Portarias e comunicados
Anexo – Política de Segurança da Informação da Fundação de Amparo à Pesquisa do Estado de São Paulo - FAPESP
Seção I
Disposições Iniciais
Art. 1º A Política de Segurança da Informação da FAPESP se destina a garantir a disponibilidade, integridade, confidencialidade, autenticidade e auditabilidade das informações coletadas, produzidas, recebidas, armazenadas, tratadas ou transmitidas pela FAPESP no exercício de suas atividades administrativas e finalísticas.
Art. 2º Esta Política se aplica a todos os empregados, colaboradores, terceiros, visitantes que acessam as dependências da Fundação, bem como pesquisadores, bolsistas e demais usuários dos sistemas e sítios eletrônicos da FAPESP.
Parágrafo único. Esta Política poderá sofrer alterações a qualquer tempo, sem prejuízo da sua disponibilidade para consulta no site www.fapesp.br .
Seção II
Definições
Art. 3º Para fins desta Política, consideram-se as seguintes definições:
I - informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;
II - documento: unidade de registro de informações, qualquer que seja o suporte ou formato;
III - disponibilidade: garantia de que a informação esteja acessível e utilizável sob demanda por pessoa física ou sistema, órgão ou entidade da Administração Pública devidamente autorizados;
IV - integridade: garantia de que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;
V - confidencialidade: garantia de que a informação não pública não esteja disponível ou não seja revelada a pessoa, a sistema, a órgão ou a entidade não autorizada ou credenciada;
VI - autenticidade: garantia de que a informação é livre de adulteração;
VII - segurança da informação: ações que objetivem assegurar a disponibilidade, integridade, confidencialidade e autenticidade das informações;
VIII - incidente de segurança da informação: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança de sistemas de informação levando à perda individual ou conjunta da confidencialidade, integridade e disponibilidade;
IX - gestão de riscos: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar, e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos; e
X - gestão de segurança da informação: ações e métodos que visam à integração das atividades de gestão de riscos, à gestão de continuidade do negócio, ao tratamento de incidentes, ao tratamento da informação, à conformidade, ao credenciamento, à segurança cibernética, à segurança física, à segurança lógica, à segurança orgânica e à segurança organizacional dos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação e comunicação.
Seção III
Das Disposições Gerais
Art. 4º As informações produzidas ou mantidas pela FAPESP devem ser tratadas em função do seu grau de sigilo, criticidade, confiabilidade e temporalidade, garantindo-se a sua integridade, autenticidade, disponibilidade, guarda e destinação, conforme normas e regulamentações vigentes sobre o assunto.
Art. 5º Toda informação tratada na FAPESP será classificada nos termos da Lei n. 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação – LAI), da Lei n. 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados – LGPD) e das demais regulamentações vigentes sobre o assunto.
Art. 6º O acesso aos dados, documentos e informações por empregados, colaboradores e terceirizados deve restringir-se somente ao necessário para o desempenho da sua atividade na Fundação.
Art. 7º O acesso às informações, funcionalidades e recursos dos sistemas computacionais da FAPESP será concedido apenas com a solicitação formal do gestor da gerência ou área à Gerência de Informática.
Parágrafo único. Os dados de acesso fornecidos pela FAPESP são de uso pessoal e intransferível, vedada a divulgação a terceiros.
Art. 8º As informações armazenadas e mantidas pela FAPESP devem dispor de recursos necessários de segurança, de maneira a serem adequadamente protegidas quanto ao acesso e uso.
§ 1º A segurança da informação deve auxiliar a manutenção dos processos de gestão de continuidade de negócios da FAPESP, sobretudo no gerenciamento de crises e incidentes de segurança.
§ 2º A gestão de riscos de segurança da informação deve ser realizada de forma sistemática e contínua e englobar todos os dados e informações mantidos pela FAPESP, com vistas a mitigar e tratar riscos relacionados à disponibilidade, integridade, confidencialidade e autenticidade.
§ 3º Será garantida a segurança física e patrimonial com objetivo de prevenir danos e interferências nas dependências da FAPESP que possam causar perda, roubo ou comprometimento de dados e informações.
Art. 9º É vedada a instalação, ativação e uso de softwares e/ou programas nos dispositivos e equipamentos de informática da FAPESP, que não tenham sido homologados e/ou adquiridos pela Gerência de Informática.
Art. 10. A utilização de softwares, programas de computador, sistemas e sítios eletrônicos é passível de monitoramento, auditoria e controle da FAPESP.
Parágrafo único. Os acessos de administração aos sistemas e ambientes computacionais da FAPESP estarão sujeitos a monitoramentos e controles de segurança adicionais e específicos.
Art. 11. É vedado aos empregados, colaboradores e terceirizados utilizarem os sistemas e recursos computacionais da FAPESP para acesso, guarda e divulgação de material incompatível com o desempenho de suas atividades dentro da Fundação, bem como materiais que violem direitos autorais, ou que infrinjam a legislação vigente.
Art. 12. O acesso remoto aos recursos computacionais deve ser realizado mediante adoção dos mecanismos de segurança definidos pela Gerência de Informática.
Art. 13. O uso de dispositivos móveis deve prezar pela guarda e uso seguro em locais públicos e/ou áreas desprotegidas, sempre observando as disposições desta Política, principalmente, quanto ao sigilo, criticidade e confidencialidade das informações e dados sob responsabilidade do empregado, colaborador ou terceirizado.
Art. 14. Os contratos, convênios ou outros instrumentos congêneres firmados pela FAPESP que envolvam acesso, uso e compartilhamento de dados e informações devem observar o disposto nesta Política.
Seção IV
Das Responsabilidades
Art. 15. As áreas e gerências da FAPESP devem atender esta Política de Segurança da Informação, observadas as suas atribuições.
Art. 16. Compete aos gerentes e demais gestores responsáveis por unidades da estrutura organizacional da Fundação:
I - identificar a necessidade de treinamento de seus subordinados quanto às normas de segurança da informação, reportando esta necessidade à Gerência de Informática ou à Comissão de Proteção de Dados da FAPESP;
II - indicar a necessidade de concessão/revogação de acesso a dados, informações, funcionalidades e sistemas de sua responsabilidade, de acordo com as atividades e atribuições da sua área; e
III - determinar o nível de acesso dos seus subordinados e terceiros diante das informações, funcionalidades e sistemas sob sua responsabilidade.
Art. 17. Os empregados, colaboradores e terceirizados são corresponsáveis pela segurança da informação na FAPESP e têm como deveres:
I - ter pleno conhecimento da Política de Segurança da Informação e zelar por seu cumprimento;
II - proteger as informações sigilosas e pessoais obtidas em decorrência do exercício de suas atividades;
III - reportar aos superiores, à Comissão de Proteção de Dados ou ao encarregado de dados, para a adoção das providências cabíveis, qualquer falha ou incidente de segurança da informação de que tiver conhecimento;
IV - utilizar os dados, informações, documentos e sistemas aos quais têm acesso ou que estejam sob sua responsabilidade de forma segura, em observância ao disposto nesta Política e em demais normas sobre o assunto;
V - zelar pelo correto uso dos mecanismos de identificação, autenticação e autorização fornecidos pela FAPESP; e
VI - zelar pela segurança, disponibilidade, integridade, autenticidade e confidencialidade de dados e informações sob seus cuidados.
Art. 18. Os colaboradores e terceirizados, subordinados à GI, deverão assinar um termo de confidencialidade, em que se comprometerão a não divulgar as informações restritas ou sigilosas de que venham a ter ciência em razão de seu trabalho.
Parágrafo único. Outras áreas e/ou gerências da FAPESP poderão solicitar a assinatura do termo de confidencialidade, conforme a criticidade e sensibilidade das informações e sistemas aos quais os seus colaboradores, porventura, tenham acesso.
Art. 19. A Gerência de Recursos Humanos deverá comunicar imediatamente à Gerência de Informática as movimentações, os afastamentos e os desligamentos de empregados, estagiários e jovens aprendizes da FAPESP, com vista à alteração e/ou exclusão nas permissões de acesso aos recursos e sistemas computacionais.
Art. 20. Os gestores ou os responsáveis pelos contratos deverão comunicar imediatamente à Gerência de Informática as ativações, as paralisações e os encerramentos contratuais que impliquem inclusão, alteração e exclusão nas permissões de acesso aos recursos e sistemas computacionais da FAPESP por terceiros.
Art. 21. São atribuições da Gerência de Informática, além daquelas previstas no art. 52 da Portaria PR n. 263, de 26 de maio de 2026:
I - prevenir acessos não autorizados a dados e informações da FAPESP;
II - assegurar a conformidade com regulamentos e leis de privacidade, proteção e confidencialidade vigentes no país;
III - respeitar direitos e garantias das partes interessadas, no que tange à privacidade e à confidencialidade;
IV - inventariar e classificar, em intervalos regulares, todos os recursos e sistemas computacionais da FAPESP, com identificação e ciência dos respectivos gestores, controladores e operadores, mapeando a frequência de realização de cópias de salvaguarda dos dados e possíveis vulnerabilidades e ameaças de segurança aos sistemas;
V - manter devidamente atualizado o inventário de hardware e software de propriedade da FAPESP;
VI - garantir a confiabilidade, integridade, segurança e disponibilidade dos recursos e sistemas computacionais da FAPESP, tomando todas as providências necessárias para que os sistemas de proteção sejam mantidos operacionais e atualizados;
VII - armazenar os dados e informações em meio eletrônico com observância da segurança física e lógica de acesso, bem como da segurança no armazenamento de dados, a partir de mecanismos de criptografia e controle de acesso;
VIII - garantir o cumprimento dos requisitos de segurança da informação, proteção de dados e controle de acesso durante o desenvolvimento interno ou externo e/ou nas aquisições de softwares;
IX - manter o processo de salvaguarda das informações e dos dados necessários para completa recuperação dos seus sistemas, a fim de atender a requisitos operacionais e legais, além de garantir a continuidade do negócio em caso de falhas ou incidentes, bem como providenciar a recuperação o mais rápido possível;
X - estabelecer procedimentos próprios para acompanhamento do andamento e dos resultados de mudanças, principalmente, em seus respectivos sistemas e infraestrutura tecnológica, além de garantir a preservação dos dados e informações quanto à disponibilidade, integridade, confidencialidade e autenticidade;
XI - estabelecer mecanismos de monitoramento dos recursos, sistemas e infraestrutura tecnológica da FAPESP, visando a manutenção dos controles implantados, a proteção dos dados e da identificação de eventos ou alertas de incidentes à segurança da informação;
XII - assessorar a administração da FAPESP em todas as questões relacionadas à segurança da informação;
XIII - propor alterações a esta Política, em conjunto com a Comissão de Proteção de Dados, e tomar providências a respeito de assuntos a ela relacionados, incluindo atividades de priorização de ações e gestão de riscos de segurança;
XIV - propor à administração da FAPESP estratégias para destinação de recursos orçamentários específicos para as ações de segurança da informação;
XV - propor normas internas relativas à segurança da informação, em conjunto com a Comissão de Proteção de Dados;
XVI - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação;
XVII - consolidar e analisar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação;
XVIII - analisar criticamente o andamento de ações de segurança da informação e a execução dos processos de trabalho, apresentando suas considerações à administração da FAPESP;
XIX - averiguar e demandar a execução de ações a empregados ou a áreas e gerências da FAPESP quanto à prevenção, tratamento e resposta a incidentes de segurança da informação urgentes, que serão formalmente comunicadas ao gestor posteriormente;
XX - coordenar as ações de tratamento e resposta a incidentes de segurança da informação em ambientes de tecnologia da informação e comunicação;
XXI - documentar evidências de conformidade e indicadores de qualidade de governança de dados e informações e de segurança da informação, a fim de promover ciclos de melhoria contínua; e
XXII - comunicar à direção da FAPESP a necessidade de notificação à Agência Nacional de Proteção de Dados acerca de eventual incidente de segurança capaz de acarretar risco ou dano relevante aos titulares.
Seção V
Das Disposições Finais
Art. 22. Esta Política deverá ser revisada periodicamente pela Comissão de Proteção de Dados da FAPESP em conjunto com a Gerência de Informática.
Parágrafo único. As propostas de revisão serão preliminarmente encaminhadas ao CTA para deliberação.
Art. 23. A inobservância da presente Política de Segurança da Informação será objeto de apuração e poderá implicar, isolada ou cumulativamente, responsabilidade cível, penal e administrativa, assegurada a observância, em qualquer caso, do devido processo legal.
Art. 24. Os casos omissos nesta Política serão decididos pelo Conselho Técnico-Administrativo.