DOE 19/09/2023 - Diário Oficial do Estado do Ceará

104
DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XV Nº176 | FORTALEZA, 19 DE SETEMBRO DE 2023
9.6. Fake news: notícias falsas publicadas por veículos de comunicação como se fossem informações reais. Esse tipo de texto, em sua maior parte, é feito e
divulgado com o objetivo de legitimar um ponto de vista ou prejudicar uma pessoa ou grupo.
9.7. Internet obscura (Dark Web): refere-se a servidores de rede disponíveis na internet, acessíveis somente através de ferramentas, configurações ou auto-
rizações específicas que dão um elevado nível de anonimato tanto a quem publica os conteúdos como a quem os consulta.
9.8. Internet profunda (Deep Web): refere-se ao conteúdo da internet que não faz parte da internet navegável, isso significa que os endereços na Deep Web
não são indexados e não são relacionados em motores de busca.
9.9. Intranet: rede de computadores de uso exclusivo de uma determinada organização. A intranet é usada pelas empresas para armazenamento de informações
e é um importante veículo de comunicação entre seus funcionários.
9.10. Keyloggers: programa de computador do tipo spyware cuja finalidade é registrar tudo o que é digitado, quase sempre a fim de capturar senhas, números
de cartão de crédito e afins.
9.11. Malware: software malicioso, projetado para infiltrar um sistema computacional, com a intenção de roubar dados ou danificar aplicativos ou o sistema
operacional. Esse tipo de software costuma entrar em uma rede por meio de diversas atividades aprovadas pela empresa, como e-mail ou sites. Entre os
exemplos de malware estão os vírus, worms, trojans (ou cavalos de Troia), spyware, adware e rootkits;
9.12. Phishing: técnica de engenharia social usada para enganar usuários de internet usando fraude eletrônica para obter informações confidenciais, como
nome de usuário, senha e detalhes do cartão de crédito. O ato consiste em um fraudador se fazer passar por uma pessoa ou empresa confiável enviando uma
comunicação eletrônica oficial.
9.13. Redes de bots (botnets): rede composta por um grande número de computadores que foram infectados por malwares, com o controle de centenas ou
mesmo milhares de computadores. As botnets são geralmente usadas para enviar spam ou vírus, roubar dados pessoais ou executar ataques de DDoS.
9.14. Spam: é o envio de mensagens geralmente de caráter publicitário, apelativo, e principalmente não solicitadas, incômodas e inconvenientes para uma grande
quantidade de pessoas. Na sua forma mais usual, o spam é uma mensagem de correio eletrônico, porém, é comum sua ocorrência em outros meios eletrônicos.
9.15. Spyware: programa automático de computador. É um software destinado a coletar dados de um computador ou outro dispositivo, e encaminhá-los a
terceiros sem o consentimento ou o conhecimento do usuário. Muitas vezes, envolve a coleta de dados confidenciais, como senhas e números de cartões de
crédito, o monitoramento de pressionamentos de teclas, o rastreamento de hábitos de navegação e a coleta de endereços de e-mail.
9.16. Torrent: protocolo de rede que permite ao utilizador realizar downloads (descargas) de arquivos, em geral indexados em websites. Esse protocolo
introduziu o conceito de partilhar o que já foi descarregado, maximizando o desempenho e possibilitando altas taxas de transferência, mesmo com um enorme
número de usuários realizando downloads de um mesmo arquivo simultaneamente.
ANEXO VI A QUE SE REFERE A PORTARIA N°235/2023 - NORMA DE GESTÃO DE PESSOAS
1. APRESENTAÇÃO
1.1. Este documento visa estabelecer e difundir a Norma de Gestão de Pessoas no âmbito da Secretaria da Fazenda do Estado do Ceará (Sefaz), visando
definir regras para orientar os processos de trabalho em relação aos procedimentos para gestão de pessoas, de forma a preservar a Segurança da Informação
(SI) da instituição.
2. ABRANGÊNCIA
2.1. A Norma de Gestão de Pessoas deve ser aplicada a todos os colaboradores da Sefaz.
2.2. Entende-se por colaboradores os servidores de carreira, os terceirizados, os consultores externos, os estagiários ou a quem quer que venha a ter acesso
a dados ou informações da Sefaz, incumbindo a cada um a responsabilidade e o comprometimento em sua aplicação.
3. SEGURANÇA NA ADMISSÃO DE COLABORADORES
3.1. Antes do início do vínculo com a Sefaz, verificações do histórico devem ser realizadas para todos colaboradores, de acordo com a ética, regulamenta-
ções e leis relevantes, em especial a Lei Geral de Proteção de Dados (LGPD), e deve ser proporcional aos requisitos de negócio, aos riscos percebidos e à
classificação das informações a serem acessadas.
3.2. A área de Gestão de Pessoas será responsável pelo gerenciamento do ciclo de vida dos colaboradores, realizando o cadastro inicial do colaborador em
sistema informatizado.
3.3. Todos os colaboradores devem receber da área de Governança de TI e Privacidade de Dados e com o apoio das demais unidades competentes, ações
permanentes voltadas à divulgação, treinamento, educação e conscientização sobre a PSI e orientações sobre suas responsabilidades em relação à SI durante
o desempenho de suas funções específicas.
3.4. Os colaboradores devem ser formalmente instruídos sobre suas responsabilidades de SI e as regras internas da Sefaz contemplando, no mínimo, a Política
de Segurança da Informação (PSI), o Código de Ética e o Estatuto do Servidor Público Estadual, quando aplicáveis.
3.5. Para que as atividades dos colaboradores sejam iniciadas e o acesso aos recursos de Tecnologia de Informação e Comunicação (TIC) seja liberado é
necessária a assinatura de Termo de Responsabilidade por terceirizados, consultores externos e estagiários.
4. TEMOS DE RESPONSABILIDADE
4.1. Os documentos que representam os termos de sigilo e responsabilidade a serem firmados entre a Sefaz e seus colaboradores, podem ser apresentados na
forma de documentos isolados ou itens em contratos.
4.2. A área de Gestão de Pessoas será responsável, durante o processo de admissão dos colaboradores, com exceção do processo de contratação de consultores
externos, por coletar e gerenciar os termos de responsabilidade.
4.3. Para os terceirizados, os consultores externos e os estagiários:
4.3.1. Termo de responsabilidade: documento assinado pelo terceirizado, consultor externo e estagiário, no qual declara estar ciente da obrigatoriedade de
guardar sigilo dos fatos, dados e informações de que vier a tomar conhecimento em decorrência do exercício de suas funções, assim como se compromete a
seguir as orientações da PSI da Sefaz, praticar os procedimentos de segurança estabelecidos e zelar pelos materiais e equipamentos sob sua responsabilidade.
Esses colaboradores declaram estar ciente também, quando do encerramento de suas atividades profissionais na Sefaz, da revogação dos acessos concedidos
e da necessidade de devolução dos recursos que estavam sob sua responsabilidade.
5. PROCESSO DE CONTRATAÇÃO DE CONSULTORES EXTERNOS
5.1. Denomina-se consultor externo todo o colaborador que presta serviços à Sefaz, em suas dependências ou externamente a elas, de forma vinculada a um
contrato de prestação de serviços.
5.2. O gestor da unidade onde for prestado o serviço deve garantir que os termos de responsabilidade sejam assinados e encaminhados à área de Gestão de
Pessoas, quando aplicáveis.
5.3. O contrato de prestação de serviços e os termos de responsabilidade devem especificar claramente as responsabilidades relacionadas à segurança da
informação e as sanções previstas.
6. EDUCAÇÃO E TREINAMENTO EM SI
6.1. A área de Governança de SI e Privacidade de Dados, com o apoio das demais unidades competentes, deverá:
6.1.1. Orientar a todos os colaboradores sobre conceitos e boas práticas de SI, de forma a capacitá-los na utilização correta dos ativos de informação da Sefaz.
6.1.2. Informar sobre as ameaças e os riscos decorrentes da má utilização dos ativos de informação da Sefaz.
6.1.3. Periodicamente, realizar e registrar treinamentos para a atualização dos conhecimentos dos colaboradores sobre SI.
6.2. Os treinamentos devem, também, ser realizados sempre que identificada a necessidade, seja pelo próprio colaborador, seu superior imediato ou gestor da
unidade de lotação, quando, por exemplo, da implantação ou revisão de um processo ou sistema de informação, ou após a ocorrência de um incidente de SI.
6.3. Os gestores da Sefaz devem avaliar de forma periódica a necessidade de treinamentos adicionais aos colaboradores que estão diretamente sob a sua
gestão, de forma a manter o nível de conhecimento e consciência em SI atualizado e uniforme em toda a equipe.
7. MUDANÇAS OU ENCERRAMENTO DE VÍNCULO OU CONTRATO
7.1. O desligamento ou remanejamento de colaboradores deve ser iniciado e formalizado pelo gestor da unidade de lotação do colaborador e comunicado à
área de Gestão de Pessoas.
7.2. Tão logo sejam remanejados ou desligados, mesmo que por iniciativa própria, deverão ser cessados todos os acessos físicos e lógicos que tenham sido
concedidos aos colaboradores.
7.3. A área de Gestão de Pessoas será responsável por manter atualizado, em sistema informatizado, o cadastro dos colaboradores em caso de alterações
cadastrais e por dar baixa no cadastro em caso de desligamento do colaborador.
7.4. Recursos computacionais, chaves, dispositivos de identificação ou quaisquer outros sob a custódia dos colaboradores que permitam acesso ou uso de
recursos e informações devem ser recolhidos no momento do desligamento ou movimentação pelo gestor da unidade de lotação do colaborador, bem como
registrado junto à área de Gestão de Pessoas.
8. PROCESSOS SANCIONATÓRIOS
8.1. As sanções para os servidores do Estado que tenham cometido violação das políticas e normas de SI são aplicáveis de acordo com o previsto no Estatuto
dos Servidores Públicos Civis do Estado do Ceará e normas complementares, quando for o caso.
8.2. Para os demais colaboradores, os contratos e convênios devem prever cláusulas em caso de violação da PSI da instituição e prever medidas administrativas
e judiciais cabíveis conforme a legislação vigente.