[Portaria] 11/2022 - Dispõe sobre o SAGA

Dispõe sobre a instituição de mecanismo digital de proteção e integridade de dados sensíveis.

DISPOSIÇÕES PRELIMINARES

Âmbito de Aplicação

Art. 1º Fica instituído o Sistema Avançado de Gestão de Acesso – SAGA, ferramenta informatizada e criptografada partícipe da plataforma do Sistema Integrado de Administração de Serviços Estratégicos, disponibilizada pela Secretaria de Gestão da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia, destinada a instrumentalizar o acesso e a utilização dos sistemas financeiros e fiscais, de forma simplificada e segura,  pelos órgãos e entidades da Administração Pública.


Definições

Art. 2º Para efeito desta Portaria, são adotadas as seguintes definições:

I - Sistema Avançado de Gestão de Acesso (SAGA) - sistema estruturador, formado pelos órgãos e entidades da Administração Pública Federal direta, autárquica e fundacional, que organiza de forma centralizada as atividades de administração de edifícios públicos e imóveis residenciais, bens, serviços, transporte, comunicações administrativas e documentação;
II - Sistema Integrado de Administração: sistema informatizado, gerido pelo órgão central de gestão de rede, destinado à informatização e à operacionalização dos processos de logística e serviços gerais;
III - Responsável no SAGA: usuário incumbido de formalizar o Termo de Acesso do órgão ou entidade interessado em utilizar o SAGA, ficando responsável pelas informações cadastrais inseridas no Sistema e pelo gerenciamento dos usuários que irão operar o sistema em sua unidade, cabendo-lhe habilitar, desabilitar, alterar vinculação de perfis, instalar o Certificado Digital e trocar senhas de acesso; e
IV - Unidade de Administração de Serviços Gerais: código identificador dos órgãos e entidades que executam as atividades relativas ao sistema em epígrafe.

Art. 3º O conjunto de documentos que compõe esta Norma deverá ser orientado pelos seguintes princípios:

I - simplicidade: controles de segurança simples e objetivos;
II - privilégio mínimo: usuários devem ter acesso apenas aos recursos de tecnologia da informação necessários para realizar as tarefas que lhe foram designadas;
III - segregação de função: funções de planejamento, execução e controle devem ser segregadas de forma a reduzir oportunidades de modificação, uso indevido, não autorizado ou não intencional dos ativos, bem como permitir maior eficácia dos controles de segurança. Incluirá, também, a obrigatoriedade de assinatura digital em todos os documentos sensíveis confeccionados, devendo conter: código de verificação, hora e IP local;
IV - auditabilidade: todos os eventos significantes de usuários e processos devem ser rastreáveis até o evento inicial por meio de registro consistente e detalhado;
V - mínima dependência de segredos: os controles deverão ser efetivos, ainda que se conheça sua a existência e o seu funcionamento;
VI - resiliência: os controles de segurança devem ser projetados para que possam resistir ou se recuperar dos efeitos de um desastre, ataque malicioso ou DDos; e
VII - defesa em profundidade: os controles de segurança devem ser concebidos em múltiplas camadas, de modo a prover redundância que permita a aplicação de controle diverso no caso de falha.

Art. 4º As determinações e procedimentos compreendidos por esta Norma deverão abordar, mas não limitados a estes, os seguintes aspectos:

I - segurança física;
II - gestão de mudanças;
III - privacidade;
IV - criptografia;
V - acesso à rede;
VI -gestão de senhas e contas de usuário;
VII - dispositivos móveis;
VIII - gestão de incidentes;
IX - plano de continuidade de negócios;
X - proteção à propriedade intelectual; e
XI - treinamento e sensibilização para segurança;


Orientações gerais

Art. 5º Os órgãos, entidades, seus dirigentes e servidores que utilizem o SAGA responderão administrativa, civil e penalmente por ato ou fato que caracterize o uso indevido de senhas de acesso ou que transgrida as normas de segurança instituídas, bem como pela facilitação de acesso de terceiros não autorizados.
§ 1º Os órgãos e entidades deverão assegurar o sigilo e a integridade dos dados e informações da ferramenta informatizada de que trata esta Portaria, protegendo-os contra danos e utilizações indevidas ou desautorizadas no âmbito de sua atuação.
§ 2º As informações e os dados do SAGA não poderão ser veiculados por meios externos, sob pena de instauração de PAD (Proceso Administrativo Disciplinar), sem prejuízo das demais cominações legais.

Art. 6º A Secretaria de Gestão da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia poderá:
I - expedir normas complementares necessárias para a execução desta Portaria; e
II - estabelecer, por meio de orientações ou manuais, informações adicionais para fins de operacionalização do SAGA.

Art. 7º Os casos omissos decorrentes da aplicação desta Portaria serão dirimidos pela Secretaria de Gestão da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia.

Vigência
Art. 8º Esta Portaria entra em vigor na data de sua publicação.