Ato Normativo nº 256/2024

ATO NORMATIVO Nº 256 DE 16 DE ABRIL DE 2024.

Dispõe sobre o controle de acesso aos sistemas de informação do TCE-RJ e dá outras providências.

O PRESIDENTE DO TRIBUNAL DE CONTAS DO ESTADO DO RIO DE JANEIRO, no uso de suas atribuições constitucionais e legais, especialmente nos termos da Lei Complementar nº 63 , de 1º de agosto de 1990 ( Lei Orgânica deste Tribunal de Contas), e da Deliberação TCE-RJ nº 338 , de 8 de fevereiro de 2023, que consubstancia o Regimento Interno desta Corte, e;

CONSIDERANDO o disposto na Lei Federal nº 12.527 , de 18 de novembro de 2011, a Lei de Acesso à Informação (LAI), e o teor da Resolução TCE-RJ nº 433 , de 13 de dezembro de 2023, que "Dispõe sobre a identificação e classificação da informação quanto à confidencialidade no âmbito do Tribunal de Contas do Estado do Rio de Janeiro";

CONSIDERANDO o disposto na Lei Federal nº 13.709 , de 13 de junho de 1990, a Lei Geral de Proteção de Dados Pessoais (LGPD);

CONSIDERANDO o disposto na Lei Federal nº 8.069 , de 13 de julho de 1990, o Estatuto da Criança e do Adolescente (ECA), notadamente, em seu art. 69, que prevê como direito do adolescente a profissionalização e a proteção no trabalho;

CONSIDERANDO o disposto no art. 2º, incisos III e IV, e no art. 3º, inciso XI, ambos do Decreto nº 9.637 , de 26 de dezembro de 2018, que instituiu a Política Nacional de Segurança da Informação (PNSI) e dispõe sobre a Governança da Segurança da Informação;

CONSIDERANDO o disposto na ABNT ISO/IEC ISO/IEC 27001, 3ª edição, de 23 de novembro de 2022, que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente o Sistema de Gestão de Segurança da Informação (SGSI);

CONSIDERANDO o disposto na ABNT ISO/IEC 27002, 3ª edição, de 5 de outubro de 2022, projetada como referência para determinar e implementar controles para tratamento de riscos de segurança da informação em SGSGI baseados na ABNT NBR ISO/IEC 27001;

CONSIDERANDO o disposto na Resolução TCE-RJ nº 395 , de 16 de fevereiro de 2022, que "Institui a Política de Segurança da Informação do Tribunal de Contas do Estado do Rio de Janeiro";

CONSIDERANDO o Modelo de Política de Controle de Acesso expedido pela Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia, em março de 2023;

CONSIDERANDO a Diretriz da Gestão do Biênio 2023-2024 nº 10, que visa à evolução do grau de conformidade deste TCE-RJ quanto à adoção de boas práticas de gestão, transparência, acessibilidade e gestão de riscos;

CONSIDERANDO a Diretriz da Gestão do Biênio 2023-2024 nº 22, que tem por escopo reestruturar a segurança da informação, entre outros, por meio da elaboração de atos normativos e da implementação de procedimentos e orientações internos, nos termos das boas práticas, da Lei de Acesso à Informação (LAI) e da Lei Geral da Proteção de Dados Pessoais (LGPD); e

CONSIDERANDO o disposto nos autos do Processo TCE-RJ nº 303.248-6/23, RESOLVE:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Art. 1º Fica estabelecido o controle de acesso aos Sistemas de Informação em uso no Tribunal de Contas do Estado do Rio de Janeiro (TCE-RJ), com os requisitos necessários para concessão de acesso aos usuários desses sistemas, assim como as restrições necessárias para assegurar a proteção das informações sigilosas e dos dados pessoais sensíveis.

Art. 2º Os controles de acesso regulam a identificação, a autenticação e a autorização de acesso, observando-se a proteção das informações do TCE - RJ, com o objetivo de impedir acessos não autorizados e mitigar riscos de destruição, adulteração, perda, roubo ou divulgação indevida de informações.

Art. 3º Este Ato Normativo aplica-se a:

I - todos os sistemas de informação em uso no TCE-RJ; e

II - todos os usuários que tenham acesso aos recursos de tecnologia da informação da rede corporativa do TCE-RJ.

Art. 4º Para os fins deste Ato Normativo, considera-se:

I - acesso: ato de ingressar, transitar, conhecer, consultar ou atualizar a informação, seja local ou remotamente, bem como a possibilidade de usar os ativos de informação de um órgão ou entidade;

II - acesso especial: direito de acesso atribuído a um usuário não responsável pelo dado, apenas de leitura, em determinados sistemas de informação do TCE-RJ;

III - classificação da informação: ação que qualifica a informação quanto ao grau e prazo de sigilo, observado o seu teor e em razão de sua imprescindibilidade à segurança da sociedade ou do Estado, abrangendo inclusive, para os efeitos desta Resolução, os atos de registro da classificação de documentos eletrônicos internos ou externos em soluções de tecnologia da informação;

IV - controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos computacionais. Via de regra, requer procedimentos de autenticação;

V - credencial de acesso: método único e legítimo de atribuição de controles de autorização, identificação e autenticação, que garante que apenas determinado servidor ou colaborador autorizado tenha acesso ao sistema de informação;

VI - informação sigilosa: aquela submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado;

VII - dado pessoal sensível: informação relacionada a pessoa natural identificada ou identificável sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico;

VIII - gestor da informação: autoridade do Tribunal ou dirigente de unidade responsável por informação em matéria de sua competência ou inerente à sua área de atuação;

IX - sistema de informação: todo e qualquer sistema informatizado em funcionamento no Tribunal; e

X - usuário de recursos de Tecnologia da Informação (TI): servidor ocupante de cargo efetivo ou cargo em comissão, ocupante de emprego público em exercício no Tribunal, assim como funcionário de empresa prestadora de serviço, estagiário e demais pessoas em atividade temporária no TCE-RJ.

XI - perfil de acesso: conjunto de permissões atribuídas a cada usuário para acesso e utilização de funcionalidades nos sistemas de informação e recursos computacionais.

Art. 5º Terão direito a acesso aos sistemas de informação todos os usuários de recursos de TI do TCE-RJ, devendo ser considerado o seguinte:

I - os perfis de acesso aos sistemas de informação em cada Unidade Organizacional (UO) deverão seguir padrão predefinido pelo gestor responsável, a ser submetido à avaliação do setor de segurança institucional e implementado pela área de tecnologia da informação;

II - os estagiários e terceirizados terão acesso reduzido, mediante utilização de perfil mais restrito e específico, a ser criado pela área de tecnologia da informação e composto, inicialmente, pelas pastas ostensivas de trabalho em rede do setor no qual esteja atuando, aos softwares que compõem sua estação de trabalho e ao e-mail institucional do TCE-RJ, com a finalidade de preservar a confidencialidade de fatos e documentos;

III - o acesso remoto aos sistemas da rede corporativa do TCE-RJ ou sistemas internos com uso de dispositivo em local diverso às instalações desta Corte, via Internet, deve ser realizado por meio de credenciais de acesso a sistema de informação;

IV - as concessões de acesso especial devem se restringir aos Conselheiros, aos Conselheiros-Substitutos, aos respectivos Chefes de Gabinete, bem como a casos excepcionais, autorizados pelo Presidente do TCE-RJ, observando-se o devido tratamento às informações sigilosas e aos dados pessoais sensíveis; e

V - a quantidade de acessos ao SISPEL por Gabinete de Conselheiros e de Conselheiros-Substitutos será limitada a 06 (seis) servidores para acesso ao Plenário Presencial e de 12 (doze) servidores para acesso ao Plenário Virtual.

§ 1º Em casos excepcionais, mediante motivada necessidade, o acesso de estagiários e terceirizados a sistemas de informação ou outros tipos de tecnologia computacional, para além daqueles mencionados no inciso II, poderá ser concedido a partir de solicitação apresentada pelo gestor da unidade organizacional solicitante, ficando o acompanhamento das atividades sob sua responsabilidade e do supervisor designado.

§ 2º O acesso de estagiário menor de idade aos serviços de correio eletrônico e de mensagens instantâneas do Tribunal terá limitações mais estritas, devendo ser providenciada a inativação da funcionalidade de troca de mensagens com ambientes externos à rede do TCERJ, com vistas a mitigar riscos de exposição a conteúdo impróprio proveniente da internet.

Art. 6º Os procedimentos de controle de acesso devem ser documentados de forma clara e explícita e estão sujeitos à auditoria das unidades organizacionais competentes.

§ 1º Os procedimentos de controle de acesso aos sistemas e aplicações devem ser controlados por mecanismo de armazenamento seguro de registro (logs), baseado na consolidação, após o registro dos eventos em cada arquivo de log próprio, a fim de garantir os princípios de rastreabilidade e de irretratabilidade.

§ 2º No caso de mudança de lotação/localização, afastamento por prazo superior a 90 dias, exoneração ou demissão do usuário, todas as credenciais de acesso inerentes serão automaticamente bloqueadas, cabendo ao gestor responsável realizar nova solicitação de acesso, quando entender cabível.

Art. 7º O acesso aos sistemas de informação deve estar fundamentado no respeito à privacidade e na inviolabilidade da intimidade, da honra e da imagem dos proprietários dos dados acessados.

CAPÍTULO II

DOS ADMINISTRADORES

Art. 8º Somente os especialistas da área de Tecnologia da Informação poderão ter acesso com privilégio de administrador.

§ 1º É recomendável que cada sistema tenha o mínimo possível de administradores responsáveis para concessão de permissionamento, cujas atividades serão registradas de modo a permitir a rastreabilidade e irretratabilidade de alterações feitas no sistema.

§ 2º Caberá exclusivamente à unidade competente pela Segurança da Informação administrar o controle de acesso ao Sistema de Pautas Eletrônicas (SISPEL).

§ 3º A unidade competente pela Segurança da Informação deverá realizar avaliações periódicas, em intervalos máximos de 30 (trinta) dias, dos acessos disponibilizados e revogados pelos administradores responsáveis pela concessão de permissionamento aos sistemas e aplicações do TCE-RJ.

CAPÍTULO III

DAS RESPONSABILIDADES

Art. 9º O usuário é responsável pelos acessos e transações realizadas por intermédio de sua credencial, devendo informar à unidade competente para Segurança Institucional qualquer situação que seja apta ou que configure violação de confidencialidade, bem como que possa pôr em risco a segurança dos ativos do Tribunal.

Art. 10. É dever do usuário zelar pelo uso dos sistemas informatizados, tomando as medidas necessárias para mitigar ou eliminar riscos para a Instituição, a saber:

I - não permitir interferência externa, caracterizada como invasão, monitoramento ou utilização de sistemas por terceiros, ou quaisquer outras formas de acesso indevido;

II - não se conectar a sistemas ou buscar acesso a informações para as quais não lhe tenha sido dado perfil/autorização de acesso; e

III - não divulgar a terceiros ou a outros usuários informações que violem os requisitos de segurança existentes nos sistemas.

Art. 11. É de responsabilidade do gestor da informação de cada unidade organizacional do TCE-RJ estabelecer, junto à unidade competente pela Segurança Institucional, as regras de controle de acesso, os direitos de acesso e as restrições, a classificação da informação e os perfis de acesso de usuário dos sistemas sob sua responsabilidade.

Art. 12. Será de responsabilidade da unidade competente pela Segurança da Informação, com o apoio do setor de Tecnologia da Informação, revisar periodicamente os perfis de acessos e as credenciais de usuários, a fim de verificar a conformidade das permissões de acesso aos sistemas.

Art. 13. Caberá à unidade competente pela Segurança Institucional emitir parecer quanto ao fornecimento de credenciais de acesso aos servidores.

CAPÍTULO IV

DOS SISTEMAS DE INFORMAÇÃO

Art. 14. A concessão de permissões-padrões e a revogação de acessos de servidores serão feitas automaticamente, quando de sua lotação ou movimentação.

Parágrafo único. Havendo necessidade de utilização de perfil distinto do padronizado, o gestor responsável pela unidade na qual inserido o usuário deverá encaminhar solicitação motivada para análise do setor de Segurança Institucional, via modelo constante em Solicitação Interna Eletrônica (SIE).

Art. 15. Para conceder e revogar permissões aos sistemas de informação, deverá ser criado e mantido procedimento formal, via Sistema de Controle de Permissionamento, que implemente registro e cancelamento de perfis de acesso e permissões individualizadas de usuário.

§ 1º O Sistema de Controle de Permissionamento deve ser desenvolvido pela unidade responsável pela Tecnologia da Informação, observando os requisitos elencados pelo setor de Segurança Institucional.

§ 2º Os sistemas legados deverão migrar, caso exista compatibilidade, para o Sistema de Controle de Permissionamento.

§ 3º A autenticação e a autorização dos usuários devem ser realizadas nos sistemas, por intermédio de credencial de acesso, preferencialmente, de forma integrada.

Art. 16. Caberá ao setor de Tecnologia da Informação garantir a segregação das atividades de operacionalização do Sistema de Permissionamento, controlando suas alterações.

CAPÍTULO V

DISPOSIÇÕES FINAIS

Art. 17. A revisão dos atuais acessos aos sistemas que não estejam em conformidade com este Ato Normativo e sua revogação serão providenciadas pelas unidades competentes pela Segurança da Informação e Tecnologia da Informação.

Art. 18. Os casos omissos serão dirimidos pela Secretaria-Geral da Presidência (SGPres), com apoio das unidades competentes de Segurança Institucional e Tecnologia da Informação.

Art. 19. Este Ato Normativo entrará em vigor no prazo de 90 (noventa) dias, contados de sua publicação, ficando revogadas as disposições em contrário.

Rio de Janeiro, 16 de abril de 2024.

RODRIGO MELO DO NASCIMENTO

Presidente

Nota:

Publicado no DORJ de 19.04.24.

Download do documento

Atos que alteram, regulamentam ou revogam esto Ato Normativo:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esto Ato Normativo:

Nenhum Ato.