DECRETO Nº 29385

DE 30 DE MAIO DE 2008

Estabelece

a

Política

de

Segurança

da

Informação da Prefeitura da Cidade do Rio de
Janeiro,

que

menciona

e

dá

outras

providências.

O PREFEITO DA CIDADE DO RIO DE JANEIRO, no uso das atribuições que lhe são
conferidas pela legislação em vigor, e

CONSIDERANDO a necessidade de aprimoramento contínuo do gerenciamento da
Segurança da Informação no âmbito do Poder Executivo Municipal;

CONSIDERANDO ser estrategicamente imprescindível controlar e garantir a proteção
destas informações, evitando-se acesso e uso inadequado das mesmas;

CONSIDERANDO a importância de manter e zelar pela integridade, disponibilidade e
sigilo das informações corporativas como meio eficaz para a consolidação de sua
credibilidade junto ao cidadão;

CONSIDERANDO a relevância alcançada por sistemas de informação e projetos de
Tecnologia da Informação e da Comunicação - TIC na operação das organizações;

CONSIDERANDO que a definição de responsabilidades dos envolvidos na definição
dos processos suportados por sistemas de informações e projetos de TIC é condição
inequívoca para a segurança da informação;

CONSIDERANDO a necessidade de registrar e atribuir de forma clara as
responsabilidades quanto à especificação funcional, desenvolvimento e administração
de sistemas de informação que sustentam os processos de negócio da Administração
Pública; e

1


CONSIDERANDO a necessidade de registrar e atribuir de forma clara as
responsabilidades vinculadas ao Gerenciamento de Projetos na área de TIC que visam
sustentar os processos de negócio da Administração Pública,

DECRETA:

Art. 1º Fica instituída a Política de Segurança da Informação da Prefeitura da Cidade
do Rio de Janeiro, com as seguintes finalidades:
I - reduzir riscos de ocorrência de perdas e alterações indevidas de dados, preservando
a confidencialidade, a integridade e a disponibilidade das informações disponíveis nos
diferentes órgãos da administração municipal;
II - definir os critérios a serem adotados para que as informações mantenham o nível
de segurança adequado à sua relevância e criticidade;
III - estabelecer preceitos, regras e modelos de segurança que possibilitem a
disponibilização e utilização seguras dos serviços informatizados.
Art. 2º A Política de Segurança da Informação instituída por este Decreto adotará os
seguintes princípios:
I - o acesso, o processamento e a disseminação de informações pela Prefeitura da
Cidade do Rio de Janeiro através de suas redes de computadores ou de seus
equipamentos isolados estará a serviço do cidadão e da sociedade, respeitando
sempre os critérios de:
a) garantia dos direitos individuais e coletivos;
b) garantia da privacidade e segurança das pessoas físicas e jurídicas; e
c) garantia de acessos às informações disseminadas pela Prefeitura através de seus
serviços de redes;
II - a Política de Segurança da Informação promoverá a adoção de medidas para evitar
o

comprometimento

da

integridade,

confidencialidade

e

disponibilidade

das

informações durante seu manuseio, processamento, armazenamento, transporte e
descarte;
III - obrigatoriedade de elaboração de planos de contingência e de continuidade de
negócios, de forma a garantir a continuidade dos serviços informatizados em caso de

2


sinistros, desastres naturais, panes elétricas, ou quaisquer outras causas de
descontinuidade.
Art. 3º Os titulares dos órgãos da administração direta e indireta devem designar, por
meio de ato específico publicado no Diário Oficial do Município do Rio de Janeiro, os
gestores dos sistemas de informação em produção:
I - o prazo para publicação referente ao "caput" deste artigo é de 5 (cinco) dias úteis
contados a partir da data em que a Iplanrio informar oficialmente ao órgão os sistemas
previstos para entrar em produção;
II - para os sistemas atualmente em produção, o prazo para publicação é de 10 (dez)
dias a contar da data de publicação deste Decreto;
III - as alterações de gestores devem ser realizadas mediante publicação de ato
específico no prazo de 5 (cinco) dias úteis a contar da data de efetivação da alteração
no órgão ou entidade.
Art. 4º Compete ao gestor do sistema:
I - administrar os acessos dos usuários às informações do sistema, definir perfis de
acesso, prover ou solicitar formalmente estes acessos, revisá-los periodicamente e
promover, a tempo, o cancelamento dos mesmos;
II - classificar as informações do sistema em níveis de sensibilidade diante de uma
possível quebra de segurança, ou seja, de sua confidencialidade, integridade e
disponibilidade;
III - analisar a solicitação de qualquer manutenção por parte dos órgãos e entidades
municipais usuárias, à luz dos objetivos e requisitos do sistema sob sua gestão, a fim
de emitir parecer conclusivo sobre a pertinência desta solicitação, definir sua prioridade
e prover o adequado encaminhamento;
IV - definir e manter atualizadas todas as regras de negócio tratadas pelo sistema,
mantendo-as documentadas, bem como responder aos questionamentos de auditoria e
de controle relacionados a estas regras;
V - homologar e testar as funcionalidades dos sistemas;
VI - autorizar o ciclo de operação do sistema;
VII - capacitar os usuários nas funcionalidades do sistema sob sua gestão, provendo os
recursos para sua realização;
VIII - passar o conhecimento da sua função para o gestor que o suceda;
3


IX - avaliar os pedidos de demonstração do sistema para órgãos internos e externos à
PCRJ, atendendo-os casos pertinentes.
Art. 5º A Iplanrio deve designar por meio de ato específico, publicado no Diário Oficial
do Município do Rio de Janeiro, os administradores dos sistemas em produção:
I - o prazo para publicação referente ao "caput" deste artigo é de 10 (dez) dias a contar
da data de publicação deste decreto;
II - as alterações de administradores devem ser realizadas mediante publicação de ato
específico no prazo de 5 (cinco) dias úteis a contar da data de efetivação da alteração
na Iplanrio.
Art. 6º Compete ao administrador de sistema:
I - planejar e coordenar todas as ações de manutenção do sistema de forma que estas
sejam realizadas atendendo aos requisitos definidos pelo gestor do sistema;
II - prestar, direta ou indiretamente, consultoria ao gestor do sistema sobre qualquer
conteúdo técnico relacionado ao sistema para que este exerça suas competências;
Art. 7º Para a realização de projetos de Tecnologia da Informação e da Comunicação TIC, o titular do órgão ou entidade solicitante deve designar formalmente à Iplanrio o
gestor do projeto.
Art. 8º Compete ao gestor do projeto:
I - participar da fase de iniciação do projeto fornecendo as seguintes informações:
necessidade de negócio, objetivos do projeto, justificativa, escopo do projeto, requisitos
do produto, premissas, restrições, critérios de aceitação das entregas e definição de
prioridades;
II - participar da elaboração do plano do projeto, onde será definido como o projeto será
planejado, executado e acompanhado;
III - aprovar o plano do projeto;
IV - participar dos processos de análise e aprovação das mudanças solicitadas no
projeto;
V - realizar a aceitação formal das entregas de produtos intermediários;
VI - realizar a aprovação formal dos produtos finais do projeto.
Art. 9º A Empresa Municipal de Informática S/A - IPLANRIO, por meio de portarias
específicas, regulamentará a Política de Segurança da Informação, assim como suas
normas de segurança complementares.
4


Art. 10. A Auditoria Geral da Controladoria Geral do Município fará exames periódicos a
fim de avaliar o comprimento da Política de Segurança da Informação, assim como de
suas normas de segurança complementares.
Art. 11. Este Decreto entrar em vigor na data de sua publicação, revogadas as
disposições em contrário, em especial o Decreto nº 19.379, de 1º de janeiro de 2001.

CESAR MAIA

D.O.RIO 02.06.2008

5