PORTARIA IPLANRIO Nº 056

DE 11 DE JUNHO DE 2008

Regulamenta a Política de Segurança da
Informação da Prefeitura da Cidade do Rio de
Janeiro – PCRJ.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do art. 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008,

CONSIDERANDO ser imprescindível a realização de ações estratégicas que visem à
redução dos riscos à segurança das informações da PCRJ, ou seja, do possível
comprometimento da confidencialidade, integridade e disponibilidade das informações
disponíveis nos diferentes órgãos municipais.

RESOLVE:

Art. 1º Regulamentar a POLÍTICA DE SEGURANÇA DA INFORMAÇÃO no âmbito da
Prefeitura da Cidade do Rio de Janeiro – PCRJ, conforme anexo da presente portaria.
Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário.

D. O RIO 12.06.2008

ANEXO

CAPÍTULO I
DISPOSIÇÕES INICIAIS

1


Art. 1º A Política de Segurança da Informação visa à redução dos riscos de ocorrência
de

perdas,

alterações

e

acessos

indevidos

aos

dados,

preservando

a

confidencialidade, a integridade e a disponibilidade das informações disponíveis nos
diferentes órgãos municipais e aplica-se a todos os órgãos integrantes deste município.
Art. 2º A Iplanrio – Empresa Municipal de Informática – elaborará o conjunto de normas
e procedimentos necessários à operacionalização das diretrizes descritas nesta
política.
Art. 3º Para quaisquer temas não tratados de forma explícita nesta política, ou em
alguma de suas normas componentes, ficam valendo as diretrizes e normas
estabelecidas pela Portaria Iplanrio “N” Nº 004, de 09 de abril de 2001.
Art. 4º A Iplanrio – Empresa Municipal de Informática – promoverá programas
periódicos de análise e avaliação de riscos de segurança da informação em todos os
órgãos da PCRJ.
Art. 5º Estão submetidos às diretrizes dispostas nesta política os órgãos e entidades da
Administração Pública Municipal direta e indireta, as fundações e autarquias, as
organizações sob controle direto ou indireto do Município.

CAPÍTULO II
TERMOS E DEFINIÇÕES

Art. 6º Para fins desta Portaria considera-se:
I - Ambiente Informatizado: Ambiente físico onde se localizam estações de trabalho,
servidores de rede e equipamentos de apoio que provêem o processamento e o
armazenamento das informações;
II - Ambiente Operacional: Ambiente onde são executados os aplicativos e sistemas da
P.C.R.J;
III - Aplicativo (ou Aplicação): Programa ou grupo de programas adquiridos ou
desenvolvidos para determinado fim, tais como processador de textos, sistema de
banco de dados, planilha eletrônica e sistemas específicos;
IV - Área de Informática: Área responsável pelo processamento e armazenamento da
informação. Cumpre regras especificadas pelo Gestor da Informação e pelo Órgão
Gestor do Sistema Municipal de Informática;
2


V - Chave de Acesso: Identificação do usuário (user-id) do ambiente computacional;
VI - Ciclo de Operação do Sistema: Corresponde ao ciclo de testes, homologação e
passagem para ambiente de produção do sistema de informação;
VII - Classificação da Informação: É o grau de sensibilidade de uma informação a uma
possível quebra de segurança, ou seja, do comprometimento dos princípios básicos de
segurança da informação: confidencialidade, integridade e disponibilidade. É a partir da
classificação da informação que definimos a que tipo de tratamento ela está sujeita
(identificação, acesso, distribuição, uso em correios e fax, reprodução, estocagem,
descarte e transporte);
VIII - Dados: São quaisquer registros ou indícios relacionáveis a alguma entidade ou
evento. Informação não processada ou unidade de registro de conjunto, por exemplo,
como ocorre no termo “banco de dados”;
IX - Gestores da Informação: Usuário proprietário da informação, sendo responsável
pela sua criação e classificação, pelos recursos sob sua responsabilidade, pela
validação, liberação e cancelamento do acesso aos recursos e aos locais restritos da
sua Unidade, bem como por definir os perfis de acesso dos usuários;
X - Homologação: Análise da funcionalidade, testes e aprovações necessárias para a
implantação de recursos informatizados;
XI - Informação: É o resultado do processamento, manipulação e organização de dados
de tal forma que represente um acréscimo ao conhecimento da pessoa que a recebe.
Ela pode se apresentar de diversas formas: textual, imagem, sonora, etc.;
XII - Integridade: Capacidade efetiva da informação de estar intacta e garantida contra
perda, dano ou modificação não autorizada (indevida), realizada maliciosa ou
acidentalmente;
XIII - Manutenção Preventiva: Conjunto de operações para revisão, inspeção e limpeza
dos recursos informatizados, objetivando corrigir, reparar pequenas falhas e manter a
sua conservação;
XIV - Mau Uso da Identificação Pessoal: O “mau uso da identificação pessoal” diz
respeito a qualquer utilização, de essência dolosa, de privilégios de acesso vinculados
à identificação pessoal que comprometa os princípios da integridade, confidencialidade
ou disponibilidade da informação, por exemplo, inserir informações falsas, alterar ou
3


excluir indevidamente informações com o fim de obter vantagem para si ou para
outrem;
XV - Mau Uso da Informação: O “mau uso da informação” diz respeito a qualquer
utilização da informação, de essência dolosa, que comprometa os princípios da
integridade, confidencialidade ou disponibilidade desta informação, por exemplo, prover
acesso a informações confidenciais a fim de obter vantagem indevida para si ou para
outrem;
XVI - Recursos ou Recurso de Informática: São os recursos que transformam,
transportam, guardam e descartam informações, os dados e as próprias informações.
Podendo ser equipamentos computacionais, conexões para redes de computadores,
serviços de Internet, banco de dados, sistemas operacionais, sistemas e aplicativos
que manipulam direta ou indiretamente informações da P.C.R.J;
XVII - Rede: Um grupo de dois ou mais sistemas de computador interligados. Quanto à
disposição dos computadores, as redes podem ser classificadas como: local area
network (LAN) – os computadores estão geograficamente próximos (geralmente, no
mesmo prédio); wide-area network (WAN) – os computadores estão mais distantes,
uns dos outros, e são conectados através de linhas telefônicas, ondas de rádio ou via
satélite;
XVIII - Sistema: Um conjunto de várias funções interligadas que automatiza um
processo;
XIX - Sistema de Informação em Produção: Entende-se por sistema em produção todo
e qualquer sistema de informação que esteja em funcionamento e disponível para ser
utilizado nos processos de negócio de órgão ou entidade da PCRJ;
XX - Usuário: Qualquer pessoa que foi autorizada pelo Gestor, a ler, inserir ou atualizar
informações; e
XXI - Vírus: Classe de programas maliciosos que tem a habilidade de se auto-replicar
sem autorização e provocar danos às propriedades da segurança da informação.

CAPÍTULO III
DOS OBJETIVOS DE SEGURANÇA

Art. 7º São objetivos da Política de Segurança da Informação na PCRJ:
4


I - Com relação ao tratamento de informações:
a) As informações são de propriedade do Município, devendo ser tomadas por todos os
órgãos municipais as medidas necessárias para protegê-las de alteração, destruição ou
divulgação não autorizadas, quer seja acidental ou intencional;
b) As informações devem ser classificadas, quanto a confidencialidade, integridade e
disponibilidade, e identificadas de forma a serem adequadamente acessadas,
manipuladas, armazenadas, transportadas e descartadas;
c) Os controles de segurança da informação devem ser proporcionais à classificação e
ao nível de risco destas informações;
d) Os riscos às informações do Município devem ser identificados e tratados
periodicamente;
e) Todos os papéis e responsabilidades relacionados à segurança da informação
devem ser claramente definidos e comunicados;
f) Servidores públicos e prestadores de serviço devem garantir o sigilo das informações
a que tiverem acesso, tomando o cuidado necessário quanto a sua divulgação interna e
externa, avaliando-se seu respectivo nível estratégico e sua classificação; e
g) Todos os processamentos executados nos Sistemas de Informação da PCRJ
deverão ter suas responsabilidades conhecidas e distribuídas de forma a não serem
concentrados em um mesmo grupo ou pessoas.
II - No que diz respeito ao controle de acesso:
1. Todo servidor público ou pessoa autorizada deve ter uma identificação única,
pessoal e intransferível, qualificando-o como responsável por qualquer atividade
desenvolvida através dela;
2. A concessão de autorização de acessos deverá ser restrita aos recursos mínimos
necessários para que os usuários desenvolvam suas atividades; e
3. Prestadores de Serviço devem possuir acesso com prazo limitado à execução de
suas atividades.
III - Quanto à estabilidade do ambiente operacional:
a) Todos os recursos de TIC (Tecnologia da Informação e Comunicação) devem ser
identificados de forma individual, controlados, preservados, protegidos contra acessos

5


indevidos, submetidos à manutenção preventiva periódica e estar com a documentação
atualizada e aprovada pelos setores responsáveis;
b) A disponibilização de recursos de TIC somente será permitida após atendimento às
determinações desta Política e das respectivas normas de segurança, homologação
pela área de Informática e a autorização dos respectivos responsáveis;
c) Os recursos de TIC compartilhados devem ser dimensionados de forma a garantir o
atendimento eficiente e eficaz de todos os clientes que os compartilhem;
d) Considerando o elevado potencial de risco vinculado à utilização dos recursos de
TIC portáteis, estes devem ser configurados, acondicionados e transportados
atendendo a regras de segurança específicas;
e) Todos os ambientes operacionais devem possuir procedimentos formais de backup
e recuperação, gerenciamento de incidentes, gerenciamento de problemas e
gerenciamento de segurança de seus recursos de TIC;
f) Os ambientes de desenvolvimento, validação e produção de sistemas/aplicações
devem ser segregados, e a transferência de objetos entre estes ambientes deve seguir
processo formal; e
g) Deve haver rodízio periódico de pessoas, ou equipes, no desempenho de atividades
críticas.
IV - Quanto à capacitação:
a) Os servidores públicos e prestadores de serviço devem possuir conhecimento
mínimo para a execução eficiente, eficaz e segura de suas tarefas, assim como
conhecer as políticas e normas de segurança da PCRJ; e
b) Os servidores públicos devem receber treinamento em segurança da informação
visando garantir a compreensão precisa das políticas, normas e melhores práticas em
segurança da informação, assim como o cumprimento de seus papéis e
responsabilidades com relação à proteção das informações da PCRJ.
V - Quanto à apuração de responsabilidades e sanções:
a) Uma vez comprovado o mau uso das informações pertencentes ao Município e de
seus recursos de processamento, ou o não cumprimento das políticas e normas que
visem protegê-los, ficam seus autores sujeitos a todas as sanções legais cabíveis; e
b) Uma vez comprovado o mau uso de identificação pessoal fornecida pelo Município,
ficam seus autores sujeitos a todas as sanções legais cabíveis.
6


Parágrafo único. Os recursos considerados críticos à atividade fim devem estar
resguardados por um plano de contingência que garanta a continuidade dos serviços,
previna e solucione situações de anormalidade. O referido plano deve ser
documentado, periodicamente testado e revisado, evitando a indisponibilidade e,
conseqüentemente, impacto à atividade.

CAPÍTULO IV
DAS RESPONSABILIDADES QUANTO Á SEGURANÇA

Art 6º As responsabilidades quanto à política de segurança da informação da PCRJ
são as seguintes:
I - Caberá a todo servidor público e prestador de serviço:
a) Observar desvios das políticas, normas e procedimentos estabelecidos e informá-los
ao responsável imediato; e
b) Realizar suas competências funcionais em aderência a todas as políticas, normas e
procedimentos a elas relacionados.
II - Caberá às Chefias Imediatas:
a) Informar as necessidades de acesso a sistemas de informação ou serviços aos
respectivos gestores ou administradores, bem como a autorização de atualização ou
exclusão de acessos dos usuários de sua área; e
b) Atuar junto aos seus funcionários na construção e implantação de processos de
trabalho e ambiente comportamental que promovam a segurança da informação com
base nas políticas e normas de segurança da PCRJ.
III - Caberá ao Gestor da Informação:
a) Administrar os acessos dos usuários às informações: definir perfis de acesso, prover
ou solicitar formalmente estes acessos, revisá-los periodicamente e promover, a tempo,
o cancelamento dos mesmos;
b) Classificar as informações sob sua gestão em níveis de sensibilidade diante de uma
possível quebra de segurança, ou seja, de sua confidencialidade, integridade e
disponibilidade; e
c) Homologar, testar e autorizar a passagem para a produção de sistemas e
aplicações.
7


IV - Caberá à Iplanrio:
a) Propor à CMTI – Comissão Municipal de Tecnologia da Informação:
-as políticas e normas relacionadas à segurança da informação; e
-as ações de curto, médio e longo prazos relacionadas à segurança da informação.
b) Promover a divulgação das políticas, normas e melhores práticas de segurança da
informação para todos os órgãos da PCRJ;
c) Definir e prover, direta ou indiretamente, à todas as competências funcionais da
PCRJ, os conhecimentos que possibilitem o cumprimento eficiente e eficaz de suas
responsabilidades com relação à segurança da informação;
d) Definir, prover e administrar, direta ou indiretamente, modelos e métodos de
gerenciamento que promovam uma eficiente, eficaz e segura prestação de serviços de
TIC à administração municipal, assim como aos cidadãos;
e) Garantir os níveis de alinhamento das atividades de TIC a todas as políticas, normas
e procedimentos estabelecidos; e
f) Realizar a revisão periódica da Política de Segurança da Informação e das normas
de segurança da informação.

CAPÍTULO V
DAS DISPOSIÇÕES FINAIS

Art 7º Estas diretrizes devem ser revisadas e atualizadas pela Iplanrio à medida que se
agreguem novos valores às atividades da P.C.R.J., ou dentro do intervalo de 1 (um)
ano.
Art 8º Complementam a Política de Segurança da Informação as normas de segurança
da informação a serem editadas em portarias específicas.

8