DOE 19/09/2023 - Diário Oficial do Estado do Ceará

97
DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº176 | FORTALEZA, 19 DE SETEMBRO DE 2023
5.4.16. A aplicação das competências indicadas nesta seção observará, no que couber, as competências inerentes às demais unidades da Sefaz.
5.5. Data Protection Officer - DPO
5.5.1. Cuidar das questões referentes à proteção dos dados pessoais tratados no âmbito da Sefaz;
5.5.2. Aceitar reclamações e comunicações dos titulares dos dados pessoais, prestar-lhes esclarecimentos e adotar providências;
5.5.3. Receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD), ou órgão/entidade que venha a assumir as suas competências, e adotar
providências;
5.5.4. Orientar os colaboradores sobre as práticas a serem tomadas em relação à proteção de dados pessoais;
5.5.5. Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares, inclusive aquelas emitidas pela ANPD,
ou órgão/entidade que venha a assumir as suas competências.
5.6. Gestor da Unidade
5.6.1. O gestor imediato da unidade deve observar todas as atribuições determinadas em normativo específico.
5.7. Gestor de Sistema e Gestor de Processo
5.7.1. Comunicar ao DPO sobre a ocorrência de incidentes de SI relacionados aos sistemas ou processos sob sua gestão que possam ter comprometido dados
pessoais ou à central de atendimento de usuários em caso de outros incidentes;
5.7.2. Priorizar as correções de vulnerabilidades de segurança de SI em sistemas ou processos sob sua gestão;
5.7.3. Gerir as informações geradas pelos sistemas ou processos sob sua gestão, de forma a participar de discussões sobre a governança, privacidade e inte-
gridade dos dados envolvidos.
5.7.4. Ao Gestor de Sistema, compete ainda realizar a gestão de usuários, grupos e permissões seguindo os preceitos do privilégio mínimo e da segregação
de funções.
5.8. Secretário da Fazenda e Secretários Executivos
5.8.1. Instituir um Sistema de Gestão de Segurança da Informação (SGSI), designando formalmente os papéis elencados nesta norma, assegurando que as
responsabilidades e autoridades destes papéis sejam atribuídas e comunicadas.
5.8.2. Comprometer-se com a PSI e apoiar os seus princípios e diretrizes;
5.8.3. Disseminar, permanentemente, a PSI em toda a Sefaz;
5.8.4. Garantir o cumprimento da PSI, inclusive disponibilizando recursos necessários para tanto;
5.8.5. Assegurar o monitoramento do desempenho e avaliar a concepção, a implementação e os resultados da PSI e das normas internas de SI;
5.8.6. O exercício dos papéis e responsabilidades elencadas nesta norma pressupõe a instituição formal destes pela Sefaz.
6. NORMAS QUE COMPÕEM A PSI
As Normas de SI aplicáveis à Sefaz estão definidas para abranger as três disciplinas da SI (segurança de pessoas, segurança da informação e segurança física
e patrimonial), a saber:
6.1. Diretrizes de Segurança da Informação – estabelece princípios, diretrizes, normas gerais, papéis e responsabilidades para a gestão de SI na Sefaz.
6.2. Norma de Segurança Física – detalha os requisitos de segurança física, ambiental e de integridade do indivíduo.
6.3. Norma de Gestão de Pessoas – orienta os processos de trabalho da Sefaz em relação à gestão de pessoas (contratação, transferência, afastamento, trei-
namento, entre outros).
6.4. Norma de Responsabilidade para Gerentes – explicita os controles e as responsabilidades que devem ser conhecidos e seguidos por todos os colabora-
dores que exerçam funções gerenciais.
6.5. Norma de Gestão de Incidentes – detalha as regras que asseguram que um enfoque consistente e efetivo seja aplicado à gestão de incidentes de segurança.
6.6. Norma de Gestão do Sistema Corporativo de Circuito Fechado de TV - CFTV – prover transparência e segurança aos colaboradores e usuários no que
concerne à implantação e ao funcionamento do sistema de CFTV.
6.7. Norma de Uso de Recursos de Informática – detalha os requisitos de segurança para utilização dos recursos de informática, pelos usuários.
6.8. Norma de Uso da Internet - detalha os requisitos de segurança para uso da Internet por meio do ambiente informatizado da Sefaz.
6.9. Norma de Uso do Correio Eletrônico - detalha os requisitos de segurança para uso do Correio Eletrônico institucional da Sefaz.
6.10. Norma de Controle de Acesso Lógico - detalha os requisitos de segurança relativos ao controle de acesso ao ambiente informatizado e à rede da Sefaz.
6.11. Norma de Cópias de Segurança - detalha os requisitos de segurança relativos ao processo de elaboração de cópias de segurança dos dados e informações
da Sefaz e do plano de continuidade do negócio.
6.12. Norma de Gestão das Operações de TI - detalha os requisitos de segurança relativos à gestão do ambiente informatizado da Sefaz.
6.13. Norma de Gestão de Ativos e Classificação da Informação - detalha os requisitos de segurança e de proteção relativos ao processo de gestão de ativos
e à classificação quanto ao grau de sigilo das informações da Sefaz.
6.14. Norma de Gestão de Conformidade - detalha critérios que garantam que a prática de SI da Sefaz está em conformidade legal, técnica e com as normas
e políticas de segurança da informação estabelecidas pela instituição.
6.15. Norma de Acesso às Redes sem Fio - detalha os requisitos de segurança para a utilização da rede sem fio disponibilizada pela Sefaz.
6.16. Norma de Privacidade e Proteção de Dados - detalha os requisitos de segurança para o gerenciamento do tratamento de dados pessoais.
7. DISPOSIÇÕES FINAIS
7.1. A Sefaz define como permanente a existência do Comitê de Segurança da Informação e Privacidade de Dados, o qual será coordenado pelo Gestor de
Segurança da Informação, que o presidirá, devendo ser, no mínimo, composto pelos seguintes integrantes:
Gestor de Segurança da Informação da Sefaz;
Representante da Ascoi;
Representante da Asjur;
Representante da Cosef;
Representante da Cotic;
Representante da Cogep;
Representante da Coafi;
Representante da Codip;
Representante da Corins;
Representante da Secretaria Executiva da Receita;
Representante da Secretaria Executiva do Tesouro Estadual e Metas Fiscais;
Data Protection Officer - DPO.
7.2. A participação no Comitê não enseja remuneração de qualquer espécie, sendo considerada serviço público relevante.
7.3. A organização e o funcionamento do Comitê serão dispostos em regimento interno por ele aprovado.
7.4. Os membros titulares do Comitê serão substituídos pelos respectivos suplentes, em suas ausências ou impedimentos.
7.5. O CSIPD é um comitê de caráter técnico e consultivo, focado em SI, devendo submeter as suas decisões ao Comitê Executivo da Secretaria da Fazenda.
7.6. Enquanto não instituído formalmente o CSIPD, todos os assuntos pertinentes ao tema serão deliberados pelo Comitê de Integridade da Sefaz.
8. EXCEÇÕES
8.1. Os casos omissos, excepcionais e eventuais dúvidas quanto à aplicação da PSI serão resolvidos pelo CSIPD.
9. PENALIDADES
9.1. O não cumprimento da PSI por parte dos colaboradores poderá acarretar sanções cíveis, penais e/ou administrativas, notadamente, as previstas no
Estatuto dos Servidores Civis do Estado do Ceará (lei 9.826/74), no Código de Ética e Conduta da Administração Pública Estadual (Decreto Estadual n.º
31.198/2013) e no Termo de Compromisso de Estágio.
10. DOCUMENTOS COMPLEMENTARES
10.1. Norma de Acesso às Redes Sem Fio
10.2. Norma de Cópias de Segurança
10.3. Norma de Gestão de Conformidade
10.4. Norma de Uso da Internet
10.5. Norma de Gestão de Pessoas
10.6. Norma de Controle de Acesso Lógico
10.7. Norma Gestão dos Canais de Comunicação Corporativa
10.8. Norma de Uso de Recursos de Informática
10.9. Norma de Gestão do Sistema Corporativo de Circuito Fechado de TV - CFTV
10.10. Norma de Responsabilidades para Gestores
10.11. Norma de Gestão das Operações de Tecnologia da Informação