Ato Normativo da Procuradoria Geral nº 15/2025

ATO NORMATIVO Nº 000.015/2025-GAB/PGJ

Institui a Política de Cibersegurança no âmbito do Ministério Público do Estado do Amapá (PCiber-MPAP).

O PROCURADOR-GERAL DE JUSTIÇA DO ESTADO DO AMAPÁ, no uso das atribuições que lhe confere o art. 127,

§ 2º, da Constituição Federal , e o art. 4º., inciso II, da Lei Complementar Estadual nº 0079 /2013;

CONSIDERANDO a Lei Geral de Proteção de Dados (LGPD) - Lei nº 13.709 /2018 que define obrigações para o tratamento de dados pessoais, incluindo a segurança da informação;

CONSIDERANDO a Política Nacional de Tecnologia da Informação do Ministério Público (PNTI - MP), disciplinada pela Resolução nº 171, de 27 de junho de 2017, do Conselho Nacional do Ministério Público;

CONSIDERANDO a Resolução 294, de 28/05/2024 do Conselho Nacional do Ministério Público (CNMP) que institui a Política Nacional de Cibersegurança do Ministério Público, e dá outras providências.

CONSIDERANDO a norma ABNT NBR ISO/IEC 27001:2022 e ISO/IEC 27701:2019 - Segurança da informação, segurança cibernética e proteção à privacidade - Sistemas de gestão da segurança da informação - Requisitos, RESOLVE:

CAPÍTULO I

Das Disposições Preliminares

Art. 1º Fica instituída a Política de Cibersegurança no âmbito do Ministério Público do Estado do Amapá (PCiber-MPAP), que estabelece objetivos, princípios, diretrizes e responsabilidades relacionadas à Segurança da Informação, nos termos deste Ato Normativo.

Parágrafo único. Esta política aplica-se a todo o Departamento de Tecnologia da Informação (DTI) e a outras unidades que utilizem os ativos de TI para a execução total ou parcial de suas atividades, inclusive as unidades do Centro Integrado de Inteligência e Investigação (CIII), englobando, direta ou indiretamente, membros, servidores, estagiários, voluntários, residentes, visitantes e prestadores de serviços que tenham acesso aos ativos de informação do MPAP.

Art. 2º A PCiber-MPAP é uma declaração de compromisso do Ministério Público do Estado do Amapá com a proteção das informações que cria, manipula, custodia ou que são de sua propriedade.

§ 1º A PCiber-MPAP está em conformidade com o Sistema Nacional de Cibersegurança do Ministério Público (SNCiber-MP), instituído pela Resolução nº 294/2024 do CNMP, ao qual o MPAP formalmente adere.

§ 2º A utilização dos recursos de TIC do MPAP ou de recursos particulares em seu proveito deve ser pautada pelos princípios da ética, segurança e legalidade.

Art. 3º A estrutura normativa da Segurança da Informação do MPAP é composta pelos seguintes documentos, hierarquicamente organizados:

I - Política de Cibersegurança (PCiber-MPAP): diretrizes gerais e princípios básicos que norteiam todas as ações de segurança da informação;

II - Normas de Segurança da Informação: estabelecem controles, métodos, restrições e responsabilidades para atendimento à Política de Cibersegurança;

III - Procedimentos de Segurança da Informação: definem como as operações de atendimento à PCiber-MPAP e Normas correlatas devem ser realizadas.

§ 1º O MPAP criará, no mínimo, as seguintes normas complementares a esta Política:

a) Classificação da Informação;

b) Gestão de Identidade e Controle de Acesso;

c) Gestão de Cópias de Segurança (Backup);

d) Uso do Correio Eletrônico, Internet e Serviços em Nuvem;

e) Gestão de Incidentes de Segurança da Informação;

f) Gestão de Riscos de TI;

g) Gestão de Continuidade dos Serviços de TI.

§ 2º Os documentos que compõem a estrutura normativa da Segurança da Informação terão sua periodicidade de revisão e aprovação definidos em atos administrativos próprios.

Art. 4º Para os fins deste ato, consideram-se os termos e as definições constantes no Glossário das Políticas de TI do MPAP.

CAPÍTULO II

Dos Objetivos, Princípios e Diretrizes

Art. 5º São objetivos da Política de Cibersegurança do MPAP:

I - Estabelecer diretrizes estratégicas para proteção dos ativos institucionais;

II - Contribuir para a gestão eficiente dos riscos de segurança da informação;

III - Estabelecer competências e responsabilidades;

IV - Nortear a elaboração das normas necessárias à implementação da segurança da informação;

V - Promover o alinhamento das ações de segurança com o planejamento organizacional;

VI - Contribuir para a integração do MPAP ao Sistema Nacional de Cibersegurança do Ministério Público.

Art. 6º As ações relacionadas à Segurança da Informação no MPAP são norteadas pelos seguintes princípios:

I - Confidencialidade;

II - Disponibilidade;

III - Integridade;

IV - Não-Repúdio;

V - Autenticidade;

VI - Responsabilidade;

VII - Legalidade;

VIII - Auditabilidade.

Art. 7º São diretrizes para a Segurança da Informação no MPAP:

I - Economicidade das ações de proteção;

II - Respeito ao acesso à informação e à proteção de dados pessoais;

III - Divulgação corporativa desta Política e seus documentos complementares;

IV - Responsabilização dos usuários por atos que comprometam a segurança;

V - Alinhamento estratégico com o planejamento do MPAP e normas do CNMP;

VI - Conformidade com a legislação e regulamentos aplicáveis;

VII - Educação e comunicação como alicerces para a cultura de segurança da informação.

CAPÍTULO III

Da Gestão da Segurança da Informação

Art. 8º A estrutura de Gestão de Segurança da Informação do MPAP é composta por:

I - Administração Superior;

II - Comitê Estratégico de Tecnologia da Informação (CETI);

III - Comitê de Crise Cibernética;

IV - Divisão de Governança em TI;

V - Gestor de Segurança da Informação;

VI - Gestor de Tecnologia da Informação e Comunicação;

VII - Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos;

VIII - Usuários de informação.

Das Competências e Responsabilidades

Art. 9º Compete à Administração Superior:

I - Fornecer os recursos necessários para a implementação das ações de segurança da informação;

II - Propor a Política de Cibersegurança e aprovar suas alterações e suas normas complementares;

III - Garantir a integração do MPAP ao Sistema Nacional de Cibersegurança do Ministério Público;

IV - Definir e garantir um quantitativo mínimo de pessoal dedicado a cibersegurança;

V - Garantir a inclusão da cibersegurança no Plano de Segurança Institucional;

VI - Patrocinar políticas de incentivo para o recrutamento, desenvolvimento e retenção de profissionais de cibersegurança;

Art. 10. Compete ao Comitê Estratégico de Tecnologia da Informação (CETI):

I - Propor alterações na Política de Cibersegurança;

II - Propor as normas complementares à PCiber;

III - Destinar recursos orçamentários específicos no PDTI para ações de cibersegurança, auditoria externa e aquisição de soluções de cibersegurança;

IV - Destinar recursos orçamentários específicos no PDTI para capacitação, certificação e participação em eventos de cibersegurança nacionais e internacionais.

V - Propor um quantitativo mínimo de pessoal dedicado a cibersegurança;

VI - Aprovar os procedimentos de gerenciamento de crises cibernéticas;

VII - Propor políticas de incentivo para o recrutamento, desenvolvimento e retenção de profissionais de cibersegurança.

Art. 11. Compete ao Comitê de Crise Cibernética:

I - Acompanhar a situação ensejadora da crise presencialmente ou remotamente, observando, sugerindo ou realizando ações dentro de sua capacidade técnica, até que os serviços sejam restabelecidos;

II - Elaborar relatório circunstanciado do evento, relatando os desafios e soluções encontradas e sugerindo melhorias;

§ 1º O Comitê de Crise Cibernética será composto pelos:

a) Presidente do CETI;

b) Diretor do DTI;

c) Gestor da Segurança da Informação;

d) Membros da ETIR;

e) Servidores da área de TI afetada.

§ 2º A instituição do Comitê de Crise se dará por ato do Procurador-Geral de Justiça, em até vinte e quatro horas após a ocorrência de incidente cibernético relevante que interrompa o funcionamento das unidades fim do MPAP.

Art. 12. Compete à Divisão de Governança em TI:

I - Exercer a governança em cibersegurança no âmbito do MPAP;

II - Monitorar o cumprimento da Política de Cibersegurança e suas normas complementares;

III - Coordenar a elaboração e revisão das normas de segurança da informação;

IV - Supervisionar a gestão de riscos de segurança da informação;

V - Acompanhar e reportar ao CETI sobre o desempenho das ações de cibersegurança;

VI - Promover a integração entre as diferentes áreas envolvidas na segurança da informação;

VII - Assessorar na definição de diretrizes estratégicas de cibersegurança.

Parágrafo único. A Divisão de Governança em TI constitui a área responsável pela governança da cibersegurança no MPAP, nos termos do art. 9º. da Resolução CNMP nº 294/2024.

Art. 13. Compete ao Gestor de Segurança da Informação:

I - Auxiliar na elaboração e implementação da Política de Cibersegurança;

II - Liderar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos;

III - Coordenar a participação do MPAP na Rede Nacional de Cooperação em Cibersegurança do Ministério Público.

IV - Coordenar a elaboração dos procedimentos para tratamento e resposta a incidentes cibernéticos.

Parágrafo único. O Gestor da Segurança da Informação é o servidor legalmente designado com atribuições exclusivas e específicas relacionadas à área de segurança da informação.

Art. 14. Compete à Equipe de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos:

I - Coordenar as atividades de prevenção, tratamento e resposta a incidentes cibernéticos;

II - Representar o MPAP na Rede Nacional de Cooperação em Cibersegurança do Ministério Público;

III - Elaborar os procedimentos para o tratamento e resposta a incidentes cibernéticos;

IV - Elaborar e implementar os protocolos de gerenciamento de crises cibernéticas;

V - Elaborar procedimento para comunicação de incidentes relevantes ao CGNCiber-MP.

Art. 15. São responsabilidades dos usuários de informação:

I - Conhecer e cumprir esta Política de Cibersegurança e suas normas complementares;

II - Utilizar os recursos de TI do MPAP de forma responsável e em conformidade com as diretrizes institucionais;

III - Manter a confidencialidade das credenciais de acesso pessoais, não compartilhando senhas ou tokens de autenticação;

IV - Reportar imediatamente à área de TI qualquer suspeita de incidente de segurança ou comportamento anômalo nos sistemas;

V - Participar dos treinamentos de conscientização em segurança da informação promovidos pelo MPAP;

VI - Proteger informações classificadas conforme os critérios de confidencialidade estabelecidos;

VII - Utilizar apenas softwares licenciados e autorizados pelo MPAP;

VIII - Não instalar, executar ou utilizar programas não autorizados nos equipamentos institucionais;

IX - Não conectar equipamentos estranhos a rede física do MPAP;

X - Manter atualizados os sistemas operacionais e aplicativos em equipamentos sob sua responsabilidade;

XI - Fazer uso adequado do correio eletrônico, internet e serviços em nuvem, conforme normascíficas;

XII - Realizar backup de dados importantes conforme procedimentos estabelecidos;

XIII - Não acessar, copiar, modificar ou destruir informações sem a devida autorização;

XIV - Zelar pela segurança física dos equipamentos e mídias sob sua guarda;

XV - Desconectar-se adequadamente dos sistemas ao final do uso ou ausentar-se do posto de trabalho.

CAPÍTULO IV

Da Participação no Sistema Nacional de Cibersegurança

Art. 16. O MPAP adere formalmente ao Sistema Nacional de Cibersegurança do Ministério Público (SNCiber-MP), comprometendo-se a:

I - Implementar as diretrizes da Política Nacional de Cibersegurança do Ministério Público;

II - Participar ativamente da Rede Nacional de Cooperação em Cibersegurança;

III - Compartilhar informações sobre ameaças, vulnerabilidades e incidentes cibernéticos;

IV - Comunicar ao CGNCiber-MP a ocorrência de incidentes relevantes.

Art. 17. O MPAP adotará procedimentos formais de gerenciamento de crises cibernéticas, contemplando:

I - Identificação e classificação de incidentes;

II - Procedimentos de contenção, mitigação e recuperação;

III - Comunicação interna e externa;

IV - Mecanismos para solicitar apoio do Comitê de Gerenciamento de Crises do CNMP quando necessário.

Das Sanções e Penalidades

Art. 18. A não observância do disposto nesta Política, bem como em seus instrumentos normativos correlatos, sujeita o infrator à aplicação de sanções administrativas conforme a legislação vigente, sem prejuízo das responsabilidades penal e civil, assegurados sempre aos envolvidos o contraditório e a ampla defesa.

Art. 19. Prestadores de serviços, estagiários, voluntários e terceiros que descumprirem esta política estarão sujeitos:

I - À rescisão imediata do contrato ou termo de compromisso;

II - À responsabilização civil pelos danos causados;

III - À comunicação aos órgãos competentes para apuração de responsabilidade criminal, quando couber.

CAPÍTULO V

Das Disposições Finais

Art. 20. O MPAP promoverá ações de treinamento e conscientização em segurança da informação para todos os seus colaboradores.

Art. 21. Casos omissos serão resolvidos pelo Comitê Estratégico de Tecnologia da Informação e submetidos à aprovação da Procuradoria Geral de Justiça, quando necessário.

Art. 22. Esta Política será revisada periodicamente, pelo menos a cada 2 anos, visando garantir a atualização conforme as melhores práticas.

Art. 23. Este Ato entra em vigor na data de sua publicação, revogando-se as disposições em contrário.

Macapá, 03 de Outubro de 2025

ALEXANDRE FLAVIO MEDEIROS MONTEIRO

PROCURADOR-GERAL DE JUSTIÇA

Atos que alteram, regulamentam ou revogam este Ato Normativo da Procuradoria Geral:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por este Ato Normativo da Procuradoria Geral:

Nenhum Ato.