A segurança da informação é um dos sete critérios gerais do OEA — obrigatório para qualquer modalidade. Ela vai além do firewall: trata do gerenciamento dos ativos de informação da empresa, físicos ou digitais, e de uma política que proteja a Tecnologia da Informação e os dados que ela processa. Veja o que a Receita avalia neste critério e quais são seus 13 requisitos.
O que o critério de segurança da informação avalia?
O critério avalia se o operador possui uma política de segurança que garanta a proteção da Tecnologia da Informação (TI) e dos dados armazenados em sistemas e dispositivos de TI. É um conceito amplo, que envolve o gerenciamento dos ativos de informação da empresa, sejam físicos ou digitais — e tem na cibersegurança um de seus aspectos centrais.
Vale distinguir três conceitos que o Programa trata de forma articulada:
- Segurança da informação — o conceito amplo, que gerencia os ativos de informação, físicos ou digitais.
- Segurança cibernética (cibersegurança) — aspecto responsável pela proteção dos ativos de informação no ciberespaço, tratando ameaças que podem colocar em risco a informação processada, armazenada e transportada pelos sistemas.
- Tecnologia da Informação (TI) — computadores, dispositivos de armazenamento, rede e outros dispositivos físicos, infraestrutura e processos usados para criar, processar, armazenar, proteger e trocar dados eletrônicos.
Fonte: Anexo II, item 5 da Portaria COANA nº 187/2026.
Quais são os 13 requisitos da segurança da informação?
O critério está subdividido em 13 requisitos, sendo 10 de cumprimento obrigatório e 3 recomendáveis.
| # | Requisito |
|---|---|
| 5.1 | Política de Segurança Cibernética |
| 5.2 | Revisão e Atualização da Política de Segurança Cibernética |
| 5.3 | Proteção contra Ameaças Cibernéticas |
| 5.4 | Compartilhamento de Informações sobre Ameaças Cibernéticas |
| 5.5 | Backup e Recuperação de Dados |
| 5.6 | Frequência e Criptografia de Backup |
| 5.7 | Teste de Segurança da Infraestrutura de TI |
| 5.8 | Restrição e Revisão de Acesso por Usuário aos Sistemas |
| 5.9 | Autenticação de Acesso de Usuário aos Sistemas |
| 5.10 | Acesso Remoto Seguro à Rede |
| 5.11 | Uso de Dispositivos Pessoais e Mídias de Armazenamento |
| 5.12 | Controle e Descarte Seguro de Ativos de TI |
| 5.13 | Prevenção do Uso de Produtos Tecnológicos Ilegais |
Fonte: Anexo II, item 5 da Portaria COANA nº 187/2026.
Como agrupar os requisitos na prática?
Os 13 requisitos podem ser lidos em quatro frentes de trabalho, o que ajuda a organizar a estruturação dos controles:
- Política e governança — ter uma política de segurança cibernética (5.1), revisá-la e atualizá-la (5.2), e prevenir o uso de produtos tecnológicos ilegais (5.13).
- Defesa e inteligência de ameaças — proteção contra ameaças cibernéticas (5.3) e compartilhamento de informações sobre essas ameaças (5.4).
- Continuidade e resiliência — backup e recuperação de dados (5.5), frequência e criptografia de backup (5.6) e teste de segurança da infraestrutura de TI (5.7).
- Controle de acesso e ativos — restrição e revisão de acesso (5.8), autenticação de usuários (5.9), acesso remoto seguro (5.10), uso de dispositivos pessoais e mídias (5.11) e controle e descarte seguro de ativos de TI (5.12).
Por ser um critério geral, a segurança da informação é exigida tanto na OEA-Conformidade quanto na OEA-Segurança. Estruturá-la bem é um dos passos que mais antecipa o trabalho de certificação, porque envolve política, processo e tecnologia ao mesmo tempo.
Conteúdo informativo. A certificação e a fruição dos benefícios dependem da análise da Receita Federal — e dos órgãos anuentes, quando aplicável — quanto ao cumprimento dos requisitos do Programa OEA.