Segurança da informação para cartórios: requisitos do Provimento 213/243
Segurança da informação, no contexto dos Provimentos CNJ nº 213/2026 e nº 243/2026, envolve proteger dados e atos, controlar acessos, preservar rastreabilidade e manter a continuidade do serviço. A análise precisa considerar a classe da serventia, os anexos e o ambiente real.
O que o Provimento 213 exige sobre segurança da informação?
O Provimento 213 exige políticas e controles que assegurem confidencialidade quando aplicável, integridade, disponibilidade, autenticidade e rastreabilidade dos atos e informações. Entre os controles expressamente tratados estão autenticação individualizada, proteção de dados, criptografia, trilhas de auditoria, gestão de incidentes e continuidade (arts. 3º, 5º, 7º, 9º, 10, 11 e 12).
O texto oficial não determina uma marca ou produto. Os Anexos estabelecem requisitos funcionais, admitindo solução equivalente ou superior quando demonstrada tecnicamente.
Por que segurança da informação faz parte da adequação?
Os serviços notariais e de registro dependem de sistemas, bases, integrações e acervos digitais. O art. 1º relaciona os padrões mínimos de TIC à segurança, integridade, disponibilidade e continuidade; o art. 4º determina a observância dos Anexos conforme as classes. Segurança, portanto, é um eixo da adequação tecnológica, junto com infraestrutura e organização.
A página de adequação aos Provimentos 213 e 243 organiza o projeto completo. Esta página concentra os controles de proteção e rastreabilidade.
Quais áreas de segurança precisam ser avaliadas?
A lista abaixo é uma organização editorial dos temas normativos, não uma reprodução literal de uma lista única do CNJ:
- identidade, perfis e controle de acesso;
- autenticação e MFA nos acessos previstos no art. 5º, § 2º;
- proteção de dados e criptografia em trânsito, em repouso e, quando aplicável, em backups;
- logs, trilhas de auditoria e retenção;
- gestão documentada de incidentes e vulnerabilidades;
- backup, continuidade, infraestrutura e redes.
Os controles devem ser avaliados de forma proporcional à classe e em conjunto com os Anexos I, II, III e IV.
Controle de acesso
O art. 5º exige mecanismos de autenticação individualizados e compatíveis com perfil, função e grau de risco. A finalidade é identificar o usuário, rastrear ações e permitir responsabilização individual. O uso de credenciais compartilhadas ou genéricas é vedado.
Para sistemas, bases ou funcionalidades críticas, a autenticação multifator é a regra. Fator único pode ser admitido para perfis de menor risco quando tecnicamente justificado. Consulte a explicação específica sobre MFA para cartórios.
Logs e auditoria
O art. 10 exige trilhas de auditoria capazes de identificar usuário, data, hora, minuto, segundo, natureza e resultado das operações realizadas nos sistemas de atos notariais e registrais. O Anexo II, item 3, trata de proteção contra alteração não autorizada, identificação inequívoca, sincronização de tempo e retenção mínima.
O Provimento admite soluções tecnológicas equivalentes e não impõe a compra de SIEM, Zabbix, Grafana ou qualquer fabricante. O que precisa ser demonstrado é a coleta, proteção, retenção e capacidade de auditoria dos registros.
Gestão de incidentes
O art. 11 exige procedimentos documentados para identificação, classificação por gravidade, contenção, erradicação, recuperação e registro das ocorrências. Também exige análise de causa raiz e registro das medidas corretivas. O Anexo II detalha resposta a incidentes, classificação e comunicação de incidentes críticos à Corregedoria nos prazos previstos no próprio Anexo.
Incidentes que possam acarretar risco ou dano relevante aos titulares também se relacionam às comunicações previstas na legislação de proteção de dados (art. 7º, § 3º).
Como avaliar a segurança de um cartório?
A metodologia técnica da GTINFORS organiza o diagnóstico nesta sequência: inventário → acessos → rede → servidores → endpoints → políticas → logs → backup → incidentes → evidências. Essa sequência é uma forma própria de trabalho; não é uma etapa oficial nem um checklist adicional do CNJ.
O levantamento pode começar pelo diagnóstico técnico e avançar para backup, continuidade e monitoramento. A implementação deve ser relacionada à classe da serventia e aos requisitos aplicáveis.
Próximos temas
Próximo passo
Precisa avaliar a situação da sua serventia?
Comece pelo diagnóstico do ambiente atual e organize os requisitos aplicáveis.