Instrução Normativa nº 14/2014

INSTRUÇÃO NORMATIVA Nº 14/2014

Dispõe sobre a política de uso e controle de acesso aos recursos computacionais, critérios para utilização dos dados e informações geradas, tratadas e mantidas através dos recursos de informática, do correio eletrônico, bem como do acesso à rede mundial de computadores, Internet, no âmbito do Tribunal de Contas e dá outras providências.

O PRESIDENTE DO TRIBUNAL DE CONTAS DO ESTADO DO RIO GRANDE DO SUL, no uso das atribuições contidas no artigo 14, inciso XX, do Regimento Interno, aprovado pela Resolução nº 544 , de 21 de junho de 2000;

considerando o disposto na Resolução nº 989 , de 7 de agosto de 2013, que dispõe sobre a Política de Segurança da Informação do Tribunal de Contas do Estado do Rio Grande do Sul;

considerando a necessidade de estabelecer normas que garantam a segurança das informações geradas, tratadas e mantidas através de recursos de informática; e considerando, ainda, o contido no Processo nº 006073-0200/14-4, DETERMINA:

Art. 1º Esta Instrução Normativa estabelece normas de segurança para acesso, utilização e proteção dos recursos computacionais e das informações a partir deles geradas, tratadas e mantidas, integrando a Política de Segurança da Informação do Tribunal de Contas do Estado do Rio Grande do Sul - TCE-RS.

Parágrafo único. A proteção dos recursos computacionais inclui desde aplicativos e arquivos de dados (bases de dados, arquivos ou transações de bancos de dados) até utilitários (como editores, compiladores, softwares de manutenção e diagnóstico) e o próprio sistema operacional.

Art. 2º O acesso à informação gerada, mantida ou tratada pelo TCE-RS, compreendidos, dentre outros dados, os relatórios e informações expedidos pela Área Técnica, não garante direitos sobre a mesma, nem autoridade para liberar o acesso a outras pessoas.

Parágrafo único. Ressalvadas as hipóteses de acesso devidamente autorizado, fica vedada a divulgação de quaisquer dados ou informações obtidos por meio dos recursos computacionais disponibilizados pelo TCE-RS.

Art. 3º A solicitação de cadastramento ou de senhas para acesso aos recursos computacionais deverá ser efetuada pela chefia imediata do interessado, no caso de servidor do TCE-RS, ou responsável, no caso de usuário externo ou colaborador, mediante formulário próprio disponível na Intranet, observando-se o seguinte:

I - as permissões serão definidas de acordo com a necessidade de trabalho, observadas as atribuições de cada usuário, devendo o acesso ser liberado apenas aos sistemas, transações e recursos necessários para a consecução dessas tarefas; e

II - será de estrita responsabilidade da chefia imediata de cada unidade informar o ingresso ou a saída dos servidores cadastrados nos recursos computacionais, de modo que se faça a perfeita adequação de privilégios e segurança referentes ao uso e/ou acesso.

§ 1º O direito de acesso, através de senha, a qualquer recurso computacional é pessoal e intransferível, devendo o servidor proceder com o devido cuidado na guarda e utilização da mesma.

§ 2º A fim de evitar o acesso por terceiros, os usuários e os responsáveis pela gestão da segurança dos sistemas informatizados devem manter suas senhas de acesso secretas, bem como encerrar a sessão através de logoff, bloquear o acesso aos sistemas ou desligar o computador sempre que houver afastamento físico, ainda que temporário, do equipamento operado.

§ 3º A senha deverá atender aos seguintes requisitos:

I - ter no mínimo seis caracteres;

II - conter pelo menos três dos quatro seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, números ou caracteres especiais (!, @, #, $, %,=, +, ...);

III - não deve ser o próprio nome do usuário ou partes dele, ou a matrícula;

IV - não deve ser registrada em papel; e

V - a senha deve também evitar:

a) nome de membros da família do usuário ou de amigos;

b) nomes de pessoas ou lugares em geral;

c) nome do sistema operacional ou da máquina que está sendo utilizada;

d) nomes próprios;

e) datas;

f) números de telefone, de cartão de crédito, de carteira de identidade ou de outros documentos pessoais;

g) placas ou marcas de carros;

h) letras seguidas do teclado do computador (ASDFG, YUIOP); ou

i) objetos ou locais que podem ser vistos a partir da mesa do usuário (nome de um livro na estante, nome de uma loja vista pela janela).

§ 4º A senha deverá ser trocada periodicamente, ou sempre que existir risco de comprometimento de sua confidencialidade.

§ 5º A cada cento e oitenta dias, o sistema solicitará a troca da senha, com emissão de alertas diários prévios, evitando a repetição de senhas já utilizadas.

Art. 4º A exploração de falhas ou vulnerabilidades porventura existentes nos recursos computacionais, em especial quando ocasionar evento danoso, será alvo de apuração pela Supervisão de Informática.

Parágrafo único. As constatações ou proposições da Supervisão de Informática acerca da apuração de que trata o caput deste artigo serão registradas em relatório conclusivo, o qual será submetido à deliberação da Coordenação-Geral.

Art. 5º É de responsabilidade de todos os usuários utilizar os recursos computacionais, inclusive o correio eletrônico e o acesso à Internet, zelando pela integridade, confidencialidade e disponibilidade dos dados, informações e sistemas a que tiver acesso.

§ 1º O acesso aos recursos de que trata o caput deste artigo ficará condicionado à aceitação de termo de responsabilidade, conforme modelo anexo, que será disponibilizado de forma automática na Intranet a cada trezentos e sessenta e cinco dias.

§ 2º A não concordância com o termo de responsabilidade de que trata o

§ 1º deste artigo implicará bloqueio de acesso à rede de computadores do TCE-RS.

§ 3º O acesso a sites na Internet não bloqueados pelo TCE-RS será de responsabilidade única do usuário.

§ 4º A chefia imediata ou o responsável, no caso de usuário externo ou colaborador, em caso de dúvida sobre a necessidade dos acessos à Internet feitos pelo usuário, poderá solicitar à Direção Administrativa, mediante proposição escrita e fundamentada, o fornecimento de arquivos de log dos respectivos acessos.

§ 5º A solicitação de acesso a recursos bloqueados pela Supervisão de Informática deverá ser encaminhada, pela chefia imediata ou pelo responsável, no caso de usuário externo ou colaborador, ao Serviço de Rede e Logística de Informática, através de workflow, contendo, na justificativa, o rol de tarefas a serem executadas e a necessidade do pedido.

§ 6º Será de responsabilidade da chefia imediata ou do responsável, no caso de usuário externo ou colaborador, a solicitação de revogação, ao Serviço de Rede e Logística de Informática, do acesso obtido sempre que esse se tornar desnecessário.

§ 7º Os arquivos de log, para fins de rastreabilidade, serão utilizados para registrar as ações dos usuários e conterão informações acerca de quem acessou os recursos computacionais, quais foram os sites, aplicativos ou arquivos de dados utilizados, quando foi feito o acesso e que tipo de operações foram realizadas.

§ 8º Sempre que o usuário tiver acesso, por meio da Internet, a material ilegal, deverá, tendo conhecimento da ilegalidade, levar tal circunstância ao conhecimento da Supervisão de Informática, a fim de que sejam adotadas as providências cabíveis.

§ 9º A fim de assegurar a integridade e a disponibilidade das informações, nos termos do caput deste artigo, os usuários deverão manter os dados críticos do TCE-RS nos servidores de rede ou, conforme o caso, nos sistemas corporativos.

Art. 6º A chefia imediata de cada unidade, ou o responsável, no caso de usuário externo ou colaborador, para o atendimento do disposto no artigo 5º desta Instrução Normativa, deverá adotar os seguintes procedimentos:

I - iniciar ação preventiva e corretiva em caso de desvios com relação às normas desta Instrução Normativa, bem como sugerir procedimentos de utilização e segurança, dentro da sua área, à Supervisão de Informática; e

II - levar ao conhecimento da Direção Administrativa, por escrito, a constatação, na forma do artigo 5º,

§ 4º, do uso indevido do acesso à Internet, bem como a suspeita de uso indevido dos demais recursos computacionais, em especial do correio eletrônico, para a adoção das providências cabíveis e apuração de responsabilidades, podendo ser requisitada a suspensão imediata do serviço disponibilizado ao usuário.

Art. 7º Fica garantido o sigilo de conteúdo no envio e recebimento de e-mails, os quais terão livre destinação, como ferramenta de comunicação, no âmbito deste TCE-RS e para terceiros.

§ 1º Serão utilizadas ferramentas automáticas de proteção de e-mail nos casos de spam-mail, listas de distribuição ou mensagens que contenham anexos ou padrões de rastreamento de conteúdo indevido catalogados pelo TCE-RS.

§ 2º O envio e o recebimento de arquivos contendo imagens, vídeos e animações pelo sistema de correio eletrônico deverão restringir-se às atividades de interesse do TCE-RS.

§ 3º O usuário que receber e-mail originado de fonte externa ao TCE-RS contendo arquivo anexado não vinculado às suas atividades deverá providenciar a exclusão da mensagem, a fim de não sobrecarregar o sistema de armazenamento mantido pela Supervisão de Informática.

§ 4º Ficam vedados:

I - o envio de mensagens não autorizadas divulgando informações sigilosas e/ou de propriedade do TCE-RS, bem como o envio, armazenamento e manuseio de material que contrarie o disposto na presente Instrução Normativa; e

II - o envio, armazenamento e manuseio de material que caracterize a divulgação, incentivo ou prática de atos ilícitos, lesivos aos direitos ou interesses do TCE-RS ou de terceiros, ou que, de qualquer forma, possam danificar, inutilizar, sobrecarregar ou deteriorar os recursos tecnológicos (hardware e software), bem como os documentos e arquivos de qualquer tipo, do usuário ou de terceiros.

Art. 8º Nos casos de suspeita de mau uso dos recursos computacionais, em especial do correio eletrônico, a Direção Administrativa, de ofício ou provocada na forma dos Arts 5º,

§ 4º, e 6º, inciso II, da presente Instrução Normativa, poderá requerer à Coordenação-Geral que determine à Supervisão de Informática a liberação do acesso ao conteúdo da caixa postal do usuário ou às demais informações por ele acessadas, geradas, tratadas ou mantidas.

§ 1º A Comissão de Ética e as Comissões de Sindicância e Disciplinares poderão formular à Coordenação-Geral requerimento na forma do caput deste artigo quando tal providência se revelar necessária às investigações que estejam sob a sua condução.

§ 2º A determinação para liberação do acesso de que trata o caput deste artigo será feita por escrito e devidamente fundamentada.

§ 3º O usuário será cientificado da liberação do acesso após a verificação do conteúdo de sua caixa postal ou das demais informações por ele geradas, tratadas ou mantidas.

§ 4º No caso de confirmação de mau uso dos recursos computacionais, a Direção Administrativa, a Comissão de Ética ou as Comissões de Sindicância adotarão as providências cabíveis, assegurando ao usuário, no correspondente processo administrativo, o exercício do contraditório e da ampla defesa.

Art. 9º Com a finalidade de manter-se íntegra a rede local de computadores, bem como as estações locais de trabalho, os usuários deverão observar as seguintes orientações:

I - os dispositivos portáteis de armazenamento e transporte de arquivos somente poderão ser utilizados após a verificação por antivírus disponibilizado pela Supervisão de Informática; e

II - não é permitida a realização de conexões Dial-Up ou Banda Larga a partir de computadores conectados à rede do TCE-RS.

Art. 10 Sempre que houver necessidade de instalação ou desinstalação de programas, inclusive de antivírus, nos computadores de propriedade do TCE-RS, ou de modificação das configurações predefinidas de rede, deverá o usuário formular a solicitação à Supervisão de Informática por meio de workflow, sendo-lhe vedado fazê-lo por iniciativa própria.

Parágrafo único. Excetuam-se da regra do caput deste artigo as alterações de configuração necessárias para o acesso a redes externas quando o usuário estiver exercendo as suas atividades fora das dependências do TCE-RS.

Art. 11 Os usuários poderão conectar computadores ou outros equipamentos portáteis e pessoais à Internet utilizando a rede pública do TCE-RS mediante uso de senha disponibilizada na Intranet.

Parágrafo único. Cabe à Supervisão de Informática controlar e monitorar todo acesso à Internet através da rede do TCE-RS.

Art. 12 Em caso de dúvida quanto ao cumprimento das determinações desta Instrução Normativa, o usuário deverá solicitar orientação junto à Supervisão de Informática.

Art. 13 O descumprimento das disposições desta Instrução Normativa poderá caracterizar infração de natureza funcional, a ser apurada na forma da legislação própria, sem prejuízo da eventual responsabilização civil e penal.

Art. 14 Os casos omissos que não se resolvam à luz da presente Instrução Normativa serão examinados pela Coordenação-Geral e submetidos à deliberação do Presidente do Tribunal de Contas do Estado.

Art. 15 A fim de que haja amplo entendimento e divulgação quanto às determinações desta Instrução Normativa, a Escola Superior de Gestão e Controle Francisco Juruena, com o apoio da Supervisão de Informática e da Assessoria de Comunicação Social, procederá à realização de cursos, treinamentos, seminários ou outras formas de comunicação, objetivando orientar o correto uso dos recursos de informática disponibilizados.

Art. 16 A presente Instrução Normativa entra em vigor na data de sua publicação.

Art. 17 Revoga-se a Instrução Normativa nº 2 , de 24 de janeiro de 2014.

GABINETE DA PRESIDÊNCIA, em 4 de setembro de 2014.

Conselheiro Cezar Miola,

Presidente.

JUSTIFICATIVA

A presente Instrução Normativa visa a regulamentar a proteção das informações e dos sistemas informatizados do Tribunal de Contas do Estado, além de preservar os meios de acesso disponibilizados.

TERMO DE RESPONSABILIDADE DO USUÁRIO DE RECURSOS DE TECNOLOGIA DA INFORMAÇÃO

Declaro estar ciente das normas que disciplinam a utilização de soluções e recursos de Tecnologia da Informação (TI) disponíveis no âmbito do Tribunal de Contas do Estado - TCE-RS, nos termos definidos na Instrução Normativa nº 14/2014, e de que:

a) os recursos computacionais, inclusive o correio eletrônico e o acesso à Internet, deverão ser utilizados de modo a zelar pela integridade, confidencialidade e disponibilidade dos dados, informações e sistemas do TCE-RS;

b) devo garantir a proteção e o sigilo das senhas pessoais e intransferíveis vinculadas ao meu código de usuário, destinadas ao acesso aos recursos e às soluções disponibilizadas, assumindo a responsabilidade por todas as transações efetuadas sob esse código de identificação;

c) as informações a que tiver acesso poderão ser utilizadas nos processos de fiscalização, não devendo ser divulgadas a terceiros sem expressa autorização do TCE-RS, em especial quando forem oriundas de acordos, convênios, termos de cooperação ou instrumentos congêneres firmados com órgãos ou entidades públicas, ou provenientes de decisão judicial ou administrativa;

d) devo cumprir as normas de utilização dos recursos e soluções disponibilizadas e respeitar a legislação aplicável à matéria, inclusive nos casos em que o acesso seja realizado a partir de equipamentos e canais de comunicação não pertencentes ao TCE-RS;

e) devo notificar a Supervisão de Informática e o responsável pela unidade onde exerço atividades sobre qualquer suspeita ou ameaça que venha a detectar e que implique o comprometimento de minha senha, bem como do sigilo e da integridade das informações armazenadas nas soluções disponibilizadas no TCE-RS; e

f) o TCE-RS poderá introduzir modificações nas normas e regras que disciplinam a utilização de soluções de TI, divulgando-as aos usuários por meio de comunicação escrita ou eletrônica, sendo tais modificações consideradas aceitas automaticamente quando de meu subsequente acesso a tais soluções.

Assinatura do servidor

Visualizar arquivo original

Atos que alteram, regulamentam ou revogam esta Instrução Normativa:

Nenhum Ato.

Atos que são citados, alterados, regulamentados ou revogados por esta Instrução Normativa:

Resolução nº 544/2000 de 21/06/2000 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 9140 AND idambito = 4 LIMIT 1

Instrução Normativa nº 2/2014 de 24/01/2014 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 9645 AND idambito = 4 LIMIT 1

Resolução nº 989/2013 de 07/08/2013 - Norma em vigor