PORTARIA IPLANRIO Nº 04

DE 09 DE ABRIL DE 2001.

Dispõe sobre a Política de Segurança de
Informações da Prefeitura da cidade do Rio de
Janeiro.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do Decreto Municipal nº 19.379 de 01 de janeiro de 2001,
no que tange ao art. 7º;

RESOLVE:

REGULAMENTAR AS DIRETRIZES DA POLÍTICA DE SEGURANÇA DE
INFORMAÇÕES PARA TODOS OS SISTEMAS INFORMATIZADOS DA
PREFEITURA DA CIDADE DO RIO DE JANEIRO QUE OBEDECERÃO AS
NORMAS E CONTROLES DISPOSTOS NESTA PORTARIA.

CAPÍTULO I
DISPOSIÇÕES INICIAIS

Art. 1º A Política de Segurança de Informações, tem como objetivo reduzir riscos da
ocorrência

de

perdas

e

alterações

indevidas

nos

dados,

preservando

a

confidencialidade, a integridade e a disponibilidade das informações disponíveis nos
diferentes órgãos municipais, bem como objetiva assegurar a continuidade das
atividades, evitando acesso e utilização indevidos e aplica-se a todos os órgãos
integrantes deste município, a teor do art. 7º do Decreto nº 19.379 de 01 de janeiro de
2001.
Art. 2º A Câmara Técnica em Segurança de Informações, criada conforme art. 3º § 1º do
Decreto nº 19.379/2001 e regulamentada pela Portaria IPLANRIO nº 02 de 30 de janeiro
de 2001, proporá as regras básicas e os controles de segurança ao Órgão Gestor do
Sistema Municipal de Informática a fim de estabelecer um nível aceitável de proteção
das informações.


CAPÍTULO II
DOS PRINCÍPIOS DA SEGURANÇA

Art. 3º Com relação ao tratamento de informações:
I - as informações são de propriedade do Município, e como tal, devem ser tomadas as
medidas necessárias para protegê-las de alteração, destruição ou divulgação não
autorizadas, quer seja acidental ou intencional.
II - toda informação deve ter um gestor que definirá a sua classificação, a autorização de
acessos e o cancelamento dos mesmos. A Área de Informática de cada Órgão e a Área
de Auditoria proverão o suporte necessário aos gestores para a definição da
classificação das informações.
III - as informações devem ser classificadas, quanto a confidencialidade, integridade e
disponibilidade, e identificadas de forma a serem adequadamente acessadas,
manipuladas, armazenadas, transportadas e descartadas.
IV - servidores públicos e prestadores de serviço, devem garantir o sigilo das
informações a que tiverem acesso, tomando o cuidado necessário quanto a sua
divulgação interna e externamente, avaliando-se o seu respectivo nível estratégico. Esta
ação deve ser formalizada através da assinatura de um Termo de Sigilo e
Confidencialidade no ato da sua respectiva contratação.
V - todos os processamentos executados nos Sistemas de Informação da P.C.R.J.
deverão ter suas responsabilidades conhecidas e distribuídas de forma a não serem
concentrados em um mesmo grupo ou pessoas.
Art. 4º No que diz respeito ao controle de acesso:
I - todo servidor público ou pessoa autorizada deve ter uma identificação única, pessoal
e intransferível, qualificando-o como responsável por qualquer atividade desenvolvida
através dela.
II - a concessão de autorização de acesso deverá ser restrita aos recursos mínimos
necessários para que os usuários desenvolvam suas atividades.
III - prestadores de Serviço devem possuir acesso com prazo limitado à execução de
suas atividades.
Art. 5º Constituem faltas graves:
I - mau uso da informação, pertencente ao Município, e de seus recursos de
processamento, ou o não cumprimento de normas que visem protegê-los, constitui falta
grave, e tem suas sanções previstas no Código Penal Brasileiro (Decreto-Lei nº


2.848/40), com as alterações que lhe deu a Lei Federal nº 9.983, de 14.07.2000, sem
prejuízo das sanções administrativas aplicáveis ao caso concreto, previstas na Lei
Municipal nº 94, de 14.03.1979 (Estatuto dos Funcionários Municipais).
II - mau uso da identificação pessoal, por parte do servidor público ou qualquer outro,
constitui falta prevista no Código Penal Brasileiro (Decreto-Lei nº 2.848/40), com as
alterações que lhe deu a Lei Federal nº 9.983, de 14.07.2000, sem prejuízo das sanções
administrativas aplicáveis ao caso concreto, e na Lei Municipal nº 94, de 14.03.1979
(Estatuto dos Funcionários Municipais), e tem ali estabelecida suas sanções.
Art. 6º Quanto à capacitação:
I - os servidores públicos e prestadores de serviço deverão possuir conhecimento
mínimo para a execução de suas tarefas, conhecer a Política de Segurança de
Informações da Prefeitura, e serem devidamente treinados para o uso da rede e controle
dos recursos de informática, antes de terem acesso aos mesmos.
II - a divulgação da Política de Segurança de Informações e a disseminação da cultura
de segurança serão feitas pelo Órgão Gestor do Sistema Municipal de Informática,
gerentes e coordenadores das áreas de informática.
III - treinamento em segurança será feito pelo Órgão Gestor do Sistema Municipal de
Informática e pelos coordenadores das áreas de informática dos Órgãos. Campanhas de
segurança deverão ser realizadas periodicamente.
Art. 7º Quanto à estabilidade do ambiente:
I - a disponibilização de recursos de informática somente será permitida após
atendimento às recomendações desta Política e homologação pela área de Informática e
a autorização do responsável pelos respectivos recursos. Estes recursos deverão ser
identificados de forma individual, inventariados, preservados, protegidos contra acessos
indevidos, ser submetidos a manutenção preventiva periódica, estar com documentação
atualizada e aprovada pelo Setor responsável pela Produção, e de acordo com as
cláusulas contratuais pactuadas com fornecedores e com a legislação em vigor.
II - os recursos de informática compartilhados deverão ser usados de forma que outros
usuários não sejam afetados, e desde que previamente pactuado.
III - os recursos portáteis, por suas características, devem ser configurados,
acondicionados e transportados atendendo às regras de segurança. O usuário do
recurso portátil obriga-se à assinatura de termo de custódia, que determina os direitos e
deveres quanto à utilização, posse e guarda do recurso e das informações nele
armazenadas.


IV - a entrada e saída de qualquer recurso de informática da P.C.R.J. devem ser
documentadas e aprovadas pelo responsável da área de informática.
V - os equipamentos de terceiros ou alugados deverão ser inventariados, de forma a
serem identificados como tal pela sua numeração de inventário, e o seu uso deverá
estar em conformidade com o disposto na Política de Segurança de Informações. A
retirada destes equipamentos deverá ser realizada em conformidade com os
procedimentos internos.
VI - os microcomputadores deverão possuir proteção dos seus componentes internos.
VII - os sistemas devem ser testados em ambiente adequado e segregado antes de
passarem ao estágio de produção.
VIII - todos os recursos de informática deverão obedecer aos padrões definidos
internamente.
IX - deverá sempre haver rodízio nas equipes ou pessoas no desempenho de atividades
críticas.
Art. 8º Os recursos considerados críticos à atividade fim devem estar resguardados por
um plano de contingência que garanta a continuidade dos serviços, previna e solucione
situações de anormalidade. O referido plano deve ser documentado e, periodicamente,
testado e revisado, evitando a indisponibilidade e, conseqüentemente, impacto à
atividade.

CAPÍTULO III
DAS RESPONSABILIDADES

Art. 9º Caberá ao Responsável Imediato:
I - garantir a segurança das informações armazenadas nos equipamentos de sua área.
II - solicitar a disponibilização de correio eletrônico para os servidores de sua área.
III - informar as necessidades de acesso e uso dos recursos ao gestor, bem como de
exclusão de acesso dos usuários de sua área.
Art. 10 . Caberá ao Responsável pela Área de Informática:
I - estabelecer condições para uma eficiente, segura e controlada execução de
aplicações e armazenamento de informações sob sua custódia.
II - analisar e homologar os treinamentos necessários para a correta e eficiente
utilização dos recursos informatizados.
III - autorizar o uso de equipamentos de informática, bem como a conexão de


IV - equipamento particular nas redes internas.
V - solicitar a aquisição e homologar equipamentos e aplicativos utilizados pela P.C.R.J.
VI - instalar aplicativos e sistemas adquiridos ou desenvolvidos pela P.C.R.J. e
configurar as estações de trabalho.
VII - realizar atualizações tecnológicas e manutenção do ambiente informatizado.
VIII - autorizar a entrada e saída de recursos de sua área ou sob sua custódia, ou
delegar essa autoridade a outro servidor.
IX - definir os administradores de sistemas dos ambientes computacionais, e os
substitutos destes, que deverão estar devidamente capacitados.
X - manter a documentação do ambiente informatizado atualizada, bem como dos
sistemas e aplicativos desenvolvidos, antes de serem colocados em produção.
XI - garantir a integridade e disponibilidade das informações e dos recursos do ambiente
informatizado, segundo os controles estabelecidos pelo gestor, Órgão Gestor do
Sistema Municipal de Informática e auditoria de sistemas.
XII - definir os procedimentos de contingência em caso de contaminação do ambiente
por vírus.
XIII - efetuar backup e guarda das informações e dos códigos-fonte dos sistemas
colocados em produção, bem como autorizar a restauração das cópias de segurança.
XIV - atualizar os sistemas operacionais com as atualizações desenvolvidas pelos
fornecedores no menor prazo possível e seguindo suas recomendações.
XV - avaliar as atualizações desenvolvidas pelos fornecedores de software.
XVI - implementar soluções de segurança no ambiente informatizado.
Art. 11. Caberá ao Agente de Patrimônio:
Parágrafo único. Inventariar e controlar recursos sob sua responsabilidade.
Art. 12. Caberá ao Gestor da Informação:
I - determinar os níveis de acesso que os usuários deverão ter às informações através
de aplicativos e sistemas, solicitar formalmente estes acessos à área de informática e
promover o cancelamento dos mesmos.
II - definir e classificar as informações sob sua gestão em níveis.
III - homologar, testar e autorizar a passagem para a produção de sistemas e aplicativos
desenvolvidos.
Art. 13. Caberá à Câmara Técnica em Segurança de Informações:
I - realizar revisão da Política de Segurança de Informações.


II - orientar na definição de soluções de segurança das informações para os Órgãos da
Administração Direta ou Indireta da P.C.R.J.
III - avaliar o impacto na segurança das novas tecnologias.
Art. 14. Caberá a Auditoria de Sistemas:
I - verificar o cumprimento da Política de Segurança de Informações.

CAPÍTULO IV
DAS DISPOSIÇÕES FINAIS

Art. 15. Cuidar da segurança e da integridade dos recursos do Município é
responsabilidade de todos.
Art. 16. É responsabilidade de todo servidor público e dos prestadores de serviço deste
Município observar desvios dos procedimentos estabelecidos, e informar esses desvios
ao responsável imediato.
Art. 17. As diretrizes da Política de Segurança de Informações serão auditadas,
periodicamente, pela Controladoria Geral do Município.
Art. 18. Estas diretrizes deverão ser revisadas e atualizadas pelo Órgão Gestor do
Sistema Municipal de Informática, à medida que se agreguem novos valores às
atividades da P.C.R.J., ou dentro do intervalo de 1 (um) ano.
Art. 19. Constituem partes integrantes desta portaria os Anexos I, II e III.
Art. 20. Esta Portaria entrará em vigor na da data de sua publicação.

D.O RIO de 10.04.2001

ANEXO I

NORMAS GERAIS PARA USUÁRIOS

APRESENTAÇÃO

As normas gerais para usuários são um conjunto de regras que determinam a conduta
adequada dos servidores públicos e prestadores de serviço, em relação à informação e
aos recursos que as suportam, a fim de promover a segurança de informações.


1. Disposições Iniciais
1.1. Estas normas servem como base para a definição de procedimentos, que deverão
ser desenvolvidos pelos responsáveis por cada processo.
1.2. As normas destinam-se a todos os usuários que tenham acesso às informações da
P.C.R.J. incluindo técnicos e gestores de informações.

2. Documentos de Referência
2.1. Anexos II e III – Normas Gerais Técnicas e Manual de Organização e Conceitos.
2.2. Decretos nº 19.379 e nº 19.410 de 01 de janeiro de 2001.

3. Tratamento da Informação
3.1. Os recursos da informação não públicos deverão somente ser utilizados por
pessoas devidamente autorizadas, sendo o seu uso limitado aos interesses da P.C.R.J.
e para os fins previstos.
3.2. Todos deverão ter conhecimento dos conceitos de segurança de informações.
3.3. Deve ser mantido sigilo sobre as informações consideradas estratégicas e
confidenciais, e mantido informado o responsável imediato quando informações ou
aplicações críticas forem encontradas sem tratamento de segurança correto.
3.4. As informações confidenciais ou críticas à atividade da P.C.R.J. devem ser
armazenadas de forma protegida.
3.5. Deve sempre ter sua sessão de trabalho encerrada e desligados os equipamentos
ao final do expediente. Proteção de tela com senha deverá sempre ser ativada quando o
usuário se ausentar de sua estação de trabalho, quando aplicável.
3.6. Cuidar da integridade e bom funcionamento dos recursos da informação do
Município é uma responsabilidade de todos.
3.7. Qualquer recurso poderá ser compartilhado entre estações de trabalho, desde que
seja para a execução de atividades necessárias, utilize senha e seja feito sob a
orientação da área de informática.
3.8. É vedada a utilização de recursos de informação não autorizados ou não
homologados pela área de informática, cabendo a aplicação de punição prevista no
Código Penal Brasileiro (Decreto-Lei nº 2.848/40), com as alterações que lhe deu a Lei
Federal nº 9.983, de 14.07.2000 e na Lei Municipal nº 94, de 14.03.1979 (Estatuto dos
Funcionários Municipais).


3.9. Os sistemas e banco de dados somente poderão ser acessados a partir de estações
configuradas pela área de informática responsável.

4. Software
4.1. É terminantemente proibida a utilização de cópias de programas não licenciados, ou
qualquer software não autorizado e homologado pela área de informática, nos
equipamentos de informática do Município. A Área de Informática local será
responsabilizada pela existência deste tipo de software.
4.2. É proibida a cessão, sem autorização formal do responsável da área de informática,
de cópia de software adquirido ou desenvolvido pela P.C.R.J. para benefício próprio ou
de terceiros.
4.3. A cópia de softwares adquiridos ou desenvolvidos pela P.C.R.J., para utilização fora
do ambiente da P.C.R.J. somente poderá ser realizada após concessão formal pelo
Órgão Gestor do Sistema Municipal de Informática.

5. Hardware
5.1. A utilização de equipamentos é restrita àqueles autorizados pela área de
informática.
5.2. A conexão de equipamentos particulares nas redes internas deverá ser autorizada
pelo responsável da área de informática. Estes equipamentos deverão seguir os padrões
de segurança previamente definidos.
5.3. Os microcomputadores deverão possuir lacres de segurança e a abertura de seus
gabinetes só poderá ser efetuada por pessoal da área de informática.

6. Internet
6.1. A Internet e Intranet são consideradas aplicações críticas e devem ser garantidas as
medidas de segurança para a sua utilização.
6.2. Não são permitidos os acessos a sites em desconformidade com os interesses da
P.C.R.J.
6.3. A Internet só poderá ser disponibilizada através de firewall administrado pelo Órgão
Gestor do Sistema Municipal de Informática.


7. Correio Eletrônico
7.1. As mensagens enviadas através da identificação de correio eletrônico do usuário
são de sua responsabilidade. A sessão do usuário de correio eletrônico deverá ser
programada para ser suspensa após 5 (cinco) minutos de inatividade.
7.2. A utilização do correio eletrônico deve ser realizada em conformidade com os
interesses da P.C.R.J.
7.3. O usuário deverá sempre remover as mensagens obsoletas e não mais necessárias
às suas atividades.
7.4. O software utilizado deverá ser sempre o homologado pelo Órgão Gestor do
Sistema Municipal de Informática.

8. Backup
8.1. O backup das informações armazenadas localmente, nas estações, será de
responsabilidade do usuário. Neste caso, o usuário deverá:
• Efetuar 2 (duas) cópias de segurança;
• Manter as cópias em ambientes diferentes, seguros, do próprio Órgão ou que tenha
sido autorizado pelo gestor da informação para esse fim;
• Realizar testes de integridade e restauração das informações copiadas; e,
• Implementar controle de acesso com senha, caso se tratar de informações sensíveis.
8.2. O usuário deverá solicitar à área de informática a restauração da cópia de
segurança das informações armazenadas nos servidores, que, em caso de tratar-se de
informações críticas, deverá ser autorizada pelo Gestor da informação.

9. Controle de Acesso
9.1. Os atos e acessos do usuário às informações e aos sistemas deverão ser realizados
através de sua matrícula, conforme Decreto “N” nº 15.834/97, e senha, únicos e não
compartilhados. Diante a suspeita de perda de sigilo de sua senha, o usuário deverá
efetuar a troca da mesma e informar à área de informática e ao chefe imediato.
9.2. O tamanho mínimo da senha será de 6 (seis) caracteres alfanuméricos e, no
primeiro acesso após a habilitação, o usuário terá, obrigatoriamente, que informar uma
nova senha.
9.3. É proibido a adoção de senhas frágeis pelos usuários, tais como nomes próprios,
palavras de vocabulário, siglas, nomes de fabricantes, datas comemorativas, dentre
outras.


9.4. As senhas terão validade de 45 (quarenta e cinco) dias e sua troca será solicitada
automaticamente. No entanto, o usuário deverá alterá-la sempre que achar necessário.
Não poderão ser usadas senhas repetidas dentro de um período de 5 (cinco) trocas.
9.5. O usuário terá direito a 5 (cinco) tentativas de autenticação de senha. Na quinta
tentativa errada, o usuário terá seu acesso suspenso a este ambiente até que solicite a
sua liberação ao gestor e/ou à área de informática local.
9.6. Considera-se fraude a tentativa, por um usuário não autorizado, de quebrar a
segurança do sistema ou descobrir a senha de outros usuários, e será aplicada punição
prevista no Código Penal Brasileiro (Decreto-Lei nº 2.848/40), com as alterações que lhe
deu a Lei Federal nº 9.983, de 14.07.2000 e na Lei Municipal nº 94, de 14.03.1979
(Estatuto dos Funcionários Municipais).
9.7. Os usuários terão direito apenas aos privilégios necessários para o desempenho de
suas atividades, os quais deverão ser solicitados pelos gestores da informação ou
responsáveis imediatos.
9.8. Terceiros, ou prestadores de serviços, deverão ter identificação com prazo de
validade temporário, de acordo com o projeto ou contrato estabelecido.

10. Descarte de Informações
10.1. Os arquivos e informações que não sejam mais necessários deverão ser
removidos do ambiente operacional.
10.2. Informações críticas ou confidenciais deverão ser descartadas com a destruição
irrecuperável da mesma.

11. Padronização
11.1. É proibido alterar a configuração da estação de trabalho sem autorização da área
de informática. Os usuários devem respeitar os padrões de hardware e software
implementados.
11.2. Somente o responsável pela área de informática, ou alguém designado por ele,
poderá realizar atualizações tecnológicas no ambiente informatizado.

12. Combate a vírus
12.1. As estações de trabalho deverão, obrigatoriamente, ter o antivírus padrão
instalado, configurado, ativado e atualizado.


12.2. O usuário deverá informar imediatamente à área de informática e ao responsável
imediato em caso de ocorrência de vírus.

13. Atendimento ao Usuário
13.1. O usuário deverá acompanhar os técnicos de informática quando ocorrer a
manutenção corretiva nos equipamentos sob sua responsabilidade ou nas suas
estações de trabalho.
13.2. A prioridade de atendimento será concedida aos equipamentos e aplicações
críticas às atividades da P.C.R.J.

14. Segurança Física
14.1. A entrada e saída de pessoas não pertencentes aos ambientes críticos deverão
ser registradas.
14.2. A sala de servidores, ou CPD, tem o acesso restrito aos seus administradores ou
pessoas autorizadas e acompanhadas por eles.
14.3. É proibido alimentar-se e fumar próximo aos equipamentos de informática.

15. Disposições Finais
15.1. Cabe à Câmara Técnica em Segurança de Informações rever permanentemente
este documento e ao Órgão Gestor do Sistema Municipal de Informática aprová-lo.
15.2. A vigência deste documento será imediatamente após a publicação no diário
oficial.
15.3. O prazo máximo para revisão deste documento é de 1 (um) ano a contar da sua
publicação.

ANEXO II

NORMAS GERAIS TÉCNICAS

APRESENTAÇÃO

As normas gerais técnicas são um conjunto de condições mínimas para atender às
necessidades de segurança de informações, devendo ser cumpridas por todos os
técnicos de informática e responsáveis pelos ambientes informatizados da P.C.R.J.


1. Disposições Iniciais
1.1. Estas normas servem como base para a definição de procedimentos para cada
ambiente informatizado, que deverão ser desenvolvidos pelos responsáveis por cada
processo e pelas áreas de informática.

2. Documentos de Referência
2.1. Anexos I e III – Normas Gerais para Usuários e Manual de Organização e
Conceitos.
2.2. Decreto nº 15.834/97.

3.Controle de Acesso
3.1. Chaves e Senhas
3.1.1. Os administradores de sistemas devem ter duas chaves distintas: uma para uso
normal e outra com direitos especiais para as tarefas de administração, que deverá
somente ser utilizada para este fim.
3.1.2. O acesso à informação deverá ser liberado após a autorização formal do Gestor
da Informação. Haverá, no mínimo, os controles de:
• Códigos de identificação (chaves) e senha;
• Perfil de acesso; e,
• Auditoria.
3.1.3. Os ambientes computacionais serão configurados para que o usuário tenha direito
a 5 (cinco) tentativas de autenticação de senha. Na quinta tentativa errada, o usuário
terá seu acesso suspenso a este ambiente até que solicite a sua liberação.
3.1.4. Em todos acesso os ambientes computacionais, a configuração do tamanho
mínimo da senha será de 6 (seis) caracteres alfanuméricos e, no primeiro acesso após a
habilitação, o usuário terá, obrigatoriamente, que informar uma nova senha.
3.1.5. As senhas terão validade de 45 (quarenta e cinco) dias e sua troca será solicitada
automaticamente. No entanto, o usuário deverá ter a possibilidade de alterá-la sempre
que achar necessário. Não poderão ser usadas senhas repetidas dentro de um período
de 5 (cinco) trocas.
3.1.6. Os sistemas devem, quando possível, ser configurados visando a impossibilidade
de um mesmo usuário ter mais de um acesso simultâneo.


3.1.7. Em todos os ambientes computacionais, a formação da chave de acesso será a
matrícula estabelecida conforme Decreto “N” nº 15.834/97.
3.1.8. As senhas deverão ser armazenadas sempre com criptografia.
3.1.9. Poderá haver a criação de usuário sem senha, somente para o compartilhamento
de recursos e informações públicas, tais como impressora e área de disco de uso
comum.
3.1.10. Os sistemas aplicativos, que não sejam classificados como informação pública,
deverão possuir mecanismos para evitar a adoção de senhas frágeis pelos usuários,
como siglas do município, nome de fabricantes, datas comemorativas, dentre outras.
3.1.11. Deverá ser permitido que o Gestor, ou pessoa por ele autorizada, reinicialize
senhas para usuários que as tenham perdido.
3.1.12. O sistema deve automaticamente suspender o código de identificação não
utilizado por um período de 90 (noventa) dias.
3.1.13. Deve ser permitido aos Gestores listarem a relação dos códigos de identificação,
incluindo nome e status do código (ativo ou não), bem como informações sobre o seu
perfil de acesso.

3.2. Proteção das Informações
3.2.1. O cancelamento de acesso, pela área de informática, somente poderá ser
efetuado mediante a autorização formal do responsável pela sua solicitação, ou pelo seu
substituto.
3.2.2. O congelamento do acesso poderá ser efetuado diretamente pelo administrador
do recurso, desde que seja realizado em situação crítica, e que seja relatado logo após a
intervenção.
3.2.3. Todo acesso deve possuir desconexão automática (TIMEOUT) após período de
inatividade, que não deverá ser superior a 30 (trinta) minutos. As exceções deverão ser
justificadas e documentadas, para aprovação pelo Órgão Gestor do Sistema Municipal
de Informática.

3.3. Acesso Remoto
3.3.1. Todos os equipamentos com canal de comunicação externo são considerados
críticos.
3.3.2. O acesso remoto deve ser controlado e registrado. Toda comunicação externa
deverá passar, obrigatoriamente, por um ponto de controle, com características e forma


de operação definidas pelo Órgão Gestor do Sistema Municipal de Informática e firewall
administrado pelo mesmo.
3.3.3. Qualquer aplicação remota e transmissão de dados somente poderão ser
disponibilizadas após análise do Órgão Gestor do Sistema Municipal de Informática.

4. Manutenção e Administração do Ambiente

4.1. Administração
4.1.1. Deve haver substitutos capacitados para todos os administradores de sistemas
dos ambientes computacionais.
4.1.2. Os sistemas operacionais deverão sofrer as atualizações desenvolvidas pelos
fornecedores. A área de suporte será responsável pela implantação destas atualizações
no menor prazo possível , seguindo as recomendações dos fornecedores.
4.1.3. A documentação lógica e física da rede deve ser elaborada e mantida sempre
atualizada. A revisão da documentação será automática, sempre que houver alguma
alteração, e imediatamente disponibilizada ao Órgão Gestor do Sistema Municipal de
Informática.
4.1.4. Deverá haver a avaliação do impacto na segurança pela Câmara Técnica em
Segurança de Informações antes de se adotar novas tecnologias. Após a
implementação, a Câmara Técnica fará a revisão da Política de Segurança de
Informações e irá requisitar ao responsável pelo recurso o desenvolvimento ou alteração
nos procedimentos e instruções.
4.1.5. A administração da rede e sistemas deverão ser realizadas por ferramentas
previamente homologadas pelo Órgão Gestor do Sistema Municipal de Informática.
4.1.6. Os equipamentos críticos, tais como servidores e roteadores dentre outros, devem
ser instalados em ambiente seguro e controlado.
4.1.7. Os acessos via Internet serão disponibilizados pelo responsável pela área de
informática.
4.1.8. O administrador do correio eletrônico será o responsável pelo cadastramento e
descadastramento dos usuários no correio eletrônico interno.
4.1.9. A sessão do usuário do correio eletrônico deverá ser suspensa após 5 (cinco)
minutos de inatividade.


4.2. Backup
4.2.1. Todo backup de informações sigilosas deverá possuir senha de acesso, sendo o
acesso físico a qualquer backup restrito e controlado.
4.2.2. O backup dos servidores deverá ser realizado dentro de uma periodicidade
mínima de 1 (uma) semana.
4.2.3. A periodicidade e tempo de retenção das informações deverão obedecer à
legislação vigente.
4.2.4. As mídias de backup devem ser descartadas de forma a obedecer a classificação
das informações nelas contidas e de acordo com os parâmetros especificados pelo seu
fabricante.
4.2.5. O teste de restauração e integridade do backup deverá possuir periodicidade
máxima de 180 (cento e oitenta) dias.
4.2.6. As cópias de segurança, deverão ser guardadas em local com controle de acesso
e fora do prédio no qual foram geradas, ou se encontra a fonte principal da informação.

4.3. Auditoria
4.3.1. Todos os acessos aos aplicativos deverão possuir registro de auditoria, com o
início e fim de acesso, o código de identificação, a data e o tipo de alteração realizada.
Os sistemas operacionais deverão fazer os mesmos registros, quando possível.
4.3.2. Os registros de ambientes críticos deverão ser auditados com periodicidade
definida pela Auditoria de Sistemas.
4.3.3. Todo sistema que envolva contabilização de recursos financeiros da P.C.R.J.
deverá armazenar nele próprio e emitir em relatório mensal a ser enviado à Auditoria
Geral da Controladoria Geral do Município, todas as alterações feitas em dados que
influenciem os cálculos de valores envolvidos na redução de receita ou aumento de
despesa com indicação de data, hora e agente público responsável pelas alterações.

4.4. Combate a Vírus
4.4.1. Deverá ser utilizado versão corporativa do software antivírus padrão nos
servidores e estações de trabalho, estando ela atualizada e devendo ter forma de
instalação e configuração indicadas pelas áreas de atendimento e suporte do Órgão
Gestor do Sistema Municipal de Informática.


4.4.2. Em caso de contaminação por vírus, deverá haver comunicação imediata ao
Órgão Gestor do Sistema Municipal de Informática. O responsável pelos procedimentos
de contingência será a área de informática do local.

4.5. Recursos
4.5.1. Toda a instalação de recursos deverá seguir controle de segurança física.
4.5.2. Recursos somente deverão ser disponibilizados à produção após testes em
ambiente segregado e controlado. Os recursos tem que estar devidamente
documentados e com esta documentação aprovada pelo setor responsável pela
produção.
4.5.3. Os responsáveis da área de informática deverão homologar todos os recursos
informatizados utilizados pela P.C.R.J. Nos casos de software aplicativo, a autorização
final será dada pelo gestor da informação.
4.5.4. Todo software sensível e aplicações críticas devem ser instalados, ou
disponibilizados, de modo que o usuário não possa alterar as suas configurações.
4.5.5. Os testes devem ser efetuados usando dados fictícios. Testes paralelos, com
dados de produção, ou de aceitação devem ser considerados trabalho de produção, e,
portanto, devem ser efetuados pelo setor responsável pela produção.
4.5.6. Somente o setor responsável pela produção pode acessar dados de produção,
salvo com autorização do gestor da informação ou do responsável pelo setor de
produção.
4.5.7. As estações de trabalho deverão ser protegidos com lacre nos gabinetes.
4.5.8. Deverão ser criadas rotinas de manutenção preventiva nos equipamentos.
4.5.9. Deve ser mantida atualizada uma lista dos softwares utilizados no ambiente sob
responsabilidade da área de informática.
4.5.10. Os diretórios das aplicações de produção deverão ter controle de acesso
mantido pelo setor responsável pela produção e descritos na documentação do sistema.
4.5.11. Deverá haver senhas de acesso à todas aplicações críticas.
4.5.12. Deve-se evitar a extração de dados de um sistema para alimentar outro. Esta
ação só será permitida após análise e aprovação das áreas de administração de Dados
e Produção do Órgão Gestor do Sistema Municipal de Informática.


4.6. Plano de Contingência
4.6.1. Deverá ser elaborado plano de contingência para os recursos informatizados
considerados críticos, de forma a garantir a continuidade das atividades da P.C.R.J. em
casos de sinistro ou acidente.
4.6.2. Deverá haver rotina de teste e reavaliação do plano de contingência com
periodicidade máxima de 1 (um) ano.

4.7. Desenvolvimento e Documentação de Sistemas
4.7.1. Os sistemas aplicativos devem ser baseados na metodologia de desenvolvimento
adotada pelo Órgão Gestor do Sistema Municipal de Informática e nos modelos de
dados definidos pela Administração de Dados.
4.7.2. Os sistemas aplicativos desenvolvidos para a P.C.R.J. são de sua propriedade e
só poderão ser cedidos a terceiros com prévia autorização do gestor e do Órgão Gestor
do Sistema Municipal de Informática.
4.7.3. A documentação dos sistemas e aplicativos desenvolvidos deverá ser elaborada
pela que o desenvolveu observando as normas estabelecidas pelo Órgão Gestor do
Sistema Municipal de Informática.
4.7.4. Dados de um Sistema devem ser processados pelo próprio Sistema. Deve-se
buscar a integração e não a criação de interfaces dos Sistemas com o apoio das áreas
de Administração de Dados do Órgão Gestor do Sistema Municipal de Informática.

5. Disposições Finais
5.1. Cabe à Câmara Técnica em Segurança de Informações rever permanentemente
este documento e ao Órgão Gestor do Sistema Municipal de Informática aprová-lo.
5.2. A vigência deste documento será imediatamente após a publicação no diário oficial.
5.3. O prazo máximo para revisão deste documento é de 1 (um) ano a contar da sua
publicação.
ANEXO III
MANUAL DE ORGANIZAÇÕES E CONCEITOS
OBJETIVO
Este manual descreve as definições dos termos e expressões constantes nos
documentos que integram a Política de Segurança de Informações da P.C.R.J.


DEFINIÇÕES
Acesso Físico: Trânsito (entrada ou saída) de pessoas em um ambiente, seja uma sala,
um cofre ou uma área.
Acesso Lógico: Procedimento através do qual é permitido a um usuário do ambiente de
informática, os acessos às informações armazenadas em meio magnético. Somente
deverá ser liberado quando atender todos os mecanismos de proteção disponíveis na
instalação.
Acesso Remoto: A capacidade de se conectar a uma rede utilizando recursos de uma
localização distante. Geralmente, isso implica o uso de um computador, um modem e
algum software de acesso remoto (Microsoft RAS, por exemplo) para estabelecer
conexão ao servidor de rede.
Administração de Dados: Responsável por garantir a integridade dos dados, nos
assuntos relacionados à PCRJ, buscando a integração e divulgação destes dados
através da identificação e organização do Modelo Global.
Administrador de Rede (ou Sistemas): Pessoa cuja função principal é gerenciar,
monitorar e configurar a rede, ou o sistema, e mantê-los funcionando de forma
satisfatória.
Administrador do Recurso: Responsável por determinado recurso, seja ele hardware
ou software, com função de controlar e gerenciar os mesmos.
Ambiente Computacional: Ambiente lógico composto de software e controlado por
sistemas operacionais.
Ambiente Informatizado: Ambiente físico onde se localizam estações de trabalho,
servidores de rede e equipamentos de apoio que provêem o processamento e o
armazenamento das informações.
Ambiente Operacional: Ambiente onde são executados os aplicativos e sistemas da
P.C.R.J.
Ambiente Segregado e Controlado: Local com funções definidas e separado de outros
com funções adversas. O controle se dá através de procedimentos que registram as
entradas e saídas das informações do ambiente e só as permitem com as devidas
autorizações.
Antivírus: Software que identifica e remove vírus de computador.


Aplicação Crítica: Aplicação que atualiza valores, concede autorizações de acesso
e/ou trata de informações classificadas como sigilosas ou vitais para a execução das
atividades fim da P.C.R.J..
Aplicativo (ou Aplicação): Programa ou grupo de programas adquiridos ou
desenvolvidos para determinado fim, tais como processador de textos, sistema de banco
de dados, planilha eletrônica e sistemas específicos.
Área de Informática: Área responsável pelo processamento e armazenamento da
informação. Cumpre regras especificadas pelo Gestor da Informação e pelo Órgão
Gestor do Sistema Municipal de Informática.
Área de Segurança: Área responsável pela operacionalização dos conceitos de
segurança.
Área de Suporte: Grupo de pessoas responsável pela instalação e configuração de
hardware e software, e apoio aos usuários da P.C.R.J.
Arquivo de Log (ou simplesmente Log): Arquivo em que são gravados registros
relativos a transações executadas em um serviço informatizado.
Backup (ou Cópia de Segurança): Um substituto ou alternativa para um recurso. O
termo backup refere-se, usualmente, a um disco ou fita que contém uma cópia de
informações.
Base de Dados: São informações organizadas, interrelacionadas e armazenadas em
meio magnético.
Câmara Técnica em Segurança de Informações: Grupo de pessoas formado por
representantes das áreas de tecnologia e de gestores, conforme Decreto nº
19.379/2001, com o objetivo de propor soluções de segurança de informação ao Órgão
Gestor do Sistema Municipal de Informática.
Chave de Acesso: Identificação do usuário (user-id) do ambiente computacional.
Classificação da Informação: É o grau de confidencialidade de uma informação
(confidencial, restrita, pública) e a que tipo de tratamento ela está sujeita (identificação,
acesso, distribuição, uso em correios e fax, reprodução, estocagem, descarte e
transporte).
Correio Eletrônico (ou e-mail): Serviço de comunicação que consiste na troca de
mensagens através de redes de computadores.


Criptografia: Técnica utilizada para converter uma informação num código secreto, com
propósitos de segurança, para que não possam ser utilizadas ou lidas até serem
decodificadas.
Equipamento Crítico: Dispositivo que armazena informações classificadas como
críticas ou que possui sistema de emulação ou ainda que executa aplicações críticas.
Estação de Trabalho: Refere-se a qualquer computador conectado a uma rede.
Ferramenta de Segurança: Dispositivo de hardware ou software destinado a proteger e
controlar os acessos ao conjunto de informações da empresa, de acordo com a política
de segurança estabelecida.
Firewall: Dispositivo de segurança que, uma vez instalado, controla e autoriza o tráfego
de informações transferidas entre redes.
Gestores da Informação: Usuário proprietário da informação, sendo responsável pela
sua criação e classificação, pelos recursos sob sua responsabilidade, pela validação,
liberação e cancelamento do acesso aos recursos e aos locais restritos da sua Unidade,
bem como por definir os perfis de acesso dos usuários.
Hardware: Equipamento físico ou dispositivos mecânicos, elétricos ou eletrônicos, que
compõem os equipamentos computacionais.
Homologação: Análise da funcionalidade, testes e aprovações necessárias para a
implantação de recursos informatizados.
Informação Confidencial: É toda informação cujo conhecimento deve ficar limitado a
uma quantidade reduzida de pessoas autorizadas. Este tipo de informação requer alto
grau de controle e proteção contra acessos não-autorizados.
Informação Crítica: É toda informação considerada vital para a continuidade dos
processos e operações da PCRJ, cuja perda ou indisponibilidade por um determinado
período de tempo provoca prejuízos irreparáveis para a mesma.
Informação Pública: É toda informação cujo conhecimento não necessita ser limitado à
determinada quantidade de pessoas, sejam elas servidores públicos municipais,
prestadores de serviço ou não. São informações que tem acesso por qualquer cidadão,
desde que por ele requerida.
Informação Restrita: É toda informação cujo conteúdo deve ter seu acesso limitado a
quem é parte desta informação.
Integridade: Capacidade efetiva de a informação estar intacta e garantida contra perda,
dano ou modificação não autorizada (indevida), realizada maliciosa ou acidentalmente.


Internet: Rede de computadores de alcance mundial conectados entre si. Considerada
a "rede das redes", originalmente criada nos EUA, se tornou uma associação mundial de
redes interligadas.
Login (ou log on): Procedimento para que um sistema de computador ou uma rede
reconheça o usuário de tal forma que ele possa iniciar uma sessão de trabalho.
Manutenção Preventiva: Conjunto de operações para revisão, inspeção e limpeza dos
recursos informatizados, objetivando corrigir, reparar pequenas falhas e manter a sua
conservação.
Mídia: Dispositivos nos quais as informações podem ser armazenadas. Isto inclui hard
disks (ou winchester), floppy disks (ou disquetes), CD-ROMs e fitas magnéticas. Em
redes de computadores, mídia refere-se também aos cabos (ex.: cabo coaxial, fibra
ótica) que interligam estações de trabalho.
Patch: Uma correção para um erro de programa. O patch deve ser submetido a partir de
instruções do próprio fabricante do software.
Recursos ou Recurso de Informática: São os recursos que transformam, transportam,
guardam e descartam informações, os dados e as próprias informações. Podendo ser
equipamentos computacionais, conexões para redes de computadores, serviços de
Internet, banco de dados, sistemas operacionais, sistemas e aplicativos que manipulam
direta ou indiretamente informações da P.C.R.J.
Rede: Um grupo de dois ou mais sistemas de computador interligados. Quanto à
disposição dos computadores, as redes podem ser classificadas como: local area
network (LAN) – os computadores estão geograficamente próximos (geralmente, no
mesmo prédio); wide-area network (WAN) – os computadores estão mais distantes, uns
dos outros, e são conectados através de linhas telefônicas, ondas de rádio ou via
satélite.
Senha: Uma série secreta de caracteres que habilita um usuário para acesso a um
arquivo, computador ou programa. A senha autentica a identidade de uma chave de
acesso.
Setor de Produção: Setor responsável pela execução de rotinas que não possam ou
não devam ser executadas pelos usuários finais dos sistemas ou outros setores da área
de informática.
Sistema: Um conjunto de várias funções interligadas que automatiza um processo.


Software: conjunto de programas, procedimentos, regras e documentação referentes à
operação de um sistema, armazenado eletronicamente. Ex: sistemas aplicativos,
montadores, compiladores, sub-rotinas.
Software Homologado: Software certificado tecnicamente pela Área de Informática em
relação à aderência e compatibilidade com o ambiente informatizado da P.C.R.J.
Software Licenciado: Refere-se, genericamente, a programas, dados e documentação
de propriedade da P.C.R.J e/ou protegidos por direitos autorais (copyright).
Software Sensível: Sistemas essenciais ao desenvolvimento das atividades da
P.C.R.J., e aplicativos de segurança e de disponibilização de informações através de
redes, tais como antivírus, software de comunicação e emulador de terminal.
Usuário: Qualquer pessoa que foi autorizada pelo Gestor, a ler, inserir ou atualizar
informações.
Vírus: Um programa ou pedaço de código que é introduzido em um computador sem
conhecimento do usuário e, quando executado, corrompe a operação normal do
sistema. Todos os vírus de computador são fabricados. Um simples vírus que pode
copiar a si próprio continuamente é relativamente fácil de produzir. Mesmo um vírus
simples é perigoso porque ele pode rapidamente utilizar toda a memória disponível e
levar o sistema a uma interrupção. O tipo mais perigoso de vírus é aquele capaz de
reproduzir-se através da rede e burlar sistemas de segurança.