DOU 03/05/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 06012024050300008 8 ISSN 1677-7042 Seção 1 - Edição Extra Nº 85-B, sexta-feira, 3 de maio de 2024 g) procedimentos para assegurar que a documentação técnica e do usuário está atualizada após a alteração. Ciclo de vida do desenvolvimento do software 35 - A aquisição e o desenvolvimento de um novo software devem observar, no mínimo, o seguinte: a) o ambiente de produção deve ser lógico e fisicamente separado do desenvolvimento e do ambiente de teste. Quando sistemas em nuvem são usados, não poderão existir conexões diretas entre o ambiente de produção e qualquer outro ambiente; b) a equipe de desenvolvimento deve ser impedida de ter acesso para promover alterações de código no ambiente de produção; c) deve haver um método documentado para verificar que um software de teste não está implantado no ambiente de produção; d) para evitar vazamentos de informações sensíveis, deve haver um método documentado para assegurar que os dados brutos de produção não sejam usados nos testes; e e) todos os documentos relacionados ao desenvolvimento do software e da aplicação devem estar disponíveis e retidos pela duração do seu ciclo de vida. Correções de erros 36 - Todas as correções de erro devem ser testadas, sempre que possível, em um ambiente de teste e desenvolvimento configurado de forma idêntica ao ambiente de produção alvo das correções. Sob circunstâncias em que os testes de correção de erros não possam ser cuidadosamente conduzidos a tempo de cumprir os cronogramas para o nível de gravidade do alerta e, se autorizado, o teste de correção de erros deve ser gerenciado por risco, seja isolando ou removendo o componente não testado da rede ou aplicando a correção e o teste após o fato. Dos testes periódicos de segurança Testes técnicos de segurança 37 - Testes técnicos periódicos de segurança no ambiente de produção devem ser realizados para garantir que não existam vulnerabilidades que coloquem em risco a segurança e a operação do sistema de apostas e das plataformas de apostas esportivas e de jogos on-line. 38 - Os testes devem consistir em um método de avaliação de segurança por meio de uma simulação de ataque por um terceiro seguindo uma metodologia conhecida, e a análise de vulnerabilidade consistirá na identificação e quantificação passiva do potencial risco do sistema. 39 - Tentativas de acesso não autorizado devem ser realizadas até o nível mais alto possível de acesso e devem ser completadas com ou sem credenciais de autenticação disponíveis, como testes de tipo caixa branca/caixa preta. Isso permite que avaliações sejam feitas em relação aos sistemas de operação e configuração de hardware, incluindo, mas não limitado a: a) escaneamento de porta UDP/TCP; b) Stack fingerprint e previsão de sequência TCP para identificar sistemas operacionais e serviços; c) banner grabbing público; d) varredura da web usando scanners de vulnerabilidade HTTP e HTTPS; e e) varredura do roteador usando protocolo de roteamento de BGP (Border Gateway Protocol), o protocolo multicast de roteamento de -BGMP (Border Gateway Multicast Protocol) e o -SNMP (Simple Network Management Protocol). Avaliação de vulnerabilidade 40 - O propósito da avaliação de vulnerabilidade é identificar vulnerabilidades que poderiam ser exploradas posteriormente durante o teste de penetração, fazendo consultas básicas relacionadas aos serviços executados nos sistemas em questão. A avaliação deve incluir, pelo menos, as seguintes atividades: a) avaliação de vulnerabilidade externa - Os alvos são dispositivos de rede e servidores acessíveis por terceiros, pessoas naturais ou empresas, por meio de IP público, relacionados ao sistema pelo qual é possível o acesso a informações sensíveis; e b) avaliação de vulnerabilidade interna - Os alvos são servidores internos relacionados ao sistema pelo qual é possível acessar informações sensíveis. O teste de cada domínio de segurança na rede interna deve ser realizado separadamente. Teste de penetração 41 - O objetivo do teste de penetração é explorar quaisquer pontos fracos descobertos durante a avaliação de vulnerabilidade em quaisquer aplicativos ou sistemas expostos publicamente que hospedem aplicativos que processem, transmitam e/ou armazenem informações confidenciais. O teste de penetração deve incluir pelo menos as seguintes atividades: a) teste de penetração da camada de rede - o teste imita as ações de um agressor real que explora pontos fracos na segurança da rede, examinando sistemas em busca de qualquer ponto fraco que possa ser usado por um agressor externo para perturbar a confidencialidade, disponibilidade e/ou integridade da rede; e b) teste de penetração da camada do aplicativo - o teste usa ferramentas para identificar pontos fracos nos aplicativos com varreduras autenticadas e não autenticadas, análise dos resultados para remover falsos positivos e testes manuais para confirmar os resultados das ferramentas e identificar o impacto dos pontos fracos. 42 - A auditoria do Sistema de Gerenciamento de Segurança da Informação (ISMS) deve ser realizada, incluindo todos os locais onde as informações confidenciais acessadas, processadas, transmitidas e armazenadas. O ISMS será revisado em comparação com os princípios comuns de segurança da informaçãoem relação à confidencialidade, integridade e disponibilidade, tal como as seguintes fontes ou equivalentes: a) ISO/IEC 27001 Sistema de Gerenciamento de Segurança da Informação (ISMS); b) Padrões de Segurança de Dados Industriais de Cartão de Pagamento (PCI- DSS); e c) Padrões de Segurança da Associação Mundial de Loterias (WLA-SCS). 43 - Um operador fazendo uso de provedor de serviço em nuvem (CSP), armazenando, transmitindo ou processando informações sensíveis, deve se submeter a auditoria específica. O CSP será revisado em comparação aos princípios comuns de segurança da informação em relação à provisão e ao uso de serviços em nuvem, tais como ISO/IEC 27017 e ISO/IEC 27018, ou equivalentes, observado o seguinte: a) se informações sensíveis são armazenadas, processadas ou transmitidas em um ambiente em nuvem, os requisitos apropriados se aplicarão àquele ambiente, e envolverão tipicamente a validação de ambas as infraestruturas CSP e uso do operador daquele ambiente; b) a alocação de responsabilidade entre o CSP e o operador para gerenciar controles de segurança não isenta o operador da responsabilidade de assegurar que informações sensíveis estejam apropriadamente protegidas, de acordo com os requisitos aplicáveis; e c) políticas e procedimentos claros devem ser acordados entre o CSP e o operador para todos os requisitos de segurança, e as responsabilidades pela operação, gerenciamento e relatórios devem ser claramente definidas e compreendidas para cada requisito aplicável. ANEXO V G LO S S Á R I O Acesso Não Autorizado - Quando uma pessoa obtém acesso lógico ou físico sem permissão a uma rede, sistema, aplicativo, dados ou outro recurso. Acesso Remoto - Qualquer acesso de fora do sistema ou da rede do sistema, incluindo qualquer acesso de outras redes dentro do mesmo local. Administrador do Sistema - Os indivíduos responsáveis por manter a operação estável do Sistema de Apostas, incluindo infraestrutura de software e hardware e software de aplicativo. Algoritmo - Um conjunto finito de instruções não ambíguas executadas em uma sequência prescrita para atingir um objetivo, especialmente uma regra ou procedimento matemático usado para computar um resultado desejado. Os algoritmos são a base da maior parte da programação de computadores. Algoritmo de Hash - Função que converte uma cadeia de dados em uma saída de cadeia alfanumérica de comprimento fixo. Ameaça - Qualquer circunstância ou evento com potencial para afetar negativamente as operações de rede, incluindo missão, funções, imagem ou reputação, ativos ou indivíduos por meio de um sistema via acesso não autorizado, destruição, divulgação, modificação de informações e/ou negação de serviço. Além disso, consiste na possibilidade de uma fonte de ameaça explorar com sucesso uma vulnerabilidade do sistema. Antivírus - Software usado para prevenir, detectar e remover vírus de computador, inclusive malware, worms e cavalos de Troia. ARP, Protocolo de Resolução de Endereço - O protocolo usado para traduzir endereços IP em endereços MAC para dar suporte à comunicação em uma rede local com ou sem fio. Ataque "Man-In-The-Middle" - Um ataque em que o invasor secretamente retransmite e, possivelmente, altera a comunicação entre duas partes que acreditam estar se comunicando diretamente uma com a outra. Autenticação - Processo de verificação da identidade de um usuário, processo, pacote de software ou dispositivo, geralmente como um pré-requisito para permitir o acesso a recursos em um sistema. Autenticação de Mensagem - Uma medida de segurança projetada para estabelecer a autenticidade de uma mensagem por meio de um autenticador dentro da transmissão, derivado de certos elementos predeterminados da própria mensagem. Autenticação Multifatorial - Um tipo de autenticação que usa dois ou mais dos seguintes elementos para verificar a identidade de um usuário: informações conhecidas apenas pelo usuário, como uma senha, um padrão ou respostas a perguntas de desafio; um item possuído por um usuário, como um token eletrônico, um token físico ou um cartão de identificação; dados biométricos de um usuário, como impressões digitais, reconhecimento facial ou de voz. Backup - Uma cópia de arquivos e programas feita para facilitar recuperação, se necessário. Banner grabbing - técnica usada para obter informações de um sistema ou serviço de rede, capturando o banner exibido na resposta do servidor. Biometria - Uma entrada de identificação biológica, tal como impressões digitais ou retina. Certificado de Segurança - Informações, geralmente armazenadas como um arquivo de texto, que são usadas pelo protocolo TSL (Transport Socket Layers) para estabelecer uma conexão segura. Um certificado de segurança contém informações sobre a quem ele pertence, por quem foi emitido, datas de validade, um número de série exclusivo ou outra identificação exclusiva que pode ser usada para verificar o conteúdo do certificado. Para que uma conexão TSL seja criada, ambos os lados devem ter um Certificado de Segurança válido, que também é chamado de ID Digital. Código de Barras - Uma representação óptica de dados legível por máquina. Um exemplo é um código de barras encontrado em registros de apostas impressos. Código Móvel - Código executável que se move de um computador para outro, incluindo tanto o código legítimo quanto o código malicioso, como vírus de computador. Chave - Valor usado para controlar operações criptográficas, como descriptografia, criptografia, geração ou verificação de assinaturas. Chave de Criptografia - Uma chave criptográfica que foi criptografada para disfarçar o valor do texto simples subjacente. Conta do Apostador - Uma conta mantida para um apostador em que as informações relativas a apostas e transações financeiras são registradas em nome do apostador. Controle de Acesso - Processo de conceder ou negar solicitações para obter e usar informações sensíveis e serviços relacionados específicos de um sistema; e entrar em instalações físicas específicas que hospedam redes críticas ou infraestrutura de sistemas. Criptografia - A conversão de dados em um formato, chamado de texto cifrado, que não pode ser facilmente compreendida por pessoas não autorizadas. Dados do Apostador - Informações confidenciais sobre um apostador, que podem incluir itens como nome completo, data de nascimento, local de nascimento, endereço, número de telefone ou outras informações pessoais. DDoS, Ataque de Negação de Serviço - Tipo de ataque em que vários sistemas comprometidos, geralmente infectados com um software destrutivo, são usados para atingir um único sistema. As vítimas de um ataque DDoS consistem tanto no sistema alvo final quanto em todos os sistemas maliciosamente usados e controlados pelo hacker no ataque distribuído. Digest - processo no qual um documento, uma mensagem, uma palava-chave ou outro item de dados é condensado em um resumo de tamanho fixo curto. Dispositivo de Apostas - Um dispositivo eletrônico que converte as comunicações do Sistema de Apostas, da plataforma de apostas esportivas e da plataforma de jogos on-line em uma forma interpretável por humanos e converte decisões humanas em formato de comunicação compreendido pelo Sistema de Apostas e pelas plataformas, permitindo as operações de apostas em quota fixa diretamente pelo apostador. Exemplos de um dispositivo de apostas incluem computador, telefone celular e tablet. DNS, Domain Name Service - serviço de nomes de domínio - O banco de dados da Internet distribuído globalmente que mapeia nomes de máquinas para números IP e vice-versa. Domínio - Um grupo de computadores e dispositivos em uma rede que são administrados como uma unidade com regras e procedimentos comuns. Endereço IP - Endereço de Protocolo de Internet - número atribuído a cada dispositivo, como computador, impressora, smartphone conectado a uma rede de computadores que utiliza o Protocolo de Internet para comunicação. Um endereço IP serve a duas funções principais: identificação de interface de hospedeiro ou de rede e endereçamento de localização. Envenenamento de Cache - Um ataque em que o invasor insere dados corrompidos no banco de dados de cache do Serviço de Nomes de Domínio - DNS. Evento - Ocorrência relacionada a esportes, competições, jogos em que as apostas podem ser feitas. Evento significativo - Ocorrência que possui um potencial de impacto para a operação e que frequentemente leva a consequências e mudanças, como tentativas de acesso mau sucedidas, períodos de inatividade do sistema, grandes apostas, grandes ganhos e mudanças em algum componente crítico do sistema. Firewall - Um componente de um sistema ou rede de computadores projetado para bloquear o acesso ou tráfego não autorizado e, ao mesmo tempo, permite a comunicação externa. Geolocalização - Identificação da localização geográfica no mundo real de um dispositivo de apostas remoto conectado à Internet. Gerenciamento de Chave - Atividades que envolvem o manuseio de chaves criptográficas e outros parâmetros de segurança relacionados, como senhas, durante todo o ciclo de vida das chaves, incluindo sua geração, armazenamento, estabelecimento, entrada e saída, e zeragem. Hipervisor - Um hipervisor, ou monitor de máquina virtual, é um software, firmware ou hardware que cria e roda máquinas virtuais. HTTP - Protocolo de Transferência de Hipertexto - O protocolo subjacente usado para definir como as mensagens são formatadas e transmitidas, e quais ações os servidores e navegadores devem executar em resposta a vários comandos. Integridade dos Dados - A propriedade de que os dados são precisos e consistentes e não foram alterados de maneira não autorizada no armazenamento, durante o processamento e em trânsito. Internet - Um sistema interconectado de redes que conecta computadores em todo o mundo por meio do protocolo TCP/IP. IDS/IPS - Sistema de Detecção de Intrusão/Sistema de Prevenção de Intrusão - Um sistema que inspeciona todas as atividades de entrada e saída da rede e identifica padrões suspeitos que podem indicar um ataque à rede ou ao sistema por alguém que tenta invadir ou comprometer um sistema. Usado em segurança de computadores, a detecção de intrusão refere-se ao processo de monitoramento das atividades do computador e da rede e analisar esses eventos para procurar sinais de invasão em seu sistema.