A Política de Segurança da Informação (PSI) é o documento formal, aprovado pela alta administração, que define os princípios, as diretrizes, as responsabilidades e as regras de proteção das informações de uma organização. É a “constituição” da segurança da informação: estabelece o que se quer proteger, por quê, quem responde por quê e quais comportamentos são esperados dos servidores e de terceiros. Na prefeitura, costuma ser instituída por decreto, com comitê de segurança e encarregado de dados, e deve estar alinhada à LGPD (Lei nº 13.709/2018). No plano federal, a Política Nacional de Segurança da Informação foi instituída pelo Decreto nº 12.572/2025 (que revogou o Decreto nº 9.637/2018) e serve de referência.
O que a PSI normalmente trata
- Objetivos e escopo: o que é protegido e a quem a política se aplica (servidores, estagiários, terceirizados, fornecedores).
- Princípios: confidencialidade, integridade e disponibilidade (segurança da informação).
- Classificação da informação: níveis (pública, interna, restrita, sigilosa) e regras de tratamento.
- Controle de acesso: perfis, senhas, autenticação em múltiplos fatores, revisão periódica de acessos e desativação de contas.
- Uso de recursos: e-mail, internet, dispositivos pessoais e institucionais, redes sociais e mensageria.
- Backup e recuperação: frequência, locais, testes.
- Gestão de incidentes: como comunicar, quem responde, prazos.
- Continuidade: serviços essenciais e planos de contingência.
- Proteção de dados pessoais: articulação com a LGPD, papel do encarregado.
- Responsabilidades: da alta administração, do comitê, da área de tecnologia, dos gestores e de cada usuário.
- Penalidades: consequências do descumprimento, conforme o estatuto do servidor e os contratos.
- Revisão: periodicidade e responsáveis.
Passo a passo para elaborar
- Diagnóstico: entenda os ativos, riscos e práticas atuais.
- Constitua um grupo de trabalho, com representantes de tecnologia, jurídico, controle interno, recursos humanos, comunicação e das secretarias com dados sensíveis.
- Redija o texto base em linguagem clara e curta, com princípios e regras gerais.
- Elabore normas complementares para temas específicos, como senhas, dispositivos móveis, backup, acesso remoto e uso de nuvem.
- Submeta à consulta interna e revise.
- Aprove por decreto do prefeito, formalizando comitê de segurança e responsabilidades.
- Divulgue e treine: apresentações, material de apoio e termo de ciência assinado pelos servidores.
- Monitore e revise anualmente e após incidentes relevantes.
Um exemplo hipotético: uma prefeitura aprova decreto com a PSI em dez páginas, define comitê de segurança com representantes de cinco secretarias e institui o encarregado de dados. Publica manuais curtos de senhas e backup, treina os servidores e inclui o termo de ciência no processo de admissão. Anualmente, o comitê revisa o texto e apresenta relatório ao prefeito.
Papel da alta administração
A PSI só funciona se a liderança a assume. O prefeito e os secretários devem aprovar a política, destinar recursos, dar o exemplo (por exemplo, usando autenticação em dois fatores) e cobrar o cumprimento. Sem esse apoio, a política vira peça decorativa. Veja alta administração e governança pública.
Normas complementares comuns
Complementam a PSI normas específicas, como as de uso de senhas, de dispositivos móveis, de backup, de acesso remoto, de uso de nuvem, de classificação da informação e de gestão de incidentes, além de um plano de continuidade para serviços essenciais. Cada norma deve ser curta, objetiva e atualizada.
Erros comuns
- Copiar a política de outro órgão sem adaptar à realidade da prefeitura.
- Redigir textos longos, técnicos e difíceis de entender.
- Não treinar os servidores nem colher termo de ciência.
- Não definir sanções e responsáveis.
- Não revisar, deixando regras obsoletas.
- Aprovar a política e não destinar recursos para cumpri-la.
Exemplo de estrutura de decreto
Um decreto de PSI pode ter: considerandos com a base legal e a justificativa; capítulo de disposições gerais (objetivos, definições, abrangência); capítulo de princípios e diretrizes; capítulo de governança (comitê, gestor de segurança, encarregado de dados, responsabilidades dos gestores e usuários); capítulo de gestão de incidentes e continuidade; capítulo de capacitação e conscientização; capítulo de sanções e disposições finais, com prazos para normas complementares. Cuide para que o texto seja enxuto e remeta os detalhes técnicos a normas e manuais que possam ser atualizados sem novo decreto.
Indicadores para acompanhar a PSI
Alguns indicadores simples: percentual de servidores treinados e com termo de ciência; número de incidentes registrados e tempo de resposta; frequência de testes de backup bem-sucedidos; contas desativadas dentro do prazo após desligamentos; e resultados de simulações de phishing. Apresente-os ao comitê e à alta administração periodicamente, para manter a política viva e orientar investimentos.
Termo de ciência e responsabilidade
Para dar efetividade, cada usuário deve declarar ciência das regras e das consequências do descumprimento. O termo pode ser assinado na admissão e a cada atualização relevante, e arquivado na pasta funcional. A cultura de segurança se fortalece quando as regras são explicadas, e não apenas impostas.