Source: http://docplayer.com.br/2764300-Artigo-1o-aprovar-revisao-da-politica-de-seguranca-da-prodeb-que-com-esta-se-publica.html
Timestamp: 2019-01-20 13:38:57+00:00
Document Index: 37440655

Matched Legal Cases: ['Artigo 1', 'Artigo 1', 'Artigo 6', 'Artigo 1', 'Artigo 2', 'Artigo 3']

Artigo 1º - Aprovar revisão da Política de Segurança da PRODEB, que com esta se publica. - PDF
Download "Artigo 1º - Aprovar revisão da Política de Segurança da PRODEB, que com esta se publica."
Sílvia de Sousa Gentil
1 Classificação: RESOLUÇÃO Código: RP Data de Emissão: 01/08/2007 O DIRETOR PRESIDENTE da Companhia de Processamento de Dados do Estado da Bahia - PRODEB, no uso de suas atribuições e considerando o disposto no Artigo 6º do Regimento Interno, RESOLVE: Artigo 1º - Aprovar revisão da Política de Segurança da PRODEB, que com esta se publica. Artigo 2º - Revogar a RP de 10/04/2003. Artigo 3º - Esta Resolução entra em vigor na data de sua divulgação. Salvador, 1º de agosto de Alexandre Vasconcelos Junqueira DIRETOR PRESIDENTE original assinado pelo titular. 1
2 POLÍTICA DE SEGURANÇA DA PRODEB RESUMO Este documento estabelece as políticas e diretrizes de segurança no ambiente da PRODEB, assim como sua abrangência em relação às diversas áreas da empresa, nos seguintes aspectos: Segurança de pessoas, física e de ambiente Segurança de redes de computadores; Segurança em sistemas e aplicativos. SUMÁRIO 1. OBJETIVO 2. CONCEITUAÇÃO 3. DIRETRIZES 4. POLÍTICA DE SEGURANÇA DE PESSOAS, FÍSICA E DE AMBIENTE 4.1. Quanto à Contratação e Gestão de Pessoas 4.2. Quanto à Segurança Patrimonial 4.3. Quanto ao Controle de Acesso Físico 4.4. Quanto à Alienação Segura 4.5. Quanto à Gestão Ambiental 5. POLÍTICA DE SEGURANÇA DE REDES DE COMPUTADORES 5.1. Quanto aos Meios Lógicos e Físicos 5.2. Quanto à Monitoração 5.3. Quanto à Documentação 5.4. Quanto ao Controle de Acesso Lógico 6. POLÍ TICA DE SEGURANÇA EM SISTEMAS E APLICATIVOS 6.1. Quanto aos Aplicativos 6.2. Quanto aos Sistemas Operacionais, Softwares Básicos e Dados 7. RESPONSABILIDADES 7.1. Responsabilidades da Diretoria 7.2. Responsabilidades do Comitê de Segurança Integrada 7.3. Responsabilidades da Assessoria de Segurança Integrada 7.4. Responsabilidades das Gerências 7.5. Responsabilidades dos Colaboradores 2
3 1. OBJETIVO O objetivo desta política de segurança é orientar as ações e procedimentos que garantam a continuidade e competitividade do negócio da PRODEB. 2. CONCEITUAÇÃO Acordo de Confidencialidade - Cláusula ou instrumento contratual que contém responsabilidades, direitos e deveres dos empregados, prestadores e prospectores de serviços, tais como leis de direito autorais ou de proteção de dados, bem como a extensão da responsabilidade para fora das dependências da organização e após a rescisão do vínculo contratual. Ambiente de Desenvolvimento - Instalações de processamento de dados cuja plataforma tecnológica destina-se ao uso exclusivo dos técnicos desenvolvedores de aplicativos. Ambiente de Produção - Instalações de processamento de dados cuja plataforma tecnológica destina-se ao armazenamento e execução dos aplicativos. Ambiente de Teste - Instalações de processamento de dados cuja plataforma tecnológica destina-se a testes de execução dos aplicativos, compreendendo, também, homologação. Análise de Risco - Processo pelo qual são relacionados os eventos, os impactos e avaliadas as probabilidades destes se tornarem reais. Aplicativo - Arquivo executável, autônomo, para realização de tarefa específica. Arquivo de log - Registro detalhado de todas as transações efetuadas durante a utilização de um aplicativo e necessário ao rastreamento do seu uso. Ativo - Patrimônio composto por bens e direitos da PRODEB. Ativo Tecnológico Equipamentos ou programas de computador que suportam o ambiente organizacional e de negócios da PRODEB. Colaborador Empregado ou pessoa que presta serviços a PRODEB, sejam através de Contrato Individual de Trabalho, ou por vínculo a um Contrato de Prestação de Serviço. Componente de Rede - Equipamento empregado na rede, incluindo sua infra-estrutura, para comunicação, gerência e supervisão, incluindo hardware e software. Configuração - Conjunto de características físicas e funcionais de hardware e software necessárias ao seu adequado funcionamento. Gestor Titular das unidades organizacionais da PRODEB ou responsáveis por projetos e sistemas. 3
4 Risco Resultado objetivo da combinação entre a probabilidade de ocorrência de um determinado evento e o impacto resultante. Usuário - Pessoa autorizada a utilizar os serviços prestados pela PRODEB. 3. DIRETRIZES 3.1. Segurança Orientada ao Negócio As ações de segurança serão sempre planejadas e aplicadas em função da avaliação dos riscos para o negócio da organização. A disponibilidade, uso, acesso e proteção das informações e recursos envolvidos, devem ocorrer sempre de forma a preservar a continuidade e a competitividade da PRODEB, em sua área de atuação Abrangência e Divulgação A Política de Segurança da Informação da PRODEB abrange todos os seus colaboradores, independente do vínculo, e deve ser divulgada para toda a comunidade usuária, que deve ser formal e expressamente comunicada sobre suas responsabilidades Avaliação de Riscos A avaliação de riscos na PRODEB deve ser periódica, devendo fazer parte do escopo os ativos tecnológicos, processos, ambientes e pessoas, estabelecendo os níveis atualizados e as ações corretivas necessárias Propriedade da Informação Toda informação armazenada ou mantida pela PRODEB é considerada de propriedade da organização gestora dessa informação. A informação deve estar adequadamente protegida, qualquer que seja o meio de armazenamento, contra violação, alteração, destruição, acesso não autorizado e divulgação indevida. Os responsáveis por seu armazenamento, guarda e manuseio respondem por sua integridade, uso ou divulgação Classificação da Informação Toda informação armazenada ou mantida pela PRODEB deve ser classificada quanto à sua confidencialidade, integridade e disponibilidade. A guarda, disponibilização, circulação e descarte das informações, devem ser disciplinados por procedimentos, formalmente estabelecidos Responsabilidade Cada colaborador que tenha acesso ou manipule informações armazenadas ou mantidas pela PRODEB é considerado responsável pela segurança dos ativos e informações que estejam sob sua custódia assim como por todos os atos executados sob sua chancela conforme identificações de acesso Menor Privilégio O colaborador deve ter acesso apenas às informações, ativos e ambientes imprescindíveis ao pleno desenvolvimento do seu trabalho Cláusulas Contratuais Todas as garantias necessárias ao cumprimento desta Política de Segurança devem ser estabelecidas contratualmente junto aos prestadores de serviço e aos clientes-parceiros. Os contratos devem prever os requisitos de segurança pertinentes, regras de conduta internas e externas, responsabilidades das partes durante a execução do contrato e as penalidades aplicáveis em caso de não cumprimento de cláusulas relativas à segurança da informação Sigilo Todos os colaboradores da PRODEB devem assinar o Acordo de Confidencialidade. No caso dos prestadores de serviço, o sigilo deve ser também observado em cláusulas contratuais Cultura de Segurança - As pessoas contratadas pela PRODEB, a qualquer título, devem ser treinadas e mantidas atualizadas para o pleno exercício de suas funções, bem como sobre as políticas, normas e procedimentos de segurança. 4
5 3.11. Continuidade dos Negócios - Todos os elementos necessários para a plena continuidade do negócio devem ter sua operacionalidade garantida Ambiente Tecnológico O ambiente tecnológico deve ser mantido atualizado para atender aos níveis de segurança e de qualidade requeridos. A incorporação de novas tecnologias deve ocorrer sem o comprometimento dos níveis de segurança preestabelecidos. 4. POLÍTICA DE SEGURANÇA DE PESSOAS, FÍSICA E DE MEIO AMBIENTE 4.1 Quanto à Contratação e Gestão de Pessoas: A contratação de colaboradores, a qualquer título, deve observar a legislação específica vigente e considerar referências de caráter pessoal, profissional e acadêmica; Os gestores devem ser orientados a observar o comportamento e desempenho dos seus colaboradores, identificando problemas de ordem pessoal que possam comprometer a segurança da organização; A contratação de colaboradores, a qualquer título, materiais, equipamentos e serviços, deve contemplar dispositivos que garantam o pleno cumprimento das políticas, normas e procedimentos de segurança em vigor na PRODEB, prevendo sanções no caso de descumprimento ou negligência na sua aplicação; O colaborador à disposição de outro Órgão ou Instituição, em qualquer nível ou esfera de Governo, fica subordinado às suas políticas, normas e procedimentos de segurança, específicos de cada um deles Quando do desligamento de colaboradores, devem ser revogados todos os seus dispositivos de acesso, físico e lógico, e o seu ingresso nas instalações da PRODEB deve obedecer aos mesmos critérios definidos para visitantes; Medidas e procedimentos que eliminem o risco de acesso não autorizado, perda e danos às informações que possam comprometer a segurança, devem ser definidos e divulgados entre os colaboradores. 4.2 Quanto à Segurança Patrimonial: O perímetro de segurança das instalações físicas da PRODEB deve ser definido e protegido de acessos não autorizados; Os recursos de tecnologia da informação e comunicação devem estar abrigados em instalações apropriadas, sendo o seu acesso restrito a pessoas autorizadas; Os ambientes físicos, internos e externos da PRODEB, devem ser classificados quanto ao grau de riscos e ameaças, com o intuito de disciplinar as ações de proteção; Os projetos de construção e reforma devem atender a todos os requisitos de segurança vigentes; 5
6 A PRODEB deve possuir planos específicos que envolvam a plena conservação de suas instalações físicas e edificações; A PRODEB deve possuir mecanismos securitários, para cobertura do seu patrimônio; A infra-estrutura e insumos necessários à continuidade do negócio devem ser protegidos e ter sua disponibilidade garantida. 4.3 Quanto ao Controle de Acesso Físico: O acesso físico deve ser controlado e orientado, de maneira a disciplinar a movimentação e circulação de pessoas, materiais, equipamentos e veículos. 4.4 Quanto à Alienação Segura: Na alienação ou reutilização de equipamentos deve ser assegurada a remoção de informações classificadas como confidenciais e restritas. 4.5 Quanto à Gestão Ambiental: A preservação do meio ambiente natural, no tocante à conservação das áreas internas e circunvizinhas, deve ser garantida; O descarte de materiais tóxicos ou poluentes deve ser formalmente disciplinado. 5. POLÍTICA DE SEGURANÇA DE REDES DE COMPUTADORES 5.1. Quanto aos Meios Lógicos e Físicos: Todos os componentes de rede devem ser classificados de acordo com sua criticidade para a continuidade do negócio e preservados quanto às ameaças físicas e ambientais; As informações que trafegam no ambiente de rede, devem ter garantidas a integridade e a confi dencialidade, em conformidade com sua classificação; Os ativos de rede só podem ser utilizados após a sua adequação aos padrões de segurança adotados pela PRODEB; Os ativos de rede somente devem ser liberados para uso após a efetiva homologação, realizada em ambiente apropriado, distinto do ambiente de Produção, e devidamente documentada; As intervenções no ambiente de rede só podem ser permitidas mediante autorização formal e competente supervisão. 6
7 5.2. Quanto à Monitoração: O ambiente de rede deve ser monitorado, e esta ação deve ser obrigatoriamente documentada; As responsabilidades quanto à execução e análise crítica da documentação gerada devem ser definidas Quanto à Documentação: As documentações referentes à: topologia; descrição da rede; conexões externas; inventário; e configuração dos ativos deve ser mantida atualizada e sempre preservando os registros históricos Quanto ao Controle de Acesso Lógico: O acesso lógico à rede deve ser controlado de forma centralizada, através de procedimentos formais a partir do perfil de cada usuário, no qual estará definido seu nível de autorização; Todo serviço de rede não autorizado deve ser bloqueado ou desabilitado; Todas as transações em rede devem, obrigatoriamente, estar protegidas através de mecanismos de segurança; A criação de conta de acesso lógico para uso coletivo não é permitida quando se fizer necessário garantir a responsabilização individual. 6. POLÍTICA DE SEGURANÇA EM SISTEMAS E APLICATIVOS 6.1. Quanto aos Aplicativos: O gestor do aplicativo deve ser definido formalmente; Para cada aplicativo deve ser desenvolvido um plano de segurança, incluindo contingenciamento; A documentação das aplicações deve ser mantida atualizada; Os acessos a aplicativos devem ser gerenciados objetivando controle de permissões e rastreamento, de acordo com as definições de perfis de usuários por funcionalidade; Ambientes distintos devem ser definidos para desenvolvimento, teste e produção de aplicativos; Os aplicativos e versões só devem ser disponibilizados em Produção devidamente homologados; 7
8 As versões de desenvolvimento e de produção devem ser controladas e armazenadas com suas respectivas configurações de ambiente tecnológico; A PRODEB deve estabelecer mecanismos de proteção de direitos autorais sobre os aplicativos desenvolvidos por ela ou sob encomenda; Os aplicativos devem ser desenvolvidos adotando ferramentas e metodologia padronizadas pela PRODEB; Todos os registros de ocorrência, tais como arquivos de logs e notificações, previstos pelo perfil do aplicativo, devem ser obrigatoriamente mantidos de forma a permitir a plena recuperação de informações em caso de falhas e auditorias de violação de segurança Quanto aos Sistemas Operacionais, Softwares Básicos e Dados: Todo o acervo de softwares e dados mantidos pela PRODEB em conformidade com seu perfil de utilização e especificidades, deve ser passível de recuperação a partir de cópias de segurança; A instalação de softwares no ambiente de Produção deve ser formalmente aprovada pela PRODEB; O ambiente operacional deve ser monitorado, registrando as ocorrências que sejam necessárias para contabilização do uso de recursos, recuperação de informações em situações de falhas, auditorias e rastreamento de tentativas de violação. 7. RESPONSABILIDADES 7.1. Responsabilidades da Diretoria: Assegurar os recursos necessários à implementação da Política de Segurança; Aprovar o Plano de Tratamento de Riscos; Garantir o cumprimento da Política de Segurança definida neste documento; Garantir a continuidade do negócio da PRODEB Responsabilidades do Comitê de Segurança Integrada Promover e acompanhar as ações decorrentes da implementação e administração da Política de Segurança da PRODEB Responsabilidades da Assessoria de Segurança Integrada ASI Garantir a elaboração de Planos de Ação específicos, objetivando a implementação da Política de Segurança da PRODEB; Gerenciar o cumprimento da Política de Segurança da PRODEB; 8
9 Revisar periodicamente a Política de Segurança sugerindo ações que se façam necessárias; Elaborar e executar Planos de Auditoria com base na Política de Segurança da PRODEB; Garantir a conformidade da PRODEB com a sua Política de Segurança Responsabilidades das Gerências: Implementar as ações de segurança definidas pela empresa; Garantir que os colaboradores sob sua supervisão compreendam e realizem ações que visem proteger os ativos da PRODEB Responsabilidades dos Colaboradores: Cumprir a Política de Segurança da PRODEB; Comunicar formalmente à Assessoria de Segurança Integrada qualquer irregularidade ou desvio de segurança. 9