DOE 09/06/2021 - Diário Oficial do Estado do Ceará

3
DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XIII Nº134 | FORTALEZA, 09 DE JUNHO DE 2021
22 de junho de 2004, no âmbito da Política a que se refere este Decreto, apoiar as ações tratadas pelo Comitê Gestor de Segurança da Informação – CGSI,
relacionadas à Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC), no que diz respeito aos órgãos e entidades do Poder
Executivo do Estado.
Art. 6º Compete à área de governança de TIC da Secretaria do Planejamento e Gestão – Seplag:
I - Realizar o acompanhamento, no nível estratégico, da execução dos planos de ação dos órgãos e entidades estaduais, decorrentes dos pedidos de
exceção, que objetivam a remoção dos impeditivos ao devido cumprimento da Política de Segurança da Informação e Comunicação dos Ambientes de TIC;
II - Avaliar o impacto das ações decorrentes da Política de Segurança da Informação e Comunicação dos Ambientes de TIC para aferir os resultados
alcançados; e
III - Secretariar o Comitê Gestor de Segurança da Informação do Governo do Estado do Ceará – CGSI.
Art. 7º Compete à Empresa de Tecnologia da Informação do Ceará - Etice:
I - Coordenar o Comitê Gestor de Segurança da Informação do Governo do Estado do Ceará – CGSI;
II - Monitorar a ocorrência dos Incidentes de Segurança da Informação e Comunicação que possuam repercussão no ambiente corporativo de TIC
do governo;
III - Manter o CGSI informado da ocorrência de Incidentes de Segurança da Informação no ambiente corporativo de TIC, bem como as ações de
contenção e correção adotadas, em caráter emergencial ou definitiva;
IV - Aplicar, em caráter emergencial e temporário, medidas restritivas no fornecimento de serviços de TIC geridos pela ETICE, aos Órgãos e
Entidades, nos casos de ocorrência de Incidentes de Segurança ou de detecção de falha com potencial risco de segurança para o ambiente de TIC do Governo
do Estado do Ceará; e
V - Assessorar ao CGSI na elaboração, atualização e/ou revisão de normas e padrões técnicos a serem observados pelos Órgãos e Entidades, visando
assegurar compatibilidade e qualidade às soluções de Segurança da Informação e Comunicação.
Art. 8º Compete à Controladoria e Ouvidoria Geral do Estado do Ceará - CGE, no que se refere à Política de Segurança da Informação e Comunicação
dos Ambientes de TIC (PoSIC), realizar auditoria nos órgãos e entidades quando solicitado pelo CGSI, respeitada a sua capacidade operacional, com o
objetivo de avaliar o seu cumprimento.
Art. 9º Ao gestor de tecnologia da informação e comunicação de cada órgão/entidade cabe a responsabilidade de:
I - Homologar e autorizar o uso e acesso de ativos, sistemas e dispositivos de processamento de informações em suas instalações; e
II - Realizar a gestão do acesso do usuário a recurso computacional do órgão/entidade do usuário que se desligar da instituição ou a qualquer tempo,
quando evidenciados riscos à segurança da informação, e informar o incidente ao gestor máximo do órgão/entidade e ao gestor de segurança da informação
e comunicação, se existir.
Parágrafo único. Nos órgãos e entidades onde não existir o responsável pela unidade de tecnologia da informação e comunicação ou função de gestão
de segurança da informação e comunicação, cabe ao gestor máximo assumir as responsabilidades definidas neste artigo.
Art. 10. Ao gestor máximo de cada órgão/entidade e à chefia imediata do gestor de tecnologia da informação e comunicação cabe a responsabilidade de:
I - Disseminar permanentemente a Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC); e
II - Garantir o cumprimento da PoSIC, inclusive disponibilizando recursos necessários para tanto.
Art. 11. Ao usuário de cada órgão/entidade cabe a responsabilidade de:
I - Conhecer e seguir a Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC);
II - Notificar sua chefia imediata ou a qualquer membro do CGSI indício ou falha na Segurança da Informação e Comunicação; e
III - Responder por toda atividade executada por meio de sua identificação.
Art. 12. Compete aos órgãos e entidades estaduais enquadrarem-se nos termos da Política a que se refere este Decreto, cumprindo as normas aqui
indicadas e reportando ao CGSI qualquer não conformidade.
Art. 13. Fica estabelecido que os órgãos e entidades estaduais devem contemplar dentro do seu Planejamento Estratégico, em caráter obrigatório,
projetos relacionados à Segurança da Informação e Comunicação, que tenham como objetivo específico a adequação às recomendações estabelecidas nos
controles que norteiam a PoSIC.
Art. 14. Os casos omissos e as eventuais dúvidas quanto à aplicação da Política a que se refere este Decreto serão resolvidos pelo Comitê Gestor de
Segurança da Informação – CGSI.
Art. 15. Este Decreto entra em vigor na data de sua publicação.
Art. 16. Revogam-se as disposições em contrário, em especial o Decreto nº 29.227, de 13 de março de 2008.
PALÁCIO DA ABOLIÇÃO, DO GOVERNO DO ESTADO DO CEARÁ, em Fortaleza, aos 08 de junho de 2021.
Camilo Sobreira de Santana
GOVERNADOR DO ESTADO DO CEARÁ
Ronaldo Lima Moreira Borges
SECRETÁRIO EXECUTIVO DE PLANEJAMENTO E GESTÃO INTERNA,
DA SECRETARIA DO PLANEJAMENTO E GESTÃO
ANEXO ÚNICO A QUE SE REFERE O DECRETO Nº34.100, DE 08 DE JUNHO DE 2021
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÃO
INTRODUÇÃO
A segurança da informação e comunicação é a proteção da informação de vários tipos de ameaças para garantir a continuidade do negócio, minimizar os
riscos, maximizar o retorno sobre investimentos e as oportunidades de negócio.
A segurança da informação e comunicação é obtida a partir da implementação de um conjunto de controles adequados, incluindo políticas, processos, proce-
dimentos, estruturas organizacionais e funções de software e hardware. Estes controles precisam ser estabelecidos, implementados, monitorados, analisados
criticamente e melhorados, onde necessário, para garantir que os objetivos do negócio e de segurança da organização sejam atingidos. Convém que isto seja
feito em conjunto com outros processos de gestão do negócio.
A informação e os processos de apoio, sistemas e redes de computadores são importantes ativos para os negócios de uma organização. Definir, alcançar,
manter e melhorar a segurança da informação e comunicação podem ser atividades essenciais para assegurar o bom desempenho, o atendimento aos requisitos
legais e a imagem da organização perante a sociedade.
As organizações, seus sistemas de informação e redes de computadores são expostos a diversos tipos de ameaças à segurança da informação e comunicação,
incluindo fraudes eletrônicas, espionagem, sabotagem, vandalismo, incêndio e inundação. Danos causados por código malicioso e hackers estão se tornando
cada vez mais comuns, mais ambiciosos e incrivelmente mais sofisticados.
A segurança da informação e comunicação é importante para os negócios, tanto do setor privado como do setor público, e para proteger as infraestruturas
críticas. Em ambos os setores, a função da segurança da informação e comunicação é viabilizar os negócios como governo digital ou o comércio eletrônico
(e-business), e evitar ou reduzir os riscos relevantes. A interconexão de redes públicas e privadas e o compartilhamento de recursos de informação aumentam
a dificuldade de se controlar o acesso.
Muitos sistemas de informação não foram projetados para serem seguros. A segurança da informação e comunicação que pode ser alcançada por meios
técnicos é limitada e deve ser apoiada por uma gestão e por procedimentos apropriados. A identificação de controles a serem implantados requer um plane-
jamento cuidadoso e uma atenção aos detalhes.
APRESENTAÇÃO DA POLÍTICA
A Secretaria de Planejamento e Gestão (SEPLAG), por meio da Empresa de Tecnologia da Informação do Ceará – ETICE, apresenta a Política de Segurança
da Informação e Comunicação dos Ambientes de TIC, no cumprimento do seu papel de órgão central de definição de estratégias de Tecnologia da Infor-
mação e Comunicação (TIC), fortalecendo a gestão pública e o desenvolvimento econômico e social, por meio da Tecnologia da Informação e Comunicação
(TIC). A presente política é pautada no alinhamento entre os setores de TIC com suas respectivas gestões superiores, de forma a assegurar a adequação dos
preceitos norteadores da disciplina de segurança da informação e Comunicação à realidade dos órgãos e entidades, removendo impedimentos e alinhando
estrategicamente as ações e projetos de segurança com as ações da própria instituição. Outro ponto fortemente considerado é a heterogeneidade da estrutura
administrativa do Governo. Assim, são consideradas peculiaridades individuais de cada órgão ou entidade na exigência de requisitos de segurança, sempre
maximizando a relação custo-benefício.
A Política de Segurança da Informação e Comunicação dos Ambientes de TIC definida neste documento atende à diretriz de Governo de “Rever e aplicar
Políticas da Segurança da Informação e Comunicação do Estado”, elaborada no Planejamento Estratégico da Função Tecnologia da Informação do Governo
do Estado do Ceará.
Dessa forma, nesta política passam a figurar 03 (três) elementos principais:
1. Princípios, que são os fundamentos da Política de Segurança da Informação e Comunicação dos Ambientes de TIC;
2. Diretrizes, que são as regras de alto nível que representam os princípios básicos que o Governo do Estado do Ceará resolveu incorporar a sua gestão e