Resolução nº 395/2022

RESOLUÇÃO Nº 395, 16 DE FEVEREIRO DE 2022

Institui a Política de Segurança da Informação doTribunal de Contas do Estado do Rio de Janeiro.

O TRIBUNAL DE CONTAS DO ESTADO DO RIO DE JANEIRO, no uso de suas atribuições e na forma prevista no artigo 115, inciso II, do Regimento Interno, aprovado pela Deliberação nº 167 , de 10 de dezembro de 1992, e;

CONSIDERANDO a necessidade de regulamentar a utilização dos recursos computacionais no âmbito da rede corporativa do Tribunal de Contas do Estado do Rio de Janeiro - TCE-RJ;

considerando a necessidade de melhoria continuada e constante revisão da Política de Segurança da Informação - PSI desta Corte de Contas, resolve:

Art. 1º Fica instituída a Política de Segurança da Informação do Tribunal de Contas do Estado do Rio de Janeiro - PSI, com a finalidade de proteger os ativos de informação e processamento de dados desta Corte, bem como os direitos de propriedade intelectual, englobando os aspectos de segurança lógica e física.

Art. 2º A PSI tem como princípios a confidencialidade, a integridade, a autenticidade e a disponibilidade das informações.

Art. 3º A PSI estabelece normas para uso dos recursos computacionais, que devem ser observadas por todos os usuários da rede de computadores do TCE-RJ, na forma do Anexo I, que integra esta Resolução.

Art. 4º Fica revogada a anterior Política de Segurança da Informação - PSI instituída na Resolução nº 336 , de 3 de abril de 2019.

Art. 5º A presente Resolução entra em vigor na data de sua publicação.

Plenário, 16 de fevereiro de 2022.

RODRIGO MELO DO NASCIMENTO

Presidente

NOTA:

* Publicado no DORJ de 25.02.22.

ANEXO I

Da Resolução nº 395,16 de fevereiro de 2022

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO PARA USO DOS RECURSOS DE TECNOLOGIA DA INFORMAÇÃO NO ÂMBITO DA REDE CORPORATIVA E DOS DEMAIS MEIOS FÍSICOS DE SUPORTE DO TCE-RJ

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Art. 1º As Autoridades, servidores, colaboradores e quaisquer pessoas que tenham acesso a informações do TCE-RJ sujeitam-se às diretrizes, normas e procedimentos de segurança da informação da Política de que trata esta Resolução, e são responsáveis por garantir a segurança das informações a que tenham acesso.

Art. 2º Para os efeitos desta Resolução entende-se por:

I - informação: conjunto de dados, textos, imagens, métodos, sistemas ou quaisquer formas de representação dotadas de significado em determinado contexto;

II - segurança da informação: proteção da informação contra ameaças à sua confidencialidade, integridade, disponibilidade e autenticidade, para minimizar riscos à estrutura do TCE-RJ;

III - confidencialidade: propriedade que garante que a informação sejaacessada somente pelas pessoas ou processos que tenham autorização para tal;

IV - integridade: propriedade que garante a não violação das informações com intuito de protegê-las contra alteração, gravação ou exclusão indevida, acidental ou proposital;

V - disponibilidade: propriedade que garante que as informações estejam acessíveis às pessoas e aos processos autorizados, no momentorequerido;

VI - autenticidade: propriedade que assegura a correspondência entreo autor de determinada informação e a pessoa, processo ou sistema a quem seatribui a autoria;

VII - incidente de segurança da informação: qualquer indício de fraude, sabotagem, espionagem, desvio, falha ou evento indesejado ou inesperado que tenha probabilidade de comprometer ou ameaçar a segurança da informação;

VIII - gestor da informação: autoridade do Tribunal ou dirigente de unidade responsável por informação em matéria de sua competência ou inerente à sua área de atuação;

IX - custodiante da informação: qualquer pessoa física ou jurídica, interna ou externa, unidade ou projeto do Tribunal que detém a posse, mesmo que transitória, de informação produzida ou recebida pelo Tribunal;

X - administrador do recurso: autoridade do Tribunal ou dirigente de unidade responsável por conceder/revogar direitos a um determinado recurso computacional;

XI - colaborador: prestador de serviço terceirizado, estagiário ouqualquer pessoa com vínculo transitório com o TCE-RJ que tenha acesso, de forma autorizada, às informações ou às dependências do Tribunal;

XII - login de rede: identificador único de um usuário ou aplicação na rede interna do TCE-RJ;

XIII - rede: conjunto de computadores, funcionalidades e outros dispositivos, de propriedade do TCE-RJ ou por ele providos, que, ligados em umarede de comunicação de dados, possibilitam a prestação de serviços de TI; O acesso classifica-se em: interno quando se dá por meio de equipamento conectado diretamente à rede TCE-RJ ou externo quando se dá por meio de equipamento conectado à Internet não fornecida pelo Tribunal;

XIV - rede corporativa: rede interna que compreende o perímetro queengloba todos os sistemas internos do TCE-RJ e rede cabeada;

XV - rede wireless: infraestrutura das comunicações sem fio que permite a transmissão de dados e informações sem a necessidade do uso de cabos;

XVI - estação de trabalho: computador de mesa (desktop) de propriedade do TCE-RJ;

XVII - dispositivo móvel: qualquer dispositivo utilizado para acessar arede TCE-RJ e que tenha como característica a portabilidade, tais como notebooks e smartphones;

XVIII - acesso remoto: acesso à rede corporativa do TCE-RJ ou sistemas internos através de dispositivo em local diverso às instalações desta Corte, via Internet;

XIX - spam: mensagem de e-mail não solicitada ou indesejada, possua ela conteúdo malicioso ou não;

XX - nuvem de armazenamento: também chamado de storage online ou storage cloud; serviço de armazenamento de dados de terceiros, em rede externa ao Tribunal de Contas do Estado, onde o provedor do serviço é o responsável por manter a integridade, disponibilidade e confidencialidade dos dados;

XXI - credenciais de acesso: é sinônimo de login de rede, ou seja, identificação única de um determinado servidor ou colaborador nas redes do TCE-RJ;

XXII - dados: informação em estado bruto, podendo ser organizado deforma estruturada (em tabelas) ou não estruturada (sem formatação pré - estabelecida);

XXIII - computadores servidores: computadores de grande porteutilizados para processamento massivo de sistemas corporativos, podendo ser chamados simplesmente servidores quando o contexto implica computadores;

XIV - sites proxy: versão web de equipamento utilizado como intermediário entre a requisição de uma estação de trabalho e um computador servidor, e que tem a função de esconder a origem da requisição ou o seu destino;

XXV - protocolos de ponto a ponto: programas de troca de arquivos de forma distribuída entre usuários distintos, também chamados de peer-to-peer ou P2P;

XXVI - hoaxes: farsa online que pode ou não ter o intuito de extorquir ou enganar usuário;

XXVII - ativo de rede: estação de trabalho, smartphone, tablet ou similares;

XXVIII - sites de contingência: local físico na infraestrutura de redesdo TCE-RJ utilizado como contingência em caso de falhas no site principal;

XXIX - ligações de wall cord: cabo de rede que liga a estação de trabalho ao ponto de rede localizado na parede ou chão, realizando a união entreas estações de trabalho e a rede corporativa do TCE-RJ;

XXX - domínio: nome com estrutura hierárquica que indica o endereço de um site ou grupo de sites da internet. No caso desta Corte, o endereço de domínio é: tcerj.tc.br.

Art. 3º A segurança da informação no TCE-RJ alinha-se às estratégias organizacionais e aos princípios da segurança institucional, e tem como princípios:

I - garantia da integridade e da autenticidade das informações produzidas;

II - preservação da integridade e da autenticidade das informações recebidas;

III - transparência das informações públicas;

VI - proteção adequada às informações com necessidade de restrição de acesso;

V - planejamento das ações de segurança da informação; e garantia da disponibilidade das informações custodiadas.

Parágrafo único. A segurança da informação no TCE-RJ abrange aspectos físicos, tecnológicos e humanos do Tribunal.

Art. 4º Fica instituído como fórum apropriado para as discussões acerca de segurança da informação, incidente de segurança da informação e titularidade da gestão da informação, o Comitê Estratégico de Tecnologia da Informação - CETI.

Art. 5º Ficam responsáveis por operacionalizar e aplicar as diretrizes listadas nesta Resolução, dentro de suas esferas de competência, a Subsecretaria de Tecnologia da Informação - STI e a Diretoria-Geral de Segurança Institucional - DSI.

CAPÍTULO II

DOS RECURSOS COMPUTACIONAIS

Art. 6º Consideram-se recursos computacionais da rede corporativa do TCE-RJ:

I - hardwares (computadores servidores, estações, periféricos e equipamentos de rede);

II - softwares (sistemas operacionais, aplicativos ou sistemas de informação);

III - canais de comunicação de dados, de uso exclusivo, que interligam as unidades administrativas do TCE-RJ;

IV - serviços de Correio Eletrônico e de acesso à Internet;

V - bases de dados e repositórios de informação de modo geral.

§ 1º A STI é a responsável pela gestão dos recursos computacionais do TCE-RJ.

§ 2º A necessidade de uso de recursos computacionais da rede corporativa por outros órgãos públicos ou privados será individualmente analisada pela STI.

§ 3º O desenvolvimento ou implantação de qualquer sistema ou aplicativo que utilize recursos computacionais da rede corporativa somente poderá ser realizado pela STI.

Art. 7º Os recursos computacionais disponíveis no âmbito da rede corporativa têm por finalidade as atividades precípuas do TCE-RJ, sendo de propriedade deste Tribunal, não devendo ser utilizados para outro fim.

§ 1º É de responsabilidade do gestor de cada órgão deste TCE-RJ devolver à STI os recursos de hardware que não estiverem em uso, tais como estações de trabalho e notebooks. A STI pode solicitar a devolução quando for constatada a ociosidade do hardware.

§ 2º É de responsabilidade do gestor de cada órgão deste TCE-RJ devolver à STI os recursos de software que não estiverem em uso, tais como licenças de programas que são de uso específico do setor. A STI pode solicitar a devolução quando for constatada a ociosidade do software.

CAPÍTULO III

DA IDENTIFICAÇÃO DO USUÁRIO E SENHA DE ACESSO

Art. 8º Para utilização inicial dos recursos computacionais da rede corporativa do TCE-RJ é necessária a devida formalização por instrumento próprio, solicitando inscrição do funcionário no cadastro de usuários da rede corporativa deste Tribunal e criação de login de rede.

Art. 9º O login de rede e a respectiva senha serão atribuídos a uma única pessoa, de forma individual, intransferível e indelegável, de uso exclusivo do seu titular, não devendo ser compartilhados com outros usuários.

§ 1º O login de rede é considerado a identidade do servidor dentro do ambiente de rede corporativo do Tribunal. A utilização de logins de rede de terceiros implicará as sanções legais.

§ 2º Todas as credenciais de acesso seguem um padrão de criação determinado, sendo vedada a escolha das mesmas.

§ 3º Os usuários serão responsabilizados por todos os acessos e atividades desenvolvidas através do seu login de rede, inclusive por eventuais danos decorrentes de sua má utilização.

Art. 10. É vedada a apropriação de login de rede e senha de outros usuários.

Art. 11. As permissões de acesso a recursos de TI são concedidas ao login de rede pelo respectivo administrador do recurso.

Parágrafo único. Caso a STI seja o administrador do recurso, o pedido de acesso deve serfeito formalmente à STI pelo titular do órgão no qual o usuário do login de rede esteja lotado/localizado.

Art. 12. No caso de mudança de lotação/localização ou afastamento do usuário do login de rede, todas as permissões inerentes serão automaticamente removidas.

§ 1º Nos casos de afastamento, tais como aposentadoria, exoneração e cessão, a conta de e-mail, arquivos pessoais e informação vinculada ao login de rede serão apagados, salvo em caso de afastamento de caráter provisório, como licença-saúde.

§ 2º É de responsabilidade de cada órgão solicitar ao administrador do recurso novas permissões de acesso em caso de mudança de lotação/localização, após a Coordenadoria de Administração de Pessoal - CAP efetuar a troca.

Art. 13. As senhas devem possuir tamanho igual ou superior a 08 (oito) caracteres, devendo conter necessariamente letras do alfabeto e números, podendo ser letras, números, caracteres minúsculos e maiúsculos.

§ 1º Todas as senhas de usuário devem ser alteradas, ao menos, anualmente. Findo o prazo máximo de 12 (doze) meses, a senha poderá ser bloqueada até que o usuário escolha nova senha.

§ 2º Todas as senhas de contas administrativas devem ser alteradas anualmente.

§ 3º As senhas nunca devem ser inseridas em mensagens de e­mail, ou outra forma de comunicação eletrônica.

§ 4º Palavras presentes em dicionários de qualquer idioma, nomes de familiares, datas, telefones, placas de carro e endereços devem ser evitados.

Art. 14. O usuário que digite a senha 05 (cinco) vezes de forma incorreta terá sua senha bloqueada e deverá fazer solicitação formal para desbloqueio.

Art. 15. Quando não for possível ao usuário efetuar a troca da própria senha, seja por: esquecimento, bloqueio ou primeiro acesso; o mesmo deverá comparecer à área responsável munido de documento ou crachá comprobatório da identidade.

Art. 16. É possível solicitar login de rede para colaboradores. Tal solicitação deverá ser feita pelo titular de cada órgão deste TCE-RJ.

§ 1º Ao login de rede do colaborador aplicam-se todas as restrições listadas neste capítulo.

§ 2º É responsabilidade do solicitante garantir que o colaborador seja informado de todas as restrições cabíveis ao seu login de rede, assim como de todas as diretrizes listadas nesta Resolução, devendo ser entregue ao colaborador cópia desta Resolução.

§ 3º Por segurança, os logins de rede de colaborador serão criados com acesso mínimo, sem caixas postais, acesso a áreas de dados ou sistemas desta Corte. Cabe ao titular de cada órgão solicitar formalmente os acessos desejados.

CAPÍTULO IV

DO USO DAS ESTAÇÕES DE TRABALHO

Art. 17. É vedado instalar ou desinstalar recursos computacionais instalados de forma padronizada pela STI, de qualquer procedência, na rede corporativa do TCE-RJ sem a prévia autorização dessa Subsecretaria.

§ 1º A utilização, por parte de qualquer usuário da rede, de software não autorizado ou não adquirido legalmente, caracteriza infringência à Lei Federal nº 9.609 /98, que dispõe sobre a proteção da propriedade intelectual de programa de computador e sua comercialização no País.

§ 2º Qualquer pedido de instalação de software estará sujeito à avaliação da STI e deverá constar da lista de softwares homologados com o objetivo de se manter a isonomia e a administrabilidade do parque computacional do TCE-RJ.

Art. 18. É vedado instalar e manter nos computadores servidores e nas estações de trabalho, arquivos de conteúdo pornográfico, discriminatório, entretenimento, jogos e outros não relacionados às atividades precípuas do TCE-RJ.

Art. 19. É vedado o compartilhamento de diretórios, arquivos e demais recursos computacionais sem prévia autorização da STI.

Parágrafo único. A detecção de compartilhamentos e diretórios não autorizados que ponham em risco a segurança implicará a desconexão imediata da estação de trabalho até a apuração de responsabilidade e providências cabíveis.

Art. 20. Os usuários deverão zelar pela conservação, integridade, correta utilização e segurança dos recursos computacionais sob sua responsabilidade.

§ 1º Qualquer intervenção na estação de trabalho somente poderá serefetuada por pessoal técnico autorizado pela STI, obrigatoriamente assistido pelo usuário nos atendimentos de suporte efetuados em seu local de trabalho, incluindo alteração de local físico.

§ 2º Todas as estações de trabalho incluídas no Domínio TCE-RJ estão sujeitas à atualização automática do Sistema Operacional, bem como do sistema antivírus.

§ 3º A intervenção na estação de trabalho poderá ser prestada por meio remoto, obrigatoriamente por pessoal técnico autorizado pela STI, mediante autorização do usuário.

Art. 21. A fim de salvaguardar informações pessoais e institucionais, os usuários devem efetuar o bloqueio de suas estações de trabalho, sempre que delas forem se ausentar.

Art. 22. O usuário poderá exigir a identificação do técnico designado para atendimento de manutenção ou verificação de recursos computacionais e a apresentação de chamado técnico, verificando a autenticidade, se necessário, junto à chefia responsável na STI.

Art. 23. A realização de backups (cópias de segurança) dos dados contidos nas estações de trabalho é de responsabilidade do usuário.

Art. 24. Para diagnóstico de problemas nos recursos computacionais, inclusive em caso de suspeita de violação de regras, a STI poderá acessar arquivos nos computadores servidores e estações de trabalho, com o prévio consentimento do usuário, do titular do órgão ou da Secretaria Geral de Administração - SGA.

Art. 25. O acesso remoto às estações de trabalho, com o objetivo de suporte e manutenção dos recursos computacionais só poderá ser realizado por equipe técnica autorizada da STI, sempre com prévia permissão do usuário ou do chefe do órgão.

Art. 26. É vedado ao usuário impedir que procedimentos técnicos realizados por pessoal técnico autorizado pela STI, devidamente identificado e de posse de chamado técnico, sejam executados nas estações de trabalho sob sua responsabilidade.

Art. 27. Em caso de desligamento, aposentadoria ou exoneração o usuário deve restituir à STI quaisquer equipamentos do TCE-RJ que estejam sob sua responsabilidade ou posse.

Art. 28. Em hipótese alguma os usuários deverão acessar as suas máquinas com: logins de rede de terceiros, logins de aplicação, login de administração local da estação de trabalho ou qualquer outro login que não seu próprio login de rede.

Parágrafo único. A regra prevista no caput não se aplica aos técnicos da STI devidamente autorizados que utilizem logins de aplicação ou administração local da estação de trabalho para fins de solução de problemas.

CAPÍTULO V

DO USO DA INTRANET

Art. 29. O acesso à Intranet é permitido a todos os usuários da rede corporativa do TCE-RJ, previamente autorizados e através do seu login de rede.

Art. 30. O acesso à Intranet se dará unicamente na rede interna desteTCE-RJ, salvo se for utilizada ferramenta homologada para acesso remoto, com as devidas autorizações.

Parágrafo único. A rede wireless não é considerada uma rede interna, nem é um meio válido para acesso ao ambiente corporativo ou intranet.

CAPÍTULO VI

DO USO DA INTERNET

Art. 31. O acesso dos usuários à Internet deve ser feito exclusivamente através da rede corporativa deste TCE-RJ ou rede wireless.

§ 1º Fica vedada a utilização de quaisquer sites de proxy ou outros artifícios que visem burlar os mecanismos de segurança implantados pela STI.

§ 2º O acesso aos sistemas corporativos é realizado exclusivamente através da rede corporativa, salvo para aplicações devidamente preparadas e homologadas, pela STI, para acesso via redes externas, como rede wireless, Internet e Extranet.

Art. 32. O tráfego de Internet será filtrado e classificado automaticamente por esta STI, sendo bloqueado qualquer conteúdo em desacordo com esta PSI.

§ 1º É discricionário à Presidência e ao CETI definir os conteúdos que são considerados passíveis de bloqueio, podendo a lista variar sem prévio aviso.

§ 2º Por motivo de segurança a classificação dos sites é revisada automaticamente pelos mecanismos de proteção e a STI, a qualquer momento, poderá bloquear acesso de maneira manual ou através de meios automatizados a qualquer site que possa colocar em risco os interesses do TCE-RJ.

§ 3º Sendo comprovada a imperiosa necessidade de serviço, o acesso poderá ser autorizado pela STI, mediante solicitação por escrito, assinada pelo titular do órgão no qual o usuário está lotado, salvo se o site em pauta contiver conteúdo considerado malicioso ou perigoso à rede interna do TCE-RJ.

Art. 33. Conexões à Internet por meio de linha discada, modem ou qualquer outro dispositivo de acesso não poderão ser adotadas nas estações darede corporativa do TCE-RJ.

Parágrafo único. A detecção de ligações independentes entre a Internet e estações da rede implicará a desconexão imediata da estação de trabalho até a apuração de responsabilidades e providências cabíveis.

Art. 34. O acesso à Internet através da rede corporativa é permitido somente aos usuários previamente autorizados, por meio de login na rede.

Art. 35. É vedado o acesso a sites da Internet de conteúdo não autorizado, tais como os de conteúdo pornográfico, entretenimento, jogos, sites ofensivos aos direitos humanos, comunicação através de salas de bate-papo, chats, bem como recursos do tipo FTP, ICQ e programas de cópia de arquivos, download, ponto a ponto.

Art. 36. A execução de cópia de arquivo via Internet, download, será passível de priorização durante o expediente, de modo a não concorrer com as atividades precípuas do TCE-RJ.

Art. 37. Os acessos à Internet serão constantemente monitorados, sendo registrados a identificação de login de rede, o endereço da máquina do usuário e o site acessado.

Art. 38. O acesso à Internet durante os eventos realizados nas dependências do TCE-RJ poderá ser concedido ao público em geral, mediante solicitação prévia à STI.

§ 1º O acesso se dará exclusivamente por meio da rede wireless, via login e senha padrão, definidos com validade exclusiva para o horário do evento.

§ 2º Por motivos de segurança, os controles aplicados a este acesso serão os mais restritivos possíveis.

§ 3º É de responsabilidade do solicitante do evento informar aos usuários sem login de rede das limitações e diretrizes desta Resolução.

§ 4º Em nenhuma hipótese será concedido acesso à rede corporativa a usuários sem login de rede ou com login de rede genérico.

CAPÍTULO VII

DO USO DO CORREIO ELETRÔNICO CORPORATIVO

Art. 39. A caixa postal de correio eletrônico corporativo, que poderá ser individual ou institucional, será disponibilizada aos usuários cadastrados na rede de computadores ou aos órgãos que previamente realizem solicitação formal do serviço.

Art. 40. As caixas postais de correio eletrônico corporativo são de propriedade do TCE-RJ.

§ 1º É passível a monitoração de todas as mensagens de correio eletrônico, seja quanto aos endereços de destino ou origem, tanto IP quanto endereços de e-mail. Os mesmos poderão ser usados para estabelecer critérios de RECUSA pela STI em caso de fragilidades ou ameaças, ocorridas oususpeitas, na segurança de sistemas ou serviços, com a prévia autorização da administração do TCE-RJ.

§ 2º É vedada a utilização das caixas de correio para fins pessoais oucomerciais. O endereço da caixa de correio, e-mail, não deve ser cadastrado em sites de caráter diverso ao institucional.

§ 3º Eventuais ações de leitura de caixa postal pela administração dosistema podem ocorrer mediante autorização do responsável pela caixa postal ou da Autoridade competente. Não há qualquer invasão de privacidade quanto ao conteúdo da mensagem.

Art. 41. É vedado o envio, a replicação ou o encaminhamento de mensagens, por meio do correio eletrônico corporativo, de conteúdo não relacionado às atividades precípuas do TCE-RJ.

Parágrafo único. Só será permitido o uso do correio eletrônico corporativo para veiculação de campanhas internas, de caráter social, mensagens informativas ou outras que sejam autorizadas pela administração do TCE-RJ.

Art. 42. O encaminhamento de uma mesma mensagem de correio eletrônico para várias caixas postais, simultaneamente, será feito, preferencialmente, através de cópia oculta ou listas de distribuição.

Parágrafo único. O envio de uma mesma mensagem eletrônica para todas as caixas postais da rede corporativa do TCE-RJ deverá ser feito através da DCS, com conteúdo previamente autorizado pela Administração deste Tribunal.

Art. 43. A caixa postal de correio eletrônico é de tamanho limitado para todos os usuários da rede corporativa do TCE-RJ.

§ 1º As caixas postais que excederem o limite estabelecido pela STI receberão mensagens de alerta do administrador de correio e ficarão automaticamente impossibilitadas de enviar e receber mensagens.

§ 2º É de responsabilidade do usuário a manutenção da sua caixa postal, eliminando ou transferindo para pastas particulares as suas mensagens.

Art. 44. O tamanho máximo dos arquivos anexados às caixas postais fica limitado pela STI. A liberação de arquivos recebidos que excedam o limite estabelecido poderá ser autorizada pela STI mediante solicitação por escrito, comprovada a imperiosa necessidade de serviço.

Art. 45. Os arquivos anexados em mensagens recebidas serão bloqueados caso sejam arquivos que potencialmente possam conter código malicioso.

Parágrafo único. Em caso de necessidade de recebimento de mensagens por meio do correio eletrônico com arquivo anexado descrito no caput deste artigo, o usuário deverá solicitar o desbloqueio por escrito. A STI providenciará a verificação do arquivo e seu encaminhamento no caso deinexistência de vírus ou desinfecção realizada com sucesso.

Art. 46. O recebimento de mensagens será filtrado para bloqueio de spam, hoaxes e outros tipos de mensagens indesejáveis.

Parágrafo único. A inserção automática, manual ou adquirida por qualquer meio ou de qualquer endereço eletrônico de usuários do domínio tcerj.tc.br em listas de mala direta e anúncios comerciais, sem prévia autorização de seu usuário, é terminantemente proibida.

Art. 47. Não deverão ser abertas mensagens de remetente ou conteúdo suspeito. Em caso de dúvidas, deverá ser solicitado suporte à STI por meio da abertura de chamado técnico.

Art. 48. É estritamente proibido:

I - enviar ou encaminhar e-mails contendo comentários difamatórios, ofensivos, racistas ou obsceno;

II - replicar ou enviar: spam, "correntes", anedotas, receitas, reclames comerciais, imagens, cartões eletrônicos de congratulações, correntes de ajudade qualquer espécie e campanhas de arrecadação de donativos ou de conteúdosnão relacionados com as atividades do Tribunal;

III - forjar ou tentar forjar mensagens de e-mail ou disfarçar sua identidade quando do envio de e-mail;

IV - enviar ao domínio externo do TCE-RJ informações confidenciais ou sigilosas acerca do trabalho ou atividades desenvolvidas no Tribunal;

V - a utilização de e-mails pessoais ou de domínios externos ao TCE - RJ para fins profissionais.

CAPÍTULO VIII

DO CONTROLE DOS SOFTWARES MALICIOSOS

Art. 49. São considerados softwares maliciosos: vírus, worms (vermes), trojan horses (cavalos de tróia), spywares (programas espiões), programas de invasão, e todos aqueles que possam prejudicar ou danificar os recursos computacionais tornando vulneráveis informações corporativas do TCE-RJ.

Art. 50. É vedado ao usuário remover ou desabilitar softwares de controle e remoção de softwares maliciosos que estejam licenciados para a rede corporativa, bem como instalar quaisquer outros não licenciados para o TCE-RJ.

Art. 51. A STI bloqueará o download, instalação e execução de quaisquer softwares que forem classificados como maliciosos, independentemente de prévia autorização para sua utilização.

CAPÍTULO IX

DO USO DE DISPOSITIVOS MÓVEIS

Art. 52. É vedada a conexão de dispositivos móveis na rede corporativa do TCE - RJ, salvo dispositivos de propriedade do TCE-RJ, notebooks, devidamente registrados no Domínio TCERJ e configurados pela STI.

Art. 53. É de livre utilização a conexão de dispositivos móveis à rede wireless por usuários devidamente autorizados.

§ 1º A rede wireless não tem por finalidade substituir a rede cabeada. A rede wireless atende apenas àqueles que necessitem de mobilidade no acesso à Internet. Casos particulares serão avaliados pela STI.

§ 2º A STI divulgará os métodos disponíveis para conexão na rede wireless, sempre observando os critérios de segurança para o TCE-RJ.

§ 3º É de responsabilidade do usuário a proteção, configuração e utilização de seu dispositivo móvel. A STI não homologará nem dará suporte a nenhum dispositivo que não seja fornecido por este TCE-RJ.

§ 4º Todos os controles de acesso válidos para a Internet continuarão a ser aplicados, ainda que o usuário esteja utilizando seu próprio dispositivo móvel.

Art. 54. Para dispositivos móveis fornecidos pelo TCE-RJ, a verificação de softwares maliciosos e a atualização do antivírus e do sistema operacional deverão ser observadas também fora da rede do TCE-RJ, com o objetivo de evitar o acesso não autorizado e destruição ou divulgação de informações armazenadas nos computadores móveis.

§ 1º Por se tratarem de equipamentos facilmente transportáveis, cuidados especiais deverão ser tomados com o objetivo de evitar a exposição ou furto de informações pertencentes ao TCE-RJ.

§ 2º A cada 06 (seis) meses, o usuário de posse de dispositivos móveis de propriedade deste TCE-RJ deve apresentá-los à STI para fins de atualização e verificação.

§ 3º Em caso de roubo ou furto de equipamentos móveis de propriedade deste TCE-RJ, tais como, notebooks ou modems, o fato deverá ser registrado e dada ciência à STI através da apresentação do documento expedido por autoridade competente.

CAPÍTULO X

DO USO DE IMPRESSORAS

Art. 55. O uso das impressoras se dará somente por usuário com login de rede válido e autorizado.

Art. 56. O uso das impressoras dar-se-á apenas para fins institucionais, sendo vedada a impressão de artefatos pessoais ou diversos aos trabalhos desta Corte.

Parágrafo único. A impressão de artefatos institucionais dar-se-á com parcimônia, devendo-se avaliar a necessidade da impressão colorida, por acarretar aumento de custos.

Art. 57. Todos os documentos impressos serão auditados, sendo que será mantido registro do login de rede, documento, data e hora da impressão.

CAPÍTULO XI

DO CERTIFICADO DIGITAL

Art. 58. O Certificado Digital fornecido pelo TCE-RJ na forma de dispositivo Token, com Certificado Digital ICP-Brasil do tipo A3 (e-CPF), identifica o usuário de forma inequívoca e confere validade jurídica a toda ação realizada, de acordo com as normas da Infraestrutura de chaves públicas brasileiras (ICP-Brasil), criada pela Medida Provisória nº 2.200-2, de 24 de agosto de 2001.

§ 1º O Certificado Digital será fornecido mediante solicitação da chefia imediata, com autorização do órgão da hierarquia superior subordinado diretamente à Presidência, ou da Presidência nos demais casos, indicando a necessidade do uso nas atividades laborais do servidor.

§ 2º O certificado adotado como padrão pelo TCE-RJ tem caráter pessoal, estando vinculado ao CPF de seu titular, e pode ser usado para as finalidades legalmente previstas no âmbito pessoal.

§ 3º O Certificado Digital é pessoal e intransferível, não sendo, em nenhuma hipótese, permitido o seu uso por terceiros que não o titular do mesmo.

§ 4º O uso de Certificado Digital de terceiros poderá implicar na instauração de processo administrativo para apuração, sem prejuízo das responsabilidades penal e civil.

§ 5º A solicitação de Certificado Digital deverá ser feita através de memorando do Titular do órgão para a STI.

Art. 59. O servidor ficará responsável pela adequada guarda e manutenção do dispositivo Token com Certificado Digital ICP-Brasil do tipo A3, (e-CPF), pelo prazo de validade do certificado 03 (três) anos, assim como pelo seu uso adequado, mantendo a confidencialidade das senhas e evitando registrá-las em papel.

Art. 60. A STI manterá registro dos certificados solicitados/emitidos, durante o prazo de validade de cada certificado, pelo prazo de 03 (três) anos a partir da data de emissão individual, para fins de controle.

§ 1º Nos casos de extravio do dispositivo, ou sua inutilização por bloqueio, tal como esquecimento da senha PIN, ou dano físico que impeça sua utilização, para os quais seja necessário solicitar um novo Token com Certificado Digital ICP-Brasil do tipo A3 (e-CPF), antes do término da validade do dispositivo extraviado/inutilizado, a STI fará a baixa do registro anterior quando da solicitação do novo dispositivo para o servidor.

§ 2º Nos casos do

§ 1º, a STI encaminhará relatório discriminando a validade do dispositivo extraviado/inutilizado, assim como a validade do novo dispositivo, para análise da Administração sobre eventual ressarcimento de custos por parte do servidor que deu causa ao extravio/bloqueio.

Art. 61. Fica estabelecido o Termo de Responsabilidade e Devolução,

ANEXO II, para assinatura pelo servidor quando do recebimento ou devolução, conforme o caso, do dispositivo Token com Certificado Digital ICPBrasil do tipo A3 (e-CPF).

CAPÍTULO XII

DO ACESSO REMOTO

Art. 62. O acesso remoto será feito exclusivamente pelas ferramentas homologadas e divulgadas pela STI.

§ 1º O acesso se restringe aos sistemas desta Corte, não sendo possível acesso direto à estação de trabalho do usuário.

§ 2º A solicitação de acesso remoto deverá ser feita à STI pelo titular de cada órgão, observada a disponibilidade do serviço.

Art. 63. A STI não oferecerá suporte a nenhum ativo de rede, estação de trabalho, smartphone, tablet ou similares que não seja fornecido pelo próprioTCE-RJ.

Parágrafo único. A STI não dará garantias de funcionamento do acesso remoto a nenhum sistema operacional que não seja homologado por esta Subsecretaria.

CAPÍTULO XIII

DA SEGURANÇA DA INFRAESTRUTURA DE REDE

Art. 64. Todas as áreas da STI serão consideradas áreas sensíveis, sendo vedado o livre acesso sem a devida permissão.

Art. 65. As áreas da STI que contiverem equipamentos de computação, transmissão, processamento ou armazenamento são consideradas áreas seguras e o acesso é permitido apenas com o acompanhamento de técnicos autorizados pela STI.

§ 1º Incluem-se nas áreas seguras: sala cofre, salas de distribuições dos prédios do TCE-RJ e sites de contingência.

§ 2º Em casos excepcionais o acesso às áreas seguras poderá ser feito com o acompanhamento de funcionários da Diretoria-Geral de Segurança Institucional - DSI, tais como: reparos emergenciais, problemas de ar condicionado, panes elétricas, entre outros.

Art. 66. Aplicam-se também, às áreas seguras, as normas de segurança institucional da DSI.

CAPÍTULO XIV

DO ARMAZENAMENTO

Art. 67. A STI disponibilizará áreas de armazenamento para os arquivos institucionais de cada órgão deste TCE-RJ.

§ 1º A realização de backups, cópias de segurança, dos dadoscontidos nestas áreas de armazenamento, incluindo o Servidor de Arquivos, é deresponsabilidade da STI. Não serão realizados backups de discos locais das estações de trabalho.

§ 2º O ciclo de vida dos backups das áreas de armazenamento será definido em Resolução própria.

§ 3º As áreas de armazenamento serão usadas preferencialmente para manter arquivos importantes, por suas características de inviolabilidade e segurança. Este serviço será disponibilizado aos usuários certificados e credenciados pela STI.

§ 4º Todas as áreas de armazenamento estão sujeitas a filtros de conteúdo. A STI se reserva o direito de preservar seus equipamentos e recursos computacionais mediante RECUSA do armazenamento ou exclusão sumária dearquivos, cujos conteúdos não expressem o interesse do TCE-RJ ou que possam colocar em risco o funcionamento dos sistemas.

Art. 68. As áreas de armazenamento terão tamanho finito, sendo que a STI poderá expandi-las ou criar novas, conforme solicitação do gestor de cada órgão.

§ 1º A STI manterá em seus planos de capacidade a evolução das taxas de crescimento vegetativo das áreas de armazenamento e planejará a aquisição ou reestruturação de tais áreas de acordo com estas taxas.

§ 2º Antes de solicitar aumento de espaço, o órgão verificará se não há arquivos em sua área de armazenamento que não estejam em conformidadecom esta Resolução.

§ 3º O responsável pela área de armazenamento de arquivos deverá periodicamente fazer revisão do conteúdo arquivado, descartando, sempre que possível, material antigo ou desnecessário, a fim de manter espaço em disco disponível e reduzir os custos de arquivamento.

Art. 69. É de responsabilidade do gestor de cada órgão planejar, com antecedência de pelo menos 06 (seis) meses, solicitação de espaço extraordinário.

§ 1º Entende-se por espaço extraordinário qualquer crescimento nãousual no volume de dados que esteja fora da curva de crescimento vegetativo doórgão nos últimos 12 (doze) meses, ou qualquer outro aumento significativo de dados que não possa ser estimado por esta STI.

§ 2º São exemplos de espaço extraordinário:

I - mudança na forma de codificação de mídias eletrônicas de auditoria ou inspeção, fotos e vídeos, que enseje crescimento significativo da área de dados;

II - importação da base de dados de terceiros para análise e avaliação;

III - armazenamento no número de mídias eletrônicas registradas por auditoria ou inspeção;

IV - armazenamento permanente de outra forma de arquivo que não era utilizado previamente.

§ 3º Pedidos por espaço extraordinário serão submetidos à consideração do CETI, para análise e priorização.

§ 4º A falha em informar à STI a necessidade de espaço extraordinário poderá acarretar o não atendimento da demanda devido à falta de recursos de armazenamento.

Art. 70. É vedado armazenar qualquer arquivo de caráter pessoal nas áreas de armazenamento institucional.

Parágrafo único. Arquivos de caráter pessoal podem ser armazenados na estação de trabalho do usuário, contanto que não infrinjam as regras contidas no CAPÍTULO IV da presente Resolução.

Art. 71. É vedado armazenar qualquer arquivo que contenha copyright ou licenciamento do qual o TCE-RJ não tenha adquirido o direito de uso ou licenciamento apropriado.

Parágrafo único. A utilização, por parte de qualquer usuário da rede, de software não autorizado ou não adquirido legalmente, caracteriza infringência à Lei Federal nº 9.609 /98, que dispõe sobre a proteção da propriedade intelectual de programa de computador e sua comercialização no País, bem como ser de total responsabilidade de quem procedeu à instalação ou de quem está ciente da situação.

Art. 72. É vedado instalar e manter nas áreas de armazenamento, arquivos de conteúdo pornográfico, discriminatório, entretenimento, jogos e outros não relacionados às atividades precípuas do TCE-RJ.

Parágrafo único. Observadas quaisquer evidências de que o usuário não está aderindo às regras citadas, a STI se reserva o direito de bloquear o acesso do servidor à área de armazenamento, e o desbloqueio dar-se-á via memorando assinado pelo superior imediato, atestando ciência dos fatos que levaram ao bloqueio.

Art. 73. Não será permitido armazenamento de arquivos institucionais em nuvem, soluções online ou externas ao TCE-RJ que não tenham sido devidamente homologadas e autorizadas pela STI.

§ 1º Os dados públicos poderão ser armazenados em soluções de nuvem não corporativa externa ao TCE-RJ.

§ 2º A classificação de confidencialidade dos dados deste TCE-RJ será realizada por meio de Resolução própria.

CAPÍTULO XV

DA REDE CABEADA E CORPORATIVA

Art. 74. A rede cabeada é constituída por todos os pontos de rede e telefone desta Corte, incluindo toda e qualquer ligação física aos comutadores de borda, seja ela direta ou indireta, sendo a rede cabeada a principal forma deligação à rede corporativa.

Art. 75. Somente poderão ser conectados à rede cabeada dispositivos pertencentes ao Tribunal de Contas, devidamente configurados e homologadospela STI.

Art. 76. É vedada:

I - a instalação ou utilização de qualquer equipamento que interfira de forma direta ou indireta no funcionamento da infraestrutura de rede deste Tribunal, tais como, Servidores de DHCP, DNS, Active Directory, LDAP, entre outros;

II - a fixação, por parte dos usuários, de IP em dispositivos computacionais conectados à rede cabeada;

III - a instalação de Access Points, Hubs, Switches, Modems 4G, ou outros com tecnologia celular, ou de quaisquer outros expansores de acesso à rede, sem consentimento da STI;

IV - a utilização de softwares de captura de pacotes ou análise de tráfego sem a expressa autorização por escrito da STI;

V - a realização de testes de qualquer natureza sem a prévia anuência da STI, tais como testes de carga em sistemas, testes de placa de rede, entre outros.

Art. 77. É proibido desconectar, modificar ou transferir as ligações de wall cord entre as estações de trabalho e os pontos de rede da parede, assim como entre impressoras e os pontos de rede da parede, sem a prévia autorização da STI.

§ 1º Em caso de desconexão acidental do ponto de rede, a STI deve ser informada antes de se realizar sua reconexão.

§ 2º É expressamente proibido conectar dois pontos de rede com um mesmo wall cord, criando o chamado loop de rede. Usuários que incorrerem nesta conduta serão devidamente responsabilizados pelos danos causados.

CAPÍTULO XVI

DO MONITORAMENTO E DA AUDITORIA

Art. 78. Todas as redes do TCE-RJ são constantemente monitoradas e todas as suas ações registradas.

§ 1º O monitoramento se estende à rede wireless, rede externa e ao acesso remoto, ou ao acesso realizado pela estação de trabalho ou dispositivo móvel, mesmo que pessoal, quando conectado a uma das redes deste TCE-RJ.

§ 2º O monitoramento não inclui os dados trafegados entre as estações de trabalho e instituições bancárias ou e-mail pessoal, limitando-se ao registro de login de rede, data e hora deste acesso.

Art. 79. Os registros de navegação têm caráter restrito, sendo fornecidos apenas a pedido da Administração ou em procedimento administrativo formal de auditoria e verificação.

Art. 80. A STI se reserva o direito de inspecionar qualquer estação de trabalho a todo momento em que for verificado comportamento anômalo. Tal medida tem por intuito evitar propagação de softwares maliciosos, tais como vírus worms, entre outros.

CAPÍTULO XVII

DA SEGURANÇA FÍSICA E DOS DEMAIS DOCUMENTOS

Art. 81. A Diretoria-Geral de Segurança Institucional - DSI é responsável pelo controle do acesso físico às dependências do TCE-RJ, pelo credenciamento de usuários e visitantes, e pela proteção de seus ativos com vistas a garantir a regularidade, a normalidade e a continuidade da atividade institucional.

§ 1º A vistoria das áreas de trabalho, restritas ou não, será realizada por servidores da DSI e inclui a verificação do regular funcionamento dos mecanismos de segurança que auxiliam os controles físicos de cada ambiente.

§ 2º É de responsabilidade do gestor de cada órgão deste TCE-RJ zelar pelo controle, integridade e confidencialidade dos meios físicos que armazenam dados e informações, desde a sua obtenção ou produção até seu emprego, manuseio, difusão, arquivamento ou destruição. A DSI deverá ser acionada quando ocorrer qualquer evento adverso, sob suspeita ou confirmado, capaz de comprometer ou ameaçar a segurança, a confidencialidade e a autenticidade de informação de interesse institucional.

§ 3º Na hipótese de ameaças ou ocorrência de incidentes de segurança cabe à DSI estabelecer o grau de criticidade do evento de acordo como Sistema Integrado de Gestão de Riscos do TCE-RJ, bem como formular o plano de gerenciamento de incidentes. A oportunidade, urgência, amplitude e profundidade de medidas e procedimentos de segurança a serem sugeridos constarão do plano de gerenciamento de incidentes.

§ 4º A DSI auxiliará os demais órgãos na conscientização dos servidores em relação às vulnerabilidades decorrentes de determinados comportamentos individuais ou coletivos, mediante campanhas, palestras, treinamentos e outros meios de divulgação.

Art. 82. Para efeito deste Capítulo, considera-se como documento o suporte físico que incorpora todo tipo de dado ou informação de interesse do TCE-RJ.

CAPÍTULO XVIII

DAS SANÇÕES CABÍVEIS

Art. 83. O não cumprimento das determinações da PSI sujeita o infrator às penalidades previstas na legislação e nos regulamentos internos do TCE-RJ.

Art. 84. O descumprimento das disposições constantes nesta Política e nas Normas Complementares sobre segurança da informação caracteriza infração funcional, a ser apurada pela Corregedoria e/ou mediante processo administrativo disciplinar, sem prejuízo das responsabilidades penal e civil.

Art. 85. O usuário que fizer uso de forma indevida ou não autorizada dos recursos de tecnologia da informação, bem como agir em desacordo com os termos dessa política, fica sujeito à aplicação das penalidades previstas no Estatuto dos Servidores Públicos Civis do Estado do Rio de Janeiro e nalegislação pertinente.

CAPÍTULO XIX

DISPOSIÇÕES FINAIS

Art. 86. Os usuários notificarão seus superiores ou a STI sobre quaisquer fragilidades ou ameaças, ocorridas ou suspeitas, na segurança dos sistemas, serviços ou informações, mesmo que estes não estejam diretamente sob sua responsabilidade, não devendo, sob nenhuma hipótese, ser realizada a averiguação de fragilidade por conta própria.

Art. 87. Os casos de desrespeito às normas estabelecidas nesta Resolução serão encaminhados pela STI ou DSI, se for o caso, à Secretaria Geral de Administração - SGA para adoção das providências cabíveis, nos termos da legislação vigente.

Parágrafo único. Todos os limites e políticas referidos neste regulamento ficarão disponíveis na intranet e serão passíveis de atualização, devendo ser consultados periodicamente ou sempre que houver dúvida quanto à sua aplicação.

Art. 88. Os casos omissos e as dúvidas surgidas na aplicação dessa política serão submetidos ao CETI ou ao Gabinete da Presidência do TCE-RJ, no que couber.

ANEXO II

Da Resolução TCE - RJ nº 395, de 16 de fevereiro de 2022

Termo de Responsabilidade

Pelo presente termo de responsabilidade, eu, matrícula, recebo nesta data 01 (um) Token com Certificado Digital ICP-Brasil tipo A3 (e-CPF) para o exercício das atividades laborativas cotidianas, e comprometo-me com a adequada guarda e manutenção dos dispositivos a mim disponibilizados, pelo prazo de validade do certificado (3 anos), sob pena de sujeitar-me ao ressarcimento dos custos de fornecimento de um novo dispositovo Token com Certificação Digital ICP-Brasil tipo A3 (e­CPF) nos casos de extravio (perda) do dispositivo, ou inutilização do mesmo por bloqueio (esquecimento da senha PIN) ou quebra (dano físico que impeça o uso).

Declaro estar ciente de que devo manter a confidencialidade das senhas, não compartilhando com terceiros, mesmo que servidores lotados na mesma unidade de trabalho, sob qualquer pretexto, e também evitar registrar as senhas em papel.

A inobservância ao disposto neste Termo ensejará a abertura de sindicância ou a instauração de processo administrativo disciplinar, conforme disposto no Estatuto dos Servidores Públicos Civis do Estado do Rio de Janeiro e na legislação pertinente, sem prejuízo de eventual apuração cível e/ou penal cabíveis.

Rio de Janeiro, Assinatura do Servidor que recebeu o Token Termo de Devolução

Pelo presente termo de responsabilidade, eu, matrícula, entrego nesta data 01 (um) Token com Certificado Digital ICP-Brasil do tipo A3 (e-CPF), que foi formatado na minha presença,, para o(a) servidor(a), matrícula, lotado na estrutura da Subsecretaria de Tecnologia da Informação - STI.

Rio de Janeiro, Assinatura do Servidor que está devolvendo o Token. Visto - Servidor da STI

Download do documento

Atos que alteram, regulamentam ou revogam esta Resolução:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esta Resolução:

Resolução nº 336/2019 de 03/04/2019 - Norma em vigor