade com requisitos legais e regulamentares;

III - Disseminar a cultura de gestão de riscos no âmbito do MPAP;

IV - Estabelecer um processo estruturado para identificação, análise, avaliação, tratamento e monitoramento dos riscos de TI;

V - Definir os níveis aceitáveis de risco de TI para o MPAP;

VI - Assegurar a continuidade das atividades e serviços essenciais do MPAP.

Art. 4º São princípios da Gestão de Riscos de TI no MPAP:

I - Abrangência: A gestão de riscos deve abranger todos os ativos de TI;

II - Alinhamento Estratégico: Alinhamento aos objetivos estratégicos do MPAP;

III - Integração: Parte integrante de todos os processos organizacionais;

IV - Melhoria Contínua: Processo cíclico e em constante aperfeiçoamento;

V - Transparência: Informações sobre riscos de TI acessíveis a todos os intervenientes.

Art. 5º São diretrizes para a Gestão de Riscos de TI no MPAP:

I - Implementação de processo formal de gestão de riscos de TI;

II - Utilização de metodologias e ferramentas adequadas;

III - Realização de avaliações periódicas de riscos;

IV - Implementação de medidas de tratamento de riscos;

V - Monitoramento contínuo dos riscos e das medidas de tratamento;

VI - Desenvolvimento contínuo dos colaboradores.

CAPÍTULO III

Da Metodologia

Art. 6º A gestão de risco de TI no MPAP contempla as seguintes etapas:

I - Estabelecimento do Contexto: Definição do escopo da análise de riscos;

II - Identificação dos Riscos: Identificação de ativos, ameaças e vulnerabilidades;

III - Análise dos Riscos: Determinação da probabilidade e impacto dos riscos;

IV - Avaliação dos Riscos: Comparação dos riscos analisados com critérios estabelecidos;

V - Tratamento dos Riscos: Implementação de medidas para tratar os riscos;

VI - Monitoramento dos Riscos: Acompanhamento contínuo;

VII - Comunicação e Consulta: Diálogo contínuo com as partes interessadas.

Da Identificação dos Riscos

Art. 7º A identificação dos riscos deve ser feita de forma sistemática e abrangente, considerando:

I - Fontes tangíveis e intangíveis de risco;

II - Causas e eventos potenciais;

III - Vulnerabilidades e capacidades existentes;

IV - Natureza e valor dos ativos.

Da Análise e Avaliação dos Riscos

Art. 8º A análise de riscos deve considerar a probabilidade de ocorrência e o impacto potencial para o MPAP, utilizando critérios predefinidos.

Art. 9º A avaliação de riscos deve comparar os resultados da análise com os critérios de risco estabelecidos, para determinar a priorização de tratamento.

Do Tratamento e Monitoramento dos Riscos

Art. 10. O tratamento dos riscos deve ser realizado de acordo com uma das seguintes estratégias:

I - Mitigação: reduzir a probabilidade ou o impacto do risco;

II - Transferência: passar a responsabilidade sobre o risco a terceiros;

III - Aceitação: não tomar medidas proativas;

IV - Evitar: eliminar a fonte de risco.

Art. 11. O monitoramento dos riscos deve incluir:

I - Acompanhamento dos indicadores de risco;

II - Revisão periódica dos riscos;

III - Análise da efetividade das medidas de tratamento.

Do Plano de Tratamento de Riscos

Art. 12. Os Planos de Tratamento de Riscos devem incluir:

I - Ações a serem executadas;

II - Responsáveis pela implementação;

III - Recursos necessários;

IV - Prazos para implementação;

V - Indicadores de desempenho.

Da Comunicação e Consulta

Art. 13. A comunicação e consulta com partes interessadas deve ocorrer durante todas as etapas do processo de gestão de riscos, garantindo:

I - Entendimento comum sobre os riscos e seu tratamento;

II - Envolvimento adequado das partes interessadas;

III - Transparência no processo decisório;

IV - Divulgação periódica de informações sobre os riscos.

CAPÍTULO IV

Das Responsabilidades

Art. 14. Compete ao Comitê Estratégico de Tecnologia da Informação (CETI):

I - Definir e aprovar a estratégia e as diretrizes institucionais para a gestão de riscos de TI;

II - Aprovar a metodologia, ferramentas e critérios de gestão de riscos;

III - Definir os níveis de apetite a risco aceitáveis para o MPAP;

IV - Garantir recursos para a execução das atividades de gestão de riscos pelas divisões.

V - Revisar e aprovar atualizações nesta política.

Art. 15. Compete ao Departamento de Tecnologia da Informação (DTI):

I - Coordenar a implementação da política de gestão de riscos de TI;

II - Reportar periodicamente ao CETI sobre o andamento das ações de gestão de riscos;

III - Propor atualizações nesta política quando necessário;

Art. 16. Compete à Divisão de Governança de TI:

I - Implementar o processo de gestão de riscos de TI;

II - Desenvolver, documentar e manter atualizada a metodologia de gestão de riscos;

III - Coordenar a identificação, análise, avaliação e tratamento dos riscos junto às demais divisões;

IV - Elaborar e manter atualizados os indicadores de riscos;

V - Monitorar a efetividade dos controles implementados;

VI - Elaborar relatórios periódicos sobre a gestão de riscos para o DTI e CETI;

VII - Promover a disseminação da cultura de gestão de riscos;

VIII - Conduzir treinamentos e ações de conscientização sobre gestão de riscos.

Art. 17. Compete à Divisão de Infraestrutura de TI:

I - Identificar e avaliar riscos específicos relacionados à infraestrutura tecnológica;

II - Implementar controles de segurança na infraestrutura conforme definido nos planos de tratamento;

III - Monitorar eventos e incidentes de segurança na infraestrutura;

IV - Propor medidas de mitigação para riscos identificados em sua área de atuação;

V - Reportar à Divisão de Governança de TI o status dos riscos e controles sob sua responsabilidade.

Art. 18. Compete à Divisão de Sistema de Informação:

I - Identificar e avaliar riscos específicos relacionados aos sistemas de informação;

II - Implementar práticas seguras de desenvolvimento conforme definido nos planos de tratamento;

III - Garantir a segurança dos dados nos sistemas desenvolvidos ou mantidos;

IV - Propor medidas de mitigação para riscos identificados em sua área de atuação;

V - Reportar à Divisão de Governança de TI o status dos riscos e controles sob sua responsabilidade.

Art. 19. Compete à Divisão de Suporte e Serviços de TI:

I - Identificar e avaliar riscos relacionados ao suporte e atendimento aos usuários;

II - Implementar controles para proteção dos ativos utilizados pelos usuários;

III - Executar ações de conscientização dos usuários quanto às práticas seguras;

IV - Propor medidas de mitigação para riscos identificados em sua área de atuação;

V - Reportar à Divisão de Governança de TI o status dos riscos e controles sob sua responsabilidade.

Art. 20. Compete aos gestores das demais áreas:

I - Identificar e analisar os riscos relacionados às suas áreas;

II - Propor e implementar medidas de tratamento de riscos;

III - Monitorar as medidas de tratamento sob sua responsabilidade;

IV - Reportar incidentes e situações de risco à Divisão de Governança de TI.

Art. 21. Compete a todos os colaboradores do MPAP:

I - Conhecer e cumprir as diretrizes de segurança da informação;

II - Reportar qualquer incidente de segurança;

III - Colaborar com as atividades de gestão de riscos de TI.

CAPÍTULO V

Das Disposições Finais

Art. 22. Esta Política será revisada anualmente, ou com mais frequência se necessário, para refletir mudanças no ambiente do MPAP.

Art. 23. Este Ato entra em vigor na data de sua publicação e revogam-se as disposições em contrário.

Macapá, 03 de Outubro de 2025

ALEXANDRE FLAVIO MEDEIROS MONTEIRO

PROCURADOR-GERAL DE JUSTIÇA

Atos que alteram, regulamentam ou revogam este Ato Normativo da Procuradoria Geral:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por este Ato Normativo da Procuradoria Geral:

Nenhum Ato.