PORTARIA IPLANRIO “N” Nº 084

DE 10 DE NOVEMBRO DE 2008

Regulamenta a norma para proteção contra
Códigos Maliciosos no âmbito da Prefeitura da
Cidade do Rio de Janeiro.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do artigo 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008;

CONSIDERANDO que códigos maliciosos (por exemplo: vírus, worms, trojans, etc),
uma vez inseridos nos sistemas de informação, usualmente de forma escondida,
podem

comprometer

a

confidencialidade,

integridade

ou

disponibilidade

das

informações destes sistemas;

CONSIDERANDO que os códigos maliciosos têm se mantido há anos como a principal
ameaça externa aos sistemas de informação, causando danos de toda ordem em
organizações públicas e privadas em todo o mundo; e

CONSIDERANDO a importância da regulamentação de normas de proteção contra
códigos maliciosos para reduzir os riscos aos sistemas de informação da PCRJ e, por
conseguinte, aos processos de negócio que estes sustentam.

RESOLVE:

Art.

1º

Regulamentar

a

NORMA

PARA

PROTEÇÃO

CONTRA

CÓDIGOS

MALICIOSOS no âmbito da Prefeitura da Cidade do Rio de Janeiro – PCRJ, conforme
anexo da presente portaria.

1


Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário.

D. O RIO 11.11.2008

ANEXO

CAPÍTULO I
Disposições Iniciais

Art. 1º A Norma para Proteção contra Códigos Maliciosos tem como objetivo definir as
diretrizes a serem observadas quanto à proteção contra códigos maliciosos na PCRJ.
Art. 2º Complementa esta norma a portaria regulamentadora da Política de Segurança
da Informação (PSI) da PCRJ.
Art. 3º Esta norma aplica-se a todos os servidores e empregados municipais
independente de sua função, cargo, ou vínculo empregatício, aos empregados
terceirizados, estagiários, ou quaisquer pessoas e/ou instituições que estejam
autorizadas a acessar os sistemas de informação da PCRJ.

CAPÍTULO II
TERMOS E DEFINIÇÕES

Art. 4º Para fins desta Portaria considera-se:
I - Cavalo de Tróia (trojan) – programas normalmente disfarçados de jogos de forma a
estimular o usuário a instalá-lo em seu computador. Uma vez instalados, podem criar
ou explorar algumas vulnerabilidades da máquina e da rede na qual esta máquina se
encontra conectada, provocando incidentes de segurança;
II - Código Malicioso (ou Software Malicioso) - O termo “código-malicioso” ou “software
malicioso” refere-se a programas que, uma vez inseridos nos sistemas de informação,
usualmente de forma escondida, têm por finalidade comprometer a confidencialidade,
integridade ou disponibilidade das informações destes sistemas. (por exemplo: vírus,
worms, trojans, etc.);
2


III - Confidencialidade – é a propriedade de que a informação não estará disponível ou
será divulgada a indivíduos, entidades ou processos não autorizados. Em outras
palavras, confidencialidade é a garantia do sigilo da informação, ou seja, da proteção
contra a revelação não autorizada;
IV - Disponibilidade – garantia de que as informações estarão disponíveis às pessoas e
aos processos autorizados, a qualquer momento requerido. Manter a disponibilidade da
informação pressupõe garantir a prestação continua do serviço, sem interrupções no
fornecimento de informações a quem de direito;
V - Dispositivo de processamento – qualquer dispositivo de processamento de
informações capaz de hospedar aplicações de negócio, por exemplo, servidores,
estações de trabalho, notebooks, palmtops, laptops, iphones, celulares, etc;
VI - Empregado municipal – funcionário do quadro permanente de um órgão / entidade
da PCRJ, geralmente de empresas públicas;
VII - Firewall – Dispositivo de segurança (hardware e/ou software) que, uma vez
instalado, controla o tráfego de informações entre redes;
VIII - Hardening (ou Fortalecimento) – é o processo de enumeração, análise e
aplicação de correções e configurações específicas no sistema operacional de um
dispositivo de processamento, objetivando a diminuição do risco de comprometimento
da segurança de suas informações e serviços. Após o hardening, permanecem ativos
somente os componentes essenciais ao funcionamento do sistema operacional e dos
serviços prestados pelo dispositivo. O hardening pode ainda envolver a instalação de
soluções específicas de segurança, por exemplo, firewalls;
IX - Integridade – salvaguarda da exatidão e completeza da informação e dos métodos
de processamento, ou seja, a integridade é capacidade efetiva da informação de estar
intacta e garantida contra perda, dano ou modificação não autorizada (indevida),
realizada maliciosa ou acidentalmente;
X - Servidor municipal – funcionário do quadro permanente de um órgão / entidade
geralmente da Administração Direta, Autarquias ou Fundações da PCRJ;
XI - Sistemas de Informação – Os sistemas de informação incluem sistemas
operacionais, infraestrutura, aplicações de negócio, produtos de prateleira, serviços e
aplicações desenvolvidas pelo usuário;

3


XII - Usuário – funcionário público, prestador de serviço, estagiário ou qualquer pessoa
autorizada a utilizar os recursos de TIC da PCRJ;
XIII - Verme (worm) – Um worm é um programa auto-replicante semelhante a um vírus,
entretanto, um vírus infecta um programa e necessita deste como hospedeiro para se
propagar, já o worm não precisa de outro programa para se propagar. Além da
replicação, um worm pode ser projetado para fazer muitas coisas como: apagar
arquivos ou enviar mensagens via e-mail. O worm pode ainda trazer programas
embutidos que tornem o equipamento infectado vulnerável a outros ataques; e
XIV - Vírus – Classe de softwares maliciosos que tem a habilidade de se auto-replicar
sem autorização e provocar danos à segurança das informações;

CAPÍTULO III
Diretrizes Gerais

Art. 5º Devem ser observadas as seguintes diretrizes no Ambiente de Tecnologia da
Informação e Comunicação:
I - É vedada qualquer atividade que vise à criação e/ou distribuição de códigos
maliciosos;
II - Somente dispositivos pertencentes à PCRJ podem ser conectados à sua rede. As
exceções que por ventura ocorram devido a requisitos de negócio devem ser
amparadas por processo formal de autorização, por exemplo, dispositivos portáteis de
processamento e/ou armazenamento (laptops, palm tops, pen drives,etc) pertencentes
a prestadores de serviço;
III - Todos os dispositivos de processamento da PCRJ devem possuir solução de
proteção contra códigos maliciosos instalada e permanentemente atualizada;
IV - Soluções de proteção contra códigos maliciosos que apresentem funcionamento
atípico ou anormal devem ser reinstaladas. Após a reinstalação, o dispositivo deve ser
imediatamente verificado quanto à presença de códigos maliciosos;
V - É vedada ao usuário de dispositivo de processamento a desativação, ou alteração,
de configuração de quaisquer de seus componentes de proteção contra códigos
maliciosos (por exemplo, antivírus, firewall pessoal,etc);

4


VI - Todos os dispositivos de processamento da PCRJ devem estar atualizados
conforme as recomendações dos respectivos fabricantes, fornecedores ou áreas
técnicas da Iplanrio (por exemplo, patches, fixes, recomendações de configuração, etc);
VII - Todos os dispositivos de processamento da PCRJ devem estar configurados de
acordo com os padrões mais restritivos de segurança possíveis (por exemplo, os
gerados a partir de hardening), ou seja, aqueles que promovam ao equipamento
somente a capacidade de prestar os serviços previstos;
VIII - Os dispositivos de processamento portáteis, sempre que tecnicamente possível,
devem possuir firewall pessoal instalado e configurado de forma a possibilitar que o
dispositivo seja utilizado da forma mais segura possível;
IX - Antes de sua utilização, toda e qualquer mídia de armazenamento que tenha
origem externa à organização deverá ser verificada quanto à existência de códigos
maliciosos;
X - Antes de sua utilização, todo e qualquer arquivo recebido ou “baixado” (por
exemplo, via e-mail ou Internet) deverá ser verificado quanto à existência de códigos
maliciosos; e
XI - É vedada a utilização de softwares externos de troca de arquivos do tipo peer to
peer (por exemplo, Emule e Kazar) e de troca de mensagens instantâneas (por
exemplo, Instant Message).
Art. 6º Devem ser observadas as seguintes diretrizes no uso dos Serviços de Correio
Eletrônico e Internet:
I - O correio eletrônico e a Internet vêm se mostrando os principais meios para a
disseminação de códigos maliciosos. Com isso, cabe que sejam tomados os seguintes
cuidados em sua utilização;
a) Não abrir arquivos anexados a e-mails de origem desconhecida, suspeita ou não
confiável. Estes e-mails devem ser removidos imediatamente da caixa postal de
entrada e da lixeira;
b) Não baixar arquivos de origens suspeitas ou não confiáveis;
c) Manter padrões de utilização dos serviços de Internet e Correio Eletrônico em
alinhamento total às respectivas normas de uso destes serviços.
II - Todos os e-mails que saem da rede da PCRJ devem ser verificados quanto à
existência de códigos maliciosos. Uma vez identificada a presença de algum código
5


malicioso, deve-se promover investigação que identifique e elimine a origem da
infecção; e
III - Todos os e-mails que entram na rede da PCRJ devem ser verificados quanto à
existência de códigos maliciosos.
Art. 7º Devem ser observadas as seguintes diretrizes nas ações de resposta a
infecções:
I - Uma vez identificado uma infecção em um dispositivo de processamento, as
seguintes ações devem ser realizadas;
a) Desconexão do equipamento da rede da PCRJ;
b) Abertura de chamado na Central de Atendimento da Iplanrio.
II - Todos os chamados de relato de infecções causadas por códigos maliciosos devem
receber o maior nível de prioridade da escala de atendimento e, por conseqüência, ser
atendidos no menor prazo possível; preferencialmente de forma imediata; e
III - Todos os ataques relacionados a códigos maliciosos devem ser investigados com
vistas a identificar a fonte, o método e os mecanismos utilizados para sua execução,
assim como a extensão dos danos causados pelos mesmos. Com base nestas
informações, dever-se-á gerar plano de ações com a finalidade de evitar sua
reincidência.

CAPÍTULO IV
DAS RESPONSABILIDADES

Art. 8º Quanto às responsabilidades para a proteção contra códigos maliciosos na
PCRJ:
I - Dos Usuários:
a) Verificar, sempre que ativar seu dispositivo de processamento, se os softwares de
proteção contra códigos maliciosos residentes encontram-se ativos e atualizados. Caso
estes estejam desativados, funcionando de forma atípica ou desatualizados, deve-se,
no menor prazo possível, abrir chamado para a Central de Atendimento da Iplanrio; e
b) Abrir chamado para a Central de Atendimento da Iplanrio o mais rapidamente
possível diante de qualquer suspeita de ataque por código malicioso a dispositivo de
processamento sob sua custódia, ou mesmo à sua rede local.
6


II - Da IPLANRIO:
a) Prospectar, implementar e administrar as soluções de proteção contra códigos
maliciosos. Estas ações de administração devem garantir que todos os dispositivos de
processamento de propriedade da PCRJ estejam executando corretamente suas
soluções de proteção e que estas se mantenham atualizadas;
b) Planejar, implementar e administrar os processos, atividades e procedimentos de
gerenciamento de riscos relacionados a códigos maliciosos; e
c) Prover serviço de tratamento de incidentes relacionados a códigos maliciosos.

7