PORTARIA IPLANRIO Nº 123

DE 28 DE MAIO DE 2010.

Regulamenta a política de segurança da
informação da Prefeitura da Cidade do Rio de
Janeiro – PCRJ.

O DIRETOR PRESIDENTE DA EMPRESA MUNICIPAL DE INFORMÁTICA S.A.IPLANRIO, no uso das atribuições que lhe são conferidas pela legislação em vigor e,

CONSIDERANDO os termos do art. 9º do Decreto Municipal “N” nº 29385 de 30 de
maio de 2008,

CONSIDERANDO ser imprescindível a realização de ações estratégicas que visem à
redução dos riscos à segurança das informações da PCRJ, ou seja, do possível
comprometimento da confidencialidade, integridade e disponibilidade das informações
disponíveis nos diferentes órgãos e entidades municipais, estas representadas pelas
autarquias, fundações, empresas públicas e sociedades de economia mista.

RESOLVE:

Art. 1º Regulamentar a POLÍTICA DE SEGURANÇA DA INFORMAÇÃO no âmbito da
Prefeitura da Cidade do Rio de Janeiro – PCRJ, conforme anexo da presente portaria.
Art. 2º Esta Portaria entra em vigor na data de sua publicação, revogadas as
disposições em contrário, em especial a Portaria “N” nº 056 de 11 de junho de 2008.

D. O RIO 01.06.2010

ANEXO

CAPÍTULO I
DISPOSIÇÕES INICIAIS

1


Art. 1º As informações são ativos de propriedade do Município, devendo, portanto, ser
tomadas as medidas necessárias para protege-las de alteração, destruição e
divulgação não autorizadas, quer seja acidental ou intencional.
Art. 2º A PCRJ se reserva o direito de monitorar e avaliar, a qualquer tempo, o uso dos
seus ativos da informação visando salvaguardar os interesses da PCRJ no que diz
respeito à segurança de suas informações, bem como à utilização adequada de seus
recursos.
Art. 3º A Política de Segurança da Informação visa à redução dos riscos de ocorrência
de perdas, alterações e acessos indevidos às informações dos órgãos e entidades
municipais, preservando sua confidencialidade, integridade e disponibilidade.
Art. 4º Todos os processos de contratação de produtos e serviços devem ser
analisados quanto aos aspectos relacionados à Segurança da Informação de forma
que, sempre que pertinente, estejam sujeitos a requisitos de conformidade a esta
política e às suas normas complementares.
Art. 5º A Empresa Municipal de Informática S/A - IplanRio elaborará o conjunto de
normas necessárias à operacionalização das diretrizes descritas nesta política.
Art. 6º Estão sujeitos às diretrizes dispostas nesta política os órgãos e entidades da
Administração Pública Municipal.

CAPÍTULO II
TERMOS E DEFINIÇÕES

Art. 7º Para fins desta Portaria considera-se:
I - Área de Informática - é a área responsável pela administração da infraestrutura de
TIC, cumprindo as regras especificadas pelo Gestor da Informação e pelo Órgão
Gestor do Sistema Municipal de Informática;
II - Ativo da Informação - elementos que transformam, transportam, guardam e
descartam dados ou informações, incluindo a própria informação e que se dividem em
6 (seis) grupos: equipamentos, aplicações, usuários, ambientes, informações e
processos;
III - Classificação da Informação - é o grau de sensibilidade de uma informação para o
negócio diante de uma possível quebra de segurança, ou seja, do comprometimento
2


dos princípios básicos de segurança da informação: confidencialidade, integridade e
disponibilidade. A partir da classificação da informação é definido o tipo de tratamento a
qual ela está sujeita (identificação, acesso, distribuição, uso em correios e fax,
reprodução, armazenamento, descarte e transporte);
IV - Confidencialidade - propriedade que garante que a informação só está disponível a
indivíduos ou processos autorizados;
V - Dados - trata-se da informação não processada;
VI - Disponibilidade - propriedade que garante que a informação está disponível às
pessoas e aos processos autorizados, a qualquer momento requerido;
VII - Gestores da Informação - usuário investido de autoridade, responsável pela
classificação e gerenciamento dos acessos à informação;
VIII - Homologação - análise da funcionalidade, testes e aprovações necessárias para a
implantação de recursos de TIC;
IX - Informação - resultado do processamento, manipulação e organização de dados de
tal forma que represente um acréscimo ao conhecimento da pessoa que a recebe,
podendo se apresentar de diversas formas, como texto, imagem, áudio etc.;
X - Integridade - propriedade que garante que informação está intacta e protegida
contra perda, dano ou modificação não autorizada, realizada intencional ou
acidentalmente;
XI - Manutenção Preventiva - conjunto de operações para revisão, inspeção e
preservação dos recursos de TIC;
XII - Mau Uso da Identificação Pessoal - refere-se a qualquer utilização, de essência
dolosa, de privilégios de acesso vinculados à identificação pessoal que comprometa os
princípios da integridade, confidencialidade ou disponibilidade da informação (por ex.:
inserir informações falsas, alterar ou excluir indevidamente informações com a
finalidade de obter vantagem para si ou para outrem);
XIII - Mau Uso da Informação - refere-se a qualquer utilização da informação, de
essência dolosa, que comprometa os princípios da integridade, confidencialidade ou
disponibilidade desta informação (por ex.: prover acesso a informações confidenciais, a
fim de obter vantagem indevida para si ou para outrem);
XIV - Recurso de TIC - são os recursos tecnológicos que transformam, transportam,
guardam e descartam dados ou informações;
3


XV - Sistema de Informação - conjunto de componentes interrelacionados que coletam
(ou recuperam), processam, armazenam e distribuem informações destinadas a apoiar
a tomada de decisões, a coordenação e o controle de uma organização;
XVI - Usuário - qualquer pessoa autorizada pelo Gestor, a ler, inserir ou atualizar
informações.

CAPÍTULO III
DIRETRIZES

Art. 8º São objetivos da Política de Segurança da Informação na PCRJ:
I - Com relação ao tratamento das informações do Município:
a) devem ser classificadas quanto à confidencialidade, integridade e disponibilidade e
identificadas

de

forma

a

serem

adequadamente

acessadas,

manipuladas,

armazenadas, transportadas e descartadas;
b) os controles de segurança devem ser proporcionais à sua classificação e ao nível de
risco ao qual estiver exposta;
c) os riscos devem ser identificados e tratados periodicamente;
d) todos os papéis e responsabilidades relacionados à Segurança da Informação
devem ser claramente definidos e comunicados;
e) servidores públicos, prestadores de serviço e estagiários devem garantir o sigilo das
informações a que tiverem acesso em função de suas competências funcionais,
tomando o cuidado necessário quanto a sua divulgação interna e externa, de acordo
com o nível estratégico e a classificação da informação;
f) considerando o princípio da segregação de funções, todos os processamentos
executados nos Sistemas de Informação da PCRJ devem ter suas responsabilidades
conhecidas e distribuídas de forma que suas várias fases não sejam concentradas em
um único grupo de pessoas.
II - No que diz respeito ao controle de acesso:
a) todo servidor público ou pessoa autorizada deve ter uma identificação única, pessoal
e intransferível, qualificando-o como responsável por qualquer atividade desenvolvida
através desta identificação;

4


b) a concessão de autorização de acessos deve ser restrita aos recursos mínimos
necessários para que os usuários desenvolvam suas competências funcionais;
prestadores de serviço e estagiários devem possuir acesso com prazo limitado ao
período de execução de suas atividades.
III - Quanto à estabilidade do ambiente de TIC:
a) todos os recursos de TIC devem ser identificados de forma individual, controlados,
preservados, protegidos contra acessos indevidos, submetidos à manutenção
preventiva periódica e estar com a documentação atualizada e aprovada pelos setores
responsáveis;
b) a disponibilização de recursos de TIC somente será permitida após atendimento às
determinações desta Política e das respectivas normas de segurança, homologação
pela área de Informática e a autorização dos respectivos responsáveis;
c) todos os ambientes operacionais devem possuir procedimentos formais de backup e
recuperação,

gerenciamento

de

incidentes,

gerenciamento

de

problemas

e

gerenciamento de segurança de seus recursos de TIC.
IV - Quanto à capacitação:
a) os servidores públicos, prestadores de serviço e estagiários devem possuir
conhecimento mínimo para a execução eficaz e segura de suas tarefas, assim como
conhecer as políticas e normas de segurança da PCRJ;
b) os servidores públicos devem receber treinamento em segurança da informação
visando garantir a compreensão precisa das políticas, normas e melhores práticas em
segurança da informação, assim como o cumprimento de seus papéis e
responsabilidades com relação à proteção das informações da PCRJ.
V - Quanto à apuração de responsabilidades e sanções:
a) uma vez comprovado o mau uso das informações pertencentes ao Município e de
seus recursos de TIC, ou o não cumprimento das políticas e normas que visem
protegê-los, ficam seus autores sujeitos a todas as sanções cabíveis;
b) uma vez comprovado o mau uso da identificação pessoal fornecida pelo Município,
ficam seus autores sujeitos a todas as sanções cabíveis.
Parágrafo único. Os recursos considerados críticos à atividade fim dos órgãos e
entidades municipais devem estar resguardados por um plano de contingência que
garanta a continuidade dos serviços, previna e solucione situações de anormalidade. O
5


referido plano deve ser documentado, periodicamente testado e revisado, evitando a
indisponibilidade e, conseqüentemente, impacto à atividade.

CAPÍTULO IV
Responsabilidades
Art. 9º As responsabilidades quanto à Política de Segurança da Informação da PCRJ
são as seguintes:
I. Cabe a todo servidor público, prestador de serviço e estagiário:
a) realizar suas competências funcionais em aderência a todas as políticas, normas e
procedimentos a elas relacionados.
b) observar desvios das políticas, normas e procedimentos estabelecidos e informá-los
ao responsável imediato;
II. Cabe às Chefias Imediatas:
a) informar as necessidades de acesso a sistemas de informação ou serviços, bem
como a autorização de atualização ou exclusão de acessos dos usuários de sua área,
aos respectivos gestores ou administradores;
b) atuar junto a seus servidores subordinados na construção e implantação de
processos de trabalho que promovam a segurança da informação com base nas
políticas e normas de segurança da PCRJ.
III - Cabe ao Gestor da Informação:
a) administrar os acessos dos usuários às informações: definir perfis de acesso, prover
ou solicitar formalmente estes acessos, revisá-los periodicamente e promover, a tempo,
o cancelamento dos mesmos;
b) classificar as informações sob sua gestão em níveis de sensibilidade diante de uma
possível quebra de segurança, ou seja, de sua confidencialidade, integridade e
disponibilidade;
c) validar, testar e autorizar a passagem para a produção de sistemas e aplicações.
IV - Cabe à IplanRio:
a) regulamentar as políticas e normas relacionadas à segurança da informação;
b) promover a divulgação das políticas, normas e melhores práticas de segurança da
informação para todos os órgãos e entidades municipais;

6


c) promover a cultura da segurança da informação por meio de ações de
conscientização;
d) definir, prover e administrar, direta ou indiretamente, modelos e métodos de
gerenciamento de TIC que promovam uma eficaz e segura prestação destes serviços à
administração municipal;
e) garantir os níveis de alinhamento das atividades de TIC a todas as políticas, normas
e procedimentos de segurança estabelecidos.
V - Caberá aos órgãos e entidades municipais tomarem as medidas necessárias à
consecução e manutenção de sua conformidade com todas as políticas e normas de
segurança da PCRJ.

CAPÍTULO V
DAS DISPOSIÇÕES FINAIS

Art. 10. Estas diretrizes devem ser revisadas e atualizadas pela Iplanrio à medida que
se agreguem novos valores às atividades da P.C.R.J., ou dentro do intervalo de 1 (um)
ano.
Art. 11. Complementam a Política de Segurança da Informação as normas de
segurança da informação a serem editadas em portarias específicas.

7