DOU 03/05/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 06012024050300007 7 ISSN 1677-7042 Seção 1 - Edição Extra Nº 85-B, sexta-feira, 3 de maio de 2024 Comunicações via rede sem fio 21 - Comunicações de Rede de Área Local sem Fio Padrão (WLAN) devem ser seguras, e possíveis ameaças e vulnerabilidades direcionadas de acordo com a política de segurança dos dados do operador, devendo haver inspeção e verificação da integridade da WLAN periódicas. Gerenciamento da segurança de rede 22- As redes devem ser logicamente separadas, de forma que não exista tráfego de rede em um link de rede que não possa ser atendido por hosts nesse link. Os seguintes requisitos se aplicam: a) as funções de gerenciamento de rede devem autenticar todos os usuários na rede e criptografar todas as comunicações do gerenciamento; b) a falha de qualquer item único não resultará na negação do serviço; c) um Sistema de Detecção de Invasão/Sistema de Prevenção de Invasão (IDS/IPS) deve ser instalado na rede, que possa obedecer a ambas as comunicações internas e externas, assim como detectar e prevenir: I. negação de Serviço Distribuído (DDoS); II. shellcode de atravessamento da rede; III. falsificador de Protocolo de Resolução de Endereços (ARP); e IV. outros indicadores de ataque "Man-In-The-Middle" e cesse as comunicações imediatamente, se detectados; d) além dos requisitos definidos na alínea (c) do item 22, um IDS/IPS instalado em uma WLAN deve ser capaz de: I. escanear a rede em busca de pontos de acesso não autorizados ou de dispositivos conectados a qualquer ponto de acesso na rede, pelo menos trimestralmente; II. desabilitar automaticamente qualquer dispositivo não autorizado conectado ao sistema; e III. manter um arquivo de log de histórico de todos os acessos sem fio por pelo menos 90 dias, o qual deve conter informações completas e abrangentes sobre todos os dispositivos sem fio envolvidos e ser capaz de ser reconciliado com todos os outros dispositivos de rede dentro do site ou local; e) o Equipamento de Comunicação de Rede (NCE) deve seguir os seguintes requisitos: I. ser construído de tal forma a ser resistente a dano físico ao hardware ou corrupção do firmware/software nele contido pelo uso normal; II. ser fisicamente protegido contra acesso não autorizado; III. comunicações do sistema via NCE devem ser logicamente protegidas contra acesso não autorizado; e IV. se o arquivo log de auditoria estiver cheio, o NCE deve desativar toda a comunicação ou descarregar logs para um servidor dedicado; f) todos os hubs de rede, serviços e portas de conexões devem ser protegidos para evitar acesso não autorizado à rede. Serviços não usados e portas não essenciais devem ser fisicamente bloqueados e desabilitados por software quando possível; g) em ambientes virtualizados, instâncias de servidores redundantes não devem ser executados no mesmo hipervisor; h) protocolos sem estado, tais como UDP (Protocolo de Datagrama do Usuário), não devem ser usados para informações sensíveis sem transporte com estado. Embora o HTTP (Protocolo de Transporte de Hipertexto) seja tecnicamente sem estado, se ele for executado no TCP (Protocolo de Controle de Transmissão), que tem estado, será permitido; i) todas as mudanças de infraestrutura de rede, como configuração de equipamento de comunicação de rede, devem ser registradas em arquivo logs; e j) scanners de vírus e programas de detecção devem ser instalados em todo o sistema, e serem atualizados regularmente para escanear novos tipos de vírus. Dos provedores de serviços Comunicações de terceiros 23 - Quando comunicações com provedores de serviços terceirizados são implementadas, tais como programas de fidelidade do apostador, serviços financeiros, como instituições de pagamento, fornecedores de serviços em nuvem, serviços estatísticos e serviços de verificação de identidade, os seguintes requisitos são aplicáveis: a) o sistema de apostas e as plataformas de apostas esportivas e de jogos on- line devem ser capazes de se comunicar seguramente com os provedores de serviços terceirizados usando criptografia e forte autenticação; b) todos os eventos de login envolvendo provedores de serviços terceirizados devem ser registrados em um arquivo de auditoria; c) a comunicação com provedores de serviços terceirizados não deve interferir ou degradar funções normais do sistema de apostas, observados os seguintes requisitos: I os dados dos provedores de serviços terceirizados não devem afetar as comunicações dos apostadores; II. conexões com provedores de serviços terceirizados não devem usar a mesma infraestrutura de rede das conexões do apostador; III. as apostas devem ser desconectadas em todas as conexões de rede, exceto na rede de apostadores; IV. o sistema não deve encaminhar pacotes de dados dos provedores de serviços terceirizados diretamente para a rede dos apostadores e vice-versa; e V. o sistema não deve agir como roteador de IP entre a rede do apostador e os provedores de serviços terceirizados; e d) todas as transações financeiras devem ser conciliadas com as instituições de pagamento diariamente. Serviços de terceiros 24 - O operador deve possuir políticas e procedimentos para gerenciar e monitorar sua aderência aos seguintes requisitos de segurança: a) contratos com prestadores de serviços terceirizados que envolvam o acesso, o processamento, a comunicação ou o gerenciamento do sistema e de seus componentes, ou a adição de produtos ou serviços ao sistema e a seus componentes, devem abranger todos os requisitos de segurança relevantes; b) serviços, relatórios e registros fornecidos pelos provedores de serviços terceirizados devem ser monitorados e revisados anualmente; c) alterações no fornecimento de prestadores de serviços terceirizados, incluindo a manutenção e o aprimoramento das políticas, dos procedimentos e dos controles de segurança existentes, devem ser gerenciadas, levando em conta a importância dos sistemas e processos envolvidos e a reavaliação dos riscos; e d) direitos de acesso dos provedores de serviços terceirizados ao sistema e seus componentes devem ser removidos ao término do contrato ou acordo ou ajuste de alteração. Dos Controles Técnicos Requisitos de DNS 25 - Os seguintes requisitos se aplicam aos servidores usados para resolver consultas de Sistema de Nomes de Domínio (DNS) em associação com o sistema de apostas: a) o operador deve utilizar um servidor DNS primário seguro e um servidor DNS secundário seguro que sejam logica e fisicamente separados um do outro; b) o servidor DNS primário deve estar fisicamente localizado em uma central de dados segura ou em um host virtualizado em um hipervisor adequadamente seguro ou equivalente; c) o acesso lógico e físico aos servidores DNS deve ser restrito ao pessoal autorizado; d) as transferências de zonas para hosts arbitrários não devem ser permitidas; e) é necessário um método para evitar o envenenamento do cache, como DNSSEC - Extensão de Segurança do DNS; f) autenticação multifatorial deve estar em vigor; e g) o bloqueio de registro deve estar em vigor e, portanto, qualquer solicitação de alteração dos servidores DNS precisará ser verificada manualmente. Controles Criptográficos 26 - Uma política de uso de controles de criptografia deve ser desenvolvida e implementada para proteção da informação, observados os seguintes requisitos: a) qualquer dado ou informação confidencial deve ser criptografada; b) dados que não precisam ser ocultos, mas que devem ser autenticados, devem usar alguma técnica de autenticação de mensagens; c) a autenticação deve usar um certificado de segurança de uma organização aprovada; d) a classe de criptografia usada deve ser apropriada para a sensibilidade dos dados; e) o uso de algoritmos de criptografia deve ser revisado periodicamente para verificar se são seguros; f) alterações nos algoritmos de criptografia para correção de pontos fracos devem ser implementadas assim que possível. Se tais alterações não forem possíveis, o algoritmo deve ser substituído; e g) as chaves de criptografia devem ser armazenadas em um meio de armazenamento seguro e redundante após serem criptografadas por meio de um método de criptografia diferente ou usando uma chave de criptografia diferente. Gerenciamento da chave de criptografia 27 - O gerenciamento de chaves de criptografia deve seguir procedimentos que cubram minimamente o seguinte: a) obtenção ou geração de chaves de criptografia e armazená-las; b) gerenciamento da expiração das chaves de criptografia, quando aplicável; c) revogação das chaves de criptografia; d) alteração de forma segura da configuração da chave de criptografia atual; e e) recuperação de dados criptografados com uma chave de criptografia revogada ou expirada para um período definido após a chave de criptografia se tornar inválida. Do acesso remoto e firewalls Segurança do acesso remoto 28 - Acesso remoto é definido como qualquer acesso de fora do sistema ou da rede do sistema, incluindo o acesso de outras redes dentro do mesmo local. O acesso remoto, se utilizado pelo operador, deve: a) ser realizado por meio de um método seguro; b) ter uma opção de ser desabilitado; c) aceitar somente conexões remotas permitidas pelo aplicativo de firewall e pelas configurações do sistema; e d) ser limitado a funções necessárias do aplicativo para que o usuário desempenhe seu trabalho, sendo proibido qualquer acesso não autorizado. Procedimentos do acesso remoto e contas de convidados 29 - Um procedimento para acesso remoto controlado deve ser estabelecido. Um fornecedor pode, mediante autorização do operador, acessar o sistema e seus componentes associados remotamente para apoio ao produto e ao usuário ou atualizações e aprimoramentos. Este acesso remoto deve usar contas de convidados específicas que serão: a) monitoradas continuamente pelo operador; b) desabilitadas quando não estiverem em uso; e c) restringidas através de controles de segurança lógica para acessar somente os aplicativos ou bases de dados necessários para o produto, o suporte ao usuário ou fornecer atualizações e aprimoramentos. Registro de atividade do acesso remoto 30 - O aplicativo de acesso remoto deve manter um arquivo log de atividade atualizado automaticamente, que retrate todas as informações do acesso, inclusive: a) identificação dos usuários que desempenham ou autorizam o acesso remoto; b) endereços IP Remoto, números de portas, protocolos e, quando possível, endereços MAC; c) data e hora em que a conexão foi feita e sua duração; e d) atividade enquanto logado, incluindo as áreas específicas acessadas e alterações efetuadas. Firewalls 31 - Todas as comunicações, incluindo o acesso remoto, devem passar através de, pelo menos, um firewall de nível de aplicação aprovado. Isso inclui conexões de e para qualquer host que não seja do sistema usado pelo operador, observado o seguinte: a) o firewall deve estar localizado no limite de dois domínios de segurança diferentes; b) um dispositivo no mesmo domínio de transmissão do host do sistema não deve ter um recurso que permita um caminho de rede alternativo que ultrapasse o firewall; c) qualquer caminho de rede alternativo existente com o propósito de redundância também deve passar através de, pelo menos, um firewall de nível de aplicação; d) somente aplicações relacionadas ao firewall podem residir nele; e) somente um número limitado de contas de usuários pode estar presente no firewall, como administradores de rede ou sistema; f) o firewall deve rejeitar todas as conexões, exceto aquelas que tenham sido especificamente aprovadas; g) o firewall deve rejeitar todas as conexões de destinos que não residem na rede das quais as mensagens são originadas; e h) o firewall só deve permitir o acesso remoto por meio dos protocolos de criptografia mais atualizados. Registros de auditoria do firewall 32 - O aplicativo de firewall deve manter um arquivo log de auditoria, desabilitar todas as comunicações e gerar um aviso de erro se o arquivo ficar cheio. O arquivo deve conter: a) data e hora de todos os registros; b) todas as alterações de configuração do firewall; c) todas as tentativas de conexão, bem-sucedidas ou não, através do firewall; e d) fonte e destino de endereços IP remoto, números de portas, protocolos e, quando possível, endereços MAC. Revisão das regras de firewall 33 - As regras do firewall devem ser periodicamente revisadas para verificação das condições de operação e a efetividade de suas configurações de segurança. Essa revisão deve ser realizada em todo o perímetro dos firewalls e nos firewalls internos. Do gerenciamento das mudanças Procedimentos do programa de controle de alterações 34 - Os procedimentos do programa de controle de alterações devem ser adequados para assegurar que somente versões autorizadas dos programas sejam utilizadas no ambiente de produção. Esses controles de alteração devem incluir: a) um mecanismo ou controle de versão de software adequado para todos os componentes de software e códigos-fonte; b) registros mantidos de todas as novas instalações e modificações do sistema, incluindo: I. a data da instalação ou modificação; II. detalhes do motivo ou natureza da instalação ou alteração, tal como novo software, reparo no servidor, modificações de configuração significativas; III. uma descrição dos procedimentos exigidos para colocar o componente modificado ou novo em serviço; e IV. a identidade do usuário que realizou a instalação ou modificação; c) uma estratégia para reverter para a última implementação - plano de reversão - quando a instalação não for bem-sucedida, incluindo backups completos de versões anteriores do software e um teste do plano de reversão antes da implementação no ambiente de produção; d) uma política estabelecendo procedimentos de alteração de emergência; e) procedimentos de teste e migração de alterações; f) segregação de funções entre desenvolvedores, equipe de certificação de qualidade, equipe de migração e usuários; e