Art. 22
Art. 22. Devem ser elaborados, publicados, implementados e revisados regularmente normas, procedimentos e orientações relacionados à segurança da informação, observados os normativos de segurança da informação editados pelo Gabinete de Segurança Institucional da Presidência da República, abordando, no mínimo, os seguintes aspectos: I - o uso aceitável dos ativos de informação; II - o treinamento e a capacitação em segurança da informação, observado o disposto no Plano de Desenvolvimento de Pessoas; III - as ações de conscientização em segurança da informação; IV - a gestão de ativos de informação; V - a gestão de mudanças em ativos de informação; VI - o controle de acesso lógico e físico aos ativos de informação; VII - a gestão de identidades e de contas privilegiadas; VIII - a gestão de vulnerabilidades; IX - as defesas contra códigos maliciosos; X - a realização e a proteção de cópias de segurança; XI - a gestão de incidentes de segurança da informação; XII - a gestão de continuidade de negócios; XIII - a gestão de riscos de segurança da informação; XIV - a classificação e o tratamento da informação; XV - os ambientes autorizados e a computação em nuvem; XVI - a criptografia e a gestão de chaves; XVII - os registros de auditoria e a sua retenção; XVIII - o desenvolvimento seguro e o ciclo de vida de sistemas; XIX - a gestão de terceiros e os requisitos de segurança nas contratações; XX - o descarte seguro de mídias e equipamentos; XXI - a auditoria e a verificação de conformidade; XXII - a medição e o fortalecimento da cultura de segurança da informação; e XXIII - a gestão de inventário de ativos de informação, ativos institucionais, soluções de software e dados.