PORTARIA Nº 449/2022
Institui regras para a Gestão de Identidade e o Controle de Acesso Físico e Lógico ao ambiente cibernético do Tribunal Regional Eleitoral de Roraima.
O Diretor-Geral do Tribunal Regional Eleitoral de Roraima, no uso de suas atribuições legais e regimentais,
CONSIDERANDO a necessidade de definir processos de gestão de identidade e controle de acesso físico e lógico aos ativos de informação;
CONSIDERANDO que a segurança da informação e a proteção de dados pessoais são condições essenciais para a prestação dos serviços jurisdicionais e administrativos;
CONSIDERANDO, ainda, que o acesso à informação, assim como aos recursos de processamento das informações e aos processos de negócios, deve ser controlado com base nos requisitos de negócio e da segurança da informação;
CONSIDERANDO a Resolução CNJ n.º 396/2021, que instituiu a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ);
CONSIDERANDO a Resolução TSE n.º 23.644/2021, que instituiu a Política de Segurança da Informação (PSI) no âmbito da Justiça Eleitoral;
CONSIDERANDO a NC 07/IN01/DSIC/GSIPR, de 15 de julho de 2014, que estabeleceu diretrizes para implantação de controles de acesso relativos à segurança da informação e das comunicações na Administração Pública Federal;
CONSIDERANDO as boas práticas de segurança da informação previstas nas normas ABNT ISO/IEC 27001 e ABNT ISO/IEC 27002; e
CONSIDERANDO as recomendações do Acórdão 1.603/2008-TCU, item 9.1.3, sobre a importância dos controles de acesso,
RESOLVE:
Art. 1º Fica instituída a Norma de Gestão de Identidade e Controle de Acesso Físico e Lógico relativa à segurança da informação e comunicação no âmbito do Tribunal Regional Eleitoral de Roraima (TRERR).
Art. 2º Esta norma integra a Política de Segurança da Informação da Justiça Eleitoral, estabelecida pela Resolução TSE n. 23.644/2021.
DOS CONCEITOS E DEFINIÇÕES
Art. 3º Para efeitos desta norma, consideram-se os termos e definições previstos na Portaria DG/TSE n. 444/2021, aplicando-se, de forma subsidiária, aqueles estabelecidos no Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República.
DOS PRINCÍPIOS
Art. 4º O controle de acesso é regido pelos seguintes princípios:
I - necessidade de saber: os usuários deverão ter acesso somente às informações necessárias ao desempenho de suas tarefas;
II - necessidade de uso: os usuários deverão ter acesso apenas aos ativos (equipamentos de TI, sistemas, aplicações, procedimentos, salas) necessários ao desempenho de suas tarefas;
III - privilégio mínimo: deverão ser conferidos apenas os privilégios necessários para que o usuário realize a sua função na organização;
IV - segregação de funções: consiste na separação das funções desempenhadas no controle de acesso, por exemplo, pedido de acesso, autorização de acesso e administração de acesso.
DO ESCOPO E DO ÂMBITO DE APLICAÇÃO
Art. 5º Esta Norma de Gestão de Identidade e Controle de Acesso Físico e Lógico relativos à segurança da informação e comunicação tem o objetivo de:
I - estabelecer diretrizes para implantação de controles de acesso físico e lógico;
II - assegurar a confidencialidade, integridade e disponibilidade dos ativos de informação e comunicação sob a responsabilidade deste TRERR.
Art. 6º Esta Norma se aplica a todos os magistrados, servidores efetivos e requisitados, ocupantes de cargo em comissão sem vínculo efetivo, estagiários, prestadores de serviço, colaboradores e usuários externos, outros órgãos públicos ou entidades privadas contratadas ou com parcerias celebradas, acordos de cooperação de qualquer tipo, convênios e termos congêneres que fazem uso dos ativos de informação e de processamento no âmbito do TRERR.
§ 1º Os contratos celebrados pelo TRERR deverão atender aos requisitos desta política.
§ 2º Os destinatários desta norma, relacionados no caput, são corresponsáveis pela segurança da informação e comunicação, de acordo com os preceitos estabelecidos neste normativo.
DO CONTROLE DE ACESSO FÍSICO
Do perímetro de segurança
Art. 7º A Comissão de Segurança da Informação (CSI) deve definir o perímetro de segurança física para proteção das instalações de processamento e armazenamento da informação (datacenter) e das demais áreas que contenham informações críticas ou sensíveis.
Art. 8º As instalações do datacenter devem atender às seguintes diretrizes:
I - paredes fisicamente sólidas, sem brechas nem pontos por onde possa ocorrer uma invasão, portas externas adequadamente protegidas por mecanismos de controle contra acesso não autorizado, sem janelas ou, na impossibilidade, com janelas com proteção externa;
II - videomonitoramento de sua área interna e de seu perímetro;
III - controle de acesso físico às áreas e instalações, sob a responsabilidade da Coordenadoria de Polícia Judicial utilizando-se dos mecanismos necessários para o controle e registro de data e hora de todas as entradas e saídas, sejam de servidores, visitantes ou prestadores de serviço, permitindo-lhes o acesso, desde que previamente autorizados;
IV - mecanismos de autenticação de multifatores, para as instalações de processamento, armazenamento e comutação de dados, restritas ao pessoal autorizado;
V - portas corta-fogo com sistema de alarme, monitoradas, que funcionem de acordo com os códigos locais, para minimizar os riscos de ameaças físicas potenciais;
VI - sistemas para detecção de intrusos em todas as portas externas e janelas acessíveis;
VII - instalações de processamento e armazenamento das informações que sejam projetadas para minimizar os riscos de ameaças físicas potenciais, tais como fogo, inundação, terremoto, explosão, manifestações civis, contra-ataques maliciosos, fumaça, furtos;
VIII - edifícios que sejam dotados de proteção contra raios e que, em todas as linhas de entrada de força e de comunicações, tenham filtros de proteção contra raios;
IX - alimentações alternativas de energia elétrica e telecomunicações, com rotas físicas diferentes;
X - iluminação e comunicação de emergência;
XI - sistema de controle de temperatura e umidade com recurso de emissão de alertas.
Art. 9º As diretrizes para proteção das demais áreas que contenham informações críticas ou sensíveis que não estejam armazenadas no datacenter devem ser estabelecidas pela CSI, observadas as legislações vigentes.
Dos equipamentos de processamento e armazenamento
Art. 10. Para evitar perdas, danos, furtos ou comprometimento de ativos e interrupção das operações da organização, o TRERR deve seguir as seguintes diretrizes:
I - adotar controles para minimizar o risco de ameaças físicas potenciais e ambientais, como furto, incêndio, explosivos, fumaça, água, poeira, vibração, efeitos químicos, interferência com o suprimento de energia elétrica, interferência com as comunicações, radiação eletromagnética e vandalismo;
II - verificar se os suprimentos de energia elétrica, telecomunicações, água, gás, esgoto, calefação/ventilação e sistema de ar-condicionado estejam em conformidade com as especificações do fabricante do equipamento e com os requisitos legais da localidade;
III - adotar controles para evitar a retirada de equipamentos do TRERR sem prévia autorização da unidade competente, conforme regulamentação específica;
IV - utilizar, sempre que possível, racks que disponham de fechaduras com chave ou mecanismo semelhante, garantindo que apenas a(s) equipe(s) responsáveis pelos ativos instalados nos racks tenham acesso físico a eles.
Da segurança do cabeamento
Art. 11. O cabeamento de energia elétrica e de telecomunicações que transporta dados ou dá suporte aos serviços de informações deve ser protegido contra interceptação, interferência ou danos, conforme as seguintes diretrizes:
I - as linhas de energia elétrica e de telecomunicações que entram nas instalações de processamento da informação devem ser subterrâneas ou ficar abaixo do piso, sempre que possível, e devem atender aos requisitos mínimos de proteção;
II - os cabos de energia elétrica devem ser segregados dos cabos de comunicação, para evitar interferências.
Da manutenção externa dos equipamentos
Art. 12. A manutenção dos equipamentos de processamento de informações deve seguir as seguintes diretrizes:
I - ser realizada somente por pessoal de manutenção identificado e autorizado;
II - manter registro de todas as falhas, constatadas ou suspeitas, e de todas as operações de manutenção preventiva e corretiva realizadas;
III - eliminar as informações sensíveis do equipamento, quando possível, ou tratar de forma alternativa os riscos de sua exposição;
IV - inspecionar o equipamento, após a manutenção, para garantir que não foi alterado indevidamente e que está em perfeito funcionamento.
Da reutilização ou descarte seguro dos equipamentos ou dos equipamentos em prova de conceito
Art. 13. Todos os equipamentos que contenham mídias de armazenamento de dados devem ser examinados antes da reutilização ou descarte, para assegurar que dados sensíveis e softwares licenciados tenham sido removidos ou sobregravados com segurança.
Parágrafo único. As mídias que contenham informações com acesso restrito de propriedade intelectual devem ser apagadas fisicamente; da mesma forma, as informações devem ser destruídas, apagadas ou sobregravadas por meio de técnicas que tornem as informações originais irrecuperáveis.
DO CONTROLE DE ACESSO LÓGICO
Do gerenciamento de acesso lógico
Art. 14. O acesso aos sistemas de informação será assegurado, unicamente, ao usuário devidamente identificado e autorizado.
§ 1º Os gestores dos ativos devem determinar regras apropriadas de controle de acesso, direitos de acesso e restrições para papéis específicos dos usuários terem acesso aos ativos, com nível de detalhe e rigor de controle que reflitam os riscos de segurança da informação associados, observada a consistência entre os direitos de acesso e as políticas de classificação da informação.
§ 2º As regras de controle de acesso deverão ser baseadas na premissa de que “tudo é proibido a menos que expressamente permitido”, em lugar da regra “tudo é permitido, a menos que expressamente proibido”.
Art. 15. A concessão e a revogação de acesso serão implementadas por meio de um processo formal, preferencialmente automatizado, com estabelecimento de responsáveis pela solicitação, administração, concessão, bloqueio e revogação.
§ 1º Compete aos proprietários de todos os tipos de ativos estabelecer regras de concessão, bloqueio e revogação de acesso aos ativos para os usuários, levando em conta as políticas, princípios e normas de controle de acesso aplicáveis.
§ 2º Os acessos deverão ser retirados imediatamente após a revogação dos direitos ou o encerramento das atividades, contratos ou acordos, ou ajustados após qualquer mudança destas atribuições.
§ 3º As contas deverão ser desabilitadas, em vez de excluídas, para preservação de trilhas de auditoria.
Art. 16. A criação de nomes de usuário e de contas de e-mail seguirá critério padronizado.
Art. 17. O modelo de controle de acesso será, preferencialmente, baseado no controle de acesso baseado em papéis (RBAC).
Art. 18. Deverá ser estabelecido e mantido atualizado um inventário de todas as contas gerenciadas, contendo data de início e término, incluindo:
I - contas de usuário e de administrador;
§ 1º O inventário das contas de usuário e de administrador deverá conter, no mínimo, o nome da pessoa, o nome de usuário e a sua unidade de lotação, enquanto o das contas de serviço indicará ao menos a unidade gestora, as datas de revisão e o propósito.
§ 2º As contas deverão ser revisadas trimestralmente, pelo gestor do ativo e informação, para avaliar se as contas ativas permanecem autorizadas.
Art. 19. A Secretaria de Tecnologia e Comunicação (STIC) deverá manter inventário dos sistemas de autenticação do TRERR, abrangendo os internos e aqueles hospedados em provedores remotos.
Do acesso às redes e aos serviços de rede
Art. 20. A gestão de contas e o controle de acesso se darão de forma centralizada, por meio de serviço de diretório.
Art. 21. As operações de criação de usuários da rede local serão solicitadas por meio de instrumento específico, observada a segregação de funções em todo o fluxo do gerenciamento de acesso, pelos seguintes agentes:
I - Secretaria de Gestão de Pessoas (SGP), chefia imediata da unidade de lotação do usuário ou ainda coordenadoria, secretaria ou assessoria à qual a unidade pertence, no caso de magistrados, servidores efetivos e requisitados, ocupantes de cargo em comissão sem vínculo efetivo e estagiários;
II - chefia imediata da unidade de lotação do usuário, no caso de colaboradores e prestadores de serviços.
Parágrafo único. Nos demais casos, será necessária a aprovação da CSI.
Art. 22. Compete à chefia imediata da unidade de lotação do usuário solicitar a atribuição de direitos de acesso aos recursos computacionais do TRERR, por meio do sistema de service desk da STIC, informando os sistemas ou serviços de informação e o perfil de acesso que o usuário deve possuir.
§ 1º O perfil de acesso do usuário aos sistemas ou serviços de informação deve ser mantido restrito ao desempenho de suas atividades.
§ 2º O gestor do ativo de informação será responsável pela autorização do direito de acesso.
§ 3º Na análise da solicitação de acesso, o gestor do ativo deverá considerar também a consistência entre a classificação da informação e os direitos de acesso, bem como as normas e legislação vigentes.
§ 4º Estas autorizações devem estar documentadas, para fins de auditoria e levantamento periódico, visando à detecção de usuários com acesso indevido.
§ 5º Deverá ser estabelecido um perfil padrão para usuários, ao qual todos retornarão em caso de mudança de lotação ou qualquer outro motivo que leve à suspensão de suas atividades, antes que sejam solicitados novos perfis de acesso pela nova chefia.
§ 6º A lotação de um usuário em uma unidade permite acesso à área específica de armazenamento de arquivos da unidade, bem como o recebimento de mensagens para o e-mail da mesma.
§ 7º Caso existam mensagens ou arquivos para os quais nem todos tenham acesso, deve-se criar grupo de distribuição de mensagens ou de permissão de acesso distinto do padrão da unidade.
§ 8º O procedimento de atribuição de acesso não deve permitir que a permissão seja efetivada antes que a autorização formal seja finalizada.
Art. 23. Os usuários devem possuir identificação única e exclusiva para permitir relacioná-la às suas ações e responsabilidades.
Parágrafo único. O uso compartilhado de identificação de usuários somente será permitido por razões operacionais, mediante procedimento de atribuição de responsabilidades compartilhado pelas chefias imediatas e ciência do Presidente da CSI.
Art. 24. Compete à SGP informar aos responsáveis estabelecidos no art. 22, antecipadamente, a movimentação e o desligamento de qualquer usuário alocado em sua unidade, dadas as implicações na manutenção de direitos de acesso aos ativos de informação.
§ 1º A retirada do usuário dos acessos citados no art. 22 somente se dará após a mudança de lotação ou desligamento efetuado no sistema de gestão de recursos humanos.
§ 2º Periodicamente, a área de Tecnologia da Informação fará o bloqueio automático das credenciais de acesso dos usuários que não realizaram o acesso por mais de 45 (quarenta e cinco) dias, incluídos os servidores aposentados, cedidos e licenciados.
§ 3º É vedado aos usuários utilizarem a identificação fornecida pelo TRERR para cadastro em serviços oferecidos por provedores externos, que não tenham sido adotados ou homologados pelo TRERR, devendo ser evitada a utilização da mesma senha em serviços externos à Justiça Eleitoral.
Art. 25. Os direitos de acesso dos usuários devem ser revistos em intervalos regulares, bem como após qualquer mudança de nível institucional que implique em realocação de pessoas, unidades ou papéis.
Art. 26. As atividades de gerenciamento de identidades, acesso e autenticação devem ser registradas e arquivadas.
Parágrafo único. Deverão ser emitidos, frequentemente, relatórios críticos com finalidade de identificar inconsistências nestas atividades, atentando-se às recomendações anteriores bem como para as seguintes:
a) identificação de forma periódica de usuários redundantes;
b) identificação de solicitações de acesso sem segregação de funções.
Art. 27. Devem ser incluídas cláusulas nos contratos de prestadores de serviço elencando sanções nos casos de acesso não autorizado, ou mesmo tentativa, efetuado por pessoa ou agente, mediante ações diretas ou indiretas dos seus colaboradores.
Art. 28. Compete ao Gestor do ativo realizar a revisão de direitos de acesso ao ativo sob sua responsabilidade, podendo a STIC automatizar o processo de retirada de acessos e alteração de perfil para usuários, nos casos previstos no art. 24 e no art. 25.
Do acesso privilegiado
Art. 29. O acesso privilegiado aos sistemas e ativos de informação somente será concedido aos usuários que tenham como atribuição funcional o dever de administrá-los.
§ 1º O acesso privilegiado deve ser concedido ao usuário por meio de credenciais de acesso exclusivas para este fim, distintas das credenciais de acesso concedidas a tal usuário para a realização de suas atividades normais de negócio.
§ 2º O procedimento de concessão de acesso privilegiado deve manter arquivo de registro contendo informações sobre este pedido para posterior auditoria.
§ 3º A relação de usuários que detenham acesso privilegiado deve ser revista pelo Gestor do ativo de informação em intervalos não superiores a um mês.
§ 4º O Gestor do ativo de informação deve definir prazos de expiração para as credenciais de acesso privilegiado, após os quais deve ser reavaliado o atendimento aos critérios para a atribuição de acesso privilegiado ao detentor das credenciais expiradas.
§ 5º Caso algum ativo de informação, em função de suas características técnicas, exija a manutenção de credenciais de acesso privilegiado de uso compartilhado, o Gestor do ativo deve definir procedimentos específicos para evitar seu uso não autorizado.
§ 6º A solicitação de acesso privilegiado para qualquer unidade que não seja gestora do ativo deverá ser encaminhada através de processo administrativo ao Presidente da CSI, para análise e autorização.
Art. 30. As competências dos usuários com acesso privilegiado aos sistemas e ativos de informação deverão ser avaliadas periodicamente para que estejam alinhadas às atividades e obedecendo as regras de segregação de funções.
Art. 31. O acesso privilegiado aos sistemas e ativos de informação através do uso de ID de usuário administrador genérico deve ser evitado, se o sistema assim permitir e, quando não houver esta possibilidade, deve ser concedido mediante procedimentos de troca periódica de senha e auditoria dos acessos.
§ 1º Após a saída ou mudança de lotação de usuário com conhecimento de senha de usuário administrador genérico, esta deve ser modificada.
§ 2º A conta de administrador genérico deve ser renomeada e ter sua função apagada, para que não possa ser facilmente identificada.
§ 3º A conta de administrador genérico não deve ser usada para acesso à Internet, iniciar serviços de rede e acessar arquivos externos.
Da política de senhas
Art. 32. Os sistemas ou serviços de informação, considerados passíveis de controle de acesso pelo Gestor de ativo, devem ter seu acesso restrito e controlado através do uso de senhas, token ou mecanismo de autenticação similar.
§ 1º Serão concedidas senhas temporárias, mediante concordância e assinatura de termo de confidencialidade de toda senha, ou outro mecanismo de autenticação que estiver em sua posse.
§ 2º O acesso remoto à rede, o acesso administrativo e o acesso a aplicações expostas externamente se darão por autenticação multifatorial (MFA).
§ 3º A STIC, em conjunto com o Gestor do ativo de informação, podem implantar a autenticação de multifatores para determinados tipos de acesso, em função de sua criticidade.
Art. 33. A senha de acesso do usuário, tokens e outros fatores de autenticação devem ser de uso pessoal e intransferível.
Do acesso à rede e aos serviços de rede
Art. 34. Os dispositivos e serviços de rede, bem como as demais aplicações do TRERR devem ser configurados mediante regra “tudo é proibido a não ser que expressamente permitido”.
Art. 35. O acesso de novo equipamento à rede deverá ser solicitado através da abertura de chamado de requisição de serviço em sistema de service desk.
Art. 36. São consideradas redes do TRE-RR, para efeito de controle, a rede cabeada da sede e seus anexos, todas as redes wifi em suas dependências e por ele provida, o acesso VPN, o perímetro para a Internet e as redes das zonas eleitorais.
Art. 37. É vedada a inclusão de equipamentos pessoais, ou de terceiros, em qualquer uma das redes internas do TRE-RR sem autorização da STIC.
Art. 38. A inclusão de equipamentos de terceiros na rede, quando expressamente autorizado, será efetuada em subrede segura, distinta das demais e por período definido.
Art. 39. O horário de funcionamento da VPN e do acesso à INTERNET será regulamentado em portaria interna e qualquer alteração excepcional deverá ser solicitada à CSI.
Art. 40. A inclusão de equipamentos e usuários na VPN será solicitada através de sistema service desk, em formulário específico.
Art. 41. Os acessos à rede devem ser registrados, arquivados por um período mínimo de 6 meses, monitorados e frequentemente deve ser emitido relatório crítico com finalidade de identificar acessos indevidos.
Art. 42. Será exigido certificado digital, autenticação via usuário e senha, além de token do tipo One Time Password, para acesso à VPN deste TRE-RR.
Art. 43. Os serviços de rede que não estejam em uso devem ser removidos e não apenas desabilitados.
Do controle de acesso ao código-fonte de programas
Art. 44. O código-fonte e itens associados (esquemas, especificações, planos de validação, etc) dos sistemas de informação desenvolvidos pelo TRERR somente serão acessíveis pelos usuários que tenham como atribuição funcional seu desenvolvimento, manutenção ou outra atividade para a qual o acesso seja imprescindível.
§ 1º As bibliotecas de código-fonte e itens associados devem ser armazenadas em ferramentas apropriadas para este fim, em ambientes segregados dos sistemas operacionais onde os respectivos sistemas de informação sejam executados.
§ 2º Os eventos de acesso às bibliotecas de código-fonte e itens associados devem ser registrados, permitindo sua auditoria.
§ 3º Os códigos-fonte que sejam publicados para entidades externas devem contar com controles adicionais que garantam sua integridade.
DISPOSIÇÕES FINAIS
Art. 45. Os casos omissos serão resolvidos pela CSI deste TRERR.
Art. 46. A revisão desta Norma de Gestão de Identidade e Controle de Acesso Físico e Lógico relativos à Segurança da Informação e Comunicação ocorrerá sempre que se fizer necessário ou conveniente para este TRERR, não excedendo o período de 3 (três) anos.
Art. 47. Esta Política deve ser publicada no portal de intranet do TRERR pela CSI.
Art. 48. O descumprimento desta norma será objeto de apuração pela unidade competente do TRERR, com a consequente aplicação das penalidades cabíveis a cada caso.
Art. 49. Esta Portaria entra em vigor na data de sua publicação e sua implementação inicia-se imediatamente.
Boa Vista, 24 de agosto de 2022.
Adriano Nogueira Batista
Diretor-Geral do TRE/RR
(documento assinado eletronicamente)
Ouvidoria
Termos de uso e privacidade
Como foi sua navegação?