PORTARIA IPLANRIO “N” Nº 059

DE 11 DE JUNHO DE 2008

Regulamenta a norma para segurança física
dos

ambientes

de

processamento

da

informação da Prefeitura da Cidade do Rio de
Janeiro – PCRJ.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do art. 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008, no que tange ao art. 9º; e

CONSIDERANDO que na proteção dos sistemas de informação torna-se crucial
prevenir acessos não autorizados, danos e interferências nas instalações de
processamento da informação: ambientes responsáveis por hospedar os principais
componentes destes sistemas.

RESOLVE:

Art.

1º

Regulamentar

a

SEGURANÇA

FÍSICA

DOS

AMBIENTES

DE

PROCESSAMENTO DA INFORMAÇÃO no âmbito da Prefeitura da Cidade do Rio de
Janeiro - PCRJ, conforme anexo da presente portaria.
Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário.

D. O RIO 12.06.2008
ANEXO

CAPÍTULO I
DISPOSIÇÕES INICIAIS

1


Art. 1º A Norma de Segurança Física dos Ambientes de Processamento da Informação
tem como objetivo estabelecer as diretrizes de segurança física para os ambientes de
processamento da informação dos órgãos da Prefeitura da Cidade do Rio de Janeiro –
PCRJ – visando prevenir o acesso não autorizado, danos ou interferências nos
equipamentos da Tecnologia da Informação e Comunicação – TIC – que possam
comprometer os processos de negócio e serviços que sustentam a missão municipal.
Art. 2º Complementa esta norma a portaria regulamentadora da Política de Segurança
da Informação (PSI).
Art. 3º Esta norma aplica-se a todos funcionários municipais independentemente de
sua função, cargo, ou vínculo empregatício, aos empregados terceirizados, estagiários,
ou quaisquer pessoas e/ou instituições que estejam autorizadas a acessar os
ambientes de processamento da informação dos diversos órgãos municipais, em
especial, aos responsáveis pela Segurança Física destes ambientes.

CAPÍTULO II
TERMOS E DEFINIÇÕES

Art. 4º Para fins desta Portaria considera-se:
I - Ambiente de Processamento da Informação – área que hospeda um conjunto de
ativos da informação vitais para a manutenção dos processos de negócio e serviços de
uma organização, ou seja, dos elementos que sustentam sua missão, por exemplo, um
datacenter, uma sala de servidores, etc;
II - Ameaça – causa potencial de um incidente indesejado que pode resultar em dano
para um sistema ou organização;
III - Análise de riscos – conjunto de processos para identificar e avaliar os níveis de
risco presentes em um escopo definido, por exemplo, um ambiente, um departamento,
um processo de negócio, etc;
IV - Ativo da informação – Todo elemento que compõe os processos que manipulam e
processam a informação, a contar a própria informação, o meio em que ela é
armazenada, os equipamentos em que ela é manuseada, transportada e descartada.
Os ativos da informação dividem-se em 6 (seis) grupos: equipamentos, aplicações,
usuários, ambientes, informações e processos;
2


V - Avaliação de riscos – processo de comparar o risco estimado com critérios de risco
pré-definidos para determinar a importância (grau) do risco;
VI - Distância segura – distância definida com base em análise de risco, especificações
técnicas realizadas por entidades de notória especialização e normas técnicas
vigentes;
VII - Evento de segurança da informação – ocorrência identificada em um recurso da
informação que indica uma possível violação de política ou norma de segurança, falha
em controle de segurança, ou mesmo uma situação previamente desconhecida, porém,
relevante do ponto de vista da segurança da informação;
VIII - Incidente de segurança da informação – é indicado por um ou por uma série de
eventos de segurança da informação indesejados ou inesperados que tenham grande
probabilidade de comprometer as operações do negócio e ameaçar a segurança da
informação;
IX - Recursos da Informação – todos os meios usados para aquisição, geração,
armazenamento e transporte da informação, incluindo recursos do ambiente
tecnológico e meios convencionais como telefone, papel, microfone e vídeo;
X - Risco – combinação da probabilidade de um evento efetivamente acontecer e suas
conseqüências (Risco = Probabilidade * Impacto);
XI - Usuário – funcionário público, prestador de serviço, estagiário ou qualquer pessoa
autorizada a usar o serviço de TIC da PCRJ; e
XII - Vulnerabilidade – fragilidade de um ativo ou grupo de ativos que pode ser
explorada por uma ou mais ameaças.

CAPÍTULO III
DA SEGURANÇA FÍSICA E DO AMBIENTE

Art. 5º Quanto às condições de segurança física e de ambientes na PCRJ:
I - No que diz respeito ao perímetro de segurança física:
1. Os perímetros de segurança das instalações de processamento de informação dos
órgãos da PCRJ devem ser claramente definidos. Estes devem ter localização e
capacidade de resistência definidas em função dos requisitos de segurança dos ativos

3


da informação existentes em seu interior e dos resultados de processos periódicos de
análise e avaliação de riscos;
2. Os perímetros de um edifício ou de um local que contenha instalações de
processamento de informação devem ser fisicamente sólidos (ou seja, não devem
possuir brechas, nem pontos onde possa ocorrer facilmente uma invasão), possuir
paredes externas de construção robusta e controles de acesso físico para todas as
suas portas;
3. Todas as instalações de processamento de informação dos órgãos da PCRJ devem
possuir área de recepção, ou algum outro meio para controlar o acesso físico ao local;
nestes, o acesso deverá permanecer restrito somente ao pessoal autorizado; e
4. As áreas que hospedam instalações de processamento da informação devem ter
claramente definidos seus perímetros de segurança (barreiras tais como paredes,
portões de entrada controlados eletronicamente, balcões de recepção...) visando
prevenir acessos não autorizados.
II - No que diz respeito aos controles de entrada física:
1. Os recursos da informação devem estar abrigados em instalações apropriadas, ou
seja, em conformidade com as características técnicas mínimas de hospedagem
definidas por seus fabricantes, fornecedores e normas técnicas vigentes; devendo
ainda estar sujeitas a controles de segurança compatíveis com a classificação das
informações que hospeda e a criticidade dos serviços que sustenta;
2. As instalações de processamento da informação devem ser claramente identificadas
e protegidas por meio do uso de recursos que permitam controlar e manter o registro
de acesso às mesmas. Deve-se utilizar controles de identificação, autenticação e
auditoria visando autorizar, validar e registrar todos os acessos a estas instalações;
3. O acesso de visitantes às instalações de processamento da informação deve ocorrer
para finalidades específicas. Este deve ainda ser autorizado e supervisionado por
agente representante do setor (ou grupo) responsável pela administração da
instalação;
4. O acesso e circulação de funcionários e visitantes por instalações de processamento
da informação somente devem ser permitidos mediante o porte ostensivo, em local
visível, de identificação funcional;

4


5. A identificação funcional, permanente ou temporária, é única, pessoal e
intransferível, sendo o identificado responsável pela sua guarda e correta utilização,
inclusive por quaisquer ações executadas no seu uso;
6. A concessão ou renovação de acesso às instalações de processamento da
informação somente deve se dar mediante ação de setor(es) formalmente
competente(s). Todos os acessos fornecidos devem possuir validade limitada de modo
que necessitem de revalidações periódicas; e
7. Nas instalações de processamento da informação, a utilização de dispositivos
eletrônicos

como

máquinas

fotográficas,

câmeras,

filmadoras,

gravadores

e

semelhantes só será permitida mediante autorização do responsável pela área.
III - No que diz respeito à proteção contra ameaças externas:
1. Deve-se identificar, planejar, implementar e manter os controles para proteção física
contra incêndios, enchentes, explosões, perturbações da ordem pública e outras
formas de desastres naturais ou causados pelo homem;
2. Os materiais perigosos ou combustíveis deverão ser armazenados a uma distância
segura das áreas de processamento da informação;
3. Todos os recursos de contingência, inclusive os de backup, devem permanecer a
uma distância segura do local onde residem os recursos para os quais estes estão
provendo contingência; e
4. Os sistemas de proteção a incêndio devem ser instalados seguindo legislação
específica.
IV - No que diz respeito ao acesso às áreas de entrega e de carregamento:
1. Os pontos de acesso, tais como áreas de entrega, carregamento, ou outros pontos
em que pessoas não autorizadas tenham acesso às instalações do órgão, devem ser
controlados e, se possível, isolados das instalações de processamento da informação
visando evitar acessos não autorizados.

CAPÍTULO IV
DAS RESPONSABILIDADES

Art. 6º Quanto às responsabilidades pela segurança física dos ambientes de
processamento da informação:
5


I - Dos funcionários:
1. Uma vez identificadas, reportar quaisquer ameaças ou vulnerabilidades relacionadas
à segurança física destes ambientes aos respectivos setores responsáveis.
II - Dos órgãos da PCRJ:
1.Promover todas as ações necessárias para que seus ambientes de processamento
da informação mantenham-se alinhados às determinações descritas nesta norma.
III - Da IPLANRIO:
1. Definir os perímetros de segurança das instalações de processamento de
informação dos órgãos e entidades da PCRJ;
2. Prover os serviços de administração dos ambientes de processamento da
informação dos órgãos da PCRJ por meio de procedimentos alinhados às
determinações descritas nesta norma.

6