Ato Normativo da Procuradoria Geral nº 6/2026

ATO NORMATIVO Nº 000.006/2026-GAB/PGJ

Institui a Norma de Gestão de Identidade e Controle de Acesso no âmbito do Ministério Público do Estado do Amapá (TIAces).

O PROCURADOR-GERAL DE JUSTIÇA DO ESTADO DO AMAPÁ, no uso das atribuições que lhe confere o art. 127,

§ 2º, da Constituição Federal , e o art. 4º., inciso II, da Lei Complementar Estadual nº 0079 /2013;

CONSIDERANDO a estrutura normativa definida pelo Ato Normativo nº 15 /2025-GAB/PGJ - Política de Cibersegurança do MPAP, CONSIDERANDO a norma ABNT NBR ISO/IEC 27001:2022, ISO/IEC 29146:2024-01 e NBR ISO/IEC 22237 - 1:2023 sobre segurança da informação, segurança cibernética e proteção à privacidade, controle de acesso e controle de acesso físico.

CAPÍTULO I

Das Disposições Preliminares

Art. 1º Esta Norma estabelece diretrizes e procedimentos para a Gestão de Identidade e Controle de Acesso aos recursos de Tecnologia da Informação e Comunicação (TIC) e às instalações físicas do Ministério Público do Estado do Amapá (MPAP).

Parágrafo único. Esta Norma complementa a Política de Cibersegurança do MPAP (PCiber-MPAP) e aplica-se a todos os membros, servidores, estagiários, prestadores de serviço, visitantes e terceiros que necessitem acesso aos ativos do MPAP.

Art. 2º Para fins desta Norma, consideram-se os termos e as definições constantes no Glossário das Políticas de TI do MPAP.

CAPÍTULO II

Gestão de Identidades

Art. 3º Toda identidade digital no MPAP deve:

I - Ser única e pessoal, vinculada a um indivíduo específico;

II - Possuir credenciais individuais e intransferíveis;

III - Ser rastreável em logs e registros de auditoria;

IV - Seguir padrões de nomenclatura definidos pelo CETI.

Parágrafo único. É proibido o compartilhamento de credenciais de acesso, exceto em situações excepcionais devidamente autorizadas pela administração superior e registradas.

Art. 4º O ciclo de vida das identidades digitais compreende:

I - Provisionamento: criação da identidade mediante solicitação formal do gestor imediato ou de área;

II - Manutenção: alteração de permissões conforme mudanças de função ou lotação;

III - Revisão: verificação periódica de permissões e acessos;

IV - Desprovisionamento: revogação imediata de acessos em casos de desligamento, término de contrato ou mudança de função.

§ 1º Para fins desta Norma, consideram-se gestores imediatos ou gestores de área:

I - Membros do Ministério Público para suas respectivas unidades;

II - Diretores de Departamento;

III - Gerentes de Divisão;

IV - Chefes de Secretaria;

V - Outros gestores formalmente designados por ato administrativo.

§ 2º O provisionamento de acessos somente será realizado quando houver correlação direta entre as permissões solicitadas e as atribuições da unidade do usuário, cabendo ao DTI validar a pertinência da solicitação.

§ 3º O provisionamento de identidades será realizado em até 72 horas úteis após aprovação ou em menor tempo, de acordo com a SLA.

§ 4º O desprovisionamento deve ocorrer imediatamente após notificação de desligamento ou término de vínculo.

Art. 5º Contas de serviço e contas genéricas:

I - Devem ser evitadas sempre que possível;

II - Quando necessárias, requerem autorização do Gestor de Segurança da Informação;

III - Terão um responsável principal designado, que responderá pela custódia e uso adequado da conta;

IV - Terão suas credenciais gerenciadas de forma centralizada e criptografada;

V - Serão objeto de auditoria específica e documentação detalhada de uso.

Parágrafo único. O responsável principal pela conta de serviço deve:

I - Manter documentação atualizada sobre o propósito e uso da conta;

II - Reportar imediatamente qualquer uso inadequado ou suspeita de comprometimento;

III - Participar das revisões periódicas de necessidade da conta;

IV - Garantir que a conta seja desprovisionada quando não for mais necessária.

CAPÍTULO III

Controle de Acesso Lógico

Art. 6º O acesso a sistemas e aplicações do MPAP será concedido com base em:

I - Necessidade de conhecimento (need-to-know);

II - Princípio do menor privilégio;

III - Segregação de funções;

IV - Classificação da informação acessada.

Art. 7º A autenticação de usuários deve observar:

I - Senhas:

a) Com MFA habilitado: mínimo de 8 caracteres, combinando letras e números;

b) Sem MFA: mínimo de 12 caracteres, combinando letras maiúsculas, minúsculas, números e caracteres especiais;

II - Autenticação multifator (MFA): obrigatória para:

a) Contas privilegiadas;

b) Acesso remoto à rede interna;

c) Sistemas classificados como críticos;

d) Acesso a dados sensíveis ou restritos.

III - Renovação de senhas:

a) Com MFA: a cada 180 dias;

b) Sem MFA: a cada 90 dias;

c) Imediatamente se houver suspeita de comprometimento em ambos os casos;

IV - Bloqueio automático: após 5 tentativas incorretas de autenticação;

V - Timeout de sessão: inatividade máxima de 15 minutos em sistemas críticos e 30 minutos em demais sistemas.

§ 1º É vedado:

I - Anotar senhas em locais visíveis;

II - Armazenar senhas em arquivos desprotegidos;

III - Utilizar a mesma senha para múltiplos sistemas, exceto quando:

a) MFA estiver habilitado em TODOS os sistemas onde a senha é utilizada;

b) O MFA não seja baseado exclusivamente em SMS;

c) A senha atenda aos requisitos do inciso I, alínea "b" (12 caracteres complexos);

IV - Usar senhas facilmente dedutíveis (datas, nomes, sequências).

§ 2º O DTI poderá implementar gerenciadores de senhas institucionais.

Art. 8º Contas privilegiadas:

I - Serão concedidas apenas mediante justificativa e aprovação do Diretor do DTI;

II - Terão credenciais distintas das contas de uso regular;

III - Serão objeto de monitoramento contínuo;

IV - Terão suas atividades registradas em logs imutáveis;

V - Passarão por revisão semestral de necessidade.

Art. 9º Acesso remoto:

I - Permitido apenas através de VPN institucional ou soluções aprovadas pelo DTI;

II - Requer autenticação multifator;

III - Deve utilizar equipamentos corporativos ou equipamentos pessoais em conformidade com política de BYOD, quando aplicável;

IV - Terá suas conexões monitoradas e registradas.

CAPÍTULO IV

Controle de Acesso Físico

Art. 10. O acesso às instalações físicas de TI do MPAP será classificado em:

I - Áreas públicas: acesso livre;

II - Áreas restritas: acesso controlado mediante identificação;

III - Áreas críticas: acesso restrito a pessoal autorizado (CPD, sala de servidores, arquivo).

Art. 11. O acesso às áreas críticas requer:

I - Autorização formal do gestor da área;

II - Identificação por crachá, biometria ou cartão de proximidade;

III - Registro de entrada e saída em sistema de controle de acesso;

IV - Acompanhamento de visitantes por servidor autorizado.

Parágrafo único. Visitantes terão acesso temporário mediante, cadastro prévio, apresentação de documento oficial com foto, uso de crachá de identificação visível, com acompanhamento permanente.

Art. 12. Áreas com equipamentos de TI críticos devem possuir:

I - Controle de acesso físico por biometria;

II - Sistema de monitoramento por câmeras;

III - Registro de todos os acessos;

IV - Controles ambientais adequados.

CAPÍTULO V

Revisão e Monitoramento de Acessos

Art. 13. As permissões de acesso serão revisadas:

I - Revisão regular: semestralmente para todos os usuários;

II - Revisão de contas privilegiadas: trimestralmente;

III - Revisão por evento: imediatamente após mudanças de função, lotação ou desligamento.

Parágrafo único. Os gestores de área são responsáveis por validar as permissões de acesso de suas equipes.

Art. 14. O DTI implementará mecanismos de:

I - Monitoramento contínuo de tentativas de acesso não autorizado;

II - Detecção de anomalias em padrões de acesso;

III - Alertas automáticos para atividades suspeitas;

IV - Correlação de eventos de segurança.

Art. 15. Logs de acesso devem:

I - Registrar data, hora, usuário, sistema acessado e ação realizada;

II - Ser armazenados de forma centralizada e protegida;

III - Ser mantidos por no mínimo 1 ano;

IV - Estar disponíveis para auditoria.

CAPÍTULO VI

Responsabilidade

Art. 16. Compete ao DTI:

I - Implementar e manter sistemas de gestão de identidade e controle de acesso;

II - Provisionar e desprovisionar acessos conforme solicitações aprovadas;

III - Monitorar e auditar acessos;

IV - Gerar relatórios periódicos de revisão de acessos;

V - Implementar melhorias contínuas nos controles.

Art. 17. Compete aos gestores de área:

I - Solicitar provisionamento de acessos para suas equipes, observando a correlação entre as permissões e as atribuições funcionais da unidade;

II - Comunicar imediatamente mudanças de função ou desligamentos;

III - Validar semestralmente as permissões de suas equipes;

IV - Garantir que somente as pessoas autorizadas tenham acesso a informações sensíveis.

§ 1º As solicitações de acesso devem ser feitas EXCLUSIVAMENTE pelo gestor imediato do usuário ou gestor de área, sendo proibida a solicitação por:

I - O próprio usuário que receberá o acesso;

II - Colegas de trabalho ou pares hierárquicos;

III - Subordinados do gestor;

IV - Gestores de outras áreas, salvo em casos de substituição formal;

V - Estagiários e terceirizados.

§ 2º Todas as solicitações devem ser realizadas EXCLUSIVAMENTE através da Central de TI do MPAP, contendo:

I - Identificação completa do usuário;

II - Justificativa da necessidade de acesso;

III - Sistemas e permissões solicitadas;

IV - Período de validade (quando temporário);

V - Aprovação formal do gestor imediato através do sistema.

§ 3º Solicitações por e-mail, telefone, WhatsApp ou outros meios informais não serão aceitas, exceto em situações emergenciais devidamente documentadas conforme

Art. 19.

§ 4º O DTI rejeitará solicitações que não atendam aos requisitos deste artigo.

Art. 18. Compete aos usuários:

I - Manter sigilo absoluto de suas credenciais;

II - Não compartilhar acessos ou permitir uso de sua identidade por terceiros;

III - Reportar imediatamente qualquer suspeita de comprometimento;

IV - Desconectar-se dos sistemas ao se ausentar;

V - Cumprir todas as políticas de senha e autenticação.

CAPÍTULO VII

Acessos Emergenciais e Exceções

Art. 19. Acessos emergenciais podem ser concedidos em situações críticas:

I - Mediante autorização do Gestor de TIC ou Gestor de Segurança da Informação;

II - Com validade máxima de 72 horas;

III - Com registro detalhado de justificativa;

IV - Com monitoramento reforçado durante o período.

Art. 20. Exceções permanentes aos controles desta Norma:

I - Requerem análise de risco documentada;

II - Devem ser aprovadas pelo CETI;

III - Serão revisadas anualmente;

IV - Terão controles compensatórios implementados.

CAPÍTULO VIII

SANÇÕES

Art. 21. O descumprimento desta Norma sujeitará o infrator às penalidades previstas no art. 18 e 19 da PCiber-MPAP, incluindo:

I - Advertência;

II - Suspensão temporária de acessos;

III - Revogação definitiva de privilégios;

IV - Instauração de processo administrativo disciplinar;

V - Rescisão contratual, no caso de terceiros.

CAPÍTULO IX

Disposições Finais

Art. 22. Casos omissos serão resolvidos pelo CETI.

Art. 23. Esta Norma entra em vigor 30 dias após sua publicação, prazo no qual o DTI deverá adequar os sistemas e realizar capacitação dos usuários.

Art. 24. Esta Norma será revisada anualmente ou sempre que houver alteração significativa no ambiente tecnológico ou na legislação aplicável.

Macapá, 29 de Abril de 2026

ALEXANDRE FLAVIO MEDEIROS MONTEIRO

PROCURADOR-GERAL DE JUSTIÇA

Atos que alteram, regulamentam ou revogam este Ato Normativo da Procuradoria Geral:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por este Ato Normativo da Procuradoria Geral:

Nenhum Ato.