Diário Oficial do Estado do Ceará · 19/09/2023 · pág. 30

DOE 19/09/2023 - Diario Oficial do Estado do Ceara - Caderno 2

Baixar página em PDF · Criar alerta deste tema

O visualizador interativo precisa de JavaScript — baixe a página original em PDF.

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº176 | FORTALEZA, 19 DE SETEMBRO DE 2023

102

3.8. REGULAMENTAÇÃO DE CONTROLES DE CRIPTOGRAFIA

3.8.1. Devem ser avaliadas as leis aplicáveis quando do uso de hardware e software para execução de funções criptográficas, visando à conformidade com acordos, leis, regulamentos ou outros instrumentos adotados pelo Brasil ou por países que controlam o uso de criptografia. 4. CONFORMIDADE E ANÁLISE CRÍTICA DA SEGURANÇA DA INFORMAÇÃO 4.1. Aspectos Gerais

4.1.1. A análise crítica da segurança da informação tem por objetivo garantir que a SI seja implementada e operada de acordo com as políticas e os proce- dimentos adotados pela Sefaz
. 4.1.2. O cumprimento da PSI deve ser periodicamente submetido à análise crítica independente para garantir a adequação e a eficiência da Política e se as
práticas dos colaboradores refletem apropriadamente o que está nela definido.
4.1.3. Devem ser implementados procedimentos informatizados necessários no sentido de ajudar a garantir a observância das políticas e normas que venham a ser instituídas pelo Governo do Estado do Ceará e pela Sefaz, como a PSI e todos os normativos que a integram.
4.2. ANÁLISE CRÍTICA INDEPENDENTE DA SEGURANÇA DA INFORMAÇÃO
4.2.1. O gerenciamento da SI e a sua implementação serão analisados criticamente, de forma independente, a intervalos planejados ou quando ocorrerem mdn inifiti
uaças sgcavas. 4.2.2. A análise crítica independente será determinada pelo Comitê de Segurança da Informação e Privacidade de Dados (CSIPD), ou por provocação. 4.2.3. A análise crítica independente é necessária para assegurar a contínua pertinência, adequação e eficácia do enfoque da organização para gerenciar a SI. 4.2.4. Durante os trabalhos relativos à análise crítica independente, deverá ser efetuada a avaliação de oportunidades para a melhoria e a necessidade de mudanças com o enfoque na SI, incluindo a política e os objetivos de controle. 425 A áli íti á td iddt d á lid
... anse crca ser execuaa por pessoas nepenenes a rea avaaa. 4.2.5.1. A execução poderá ser realizada pela Área de Governança em SI e Privacidade de Dados ou por outra área a critério do CSIPD.
4.2.5.2. A equipe de análise crítica independente deverá ser composta, obrigatoriamente, por um profissional que possua habilidades e experiência na área de SI ou matéria afim às áreas analisadas desta Sefaz
. 4.2.6. Os resultados da análise crítica independente serão registrados e relatados para o CSIPD e serão mantidos em arquivo seguro.
4.2.7. Identificado que a implementação para o gerenciamento da SI é inadequada ou não conforme com as orientações estabelecidas pela SI, o CSIPD
tomará as ações corretivas, nos termos da PSI. 43 CONFORMIDADE COM AS POLÍTICAS E PROCEDIMENTOS DE SEGURANÇA DA INFORMAÇÃO
.. 431 A Á d G SI Piidd d Dd d li d f íti itl l dit t
... rea e overnança em e rvacae e aos eve anasar, e orma crca, em nervaos reguares, se os procemenos e o processameno da informação da Sefaz está em conformidade com a PSI e com demais requisitos de SI.
4.3.2. Poderão ser utilizadas ferramentas de notificação e de medições automáticas para mensurar o atendimento adequado aos requisitos de SI.
4.3.3. Achado qualquer situação de não conformidade como resultado da análise crítica, o CSIPD e a Área de Governança em SI e Privacidade de Dados deverão: 4331 Idifi d ã fidd
.... entcar as causas e no conormae;
4.3.3.2. Avaliar a necessidade de ações para atender à conformidade; 4.3.3.3. Implementar ação corretiva apropriada;
4334 Analisar criticamente a ação corretiva adotada com vistas a constatar a sua eficácia e identificar quaisquer deficiências ou fragilidades
.... , . 4.3.4. Os resultados das análises críticas e das ações corretivas operadas serão registrados e mantidos em arquivo seguro. 4.4. ANÁLISE CRÍTICA DA CONFORMIDADE TÉCNICA
4.4.1. Os sistemas de informação serão analisados criticamente, em intervalos regulares, para verificar a conformidade com a PSI e suas normas regulamentares.
4.4.2. A execução poderá ser realizada pela Área de Governança em SI e Privacidade de Dados ou por outra área a critério do CSIPD.
4.4.3. A verificação da conformidade técnica envolve a análise dos sistemas operacionais para garantir que controles de hardware e software foram correta- mente implementados, o que exige conhecimentos técnicos especializados pela equipe realizadora de testes de invasão e de avaliação de vulnerabilidades.
4.4.4. A verificação de conformidade técnica será analisada de maneira crítica, preferencialmente, com o apoio de uma ferramenta automática, a qual gerará relatórios técnicos ara a interretaão elos esecialistas técnicos
p pç p p . 4.4.4.1. Como modo alternativo, análises críticas manuais (auxiliadas por ferramentas de software apropriadas, se necessário) podem ser realizadas por um
colaborador com experiência em sistemas ou contratado que possua qualificação técnica adequada e experiência em análise em sistemas de informação.
4.4.4.2. Testes de invasão ou avaliação de vulnerabilidades poderão ser realizados para aferir a conformidade e a confiabilidade dos sistemas de informação, bm m fiiêni n rnã d nã trid
e coo a ecca a peveço e acessos o auozaos. 4.4.4.3. Os testes de invasão ou de avaliação de vulnerabilidades deverão ser planejados, documentados e repetidos.
4.4.4.4. No caso de realização dos testes, a unidade administrativa gestora tomará as precauções necessárias, para que tais atividades não conduzam a comprometimento da segurança do sistema
. 445 O tt d inã liõ d lnrbilidd nã btitm liã d ri r frnr rtrt intntân r m tm ífi
... s eses e vaso e as avaaçes e vueaaes o susue a avaaço e sco, po oece eao saeo paa u epo especco, bem como limitam-se para as partes do sistema realmente testadas. 5. AUDITORIA DE SEGURANÇA DA INFORMAÇÃO
5.1. A Auditoria de Segurança da Informação tem por objetivo verificar os controles existentes em SI da Sefaz, suas regras de negócio e a aderência à lil i
egsação pertnente.
5.2. A necessidade de Auditoria de SI deve ser verificada regularmente, produzindo um relatório de auditoria. Essa verificação deve contemplar, entre outros:
5.2.1. Análise dos documentos que compõem a PSI;
5.2.2. Resultados de auditorias anteriores;
5.2.3. Indicadores de SI; 5.2.4. Análise dos incidentes de SI registrados;
5.2.5. Informações relativas a análises de risco.
53 Requisitos e atividades de Auditoria de SI devem ser planejados para minimizar o risco de interrupção dos processos de negócio envolvidos devendo
.. , o planejamento contemplar, dentre outros:
5.3.1. Áreas, usuários, processos e sistemas que serão auditados;
5.3.2. Controles de SI que serão auditados;
5.3.3. Estratégia de comunicação com todos os envolvidos; 534 Idifiã d di
... entcaço os autores;
5.3.5. Independência dos auditores em relação às atividades auditadas; 5.3.6. Cronograma de execução da auditoria.
54 A Auditoria de SI será reulamentada por normativas que além de observar à leislação viente à PSI e a este documento tratarão dos responsáveis
.. g , , g g, , pela sua condução, o planejamento, o plano de ações, o procedimento, o relatório a ser gerado e os resultados de auditoria para a adoção das medidas cabíveis. 6. EXCEÇÕES
6.1. Os casos omissos, excepcionais e eventuais dúvidas quanto à aplicação da PSI serão resolvidos pelo CSIPD. 7 PENALIDADES
. 7.1. O não cumprimento da Norma de Conformidade por parte dos colaboradores estará sujeito às penalidades previstas nas esferas administrativa, civil e penal.
8. ELUCIDÁRIO 8.1. Ativos de informação: os meios de armazenamento, transmissão e processamento, os sistemas de informação, bem como os locais onde se encontram
esses meios e as pessoas que a eles têm acesso.
8.2. Autoridade Nacional de Proteção de Dados (ANPD): autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio
e com sede e foro no Distrito Federal. 8.3. Criptografia: conjunto de técnicas pensadas para proteger uma informação de modo que apenas o emissor e receptor consigam compreendê-la. 8.4. Colaboradores: servidores, consultores externos, estagiários, prestadores de serviços ou a quem quer que venha a ter acesso a dados ou informações da Sefaz. 8.5. Funções criptográficas: formas de criptografar uma informação de modo que apenas o emissor e o receptor consigam compreendê-la.
8.6. Processos de negócio: modo como a Sefaz se organiza internamente para atingir seus objetivos e conseguir oferecer um produto ou serviço de qualidade. 8.7. Sistemas de informação: todo mecanismo projetado com a finalidade de coletar, processar, armazenar e transmitir informações, de maneira a facilitar o
acesso de usuários interessados, solucionando problemas e atendendo suas necessidades.