Resolução Administrativa nº 69/2022
Aprova novas Diretrizes de Segurança da Informação no âmbito do Tribunal de Contas dos Municípios do Estado de Goiás.
RESOLUÇÃO ADMINISTRATIVA RA - TCMGO Nº 69/2022 - TÉCNICO ADMINISTRATIVA
Aprova novas Diretrizes de Segurança da Informação no âmbito do Tribunal de Contas dos Municípios do Estado de Goiás.
O TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS (TCMGO), no uso das atribuições legais e regimentais, especialmente as que lhe conferem o artigo 80 da Constituição Estadual e a alínea "b" do inciso II do art. 247 do seu Regimento Interno (RITCMGO);
Considerando a Resolução Administrativa (RA) nº 35 /2017, que cria o Comitê Gestor das Estratégias de Tecnologia da Informação e define suas competências no âmbito do Tribunal de Contas dos Municípios do Estado de Goiás;
Considerando a RA nº 00184 /2021, que aprova as Diretrizes de Boas Práticas e de Governança para o Tratamento de Dados Pessoais no Tribunal de Contas dos Municípios do Estado de Goiás;
Considerando a RA nº 0028 /2022, que aprova o Relatório de Impacto à Proteção de Dados Pessoais e o Programa de Governança em Privacidade do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO);
Considerando o disposto no art. 31 da Lei nº 12.527 , de 18 de novembro de 2011, Lei de Acesso à Informação (LAI), o qual estabelece que o tratamento das informações pessoais deve ser feito de forma transparente e com respeito à intimidade, vida privada, honra e imagem das pessoas, bem como às liberdades e garantias individuais;
Considerando os preceitos estabelecidos na Lei nº 13.709 , de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), que regula as atividades de tratamento de dados pessoais e também altera os artigos 7º e 16º da Lei nº 12.965 , de 23 de abril de 2014 (Marco Civil da Internet);
Considerando as recomendações do Guia Orientativo para o Tratamento de Dados Pessoais pelo Poder Público, elaborado pela Autoridade Nacional de Proteção de Dados - ANPD;
Considerando que a NBR ISO/IEC 27002:2005, norma que estabelece boas práticas em segurança da informação, recomenda revisões periódicas da política de segurança da informação das instituições;
Considerando as recomendações da Secretaria de Fiscalização de Tecnologia da Informação, referentes à segurança da informação publicadas nos acórdãos do Tribunal de Contas da União;
Considerando as melhores práticas para a proteção e controle da informação referenciadas nas disciplinas do COBIT, ITIL e a família de normas NBR ISO/IEC 27000, seguidas pelas principais organizações e órgãos governamentais;
Considerando o disposto no Decreto nº 9.637 , de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação (PNSI);
Considerando o prescrito no Decreto nº 10.222 , de 5 de fevereiro de 2020, que instituiu a E-Ciber - Estratégia Nacional de Segurança Cibernética;
Considerando a necessidade de ampliar as diretrizes e os padrões de segurança para garantir um ambiente tecnológico controlado e seguro, de forma a oferecer as informações necessárias aos processos de trabalho deste Tribunal com integridade, confidencialidade e disponibilidade, mantendo a proteção adequada a dados pessoais e sensíveis;
Considerando a manifestação favorável da Assessoria Jurídica da Presidência, nos termos do Parecer Jur nº 796/2022; e
Considerando a documentação constante nos autos de nº 07844/2022, RESOLVE:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Seção I
Do Objeto
Art. 1º Esta Resolução Administrativa tem por objeto o estabelecimento da Política de Segurança da Informação do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
Parágrafo único. Caberá aos usuários a observância de suas disposições e às unidades administrativas, no âmbito de suas competências, a implementação e o acompanhamento de ações para a segurança da informação.
Seção II
Da Abrangência e Cobertura
Art. 2º Esta norma se aplica a todos os colaboradores, servidores e membros do TCMGO, inclusive terceirizados e visitantes ocasionais que possam fazer uso dos ativos de tecnologia e informação do Tribunal.
Seção III
Das Conceituações e Definições
Art. 3º Para efeitos desta Resolução Administrativa, aplicam-se as seguintes definições e siglas:
I - PSI: Política de Segurança da Informação, instituída pelo Decreto nº 9.637 , de 26 de dezembro de 2018, que representa o conjunto de normas destinadas à proteção da informação e à regulamentação do seu manuseio;
II - Confidencialidade: princípio de segurança da informação que garante o acesso à informação somente a usuários autorizados;
III - Integridade: princípio de segurança da informação que salvaguarda a exatidão e a completeza da informação e dos métodos de processamento;
IV - Disponibilidade: princípio de segurança da informação que garante aos usuários autorizados acesso à informação e aos ativos correspondentes;
V - Ativos de informação: patrimônio composto por pessoas, por elementos de infraestrutura tecnológica (hardware e software), bem como pelos dados e informações gerados e tratados nos processos de trabalho do Tribunal;
VI - Controle de acesso: conjunto de recursos que efetivam as autorizações e as restrições de acesso aos ativos de informação;
VII - Ambiente computacional ou informatizado: conjunto de recursos que utiliza ou disponibiliza serviços de tecnologia da informação e sistemas de informação do Tribunal;
VIII - Análise de risco e vulnerabilidades: avaliação das ameaças, impactos e vulnerabilidades dos ativos de informação e da probabilidade de sua ocorrência;
IX - Usuário externo: qualquer pessoa física ou jurídica que utilize as informações e que não esteja vinculada administrativamente ao Tribunal;
X - Usuário interno: qualquer pessoa física ou jurídica que utilize as informações e que esteja vinculada administrativamente ao Tribunal (servidores, conselheiros e outros);
XI - Recursos tecnológicos: todos os recursos relacionados à utilização de computadores ou dispositivos computacionais, sejam estes softwares, hardwares, banco de dados, repositório de informações etc, XII - Tratamento de dados: toda operação realizada com dados pessoais ou sensíveis, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XIII - COBIT - Control Objectives for Information and related Technology - estrutura de gerenciamento de Tecnologia da Informação (TI), destinada ao desenvolvimento, organização e implementação de estratégias de gestão de informação e governança;
XIV - ITIL - Information Technology Infrastructure Library - Biblioteca de Infraestrutura de Tecnologia da Informação, destinada à organização de processos de TI e a orientações para que os profissionais exerçam suas funções com eficiência;
XV - ANPD - Autoridade Nacional de Proteção de Dados;
XVI - NBR ISO/IEC 27002:2005: versão brasileira da Norma da Organização Internacional de Padronização ISO (International Organization for Standardization), que constitui o Código de Prática para a Gestão da Segurança da Informação, destinado a estabelecer diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a gestão de segurança da informação em uma organização;
XVII - LGPD - Lei Geral de Proteção de Dados - Lei nº 13.709 , de 14 de agosto de 2018; e
XVIII - LAI - Lei de Acesso à Informação - Lei nº 12.527 , de 18 de novembro de 2011.
CAPÍTULO II
DOS PARÂMETROS GERAIS
Seção I
Dos Objetivos
Art. 4º São objetivos da Política de Segurança da Informação:
I - definir os escopos da Segurança da Informação, de modo a garantir altos padrões de qualidade na prestação de serviços e na preservação da Informação no TCMGO;
II - informar a todos os usuários internos e externos do TCMGO o seu papel essencial na aplicação e perpetuação da Política de Segurança de Informação dentro da Instituição;
III - garantir a autenticidade, a integridade e a disponibilidade das informações do TCMGO e assegurar que elas sejam usadas no interesse da instituição;
IV - estimular a adoção de soluções de segurança integradas que permitam a correta análise de vulnerabilidades, a adequação e automatização de processos e a digitalização dos dados;
V - resguardar a adequada proteção de dados pessoais e sensíveis;
VII - dotar a organização de mecanismos de segurança apropriados ao regime de trabalho remoto; e
VIII - garantir o cumprimento das competências constitucionais e legais do TCMGO e da LAI, em harmonia com as regras de Proteção de Dados Pessoais previstas na LGPD.
Seção II
Do Resguardo da Informação Gerada
Art. 5º Toda informação gerada pelo Tribunal deve ser resguardada quanto à sua divulgação, distribuição e veiculação, de acordo com as competências constitucionais e legais do TCMGO e com a LGPD, sem prejuízo do atendimento ao disposto na LAI.
Seção III
Da Classificação Dos Ativos de Informação
Art. 6º Os ativos de informação devem ser classificados em função do seu grau de confidencialidade e de criticidade, levando-se em consideração tanto os requisitos de negócio quanto a garantia dos direitos individuais de proteção de dados.
Seção IV
Do Perímetro de Rede Lógica
Art. 7º Fica estabelecido o perímetro de rede lógica do Tribunal, incluindo instalações em nuvem e terminais remotos, de modo a garantir que:
I - dentro do mesmo todo o uso de recursos de tecnologia e ativos de informação, sistemas, equipamentos e dispositivos móveis correspondam à previsão regimental do exercício do cargo e função; e
II - seja respeitado o interesse público.
Parágrafo único. É vedado o uso da rede lógica do TCMGO para fins pessoais, privados ou mesmo os corporativos que exorbitem a competência do agente ou a autorização normativa.
CAPÍTULO III
DA PROTEÇÃO AOS DADOS PESSOAIS OU SENSÍVEIS
Art. 8º Todo e qualquer procedimento de tratamento ou manuseio de dados pessoais ou sensíveis deverá obedecer ao limite estrito de sua finalidade e o disposto na legislação vigente de Proteção de Dados.
Art. 9º O Tribunal providenciará dispositivos de proteção proporcionais ao grau de confidencialidade e de criticidade da informação, capazes de assegurar a sua autenticidade, integridade e disponibilidade.
CAPÍTULO IV
DO CONTROLE DA INFORMAÇÃO
Seção I
Da Gestão E/ou Custódia
Art. 10. A gestão e/ou custódia de cada informação incumbirá:
I - quanto a sistema ou serviço disponível na rede de computadores do TCMGO: à unidade do Tribunal responsável pela sua criação; ou
II - na hipótese daquela que for adquirida ou absorvida: ao usuário principal.
§ 1º A competência constante no caput deste artigo poderá ser delegada somente a critério do Presidente do TCMGO ou de comissão constituída para essa finalidade.
§ 2º Quando for necessário, a gestão da informação poderá ser compartilhada por duas ou mais unidades do Tribunal.
Seção II
Da Definição de Critérios
Art. 11. Os critérios para as operações de armazenamento, divulgação, reprodução, transporte, recuperação e destruição da informação serão definidos de acordo com sua classificação, sem prejuízo de outros procedimentos que serão especificados pelo gestor.
§ 1º Nas operações a que se refere este artigo deverá ser observada a segurança adequada aos níveis máximos de confidencialidade e de criticidade das informações.
§ 2º Na hipótese de ausência de definição e/ou regulamentação, será responsável a unidade do Tribunal que criou a informação.
Seção III
Do Controle de Acesso
Art. 12. Todo acesso à informação deve ser controlado de acordo com a sua classificação, levando-se em conta as necessidades do usuário para o desempenho de suas atividades.
Parágrafo único. A fim de viabilizar esse controle, o usuário deverá ser inequivocamente identificado.
Art. 13. O usuário externo que tiver acesso às informações do TCMGO fica sujeito às diretrizes, normas e procedimentos de segurança de informação da PSI/TCMGO.
Parágrafo único. Fica autorizada a Divisão de Recursos Humanos do TCMGO a coletar, de todos os colaboradores da instituição, assinatura de termos de responsabilidade e sigilo sobre os dados eventualmente processados e tratados em razão da função exercida.
CAPÍTULO V
DA RESPONSABILIDADE E DEVERES DE USUÁRIOS
Seção I
Dos Deveres do Usuário Interno
Art. 14. São deveres do usuário interno:
I - guardar sigilo, tanto no local de trabalho quanto em locais públicos, das informações obtidas em decorrência do exercício de suas atribuições;
II - não fornecer a terceiros informações sobre especificações técnicas/lógicas que importem riscos para a segurança dos recursos tecnológicos e para a própria Segurança da Informação do TCMGO;
III - comunicar imediatamente ao seu superior quaisquer falhas ou indícios de falhas de segurança de que tenha conhecimento;
IV - tornar disponíveis à autoridade competente, em tempo oportuno, os dados e informações necessários ao desempenho das atribuições da unidade;
V - cumprir as Regras de Boas Práticas e de Governança de Tratamento de Dados Pessoais do TCMGO contidas no Anexo I da Resolução Administrativa nº 184 /2021;
VI - tratar dados pessoais em conformidade com as Hipóteses de Tratamento de Dados Pessoais no TCMGO estabelecidas no Anexo II da Resolução Administrativa nº 184 /2021;
VII - observar as medidas de segurança da informação estabelecidas no Programa de Governança e Privacidade do TCMGO, constante do Apêndice "B" da Resolução Administrativa nº 028 /2022;
VIII - seguir as normas de conduta previstas no Código de Ética dos Servidores do TCMGO - Resolução Administrativa nº 323 /2013;
VIII - observar as normas de Sigilo Processual estabelecidas no Regimento Interno do TCMGO e na Resolução Administrativa nº 046 /2015.
Seção II
Da Responsabilidade Comum de Usuários
Art. 15. É de responsabilidade dos usuários (internos ou externos) de recursos tecnológicos deste Tribunal zelar pelos equipamentos e ativos de informática.
Parágrafo único. Os equipamentos e ativos de informática devem ser usados adequadamente e para as atividades atinentes ao Tribunal, evitando-se o emprego para fins particulares.
Art. 16. Devem ser identificadas e catalogadas as informações pessoais, processuais, confidenciais e estratégicas pertinentes ao Tribunal, armazenadas fisicamente ou em formato lógico, ainda que em computadores portáteis ou outros dispositivos móveis que integrem o patrimônio do órgão.
Parágrafo único. Salvo na hipótese de cumprimento de obrigação legal, são vedados, a fim de preservar a privacidade, segurança e sigilo das informações, a sua demonstração, revelação, cessão ou o empréstimo a terceiros a qualquer título.
Seção III
Do Acesso ao Data Center do Tcmgo
Art. 17. O acesso ao Data Center do TCMGO, dado o seu alto grau de sigilo, é restrito às pessoas previamente cadastradas, identificadas e autorizadas para tanto.
Parágrafo único. Quando devidamente autorizado o acesso ao Data Center, pela Superintendência de Informática, os visitantes deverão assinar termo de confidencialidade e responsabilidade.
Seção IV
Da Informação de Desligamento ou Movimentação de Servidor
Art. 18. É responsabilidade da Divisão de Recursos Humanos, do superior imediato ou do próprio funcionário, comunicar à Superintendência de Informática o desligamento de servidor ou a sua movimentação de divisão, para que sejam readequadas as permissões de acesso.
CAPÍTULO VI
DO PATRIMÔNIO INTELECTUAL DO TCMGO
Art. 19. Os sistemas de informação e os métodos criados pelos usuários internos do TCMGO, no exercício de suas funções, constituem patrimônio intelectual da Instituição, não cabendo aos seus criadores qualquer forma de direito autoral.
Parágrafo único. Quando os sistemas de informação e os seus métodos, para uso exclusivo do Tribunal, forem criados por terceiros, estes ficarão obrigados ao sigilo permanente de tais produtos, vedada a sua reutilização em projetos para outrem.
Art. 20. Os usuários e titulares de dados nos Sistemas do TCMGO deverão ter ciência de que:
I - o Tribunal provê sistemas e ferramentas de tecnologia que lhes garantem, de forma direta e segura, consulta facilitada aos seus dados pessoais armazenados, por meio de ferramentas como os Portais do Cidadão, da Transparência e a Ouvidoria;
II - conforme o Anexo II da RA nº 184 /2021, o uso, pelo Tribunal, dos dados pessoais de usuários responsáveis por processos, relatórios e outros artefatos que demandem o seu compartilhamento e manuseio decorre da necessidade de cumprir obrigações legais e/ou executar políticas públicas, prescindindo, portanto, da obtenção de consentimento;
III - as demandas relativas ao processamento de requisições de anonimização, bloqueio ou eliminação de dados pessoais desnecessários, excessivos ou tratados em desconformidade, serão atendidas na medida em que não comprometam ou causem prejuízos às atividades finalísticas do Tribunal ou, ainda, acarretem violação da sua competência constitucional; e
IV - ficam mantidas as disposições deste artigo na hipótese de celebração de convênios ou instrumentos congêneres com outras instituições públicas, admitidos outros meios de acesso e compartilhamento de dados, quando forem utilizadas ferramentas previamente acordadas por todos os partícipes.
Parágrafo único. Não é recomendado o fornecimento de dados por meio diverso dos apontados no inciso I do caput deste artigo.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 21. São de observância obrigatória as normas constantes nos Apêndices I a VII desta Resolução, que subsidiarão a preservação e a manutenção da Segurança da Informação do TCMGO sob a responsabilidade da Superintendência de Informática.
Art. 22. A Política de Segurança da Informação será revisada a cada seis meses, no mínimo e, no máximo, após decorridos 18 meses de sua implantação, pela Superintendência de Informática/Divisão de Infraestrutura e Segurança da Informação, de forma que se mantenha sempre alinhada com as metas do TCMGO e com as melhores práticas de segurança da informação.
Art. 23. Futuras modificações nas normas e procedimentos das Diretrizes da Política de Segurança da Informação, bem como a adição de outros escopos, ficam a cargo da Superintendência de Informática.
Art. 24. Ficam revogadas as disposições anteriores da Política de Segurança da Informação do TCMGO, contidas no Anexo II da Resolução Administrativa nº 106 , de 12 de julho de 2017.
Art. 25. Esta Resolução entra em vigor na data de sua publicação.
TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS, 13 de Setembro de 2022.
Presidente: Joaquim Alves de Castro Neto
Relator: Francisco José Ramos.
Presentes os conselheiros: Cons. Daniel Augusto Goulart, Cons. Fabricio Macedo Motta, Cons. Francisco José Ramos, Cons. Humberto Aidar, Cons. Joaquim Alves de Castro Neto, Cons. Valcenôr Braz de Queiroz, Cons. Sub. Flavio Monteiro de Andrada Luna, Cons. Sub. Irany de Carvalho Júnior, Cons. Sub. Maurício Oliveira Azevedo e o representante do Ministério Público de Contas, Procurador Henrique Pandim Barbosa Machado.
Votação:
Votaram(ou) com o Cons. Francisco José Ramos: Cons. Daniel Augusto Goulart: Cons. Fabricio Macedo Motta, Cons. Humberto Aidar, Cons. Joaquim Alves de Castro Neto, Cons. Valcenôr Braz de Queiroz.
APÊNDICE A
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA I de TI - DAS CREDENCIAIS DE ACESSO
Data de Criação: 20/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA I - DAS CREDENCIAIS DE ACESSO
I - Objetivo
Esta norma tem por objetivo estabelecer um critério para a criação e proteção de senhas fortes e determinar a frequência de sua alteração.
II - Definição do objeto
As senhas (palavra-passe) são um dos principais meios que os usuários de recursos tecnológicos têm atualmente para garantir a sua identidade e segurança no uso desses recursos. Elas são a linha de frente de proteção para as contas de usuário e constituem as suas credenciais de ingresso ao sistema informatizado.
Uma senha mal escolhida pode comprometer toda a rede de computadores do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO). Desta forma, todos os usuários de recursos computacionais da Instituição são responsáveis por executar os passos apropriados para escolha de uma senha segura.
III - Passos para criar uma credencial
A criação da credencial de acesso deve atender aos procedimentos a seguir.
1 - Para criar uma credencial de acesso, é necessário que a Superintendência de Administração envie a portaria de lotação do interessado aos cuidados da Divisão de Infraestrutura e Segurança da Informação, via sistema de demandas, contendo seu nome completo, CPF, matrícula, ramal e departamento. Caso se trate de estagiário, terceirizado ou voluntário, o pedido deverá conter também data de encerramento do contrato.
2 - Todas as credenciais de acesso seguem um padrão de criação, determinado mediante estudo da base de servidores do TCMGO, de forma que seja minimizada a possibilidade de conflito entre as credenciais geradas. Ex.: nomes diferentes não podem gerar credenciais iguais.
3 - Todas as senhas de usuário (ex. monitor, web, desktop, etc.) devem ser alteradas, ao menos, semestralmente. Findo o prazo máximo de 12 meses, elas poderão ser bloqueadas até que os usuários definam novas senhas.
4 - A senha deverá ser composta por, no mínimo, seis caracteres que podem ser letras, números, caracteres maiúsculos e minúsculos.
5 - Não será permitida a reutilização das 2 últimas senhas.
6 - Todas as senhas de sistemas em produção devem constar no sistema de gerenciamento de senhas.
7 - Todas as senhas de contas administrativas devem ser alteradas semestralmente.
8 - As contas de usuários que possuem permissões administrativas devem ter senhas únicas, diferentes das contas não administrativas destes mesmos usuários.
9 - As senhas nunca devem ser inseridas em mensagens de e-mail ou outras formas de comunicação eletrônica.
10 - As senhas são usadas para proteger contas de acesso pessoal a vários recursos, portanto todos devem estar cientes da importância do uso de senhas fortes e de bloquearem as respectivas estações ao se ausentarem dos postos de trabalho.
11 - Os acessos aos sistemas são limitados ao horário de funcionamento do Tribunal. Qualquer excepcionalidade deverá ser tratada junto à Superintendência de Administração.
IV - Classificação das senhas
As senhas se classificam como fracas e fortes.
1 - Senhas fracas são aquelas que contêm algumas das seguintes características:
são formadas com menos de dez caracteres;
são palavras encontradas em dicionários (de língua vernácula ou estrangeira);
incluem nomes de parentes, amigos, colegas, animais, personagens de ficção etc, contêm as palavras "TRIBUNAL", "CONTAS", "TCM" ou qualquer outra ligada à Instituição ou delas derivadas;
contêm datas de aniversário ou qualquer outra informação pessoal como endereços, números de telefone, matrícula ou CPF;
seguem padrões como aaabbb, qwerty, abcdefg, 123321 etc, são reutilizadas quando requisitada a alteração;
são algumas das palavras supracitadas digitadas em ordem invertida ou precedidas ou seguidas de dígitos (exemplo: senha1, 1senha).
2 - Senhas fortes são aquelas que têm as seguintes características: contêm dígitos e caracteres de pontuação juntamente com letras:
contêm uma mistura de caracteres maiúsculos e minúsculos;
possuem mais de dez caracteres alfanuméricos;
não contêm palavras em qualquer idioma, dialeto, jargão ou gíria;
não são baseadas em dados pessoais;
V - Padrões de proteção das senhas
1 - Utilizar senhas de fácil memorização, porque elas não devem ser escritas em meio físico ou virtual.
2 - Nunca utilizar a mesma senha para contas de acesso no Tribunal e para acesso a serviços que não sejam desta Instituição e, ainda, quando possível, não utilizar a mesma senha para acessos diversos, quando houver.
3 - Nunca compartilhar senhas com outras pessoas, incluindo assistentes administrativos, secretários ou pessoal de TI.
4 - Complementarmente, devem-se seguir as seguintes recomendações:
nunca revelar senhas por telefone a ninguém;
nunca revelar senhas via e-mail;
nunca revelar senhas aos seus superiores;
nunca falar a respeito de senhas na proximidade de outras pessoas;
nunca revelar senhas a colegas quando sair de férias;
nunca revelar como suas senhas foram construídas;
nunca revelar senhas em questionários ou formulários de segurança;
nunca compartilhar senhas com parentes ou amigos.
5 - Caso seja requisitada a revelação de alguma de suas senhas, o usuário deve negar, invocando o determinado neste documento ou contatar a Superintendência de Informática (SINFO) - Divisão de Infraestrutura e Segurança da Informação.
6 - Nunca utilizar as funções de "Lembrar Senha", presente em alguns aplicativos.
7 - Reiteradamente, nunca escrever senhas em meios físicos, muito menos dentro da Instituição. Nunca armazenar senhas em meios computacionais sem forte criptografia.
8 - Alterar suas senhas, no mínimo, a cada seis meses. O período recomendado para alteração de senhas é de quatro meses.
9 - Na hipótese de suspeita de comprometimento de alguma senha, reportar imediatamente à SINFO - Divisão de Infraestrutura e Segurança da Informação e modificar todas as senhas.
APÊNDICE B
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA II de TI - DO EMAIL INSTITUCIONAL
Data de Criação: 19/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA II - DO EMAIL INSTITUCIONAL
I - Objetivo
O propósito desta norma é estabelecer critérios para o uso correto do e-mail institucional do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
II - Definição
O e-mail institucional é uma ferramenta de trabalho oferecida aos servidores do TCM. Seu objetivo é melhorar o fluxo de documentos e servir como documentação oficial. Além disso, sendo esta uma ferramenta padrão, torna-se mais fácil aplicar as políticas de segurança e filtros de conteúdo pertinentes à rede, colaborando, assim, para um ambiente mais seguro, sob a ótica da segurança da informação no TCMGO.
III - Normas para uso do e-mail institucional
1 - O e-mail institucional é ferramenta oficial disponibilizado pelo TCMGO, por isso os assuntos nele veiculados devem ser pertinentes à Instituição.
2 - Todo usuário que necessitar de um e-mail institucional, para o desempenho de suas funções, poderá requerer a criação de uma conta na Superintendência de Informática (SINFO), via Sistema de Atendimento.
3 - Para requerer a criação de um e-mail, o usuário deverá fazer antes a requisição da criação de uma credencial de acesso, seguindo os procedimentos descritos na Norma I.
4 - O Acesso será via Webmail. Àqueles que possuem uma conta de e-mail institucional e desejam fazer acesso a ela por meio de smartphones com suporte à tecnologia utilizada para e-mail institucional, basta entrar em contato via Sistema de Atendimento para saber os parâmetros a serem configurados.
5 - Todas as mensagens distribuídas pelo sistema de e-mails do Tribunal, mesmo as pessoais, são de propriedade do TCMGO.
6 - O sistema de e-mails do TCMGO é voltado para o desempenho das atividades como servidor do Tribunal.
7 - O tamanho máximo de arquivos anexos e das caixas de correio será determinado pela SINFO, de forma a atender as necessidades do usuário, porém sem causar sobrecarga no sistema ou atendimento unilateral de solicitações.
8 - Todas as mensagens realizadas por meio de e-mail institucional e demais ferramentas do Office 365 institucional são passíveis de monitoração e gravação quanto aos endereços de destino e origem (IP de origem, e-mail do remetente, IP de destino, e-mail do destinatário) e poderão ser usados para estabelecer critérios de recusa.
9 - A inserção automática, manual ou a adquirida por qualquer meio ou de qualquer endereço eletrônico de usuários do domínio tcm.go.gov.br em listas de mala direta e anúncios comerciais, sem prévia autorização de seu responsável (usuário), é terminantemente proibida. Mensagens não reconhecidas pelo usuário serão consideradas como SPAM e deverão ser recusadas pelo sistema. Se persistirem as mensagens, o usuário deverá notificar via Sistema de Atendimento.
10 - Não há qualquer invasão de privacidade quanto ao conteúdo da mensagem. As regras são executadas pelo sistema de correio. Ações humanas são permitidas apenas na configuração das regras e sempre com aval da SINFO.
11 - Eventuais ações de leitura de e-mail pela administração do sistema podem ocorrer mediante autorização do responsável pela caixa postal ou da autoridade competente.
12 - A SINFO se reserva o direito de preservar seus equipamentos e recursos computacionais mediante RECUSA do recebimento de mensagens cujos conteúdos não expressem o interesse do TCMGO, ou possam colocar em risco o funcionamento dos sistemas, incluindo:
mensagens com arquivos anexados com extensões que possibilitem a propagação de virus (.bat, .chm, .cmd, .com, .dll, .dot, .exe, .hta, .inf, .js, .jse, .lnk, .reg, .scr, .vbs, .vbx, .vxd, .wmf, .wsf). Esta lista está sujeita a alterações;
anexos que oneram muito espaço em disco no servidor ou que causam muito tráfego de rede para reprodução, também serão bloqueados (.mp3, .mov, .ogg, .divx, .mpeg, .vob, .flv e demais arquivos de áudio e vídeo). Esta lista está sujeita a alterações.
13 - O padrão de nome para e-mail adotado é nome seguido de ponto, seguido do último sobrenome. Duplicidades serão resolvidas pela equipe responsável.
IV - Das proibições
É estritamente proibido, fazendo uso das ferramentas e infraestrutura tecnológica do TCM, ainda que remota, para:
1 - enviar ou encaminhar e-mails contendo comentários difamatórios, ofensivos, racistas ou obscenos;
2 - enviar spam ou "correntes";
3 - forjar ou tentar forjar mensagens de e-mail ou disfarçar sua identidade quando do envio de e-mail;
4 - enviar a domínios externos do TCMGO informações confidenciais ou sigilosas acerca do trabalho ou atividades desenvolvidas no Tribunal;
5 - proceder ao envio, recebimento, replicação ou encaminhamento de mensagens de conteúdos, tais como, anedotas, receitas, reclames comerciais, imagens, cartões eletrônicos de congratulações, correntes de ajuda de qualquer espécie e campanhas de arrecadação de donativos ou de conteúdos não relacionados com as atividades do Tribunal;
6 - vincular às ferramentas e contas de correio providas pelo TCMGO outras de caráter pessoal, com o fim de exercer quaisquer das atividades listadas nos itens anteriores desta seção.
V - Disposições gerais
1 - O uso do correio eletrônico para veiculação de campanhas internas de caráter social ou informativo, que eventualmente possam ter conteúdo vedado nos termos deste anexo, pode ser liberado conforme aprovação dos setores envolvidos.
2 - Se existirem quaisquer evidências de que o usuário não está aderindo às regras citadas nesta norma, a SINFO se reserva o direito de bloquear a sua conta de e-mail.
3 - O desbloqueio da conta de e-mail somente se dará via memorando assinado pelo superior imediato, atestando ciência dos fatos que levaram ao bloqueio das contas.
APÊNDICE C
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA III de TI - DO COMPARTILHAMENTO DE ARQUIVOS
Data de Criação: 24/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA III - DO COMPARTILHAMENTO DE ARQUIVOS
I - Objetivo
O propósito desta norma é estabelecer critérios para o uso correto do compartilhamento de arquivos do TCMGO e oferecer ao usuário maior segurança e disponibilidade dos documentos depositados nesse compartilhamento.
II - Definição
O Compartilhamento de Arquivos (Servidor de Arquivos) é uma ferramenta de trabalho oferecida aos usuários de recursos informacionais do TCMGO, com o objetivo de prover ao usuário maior facilidade para a manipulação dos dados pertinentes ao trabalho desempenhado neste Tribunal.
III - Normas para utilização do compartilhamento
1 - O compartilhamento de arquivos deverá ser usado apenas para armazenar documentos pertinentes às atividades desempenhadas pelo usuário/área.
2 - Todo arquivo armazenado no compartilhamento de arquivos é propriedade do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
3 - O compartilhamento é padronizado, sendo as permissões definidas de acordo com o perfil e lotação do usuário. Qualquer modificação nas permissões de acesso deverá ser assinada e requerida pela parte responsável.
4 - Todos os compartilhamentos possuem controle de acesso e podem estar sujeitos a registros das atividades realizadas sobre os arquivos armazenados, acompanhados de data, hora e responsável pela ação.
5 - Todos os compartilhamentos estão sujeitos a filtros de conteúdo. A Superintendência de Informática (SINFO) se reserva o direito de preservar seus equipamentos e recursos computacionais mediante RECUSA do armazenamento de arquivos, cujos conteúdos não expressem o interesse do TCMGO ou que possam colocar em risco o funcionamento dos sistemas, incluindo:
arquivos com extensões que possibilitem a propagação de vírus ou que ocupem muito espaço em disco, tais como conteúdo multimídia. Ex: .bat, .chm, .cmd, .com, .dll, .dot, .exe, .hta, .inf, .js, .jse, .lnk, .mov, .ogg, .reg, .scr, .vbs, .vbx, .vxd, .wmf, .wsf, .mp3, .divx, .mpeg, .vob, .flv. Esta lista está sujeita a alterações sem aviso prévio;
algumas divisões que, no desempenho de suas atividades, necessitem armazenar arquivos com extensões citadas acima, poderão, mediante justificativa prévia, usufruir de exceções em alguns filtros de conteúdo.
6 - Não há qualquer invasão de privacidade quanto ao conteúdo dos documentos. As regras são executadas pelo sistema de filtros. Ações humanas são permitidas apenas na configuração das regras e sempre com aval da SINFO.
7 - Eventuais ações de leitura de documentos pela administração do sistema podem ocorrer mediante autorização do responsável pelo compartilhamento ou da autoridade competente.
8 - Todos os arquivos antes de serem salvos no compartilhamento estão sujeitos a análise do antivírus. Os arquivos serão sumariamente EXCLUÍDOS, caso constatada alguma inconformidade com as regras de antivírus, ou possam pôr em risco a segurança da estrutura do compartilhamento.
9 - O responsável pelo compartilhamento de arquivos deverá periodicamente fazer revisão do conteúdo arquivado, descartando, sempre que possível, material antigo ou desnecessário, a fim de manter espaço em disco disponível e reduzir os custos de arquivamento.
10 - O compartilhamento de arquivos deverá observar as Regras de Boas Práticas e de Governança de Tratamento de Dados Pessoais do TCMGO contidas no Anexo I da Resolução Administrativa nº 184 /2021.
IV - Proibições
1 - Armazenar arquivos pessoais e/ou que não sejam pertinentes ao trabalho desempenhado pelo servidor/divisão no compartilhamento de arquivos.
2 - Fazer uso do compartilhamento de arquivos para tirar proveito pessoal ou para terceiros.
3 - Fica terminantemente proibido o armazenamento, em qualquer local que seja, de conteúdo impróprio como pornografia, alusão à pedofilia, racista ou homofóbico, entre outros.
4 - Armazenar filmes, músicas ou similares.
5 - Compartilhar dados pessoais em desconformidade com as Hipóteses de Tratamento de Dados Pessoais estabelecidas no Anexo I da Resolução Administrativa nº 184 /2021.
V - Das sanções
1 - Se existirem quaisquer evidências de que o usuário não está aderindo às regras citadas nesta norma, a SINFO se reserva o direito de bloquear o acesso do servidor ao compartilhamento.
2 - O desbloqueio do acesso somente se dará via memorando assinado pelo superior imediato, atestando ciência dos fatos que levaram ao bloqueio.
APÊNDICE D
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA IV de TI - DOS RECURSOS DE SOFTWARE
Data de Criação: 24/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA IV de TI - DOS RECURSOS DE SOFTWARE
I - Objetivos
1 - Estabelecer critérios para o uso correto dos recursos de Software do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
2 - Orientar os usuários dos recursos de Software disponibilizados pelo TCMGO quanto ao seu uso, instalação e manutenção.
II - Disposições gerais
1 - Todas as máquinas entregues pelo TCMGO a seus servidores seguirão um padrão de instalação e de softwares, determinado por Procedimento Interno da SINFO.
2 - É terminantemente proibido alterar/remover os softwares instalados de forma padronizada pela Superintendência de Informática (SINFO), salvo casos de comprovada necessidade, devidamente justificada pela parte requisitante e aprovada pela SINFO.
3 - Todas as máquinas inclusas no Domínio TCMGO estão sujeitas à atualização automática do Sistema Operacional (Windows e Linux), bem como do sistema Antivírus.
4 - Não será permitida a instalação/configuração de softwares de propriedade do TCMGO em máquinas e/ou equipamentos de terceiros, ou que não pertençam ao TCMGO, salvo em casos especiais, com o consentimento da SINFO.
5 - A SINFO reserva-se o direito de não dar treinamentos, suporte ou mesmo instalar/reparar softwares que não fazem parte daqueles homologados pelo TCMGO ou que estejam em máquinas que não lhe pertençam.
6 - A SINFO determinará lista padrão de softwares homologados para desempenho de cada tarefa, atendendo, sempre que possível, à adoção de ferramentas de software livre, desde que haja suporte e o software não esteja descontinuado.
7 - O critério de homologação/reprovação de um software parte sempre do princípio de se manterem a isonomia e a administrabilidade do parque computacional do TCMGO.
8 - Os softwares homologados pela SINFO podem mudar, de acordo com o surgimento de outros melhores, de versões atualizadas ou por descontinuação do produto pelo fabricante.
9 - Tão logo os softwares sejam excluídos da lista de homologados, deverão ser retirados das máquinas em que se encontram instalados e a SINFO não mais proverá qualquer tipo de suporte ou mesmo a sua instalação/reinstalação.
10 - Qualquer divisão poderá, comprovada a necessidade, solicitar a aquisição de software, que deverá passar pelo crivo da SINFO para que sejam avaliados o impacto, os requisitos necessários para instalação e se os ativos atuais o comportarão, sem prejuízo do desempenho da máquina e dos aplicativos já instalados.
11 - Instalar software pirata é crime. A sua instalação e as suas implicações legais são de total responsabilidade de quem procedeu à sua instalação ou de quem está ciente da situação e, mesmo assim, dele continua fazendo uso.
12 - Não é permitido instalar, sem o consentimento da SINFO, programas de compartilhamento de arquivos, streaming, P2P download ou fazer transferência de conteúdo multimídia pela rede do TCMGO.
13 - A SINFO deverá, juntamente com a Superintendência de Recursos Humanos e Superintendência da Escola de Contas, prover treinamento de softwares e ativos de informática para os servidores deste Tribunal, a fim de familiarizá-los com os recursos disponíveis, para seu maior aproveitamento e melhor rendimento no desempenho de suas funções.
14 - É vedada a remoção de softwares disponibilizados pelo Tribunal das estações de trabalho e dispositivos, móveis ou não, cuja finalidade seja de manutenção da segurança da informação, a exemplo de firewalls, antivírus e ferramentas de túnel criptográfico e acesso remoto.
15 - Os softwares instalados pela equipe de desenvolvimento da SINFO deverão:
15.1 seguir uma estratégia de desenvolvimento padronizada pela SINFO;
15.2 possuir documentação de uso e manutenção;
15.3 obedecer às boas práticas de segurança da informação, permitindo e implementando a rastreabilidade e a auditabilidade dos atos cometidos pelo software ou pelos seus usuários;
15.4 ser de propriedade única e exclusiva do TCMGO, não pertencendo à equipe de desenvolvimento ou do desenvolvedor.
16 - Os softwares resultantes de contratos terceirizados, desenvolvidos por empresas ou profissionais que não os do TCMGO, para serem utilizados pelo Tribunal, deverão, obrigatoriamente:
16.1 ser entregues com toda a documentação de uso e manutenção do software;
16.2 ser acompanhados de código-fonte e cessão de conhecimento do funcionamento do software para o TCMGO;
16.3 obedecer às boas práticas de segurança da informação, permitindo e implementando a rastreabilidade e a auditabilidade dos atos cometidos pelo software ou pelos seus usuários.
APÊNDICE E
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA V de TI - DOS EQUIPAMENTOS, MÁQUINAS E IMPRESSORAS
Data de Criação: 22/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA V de TI - DOS EQUIPAMENTOS, MÁQUINAS E IMPRESSORAS
I - Objetivo
O propósito desta norma é estabelecer critérios para o uso correto das máquinas, impressoras e ferramentas computacionais que o Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO) oferece a seus usuários, para que eles possam desempenhar, com mais agilidade, eficácia e eficiência, suas atividades funcionais.
II - Das responsabilidades
1 - É de responsabilidade do TCMGO, juntamente com a Superintendência de Informática (SINFO), oferecer recursos tecnológicos necessários para que o servidor possa executar suas atividades com eficácia e eficiência.
2 - Os usuários dos recursos tecnológicos são responsáveis por sua conservação, devendo zelar por seu bom trato e integridade.
1 - Para todo e qualquer tipo de equipamento computacional (notebook, computadores, pendrives, modems 4G etc.) cedido pelo Tribunal aos seus servidores, no desempenho de suas funções, deverão ser observadas as seguintes determinações:
em hipótese alguma poderão ser usados para benefício pessoal ou para outras atividades, que não envolvam as do Tribunal;
aqueles que fazem uso de equipamentos portáteis são responsáveis pelo sigilo e segurança do conteúdo neles gravado;
os equipamentos não poderão ser cedidos, emprestados ou utilizados por outra pessoa que não o próprio cessionário.
2 - A SINFO reserva-se o direito de não dar assistência técnica a recursos tecnológicos que não pertençam ao TCMGO.
3 - As impressoras, computadores e demais recursos tecnológicos não estão vinculados à divisão/departamento/gabinete onde se encontram instalados, podendo, desta forma, ser remanejados a qualquer momento, conforme necessidade do TCMGO, a fim de manter-se a isonomia de equipamentos, manutenibilidade e conformidade com o parque operacional existente.
4 - Todas as máquinas entregues pelo TCMGO a seus usuários seguirão um padrão de instalação e de softwares, determinado por Procedimento Interno da SINFO.
5 - Todas as máquinas do TCMGO deverão, obrigatoriamente, possuir antivírus homologado pela SINFO, atualizado e em funcionamento. A falta desta exigência poderá acarretar negação de acesso de rede ou outros aplicativos.
6 - Todas os equipamentos (impressoras, computadores, switches, hubs etc.) possuem IP fixo e cadastrado, não podendo, por isso, ser movidos ou trocados de lugar sem o consentimento da SINFO.
7 - Os usuários devem estar cientes de que as impressoras podem conter logs de impressão, relacionando o usuário aos documentos que imprimiu, e de que poderão ser instituídos softwares de controle de quota de impressão, a fim de melhor gerir os recursos disponíveis.
8 - É terminantemente proibida a impressão, nas impressoras da Instituição, de documentos/apostilas/livros pessoais ou que não atendam ao interesse do Tribunal.
9 - Todo equipamento possuirá, sempre que possível, credenciais de administrador de uso exclusivo da SINFO.
10 - O usuário não deverá possuir credenciais de administrador no computador/notebook cedido pela SINFO, se elas não forem necessárias ao cumprimento de suas atividades, porque, além de prejudicar a administrabilidade, incorrer em falhas de segurança graves e fugir do padrão, isso torna o ambiente não administrável e gera má qualidade do atendimento prestado pela SINFO.
11 - Sempre que possível, os computadores, notebooks e demais equipamentos equivalentes deverão possuir senha em BIOS, e não será permitido boot por dispositivo outro que não o HD do próprio aparelho.
12 - Impressora, access points e outros dispositivos que não exijam acessibilidade do usuário deverão estar protegidos com senha de conhecimento apenas da SINFO.
13 - Não é permitida a abertura de computadores ou equipamentos do órgão para qualquer tipo de verificação ou reparo.
14 - Não é permitido mudar computadores de local (solicitar ao Suporte a mudança - com autorização do Superior Imediato).
15 - Sempre que possível, deve-se desligar os equipamentos ao encerrar o expediente.
IV - Sanção
O usuário deverá ressarcir o Tribunal pelo extravio ou danificação do equipamento que lhe foi cedido para o desempenho de sua função.
APÊNDICE F
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA VI de TI - DO ACESO À REDE E À REDE SEM FIO
Data de Criação: 27/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA VI de TI - DO ACESO À REDE E À REDE SEM FIO
I - Objetivos
1 - O propósito desta norma é estabelecer os parâmetros e diretivas para o uso da rede sem fio e da rede cabeada do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
2 - Ela também visa orientar os usuários quanto ao uso e melhor aproveitamento da infraestrutura de rede do TCMGO.
II - Disposições gerais
1 - Do acesso às redes
1. Rede sem fio
1.1.1 A rede sem fio não tem por finalidade substituir a rede cabeada e sim atender apenas aqueles que necessitem de mobilidade no acesso. Casos particulares serão avaliados pela Superintendência de Informática (SINFO).
1.1.2 O acesso à rede sem fio para computadores, notebooks e outros equipamentos está condicionado a 2 (dois) fatores:
a) pertencer o equipamento ao TCMGO; e
b) haver um usuário e senha com permissão de acesso.
1.1.3 Todo acesso à rede sem fio é registrado por meio de cadastro de mac Adress.
1.1.4 O acesso de smartphones ou outros dispositivos particulares à rede sem fio será realizado somente com o credenciamento e autorização da SINFO, visto que existem limitações técnicas e riscos de segurança relacionados ao uso de tal tecnologia. Exceções serão analisadas pela SINFO.
1.1.5 Constatada qualquer possibilidade de ataque ou tentativa de burla às diretivas de segurança da SINFO, a permissão de acesso à rede será imediatamente cancelada.
2. Rede cabeada
1. O acesso à rede cabeada será condicionado aos itens discriminados a seguir:
a) o dispositivo computacional deverá pertencer ao TCMGO;
b) o dispositivo deverá pertencer ao domínio TCMGO;
c) credenciais de acesso; e
d) verificação do status do antivírus instalado nas máquinas.
1.2.2 São proibidas:
a) a instalação de outros servidores DHCP na rede do TCMGO que não os oferecidos pela SINFO;
b) a fixação, por parte dos usuários, de IP em dispositivos computacionais conectados à rede do TCMGO;
c) a instalação de Access Points, Hubs, Switches, Modens 4G (ou outros com tecnologia celular), ou de quaisquer outros expansores de acesso à rede, sem consentimento da SINFO.
2 - Qualquer dado, informação ou fluxo de pacotes, que tramite na infraestrutura de redes (cabeada ou wireless) do TCMGO, é de propriedade do Tribunal.
3 - A SINFO poderá, sempre que julgar necessário, aplicar filtros de tráfego de rede, descartando automaticamente tráfego de pacotes com conteúdo não pertinente às atividades do TCMGO.
4 - As exceções ao acesso à rede sem fio ou à rede cabeada do TCMGO estão condicionadas à(ao):
4.1 autorização expressa do Presidente para uso de equipamento que não seja de propriedade do TCMGO, desde que comprovada sua necessidade;
4.2 cadastramento e registro do equipamento autorizado a acessar a rede;
4.3 liberação pela SINFO do acesso à rede.
III - Byod
1 - A prática de BYOD - Bring Your Own Device (traga seu próprio dispositivo) é ação, até revisão desta norma, desestimulada pelo TCMGO. Apesar de se tornar cada vez mais comum no meio administrativo, com os usuários trazendo seus dispositivos pessoais para trabalhar nas empresas, há necessidade de controles de rede e avaliações específicas ainda em curso pela SINFO.
2 - Como o TCMGO ainda não possui infraestrutura adequada, para que se tenha a segurança necessária para liberação do uso desses equipamentos particulares, tão logo seja adquirido o aparato necessário, a SINFO deverá publicar, apartadamente, sua política de BYOD.
APÊNDICE G
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA VII de TI - DO ACESSO À INTERNET
Data de Criação: 28/04/2017
Data de Revisão: 26/07/2022
Versão: 3.0
NORMA VII de TI - DO ACESSO À INTERNET
I - Objetivos
O propósito desta norma é garantir a segurança da informação dos sistemas que usam a internet no Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO). São seus objetivos:
1 - assegurar o uso mais correto possível de seus recursos e fazer com que os usuários se tornem cientes do que a Instituição considera aceitável ou inaceitável no âmbito dos sistemas de internet; e
2 - orientar o usuário de internet a fim de que ele possa minimizar os riscos legais envolvidos em seu uso.
II - Importância
Se o usuário ignora as orientações constantes nesta norma, torna-se inteiramente responsável pelos efeitos de seus atos e, assim, sujeito a ações disciplinares. Por outro lado, ao respeitá-las, estarão garantidas pela Instituição:
1 - a disponibilidade - certeza de que os sistemas que utilizam a internet estejam disponíveis aos usuários;
2 - a preservação da integridade - proteção dos sistemas de internet contra modificações não autorizadas ou acidentais;
3 - a preservação da confidencialidade - proteção dos ativos da Instituição contra acesso não autorizado.
III - Responsabilidades do TCMGO
1 - A Superintendência de Informática (SINFO) tomará medidas para que os usuários de serviços da internet tomem ciência das políticas, protocolos, procedimentos e obrigações legais relacionados ao seu uso. Isto poderá ser feito por meio de treinamentos ou comunicados em nível setorial ou organizacional.
2 - A SINFO se certificará de que todos os usuários de internet estejam obrigatoriamente registrados, por meio de usuário e senha pessoais e inalienáveis.
3 - A SINFO poderá bloquear qualquer tipo de acesso (site, streaming, serviço de mensagens, correio, vídeo, podcasting etc.) que não seja imprescindível para o cumprimento das atividades relacionadas ao desempenho da função.
IV - Acesso à internet
1 - Qualquer pessoa que possua vínculo com o TCMGO e queira acessar a internet, deve requerer, à SINFO, a abertura de uma credencial de acesso (de acordo com o exposto na Norma I), caso não a possua, e concordar com esta Norma de Uso da internet. Depois disso, será acrescido, à conta, o privilégio de acesso à internet.
2 - É terminantemente proibido o acesso à internet usando equipamentos da Instituição por meios diferentes do oficial (a forma descrita no item 1), utilizando-se de proxys. O desrespeito a esta política representa uma série de riscos de segurança, tanto aos dados sensíveis do transgressor quanto aos dados da Instituição, assim como a toda estrutura tecnológica desta Instituição.
V - Melhores práticas
1 - A Instituição reconhece que a internet é um importante meio de comunicação e deseja que seus usuários adiram às seguintes recomendações:
1.1 não clicar em links no conteúdo do e-mail. Querendo acessar à página do link, digite o endereço diretamente no navegador;
1.2 não abrir arquivos ou executar programas anexados aos e-mails, sem antes verificá-los com um antivírus;
1.3 desconfiar sempre dos arquivos e links anexados a mensagens, mesmo que tenham sido enviados por pessoas ou instituições conhecidas. O endereço do remetente pode ter sido forjado e o arquivo anexo pode ser, por exemplo, um vírus ou um agente mal-intencionado;
1.4 fazer o download de programas diretamente do site do fabricante ou instituição responsável;
1.5 certificar-se da procedência do site e da utilização de conexões seguras ao realizar transações via web;
1.6 Somente acessar sites de instituições financeiras e de comércio eletrônico digitando o endereço diretamente no seu browser, nunca clicando em um link existente em uma página ou em um e-mail.
2 - É considerado aceitável o uso da internet para acesso a:
2.1 sites governamentais (gov.br);
2.2 sites voltados para cursos ou aulas que sejam correlacionados com a função exercida;
2.3 sites com conteúdo pertinente com a função desempenhada.
3 - É considerado inaceitável o uso da internet para:
3.1 os sites que não se enquadrem no item 2;
3.2 criação ou transferência de qualquer material que possa ser categorizado como obsceno ou indecente;
3.3 criação ou transferência de qualquer material que possa ser categorizado como conteúdo difamatório, sexista, racista ou ofensivo;
3.4 criação ou transferência de material destinado a incomodar, intimidar ou causar transtornos a terceiros;
3.5 criação ou transmissão de material comercial, correntes ou propagandas não solicitadas;
3.6 efetivação de negócios particulares com o propósito de ganho comercial;
3.7 criação ou transferência de material que possa corromper ou destruir dados ou equipamentos de outros usuários;
3.8 transferência de conteúdo ilícito;
3.9 transferência de streaming de vídeo ou áudio para fins que não o de desempenho da função;
3.10 troca de mensagens instantâneas sem a prévia autorização do superior imediato;
3.11 utilização de programas de distribuição de arquivos, ex. Emule, Kazaa e arquivos torrents em geral;
3.12 transferência de arquivos oriundos das dependências do Tribunal para sites de armazenamento remoto (upload);
3.13 acesso a qualquer site que não seja para o único e exclusivo fim do cumprimento das atividades relacionadas ao desempenho da função.
4 - O usuário deve observar atentamente o Documento de Políticas de Senha, a fim de proteger a sua identidade nos meios eletrônicos da Instituição.
5 - Não será permitido o acesso a sistemas de webmail como GMail, Yahoo, Outlook entre outros, bem como acesso à armazenamentos em nuvem como Onedrive (conta pessoal), Dropbox e Google Drive, entre outros.
VI - Monitoramento do sistema
1 - Todo o tráfego da internet é automaticamente registrado (todo site que o usuário acessar será incluído nos registros, junto com a hora da visita à página) e armazenado por um ano, para assegurar o rastreamento de código nocivo, invasores, vírus ou outras formas de burlar os mecanismos de segurança que tentem corromper os sistemas ou redes da Instituição. Esses registros são auditados periodicamente pela Equipe de Segurança da Informação, inclusive nos casos de acesso por terminal remoto.
2 - A Instituição utiliza equipamentos e softwares que realizam uma prevenção de acesso do usuário a conteúdo ilegal ou pornográfico.
3 - Caso seja encontrada alguma evidência de que algum usuário não tenha aderido às recomendações constantes nesta norma, fica reservado à SINFO o direito de bloquear o acesso do usuário.
4 - A Equipe de Segurança da Informação tem autonomia para bloquear o usuário ou estação que esteja fazendo mal-uso da internet.
5 - A Equipe de Segurança da Informação tem autonomia para bloquear o acesso a web sites que se enquadrem no item 3 e seus subitens.
6 - Qualquer usuário pode solicitar o bloqueio de sua conta para acesso à internet.
7 - Somente os gestores de área poderão solicitar o desbloqueio de estações e usuários para acesso à internet.
8 - Os gestores de área poderão solicitar os relatórios que serão disponibilizados pela Equipe de Segurança da Informação.
APÊNDICE H
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA VIII de TI - DO BACKUP
Data de Criação: 02/05/2017
Data de Revisão:26/07/2022
Versão: 3.0
NORMA VIII de TI - DO BACKUP
I - Objetivos
1 - Definir parâmetros para o uso do software e a estrutura de backup institucional do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO), bem com orientar a prática do backup em si.
2 - Estabelecer critérios para o uso/aplicação do backup do TCMGO.
II - Disposições gerais
1 - A Superintendência de Informática (SINFO) não realizará backup de nenhum dado ou conteúdo pessoal presente nas máquinas utilizadas pelos usuários de recursos tecnológicos deste Tribunal.
2 - Aqueles que necessitem fazer algum backup que se encaixe nos termos do item anterior, poderão recorrer à Informática para que sejam orientados sobre os procedimentos corretos para a realização do backup. No entanto, sua execução e armazenamento são de responsabilidade do usuário.
3 - Todos os arquivos depositados no compartilhamento de arquivos do Tribunal (Servidor de Arquivos) estarão automaticamente sujeitos a backup, com período de retenção de 15 dias.
3.1 Qualquer outro compartilhamento de arquivo local da máquina ou que não esteja homologado pela Superintendência de Informática não estará sujeito a backup automático da rede.
4 - A SINFO reserva-se o direito de não realizar backup de nenhum dispositivo computacional que não pertença ao TCMGO.
5 - Usuários que tenham suas máquinas de trabalho substituídas, ou nas quais o sistema operacional necessite ser reinstalado, e queiram portar seus documentos para a nova instalação ou máquina, deverão solicitar à equipe de suporte o procedimento para sua realização.
6 - Os administradores de sistemas e/ou aplicações que necessitem ter seus dados resguardados com backup, deverão manifestar-se à Superintendência de Informática para que seja feito o plano de backup necessário.
7 - O tempo de retenção do backup varia de 15 dias até "por tempo indeterminado", dependendo da importância dos dados a serem resguardados e da disponibilidade de espaço no servidor.
8 - Todos os arquivos, backups, dados e conteúdos armazenados na infraestrutura de backup, dispositivos computacionais, servidores e estações de trabalho do TCMGO, são de propriedade deste Tribunal e estão sujeitos às suas diretivas.
9 - É de responsabilidade da SINFO prover ambiente seguro para armazenamento do backup e zelar por sua integridade, confiabilidade e disponibilidade.
10 - É de responsabilidade da SINFO garantir que os backups sejam mantidos pelo tempo acordado ou por ela proposto.
11 - A SINFO deverá realizar testes para comprovar a eficácia e bom funcionamento da estrutura de backup, bem como garantir que os dados nela armazenados possam ser restaurados e reutilizados.
APÊNDICE I
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Classificação: DOCUMENTO PÚBLICO INTERNO
Norma: NORMA IX de TI - SEGURANÇA DA INFORMAÇÃO E PROTEÇÃO DE DADOS PARA TRABALHO PRESENCIAL E REMOTO
Data de Criação: 23/05/2022
Data de Revisão: 26/07/2022
Versão: 1.1
NORMA IX de TI - SEGURANÇA DA INFORMAÇÃO E PROTEÇÃO DE DADOS PARA TRABALHO PRESENCIAL E REMOTO
I - Objetivos
O propósito desta norma é garantir a segurança da informação e proteção de dados durante as atividades de trabalho dos usuários, sejam elas presenciais ou remotas, no Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO). São seus objetivos:
1 - assegurar o uso mais correto possível dos ativos de informação e dos dispositivos, disseminando a boa cultura entre os usuários para que sejam promotores da segurança da informação e da proteção de dados enquanto estiverem trabalhando e utilizando os recursos tecnológicos do Tribunal;
2 - orientar o usuário a fim de que ele possa minimizar os riscos técnicos e legais envolvidos no uso dos recursos de tecnologia do TCMGO.
II - Importância
Se o usuário ignora as orientações constantes nesta norma, torna-se inteiramente responsável pelos efeitos de seus atos e, assim, sujeito ações disciplinares. Por outro lado, ao respeitá-las, estarão garantidas pela Instituição:
1 - a disponibilidade - a certeza de que os sistemas que utilizam a internet estejam disponíveis aos usuários;
2 - a preservação da integridade - proteção dos sistemas de internet de modificações não autorizadas ou acidentais;
3 - a preservação da confidencialidade - proteção dos ativos da Instituição contra acesso não autorizado;
4 - a proteção de dados - proteção dos dados dos titulares, sejam eles pessoais ou sensíveis.
III - Responsabilidades do TCMGO
1 - A Superintendência de Informática (SINFO) tomará medidas para que os usuários dos recursos tecnológicos e dos ativos de informação tomem ciência das políticas, protocolos, procedimentos e obrigações legais relacionados ao seu uso. Isto poderá ser feito por meio de treinamentos ou comunicados em nível setorial ou organizacional.
2 - A SINFO se certificará de que todos os usuários estejam obrigatoriamente registrados e identificados, por meio de usuário e senha pessoais e inalienáveis.
3 - A SINFO poderá adotar medidas de controle, bloqueio e restrição de acesso para que o usuário não exponha a infraestrutura tecnológica do TCMGO a riscos. Medidas análogas podem ser tomadas quando forem identificados comportamentos do usuário que tornem os ativos de informação mais suscetíveis à quebra de continuidade, confidencialidade, integridade e disponibilidade, ou que sejam violados preceitos fundamentais da proteção de dados.
4. A SINFO compromete-se a manter todo o serviço que seja imprescindível para o cumprimento das atividades relacionadas ao desempenho da função.
IV - Melhores práticas em trabalho presencial e remoto
1. Fica recomendado que todos os colaboradores, servidores, membros, terceirizados e eventuais visitantes do perímetro lógico do TCMGO, doravante nominados usuários, sejam apropriadamente informados da Política e das Normas de Segurança da Informação institucionais.
2. Os usuários devem estar cientes do dever de informar à Superintendência de Informática quaisquer incidentes ou vulnerabilidades de segurança da informação detectadas no âmbito de sua atuação, bem como do dever em notificar imediatamente eventuais violações à proteção de dados pessoais.
3. Convém que os usuários responsáveis pelo tratamento ou manuseio de dados sensíveis, críticos ou que sejam protegidos por segredo de justiça assinem termos de confidencialidade (non disclosure agreement - NDA), de forma a firmarem compromisso de não divulgação de informações confidenciais, inclusive as que envolvam dados pessoais, coibindo abusos de privilégio. Aqueles em teletrabalho deverão igualmente fazê-lo, considerado o risco adicional envolvido no uso de equipamentos pessoais.
4. Dados privados ou sensíveis produzidos, custodiados ou tratados pelo TCMGO só podem ser acessados por pessoas autorizadas previamente cadastradas e identificadas. O usuário deve ter ciência de que o acesso pode ser monitorado e rastreável, permitindo trilha forte de auditoria para averiguação de excessos na utilização.
5. Os sistemas de controle de acesso e de privilégios do TCMGO são aplicáveis a todos os usuários, independentemente de sua hierarquia ou senioridade, com níveis de permissão proporcionais à necessidade do trabalho desempenhado e de acesso a dados pessoais.
6. Caso o usuário migre para função ou cargo em que haja mudança do nível de privilégio ou permissão, a maior ou menor, deve informar imediatamente à Superintendência de Informática para realização dos ajustes necessários.
7. Fica estabelecido que os usuários utilizem senhas que respeitem algum nível de complexidade e não sejam repetidas de outros serviços e aplicações, sejam elas públicas ou privadas.
8. Fica vedado o compartilhamento de contas, logins ou senhas entre os usuários, sendo essencial que cada indivíduo resguarde a sua, evitando incorrer, inclusive, em violações penais.
9. Os usuários de um sistema terão o menor nível de acesso necessário para a realização de suas atividades. Funções de alto nível, tais como as de administrador de sistema, devem ser restringidas apenas àqueles funcionários que necessitem exercer esse papel e sejam capazes de assumir essa responsabilidade.
10. Em relação às estações de trabalho, estejam elas no perímetro físico do TCMGO ou fora dele, fica vedado aos usuários desativarem ou ignorarem as configurações de segurança, inclusive quanto a restrições de acesso a determinados tipos de sites, redes sociais e mídias móveis.
11. Deve ser evitada a transferência de dados institucionais e pessoais de estações de trabalho para dispositivos de armazenamento externo, como pendrives, discos rígidos externos, dentre outros, inclusive em nuvem (whatsapp, telegram, serviços de armazenamento pessoal em nuvem, entre outros), tendo em vista o risco de se perder a guarda dos dados transferidos. Caso essa operação seja imprescindível, sugere-se a adoção de controles adicionais a esses dispositivos externos, como inventariá-los, cifrar os dados e acondicioná-los em locais seguros.
12. Aplicativos de mensagens e redes sociais podem comprometer a segurança de qualquer instituição se houver troca de links maliciosos ou se o usuário receber algum arquivo infectado. Dessa forma, em regra, o acesso a eles será vedado no perímetro lógico do TCMGO, à exceção das ferramentas institucionais para tal finalidade.
13. Tanto para a troca de arquivos, mencionada no item 11, quanto para a de mensagens, tratada no item 12, o TCMGO disponibilizará ferramenta compatível com a demanda, por meio do Pacote Office 365 - único homologado para essas finalidades no âmbito do Tribunal.
14. É obrigatório o acesso remoto à rede do TCMGO tão somente por meio do serviço de desktop remoto institucional, com o devido túnel criptográfico estabelecido. Caso o usuário receba qualquer mensagem de problemas com o certificado ou a criptografia do túnel, deve declinar o acesso e comunicar imediatamente à Superintendência de Informática o incidente.
Termo de responsabilidade e confidencialidade de dados
Eu ____________________________________________, inscrito(a) no CPF/MF sob o nº _______________, matrícula nº ________________, abaixo firmado, assumo o compromisso de manter a confidencialidade e integridade das informações, bem como a proteção sobre dados pessoais e sensíveis a que tiver acesso em razão de meu cargo ou função, à exceção daqueles em que a legislação vigente, as normativas e jurisprudências do TCMGO autorizarem expressamente a divulgação ou revelação, atentando-me, integralmente, aos meios corretos e necessários para fazê-lo.
Por este termo de confidencialidade e sigilo comprometo-me a:
a) manter-me atualizado a respeito das normas de Segurança da Informação e Proteção de Dados Pessoais, inclusive as do próprio TCMGO;
b) não utilizar quaisquer informações (Técnicas Administrativas ou Gerenciais), confidenciais ou não, a que tiver acesso, para gerar benefício próprio exclusivo e/ou unilateral, presente ou futuro, ou para o uso de terceiros, exceto mediante requisição expressamente feita por meio do Protocolo ou da Ouvidoria do TCMGO, nos termos da Lei nº 12.527 , de 18 de novembro de 2011 (Lei de Acesso à Informação);
c) não efetuar nenhuma gravação ou cópia, em meios dispositivos ou meios de cunho pessoal, da documentação a que tiver acesso em razão do cargo ou função exercida;
d) não tomar propriedade intelectual, para mim ou para outrem, de qualquer dado, informação, material técnico, gerencial ou administrativo que venha a ser disponível, seja pelo Tribunal ou qualquer unidade, documento ou sistema de sua estrutura;
e) não repassar o conhecimento sobre projetos e planos de caráter estratégico, sigiloso, ou, ainda que possam prejudicar a missão finalística e constitucional do Tribunal, obrigando-me, assim, a ressarcir a ocorrência de qualquer dano e/ou prejuízo oriundo de uma eventual quebra de sigilo ou confidencialidade das informações fornecidas;
f) cuidar para que as informações confidenciais fiquem restritas ao conhecimento tão somente das pessoas que estejam diretamente envolvidas nas discussões, análises, reuniões e avaliações, devendo cientificá-los da existência deste Termo e da natureza confidencial dessas informações;
g) cumprir as Regras de Boas Práticas e de Governança de Tratamento de Dados Pessoais do TCMGO contidas no Anexo I da Resolução Administrativa nº 184 /2021;
h) observar as medidas de segurança da informação estabelecidas no Programa de Governança e Privacidade do TCMGO, constante do Apêndice "B" da Resolução Administrativa nº 028 /2022;
i) seguir as normas de conduta previstas no Código de Ética dos Servidores do TCMGO - Resolução Administrativa nº 323 /2013; e
j) observar as normas de sigilo processual estabelecidas no Regimento Interno do TCMGO e na Resolução Administrativa nº 046 /2015.
Neste Termo, ficam igualmente vinculadas as obrigações de proteção de dados constantes na Lei nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados), de forma que me comprometo, sob as penas da lei, a preservar os direitos de privacidade e proteção aos dados pessoais e individuais das pessoas, sejam elas físicas ou jurídicas.
A vigência da obrigação de confidencialidade e sigilo, assumida por mim, na forma deste termo, terá validade enquanto a informação não for tornada de conhecimento público pelo Tribunal, ou mediante autorização expressa, seja ela legislativa, ou de caráter individual concedida a mim pelo Presidente do TCMGO.
Pelo não cumprimento do presente Termo de Confidencialidade e Sigilo, declaro-me ciente de todas as sanções judiciais e administrativas que poderão advir, nos termos da legislação de regência.
Goiânia, ___ de ______________ de _______.
______________________________________________
Nome/Assinatura/Carimbo
Download do documento
Atos que alteram, regulamentam ou revogam esta Resolução Administrativa:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Resolução Administrativa:
Resolução Administrativa nº 106/2017 de 12/07/2017 - Norma em vigor