O DEFENSOR PÚBLICO-GERAL DO ESTADO, no exercício de suas atribuições legais, nos termos do art. 8º, da Lei Complementar Estadual nº 06/77, e do art. 100 da Lei Complementar nº 80/94,

CONSIDERANDO

- a crescente relevância da segurança da informação no cenário global e sua relação direta com a proteção de dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018);

- o dever da Defensoria Pública de assegurar a confidencialidade, a integridade e a disponibilidade das informações sob sua custódia, essenciais para o cumprimento de sua missão institucional;

- as diretrizes previstas na Política de Segurança da Informação (PSI) e em normativos relacionados;

- a necessidade de uma abordagem estruturada, colegiada e multidisciplinar para a governança de segurança da informação;

- a importância de fomentar uma cultura organizacional de segurança e proteção de dados em todos os níveis hierárquicos;

- o constante nos autos do processo E-20/001.003089/2025,

RESOLVE:

Art. 1°. Fica instituído o Comitê Gestor de Segurança da Informação (CGSI) da Defensoria Pública do Estado do Rio de Janeiro, órgão colegiado com natureza consultiva, propositiva e deliberativa, atuação permanente e caráter multidisciplinar.

Art. 2°. O Comitê Gestor de Segurança da Informação (CGSI) tem como objetivo estratégico a governança da segurança da informação, promovendo a gestão de riscos, a conformidade com normas legais e regulamentares e a implementação de práticas que assegurem a proteção dos ativos informacionais da Instituição.

Art. 3°. São finalidades do Comitê Gestor de Segurança da Informação (CGSI):

I - Assegurar que as políticas, normas e práticas de segurança da informação sejam aplicadas de forma efetiva;

II - Promover a integração da segurança da informação com o planejamento estratégico institucional, garantindo que as ações de segurança estejam alinhadas aos objetivos estratégicos da Defensoria Pública;

III - Disseminar a cultura de segurança da informação, incentivando boas práticas entre os usuários internos e externos.

Art. 4°. Compete ao Comitê Gestor de Segurança da Informação (CGSI), dentre outras atribuições definidas pelo(a) Defensor(a) Público(a)-Geral:

I - Definir e revisar periodicamente a Política de Segurança da Informação (PSI) e seus documentos complementares, remetendo-os para aprovação pelo Defensor(a) Público(a)-Geral;

II - Avaliar e gerenciar os riscos relacionados à segurança da informação, propondo e aprovando medidas de mitigação;

III - Analisar e deliberar sobre incidentes de segurança e planos de resposta a incidentes e recuperação de desastres;

IV - Desenvolver, manter e testar regularmente o Plano de Resposta a Incidentes (PRI) disciplinado pela Resolução DPGERJ nº 1142/2022, com definição de papéis, responsabilidades, fluxos de comunicação e procedimentos técnicos para casos de incidente de segurança, com foco na contenção, na erradicação e na recuperação;

V - Monitorar a eficácia dos controles de segurança implementados, por meio de auditorias e indicadores de desempenho;

VI - Propor investimentos e iniciativas relacionados à segurança da informação, considerando custo-benefício e prioridades institucionais;

VII - Elaborar e apresentar relatórios periódicos à Administração Superior, destacando riscos, vulnerabilidades, ações realizadas e indicadores-chave de desempenho, como:

a) Número de incidentes de segurança registrados;

b) Tempo médio de resposta a incidentes;

c) Percentual de servidores capacitados em segurança da informação;

d) Taxa de aderência às políticas de segurança;

VIII - Desenvolver e monitorar a execução de um plano anual de conscientização e educação contínua em segurança da informação, abrangendo treinamentos e campanhas sobre temas obrigatórios, tais como proteção de dados pessoais, boas práticas de uso de tecnologia e proteção contra engenharia social (armadilhas digitais);

IX - Definir a periodicidade e o escopo das auditorias de segurança da informação, bem como a entidade responsável por sua execução, garantindo a independência do processo de auditoria;

X - Elaborar propostas de normativas ou procedimentos para lidar com casos omissos relacionados à segurança da informação, submetendo-as à aprovação da Administração Superior do(a) Defensor(a) Público(a)-Geral;

XI - Elaborar estudos e pesquisas por solicitação do(a) Defensor(a) Público(a)-Geral quanto ao tema da segurança da informação, além de outras missões por ele/a determinadas;

XII - Propor a edição de eventuais atos normativos necessários à execução da PSI;

XIII - Notificar a Defensoria Pública-Geral quanto aos casos de violação da Política e das Normas de Segurança da Informação.

Art. 5°. O Comitê Gestor de Segurança da Informação (CGSI) será composto pelos seguintes membros:

I - Subdefensoria Pública-Geral de Gestão, que o presidirá;

II – Secretária(o) da Tecnologia da Informação e Comunicação;

III - Diretora(or) de Gestão da Informação;

IV - Coordenadora(or) de Redes;

V - Representante do Núcleo de Segurança da Informação;

VI - Diretora(or) de Governança Digital e Inovação;

VII - Representante da(o) Encarregada(o) de Proteção de Dados.

Parágrafo primeiro. Representantes de outras áreas poderão ser convidados para participar de reuniões específicas, sem direito a voto.

Parágrafo segundo. Servidores/as integrantes do Comitê poderão ser designados/as para as atividades de secretaria, apoio e assessoramento no desempenho das funções do CGSI.

Parágrafo terceiro. A participação no Comitê se dará sem prejuízo das atribuições ordinárias dos participantes e não ensejará o recebimento de remuneração de qualquer espécie.

Art. 6°. A(O) Secretária(o) da Tecnologia da Informação e Comunicação designará um Secretário Executivo, responsável pela organização e documentação das atividades do CGSI.

Art. 7°. O CGSI reunir-se-á:

I - Ordinariamente, com periodicidade semestral;

II - Extraordinariamente, por convocação da(o) Presidenta(e) ou de, pelo menos, 3 (três) de seus membros.

Parágrafo único. As reuniões do CGSI ocorrerão com a presença da maioria simples dos seus membros.

Art. 8°. As reuniões serão reservadas, mas deverão ser registradas em atas circunstanciadas, contendo as deliberações, justificativas concisas, ações propostas, prazos e responsáveis pela execução, devendo os documentos serem produzidos em meio eletrônico.

Art. 9°. As decisões do CGSI serão tomadas por maioria simples dos membros presentes e submetidas ao/à Defensor(a) Público(a)-Geral para decisão final.

Art. 10. Os membros do CGSI têm as seguintes responsabilidades:

I - Participar ativamente das reuniões, apresentando contribuições técnicas e estratégicas;

II - Manter a confidencialidade de todas as informações tratadas no âmbito do CGSI;

III - Cumprir rigorosamente as normas e deliberações do Comitê.

Art. 11. O CGSI deverá desenvolver e implementar um plano anual de conscientização em segurança da informação, incluindo:

I - Treinamentos obrigatórios para servidores, residentes, estagiários e prestadores de serviço, com periodicidade mínima anual;

II - Treinamentos facultativos para servidores, residentes, estagiários e prestadores de serviço;

III - Campanhas institucionais de sensibilização sobre os temas prioritários definidos pelo CGSI;

IV - Métricas para avaliação da eficácia das ações, como taxa de adesão aos treinamentos e impacto no número de incidentes reportados.

§1°. Novos servidores, residentes, estagiários e prestadores de serviço deverão realizar os treinamentos obrigatórios em até 60 (sessenta) dias após sua admissão.

§2°. Os treinamentos obrigatórios devem incluir, no mínimo, os seguintes temas: proteção de dados pessoais, segurança de senhas, navegação segura na internet, engenharia social (armadilhas digitais) e diretrizes para utilização de bancos de dados (Resolução DPGERJ nº 1235/23).

§3°. Os treinamentos poderão ser no formato online e deve ser possível aferir sua realização pelo aluno.

Art. 12. Os casos omissos serão deliberados pelo CGSI e submetidos à apreciação do(a) Defensor(a) Público(a)-Geral.

Art. 13. Esta Resolução entra em vigor na data de sua publicação, revogando-se a Resolução DPGERJ n° 1309 de 20 de dezembro de 2024.

Rio de Janeiro, 14 de agosto de 2025.

PAULO VINÍCIUS COZZOLINO ABRAHÃO

Defensor Público-Geral do Estado