PORTARIA IPLANRIO “N” Nº 082

DE 10 DE NOVEMBRO DE 2008

Regulamenta a Norma de Segurança para
Desenvolvimento e Manutenção de Sistemas
da Prefeitura da Cidade Do Rio De Janeiro.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do art. 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008;

CONSIDERANDO que, na era da informação, cada vez mais, os processos de negócio
de organizações em todo o mundo são sustentados por sistemas de informação, os
quais incluem sistemas operacionais, infra-estrutura, aplicações de negócio, produtos
de prateleira, serviços e aplicações desenvolvidas pelo usuário;

CONSIDERANDO que a eficiência, a eficácia e a segurança destas aplicações de
negócio, enquanto núcleo destes sistemas de informação, assim como de seus
processos de construção, acabam por se tornar itens cruciais para sobrevivência e
crescimento destas organizações; e

CONSIDERANDO que a PCRJ, cada vez mais, têm as ações de seus diversos órgãos
sustentados por sistemas de informação, tornando, por conseguinte, fundamental o
tratamento da eficiência, eficácia e segurança de suas aplicações de negócio.

RESOLVE:

Art. 1º Regulamentar a NORMA DE SEGURANÇA PARA DESENVOLVIMENTO E
MANUTENÇÃO DE SISTEMAS no âmbito da Prefeitura da Cidade do Rio de Janeiro –
PCRJ, conforme anexo da presente portaria.

1


Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário.

D. O RIO 11.11.2008

ANEXO

CAPÍTULO I
Disposições Iniciais

Art. 1º A Norma de Segurança para Desenvolvimento e Manutenção de Sistemas tem
como objetivo definir as diretrizes de segurança a serem observadas no
desenvolvimento e manutenção de sistemas (aplicações de negócio) na PCRJ.
Art. 2º Complementam esta norma as portarias regulamentadoras da Política de
Segurança da Informação (PSI) e da Norma para Acesso à Informação.
Art. 3º Esta norma aplica-se a todas as equipes envolvidas no ciclo de vida de
desenvolvimento de sistemas na PCRJ.

CAPÍTULO II
TERMOS E DEFINIÇÕES

Art. 4º Para fins desta Portaria considera-se:
I - Ambiente de desenvolvimento – É o ambiente de Tecnologia da Informação
responsável por hospedar as ações de desenvolvimento e manutenção dos sistemas e
aplicativos da organização;
II - Ambiente de produção – É o ambiente de Tecnologia da Informação responsável
por processar as informações que sustentam os processos de negócio da organização;
III - Ambiente de validação – É o ambiente de Tecnologia da Informação responsável
por simular o ambiente de produção de forma a hospedar os testes de aceitação
realizados pelos usuários visando garantir que o sistema atende a todos os requisitos
necessários a sua entrada em produção;

2


IV - Autenticação – processo de identificação e reconhecimento formal da identidade
dos elementos que entram em comunicação ou fazem parte de uma transação
eletrônica. Exemplos de técnicas utilizadas: senhas, impressão digital, certificado
digital, reconhecimento da íris, etc;
V - Autorização – concessão de um conjunto de permissões de acesso às informações
ou funcionalidades de um sistema de informação a um usuário após a identificação e
autenticação deste;
VI - Informação Esterelizada – informação que teve seu conteúdo alterado visando à
proteção de sua confidencialidade, por exemplo, considere um arquivo constando de
“nome” e “salário” de funcionários de um determinado órgão. Torna-se fundamental que
estas informações sejam alteradas para valores fictícios de forma que este arquivo
possa ser utilizado nos processos de teste dos diversos softwares que o utilizam; e
VII - Usuário – funcionário público, prestador de serviço, estagiário ou qualquer pessoa
autorizada a utilizar os recursos de TIC da PCRJ.

CAPÍTULO III
Diretrizes Gerais

Art. 5º Devem ser observadas as seguintes diretrizes no desenvolvimento de sistemas:
I - Os sistemas devem ser desenvolvidos com base nas metodologias de
desenvolvimento de sistemas homologadas pela Iplanrio e estas devem estar em
conformidade com as melhores práticas de projeto e desenvolvimento seguro de
sistemas;
II - Todos os integrantes das equipes de desenvolvimento devem possuir treinamento
formal nas metodologias homologadas para o desenvolvimento de sistemas;
III - Todos os requisitos de segurança devem ser identificados na fase de definição de
requisitos de um projeto, acordados, documentados e tratados de forma integrada no
ciclo de vida de desenvolvimento do sistema;
IV - Todos os produtos gerados durante o ciclo de vida de desenvolvimento de
sistemas (códigos fonte, especificações/modelos, planos de verificação/validação,
planos de teste, manuais, etc) devem possuir acesso controlado, ou seja, estes devem

3


estar hospedados em repositórios sujeitos a mecanismos de controle de acesso que
garantam que somente agentes autorizados terão acesso a estes produtos;
V - Os códigos-fonte de programas devem ser guardados de forma centralizada
utilizando bibliotecas de programas-fonte. Estas devem possuir mecanismo de controle
de acesso e manter registros de auditoria de todos os acessos aos códigos-fonte e, em
especial, de todas as mudanças realizadas, e estar hospedadas em servidores sob a
gestão da Iplanrio;
VI - Visando prevenir a ocorrência de erros, perdas, modificações não autorizadas, ou
mau uso das informações em sistemas, estes devem possuir controles para assegurar
seu processamento correto, em especial: validação dos dados de entrada, do
processamento interno e dos dados de saída; e
VII - O desenvolvimento terceirizado de sistemas deverá ser supervisionado pela
Iplanrio visando à certificação de qualidade dos serviços realizados.
Art. 6º Fica o acesso aos sistemas sujeito às seguintes diretrizes:
I - Os ambientes de desenvolvimento, validação e produção de sistemas devem ser
segregados, preferencialmente valendo-se de segregação física, e a transferência de
objetos entre estes ambientes deve seguir processo padronizado e homologado pelas
áreas competentes;
II - Os sistemas devem possuir mecanismos de controle de acesso que sujeitem
qualquer acesso a procedimentos padronizados de identificação, autenticação e
autorização;
III - Todos os mecanismos de controle de acesso dos sistemas e aplicações devem
estar em conformidade com a Norma para Acesso à Informação;
IV - O sistema deve prover a segregação de funções entre seus diversos perfis de
autorização visando prevenir que um único perfil tenha capacidade de realizar todas as
atividades que compõem um determinado processo; e
V - O acesso das equipes de desenvolvimento de sistemas às informações do
ambiente de produção somente pode ser realizado mediante autorização do gestor da
informação; sendo esta necessariamente realizada por escrito.
Art. 7º Devem ser observadas as seguintes diretrizes nos testes de sistemas:

4


I. Os sistemas devem ser testados com base nas metodologias de teste homologadas
pela Iplanrio e, estas, obrigatoriamente, devem contemplar os testes de todos os
controles de segurança previstos;
II - Sempre que possível, os testes devem fazer uso de ferramentas de teste
automatizadas; e
III - Atividades de testes que necessitem valer-se de informações confidenciais ou
secretas de produção devem utilizar cópias “esterelizadas”, ou seja, cópias cujas
informações foram descaracterizadas previamente.
Art. 8º Devem ser observadas as seguintes diretrizes na validação de sistemas:
I - A validação de sistemas deve ser realizada em ambiente distinto do ambiente de
produção, porém simulando condições semelhantes, e executada de forma
independente das equipes de desenvolvimento;
II - A validação de sistemas deve ser realizada pelo(s) respectivo(s) gestores com
envolvimento direto de um subconjunto de usuários definidos por este(s);
III - Em caso de utilização de cópias de informações secretas ou confidenciais de
produção para realização de validação, estas devem ser protegidas através das
seguintes ações:
a) “Esterelização” e “despersonificação” de informações;
b) Utilização de cópias devidamente autorizadas pelos respectivos gestores;
c) Manutenção de níveis de restrição de acesso semelhantes ao ambiente de
produção.
Art. 9º Devem ser observadas as seguintes diretrizes na passagem de sistemas para
produção:
I - A passagem de sistema para produção deve ocorrer somente após processo formal
de validação e aprovação por parte de seu gestor;
II - Sistemas em produção devem possuir somente as funções descritas e aprovadas
na documentação formal do sistema;
III - A passagem de sistema para a produção fica condicionada ao efetivo atendimento
dos seguintes requisitos:
a) Os controles de segurança previstos estão implantados e funcionando de forma
eficiente e eficaz;

5


b) Os requisitos de performance e capacidade são atendidos pelo ambiente de
produção sem comprometimento dos demais sistemas residentes;
c) O sistema está devidamente validado e aprovado por seu gestor;
d) Os procedimentos de operação do sistema foram definidos, testados e aprovados
pelas áreas competentes;
e) Os procedimentos de recuperação de erros e reativação (restart) do sistema foram
definidos, testados e aprovados pelas áreas competentes;
f) Os planos de contingência do sistema foram definidos, testados e aprovados pelas
áreas competentes;
g) Os usuários do sistema foram treinados de forma a poderem utilizar o sistema de
forma eficiente, eficaz e segura;
h) Os administradores e operadores de sistema foram treinados de forma a poderem
administrar/operar o sistema de forma eficiente, eficaz e segura.
Art. 10. Devem ser observadas as seguintes diretrizes na manutenção de sistemas:
I - Somente podem ser realizadas manutenções solicitadas formalmente pelos
respectivos gestores dos sistemas;
II - A manutenção de sistemas e aplicações deve seguir processo formal de submissão,
aprovação, análise, documentação, especificação, testes, e gestão da implementação;
e
III - Ficam todas as modificações em sistemas ou aplicações sujeitas à validação e
aprovação de seus respectivos gestores.

CAPÍTULO IV
DAS RESPONSABILIDADES

Art. 11. Cabe às lideranças das áreas responsáveis pelo desenvolvimento, manutenção
e produção de sistemas promoverem ações que possibilitem a execução de suas
competências valendo-se de procedimentos alinhados às determinações descritas
nesta norma.
Art. 12. Quanto às responsabilidades dos agentes do ciclo de vida de desenvolvimento
de sistemas:
I - Dos desenvolvedores de sistemas:
6


a) Criar e manter os sistemas por meio de procedimentos alinhados às diretrizes
descritas nesta norma.
II - Dos analistas de produção:
a) Realizar as ações de produção dos sistemas por meio de procedimentos alinhados
às diretrizes descritas nesta norma.
III - Dos analistas de suporte:
a) Realizar as ações de suporte aos diversos componentes do sistema (bancos de
dados, arquivos, repositórios, servidores, etc) por meio de procedimentos alinhados às
diretrizes descritas nesta norma.
IV - Dos gestores dos Sistemas:
a) Solicitar formalmente à Iplanrio a construção ou manutenção de sistemas;
b) Validar o sistema, assim como quaisquer manutenções realizadas neste, antes da
passagem para produção; e
c) Analisar e autorizar por escrito quaisquer acessos não previstos aos dados de
produção do sistema.

7