PORTARIA NORMATIVA SE/CGU Nº 274, DE 9 DE JULHO DE 2026

PORTARIA NORMATIVA SE/CGU Nº 274, DE 9 DE JULHO DE 2026 Institui a Política de Gestão de Dispositivos Corporativos no âmbito da Controladoria-Geral da União. A SECRETÁRIA-EXECUTIVA DA CONTROLADORIA-GERAL DA UNIÃO, no exercício das atribuições previstas no art. 35 do Anexo I ao Decreto nº 11.330, de 1º de janeiro de 2023, e no art. 5º, caput, inciso II, da Portaria Normativa CGU nº 164, de 30 de agosto de 2024, e considerando o disposto no Decreto nº 12.069, de 21 de junho de 2024, na Portaria SE/CGU nº 587, de 10 de março de 2021, e na Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, bem como com base no Processo Administrativo nº 00190.102152/2026-01, resolve: CAPÍTULO I DISPOSIÇÕES PRELIMINARES Art. 1º Fica instituída a Política de Gestão de Dispositivos Corporativos no âmbito da Controladoria-Geral da União. Art. 2º A Política de que trata esta Portaria Normativa observará os princípios e os objetivos da Política Nacional de Segurança da Informação, instituída pelo Decreto nº 12.572, de 4 de agosto de 2025, e estará alinhada à Política de Segurança da Informação da Controladoria-Geral da União, prevista na Portaria SE/CGU nº 587, de 10 de março de 2021, e aos preceitos da Lei nº 13.709, de 14 de agosto de 2018, em harmonia com a Política de Gerenciamento de Configuração Segura de Dispositivos e Softwares Corporativos, instituída pela Portaria Normativa SE/CGU nº 229, de 15 de outubro de 2025. Art. 3º Para os efeitos desta Portaria Normativa, considera-se: I - dispositivos corporativos: dispositivos de usuário final, incluindo portáteis e móveis, dispositivos de rede, servidores e dispositivos não computacionais relativos à internet das coisas conectados à infraestrutura física da Controladoria-Geral da União, de forma direta, virtual ou remota, além daqueles em ambientes de nuvem, e que estejam sob gestão da Diretoria de Tecnologia da Informação da Secretaria-Executiva; II - dispositivo não autorizado: dispositivo conectado à infraestrutura tecnológica da instituição sem o devido registro ou autorização; III - inventário de dispositivos corporativos: base de dados que registra e mantém informações atualizadas sobre todos os dispositivos corporativos da instituição; IV - rede interna: rede que contém os dispositivos corporativos interconectados dentro de uma área geográfica limitada e sob controle administrativo e de segurança da instituição; e V - usuários: agentes públicos, estagiários e prestadores de serviços autorizados para acesso à rede de dados da Controladoria-Geral da União. Parágrafo único. Na aplicação desta Portaria Normativa, deverão ser observados, no que couber, os conceitos constantes do Glossário de Segurança da Informação aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021. Art. 4º O objetivo da Política de Gestão de Dispositivos Corporativos é estabelecer princípios, diretrizes e responsabilidades para a gestão do ciclo de vida dos dispositivos corporativos, abrangendo sua aquisição, identificação, rastreamento, manutenção e descarte, de modo a garantir a segurança da informação e a conformidade dos dispositivos com os padrões institucionais. Art. 5º As disposições desta Portaria Normativa e da regulamentação correlata aplicam-se: I - aos dispositivos corporativos da Controladoria-Geral da União; e II - aos usuários que, no desempenho de suas atividades, sejam responsáveis pelo ciclo de vida do dispositivo corporativo da Controladoria-Geral da União. Art. 6º Os dispositivos corporativos da Controladoria-Geral da União que, por dificuldades técnicas ou obrigações contratuais e normativas, não estejam contemplados em algum requisito desta Política serão tratados de forma excepcional. § 1º As excepcionalidades a esta Política deverão ser aprovadas e registradas pela área de segurança cibernética da Diretoria de Tecnologia da Informação da Secretaria-Executiva. § 2º No registro da excepcionalidade, deverão constar justificativa, riscos de não se proceder conforme as definições desta Política e mitigações específicas que possam ser implementadas. CAPÍTULO II DAS RESPONSABILIDADES Art. 7º A Diretoria de Tecnologia da Informação da Secretaria-Executiva é responsável por: I - elaborar, manter e fazer cumprir a Política e o Processo de Gestão de Dispositivos Corporativos no âmbito da Controladoria-Geral da União; II - gerenciar o ciclo de vida do dispositivo corporativo no âmbito da Controladoria-Geral da União; III - manter atualizado o inventário de dispositivos corporativos; IV - implementar e operar ferramentas de descoberta e monitoramento de dispositivos; V - estabelecer e fazer cumprir requisitos de segurança para dispositivos corporativos; VI - coordenar os procedimentos de descarte seguro de dispositivos; e VII - promover ações de conscientização sobre o uso seguro de dispositivos corporativos. Parágrafo único. As responsabilidades específicas de outras áreas e dos usuários de dispositivos corporativos serão detalhadas em normas complementares. CAPÍTULO III DOS PROCEDIMENTOS Art. 8º Será estabelecido e mantido um inventário atualizado de todos os dispositivos de propriedade ou sob a responsabilidade da instituição, conforme escopo definido nesta Portaria Normativa. Art. 9º O inventário lógico de dispositivos deverá ser revisado e validado periodicamente, com frequência mínima semestral, distinguindo-se do inventário físico contábil anual a cargo do setor de patrimônio. Art. 10. A Diretoria de Tecnologia da Informação da Secretaria-Executiva atribuirá identificadores únicos a todos os dispositivos corporativos existentes e recém-adquiridos. § 1º O identificador único estará vinculado ao número de registro patrimonial oficial e deverá ser afixado no dispositivo de forma permanente, por meio de uma etiqueta ou método similar, sempre que a natureza do dispositivo assim permitir. § 2º A identificação visual suplementar pela Diretoria de Tecnologia da Informação da Secretaria-Executiva não substitui a plaqueta de tombamento. § 3º O identificador e demais informações relevantes do dispositivo corporativo serão registrados e mantidos atualizados no inventário de dispositivos corporativos. § 4º Dispositivos dispensados de registro patrimonial oficial possuirão identificador que possibilite localizá-los unicamente dentre os dispositivos da mesma categoria. Art. 11. A Diretoria de Tecnologia da Informação da Secretaria-Executiva deverá empregar ferramentas automatizadas, de descoberta ativa e passiva, para identificar dispositivos conectados à rede da instituição. Parágrafo único. As ferramentas de descoberta serão configuradas para realizar varreduras periódicas, com frequência mínima diária para ferramentas de descoberta ativa e semanal para ferramentas de descoberta passiva. Art. 12. A Diretoria de Tecnologia da Informação da Secretaria-Executiva deverá analisar e tratar os dispositivos identificados na rede da Controladoria-Geral da União e não cadastrados no inventário, verificando sua conformidade e autorização de uso, observando o seguinte: I - os dispositivos de propriedade da instituição, mas não incluídos no inventário, devem ser devidamente registrados e adicionados a ele, após a verificação de sua conformidade e do cumprimento dos requisitos de segurança; e II - os dispositivos não pertencentes à instituição ou cuja propriedade não possa ser comprovada devem ser imediatamente desconectados da rede interna, exceto quando houver autorização formal concedida pela Diretoria de Tecnologia da Informação da Secretaria-Executiva. Art. 13. A Diretoria de Tecnologia da Informação da Secretaria-Executiva manterá processo contínuo de monitoramento da rede para identificar a presença de dispositivos não autorizados e de dispositivos inativos, podendo aplicar as seguintes medidas: I - remoção do dispositivo não autorizado da rede; II - bloqueio de conexão remota do dispositivo não autorizado à rede institucional; III - isolamento do dispositivo não autorizado em ambiente de quarentena para análise; e IV - bloqueio de dispositivos inativos por mais de noventa dias. Art. 14. Deverá ser estabelecida, documentada e revisada continuamente norma específica sobre o uso seguro dos recursos de tecnologia da informação no âmbito da Controladoria-Geral da União, contemplando orientações sobre o uso adequado de dispositivos corporativos. Art. 15. Os dispositivos corporativos que atingirem o fim do seu ciclo de vida útil, tornarem-se obsoletos ou forem substituídos deverão ser devolvidos à Diretoria de Tecnologia da Informação da Secretaria-Executiva para os procedimentos de descarte seguro, etapa prévia obrigatória para subsidiar o processo administrativo de desfazimento conduzido pela comissão competente. § 1º Previamente ao descarte, os dispositivos corporativos devem ser submetidos a processo de sanitização que assegure a remoção segura e irrecuperável de todos os dados e softwares licenciados. § 2º O responsável pela custódia do dispositivo deve realizar backup dos dados armazenados no dispositivo antes de retorná-lo à Diretoria de Tecnologia da Informação da Secretaria-Executiva. § 3º O descarte de dispositivos deve observar a legislação ambiental aplicável e as normas de sustentabilidade da instituição. Art. 16. A perda ou o roubo de dispositivos corporativos serão imediatamente relatados à Diretoria de Tecnologia da Informação da Secretaria-Executiva, sem prejuízo da obrigatória comunicação ao setor de patrimônio para fins de apuração de responsabilidade. Parágrafo único. Recebida a comunicação, a Diretoria de Tecnologia da Informação da Secretaria-Executiva deverá adotar as seguintes medidas de contingência: I - revogar o acesso do dispositivo aos sistemas e dados corporativos; II - acionar procedimentos de localização remota, quando disponíveis; III - executar procedimentos de limpeza remota de dados, se tecnicamente viável; IV - atualizar o status do dispositivo no inventário; e V - avaliar a necessidade de notificação às autoridades competentes e aos titulares de dados pessoais eventualmente comprometidos, conforme legislação aplicável. CAPÍTULO IV DISPOSIÇÕES FINAIS Art. 17. O art. 2º, inciso I, da Portaria Normativa SE/CGU nº 229, de 15 de outubro de 2025, passa a vigorar com a seguinte redação: "Art. 2º ... I - dispositivos corporativos: dispositivos de usuário final, incluindo portáteis e móveis, dispositivos de rede, servidores e dispositivos não computacionais relativos à internet das coisas conectados à infraestrutura física da Controladoria-Geral da União, de forma direta, virtual ou remota, além daqueles em ambientes de nuvem, e que estejam sob gestão da Diretoria de Tecnologia da Informação da Secretaria-Executiva;" (NR) Art. 18. Os casos omissos serão resolvidos pela Diretoria de Tecnologia da Informação da Secretaria-Executiva. Art. 19. A revisão desta Portaria Normativa deve ser realizada a cada dois anos ou sempre que se fizer necessário. Art. 20. Esta Portaria Normativa entra em vigor na data de sua publicação. EVELINE MARTINS BRITO