DOE 08/10/2019 - Diário Oficial do Estado do Ceará

decreto é incorporada por esta PoSIC independente de transcrição.
c. Deve-se buscar aderência às normas técnicas e boas práticas que regem a
Gestão da Segurança da Informação.
8.4 Da Segurança em Recursos Humanos
Os Agentes públicos devem ter pleno conhecimento das diretrizes, bem como
de suas responsabilidades, limitações e penalidades. Devem agir de acordo
com seus papéis para reduzir riscos, roubos, fraudes ou mau uso de recursos.
8.5 Dos Controles de Acesso
a. Todo acesso à informação armazenada em meio digital, não publicizada,
ocorrerá por meio de mecanismos de identificação e controle de acesso.
b. Qualquer mudança funcional implicará na revisão dos direitos de acesso
à informação.
c. Os acessos aos sistemas de informação por meio do Guardião (sistema de
gerenciamento de senhas e permissões de acessos aos sistemas da Seplag)
serão precedidos de anuência a termo de responsabilidade.
8.6 Da Aquisição, Desenvolvimento e Manutenção de Sistemas
De acordo com critérios estabelecidos pela Seplag, deve-se buscar garantir a
disponibilidade e a continuidade dos sistemas de informação, inclusive dos
adquiridos ou desenvolvidos por terceiros para uso da Seplag.
8.7 Da Segurança Física e do Ambiente
Todo ambiente que contenha ativos de informação deve ser protegido de
acordo com sua severidade.
8.8 Do Tratamento das Informações
a. Deve-se buscar garantir confidencialidade, integridade e disponibilidade das
informações, quando geradas, armazenadas ou trafegadas no âmbito da Seplag.
b. Toda informação produzida ou armazenada na Seplag é considerada como
de sua propriedade, exceto nos casos de obras autorais ou em que a Instituição
atue como custodiante da informação.
8.9 Do Zelo da Imagem da Seplag e do Governo
Devem ser tomadas medidas de segurança específicas nos ativos e nas apli-
cações que sustentam as páginas WEB da Seplag, visando prevenir dano à
imagem do órgão e/ou do Governo do Estado.
9 Das Responsabilidades
9.1 Cabe ao Titular da Pasta da Seplag
a. Aprovar e sancionar, por meio de publicação de portaria interna, o teor da
PoSIC e suas Instruções Normativas.
b. Executar ou delegar poderes para prepostos para supervisionar a execução
da PoSIC.
c. Promover a elaboração, a atualização, a validação e a divulgação das
diretrizes e objetivos estratégicos da PoSIC.
9.2 Cabe aos Coordenadores e Assessores que compõem a Seplag
a. Auxiliar na supervisão e na execução da PoSIC.
b. Disseminar a cultura e a PoSIC.
c. Auxiliar na execução dos programas, planos, projetos e ações de Segurança
da Informação.
d. Auxiliar na análise e na avaliação da efetividade de processos, procedi-
mentos, sistemas e dispositivos de Segurança da Informação.
e. Relatar, para as devidas providências, ocorrências, eventos e incidentes de
Segurança da Informação, na forma de relatório detalhado e circunstanciado.
9.3 Cabe aos orientadores de célula e articuladores de cada setor:
a. Disseminar permanentemente a PoSIC.
b. Adotar ações que viabilizem o cumprimento da PoSIC.
c. Solicitar a disponibilidade ou o cancelamento dos recursos de informática
necessários aos seus subordinados para o bom desempenho de suas funções.
9.4 Cabe especificamente ao Coordenador da Coordenadoria de Tecnologia
da Informação e Comunicação – Cotec:
a. Coordenar as ações para implantação da PoSIC.
b. Elaborar e/ou atualizar e divulgar os PO’s que compõem a PoSIC.
c. Propor, analisar, validar, acompanhar e avaliar as principais iniciativas de
Segurança da Informação.
d. Propor e executar os planos de contingência e recuperação de desastres
de TIC.
e. Atuar como Responsável pela Segurança da Informação.
f. Planejar e coordenar a execução dos programas, planos, projetos e ações
de Segurança da Informação.
g. Supervisionar, analisar e avaliar a efetividade dos processos, procedimentos,
sistemas e dispositivos de Segurança da Informação.
h. Recepcionar, organizar, armazenar e tratar adequadamente as informações
de eventos e incidentes de segurança, determinando ações corretivas ou de
contingência em cada caso.
i. Coordenar e/ou acompanhar a execução de auditorias de segurança nos
sistemas de informação.
j. Suspender, a qualquer tempo, o acesso de usuário a recurso computacional
quando evidenciados riscos à Segurança da Informação.
k. Homologar e autorizar o uso de sistemas e dispositivos de processamento
de informações.
9.5 Cabe aos Agentes Públicos
a. Cumprir as determinações e recomendações estabelecidas nesta PoSIC.
b. Notificar à sua chefia imediata ou à Cotec, indício ou falha na Segurança
da Informação, bem como qualquer violação a esta PoSIC.
c. Responder por toda atividade executada por meio de suas identificações
digitais (token de assinatura digital, usuário e senha de acesso a sistemas e
serviços).
d. Seguir as recomendações e as boas práticas de utilização dos recursos
ofertados pela Seplag para a execução de suas atividades.
9.6 Cabe aos Fornecedores
a. Cumprir os preceitos estipulados por esta PoSIC, quando estiverem execu-
tando atividades no ambiente da Seplag.
b. Notificar à Cotec, indício ou falha na Segurança da Informação, bem como
qualquer violação a esta PoSIC.
c. Responder por toda violação de segurança praticada por seu pessoal.
d. Seguir as recomendações e as boas práticas de utilização dos recursos
ofertados pela Seplag para a execução de suas atividades.
10 Da Violação à PoSIC
A violação de um ou mais dispositivos da PoSIC ou quebra de segurança
por agente público estará sujeita a sanções da esfera administrativa, civil ou
penal. O tratamento dessas violações seguirá os trâmites normais estabele-
cidos por esfera.
11 Da Atualização da PoSIC
A PoSIC, bem como o conjunto de instrumentos normativos gerados a partir
dela, deverão ser revisados de forma periódica ou sempre que se fizer neces-
sário, não excedendo o período máximo de quatro anos.
ANEXO II
INSTRUÇÃO NORMATIVA N°01
IN_01 – Criação e Uso de Contas e Senhas de Usuários
Esta instrução normativa é parte da PoSIC da
Seplag. Dispõe sobre a normatização de criação
e uso de contas e senhas de usuários da rede
de computadores e possui como documento
complementar o Procedimento Operacional
PO_01 — Manual de Uso de Senhas, devendo
ser consultados em conjunto.
1 Objetivo
Estabelecer um padrão para a criação, utilização e proteção de contas e senhas
de usuários.
2 Responsabilidades
Cabe, de maneira geral, a todas as Coordenadorias e Assessorias que compõem
a Seplag, o acompanhamento e a execução da Política de Criação e Uso de
Contas e Senhas de Usuários. Cabe, de maneira específica:
2.1 Ao Agente Público da Seplag
2.1.1 Seguir esta Instrução Normativa.
2.1.2 Resguardar o sigilo de suas contas e senhas que permitem seu acesso
a serviços e sistemas da Seplag.
2.1.3 Comunicar imediatamente a Coordenadoria de Tecnologia de Infor-
mação e Comunicação - Cotec, a perda ou roubo de senhas de acesso a rede
ou a sistemas.
2.1.4 Responder por todas as ações efetuadas por meio de suas contas e
senhas, mesmo que seja por conduta culposa.
2.2 Ao Administrador de Rede, Administrador de Dados e Desenvolvedor
de Sistema da Seplag
Preservar a confidencialidade dos arquivos e bancos de dados de senhas que
estejam sob sua responsabilidade.
3 Normas
3.1 As contas e senhas geradas para o agente público são do seu uso exclusivo,
não podendo ser reveladas ou compartilhadas com terceiros sob circunstância
alguma.
3.2 As contas de rede e de serviços serão criadas e mantidas pela Cotec.
3.3 A gestão das contas de usuários de sistemas é de responsabilidade dos
respectivos gestores de sistemas.
3.4 Toda e qualquer conta de usuário deve possuir uma senha de acesso
e seguir os padrões estabelecidos no Procedimento Operacional PO_01 –
Manual de Uso de Senhas.
3.5 As senhas não devem ser inseridas em mensagens de e-mails ou outras
formas eletrônicas de comunicação. A única exceção a essa regra ocorre
no envio de senhas temporárias por meio de comunicação direta entre o
administrador de serviço/sistema e o agente público ou entre a central de
atendimento ao usuário e o agente público.
3.6 As contas de rede serão bloqueadas quando da ocorrência de várias tenta-
tivas inválidas de acesso. Essas contas serão automaticamente desbloqueadas
após período de tempo definido, conforme Procedimento Operacional PO_01
ou por meio de intervenção dos administradores da rede da Seplag mediante
requisição formal do agente público.
3.7 Contas de outros serviços e sistemas, como correio eletrônico, banco de
dados, aplicativos e outros, devem possuir o recurso de bloqueio automático
após um número de tentativas inválidas.
3.8 O agente público deve avisar imediatamente à Cotec em caso de suspeita
de sua senha ter sido comprometida.
3.9 Todas as senhas de usuários de acesso à rede, serviços e sistemas da
Seplag devem ser trocadas periodicamente.
3.10 As contas de acesso à rede não utilizadas por determinado período (ver
PO_01 — Manual de Uso de Senhas) serão bloqueadas.
3.11 O Agente Público que estiver aguardando os trâmites para nomeação
ou cessão e que se encontre exercendo as suas atividades na Seplag, somente
deverá ter acesso aos Sistemas da Seplag, mediante autorização do Gabinete
ou do Coordenador da área à qual o Agente Público estará subordinado.
4 Auditoria
A tentativa de decodificação ou determinação de senhas fracas, poderá ser
executada dentro de um processo de auditoria interna ou externa, com o obje-
tivo de verificar o cumprimento das regras estabelecidas na política de senhas.
Tal processo será conduzido ou supervisionado pelo Responsável pela Segu-
rança da Informação da Seplag ou por Agente Público por ele determinado.
Se uma senha for determinada ou decodificada durante uma dessas audito-
rias, o usuário terá sua conta bloqueada e será solicitado a substituir a senha
decodificada.
102
DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XI Nº191 | FORTALEZA, 08 DE OUTUBRO DE 2019