PORTARIA Nº 411, DE 16 DE JUNHO DE 2026

PORTARIA Nº 411, DE 16 DE JUNHO DE 2026 Institui a Norma de Gestão de Controle de Acesso no âmbito do Ministério dos Transportes. O MINISTRO DE ESTADO DOS TRANSPORTES, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II da Constituição, o Decreto nº 11.360, de 1º de janeiro de 2023, o art. 2º do Decreto nº 12.198, de 24 de setembro de 2024, e considerando o disposto no art. 3º, caput, inciso III do Decreto nº 7.579, de 11 de outubro de 2011, na Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e no processo nº 50000.022596/2025-33, resolve: CAPÍTULO I DAS DISPOSIÇÕES PRELIMINARES Seção I Dos Objetivos Art. 1º Fica aprovada, no âmbito do Ministério dos Transportes, a Norma de Gestão de Controle de Acesso, que estabelece princípios, diretrizes e responsabilidades para a proteção da confidencialidade, integridade e disponibilidade das informações e dos recursos institucionais, em complemento à Política de Segurança da Informação - POSIN do Ministério dos Transportes - MT. Art. 2º A presente Norma tem por objetivo estabelecer controles de identificação, autenticação e autorização para salvaguardar as informações e ativos do Ministério dos Transportes - MT, estejam em meio digital ou físico, a fim de prevenir acessos não autorizados que possam ocasionar destruição, alteração, perda, roubo ou divulgação indevida. Art. 3º São objetivos específicos desta Norma: I - assegurar que todos os acessos sejam concedidos conforme necessidade de uso e função; II - adotar o princípio do menor privilégio em todas as concessões de acesso; III - garantir a confidencialidade, integridade e disponibilidade das informações sob custódia do MT; IV - definir procedimentos para concessão, manutenção, revisão e revogação de credenciais; e V - disciplinar o uso de acessos especiais ou privilegiados, prevenindo riscos de abuso, fraude ou erro não detectado. Seção II Das Definições Art. 4º Para fins desta Norma, adotam-se as definições constantes: I - do Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República, aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021; II - da Política de Segurança da Informação do Ministério dos Transportes (POSIN), instituída pela Portaria MT nº 287, de 4 de abril de 2025; e III - dos conceitos específicos de Controle de Acesso previstos no Modelo de Política de Gestão de Controle de Acesso da Secretaria de Governo Digital. Art. 5º Para os fins desta Portaria, consideram-se: I - Acesso - ato de ingressar, transitar, conhecer ou consultar informação, bem como usar ativos de informação, observadas as restrições aplicáveis; II - Conta de Serviço - credencial destinada a procedimentos automáticos (aplicações, scripts, rotinas), sem intervenção humana direta; III - Controle de Acesso - conjunto de procedimentos, recursos e meios empregados para conceder, restringir ou bloquear o uso de ativos físicos ou computacionais; e IV - Multifactor Authentication - MFA - autenticação multifatores, baseada em dois ou mais elementos distintos (algo que o usuário sabe, possui ou é). CAPÍTULO II ACESSO LÓGICO Art. 6º O acesso lógico aos recursos do Ministério dos Transportes será realizado por meio de sistema centralizado de controle de acesso, administrado pela área de Tecnologia da Informação - TI, com base nas responsabilidades e tarefas atribuídas a cada usuário. Art. 7º Terão direito de acesso lógico os servidores efetivos, ocupantes de cargo em comissão, empregados públicos, estagiários, terceirizados e demais colaboradores temporários em atividade no MT; e Art. 8º O acesso remoto será realizado por meio de rede privada virtual - VPN ou tecnologia equivalente, com uso obrigatório de MFA. Art. 9º A área de TI deverá manter inventário atualizado de todas as contas (usuários, administrativas, de teste e de serviço). § 1º Para as contas de serviço, o inventário deverá registrar, no mínimo: I - unidade proprietária; II - responsável pela autorização do acesso; III - data de criação ou última renovação de autorização; e IV - ativo ou sistema vinculado. § 2º Todas as contas deverão ser validadas, no mínimo, a cada 90 (noventa) dias pela área de TI. Art. 10. A gestão de contas será centralizada por meio de serviço de diretório e/ou identidade, integrando autenticação, autorização e auditoria (AAA) dos ativos de informação. Art. 11. A área de TI manterá inventário dos sistemas de autenticação e autorização da organização, com revisão periódica para assegurar conformidade e atualização. Art. 12. O controle de acesso será baseado em funções - Role Based Access Control - RBAC, garantindo que os privilégios concedidos sejam compatíveis com as atividades de cada função. § 1º A área de TI realizará análises periódicas de aderência dos acessos concedidos, sempre que houver criação ou alteração de funções e ativos relevantes. § 2º O acesso deverá obedecer ao Princípio do Menor Privilégio, concedendo-se apenas as permissões estritamente necessárias. Art. 13. É vedado conceder permissões conflitantes a um mesmo usuário. § 1º A área de TI deverá implementar controles de Segregação de Funções - Segregation of Duties - SoD, de modo a evitar conflitos de interesse, ações fraudulentas ou erros não detectados. § 2º Exceções deverão ser formalmente justificadas, registradas e acompanhadas por controles compensatórios. CAPÍTULO III CONTA DE ACESSO LÓGICO E SENHA Art. 14. A criação de conta de acesso (login único) será provida pela área de TI, mediante solicitação formal da unidade do requisitante. § 1º Os privilégios de acesso serão definidos pela unidade de lotação do usuário, limitando-se às atividades estritamente necessárias. § 2º Solicitações de perfis diferenciados deverão ser formalizadas pela chefia imediata e serão avaliadas pela TI, que poderá negá-las se entender não justificadas. Art. 15. O login e a senha são de uso pessoal e intransferível, sendo vedada sua divulgação. O descumprimento ensejará o bloqueio imediato da conta, devendo a unidade requisitante formalizar nova solicitação para restabelecimento. Art. 16. A liberação do login ficará condicionada à assinatura, pelo usuário, do Termo de Responsabilidade, a ser juntado eletronicamente ao processo de criação da conta, com assinatura digital que assegure fé pública, nos termos da legislação vigente. Art. 17. O padrão de criação do login adotará o formato primeiro nome + ponto + último nome (ex.: joao.silva), garantindo a utilização do nome social quando aplicável. Parágrafo único. Havendo duplicidade, a TI adotará outra combinação com base no nome completo/social. Art. 18. As senhas de acesso deverão observar os seguintes requisitos mínimos: I - comprimento mínimo de 8 caracteres para contas com MFA habilitado e 14 caracteres para contas sem MFA; II - uso de letras maiúsculas, minúsculas, números e caracteres especiais; III - proibição de sequências óbvias (numéricas, alfabéticas), nomes próprios, datas, apelidos ou termos de fácil dedução; IV - proibição de termos comuns como "Brasil", "senha", "usuario", "password" ou equivalentes; V - não reutilização das últimas 3 (três) senhas; e VI - fornecimento, pela TI, de senha inicial temporária, que deverá ser obrigatoriamente alterada pelo usuário no primeiro acesso. Art. 19. As senhas deverão ser renovadas a cada 90 (noventa) dias, sendo o usuário notificado previamente. Parágrafo único. O não cumprimento do prazo acarretará bloqueio automático da conta até a definição de nova senha. CAPÍTULO IV BLOQUEIO, DESBLOQUEIO E CANCELAMENTO DA CONTA DE ACESSO Art. 20. A conta de acesso será bloqueada nos seguintes casos: I - após 5 (cinco) tentativas consecutivas de autenticação inválida; II - por solicitação formal do superior imediato do usuário, devidamente justificada; III - quando houver suspeita de mau uso, descumprimento da Política de Segurança da Informação - POSIN ou de normas correlatas em vigor; e IV - após 45 (quarenta e cinco) dias consecutivos de inatividade. Art. 21. O desbloqueio da conta somente será realizado mediante solicitação formal da chefia imediata à área de Tecnologia da Informação. Art. 22. Nos casos de afastamento temporário (licença, cessão ou afastamento equivalente), a unidade de lotação deverá solicitar o bloqueio preventivo da conta do usuário. Art. 23. As contas de acesso que permanecerem sem uso por 180 (cento e oitenta) dias serão canceladas, sem prejuízo da preservação de registros para auditoria. Art. 24. A TI deverá configurar o bloqueio automático de sessão nos ativos do MT após período de inatividade previamente estabelecido, variável conforme o risco associado ao ativo. Art. 25. O processo de revogação e desativação de contas deverá ser priorizado pela TI, garantindo a preservação de dados e registros de log para eventuais auditorias. CAPÍTULO V DOS CONTROLES DE ACESSOS FÍSICOS E DO AMBIENTE Art. 26. O controle de acesso físico tem por objetivo assegurar a proteção de pessoas, informações e ativos do MT, permitindo acesso apenas a pessoas devidamente autorizadas. § 1º Devem ser definidos perímetros de segurança, de acordo com a criticidade das informações e ativos neles contidos. § 2º O acesso a áreas sensíveis será realizado por meio de mecanismos de autenticação (crachá, senha, PIN, biometria), complementados por barreiras físicas. § 3º Os mecanismos de controle de acesso devem ser monitorados por equipe ou sistema responsável, com registros de entrada e saída. § 4º O monitoramento deve ser contínuo por meio de sistemas de vigilância e alarmes, especialmente em áreas críticas como datacenters, salas técnicas e locais de armazenamento de documentos sigilosos. § 5º Visitantes e prestadores de serviço deverão ter acesso supervisionado durante todo o período de permanência. § 6º Os perímetros definidos deverão ser revistos periodicamente, com base em avaliação de risco. § 7º Quando implementada, a conta de acesso biométrico deverá estar vinculada a uma conta de acesso lógico, sendo ambas utilizadas de forma combinada, em atendimento ao conceito de autenticação multifator. § 8º Os dados biométricos deverão ser tratados como informações sigilosas, preferencialmente por meio de criptografia, em conformidade com a legislação vigente. Art. 27. O acesso físico a ambientes críticos, como datacenters, salas técnicas ou arquivos que contenham informações classificadas, será restrito a pessoal autorizado, com base em gestão formal de permissões, que deve prever: I - provisão, revisão, atualização e revogação periódica de acessos; II - uso de crachá específico para áreas restritas; e III - autorização especial para ingresso fora do expediente, mediante registro junto à segurança e confirmação da Administração. Art. 28. O MT deverá implementar e manter registros de todos os acessos físicos a ambientes e ativos de informação, garantindo sua integridade e disponibilidade para fins de auditoria. § 1º As áreas e instalações que contenham documentos classificados em qualquer grau de sigilo, ou que demandem proteção em razão de sua utilização ou finalidade, terão acesso restrito a pessoas autorizadas e serão protegidas por sistemas de segurança. § 2º O ingresso em áreas de acesso restrito será permitido apenas a pessoas portadoras de crachá específico. § 3º O acesso extraordinário, realizado fora do horário de expediente, em sábados, domingos ou feriados, deverá ocorrer pela entrada principal do edifício, mediante identificação junto ao vigilante de plantão e confirmação da autorização pela Administração. Art. 29. O acesso de fornecedores e prestadores de serviços a ambientes ou ativos críticos somente será permitido quando: I - houver finalidade específica e autorizada; II - houver autorização formal da área responsável pelo ativo; e III - o acesso for acompanhado e monitorado por responsável autorizado. Art. 30. Os ativos de informação do MT que se encontrem fora de suas dependências devem ser protegidos contra perda, roubo, dano e acesso não autorizado, observando-se as seguintes diretrizes: I - não deixar o ativo sem vigilância em locais públicos ou inseguros; II - adotar medidas contra exposição visual indevida de informações; e III - habilitar funcionalidades de rastreamento e limpeza remota. Art. 31. Documentos físicos contendo informações classificadas ou sensíveis, nos termos da Lei nº 12.527/2011 e do Decreto nº 7.724/2012, devem ser armazenados em armários ou cofres dotados de fechadura e localizados em ambientes com acesso restrito. Art. 32. Reuniões que envolvam informações classificadas ou sensíveis deverão ocorrer em salas controladas, vedada a utilização de dispositivos de gravação ou comunicação sem autorização da autoridade competente. Art. 33. O tratamento de dados biométricos, quando utilizado para controle de acesso, deverá atender às seguintes diretrizes: I - a autenticação biométrica deverá estar vinculada à conta lógica do usuário, compondo MFA; e II - os dados biométricos serão tratados como informações sigilosas, com armazenamento preferencial em formato criptografado, em conformidade com a legislação vigente. § 1º Toda informação produzida, manuseada, armazenada, transportada ou custodiada pelo órgão constitui bem institucional e será protegida e gerenciada de acordo com as normas vigentes. § 2º A informação classificada nos termos do art. 24 da Lei nº 12.527/2011, será tratada conforme regulamentação específica. § 3º A destinação final de informações institucionais observará as políticas, normas, procedimentos internos, classificação arquivística, classificação de sigilo e a temporalidade prevista na legislação aplicável. Art. 34. O descarte de documentos físicos que contenham informações sensíveis ou sigilosas deve ser realizado de forma segura e irrecuperável, utilizando métodos como trituração, fragmentação ou incineração, sendo recomendável a rastreabilidade do processo por meio de registro documental. Art. 35. A supervisão da gestão dos controles de acesso físico caberá à unidade responsável pela Segurança da Informação, que deverá realizar auditorias periódicas para verificar a conformidade com esta Norma. CAPÍTULO VI MOVIMENTAÇÃO INTERNA Art. 36. Sempre que houver mudança de lotação ou de função do usuário, os acessos anteriormente concedidos deverão ser imediatamente revogados, mediante solicitação da chefia da unidade de origem ou da Coordenação-Geral de Gestão de Pessoas. Art. 37. A nova chefia imediata ou a Coordenação-Geral de Gestão de Pessoas deverá formalizar a solicitação de novos acessos, compatíveis com as atribuições do cargo ou função assumida. Art. 38. Não será permitido o acúmulo de acessos anteriores com os da nova função, devendo os direitos antigos ser cancelados antes da liberação dos novos. CAPÍTULO VII AUTENTICAÇÃO MULTIFATORES Art. 39. Para autenticação no âmbito do Ministério dos Transportes, deverá ser adotada a Autenticação Multifatores - MFA, combinando ao menos dois elementos distintos dentre: I - algo que o usuário sabe (senha ou frase de segurança); II - algo que o usuário possui (certificado digital, token, código enviado por SMS, e-mail ou aplicativo específico); III - algo que o usuário é (biometria); e IV - local de acesso (rede interna do MT), como fator adicional de contexto. Parágrafo único. Para acessos remotos, não poderá ser utilizado o fator "local de acesso" isoladamente. Art. 40. O uso de MFA é obrigatório nos casos de: I - acesso remoto à Rede Local do MT, em modelo de segurança baseado em Confiança Zero - Zero Trust; II - acesso a todas as aplicações corporativas ou de terceiros hospedadas externamente; e III - utilização de contas com privilégios de administrador. Art. 41. A autenticação biométrica, quando utilizada, deverá ser vinculada a uma conta lógica, compondo o MFA, e os respectivos dados biométricos deverão ser tratados como informações sigilosas, preferencialmente armazenados de forma criptografada, em conformidade com a legislação vigente. CAPÍTULO VIII GESTÃO DE ACESSO PRIVILEGIADO Art. 42. As contas com privilégios de administrador somente serão concedidas a técnicos da TI devidamente autorizados, e exclusivamente para a execução de tarefas específicas de administração de ativos de informação. Art. 43. O uso de login com privilégios de administrador deve ter prazo determinado e ser formalmente solicitado pela chefia imediata. Art. 44. É vedada a utilização da conta de administrador para atividades gerais, como navegação na internet, e-mail ou uso de aplicativos de produtividade, devendo essas atividades ser realizadas a partir da conta primária não privilegiada do usuário. Art. 45. Não será concedida, para um mesmo usuário, conta de administrador simultânea em mais de uma estação de trabalho, servidor ou dispositivo de rede, salvo em situações excepcionais devidamente justificadas. Art. 46. Contas de administrador temporárias poderão ser concedidas a visitantes ou prestadores de serviço, mediante apreciação da área responsável pela gestão de acessos e sempre com prazo definido. Art. 47. Constatada irregularidade no uso, o privilégio de administrador será imediatamente revogado, sem possibilidade de renovação automática. Art. 48. A área de TI deverá implementar práticas de Gestão de Acesso Privilegiado - Privileged Access Management - PAM, incluindo, no mínimo: I - concessão de privilégios temporários e granulares, conforme a necessidade da atividade; II - restrição do número de usuários com contas privilegiadas; III - auditoria e monitoramento contínuo das ações realizadas por contas administrativas; IV - eliminação, sempre que possível, de privilégios permanentes; e V - observância do princípio do menor privilégio também para contas administrativas. CAPÍTULO IX RESPONSABILIDADES Art. 49. Cabe à chefia imediata do usuário comunicar formalmente à Coordenação-Geral de Gestão de Pessoas e à área de TI o desligamento, afastamento ou saída do colaborador, servidor ou estagiário, para que os acessos sejam bloqueados ou cancelados de forma imediata. Art. 50. Compete à área de Tecnologia da Informação - TI: I - monitorar o uso da Rede Local, dos serviços de internet e demais recursos tecnológicos; II - investigar suspeitas de mau uso ou de incidentes de segurança, adotando medidas preventivas, inclusive bloqueio imediato de contas ou estações de trabalho até a elucidação do caso; III - manter processos de auditoria periódica sobre concessão, manutenção e revogação de acessos; e IV - preservar logs e registros relacionados ao uso de contas e acessos, observada a legislação vigente. Art. 51. Compete aos usuários: I - zelar pela confidencialidade de suas credenciais, sendo vedado o compartilhamento de senha; II - responsabilizar-se por todos os acessos realizados com sua conta; III - bloquear ou encerrar sessão sempre que se ausentar de sua estação de trabalho; IV - não utilizar simultaneamente a mesma conta em mais de um dispositivo, salvo quando autorizado; V - utilizar corretamente os equipamentos de informática, observando os cuidados preventivos definidos pelo MT; VI - comunicar imediatamente à TI qualquer situação que configure violação de sigilo, uso indevido ou risco à segurança da informação; e VII - assinar o Termo de Responsabilidade. CAPÍTULO X DAS DISPOSIÇÕES FINAIS Art. 52. Todo incidente que comprometa ou possa comprometer a Segurança da Informação deverá ser imediatamente comunicado à Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR/MT, por meio do endereço eletrônico etir.mt@transportes.gov.br ou outro canal oficial disponibilizado. Art. 53. Quando houver suspeita de quebra de segurança que exponha a risco os serviços ou ativos tecnológicos do MT, a Subsecretaria de Gestão Estratégica, Tecnologia e Inovação - SGETI poderá determinar a interrupção temporária do serviço afetado, sem necessidade de prévia autorização, para fins de investigação. § 1º Se o incidente envolver usuário do MT, a SGETI comunicará o fato à chefia imediata para adoção das medidas cabíveis. § 2º As violações a esta Norma e à POSIN sujeitam os infratores a responsabilidade civil, penal e administrativa, podendo ser instaurado processo administrativo disciplinar - PAD, quando aplicável. § 3º Casos omissos ou não previstos serão deliberados pelo Comitê de Governança Digital e Segurança da Informação do MT. Art. 54. Esta Portaria entra em vigor na data de sua publicação. GEORGE SANTORO