PORTARIA IPLANRIO Nº 124

DE 28 DE MAIO DE 2010.

Regulamenta a norma para segurança física
dos

ambientes

de

processamento

da

informação da Prefeitura da Cidade do Rio de
Janeiro – PCRJ.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do art. 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008,

CONSIDERANDO a Portaria “N” Nº 123 de 28 de maio de 2010, que regulamenta a
Política de Segurança da Informação da Prefeitura da Cidade do Rio de Janeiro –
PCRJ; e

CONSIDERANDO que na proteção dos sistemas de informação torna-se crucial
prevenir acessos não autorizados, danos e interferências nas instalações responsáveis
por hospedar os principais componentes destes sistemas;

RESOLVE:

Art. 1º Regulamentar a NORMA PARA SEGURANÇA FÍSICA DOS AMBIENTES DE
PROCESSAMENTO DA INFORMAÇÃO no âmbito da Prefeitura da Cidade do Rio de
Janeiro - PCRJ, conforme anexo da presente portaria.
Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário, em especial a Portaria “N” nº 059, de 11 de junho de 2008.

D. O RIO 01.06.2010
1


ANEXO

CAPÍTULO I
DISPOSIÇÕES INICIAIS

Art. 1º A Norma de Segurança Física dos Ambientes de Processamento da Informação
tem como objetivo estabelecer as regras de segurança física para os ambientes de
processamento

da

informação

dos

órgãos

e

entidades

municipais,

sendo

complementar à Política de Segurança da Informação (PSI).
Art. 2º Esta norma aplica-se a todos servidores municipais independentemente de sua
função, cargo, ou vínculo empregatício, aos prestadores de serviços, estagiários, ou
quaisquer pessoas e/ou instituições que estejam autorizadas a acessar os ambientes
de processamento da informação dos diversos órgãos e entidades municipais e, em
especial, aos responsáveis pela segurança física destes ambientes.

CAPÍTULO II
TERMOS E DEFINIÇÕES
Art. 3º Para fins desta Portaria considera-se:
I - Ambiente de Processamento da Informação – área que hospeda um conjunto de
ativos da informação vitais para a manutenção dos processos de negócio e serviços
que sustentam a missão da organização (por ex.: datacenter, sala de servidores, áreas
de desenvolvimento e manutenção de sistemas, áreas usuárias de sistemas críticos,
etc);
II - Ameaça – causa potencial de um incidente indesejado que pode resultar em dano
para um sistema ou organização;
III - Análise de riscos – processo sistemático que identifica e avalia os níveis de risco
relacionados à segurança da informação presentes numa organização;
IV - Ativo da informação – elementos que transformam, transportam, guardam e
descartam dados ou informações, incluindo a própria informação e que se dividem em
6 (seis) grupos: equipamentos, aplicações, usuários, ambientes, informações e
processos;
2


V - Avaliação de riscos – processo de comparar o risco estimado com critérios de risco
pré-definidos para determinar a importância (grau) do risco;
VI - Confidencialidade – propriedade que garante que a informação só está disponível a
indivíduos ou processos autorizados;
VII - Disponibilidade – propriedade que garante que a informação está disponível às
pessoas e aos processos autorizados, a qualquer momento requerido;
VIII - Distância segura – distância definida com base em análise de risco,
especificações técnicas realizadas por entidades de notória especialização e normas
técnicas vigentes;
IX - Evento de segurança da informação – ocorrência identificada em um ativo da
informação que indica uma possível violação de política ou norma de segurança, falha
em controle de segurança, ou mesmo uma situação previamente desconhecida, porém,
relevante do ponto de vista da segurança da informação;
X - Incidente de segurança da informação – um ou uma série de eventos de segurança
da informação indesejados ou inesperados que tenham grande probabilidade de
ameaçar a segurança da informação comprometendo as operações do negócio;
XI - Integridade – propriedade que garante que a informação está intacta e protegida
contra perda, dano ou modificação não autorizada, realizada intencional ou
acidentalmente;
XII - Perímetro de segurança – refere-se a linha que delimita a fronteira de proteção
dos recursos da informação, podendo, para tanto, serem usadas barreiras como
paredes, portões de entrada, balcões de recepção, etc.;
XIII - Recursos da Informação – todos os meios usados para aquisição, geração,
armazenamento e transporte da informação, incluindo recursos do ambiente
tecnológico e meios convencionais como telefone, papel, microfone e vídeo;
XIV - Risco – probabilidade de ameaças explorarem vulnerabilidades, comprometendo
a confidencialidade, integridade ou disponibilidade da informação, causando impactos
para um sistema ou organização;
XV - Usuário – qualquer pessoa autorizada a usar o serviço de TIC da PCRJ;e.
XVI - Vulnerabilidade – fragilidade presente ou associada a ativos da informação que,
ao ser explorada por ameaças, permite a ocorrência de um incidente de segurança

3


comprometendo um ou mais princípios de segurança da informação (confidencialidade,
integridade e disponibilidade).

CAPÍTULO III
DA SEGURANÇA FÍSICA E DO AMBIENTE

Art. 4º As condições de segurança física e de ambientes na PCRJ seguem as
seguintes regras:
I - Quanto ao perímetro de segurança física:
a) os perímetros de segurança dos ambientes de processamento de informação dos
órgãos e entidades municipais devem ser claramente definidos, possuindo localização
e capacidade de resistência definidas em função dos requisitos de segurança dos
ativos da informação hospedados em seu interior e dos resultados de processos
periódicos de análise e avaliação de riscos;
b) os perímetros de um edifício ou de um local que contenha instalações de
processamento de informação devem possuir paredes externas, de construção robusta,
e controles de acesso físico para todas as suas portas, de modo a evitar invasões.
II - Quanto aos controles de entrada física:
a) todos os ambientes de processamento de informação dos órgãos e entidades
municipais devem possuir área de recepção, ou algum outro meio para controlar o
acesso físico ao local, devendo este permanecer restrito somente ao pessoal
autorizado;
b) os recursos da informação devem estar abrigados em instalações que estejam em
conformidade com as características técnicas mínimas de hospedagem definidas por
seus fabricantes, fornecedores e normas técnicas vigentes; devendo ainda estar
sujeitos a controles de segurança compatíveis com a classificação das informações
que hospedam e a criticidade dos serviços que sustentam;
c) os ambientes de processamento da informação devem ser claramente identificados
e protegidos por meio do uso de recursos que permitam controlar e manter o registro
de acesso aos mesmos, devendo-se utilizar controles de identificação, autenticação e
auditoria visando autorizar, validar e registrar todos os acessos a estas instalações;

4


d) o acesso de visitantes aos ambientes de processamento da informação deve ocorrer
para finalidades específicas, mediante prévia autorização e sob supervisão de agente
representante do setor (ou grupo) responsável pela administração da instalação;
e) o acesso e circulação de servidores e visitantes por ambientes de processamento da
informação somente devem ser permitidos mediante o porte, em local visível, de
identificação funcional;
f) a concessão ou renovação de acesso aos ambientes de processamento da
informação somente deve se dar mediante ação de setor(es) formalmente
competente(s), com prazo de validade limitada e sujeitas a revalidações periódicas;
g) nos ambientes de processamento da informação, a utilização de dispositivos
eletrônicos,

como

máquinas fotográficas, câmeras, filmadoras, gravadores e

semelhantes, só será permitida mediante autorização do responsável pela área.
III - Quanto à proteção contra ameaças externas:
a) deve-se identificar, planejar, implementar e manter os controles para proteção física
contra incêndios, enchentes, explosões, perturbações da ordem pública e outras
formas de desastres naturais ou causados pelo homem;
b) os materiais perigosos ou combustíveis devem ser armazenados a uma distância
segura dos ambientes de processamento da informação;
c) todos os recursos de contingência, inclusive os de backup, devem permanecer a
uma distância segura do local onde residem os recursos para os quais estes estão
provendo contingência;
d) os sistemas de proteção de incêndio devem ser instalados seguindo legislação
específica.
IV - Quanto ao acesso às áreas de entrega e de carregamento:
a) os pontos de acesso, tais como áreas de entrega, carregamento, ou outros pontos
em que pessoas não autorizadas tenham acesso às instalações do órgão ou entidade
municipais, devem ser controlados e, se possível, isolados dos ambientes de
processamento da informação, visando evitar acessos não autorizados.

CAPÍTULO IV
DAS RESPONSABILIDADES

5


Art. 5º As responsabilidades pela segurança física dos ambientes de processamento da
informação são as seguintes:
I - Dos servidores:
a) reportar quaisquer ameaças ou vulnerabilidades relativas à segurança física destes
ambientes, aos respectivos setores responsáveis.
II - Dos órgãos e entidades municipais:
a) promover todas as ações necessárias para que seus ambientes de processamento
da informação mantenham-se alinhados às determinações descritas nesta norma.
III - Da IplanRio:
a) definir os perímetros de segurança dos ambientes de processamento da informação
dos órgãos e entidades municipais;
b) prover os serviços de administração dos ambientes de processamento da
informação dos órgãos e entidades municipais por meio de procedimentos alinhados às
determinações descritas nesta norma.

6