DOE 18/07/2023 - Diário Oficial do Estado do Ceará

22
DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº134 | FORTALEZA, 18 DE JULHO DE 2023
4.3.1. Garantia de Segurança da Informação: se baseia nos princípios e elementos abaixo identificados:
4.3.1.1. Responsabilidade e Comprometimento: Todos os colaboradores da SEDUC, em qualquer vínculo, função ou nível hierárquico, são respon-
sáveis pela proteção e salvaguarda dos ativos físicos, tecnológicos e informações de que sejam usuários, dos ambientes físicos e computacionais a
que tenham acesso, independente das medidas de segurança implementadas.
4.3.1.2. Controle de Acesso: Os acessos aos ambientes físicos e computacionais devem ser controlados, registrados e monitorados, com base na
necessidade das ações desenvolvidas e do privilégio de acesso mínimo para o desempenho das atividades profissionais.
4.3.1.3. Notificação, Registro e Tratamento de Incidentes: Todos os colaboradores da SEDUC, em qualquer vínculo, função ou nível hierárquico
têm a obrigação de reportar imediatamente, por meio dos processos definidos pela instituição, quaisquer incidentes de segurança de que tomarem
conhecimento, de modo que possam ser registrados, avaliados e tratados.
4.3.1.4. Treinamento e Conscientização: Todos os colaboradores devem conhecer esta Política de Segurança da Informação e Comunicação dos
Ambientes de TIC, serem capacitados regularmente por meio de campanhas de conscientização e treinamentos, avaliados de acordo com suas
funções, garantindo assim maior efetividade e eficácia das ações de segurança da Informação e comunicação.
4.3.1.5. Proteção Física: Toda proteção física deve ser compatível com o risco identificado, em conformidade com os perímetros físicos delimitados
suficientemente a garantir o acesso autorizado à informação.
4.3.1.6. Ameaças: Deve ser estabelecida a proteção contra ameaças internas e externas, como as intempéries da natureza, ameaças físicas e ciberné-
ticas ou outras formas capazes de afetar a integridade dos meios de acesso à informação sob responsabilidade da instituição.
4.3.1.7. Cópias de Segurança: Gerar, no mínimo, cópias de segurança dos dados classificados como críticos e sua respectiva restauração em tempo
aceitável, assegurando o bom andamento das atividades da instituição com uso preferencial do ambiente de nuvem.
4.3.1.8. Suporte jurídico: A implantação desta Política de segurança da informação deve contar com suporte jurídico ou de profissionais qualificados
sobre os aspectos legais e seus requisitos.
4.3.2. Tratamento dos incidentes: Os incidentes de Segurança da Informação devem ser adequadamente registrados, classificados, investigados,
corrigidos, documentados e, quando necessário, comunicado as autoridades apropriadas.
4.3.3. Gestão de riscos: Os ativos, processos, produtos e serviços desenvolvidos ou adquiridos e implementados ou disponibilizados para a SEDUC
serão submetidos a um processo formal de análise, avaliação e tratamento de riscos, visando atingir o grau de segurança adequado para a SEDUC
e o Governo do Estado.
4.3.4. Gestão de Continuidade: Esta Política estabelecerá um conjunto de estratégias e planos de ação documentados, testados e revisados periodica-
mente, de maneira a garantir que os seus serviços essenciais sejam devidamente identificados, preservados e entregues, mesmo diante da ocorrência
de um desastre até o retorno à situação normal de funcionamento da Instituição.
5. Papéis e Responsabilidades
5.1. A gestão da SEDUC e todas as suas Secretarias Executivas, Coordenadorias e Unidades Organizacionais bem como o seu Comitê de Segurança da Infor-
mação, estarão comprometidos com uma gestão efetiva da segurança da informação no âmbito do ambiente de Tecnologia da Informação e das atividades da
SEDUC, adotando todas as medidas cabíveis para que esta Política seja efetivamente comunicada, entendida e cumprida, em todos os níveis da instituição.
5.2. Comitê de Gestor de Segurança da Informação – CGSI
5.2.1. Fica constituído o Comitê Gestor de Segurança da Informação, contando com a participação de um representante e um suplente indicados
como representantes da alta gestão além de:
• Dois Membros da Assessoria de Tecnologia da Informação, sendo um membro da equipe de segurança da informação;
• 01 (um) Membro da Assessoria de Comunicação da SEDUC;
• 01 (um) Membro do Setor de Controle Interno;
• 01 (um) Membro da Coordenadoria de Gestão de Pessoas;
• 01 (um) Membro da Assessoria Jurídica da SEDUC.
Todos designados em ato da alta gestão da SEDUC.
5.3. É responsabilidade do CGSI:
5.3.1. Analisar, revisar e propor a aprovação de políticas e normas relacionadas à segurança da informação.
5.3.2. Garantir a disponibilidade dos recursos necessários para uma efetiva gestão da Segurança da Informação.
5.3.3. Garantir que as atividades de segurança da informação sejam executadas em conformidade com a PGSI – Política Geral da Segurança da
Informação.
5.3.4. Promover a divulgação da PGSI e adotar as ações necessárias para disseminar uma cultura de Segurança da Informação no ambiente da SEDUC.
5.3.5. Disseminar a cultura e a Política de Segurança da Informação e Comunicação dos ambientes de TIC no âmbito da Secretaria da Educação
do Estado do Ceará.
5.4. Gerência da Segurança da Informação:
5.4.1. É responsabilidade da Gerência de Segurança da Informação:
5.4.1.1. Gerenciar e operar a segurança da informação, com base nesta Política e demais resoluções do CGSI.
5.4.1.2. Apoiar o CGSI em suas deliberações.
5.4.1.3. Elaborar e propor ao CGSI as normas e procedimentos de segurança da informação, necessários para se fazer cumprir a PGSI.
5.4.1.4. Identificar e avaliar as principais ameaças à segurança da informação, bem como propor e, quando aprovado, implantar medidas corretivas
para reduzir o risco.
5.4.1.5. Adotar as ações e medidas cabíveis para se fazer cumprir os termos desta Política.
5.4.1.6. Realizar a gestão dos incidentes de segurança da informação, garantindo tratamento adequado.
5.5. Gestores da informação:
5.5.1. É responsabilidade dos Gestores da Informação:
5.5.1.1. Acatar, dar conhecimento no âmbito de suas respectivas coordenações/gerencia, cumprir e dar cumprimento às diretrizes e normas constantes
desta Política de segurança da informação.
5.5.1.2. Gerenciar as informações produzidas ou sob a responsabilidade da sua área de negócio durante todo o seu ciclo de vida, incluindo a criação,
manuseio e descarte conforme as normas estabelecidas pela SEDUC.
5.5.1.3. Identificar, classificar e rotular as informações produzidas ou sob a responsabilidade da sua área de negócio conforme normas, critérios e
procedimentos adotados pela SEDUC.
5.5.1.4. Periodicamente revisar as informações produzidas ou sob a responsabilidade da sua área de negócio, ajustando a classificação e rotulagem,
conforme necessário.
5.5.1.5. Autorizar e revisar os acessos à informação e sistemas de informação sob sua responsabilidade.
5.5.1.6. Solicitar a concessão ou revogação de acesso à informação ou sistemas de informação de acordo com os procedimentos adotados pela SEDUC.
5.6. Usuários da Informação
5.6.1. É responsabilidade dos usuários da informação:
5.6.1.1. Ler, compreender, aceitar e cumprir integralmente os termos da Política Geral de Segurança da Informação, bem como as demais normas
e procedimentos de segurança aplicáveis, assumindo responsabilidade pelo seu cumprimento.
5.6.1.2. Encaminhar quaisquer dúvidas e/ou pedidos de esclarecimento sobre a Política Geral de Segurança da Informação, suas normas e procedi-
mentos a Gerência da Segurança da Informação através do e-mail seginf@seduc.ce.gov.br ou, quando pertinente, ao Comitê Gestor de Segurança
da Informação.
5.6.1.3. Comunicar à Gerência de Segurança da Informação qualquer evento que viole esta Política ou coloque/possa vir a colocar em risco a segu-
rança das informações ou dos recursos computacionais da SEDUC.
5.6.1.4. Responder na forma da lei, pela inobservância da Política Geral da Segurança da Informação, normas e procedimentos de segurança,
conforme definido no item sanções e punições.
6. Sanções e Punições
6.1. As violações, mesmo que por mera omissão ou tentativa não consumada, desta Política, bem como demais normas e procedimentos de segurança, serão
passíveis de penalidades.
6.2. A aplicação de sanções e punições será realizada conforme a análise do Comitê Gestor de Segurança da Informação da SEDUC (CGSI-SEDUC), em
estrita conformidade com o disposto no ANEXO ÚNICO do DECRETO Nº 34.100, DE 08 DE JUNHO DE 2021 (POLÍTICA DE SEGURANÇA DA INFOR-
MAÇÃO E COMUNICAÇÃO – ANEXO), que dispõe sobre as sanções ao descumprimento à Política de Segurança da Informação e Comunicação do Ceará.
6.3. No caso de terceiros contratados ou prestadores de serviço, o CGSI deverá analisar a ocorrência e deliberar sobre a efetivação das sanções e punições
conforme termos previstos em contrato;
6.4. Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em dano à SEDUC, o infrator será responsabilizado pelos prejuízos,
cabendo aplicação das medidas judiciais pertinentes sem prejuízos aos termos descritos nos itens 7.1 e 7.2 desta Política.