DOE 18/07/2023 - Diário Oficial do Estado do Ceará

TEXTO OFICIAL · ÍNTEGRA

22 DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº134 | FORTALEZA, 18 DE JULHO DE 2023 4.3.1. Garantia de Segurança da Informação: se baseia nos princípios e elementos abaixo identificados: 4.3.1.1. Responsabilidade e Comprometimento: Todos os colaboradores da SEDUC, em qualquer vínculo, função ou nível hierárquico, são respon- sáveis pela proteção e salvaguarda dos ativos físicos, tecnológicos e informações de que sejam usuários, dos ambientes físicos e computacionais a que tenham acesso, independente das medidas de segurança implementadas. 4.3.1.2. Controle de Acesso: Os acessos aos ambientes físicos e computacionais devem ser controlados, registrados e monitorados, com base na necessidade das ações desenvolvidas e do privilégio de acesso mínimo para o desempenho das atividades profissionais. 4.3.1.3. Notificação, Registro e Tratamento de Incidentes: Todos os colaboradores da SEDUC, em qualquer vínculo, função ou nível hierárquico têm a obrigação de reportar imediatamente, por meio dos processos definidos pela instituição, quaisquer incidentes de segurança de que tomarem conhecimento, de modo que possam ser registrados, avaliados e tratados. 4.3.1.4. Treinamento e Conscientização: Todos os colaboradores devem conhecer esta Política de Segurança da Informação e Comunicação dos Ambientes de TIC, serem capacitados regularmente por meio de campanhas de conscientização e treinamentos, avaliados de acordo com suas funções, garantindo assim maior efetividade e eficácia das ações de segurança da Informação e comunicação. 4.3.1.5. Proteção Física: Toda proteção física deve ser compatível com o risco identificado, em conformidade com os perímetros físicos delimitados suficientemente a garantir o acesso autorizado à informação. 4.3.1.6. Ameaças: Deve ser estabelecida a proteção contra ameaças internas e externas, como as intempéries da natureza, ameaças físicas e ciberné- ticas ou outras formas capazes de afetar a integridade dos meios de acesso à informação sob responsabilidade da instituição. 4.3.1.7. Cópias de Segurança: Gerar, no mínimo, cópias de segurança dos dados classificados como críticos e sua respectiva restauração em tempo aceitável, assegurando o bom andamento das atividades da instituição com uso preferencial do ambiente de nuvem. 4.3.1.8. Suporte jurídico: A implantação desta Política de segurança da informação deve contar com suporte jurídico ou de profissionais qualificados sobre os aspectos legais e seus requisitos. 4.3.2. Tratamento dos incidentes: Os incidentes de Segurança da Informação devem ser adequadamente registrados, classificados, investigados, corrigidos, documentados e, quando necessário, comunicado as autoridades apropriadas. 4.3.3. Gestão de riscos: Os ativos, processos, produtos e serviços desenvolvidos ou adquiridos e implementados ou disponibilizados para a SEDUC serão submetidos a um processo formal de análise, avaliação e tratamento de riscos, visando atingir o grau de segurança adequado para a SEDUC e o Governo do Estado. 4.3.4. Gestão de Continuidade: Esta Política estabelecerá um conjunto de estratégias e planos de ação documentados, testados e revisados periodica- mente, de maneira a garantir que os seus serviços essenciais sejam devidamente identificados, preservados e entregues, mesmo diante da ocorrência de um desastre até o retorno à situação normal de funcionamento da Instituição. 5. Papéis e Responsabilidades 5.1. A gestão da SEDUC e todas as suas Secretarias Executivas, Coordenadorias e Unidades Organizacionais bem como o seu Comitê de Segurança da Infor- mação, estarão comprometidos com uma gestão efetiva da segurança da informação no âmbito do ambiente de Tecnologia da Informação e das atividades da SEDUC, adotando todas as medidas cabíveis para que esta Política seja efetivamente comunicada, entendida e cumprida, em todos os níveis da instituição. 5.2. Comitê de Gestor de Segurança da Informação – CGSI 5.2.1. Fica constituído o Comitê Gestor de Segurança da Informação, contando com a participação de um representante e um suplente indicados como representantes da alta gestão além de: • Dois Membros da Assessoria de Tecnologia da Informação, sendo um membro da equipe de segurança da informação; • 01 (um) Membro da Assessoria de Comunicação da SEDUC; • 01 (um) Membro do Setor de Controle Interno; • 01 (um) Membro da Coordenadoria de Gestão de Pessoas; • 01 (um) Membro da Assessoria Jurídica da SEDUC. Todos designados em ato da alta gestão da SEDUC. 5.3. É responsabilidade do CGSI: 5.3.1. Analisar, revisar e propor a aprovação de políticas e normas relacionadas à segurança da informação. 5.3.2. Garantir a disponibilidade dos recursos necessários para uma efetiva gestão da Segurança da Informação. 5.3.3. Garantir que as atividades de segurança da informação sejam executadas em conformidade com a PGSI – Política Geral da Segurança da Informação. 5.3.4. Promover a divulgação da PGSI e adotar as ações necessárias para disseminar uma cultura de Segurança da Informação no ambiente da SEDUC. 5.3.5. Disseminar a cultura e a Política de Segurança da Informação e Comunicação dos ambientes de TIC no âmbito da Secretaria da Educação do Estado do Ceará. 5.4. Gerência da Segurança da Informação: 5.4.1. É responsabilidade da Gerência de Segurança da Informação: 5.4.1.1. Gerenciar e operar a segurança da informação, com base nesta Política e demais resoluções do CGSI. 5.4.1.2. Apoiar o CGSI em suas deliberações. 5.4.1.3. Elaborar e propor ao CGSI as normas e procedimentos de segurança da informação, necessários para se fazer cumprir a PGSI. 5.4.1.4. Identificar e avaliar as principais ameaças à segurança da informação, bem como propor e, quando aprovado, implantar medidas corretivas para reduzir o risco. 5.4.1.5. Adotar as ações e medidas cabíveis para se fazer cumprir os termos desta Política. 5.4.1.6. Realizar a gestão dos incidentes de segurança da informação, garantindo tratamento adequado. 5.5. Gestores da informação: 5.5.1. É responsabilidade dos Gestores da Informação: 5.5.1.1. Acatar, dar conhecimento no âmbito de suas respectivas coordenações/gerencia, cumprir e dar cumprimento às diretrizes e normas constantes desta Política de segurança da informação. 5.5.1.2. Gerenciar as informações produzidas ou sob a responsabilidade da sua área de negócio durante todo o seu ciclo de vida, incluindo a criação, manuseio e descarte conforme as normas estabelecidas pela SEDUC. 5.5.1.3. Identificar, classificar e rotular as informações produzidas ou sob a responsabilidade da sua área de negócio conforme normas, critérios e procedimentos adotados pela SEDUC. 5.5.1.4. Periodicamente revisar as informações produzidas ou sob a responsabilidade da sua área de negócio, ajustando a classificação e rotulagem, conforme necessário. 5.5.1.5. Autorizar e revisar os acessos à informação e sistemas de informação sob sua responsabilidade. 5.5.1.6. Solicitar a concessão ou revogação de acesso à informação ou sistemas de informação de acordo com os procedimentos adotados pela SEDUC. 5.6. Usuários da Informação 5.6.1. É responsabilidade dos usuários da informação: 5.6.1.1. Ler, compreender, aceitar e cumprir integralmente os termos da Política Geral de Segurança da Informação, bem como as demais normas e procedimentos de segurança aplicáveis, assumindo responsabilidade pelo seu cumprimento. 5.6.1.2. Encaminhar quaisquer dúvidas e/ou pedidos de esclarecimento sobre a Política Geral de Segurança da Informação, suas normas e procedi- mentos a Gerência da Segurança da Informação através do e-mail [email protected] ou, quando pertinente, ao Comitê Gestor de Segurança da Informação. 5.6.1.3. Comunicar à Gerência de Segurança da Informação qualquer evento que viole esta Política ou coloque/possa vir a colocar em risco a segu- rança das informações ou dos recursos computacionais da SEDUC. 5.6.1.4. Responder na forma da lei, pela inobservância da Política Geral da Segurança da Informação, normas e procedimentos de segurança, conforme definido no item sanções e punições. 6. Sanções e Punições 6.1. As violações, mesmo que por mera omissão ou tentativa não consumada, desta Política, bem como demais normas e procedimentos de segurança, serão passíveis de penalidades. 6.2. A aplicação de sanções e punições será realizada conforme a análise do Comitê Gestor de Segurança da Informação da SEDUC (CGSI-SEDUC), em estrita conformidade com o disposto no ANEXO ÚNICO do DECRETO Nº 34.100, DE 08 DE JUNHO DE 2021 (POLÍTICA DE SEGURANÇA DA INFOR- MAÇÃO E COMUNICAÇÃO – ANEXO), que dispõe sobre as sanções ao descumprimento à Política de Segurança da Informação e Comunicação do Ceará. 6.3. No caso de terceiros contratados ou prestadores de serviço, o CGSI deverá analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos previstos em contrato; 6.4. Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em dano à SEDUC, o infrator será responsabilizado pelos prejuízos, cabendo aplicação das medidas judiciais pertinentes sem prejuízos aos termos descritos nos itens 7.1 e 7.2 desta Política.