15.3.93 JornalOficialdasComunidadesEuropeias N?C73/19
oníveldeperdasdepostosdetrabalhopodeparecer
reduzidoquandocomparadocomasperdasdepos­
tosdetrabalhosmassivasnasgrandesempresas;
todavia,osefeitospoderãoserbemmaisgravesnas
PMEenvolvidas.existeoperigodeosdonosdaobraviremaoptar
porfornecedoresdepaísesdoterceiromundo,que
praticampreçosmaisbaixos;
emborasejaconhecidaacapacidadedeadaptação
dasPME,sãonecessáriosprogramasdediversifi­
caçãoqueasapoiem;
FeitoemBruxelas,em27deJaneirode1993.
OPresidente
doComitéEconómicoeSocial
SusanneTIEMANN
Parecersobreapropostaderecomendação doConselhorelativaaCritériosComunsde
AvaliaçãodaSegurançanasTecnologiasdeInformação
(93/C73/05)
Em29deSetembrode1992oConselhodecidiu,nostermosdoartigo198?doTratadoque
instituiaComunidadeEconómicaEuropeia,consultaroComitéEconómicoeSocialsobrea
propostasupramencionada .
ASecçãodaIndústria,doComércio,doArtesanatoedosServiços,encarregadadoscorrespon­
dentestrabalhosdoComité,emitiuparecerem6deJaneirode1993.FoirelatoraJ.Barrow.
Na302?reuniãoplenária(sessãode27deJaneirode1993),oComitéEconómicoeSocial
adoptouporunanimidadeoparecerquesesegue.
1.Introdução
1.1.ApropostaapresentadapelaComissãotempor
objectivomelhoraraconfiançadosconsumidoresnas
características desegurançadosprodutosdastecnolo­
giasdainformação,bemcomoestabelecerpontosde
referênciaemrelaçãoaosquaisessascaracterísticas
podemseravaliadas.Apropostadesenvolveostraba­
lhosjárealizadosnosEstados-membros ,bemcomonos
EUAenoJapão,sobreaevoluçãodoscritériosde
avaliaçãodasegurançadasTI.
1.2.Apropostarecomenda :
i)quesejamadoptadosCritériosdeAvaliaçãoda
SegurançanasTecnologiasdaInformação (ITSEC)
naCEporumperíodoinicialde2anos;
ii)queprossiga,sobosauspíciosdoSOG-IS(«Sénior
OfficiaísGroupforSecurityofInformation
Systems»—grupodealtosfuncionáriosparaa
segurançanossistemasdeinformação),oprocesso
deharmonização enormalizaçãointernacionaldes­
tescritérios;iii)quesejamrevistasestasmedidasapósoperíodo
inicialde2anoseapresentadapropostadoSOG­
-ISrelativaaacçõescomunitáriasadequadasposte­
riores.
1.3.OITSECcompreendecritériosnormalizados
paraaavaliaçãodasegurançadosprodutosesistemas
deTI,abrangendotantoo«software»comoo«hard­
ware».
1.4.Estescritériosdeverãoseraplicadosaosprodu­
tosesistemasdeTI,noâmbitodesistemasnacionais
decertificação,pororganismosdeavaliaçãoindepen­
denteseimparciaiseapedidodo«patrocinador »(regra
geral,ovendedorououtilizadordosistema/produto
deTI).Assim,acertificaçãoéinteiramentevoluntária.
1.5.AsegurançadasTecnologiasdaInformação
englobatrêsaspectos:
—confidencialidade —prevençãodadivulgaçãonão
autorizadadeinformações ;

N?C73/20 JornalOficialdasComunidadesEuropeias 15.3.93
—integridade—prevençãodamodificaçãonãoauto­
rizadadeinformações ;
—disponibilidade —prevençãodaretençãonãoauto­
rizadadeinformaçõesourecursos.
1.6.OsITSECnãocontemplamaspectosfísicosde
protecçãodasegurança(comofechadurasouferrolhos),
masabrangemo«hardware»,o«software»eosmicro­
programasnosprodutosesistemasdeTI.
1.7.Umpatrocinadorquepretendaobterumaava­
liaçãodasegurançadoseuprodutoousistemadeTI,
deverádefiniro«alvodesegurança»queserviráde
referênciaparaaavaliaçãodaqueleprodutoousistema.
Estealvodesegurançadeverádefiniros«objectivosde
segurança»relevantesaqueoproduto/sistemadeTI
deverácorresponder ,assuas«funçõesdemanutenção
dasegurança»,asameaçaspotenciaisaoprodutoou
sistemadeTIe,atítuloopcional,os«mecanismosde
segurança»—alógicaouosalgoritmosquepermitem
aplicarasfunçõesdesegurança.
1.8.Aavaliaçãorealiza-seadoisníveis.Emprimeiro
lugar,avalia-seseaselecçãoeaintegraçãodasfunções
demanutençãodasegurançanodecursododesenvolvi­
mentodoproduto/sistema,eomodocomosãoutiliza­
das,estãocorrectos.Emsegundolugar,avalia-seseo
sistemaouoprodutosatisfazemeficazmenteosobjecti­
vosdesegurança.EconómicoeSocial,emparticularnoseuparecersobre
aspropostasdedirectivasrelativasàprotecçãodos
indivíduosnoâmbitodoTratamentodeDadosPessoais
esobreapropostadedecisãodoConselhonoDomínio
daSegurançadaInformação(*),salientaramrepetida­
menteaimportânciadesteproblema.
2.2.Aintroduçãodecritériosnormalizadosparaa
avaliaçãodecaracterísticas desegurançapermitiráaos
utilizadoresquetenhamidentificadoosriscosquelhes
dizemrespeitoseleccionarem osprodutosousistemas
adequadosàssuasnecessidades ,e,emconsequência ,
permitiráevitarqueosutilizadoresinvistamexcessiva­
menteemcaracterísticas desnecessárias oudeixemde
tercontrolosobreosriscosrelacionadoscomasegu­
rança.
2.3.Umsistemadecertificaçãopermitiráigualmente
comprovarajustezadasinformaçõesdosfornecedores
sobreasegurançaintrínsecadosseusprodutosesiste­
mas.Alémdisso,aexistênciadecritériosnormalizados
paraavaliaracapacidadedefunçõesdemanutenção
dasegurançaincorporadasemprodutosdiferentescom
vistaaprevenirriscossemelhantestornamaisfácila
comparaçãoentreprodutosconcorrentes .Istoéparti­
cularmenteimportantenaáreadosprocessosdeadjudi­
caçãodecontratospúblicos,sendotambémútilparaa
indústriaprivadaeocomércio.
2.4.Osvendedoresdeprodutosdesegurançaque
tenhamsidosubmetidosaavaliaçãodesegurançadeve­
riampodermelhorarasvendasdosseusprodutos
atravésdeumautilizaçãoadequadadacertificação.De
igualmodo,istodeveriatornar-lhesmaisfácilorientar
odesenvolvimento futurodosseusprodutosparaas
necessidadesdomercado.
2.5.Aexistênciadecritériosnormalizados ésuscep­
tíveldefacilitaraintroduçãodecódigosdeconduta
oudelegislaçãoqueestabeleçamnormasmínimasde
segurançaaceitáveisnosprodutosousistemasdeTI,
semprequetalsejustifique,porexemplonaáreada
protecçãodedados.
2.6.Aaplicaçãodecritériosdesegurançadeverá
permitirmelhoraraimagemexteriordequalidadedos
produtoscomunitários eencorajarasexportaçõesda
Comunidade .
2.7.Aharmonização denormasétambémpositiva
naperspectivadefacilitaralivrecirculaçãodemercado­
riasnaCEedereduziraomínimoautilizaçãodoartigo
36?doTratadopelosEstados-membros eosrecursos
paraoTribunaldeJustiça.OComitésalientoujá
aimportânciadanormalizaçãoparaarealizaçãodo
mercadointerno,noseurelatórioeparecersobrea
normalização eaeliminaçãodosentravestécnicosàs
trocascomerciais(2).
2.8.OComitéaprovaquenadefiniçãodecritérios,
sehajatidoemcontaoscritériosaplicáveisempaíses1.9.Opatrocinadorsolicitaráqueseavalie,com
baseemníveisdeavaliaçãoquevariamentreE0(o
nívelmaisbaixo)eE6(omaiselevado),seasfunções
demanutençãodasegurançasãoexecutadasdemodo
correctoeadequado.Cadaníveldeavaliaçãocorres­
pondeaumexamemaisrigorosodosistema/produto.
Aavaliaçãodaeficáciadosistemaouprodutopara
alcançarosalvosdesegurançarealizar-se-áemseguida
combasenaavaliaçãodaconformidade edacapacidade
dosmecanismosdesegurançaderesistiremaumataque
directo,deacordocomumaclassificaçãoemtrêsníveis:
elementar,médio,elevado.
1.10.Nofinaldaavaliação,oorganismonacional
independenteatribuiráumacotaçãoentreE0eE6,que
confirmaráseoprodutosatisfaztodososcritériosde
conformidade eseéeficazaonívelpretendido.
2.Observaçõesnageneralidade
2.1.OComitéacolhefavoravelmente apropostae
aprovaosseusobjectivos.Osprodutosesistemasde
TIdesempenham umpapelcadavezmaisimportante
nasociedade,eosprejuízosquepodemresultarde
quebraseventuaisdesegurançaaumentaramproporcio­
nalmente.TantooParlamentoEuropeucomooComité(1)JOn?C159de17.6.1991.
(2)JOn?C14de20.1.1992.

15.3.93 JornalOficialdasComunidadesEuropeias N?C73/21
foradaEuropa,emparticularnosEstadosUnidosda
América.OComitésolicitounopassadoquefossedada
atençãoàsvantagensdanormalizaçãoanívelmundial,
demodoaevitarosentravestécnicosàstrocascom
paísesterceiros.OComitéreafirmaqueosITSECeuro­
peusnãodeverãotornar-seumentraveinvisívelàs
trocas.
2.9.OComitéaprovaqueosITSECtenhamsido
definidosnasequênciadeconsultasàspartesenvolvidas
naproduçãoenautilizaçãodeprodutosesistemasde
TI,esublinhaaimportânciadeasseguraracontinui­
dadedoprocessodeconsulta.
3.Observaçõesnaespecialidade
3.1.OComitélamentaaexcessivautilizaçãodelin­
guagemtécnicapoucoclaranocorpodarecomendação ,
quetornadesnecessariamente difícilacompreensãoda
proposta.
3.2.OComitéaprovaaseparaçãoentrefuncionali­
dadeerequisitosdegarantianoscritériosquepermitem
aplicarosITSECaumagrandevariedadedeprodutos
esistemasdeTI.
3.3.OComitéaprovaapropostadereavaliara
evoluçãodasegurançadossistemasdetecnologiade
informaçãoapósoperíodode2anosdevigilânciapeloSOG-ISeaconsultaadicionaldaindustriaedos
utilizadores.Aprovaigualmenteaintençãodeassegurar
oreconhecimento mútuodacertificaçãonacionalem
todaaComunidade ,masconsideraquesedeverialevar
maisemcontacertaspreocupaçõesmanifestadaspelos
utilizadoresquantoaosseguintesaspectos:
a)saberseépossível,naprática,tornarasavaliações
suficientemente precisasparaseremcomercialmente
úteis;
b)quefazercomasdiferenças,quepodemsernumero­
sas,entreosdiversosmodelosdecadaprodutode
tecnologiadainformação;
c)métodosaaplicarnoprocessodeavaliaçãoecomo
asseguraracoerênciadeacçãoentreosorganismos
nacionaisdecertificação;
d)nofuturo,seráounãoexigidaumanormadetermi­
nadanossistemasprivadosoupúblicosaoabrigo
delegislaçãocomunitáriaoudeumcódigodecon­
duta,porexemploemrelaçãoasistemasdedados
pessoais?;
e)comoassegurar,nocontextodestaindústriaem
rápidaevolução,queasavaliaçõesrelativasàsegu­
rançasejamefectuadascomaceleridadenecessária
equeoscritériosdeavaliaçãosejamregularmente
actualizados ?
FeitoemBruxelas,em27deJaneirode1993.
OPresidente
doComitéEconómicoeSocial
SusanneTIEMANN