DOE 21/12/2023 - Diário Oficial do Estado do Ceará

TEXTO OFICIAL · ÍNTEGRA

51 DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº239 | FORTALEZA, 21 DE DEZEMBRO DE 2023 I – Princípio 1 – Alinhamento estratégico: Os órgãos e entidades estaduais deverão alinhar-se com os princípios, diretrizes, normas, procedimentos e ações de segurança da informação, observando sua missão institucional e o planejamento estratégico, com vistas a viabilizar orçamentos necessários para garantir a implantação mínima e continuada de níveis de controle de segurança da informação, por meio de ações e projetos, de forma a dotar-se de recursos tecnológicos, processos e pessoal qualificado para o devido cumprimento da política de que trata a PoSIC. II - Princípio 2 - Diversidade organizacional: A elaboração de diretrizes, normas, procedimentos e controles de Segurança Corporativa do Estado deve levar em consideração a diversidade das atividades das instituições, respeitando a natureza e finalidade de cada órgão/entidade, de forma a garantir a continuidade do seu negócio. III - Princípio 3 - Garantia da Segurança das Informações: Deve-se sempre buscar a implantação e utilização de controles que busquem garantir a confidencialidade, disponibilidade e integridade das informações nos órgãos/entidades. Estes controles devem incluir a classificação do grau de confidencialidade, disponibilidade e criticidade, bem como uma política para acesso e manuseio das mesmas. IV – Princípio 4 – Propriedade da informação: Toda informação produzida ou armazenada no Estado é de sua propriedade e não de seus colabo- radores, exceto os casos onde a Instituição atua como custodiante da informação, devendo seu uso ser destinado, exclusivamente, a atender aos interesses da Instituição. V – Princípio 5 – Alinhamento com os aspectos legais (“Compliance”): Devem ser cumpridas as normas legais e regulamentares de abrangência estadual e federal, as políticas e as diretrizes estabelecidas para o negócio e para as atividades do estado, bem como evitar, detectar e tratar qualquer desvio ou inconformidade que possa ocorrer. “ CAPÍTULO V DO OBJETIVO Art. 5º O objetivo desta Política de Segurança é estabelecer princípios, diretrizes, normas e procedimentos gerais para a gestão da Segurança da Informação do ambiente de TIC da EGPCE, definindo as responsabilidades e orientando a conduta dos usuários de maneira a preservar a integridade, a confidencialidade, e a disponibilidade e a autenticidade das informações, descrevendo diretrizes e procedimentos para o manuseio, controle e proteção das informações contra perdas, alterações, divulgações indevidas e acessos não autorizados. CAPÍTULO VI DO COMITÊ GESTOR DA SEGURANÇA DA INFORMAÇÃO DO AMBIENTE DE TIC Art. 6º Fica instituído o Comitê Gestor da Segurança da Informação do Ambiente de TIC (CGSITIC), com atribuição de assessorar a Direção da EGPCE nas atividades relacionadas à segurança da informação do ambiente de TIC. Parágrafo Único: O CGSITIC é um comitê de caráter técnico e consultivo, focado em Segurança da Informação, devendo submeter as suas decisões ao Comitê Executivo da EGPCE. Art. 7º O Comitê será coordenado pelo Gestor de Tecnologia da Informação, devendo ser, no mínimo, composto por um representante titular e respectivos suplentes indicados pelos seguintes setores: I – Assessoria de Desenvolvimento Institucional (ADINS); II – Assessoria Jurídica (ASJUR); III – Coordenadoria Administrativo-Financeira (COAFI); IV – Coordenadoria Pedagógica (COPED); V - Coordenadoria de Educação em Gestão Pública (COEGE). §1º Os membros do CGSITIC e os respectivos suplentes serão indicados por Portaria da Direção da EGPCE. §2º Os membros titulares do Comitê serão substituídos pelos respectivos suplentes, em suas ausências ou impedimentos. §3º A participação no CGSITIC será considerada prestação de serviço público relevante, não remunerada. §4º Enquanto não instituído formalmente o CGSITIC, todos os assuntos pertinentes ao tema serão deliberados pelo Comitê de Integridade da EGPCE. Art. 8º Compete ao CGSITIC: I – Promover a elaboração, atualização, validação e divulgação da PoSIC da EGPCE, conforme surjam mudanças tecnológicas, operacionais, físicas e humanas que possam impactar os processos da EGPCE; II – Supervisionar a execução da PoSIC da EGPCE; III – Disseminar a cultura de Segurança da Informação na EGPCE; IV – Analisar e monitorar os incidentes de Segurança da Informação do ambiente de TIC da EGPCE; V – Promover a elaboração e implantação de planos de contingência e recuperação de desastres do ambiente de TIC da EGPCE; VI – Elaborar as Normas de Segurança da Informação e Comunicação do ambiente de TIC da EGPCE; VII – Deliberar sobre as questões que lhe tenham sido encaminhadas. CAPÍTULO VII DAS COMPETÊNCIAS E RESPONSABILIDADES Art. 9º Compete à Direção da EGPCE: 1. Disseminar permanentemente a PoSIC da EGPCE; 2. Garantir o cumprimento da PoSIC, inclusive disponibilizando recursos necessários para tanto; 3. Aprovar e sancionar, por meio de publicação de portaria interna, o teor da PoSIC e seus normativos. Art. 10 Compete à Assessoria de Desenvolvimento Institucional (ADINS): 1. Informar, orientar e supervisionar as unidades da EGPCE quanto ao cumprimento das Normas de Segurança da Informação; 2. Homologar e autorizar o uso e acesso de ativos, sistemas e dispositivos de processamento de informações em suas instalações; 3. Realizar a gestão do acesso do usuário a recurso computacional da EGPCE do usuário que se desligar da instituição ou a qualquer tempo, quando evidenciados riscos à segurança da informação, e informar o incidente à Direção e demais interessados; 4. Implantar, administrar e efetuar a atualização periódica desta Política; 5. Homologar e autorizar o uso de sistemas e dispositivos de processamento de informações em suas instalações; 6. Coordenar a execução dos procedimentos e ações de segurança; 7. Mapear os processos relacionados à Segurança da Informação; 8. Definir indicadores para monitorar a execução dos processos relacionados à Segurança da Informação; 9. Identificar e classificar os riscos dos processos relacionados à Segurança da Informação estabelecendo controles para o tratamento adequado dos riscos conforme a sua classificação; 10. Articular com a área de comunicação da EGPCE campanhas de conscientização da PoSIC. Art. 11 Compete à CGSITIC atuar em conformidade com as competências, responsabilidades e atribuições definidas no artigo 8º. Art. 12 Compete aos usuários: I – Conhecer e respeitar integralmente a PoSIC; II – Notificar sua chefia imediata ou a qualquer membro do CGSITIC indício ou falha na Segurança da Informação e Comunicação; III – Responder pela guarda e proteção dos recursos computacionais colocados à sua disposição para a realização das suas atividades; IV – Responder pelo uso exclusivo e intransferível de suas credenciais de acesso lógico ou físico, como senhas, biometria, crachás, tokens, dentre outros; V – Assinar o Termo de Compromisso e Confidencialidade, formalizando a ciência e o aceite da PoSIC da EGPCE e de suas Normas; VI – Tratar a informação digital como patrimônio da EGPCE e como recurso que deva ter seu sigilo preservado; VII – Utilizar as informações digitais disponibilizadas e os sistemas e produtos computacionais de propriedade ou direito de uso da EGPCE exclusivamente para o interesse do serviço; VIII – Preservar o conteúdo das informações sigilosas a que tiver acesso, sem divulgá-las ou compartilhá-las para pessoas não autorizadas e/ou que não tenham necessidade de conhecê-las; IX – Não utilizar os dados de acessos ou credenciais de outro usuário; X – No caso de exoneração, demissão, licenciamento, término de prestação de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos sigilosos a que teve acesso; XI – Não compartilhar, transferir, divulgar ou permitir o conhecimento de credenciais de acesso (senhas) utilizadas no ambiente computacional da EGPCE para terceiros; XII – Não transmitir, copiar ou reter arquivos contendo textos, fotos, filmes ou quaisquer outros registros que contrariem a moral, os bons costumes e a legislação vigente; XIII – Não transferir qualquer tipo de arquivo ou informação que pertença à EGPCE para outro local, por qualquer meio de comunicação ou transmissão, exceto no interesse do serviço e mediante autorização da autoridade competente; XIV – Tomar ciência de que toda informação digital armazenada, processada e transmitida no ambiente computacional da EGPCE pode ser auditada; XV – Tomar ciência de que o correio eletrônico, serviços de nuvem, espaços em disco físico é de uso exclusivo para o interesse do serviço e que qualquer