Seu navegador não oferece leitura em voz alta. Você pode ler o guia normalmente.
A profissão em resumo
- O que faz
- Protege a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação do órgão (Decreto 9.637/18, art. 1º) e apoia as medidas de segurança exigidas pela LGPD (arts. 46 a 49).
- Formação exigida
- Não há lei de profissão; o edital costuma pedir graduação em área de TI e pode fixar exigência específica.
- Como se ingressa
- Concurso para analista de segurança, analista de TI com ênfase em segurança ou especialista, conforme o edital do órgão.
- Idade mínima
- O Decreto 9.637/18 e a LGPD não fixam idade mínima. Para cargo público federal civil, a Lei 8.112/90 exige 18 anos (art. 5º); em outros entes, vale a lei local e o edital.
- Idade máxima
- O Decreto 9.637/18 e a LGPD não preveem idade máxima. Em concurso civil, limite de idade só se admite se a lei do cargo o previr e a natureza das atribuições o justificar (Súmula 683 do STF); confira o edital.
- Atribuições
- Gestão de riscos (Decreto 9.637/18, art. 3º), segurança desde a concepção de sistemas (LGPD, art. 46, § 2º) e apoio à comunicação de incidentes (LGPD, art. 48); a lista oficial de atividades vem do edital.
- Com quem lida
- Servidores e contratados orientados sobre proteção de dados, o encarregado do órgão e, em incidentes, a autoridade nacional e os titulares dos dados (LGPD, arts. 41 e 48).
- Onde atua
- Órgãos da administração pública, em especial a federal, que segue a PNSI (Decreto 9.637/18), além de órgãos com política interna de segurança própria.
Idade e outros requisitos mudam por carreira e por edital. Entenda a regra geral em limite de idade em concurso e veja o mapa de carreiras com idade fixada em lei. O edital vigente prevalece.
Quem escolhe a carreira de segurança da informação no setor público encontra duas fontes de obrigação: a política nacional da administração federal, instituída pelo Decreto 9.637/18, e a LGPD (Lei 13.709/18), que impõe medidas de segurança a quem trata dados pessoais. Este guia mostra o que esses textos pedem do profissional e como transformar isso em preparação para edital.
A PNSI: política nacional da administração pública federal
O art. 1º do Decreto 9.637/18 institui a Política Nacional de Segurança da Informação (PNSI), no âmbito da administração pública federal, com a finalidade de assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação em âmbito nacional. Essas quatro propriedades são a base conceitual do cargo: tudo que o profissional faz protege uma ou mais delas.
O art. 2º diz que a segurança da informação abrange, entre outros pontos, a defesa cibernética, a segurança física e a proteção de dados organizacionais e as ações destinadas a assegurar aquelas quatro propriedades. O art. 3º lista princípios, como o respeito e a promoção dos direitos humanos e das garantias fundamentais (em especial a proteção de dados pessoais, a proteção da privacidade e o acesso à informação), a visão abrangente e sistêmica da segurança da informação, a educação como alicerce da cultura de segurança e a orientação à gestão de riscos. O art. 4º traz objetivos, como fomentar a formação e a qualificação dos recursos humanos necessários à área. O art. 5º aponta os instrumentos: a Estratégia Nacional de Segurança da Informação e os planos nacionais.
O texto disponível é uma versão compilada, com dispositivos alterados e revogados por decretos posteriores. Por isso, antes de decorar um artigo, confirme o dispositivo vigente.
A LGPD como segunda base
A Lei 13.709/18 coloca a segurança como dever dos agentes de tratamento:
- Art. 46: devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. Essas medidas devem ser observadas desde a fase de concepção do produto ou serviço até a sua execução (§ 2º).
- Art. 47: quem intervém em qualquer fase do tratamento obriga-se a garantir a segurança da informação, mesmo após o término.
- Art. 48: o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve conter, no mínimo, a descrição da natureza dos dados afetados, informações sobre os titulares, as medidas técnicas e de segurança utilizadas, os riscos, os motivos de eventual demora e as medidas adotadas para reverter ou mitigar.
- Art. 49: os sistemas utilizados para tratar dados pessoais devem ser estruturados de modo a atender requisitos de segurança, padrões de boas práticas e governança.
- Art. 41: o controlador indica um encarregado, cujas atividades incluem aceitar reclamações dos titulares, receber comunicações da autoridade nacional e orientar funcionários e contratados sobre as práticas de proteção.
Para entender o contexto no setor público, leia LGPD no poder público e controle de acesso e medidas de segurança no guia da ANPD.
Tabela: do texto da norma à tarefa do cargo
| Obrigação na norma | Tarefa típica do profissional |
|---|---|
| Disponibilidade, integridade, confidencialidade e autenticidade (PNSI, art. 1º) | classificar ativos, definir controles para cada propriedade |
| Gestão de riscos (PNSI, art. 3º) | levantar ameaças e vulnerabilidades, priorizar tratamento |
| Segurança desde a concepção (LGPD, art. 46, § 2º) | revisar projetos e sistemas antes de entrarem em produção |
| Comunicação de incidente (LGPD, art. 48) | registrar o incidente, reunir os elementos exigidos na comunicação |
| Orientação de funcionários (LGPD, art. 41, § 2º, III) | apoiar capacitações e campanhas de conscientização |
A coluna da direita é uma leitura didática. A descrição oficial das atividades do cargo vem do edital.
Exemplo de incidente
Um servidor perde um notebook com planilhas de dados pessoais de cidadãos. Passos de raciocínio com base na LGPD:
- Identificar quais dados estavam no equipamento e se havia criptografia.
- Avaliar se há risco ou dano relevante aos titulares.
- Se houver, preparar a comunicação à autoridade nacional e aos titulares, com os itens do art. 48, § 1º.
- Registrar as medidas de contenção e revisar o controle que falhou.
Veja os conceitos de criptografia e as ameaças digitais para completar o estudo técnico.
Como ler o edital
- O nome do cargo pode ser analista de segurança, analista de TI com ênfase em segurança ou especialista; o conteúdo programático mostra o foco.
- A formação costuma ser graduação em área de TI; confira se há exigência específica.
- Observe se o programa traz criptografia, redes, gestão de riscos e legislação (LGPD, política de segurança).
- Verifique se o edital cita normas do órgão, como política interna de segurança, que variam por instituição.
Erros comuns
- Tratar segurança como ferramenta, esquecendo gestão de riscos e processos.
- Decorar artigo do Decreto 9.637/18 sem checar as alterações posteriores.
- Confundir PNSI (administração federal) com normas distritais ou do órgão específico.
- Esquecer que a LGPD obriga a segurança mesmo após o término do tratamento.
Próximos passos
- Compare com carreiras de TI no serviço público.
- Estude LGPD: visão geral.
- Veja backup completo, incremental e diferencial.
Fontes e atualização
- Decreto 9.637/18, Política Nacional de Segurança da Informação
- Lei 13.709/18, Lei Geral de Proteção de Dados Pessoais
Conferido nas fontes acima na data de publicação deste guia. O decreto foi alterado; confira o texto vigente e o edital.