POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

31 de Julho de 2024

Pref. Nobres

FUNDO MUNICIPAL DE PREVIDÊNCIA SOCIAL DOS SERVIDORES PÚBLICOS MUNICIPAIS DE NOBRES/MT

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

2024

GLOSSÁRIO

Active Directory: Serviço de diretório do Windows que permite o controle de autenticação de usuários de forma integrada. Dentre outras funções, gerencia os logins, senhas e grupos.

Ameaça: é um evento ou atitude indesejável que potencialmente remove, desabilita ou destrói um recurso. As ameaças normalmente aproveitam das falhas de segurança da organização. Possibilidade de um agente (ou fonte de ameaça) explorar acidentalmente ou propositalmente uma vulnerabilidade especifica.

Anti-malwares: ferramentas de bloqueio de conteúdo indesejado (como códigos maliciosos – malwares, programas de propaganda indesejada – adwares, programas de coleta de dados – spywares, etc.), podendo agir apenas em alguns tipos específicos de malwares, como os antivírus, por exemplo.

Login: identificação de usuário dentro do sistema. Deve ser único para cada usuário do sistema.

Servers: “servidores” – equipamentos de informática que disponibilizam serviços pela rede. Foi utilizado o termo servers para não haver confusão com o termo “servidor”, o qual se refere aos servidores públicos.

Terminais de Acesso: equipamentos com capacidade de se conectar à rede através do protocolo TCP/IP (computadores, impressoras, switches, etc.).

Tokens de Acesso: equipamento utilizado para armazenar a chave privada do usuário, certificado privado do usuário que realiza a assinatura digital, visando a autenticação de um usuário no sistema.

Vazamento: termo utilizado para indicar que uma determinada informação de conteúdo sigiloso teve seu sigilo violado.

Metadados: informações a respeito dos dados. No caso de sistemas de arquivos, informações a respeito de cada arquivo que o sistema operacional armazenas (usuário criador, data da modificação, etc.).

Sumário

1 - OBJETIVO.. 4

2 - DIRETRIZES DE SEGURANÇA DA INFORMAÇÃO.. 4

2.1 - Classificação da Informação. 4

2.2 - Proteção da Informação. 5

2.3 - Privacidade da Informação. 6

3 - ACESSO A INTERNET. 7

3.1 - Disponibilização de acesso. 7

3.2 - E-mail Institucional 8

3.3 - Bloqueios e Limitações de Acesso: 9

4 - USO DOS EQUIPAMENTOS DE INFORMÁTICA.. 10

4.1 - Uso de Software: 11

4.2 - Uso de Notebooks do PREVINOBRES: 11

5 - CONTROLE DE ACESSO LÓGICO.. 12

5.1 - Uso de Senhas e tokens de acesso individuais: 12

5.2 - Acesso ao Server: 13

5.3 - Acesso ao Sistema: 13

6 - DO USO GERAL DA INFORMAÇÃO.. 14

7 - AUDITORIA.. 14

8 - ANEXO I 15

1 - OBJETIVO

O Fundo Municipal de Previdência Social dos Servidores do Município de Nobres/MT – PREVI-NOBRES, com o escopo de proteger as informações de sua propriedade ou sob sua custódia, devendo este ser observado por todos os seus servidores, segurados, estagiários e prestadores de serviços, emana o presente documento.

Seu propósito é formalizar o direcionamento estratégico acerca da gestão de segurança da informação na Instituição, estabelecendo as diretrizes a serem seguidas para a implantação e manutenção.

Compete a todos dentro do PREVI-NOBRES considerar a informação como sendo um bem da organização, um dos recursos críticos para a realização do negócio, que possui grande valor para a Instituição e deve sempre ser tratada de forma profissional e com cuidado.

2 - DIRETRIZES DE SEGURANÇA DA INFORMAÇÃO

Serão apresentadas as diretrizes da Política de Segurança da Informação do PREVI-NOBRES que constituem os principais pilares do sistema de segurança do Fundo, norteando a elaboração das normas e procedimentos.

2.1 - Classificação da Informação

A classificação das informações consiste na definição de níveis de proteção que cada dado deve receber. Faz-se necessária a classificação de toda a informação de propriedade do Fundo, de maneira proporcional ao seu valor para o PREVI-NOBRES, possibilitando o controle adequado da mesma, sendo utilizado os seguintes níveis de classificação:

a) Pública: são dados que não necessitam de proteção sofisticada contra vazamentos, pois podem ser de conhecimento público. Informação do próprio PREVI-NOBRES ou de seus segurados com linguagem e formato dedicado à divulgação, sendo seu caráter informativo, além do cumprimento de legislação vigente que exija publicidade. Vale lembrar dos dois pilares: a disponibilidade e a integridade; b) Interna: representa um baixo nível de confidencialidade. Informação da qual o PREVI-NOBRES não possui interesse em sua divulgação, sendo evitado o acesso externo. No caso de acesso indevido, este ato não causará grandes prejuízos. A preocupação neste nível está relacionada principalmente à integridade da informação; c) Confidencial: é o nível mais alto de segurança. Informação crítica para os servidores do PREVI-NOBRES, bem como para seus segurados. A divulgação não autorizada dessas informações pode causar impactos de ordem financeira, de imagem, operacional ou, ainda, sanções administrativas, civis e criminais aos responsáveis pelo ato. Será restrita a um grupo de pessoas, podendo ser composto por servidores, segurados e/ou fornecedores; d) Informação restrita: é o nível médio de confidencialidade. São informações estratégicas que devem estar disponíveis apenas para grupos restritos de colaboradores. Informações competentes somente por usuários da organização explicitamente indicado pela Diretoria.

2.2 - Proteção da Informação

Define-se como necessária a proteção das informações da instituição, sendo que:

a) Os servidores devem assumir uma postura proativa ao que tange a proteção das informações relacionadas ao PREVI-NOBRES, assim como devem estar atentos às ameaças externas; b) Não expor assuntos confidenciais; c) Não transportar informações por meio físico sem a devida proteção; d) Senhas, chaves e outros recursos de caráter pessoa são considerados intransferíveis e não podem ser compartilhados e divulgados; e) Documentos impressos e arquivos contendo informações confidenciais devem ser armazenados e protegidos. O descarte deste deve ser feito na forma da legislação pertinente; f) Todos os dados considerados como imprescindíveis aos objetivos do PREVI-NOBRES devem ser protegidos através de rotinas sistemáticas e documentadas de cópia de segurança.

2.3 - Privacidade da Informação

Imperioso é a proteção da privacidade das informações pertencentes aos segurados e ao PREVI-NOBRES, as quais são manipuladas ou armazenadas pelo próprio fundo, tendo este o controle administrativo, físico, lógico e legal.

As diretivas elencadas abaixo refletem os valores institucionais do PREVI-NOBRES e reafirmam o seu compromisso com a melhoria contínua desse processo:

a) O PREVI-NOBRES segue normas éticas em todas suas ações; b) Toda e qualquer informação é coletada de forma ética e legal, tendo conhecimento e anuência do segurado para propósitos específicos e devidamente informados; c) O acesso às informações é realizado por pessoas autorizadas e capacitadas para o devido uso; d) Quando necessário, as informações podem ser disponibilizadas a empresas contratadas para prestação de serviços, sendo exigido de tais organizações o cumprimento de nossas políticas e diretivas de segurança e privacidade dos dados; e) Informações dadas a terceiros só ocorrem mediante autorização prévia da Diretoria Executiva ou em atendimento à exigência legal; f) As informações e dados constantes de nossos cadastros, bem como outras solicitações que venham garantir direitos legais só serão fornecidos aos próprios interessados, mediante solicitação formal, seguindo os requisitos legais vigentes.

3 - ACESSO A INTERNET

3.1 - Disponibilização de acesso

O acesso à internet pela rede do PREVI-NOBRES será disponibilizado em todos os terminais de acesso do PREVI-NOBRES.

A utilização será autorizada para os usuários que necessitarem da mesma para o desempenho das suas atividades profissionais. Insta salientar que sites que não contenham informações que agreguem conhecimento profissional e/ou para o Fundo, não devem ser acessados.

Os usuários devem assegurar de que não estão executando ações que possam infringir direitos autorais, marcas, licença de uso ou patentes de terceiros.

A disponibilidade da senha para uso da rede sem fio somente poderá ser feita mediante assinatura do Termo de Responsabilidade de Uso dos Ativos de Informática (Anexo I).

A senha para uso da rede sem fio do PREVI-NOBRES não poderá ser repassada a terceiros e, quando ficar salva no equipamento do usuário, será de responsabilidade do usuário que ela não possa ser utilizada por terceiros no equipamento.

No caso de vazamento (ou suspeita de) da senha, o servidor deve comunicar imediatamente a Diretoria, para que este venha tomar as medidas cabíveis.

Será permitido o uso do acesso à internet disponibilizada pelo PREVI-NOBRES para uso com fins particulares pelos agentes públicos do Fundo nas seguintes condições, cumulativamente:

a) Seja utilizado para acessar a Internet Bank e a sites cujo conteúdo proporcionem desenvolvimento pessoal aos agentes públicos; b) O tempo de acesso e conteúdo acessado não interfiram no cumprimento das funções do servidor; c) O acesso não interfiro no bom funcionamento da rede e dos sistemas do Fundo; d) Não seja contabilizado para justificar a necessidade de aumento da capacidade de acesso; e) Todas as conexões feitas e conteúdos transmitidos estão sujeitos à monitoração e auditoria, mesmo que para isso particular e de conteúdo privado; f) O acesso não coloque em risco a segurança da rede e dos sistemas do PREVI-NOBRES; g) O acesso poderá ser bloqueado a qualquer momento devido a critérios técnicos ou requerimento de qualquer dos membros da Diretoria Executiva do Fundo, sem que o PREVI-NOBRES seja responsabilizado por qualquer perda ou dano decorrente do bloqueio do acesso; h) O PREVI-NOBRES não será responsabilizado por qualquer perda ou dano decorrente de alguma falha na segurança durante o acesso (exemplo: o usuário ter sua senha de banco capturada por um malware que eventualmente esteja sendo executado no terminal de acesso utilizado, sendo este do Fundo ou de terceiros).

É proibido o uso do acesso à internet para visualização, transferência (downloads), cópia ou qualquer outro tipo de acesso a sites:

De conteúdo pornográfico ou relacionado a sexo; Que defendam atividade ilegais; Que menosprezem, depreciem ou incitem o preconceito; Que possibilitem a distribuição de informações de nível confidencial; Que permitam a transferência (downloads) de arquivos e/ou programas ilegais.

3.2 - E-mail Institucional

O e-mail institucional é uma ferramenta disponibilizada pelo PREVI-NOBRES aos seus agentes públicos e, por ser considerado como um ativo do Fundo, o mesmo não deve ser utilizado para fins particulares.

Todo e-mail enviado deve conter a identificação do agente público, bem como seu cargo e/ou função.

As mensagens devem ser escritas em linguagem profissional, de forma ética e respeitosa, não comprometendo, em hipótese alguma, a imagem do PREVI-NOBRES. Estas devem respeitar as legislações vigentes.

Todo arquivo relevante e de importância ao Fundo que for enviado ou recebido por e-mail deve ser salvo no compartilhamento de dados (RPPS), bem como informado o setor responsável.

É terminantemente proibido o envio de mensagens que:

Contenham declarações difamatórias e linguagem ofensiva; Possam trazer prejuízo a outras pessoas; Sejam hostis; Sejam relativas a “correntes”, de conteúdos pornográficos ou equivalentes; Possam prejudicar a imagem da Autarquia; Possam prejudicar a imagem de outras empresas e/ou pessoas físicas; Sejam incoerentes com a política adotada pelo PREVI-NOBRES.

Quando do desligamento do agente público do Fundo, o conteúdo de sua caixa postal ficará arquivado no PREVI-NOBRES por período não inferior a 05 (cinco) anos.

Quanto à disponibilização dos e-mails institucionais, esta liberação do acesso à caixa postal deve ser feita mediante assinatura do Termo de Responsabilidade de Uso dos Ativos de Informática (Anexo I).

3.3 - Bloqueios e Limitações de Acesso:

As estações de trabalho e server do PREVI-NOBRES possuem programas anti-malware, que não devem ser desabilitados sem prévia autorização da Diretoria mediante justificativa. O acesso a conteúdo bloqueados por tal ferramenta pode ser liberado para situações específicas através de requerimento e análise prévia da Diretoria Executiva.

A Diretoria Executiva poderá efetuar bloqueios ou limitações de acesso com a finalidade de assegurar o bom funcionamento da infraestrutura de rede e sistemas nos seguintes casos:

Emergencialmente, quando da detecção de alguma anomalia no funcionamento de algum equipamento, suspeita de invasão ou suspeita de malware sendo executado no terminal de acesso em situações normais, mediante necessidade.

4 - USO DOS EQUIPAMENTOS DE INFORMÁTICA

As estações de trabalho disponibilizadas pelo Fundo aos seus agentes públicos são ferramentas destinadas ao exercício de suas atividades, não podendo, portanto, serem utilizadas para fins particulares.

Será permitido o uso das estações de trabalho para fins particulares pelos agentes públicos do PREVI-NOBRES nas seguintes condições:

Para acesso à Internet Bank e a sites cujo conteúdo proporcionem desenvolvimento pessoal aos agentes públicos; O tempo de uso não interfira no cumprimento das funções do agente público; O uso não cause danos ao bom funcionamento, nem coloque em risco os equipamentos e os sistemas do Fundo; Os arquivos particulares sejam armazenados apenas na estação de trabalho de uso do agente e não comprometa o espaço de armazenamento necessário ao bom funcionamento da estação; Não seja contabilizado para justificar a necessidade de aumento da capacidade da estação de trabalho; Os arquivos pessoais armazenados estão sujeitos à monitoração e auditoria, mesmo que para uso particular e de conteúdo privado; Os programas utilizados poderão ser bloqueados e/ou desinstalados a qualquer momento devido a critérios técnicos ou requerimento de qualquer um dos membros da Diretoria Executiva do PREVI-NOBRES, sem que o Fundo seja responsabilizado por qualquer perda ou dano decorrente disso; Os arquivos particulares poderão ser excluídos das estações sem qualquer aviso prévio, não sendo de responsabilidade do PREVI-NOBRES manter cópias de segurança dos arquivos particulares; O Fundo não será responsabilizado por qualquer perda ou dano ao agente público ou a terceiros em decorrência deste uso por alguma falha dos equipamentos, sistemas ou na segurança de dados; A responsabilidade pelas ações durante o uso é da pessoa do agente público.

4.1 - Uso de Software:

Além da legislação aplicável ao uso de software, se aplicam as seguintes diretrizes:

a) A instalação de softwares nos equipamentos deve ser feita mediante autorização da Diretoria; b) A execução de softwares que não necessitem de instalação e não sejam executados diretamente dentro do navegador de internet deve, também, ser aprovada pela Diretoria; c) A execução de softwares diretamente do navegador de internet, através do uso de javascript ou recurso equivalente, é de responsabilidade do usuário, exceto para os sistemas governamentais e sistemas contratados pelo PREVI-NOBRES, devendo qualquer comportamento suspeito detectado pelo usuário ser reportado a Diretoria do Fundo.

4.2 - Uso de Notebooks do PREVI-NOBRES:

Os servidores que tiverem direito ao uso de computadores (notebook), ou qualquer outro equipamento computacional, de propriedade do Fundo, devem estar cientes de que:

a) Os recursos de tecnologia da informação, disponibilizados para os usuários, têm como objetivo a realização de atividades profissionais; b) A proteção do recurso computacional de uso individual é de responsabilidade do próprio usuário; c) É de responsabilidade de cada usuário assegurar a integridade do equipamento, a confidencialidade e disponibilidade da informação contida no mesmo; d) O usuário não deve alterar a configuração do equipamento recebido.

Alguns cuidados que devem ser observados fora do trabalho:

a) Mantenha o equipamento sempre com você; b) Atenção em hall de hotéis, aeroportos, aviões, táxis e etc; c) Quando transportar o equipamento em automóvel, utilize sempre o porta malas ou lugar não visível; d) Atenção ao transportar o equipamento na rua.

Alguns cuidados que devem ser observados em caso de furto:

a) Registre a ocorrência em uma delegacia de polícia; b) Comunique ao seu superior imediato; c) Envie uma cópia da ocorrência para a Diretoria.

5 - CONTROLE DE ACESSO LÓGICO

5.1 - Uso de Senhas e tokens de acesso individuais:

Cada usuário terá uma identificação única em cada sistema a ser utilizada para execução de suas atividades. A senha para acesso aos sistemas é pessoas, sigilosa e de responsabilidade do usuário, que, em hipótese alguma poderá divulga-la e/ou compartilhá-la.

É de responsabilidade de cada usuário a memorização de sua própria senha, bem como a proteção e a guarda dos dispositivos de identificação que lhe forem designados. As senhas não devem ser anotadas em papel ou armazenadas em arquivos eletrônicos (Word, Excel, etc.) sem o uso de criptografia.

O usuário será responsável pelo uso correto de suas senhas e tokens de acesso individuais perante a autarquia e a legislação vigente (cível e criminal).

Caso seja criada uma senha para acesso inicial, a mesma deverá ser alterada no primeiro acesso para uma senha sigilosa e pessoal.

A utilização de login de uso compartilhado não é permitida. Em casos extraordinários, existindo esta real necessidade, após oficializada a Diretoria do PREVI-NOBRES, e por este aprovado, será permitido seu uso, com permissões, prazo de validade e relação de pessoas autorizadas a utilizá-lo. A responsabilidade perante ao PREVI-NOBRES e a legislação vigente (cível e criminal) será de todos os usuários que dele se utilizarem. Em caso de má utilização, somente se for identificado conhecimento ou solicitação do gestor de uso compartilhado, este deverá ser responsabilizado.

Caso o servidor esqueça sua senha, ou suspeite de vazamento da mesma, ele deverá efetuar a troca da mesma, ou requisitar formalmente a troca junto a da Diretoria do Fundo.

5.2 - Acesso ao Server:

A senha de acesso ao server do PREVI-NOBRES é de conhecimento da Diretoria, o qual deverá ser comunicado em caso de necessidade de uso.

5.3 - Acesso ao Sistema:

Acesso ao sistema é realizado por senha individualizada, isto é, cada servidor possui uma senha para realizar suas atividades, sendo que esta deverá seguir as normas de uso de senhas.

O servidor é responsável pelos atos praticados junto ao sistema durante a utilização da sua senha de acesso.

6 - DO USO GERAL DA INFORMAÇÃO

Toda e qualquer informação interna gerada, adquirida e processada pelo PREVI-NOBRES é considerada de sua propriedade e deverá ser utilizada exclusivamente para interesses da autarquia dentro dos Princípios legais.

As informações tratadas nas estações de trabalho relevantes ao Fundo deverão ser armazenadas no disco da rede, podendo ficar armazenadas na própria estação de trabalho apenas as informações temporárias necessárias ao trabalho dos agentes públicos do PREVI-NOBRES, bem como as informações pessoais permitidas. Insta salientar que a Autarquia não realiza cópias de segurança dos arquivos locais das estações de trabalho.

Uma cópia de todo arquivo enviado ou recebido de sistemas governamentais deve ser salva no disco da rede.

Os usuários são responsáveis pelas informações que armazenarem nas estações de trabalho, bem como nas áreas compartilhadas na rede do PREVI-NOBRES, sendo utilizado para a identificação do autor dos arquivos os metadados armazenados pelo sistema operacional.

A gravação de dados sigilosos em mídias removíveis (como por exemplo pendrives, CDs, HDs externos, etc.) transfere a responsabilidade sobre o acesso a esses dados ao agente público que realizar a gravação, bem como ao servidor que possuir a posse da mídia tendo conhecimento de seu conteúdo, com exceção de mídias destinadas ao cumprimento de exigências legais.

7 - AUDITORIA

Todo ativo de informação é passível de auditoria em data e horários determinados pela Diretoria, podendo esta, também, ocorrer sem aviso prévio.

A realização de uma auditoria deverá ser, obrigatoriamente, aprovada pela Diretoria Executiva e, durante sua execução, deverão ser resguardados os direitos quanto a privacidade de informações pessoas, desde que estas não estejam dispostas em ambiente físico ou lógico de propriedade do PREVI-NOBRES.

Poderá ser realizado monitoramento e controle proativos, com o objetivo de detectar atividades anômalas de processamento das informações e violações da política, das normas ou dos procedimentos de segurança da informação. A confidencialidade será mantida no processo e informações obtidas.

Este trabalho de colhimento de informações poderá ensejar na abertura de procedimentos administrativos legais com intuito de apurar irregularidades.

ANEXO I

Termo de Responsabilidade de Uso dos Ativos de Informática

Eu, xxxxxxxxxxxxxx, CPF xxxxxxxxxxx, portador do RG número xxxxxxxxxx, servidor do PREVI-NOBRES, declaro que tenho conhecimento das condições de uso das ferramentas de informática disponibilizadas para o meu trabalho, nos termos das regras expostas no presente documento, com as quais concordo e comprometo-me seguir integralmente.

Nobres/MT, xx/xx/20xx

_______________________________

Nome:

CPF

CONDIÇÕES DE USO DA INTERNET E RECURSOS DE INFORMÁTICA

Será permitido o uso do acesso à internet disponibilizada pelo PREVI-NOBRES para uso com fins particulares pelos agentes públicos do Fundo nas seguintes condições, cumulativamente:

a) Seja utilizado para acessar a Internet Bank e a sites cujo conteúdo proporcionem desenvolvimento pessoal aos agentes públicos; b) O tempo de acesso e conteúdo acessado não interfiram no cumprimento das funções do servidor; c) O acesso não interfiro no bom funcionamento da rede e dos sistemas do Instituto; d) Não seja contabilizado para justificar a necessidade de aumento da capacidade de acesso; e) Todas as conexões feitas e conteúdos transmitidos estão sujeitos à monitoração e auditoria, mesmo que para isso particular e de conteúdo privado; f) O acesso não coloque em risco a segurança da rede e dos sistemas do PREVI-NOBRES; g) O acesso poderá ser bloqueado a qualquer momento devido a critérios técnicos ou requerimento de qualquer dos membros da Diretoria Executiva do Fundo, sem que o PREVI-NOBRES seja responsabilizado por qualquer perda ou dano decorrente do bloqueio do acesso; h) O PREVI-NOBRES não será responsabilizado por qualquer perda ou dano decorrente de alguma falha na segurança durante o acesso (exemplo: o usuário ter sua senha de banco capturada por um malware que eventualmente esteja sendo executado no terminal de acesso utilizado, sendo este do Fundo ou de terceiros).

É proibido o uso do acesso à internet para visualização, transferência (downloads), cópia ou qualquer outro tipo de acesso a sites:

E-mail Institucional

Todo e-mail enviado deve conter a identificação do agente público, bem como seu cargo e/ou função.

Todo arquivo relevante e de importância ao Fundo que for enviado ou recebido por e-mail deve ser salvo no compartilhamento de dados (RPPS), bem como informado o setor responsável.

É terminantemente proibido o envio de mensagens que:

Uso de Senhas e tokens de acesso individuais:

O usuário será responsável pelo uso correto de suas senhas e tokens de acesso individuais perante a autarquia e a legislação vigente (cível e criminal).

Caso seja criada uma senha para acesso inicial, a mesma deverá ser alterada no primeiro acesso para uma senha sigilosa e pessoal.

Caso o servidor esqueça sua senha, ou suspeite de vazamento da mesma, ele deverá efetuar a troca da mesma, ou requisitar formalmente a troca junto ao Diretoria do Fundo.

Voltar ao topo