Decreto nº 34.100/2021

DECRETO Nº 34.100, DE 08 DE JUNHO DE 2021.

DISPÕE SOBRE A POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÃO DOS AMBIENTES DE TECNOLOGIA DA INFORMAÇÃO E COMUNICAÇÃO - TIC DO GOVERNO DO ESTADO DO CEARÁ E SOBRE O COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO DO GOVERNO DO ESTADO DO CEARÁ - CGSI, E DÁ OUTRAS PROVIDÊNCIAS.

O GOVERNADOR DO ESTADO DO CEARÁ, no uso das atribuições que lhe confere o art. 88, nos incisos IV e VI, da Constituição Estadual ;

CONSIDERANDO a necessidade de garantir a integridade, confidencialidade e disponibilidade das informações sob gestão do Governo do Estado do Ceará e atualizar os Princípios, Diretrizes, Normas e Procedimentos que compõem a Política de Segurança da Informação e Comunicação dos Ambientes de Tecnologia da Informação e Comunicação - TIC, do Governo do Estado do Ceará, a serem seguidas pelos órgãos e entidades do Poder Executivo Estatual; e

CONSIDERANDO o Modelo de Governança de TIC, em conformidade com a LEI nº 13.494 , de 22 de junho de 2004, alterada pela LEI nº 16.921 , de 08 de julho de 2019, DECRETA:

Art. 1º Este DECRETO promove a revisão da Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC), do Governo do Estado do Ceará, instituída pelo DECRETO nº 29.227 , de 13 de março de 2008.

Art. 2º A Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC) passa a ser a constante no Anexo Único, deste DECRETO.

§ 1º A PoSIC deve ser implementada de forma a orientar estrategicamente as ações de segurança da informação e comunicação a serem executadas pelos órgãos e entidades do Poder Executivo do Estado do Ceará, tendo por base os seguintes princípios:

I - Princípio 1 - Alinhamento estratégico: Os órgãos e entidades estaduais deverão alinhar-se com os princípios, diretrizes, normas, procedimentos e ações de segurança da informação, observando sua missão institucional e o planejamento estratégico, com vistas a viabilizar orçamentos necessários para garantir a implantação mínima e continuada de níveis de controle de segurança da informação, por meio de ações e projetos, de forma a dotar-se de recursos tecnológicos, processos e pessoal qualificado para o devido cumprimento da política de que trata a PoSIC.

II - Princípio 2 - Diversidade organizacional: A elaboração de diretrizes, normas, procedimentos e controles de Segurança Corporativa do Estado deve levar em consideração a diversidade das atividades das instituições, respeitando a natureza e finalidade de cada órgão/entidade, de forma a garantir a continuidade do seu negócio.

III - Princípio 3 - Garantia da Segurança das Informações: Deve-se sempre buscar a implantação e utilização de controles que busquem garantir a confidencialidade, disponibilidade e integridade das informações nos órgãos/entidades. Estes controles devem incluir a classificação do grau de confidencialidade, disponibilidade e criticidade, bem como uma política para acesso e manuseio das mesmas.

IV - Princípio 4 - Propriedade da informação: Toda informação produzida ou armazenada no Estado é de sua propriedade e não de seus colaboradores, exceto os casos onde a Instituição atua como custodiante da informação, devendo seu uso ser destinado, exclusivamente, a atender aos interesses da Instituição.

V - Princípio 5 - Alinhamento com os aspectos legais ("Compliance"): Devem ser cumpridas as normas legais e regulamentares de abrangência estadual e federal, as políticas e as diretrizes estabelecidas para o negócio e para as atividades do estado, bem como evitar, detectar e tratar qualquer desvio ou inconformidade que possa ocorrer.

§ 2º Compõem a PoSIC o documento a que se refere o Anexo Único, deste DECRETO, e Instruções Normativas complementares, os quais deverão ficar disponíveis na Internet, no sítio eletrônico da Secretaria do Planejamento e Gestão - Seplag e da Empresa de Tecnologia da Informação do Ceará - Etice.

Art. 3º O Comitê Gestor de Segurança da Informação - CGSI, instituído pelo DECRETO nº 29.227 , de 13 de março de 2008, como comitê temático de Tecnologia da Informação e Comunicação - TIC, de caráter técnico, consultivo, propositivo e permanente, focado em Segurança da Informação e Comunicação, passa a ser disciplinado por este DECRETO, em conformidade com o art. 5º, da LEI nº 13.494 , de 22 de junho de 2004.

§ 1º O CGSI será coordenado pela Empresa de Tecnologia da Informação do Ceará - Etice, secretariado pela Secretaria de Planejamento e Gestão - Seplag e formado por técnicos representantes dos seguintes órgãos e entidades estaduais com conhecimentos em segurança da informação, mediante indicação de um suplente para cada titular:

I - Empresa de Tecnologia da Informação do Ceará - Etice;

II - Secretaria de Planejamento e Gestão - Seplag;

III - Casa Civil - CC;

IV - Secretaria da Fazenda - Sefaz;

V - Controladoria e Ouvidoria Geral do Estado - CGE;

VI - Procuradoria Geral do Estado - PGE;

VII - Secretaria da Segurança Pública e Defesa Social - SSPDS;

VIII - Secretaria de Ciência, Tecnologia e Educação Superior - Secitece;

§ 2º A organização e o funcionamento do CGSI serão dispostos em regimento interno, definido e aprovado por maioria de seus membros.

§ 3º O representante da Empresa de Tecnologia da Informação do Ceará - Etice acumulará as funções de coordenação e membro do Comitê.

§ 4º O representante da Secretaria do Planejamento e Gestão - Seplag acumulará as funções de Secretaria Executiva e membro do Comitê;

§ 5º Representantes de outros órgãos e entidades poderão ser convidados para participar das reuniões, a critério do Comitê e por convocação da Seplag.

§ 6º Dar-se-á vacância da função de membro do Comitê Gestor de Segurança da Informação - CGSI quando este deixar de comparecer, sem justificativa, a 3 (três) reuniões consecutivas ou a 4 (quatro) intercaladas, nos últimos 12 (doze) meses.

§ 7º O funcionamento do CGSI poderá verificar-se com a presença de 4 (quatro) dos seus membros, os quais deliberarão por maioria simples, devendo ser realizado no mínimo uma reunião a cada 2 (dois) meses.

Art. 4º Compete ao Comitê Gestor de Segurança da Informação - CGSI:

I - Supervisionar a execução da Política de Segurança da Informação e Comunicação dos Ambientes de TIC, bem como o cumprimento de suas Instruções Normativas;

II - Analisar, monitorar, acompanhar e avaliar as ocorrências dos Incidentes de Segurança da Informação de natureza corporativa, bem como as medidas de contenção e correção adotadas;

III - Analisar, acompanhar e avaliar os projetos e as principais iniciativas de caráter corporativo dos órgãos e entidades, relativas à Segurança da Informação e Comunicação dos ambientes de TIC;

IV - Avaliar, analisar e propor para deliberação do Conselho Superior de Tecnologia da Informação e Comunicação - CSTIC, sanções de caráter técnico restritivo, no fornecimento de serviços de TIC, aos Órgãos e Entidades que descumprirem a Política de Segurança da Informação e Comunicação ou que tenham sido provocadores ou vetores de ameaças à segurança do ambiente de TIC;

V - Analisar, emitir parecer e encaminhar para deliberação do Conselho Superior de Tecnologia da Informação e Comunicação - CSTIC, os pedidos de exceção às obrigações impostas pela Política de Segurança da Informação e Comunicação dos ambientes de TIC protocolizados pelos Órgãos e Entidades;

VI - Disseminar a cultura e a Política de Segurança da Informação e Comunicação dos ambientes de TIC no âmbito do Governo do Estado do Ceará;

VII - Promover a elaboração, atualização, validação e divulgação da Política de Segurança da Informação e Comunicação dos ambientes de TIC;

VIII - Promover a elaboração e implantação de planos de contingência e recuperação de desastres;

IX - Coordenar as ações para implantação da Política de Segurança da Informação e Comunicação dos ambientes de TIC;

X - Deliberar sobre as questões que lhe tenham sido encaminhadas; e

XI - Dar ciência ao Comitê de Governança de Tecnologia da Informação e Comunicação - CGTIC sobre os assuntos e ações relacionados ao descumprimento da Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC) pelos órgãos e entidades do Poder Executivo do Estado do Ceará.

§ 1º O CGSI recomendará à Seplag e à Etice, quando necessário, a emissão de Instruções Normativas conjuntas estabelecendo procedimentos de implementação e aplicação da PoSIC, as quais estipularão prazos de adequação para suas disposições.

§ 2º Cabe ao CGSI, em conjunto com as áreas de governança de TIC da Seplag e Etice, a divulgação das Instruções Normativas complementares relacionadas à PoSIC.

§ 4º O CGSI deverá propor a revisão e atualização da Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC) e de seus documentos, no prazo máximo de 4 (quatro) anos a partir de sua vigência.

Art. 5º Compete ao Comitê de Governança de Tecnologia da Informação e Comunicação - CGTIC, instituído pelo art. 2º, da LEI nº 13.494 , de 22 de junho de 2004, no âmbito da Política a que se refere este DECRETO, apoiar as ações tratadas pelo Comitê Gestor de Segurança da Informação - CGSI, relacionadas à Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC), no que diz respeito aos órgãos e entidades do Poder Executivo do Estado.

Art. 6º Compete à área de governança de TIC da Secretaria do Planejamento e Gestão - Seplag:

I - Realizar o acompanhamento, no nível estratégico, da execução dos planos de ação dos órgãos e entidades estaduais, decorrentes dos pedidos de exceção, que objetivam a remoção dos impeditivos ao devido cumprimento da Política de Segurança da Informação e Comunicação dos Ambientes de TIC;

II - Avaliar o impacto das ações decorrentes da Política de Segurança da Informação e Comunicação dos Ambientes de TIC para aferir os resultados alcançados; e

III - Secretariar o Comitê Gestor de Segurança da Informação do Governo do Estado do Ceará - CGSI.

Art. 7º Compete à Empresa de Tecnologia da Informação do Ceará - Etice:

I - Coordenar o Comitê Gestor de Segurança da Informação do Governo do Estado do Ceará - CGSI;

II - Monitorar a ocorrência dos Incidentes de Segurança da Informação e Comunicação que possuam repercussão no ambiente corporativo de TIC do governo;

III - Manter o CGSI informado da ocorrência de Incidentes de Segurança da Informação no ambiente corporativo de TIC, bem como as ações de contenção e correção adotadas, em caráter emergencial ou definitiva;

IV - Aplicar, em caráter emergencial e temporário, medidas restritivas no fornecimento de serviços de TIC geridos pela ETICE, aos Órgãos e Entidades, nos casos de ocorrência de Incidentes de Segurança ou de detecção de falha com potencial risco de segurança para o ambiente de TIC do Governo do Estado do Ceará; e

V - Assessorar ao CGSI na elaboração, atualização e/ou revisão de normas e padrões técnicos a serem observados pelos Órgãos e Entidades, visando assegurar compatibilidade e qualidade às soluções de Segurança da Informação e Comunicação.

Art. 8º Compete à Controladoria e Ouvidoria Geral do Estado do Ceará - CGE, no que se refere à Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC), realizar auditoria nos órgãos e entidades quando solicitado pelo CGSI, respeitada a sua capacidade operacional, com o objetivo de avaliar o seu cumprimento.

Art. 9º Ao gestor de tecnologia da informação e comunicação de cada órgão/entidade cabe a responsabilidade de:

I - Homologar e autorizar o uso e acesso de ativos, sistemas e dispositivos de processamento de informações em suas instalações; e

II - Realizar a gestão do acesso do usuário a recurso computacional do órgão/entidade do usuário que se desligar da instituição ou a qualquer tempo, quando evidenciados riscos à segurança da informação, e informar o incidente ao gestor máximo do órgão/entidade e ao gestor de segurança da informação e comunicação, se existir.

Parágrafo único. Nos órgãos e entidades onde não existir o responsável pela unidade de tecnologia da informação e comunicação ou função de gestão de segurança da informação e comunicação, cabe ao gestor máximo assumir as responsabilidades definidas neste artigo.

Art. 10. Ao gestor máximo de cada órgão/entidade e à chefia imediata do gestor de tecnologia da informação e comunicação cabe a responsabilidade de:

I - Disseminar permanentemente a Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC); e

II - Garantir o cumprimento da PoSIC, inclusive disponibilizando recursos necessários para tanto.

Art. 11. Ao usuário de cada órgão/entidade cabe a responsabilidade de:

I - Conhecer e seguir a Política de Segurança da Informação e Comunicação dos Ambientes de TIC (PoSIC);

II - Notificar sua chefia imediata ou a qualquer membro do CGSI indício ou falha na Segurança da Informação e Comunicação; e

III - Responder por toda atividade executada por meio de sua identificação.

Art. 12. Compete aos órgãos e entidades estaduais enquadrarem-se nos termos da Política a que se refere este DECRETO, cumprindo as normas aqui indicadas e reportando ao CGSI qualquer não conformidade.

Art. 13. Fica estabelecido que os órgãos e entidades estaduais devem contemplar dentro do seu Planejamento Estratégico, em caráter obrigatório, projetos relacionados à Segurança da Informação e Comunicação, que tenham como objetivo específico a adequação às recomendações estabelecidas nos controles que norteiam a PoSIC.

Art. 14. Os casos omissos e as eventuais dúvidas quanto à aplicação da Política a que se refere este DECRETO serão resolvidos pelo Comitê Gestor de Segurança da Informação - CGSI.

Art. 15. Este DECRETO entra em vigor na data de sua publicação.

Art. 16. Revogam-se as disposições em contrário, em especial o DECRETO nº 29.227 , de 13 de março de 2008.

PALÁCIO DA ABOLIÇÃO, DO GOVERNO DO ESTADO DO CEARÁ, em Fortaleza, aos 08 de junho de 2021.

Camilo Sobreira de Santana

GOVERNADOR DO ESTADO DO CEARÁ

Ronaldo Lima Moreira Borges

SECRETÁRIO EXECUTIVO DE PLANEJAMENTO E GESTÃO INTERNA,

DA SECRETARIA DO PLANEJAMENTO E GESTÃO