DOE 21/12/2023 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº239 | FORTALEZA, 21 DE DEZEMBRO DE 2023

51

I – Princípio 1 – Alinhamento estratégico: Os órgãos e entidades estaduais deverão alinhar-se com os princípios, diretrizes, normas, procedimentos e ações de segurança da informação, observando sua missão institucional e o planejamento estratégico, com vistas a viabilizar orçamentos necessários para garantir a implantação mínima e continuada de níveis de controle de segurança da informação, por meio de ações e projetos, de forma a dotar-se de recursos tecnológicos, processos e pessoal qualificado para o devido cumprimento da política de que trata a PoSIC.

II - Princípio 2 - Diversidade organizacional: A elaboração de diretrizes, normas, procedimentos e controles de Segurança Corporativa do Estado deve levar em consideração a diversidade das atividades das instituições, respeitando a natureza e finalidade de cada órgão/entidade, de forma a garantir a continuidade do seu negócio.

III - Princípio 3 - Garantia da Segurança das Informações: Deve-se sempre buscar a implantação e utilização de controles que busquem garantir a confidencialidade, disponibilidade e integridade das informações nos órgãos/entidades. Estes controles devem incluir a classificação do grau de confidencialidade, disponibilidade e criticidade, bem como uma política para acesso e manuseio das mesmas.

IV – Princípio 4 – Propriedade da informação: Toda informação produzida ou armazenada no Estado é de sua propriedade e não de seus colaboradores, exceto os casos onde a Instituição atua como custodiante da informação, devendo seu uso ser destinado, exclusivamente, a atender aos interesses da Instituição.

V – Princípio 5 – Alinhamento com os aspectos legais (“Compliance”): Devem ser cumpridas as normas legais e regulamentares de abrangência estadual e federal, as políticas e as diretrizes estabelecidas para o negócio e para as atividades do estado, bem como evitar, detectar e tratar qualquer desvio ou inconformidade que possa ocorrer. “

CAPÍTULO V

DO OBJETIVO

Art. 5º O objetivo desta Política de Segurança é estabelecer princípios, diretrizes, normas e procedimentos gerais para a gestão da Segurança da Informação do ambiente de TIC da EGPCE, definindo as responsabilidades e orientando a conduta dos usuários de maneira a preservar a integridade, a confidencialidade, e a disponibilidade e a autenticidade das informações, descrevendo diretrizes e procedimentos para o manuseio, controle e proteção das informações contra perdas, alterações, divulgações indevidas e acessos não autorizados.

CAPÍTULO VI

DO COMITÊ GESTOR DA SEGURANÇA DA INFORMAÇÃO DO AMBIENTE DE TIC

Art. 6º Fica instituído o Comitê Gestor da Segurança da Informação do Ambiente de TIC (CGSITIC), com atribuição de assessorar a Direção da EGPCE nas atividades relacionadas à segurança da informação do ambiente de TIC. Parágrafo Único: O CGSITIC é um comitê de caráter técnico e consultivo, focado em Segurança da Informação, devendo submeter as suas decisões ao Comitê Executivo da EGPCE. Art. 7º O Comitê será coordenado pelo Gestor de Tecnologia da Informação, devendo ser, no mínimo, composto por um representante titular e respectivos suplentes indicados pelos seguintes setores:

I – Assessoria de Desenvolvimento Institucional (ADINS);

II – Assessoria Jurídica (ASJUR);

III – Coordenadoria Administrativo-Financeira (COAFI);

IV – Coordenadoria Pedagógica (COPED);

• V - Coordenadoria de Educação em Gestão Pública (COEGE).

• §1º Os membros do CGSITIC e os respectivos suplentes serão indicados por Portaria da Direção da EGPCE.

• §2º Os membros titulares do Comitê serão substituídos pelos respectivos suplentes, em suas ausências ou impedimentos.

• §3º A participação no CGSITIC será considerada prestação de serviço público relevante, não remunerada.

• §4º Enquanto não instituído formalmente o CGSITIC, todos os assuntos pertinentes ao tema serão deliberados pelo Comitê de Integridade da EGPCE.

Art. 8º Compete ao CGSITIC:

• I – Promover a elaboração, atualização, validação e divulgação da PoSIC da EGPCE, conforme surjam mudanças tecnológicas, operacionais, físicas e humanas que possam impactar os processos da EGPCE;

• II – Supervisionar a execução da PoSIC da EGPCE;

III – Disseminar a cultura de Segurança da Informação na EGPCE;

IV – Analisar e monitorar os incidentes de Segurança da Informação do ambiente de TIC da EGPCE;

V – Promover a elaboração e implantação de planos de contingência e recuperação de desastres do ambiente de TIC da EGPCE;

VI – Elaborar as Normas de Segurança da Informação e Comunicação do ambiente de TIC da EGPCE;

VII – Deliberar sobre as questões que lhe tenham sido encaminhadas.

CAPÍTULO VII

DAS COMPETÊNCIAS E RESPONSABILIDADES

Art. 9º Compete à Direção da EGPCE:

1. Disseminar permanentemente a PoSIC da EGPCE;

2. Garantir o cumprimento da PoSIC, inclusive disponibilizando recursos necessários para tanto;

3. Aprovar e sancionar, por meio de publicação de portaria interna, o teor da PoSIC e seus normativos.

• Art. 10 Compete à Assessoria de Desenvolvimento Institucional (ADINS):

1. Informar, orientar e supervisionar as unidades da EGPCE quanto ao cumprimento das Normas de Segurança da Informação;

2. Homologar e autorizar o uso e acesso de ativos, sistemas e dispositivos de processamento de informações em suas instalações;

3. Realizar a gestão do acesso do usuário a recurso computacional da EGPCE do usuário que se desligar da instituição ou a qualquer tempo, quando evidenciados riscos à segurança da informação, e informar o incidente à Direção e demais interessados;

4. Implantar, administrar e efetuar a atualização periódica desta Política;

5. Homologar e autorizar o uso de sistemas e dispositivos de processamento de informações em suas instalações;

6. Coordenar a execução dos procedimentos e ações de segurança;

7. Mapear os processos relacionados à Segurança da Informação;

8. Definir indicadores para monitorar a execução dos processos relacionados à Segurança da Informação;

9. Identificar e classificar os riscos dos processos relacionados à Segurança da Informação estabelecendo controles para o tratamento adequado dos riscos conforme a sua classificação;

10. Articular com a área de comunicação da EGPCE campanhas de conscientização da PoSIC.

• Art. 11 Compete à CGSITIC atuar em conformidade com as competências, responsabilidades e atribuições definidas no artigo 8º. Art. 12 Compete aos usuários:

• I – Conhecer e respeitar integralmente a PoSIC;

• II – Notificar sua chefia imediata ou a qualquer membro do CGSITIC indício ou falha na Segurança da Informação e Comunicação;

• III – Responder pela guarda e proteção dos recursos computacionais colocados à sua disposição para a realização das suas atividades;

• IV – Responder pelo uso exclusivo e intransferível de suas credenciais de acesso lógico ou físico, como senhas, biometria, crachás, tokens, dentre outros; V – Assinar o Termo de Compromisso e Confidencialidade, formalizando a ciência e o aceite da PoSIC da EGPCE e de suas Normas;

• VI – Tratar a informação digital como patrimônio da EGPCE e como recurso que deva ter seu sigilo preservado;

• VII – Utilizar as informações digitais disponibilizadas e os sistemas e produtos computacionais de propriedade ou direito de uso da EGPCE exclusivamente para o interesse do serviço;

VIII – Preservar o conteúdo das informações sigilosas a que tiver acesso, sem divulgá-las ou compartilhá-las para pessoas não autorizadas e/ou que não tenham necessidade de conhecê-las;

IX – Não utilizar os dados de acessos ou credenciais de outro usuário;

• X – No caso de exoneração, demissão, licenciamento, término de prestação de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos sigilosos a que teve acesso;

• XI – Não compartilhar, transferir, divulgar ou permitir o conhecimento de credenciais de acesso (senhas) utilizadas no ambiente computacional da EGPCE para terceiros;

XII – Não transmitir, copiar ou reter arquivos contendo textos, fotos, filmes ou quaisquer outros registros que contrariem a moral, os bons costumes e a legislação vigente;

XIII – Não transferir qualquer tipo de arquivo ou informação que pertença à EGPCE para outro local, por qualquer meio de comunicação ou transmissão, exceto no interesse do serviço e mediante autorização da autoridade competente;

XIV – Tomar ciência de que toda informação digital armazenada, processada e transmitida no ambiente computacional da EGPCE pode ser auditada; XV – Tomar ciência de que o correio eletrônico, serviços de nuvem, espaços em disco físico é de uso exclusivo para o interesse do serviço e que qualquer