Resolução nº 17/2014

RESOLUÇÃO TC Nº 17, DE 22 DE OUTUBRO DE 2014.

Dispõe sobre a Política de Uso Aceitável dos Recursos de Tecnologia da Informação do Tribunal de Contas do Estado de Pernambuco.

O TRIBUNAL DE CONTAS DO ESTADO DE PERNAMBUCO, em sessão do Pleno realizada em 22 de outubro de 2014, no uso de suas atribuições constitucionais e legais, e;

Considerando que as informações são armazenadas e veiculadas por diferentes formas, incluindo os recursos de Tecnologia da Informação, e são essenciais ao desempenho das atribuições do Tribunal de Contas do Estado de Pernambuco (TCE-PE);

Considerando o

§ 6º do artigo 37 da Constituição Federal que dispõe sobre a responsabilidade civil objetiva atribuída aos entes estatais;

Considerando as normas da Associação Brasileira de Normas Técnicas - ABNT NBR ISO IEC 27001:2006 e 27002:2005 que estabelecem, respectivamente, o sistema de gestão e o código de boas práticas em segurança da informação recomendam o estabelecimento de regras para o uso aceitável dos ativos de informação;

Considerando o disposto no inciso XVIII do art. 102 da Lei nº 12.600 , de 14 de junho de 2004, combinado com o art. 54, IV e 56, resolve:

Capítulo I

DAS DISPOSIÇÕES GERAIS

Art. 1º A Política de Uso Aceitável dos Recursos de Tecnologia da Informação no âmbito do TCE-PE, bem como os direitos e as responsabilidades de quem os utiliza, regem-se pelas disposições da presente Resolução.

§ 1º Consideram-se recursos de Tecnologia da Informação do TCE-PE o conjunto de ativos de TI mantidos ou operados pelo TCE-PE, tais como equipamentos de rede, telecomunicações, computadores, dispositivos móveis, dispositivos de armazenamento, programas, banco de dados, sistemas e serviços de TI.

§ 2º Esta Resolução integra a Política Corporativa de Segurança da Informação do TCE-PE, instituída pela Resolução TC nº 16 , de 22 de outubro de 2014, e adota, no que couber, os conceitos definidos na

Seção II daquela Resolução.

Art. 2º Esta Resolução aplica-se a todos os usuários que utilizam os recursos de TI do TCE-PE.

Art. 3º O TCE-PE se reserva no direito de inspecionar, sem a necessidade de aviso prévio, os computadores e qualquer arquivo armazenado, estejam no disco local dos computadores, nas áreas privativas ou nas áreas compartilhadas da rede, visando assegurar o rígido cumprimento desta política.

Capítulo II

DAS DEFINIÇÕES

Art. 4º Para os efeitos desta Resolução, entende-se por:

I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como a possibilidade de usar os ativos de informação de um órgão ou entidade;

II - ativo de informação: recurso utilizado na produção, processamento, armazenamento, transmissão e recuperação da informação, incluindo a própria informação, sistemas de informação, locais onde se encontram esses meios e as pessoas que a eles têm acesso;

III - área privativa: área reservada e exclusiva para armazenamento de informações de um usuário interno, incluindo sua caixa postal;

IV - área compartilhada: área reservada para armazenamento e compartilhamento de informações de um grupo de usuários internos;

V - caixa postal: área individual de armazenamento de mensagens do correio eletrônico;

VI - conta: identificador único que permite acesso aos recursos de TI e o gerenciamento do uso desses recursos;

VII - dispositivos móveis - equipamentos portáteis dotados de capacidade computacional ou dispositivos removíveis de memória para armazenamento, entre os quais se incluem, mas não se limitando a estes: notebooks, smartphones, tabletes, pendrives, USB drives, HDs externos e cartões de memória;

VIII - rede Corporativa: conjunto dos recursos de TI disponíveis no âmbito do TCE-PE que posssibilita o acesso aos diversos serviços de tecnologia da informação;

IX - usuário: pessoa utilizadora dos recursos de TI do TCE-PE;

X - usuário interno: servidor, contratado ou conveniado do Tribunal, que no exercício de suas funções, tenham acesso aos recursos de TI do TCE-PE;

XI - usuário externo: pessoa física ou jurídica que tenha acesso aos recursos de TI do TCE-PE e que não seja caracterizada como usuário interno.

Capítulo III

DAS RECOMENDAÇÕES GERAIS

Seção I

Das Atividades Permitidas e Dos Direitos Dos Usuários Internos

Art. 5º O uso dos recursos de TI do TCE-PE pelos usuários internos, destina-se às atividades relacionadas com suas atribuições funcionais.

Art. 6º Os recursos de TI deverão ser utilizados respeitando-se os direitos de propriedade intelectual de qualquer pessoa ou empresa.

Art. 7º Respeitado o disposto na Lei Federal nº 9609 , de 19 de fevereiro de 1998, que trata da propriedade intelectual de programa de computador, e ressalvadas as exceções previstas em contratos e convênios, são de propriedade do TCE-PE os programas desenvolvidos para o Tribunal por usuários internos.

Art. 8º São garantidos aos usuários internos, no exercício de suas funções, após aprovação em treinamento específico:

I - ter conta para acesso à rede corporativa;

II - fazer uso legal dos recursos de TI colocados à sua disposição, respeitadas as normas de utilização estabelecidas pelo TCE-PE;

III - ter acesso às informações que lhe são franqueadas nas áreas privativa e compartilhadas com garantia de integridade, disponibilidade, controle de acesso e cópia de segurança;

IV - ter privacidade das informações armazenadas em sua área privativa;

V - ter acesso aos registros de suas ações (logs) existentes na rede corporativa;

VI - ter acesso remoto à rede corporativa do TCE-PE, utilizando recursos de TI próprios, observados os requisitos de segurança estabelecidos pela CTI;

VII - solicitar suporte técnico à CTI.

§ 1º Usuários contratados e conveniados terão garantidos apenas os recursos necessários às atividades correspondentes à execução do contrato ou convênio.

§ 2º Sempre que for necessário para atividades de administração dos recursos de TI e suporte técnico ou nos casos de suspeita de violação de regras, a Coordenadoria de Tecnologia da Informação - CTI poderá acessar arquivos de dados privativos ou compartilhados.

Seção II

Das Atividades Vedadas Aos Usuários Internos

Art. 9º É vedado o uso dos recursos de TI do TCE-PE para processar, guardar ou encaminhar material de cunho político, não ético, discriminatório, malicioso, obsceno ou ilegal, além de atividades visando:

I - promoção pessoal;

II - venda de produtos ou engajamento em atividades comerciais de qualquer natureza;

III - constrangimento, assédio, calúnia, injúria, difamação, ameaça, ofensa ou agressão;

IV - distribuição voluntária de mensagens não desejadas, como circulares, manifestos políticos, correntes de cartas ou outros sistemas que possam prejudicar o trabalho de terceiros, causar excessivo tráfego na rede ou sobrecarregar os recursos de TI;

V - ocultação de sua identidade quando utilizar os recursos de TI;

VI - acesso não autorizado ou indevido aos recursos de TI;

VII - violação dos sistemas de segurança dos recursos de TI, no que tange à identificação de usuários, senhas de acesso, sistemas de alarme, registro de eventos (log) e demais mecanismos de segurança e restrição de acesso;

VIII - instalação, alteração ou remoção de software sem acompanhamento ou autorização da equipe técnica da CTI.

§ 1º Para notebooks do TCE-PE, a autorização para instalação, alteração ou remoção de software é decorrente do Termo de Compromisso assinado pelo custodiante que optar pelo uso da senha de administrador.

§ 2º Entende-se por custodiante o usuário, grupo de trabalho ou área responsável pela manutenção dos requisitos de segurança associados aos ativos da informação sob sua guarda.

Seção III

Das Obrigações Dos Usuários Internos

Art. 10. São obrigações de todos os usuários internos:

I - manter em caráter confidencial e intransferível códigos de identificação, autenticação e autorização de uso pessoal (conta, senhas, chaves privadas etc.);

II - alterar periodicamente a senha de acesso de acordo com os procedimentos estabelecidos pela CTI;

III - zelar por toda e qualquer informação disponível pelos recursos de TI do TCE-PE contra alteração, destruição, divulgação, cópia e acesso não autorizados;

IV - desligar ou bloquear computadores em uso quando houver necessidade de ausentar-se fisicamente do local;

V - fazer manutenção na sua área privativa periodicamente, evitando o acúmulo de informações desnecessárias.

§ 1º Os servidores do TCE-PE ou à disposição do TCE-PE deverão firmar compromisso com as práticas, responsabilidades e obrigações normativas referentes à Política Corporativa de Segurança da Informação e à Política de Uso Aceitável dos Recursos de Tecnologia da Informação, conforme Termo de Responsabilização e Sigilo, constante no Anexo I.

§ 2º Nos contratos e convênios celebrados com o TCE-PE, os contratados e os conveniados deverão assinar o Termo de Sigilo das Informações, assim como comprovar que os seus funcionários e prestadores de serviços, também assinaram, conforme previsto na Resolução TC nº 16 , DE 2014, que dispõe sobre a Política Corporativa de Segurança da Informação.

Seção IV

Das Obrigações da Cti

Art. 11. São obrigações da Coordenadoria de Tecnologia da Informação - CTI:

I - manter e monitorar o uso dos recursos de TI disponibilizados sem interrupções, exceto em casos de imprevistos ou manutenção técnica programada;

II - monitorar a observância deste normativo, devendo, em caso de descumprimento, informar à Diretoria Geral e tomar medidas imediatas de restrições de uso dos recursos, de acordo com o disposto nas normas computacionais;

III - implantar autorização ou restrição de acesso às informações do TCE-PE, disponíveis através dos recursos de TI;

IV - autorizar ou restringir o acesso aos recursos de TI;

V - cancelar o acesso aos recursos de TI disponíveis imediatamente após o término do vínculo do usuário interno ou colaborador com o TCE-PE;

VI - gerenciar os privilégios de usuários, as senhas de usuários, os procedimentos de logon e de política de troca de senha;

VII - desenvolver, adquirir, manter e auditar os sistemas de informação;

VIII - registrar as ações dos usuários internos na rede corporativa, inclusive o histórico de utilização da internet;

IX - proteger e manter a segurança dos dados armazenados na rede corporativa;

X - realizar a cópia de segurança de dados armazenados em discos de servidores da rede local;

XI - manter atualizadas as configurações necessárias para o acesso externo à rede corporativa, e orientar os usuários internos e colaboradores sobre seu uso e requisitos de segurança;

XII - orientar sobre a configuração dos recursos de TI do TCE-PE; idenciaro Tário

XIII - providenciar o Termo de Compromisso e obter a aceitação dos usuários internos com as práticas, responsabilidades e obrigações previstas na Política Corporativa de Segurança da Informação e seus normativos correlatos.

Parágrafo único. A autorização e a restrição de acesso aos sistemas de informação também incumbem aos gestores dos respectivos sistemas.

Capítulo IV

DAS RECOMENDAÇÕES ESPECÍFICAS

Seção I

Do Controle de Acesso

Art. 12. Controle de acesso é um dos mecanismos utilizados para proteger o ambiente de TI. O acesso aos recursos de TI deve ser permitido somente a entidades autorizadas, como usuários internos, de acordo com a Política Corporativa de Segurança da Informação.

§ 1º O direito de uso de qualquer recurso de TI cessa quando o usuário interno terminar o seu vínculo com o TCE-PE.

§ 2º O servidor que permanecer em licença com duração superior a 180 (cento e oitenta) dias ou à disposição de outro órgão terá direito de acesso aos recursos de TI de forma limitada.

Art. 13. O acesso a recursos relacionados a sistemas corporativos será provido via perfis de trabalho ou por autorização do gestor da informação envolvida.

Parágrafo único. É considerado gestor da informação o servidor incumbido da definição dos grupos de acesso, bem como dos requisitos de segurança associados aos ativos da informação sob sua responsabilidade.

Art. 14. O cadastro de usuário interno para utilização dos recursos de TI será realizado pela CTI, mediante requisição da chefia da unidade organizacional ou do fiscal do contrato correspondente.

Art. 15. É prerrogativa exclusiva da CTI configurar o compartilhamento de recursos de TI na rede de computadores. Requisições de concessão e alteração de permissões de acesso a recursos de TI devem ser encaminhadas à CTI pela chefia da unidade organizacional interessada ou do fiscal de contrato.

Art. 16. Ao término do vínculo com o TCE-PE de servidor, terceirizado, estagiário, conveniado ou prestador de serviço, o chefe da unidade organizacional ou o fiscal do contrato correspondente vinculado deve tomar as providências necessárias para que seja realizado o seu descadastramento.

Art. 17. Na ocorrência da inativação da conta do usuário interno, seus arquivos armazenados nos recursos de TI poderão ser avaliados pela chefia imediata visando à sua eliminação ou preservação.

Seção II

Da Utilização Dos Recursos de ti

Art. 18. Todos os procedimentos de manutenção, instalação, desinstalação, configuração e alteração de hardware e software em recursos de TI disponibilizados pelo TCE-PE são prerrogativa exclusiva da CTI.

Parágrafo único. Compete à CTI definir os recursos de TI do TCE-PE, bem como homologar a utilização de hardware ou software de propriedade do usuário no ambiente computacional do TCE-PE.

Art. 19. Cada unidade organizacional terá disponível uma área compartilhada para guarda dos arquivos compartilhados entre seus usuários, com garantia de integridade, disponibilidade, controle de acesso e cópia de segurança.

Art. 20. As áreas privativas e compartilhadas possuem tamanho limitado. Caberá à CTI definir os limites de armazenamento, de acordo com a disponibilidade.

Art. 21. Os dados armazenados fora das áreas privativa ou compartilhadas não possuem garantias de integridade, disponibilidade, controle de acesso ou cópia de segurança.

Art. 22. Aos técnicos da CTI é dado o direito de acesso remoto aos computadores e dispositivos móveis do TCE-PE, em utilização pelos usuários, para fins de manutenção. O acesso remoto para suporte na área privativa do usuário apenas será iniciado mediante sua anuência, que deverá acompanhar todas as operações executadas pelo técnico da CTI.

Art. 23. As configurações e atribuições de parâmetros em todos os recursos de TI conectados à rede do TCE-PE devem estar de acordo com as políticas e normas internas de gerenciamento.

Art. 24. As atividades dos usuários poderão ser reconstituídas a partir de registros de atividades (logs).

Seção III

Da Utilização da Rede Sem Fio e Dispositivos Móveis

Art. 25. O uso da rede sem fio é destinado a complementar a rede cabeada, possibilitando o acesso diferenciado para os usuários internos e externos aos recursos de TI do TCE-PE.

§ 1º O TCE-PE disponibiliza, pelo menos duas possibilidades de conexão à rede sem fio, que são:

I - rede destinada a dispositivos móveis do próprio TCE. Esta rede permite acesso tanto à internet quanto à intranet e os sistemas do TCE, mediante login semelhante ao dos computadores conectados à rede cabeada;

II - rede destinada ao uso por dispositivos móveis não pertencentes ao TCE. Esta rede permite acesso apenas à internet.

§ 2º O uso da rede sem fio por dispositivos móveis pertencentes a usuários internos e colaboradores será regulamentado pela CTI.

Art. 26. Os dispositivos móveis devem ser utilizados considerando-se soluções de segurança, de acordo com a Política Corporativa de Segurança da Informação do TCE-PE.

Seção IV

Da Utilização do Correio Eletrônico Corporativo

Art. 27. As unidades organizacionais disporão de um endereço eletrônico exclusivo para uso regular dos seus servidores, terceirizados e estagiários.

Parágrafo único. Outro endereço eletrônico será disponibilizado, quando solicitado, para recebimento de mensagens de usuários externos à unidade organizacional.

Art. 28. O usuário que perder o vínculo com o TCE-PE, permanecer em licença com duração superior a 180 (cento e oitenta) dias ou à disposição de outro órgão terá seu endereço de correio eletrônico excluído e o conteúdo da respectiva caixa postal será mantido conforme Política de backup.

Seção V

Do Acesso à Internet

Art. 29. Todos os usuários internos poderão ter acesso à internet, identificados pela sua conta, de uso pessoal e intransferível.

Art. 30. Cabe à CTI implantar os controles de acesso e mecanismos de auditoria que garantam o monitoramento do acesso à internet pela rede corporativa do TCE-PE.

Art. 31. Cabe à Coordenadoria de Tecnologia da Informação-CTI, em conjunto com o Comitê de Segurança da Informação - CSI, instituído pela Resolução TC nº 16 , de 2014 que dispõe sobre a Política Corporativa de Segurança da Informação, definir o conteúdo da rede mundial de computadores acessível a partir da rede corporativa do TCE-PE.

§ 1º Será bloqueado o acesso a sites de conteúdo considerado ofensivo, ilegal ou impróprio a exemplo de sites pornográficos, de jogos ou apostas.

§ 2º Os gestores das unidades organizacionais poderão solicitar à CTI restrição de acesso a sites para os usuários das respectivas unidades.

Art. 32. A CTI terá acesso aos históricos de utilização da Internet de todos os usuários do TCE-PE e poderá informá-los aos gestores das respectivas unidades organizacionais.

Capítulo V

DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 33. Compete à Diretoria de Gestão e Governança - DGG, mediante apoio da CTI, garantir a implementação da Política de Uso Aceitável dos recursos de TI do TCE-PE, segundo os objetivos, princípios e diretrizes estabelecidos pela Política Corporativa de Segurança da Informação.

Art. 34. Nos casos em que o usuário interno já possua a identificação e o acesso, mas que ainda não tenha declarado compromisso com as práticas, responsabilidades e obrigações previstas na Política Corporativa de Segurança da Informação e seus normativos correlatos, o compromisso deve ser obtido pela CTI em caráter de urgência.

Art. 35. A não observância do disposto neste normativo, devidamente apurada e comprovada, pode acarretar o bloqueio da conta de acesso aos recursos de TI do TCE-PE.

§ 1º O caso será informado ao usuário infrator, ao seu gerente imediato para ciência e ao Diretor Geral, para deliberação.

§ 2º Além do bloqueio da conta de acesso, o usuário também poderá responder no âmbito administrativo, civil e criminal, pelas infrações cometidas e pelos danos causados em decorrência da não observância da Política Corporativa de Segurança da Informação.

Art. 36. Esta Resolução entra em vigor na data de sua publicação.

Art. 37. Revogam-se as disposições em contrário, em especial, a Portaria 531 /2006 (Política de Uso e Segurança das Informações e dos Recursos Computacionais), a Portaria 532 /2006 (Procedimentos e ações alusivos à privacidade das informações geradas pelos usuários no ambiente computacional), a Portaria 430 /2007 (Política de uso do serviço de correio eletrônico), a Portaria 433 /2007 (Política de uso do serviço de acesso à internet) e a Portaria 441 /2007 (Política de armazenamento de informações computacionais).

Sala das Sessões do Tribunal de Contas do Estado de Pernambuco, em 22 de outubro 2014.

VALDECIR FERNANDES PASCOAL

Presidente

ANEXO ÚNICO - Termo de Responsabilização e Sigilo

Pelo presente instrumento, eu _______________________________, CPF ____________, identidade ______________, expedida pelo ______, em __________, DECLARO, sob pena das sanções cabíveis, nos termos da legislação vigente, que conheço e estou comprometido com as práticas, responsabilidades e obrigações normativas referentes à Política de Segurança Corporativa da Informação e à Política de Uso Aceitável dos Recursos de Tecnologia da Informação do TCE-PE.

Recife, ______de ___________________de _______,

_________________________________

Assinatura

Nome do usuário

Atos que alteram, regulamentam ou revogam esta Resolução:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esta Resolução:

Portaria do Executivo nº 531/2006 de //

Portaria do Executivo nº 441/2007 de //

Portaria do Executivo nº 430/2007 de //

Portaria do Executivo nº 433/2007 de //

Portaria do Executivo nº 532/2006 de //