PORTARIA GM/MS Nº 12.029, DE 2026 DE 24 DE julho DE 2026

PORTARIA GM/MS Nº 12.029, DE 2026 DE 24 DE julho DE 2026 Altera a Portaria GM/MS nº 1.966, de 17 de julho de 2018, incluindo o Anexo III-A, que dispõe sobre Normas de Backup e Restauração de Dados no âmbito do Ministério da Saúde. O MINISTRO DE ESTADO DA SAÚDE, no uso das atribuições que lhe confere os incisos I e II do parágrafo único art. 87, , da Constituição, resolve: Art. 1º A Portaria GM/MS nº 1.966, de 17 de julho de 2018, passa a vigorar acrescida do Anexo III-A, na forma do Anexo a esta Portaria. Art. 2º Fica revogado o Anexo III da Portaria GM/MS nº 1.966, de 17 de julho de 2018. Art. 3º Esta Portaria entra em vigor na data de sua publicação. ALEXANDRE ROCHA SANTOS PADILHA ANEXO III-A DA NORMA DE BACKUP E RESTAURAÇÃO DE DADOS NO ÂMBITO DO MINISTÉRIO DA SAÚDE CAPÍTULO I DAS DISPOSIÇÕES PRELIMINARES Art. 1º Ficam estabelecidas as normas de backup e restauração de dados no âmbito do Ministério da Saúde. Parágrafo único. As normas de que dispõe o caput tem como objetivo estabelecer diretrizes para o processo de cópia, armazenamento e restauração dos dados de sistemas computacionais sob a guarda do Ministério da Saúde, visando garantir a segurança, proteção e disponibilidade dos dados digitais no ambiente tecnológico, de forma a manter a continuidade do negócio. Art. 2º A disponibilidade dos dados armazenados no Ministério da Saúde deve conter: I - plano de backup para armazenamento adequado conforme as melhores práticas e teste de descarte dos dados; e II - plano de recuperação para casos de indisponibilidade ou perda de informações, desastres, ataques ou outras ameaças. Art. 3º O plano de backup e restauração de dados para execução desta norma deverá ser elaborado pelos Gestores da Informação, responsáveis pelos ativos de informação, sistemas e serviços institucionais, em conjunto com as áreas técnicas competentes, observadas as diretrizes de Segurança da Informação, Continuidade de Negócios e gestão de riscos estabelecidas pelo Ministério da Saúde. § 1º O plano de backup e restauração de dados deverá contemplar, no mínimo: I - definição dos ativos e informações abrangidos; II - classificação da criticidade dos ativos; III - periodicidade de execução das cópias de segurança; IV - prazos de retenção; V - requisitos de recuperação e restauração; VI - definição de ambientes e locais de armazenamento das cópias; VII - procedimentos de teste de restauração; e VIII - responsabilidades das unidades envolvidas. § 2º O plano de backup e restauração de dados de que trata o caput deverá ser elaborado no prazo de até 180 (cento e oitenta) dias, contados da entrada em vigor desta norma, podendo sua implementação ocorrer de forma progressiva, conforme a criticidade dos ativos, disponibilidade operacional e requisitos técnicos institucionais. § 3º Compete à área de Segurança da Informação orientar, apoiar e acompanhar a observância das diretrizes estabelecidas nesta norma, sem prejuízo das competências dos Gestores da Informação e das áreas técnicas responsáveis pelos ativos e serviços institucionais. Art. 4º Esta Portaria abrange todos os dados no âmbito do Ministério da Saúde, incluindo aqueles armazenados em serviço de nuvem, bem como se destina: I - aos agentes públicos que são criadores ou usuários de tais dados; e II - a terceiros que acessam e utilizam, no âmbito do Ministério da Saúde (MS), e das Superintendências e dos Hospitais Federais, sistemas e equipamentos de Tecnologia da Informação - TI ou que criam, processam ou armazenam dados de propriedade do Ministério. Art. 5º A salvaguarda dos dados em formato digital pertencentes a serviços de TI do Ministério da Saúde, mas custodiados por outras entidades públicas, como nos casos de serviços em nuvem, deve estar garantida nos acordos ou contratos que formalizam a relação entre os envolvidos. Art. 6º Não serão salvaguardados os dados: I - armazenados localmente nos microcomputadores dos usuários ou em quaisquer outros dispositivos fora dos centros de processamento de dados e dos serviços em nuvem contratados e mantidos pela unidade de TI do Ministério da Saúde; tampouco serão esses dados recuperados; e II - produzidos e armazenados em institutos federais que possuam relação de subordinação com as secretarias do Ministério da Saúde. CAPÍTULO II DAS DIRETRIZES GERAIS Art. 7º As normas de backup e restauração de dados, bem como as normas e procedimentos a elas associadas, deverão ser amplamente divulgados aos servidores, empregados, colaboradores e prepostos envolvidos nas atividades do Ministério da Saúde, de forma a garantir que todos compreendam suas responsabilidades e ajam conforme os preceitos desta norma. Art. 8º A norma de backup e restauração de dados deve estar alinhada com a Política de Segurança da Informação do Ministério da Saúde vigente e as demais normas aplicáveis. Art. 9º O Ministério da Saúde deve se orientar pelas boas práticas e padrões aplicáveis ao armazenamento e restauração de dados, estabelecidos por entidades normativas públicas e privadas. Art. 10. As rotinas de backup devem ser orientadas para a restauração dos dados de acordo com os indicadores de disponibilidade, Recovery Time Objective - RTO e Recovery Point Objective - RPO, presentes nos planos de continuidade de negócios dos serviços críticos. Art. 11. As rotinas de backup devem possuir requisitos mínimos diferenciados de acordo com os níveis de criticidade definidos na Análise de Impacto nos Negócios. Art. 12. O armazenamento de backup deve ser realizado em local distinto do ambiente de produção. Art. 13. O backup extra de dados de serviços críticos deverá ser armazenado em local remoto ao do Ministério da Saúde. Art. 14. A infraestrutura de rede de backup deve ser apartada, lógica e fisicamente, dos sistemas críticos da organização. Art. 15. A unidade de TI deve manter reserva de recursos físicos e lógicos de infraestrutura compatível com o volume de dados armazenados e com os requisitos operacionais necessários à execução de testes de restauração de backup. §1º A definição da capacidade necessária de reserva deverá considerar, no mínimo: I - o volume de dados contemplados pelas rotinas de backup; II - a criticidade dos serviços e ativos de informação; III - os requisitos de continuidade e recuperação dos serviços; IV - a periodicidade dos testes de restauração; e V - a capacidade operacional da infraestrutura disponível. §2º A unidade de TI deverá realizar monitoramento periódico da utilização e disponibilidade dos recursos destinados aos testes de restauração, adotando medidas de adequação sempre que identificada insuficiência de capacidade ou risco à execução das rotinas de recuperação. Art. 16. Os backups que contenham dados pessoais, informações sigilosas, informações sensíveis ou ativos críticos do Ministério da Saúde deverão ser protegidos por criptografia, observados os padrões de segurança definidos institucionalmente. Art. 17. O administrador de backup designado pela área de Tecnologia da Informação deve realizar a administração do serviço de backup, assegurando que os trabalhos respeitem as janelas de execução e contemplando, sempre que necessário, a ampliação da capacidade dos dispositivos de armazenamento. Art. 18. A solicitação de backup ou cópia de segurança de dados relacionados a serviços de Tecnologia da Informação, classificados como críticos ou não críticos, deverá ser formalizada pelos Gestores da Informação por meio de processo administrativo no Sistema Eletrônico de Informações (SEI). CAPÍTULO III DAS DIRETRIZES ESPECÍFICAS Art. 19. As diretrizes apresentadas neste capítulo devem ser complementadas por planos de backup e restauração de dados específicos, que assegurem o atendimento integral às disposições desta norma de backup e restauração de dados. Seção I Da gestão dos ativos de backup Art. 20. Os ativos de armazenamento de dados (backup) devem: I - ser inventariados e protegidos, quando se tratar de software ou hardware; II - ter sua entrada e saída nas dependências do Ministério da Saúde autorizadas e registradas por autoridade competente, quando se tratar de software e hardware; III - ser passíveis de monitoramento e investigação quando houver indícios de quebra de segurança ou falhas de execução, por meio de mecanismos que permitam a rastreabilidade do uso desses ativos, quando se tratar de software e hardware; IV - ser utilizados estritamente conforme sua finalidade, para armazenar dados institucionais; e V - ter os registros de logs ou evidências das execuções de backup e dos procedimentos de armazenamento e estar à disposição do Ministério da Saúde para fins de auditoria, a qualquer tempo. Art. 21. O Ministério da Saúde deve criar, gerir e avaliar critérios para o tratamento e a classificação das informações a serem armazenadas, de acordo com o grau de sigilo, a relevância, a criticidade e a sensibilidade exigidas, observando a Lei nº 12.527, de 18 de novembro de 2011, e suas atualizações, bem como a Lei nº 13.709, de 14 de agosto de 2018, e suas alterações. Seção II Das ferramentas de backup Art. 22. As rotinas de backup devem utilizar soluções próprias e especializadas para esse fim, de forma automatizada. Art. 23. Os ativos de informação que sustentam os serviços de backup devem ser considerados críticos para o Ministério da Saúde. Art. 24. O serviço de backup e de restauração de dados deve ser orientado para a restauração das informações no menor tempo possível, principalmente havendo indisponibilidade de serviços que dependam da operação de restauração de dados (restore). Seção III Da frequência e retenção dos dados de backup Art. 25. Conforme o caso, os backups dos serviços de TI do Ministério da Saúde devem ser realizados utilizando-se as seguintes frequências temporais, a serem escolhidas pelos Gestores da Informação ao solicitar a criação do plano de backup e restauração de dados: I - diária; II - semanal; III - mensal; e IV - anual. Art. 26. As especificidades dos serviços de TI críticos e não críticos podem demandar frequências e tempos de retenção diferenciados, que devem estar devidamente registrados no plano de backup e restauração dos sistemas, serviços, bases de dados e repositórios de arquivos. Art. 27. A solicitação de backup deverá refletir os requisitos de negócio e observar as diretrizes estabelecidas na Política de Segurança da Informação vigente, contemplando os critérios de segurança da informação e proteção de dados aplicáveis ao tratamento das informações envolvidas, podendo conter entre outros, os seguintes requisitos técnicos: I - escopo: a) código-fonte; b) repositórios de arquivos; c) arquivos de configuração de servidores e ativos de rede; d) máquinas virtuais; e e) serviços. II - tipos de backup: a) completo; b) incremental; c) diferencial; ou d) associação de mais de um tipo; III - frequência temporal de realização do backup: a) período de retenção a ser definido com base na criticidade, frequência da atualização dos dados e características específicas de cada sistema ou serviço; b) RPO; e c) RTO; Parágrafo único: Os requisitos previstos neste artigo possuem caráter exemplificativo e poderão ser complementados ou ajustados conforme a natureza da informação, a criticidade do serviço e as necessidades de negócio. Art. 28. Os responsáveis pelos dados deverão ter ciência dos tempos de retenção estabelecidos para cada tipo de informação e os administradores de backup deverão zelar pelo cumprimento das diretrizes estabelecidas. Art. 29. Os Gestores da Informação e o administrador de backup devem ter ciência dos tempos de retenção definidos para cada tipo de dado, conforme formalizado no plano de backup, devendo zelar pelo cumprimento das diretrizes estabelecidas nesta norma. Art. 30. Os backups podem ser classificados como on-line ou off-site, a depender da forma de acesso ao backup realizado: I - on-line: uma vez realizado, o backup é acessível em rede e armazenado no datacenter do Ministério da Saúde ou no local em que os dados de produção estejam armazenados; e II - off-site: uma vez realizado, o backup é armazenado em outro datacenter, pertencente ao Ministério da Saúde. Art. 31. As cópias de backup podem seguir metodologias distintas, a depender da criticidade do serviço. Preferencialmente, os serviços estratégicos devem seguir a metodologia 3-2-1. I - A metodologia 3-2-1 consiste em manter três cópias dos dados, armazenadas em dois tipos diferentes de mídia, sendo uma cópia mantida fora do ambiente principal (off-site). II - Para adoção da metodologia 3-2-1, o plano de backup e restauração deve descrever: a- As etapas específicas para implementação da metodologia 3-2-1 para o serviço que suporta; b- Período de retenção de cada uma das cópias; c- Tipos de repositório em que as cópias serão armazenadas; d- Melhores práticas para proteção dos repositórios; e- Procedimentos para armazenar a cópia off-site, incluindo o local de armazenamento desta cópia; e f- Plano de disaster recovery para recuperação dos dados. Art. 32. A metodologia 2-1-1 consiste em manter duas cópias dos dados em dois tipos de repositórios distintos, sendo uma on-site e outra off-site, garantindo proteção básica para serviços não críticos. Art. 33. Deve-se levar em consideração as especificidades e recomendações dos fabricantes ao criar o plano de backup, em especial para sistemas complexos ou bancos de dados. Seção IV Do uso da rede Art. 34. O Departamento de Informação e Informática do Sistema Único de Saúde da Secretaria de Informação e Saúde Digital deve considerar o impacto da execução das rotinas de backup sobre o desempenho da rede de dados do Ministério da Saúde, garantindo que o tráfego necessário às suas atividades não ocasione problemas aos demais serviços de TI do Ministério da Saúde. Seção V Das unidades de armazenamento de backup Art. 35. Os ativos relacionados ao armazenamento dos backups devem ser acondicionados em locais apropriados, com controle de fatores ambientais sensíveis, como umidade, temperatura, pressão e com acesso restrito a pessoas autorizadas pelo Departamento de Informação e Informática do Sistema Único de Saúde da Secretaria de Informação e Saúde Digital. Seção VI Dos testes de backup Art. 36. Os backups devem ser testados periodicamente, com o objetivo de garantir a segurança, a confiabilidade e a integridade dos dados salvaguardados, em equipamentos servidores diferentes dos equipamentos que atendem os ambientes de produção, observados os recursos humanos e tecnológicos disponíveis, avaliando-se ainda se foram atendidos os níveis de serviços pactuados, tais como os RTOs. §1º A estratégia de testes de backup deve ser definida no plano de backup, devendo observar os recursos disponíveis do Departamento de Informação do Sistema Único de Saúde para realização de testes, observados os recursos humanos e tecnológicos disponíveis. § 2º As ações corretivas deverão ser adotadas imediatamente após a identificação de falhas nos processos de backup, devendo ser formalmente registradas e acompanhadas até a sua resolução, com vistas à mitigação dos riscos associados. Art. 37. A periodicidade, a abrangência, os procedimentos e as rotinas inerentes aos testes de backup devem ser devidamente registrados no plano de backup e recuperação. Art. 38. Os dados restaurados (restore) devem ser testados e validados pelos administradores de backup e pelo Gestor da Informação, conjuntamente, para garantir que os indicadores de backup sejam atingidos. Seção VII Dos procedimentos de restauração de backup Art. 39. A solicitação de restauração dos arquivos, e-mails e demais formas de dados deverão ser realizada por meio de chamado técnico, com justificativa do pedido, sujeita à avaliação técnica. Art. 40. A restauração de objetos somente será possível nos casos de dados abarcados pela estratégia de backup. Art. 41. A solicitação de restauração de dados que tenham sido salvaguardados depende de avaliação e autorização dos respectivos Gestores da Informação ou do responsável legal pelos dados. Art. 42. O Departamento de Informação e Informática do Sistema Único de Saúde terá a prerrogativa de negar a restauração dos dados cujo conteúdo não seja condizente com a atividade da área solicitante, cabendo recurso da negativa aos Gestores da Informação, no prazo de até cinco dias úteis. Parágrafo único. A prévia autorização será dispensada nos casos de recuperação de dados decorrentes de incidentes de segurança. Seção VIII Do descarte da mídia Art. 43. Na hipótese de necessidade de descarte de unidades de armazenamento de backup, tais recursos devem ser fisicamente destruídos, de forma a inutilizá-los, atentando-se ao descarte sustentável e ambientalmente correto. CAPÍTULO IV DAS RESPONSABILIDADES E ATRIBUIÇÕES Art. 44. Compete aos Gestores da Informação: I - solicitar a salvaguarda das informações sob sua responsabilidade, bem como autorizar a recuperação dos dados quando necessário, por meio de processo administrativo no Sistema Eletrônico de Informação (SEI), com justificativa do pedido; II - validar os resultados das restaurações de dados solicitadas; III - validar os resultados dos testes de restauração dos backups; IV - definir o tempo de retenção dos dados armazenados, conforme legislação e normas vigentes; V - validar e aprovar o plano de backup referente aos sistemas, serviços e informações sob sua gestão; VI - definir o nível de classificação de segurança das informações armazenadas; e VII - informar o nível de criticidade dos dados. Art. 45. Compete ao Administrador de Banco de Dados: I - garantir que todos os ambientes de banco de dados de produção tenham backup aderentes a esta norma; II - definir e identificar quais bases de dados, tabelas, instâncias, schemas, arquivos e logs serão incluídos no backup; III - executar o backup do banco de dados; IV - testar, validar e restaurar o backup do banco de dados; V - gerenciar e administrar as ferramentas específicas para execução de backup de banco de dados; VI - cumprir normativos e procedimentos específicos para as ferramentas de backup de banco de dados; VII - definir se o backup será realizado a quente (online) ou a frio (off-line); VIII - definir o tipo e a rotina de execução do backup a ser realizado; IX - definir o tempo de retenção dos dados armazenados, nos casos omissos; X - garantir e zelar pela segurança, disponibilidade e integridade dos dados armazenados, dentro de suas competências; e XI - propor modificações nos serviços administrados pelos Gestores da Informação visando o aperfeiçoamento do plano de backup. Art. 46. Compete ao Gestor da Informação e ao Administrador de Banco de Dados: I - identificar os recursos e definir quais ativos serão incluídos no backup; II - homologar a restauração dos dados armazenados, em conjunto com o Administrador de Backup; e III - zelar pela segurança, disponibilidade e integridade dos dados armazenados, dentro de suas competências. Art. 47. Compete ao Administrador de Backup: I - criar e manter os backups; II - configurar a ferramenta de backup e os clientes nos dispositivos e servidores; III - criar e testar scripts; IV - criar e manter mídias; V - definir se o backup será realizado a quente (on-line) ou a frio (off-line); VI - testar e validar periodicamente o backup e o restore; VII - criar notificações e relatórios dos serviços de backup; VIII - monitorar e verificar periodicamente os relatórios gerados pela ferramenta de backup; IX - restaurar os backups quando solicitado ou em caso de incidentes; X - gerenciar mensagens e analisar os logs diários dos backups, tratando erros e garantindo a integridade do processo; XI - fazer manutenções periódicas nos dispositivos e agentes de backup; XII - realizar o carregamento das mídias necessárias para os backups programados; XIII - manter e garantir as informações e dados de logs ou evidências das execuções dos backups, para fins de auditoria; XIV - armazenar as fitas de backup em cofre apropriado do Ministério da Saúde; XV - propor modificações nos serviços administrados pelos Gestores da Informação visando o aperfeiçoamento dos planos de backup; e XVI - garantir e zelar pela segurança, disponibilidade e integridade dos dados armazenados, dentro de suas competências. CAPÍTULO V MONITORAMENTO E AVALIAÇÃO Seção I Objetivo Art. 48. O monitoramento e a avaliação dos processos de backup têm como finalidade assegurar a efetividade das cópias de segurança, em conformidade com esta norma e a disponibilidade dos dados e sistemas institucionais, de forma a garantir a continuidade dos serviços críticos de tecnologia da informação e comunicação (TIC) do Ministério da Saúde (MS). Seção II Acompanhamento e controle Art. 49. As rotinas de backup deverão ser monitoradas continuamente, com geração de relatórios automáticos que permitam identificar: I - sucesso ou falha na execução das cópias; II - tempo de duração e volume de dados processados; III - integridade dos arquivos e status dos dispositivos de armazenamento; e IV - alertas e logs de erros críticos. Art. 50. O Administrador de Backup deverá realizar a verificação diária dos relatórios de execução, adotando as medidas corretivas necessárias em caso de falhas. Art. 51. Os sistemas de monitoramento devem possuir mecanismos de notificação automática aos administradores de backup sempre que houver interrupções ou anomalias nas rotinas de backup. Seção III Avaliação periódica Art. 52. A avaliação dos processos de backup deverá ser realizada semestralmente, considerando indicadores de desempenho e conformidade, tais como: I - percentual de backups concluídos com sucesso; II - tempo médio de recuperação de dados; III - frequência de falhas por tipo de mídia; e IV - percentual de conformidade com as políticas e janelas de backup definidas. Art. 53. O resultado das avaliações deverá subsidiar as revisões da norma, a priorização de investimentos e o aprimoramento contínuo dos procedimentos de cópia e restauração de dados. Seção IV Relatório de monitoramento Art. 54. O administrador de backup deverá consolidar e encaminhar à gestão de TIC relatórios mensais contendo: I - panorama de execução das rotinas de backup; II - indicadores de desempenho; III - ocorrências de falhas e ações corretivas adotadas; e IV - histórico dos testes de restauração realizados. Parágrafo único. Os relatórios servirão como insumo para os processos de gestão de riscos, continuidade de negócios e segurança da informação. CAPÍTULO VI DAS DISPOSIÇÕES FINAIS Art. 55. Este Anexo deverá ser revisado e atualizado a cada dois anos, a partir da data de sua publicação, ou antes, em caso de necessidade. Art. 56. As exceções ou omissões sobre a norma de backup e restauração de dados do Ministério da Saúde, devem ser notificadas ao Gestor de Segurança da Informação, para esclarecimentos, com anuência do Subcomitê de Segurança da Informação - SSI.