Ordem Interna SF/COTEC nº 02/2020

Define e divulga a política interna para acesso a bases de dados corporativas.

O COORDENADOR GERAL DE TECNOLOGIA DA INFORMAÇÃO E COMUNICAÇÃO, no uso de suas atribuições legais, e

Considerando a necessidade de orientar os procedimentos internos pelas melhores práticas de segurança da informação;

Considerando que a vigência da nova Lei Geral de Proteção de Dados Pessoais impõe um maior controle sobre o acesso a dados pessoais;

RESOLVE:

Art. 1º Face às prerrogativas insertas no Decreto Municipal nº 58.030 de 12 de setembro de 2017, em especial às constantes no art. 74, I, II, III, e V, a Coordenadoria de Tecnologia de Informação e Comunicação, por meio deste instrumento, disciplina a política de acesso a bases de dados corporativas.

Art. 2º O acesso às bases de dados corporativas se dará conforme as diretrizes estabelecidas no Anexo I a esta Ordem Interna.

Art. 3º Esta Ordem Interna entra em vigor na data de sua publicação.

ANEXO I

Política de acesso a dados corporativos

Objetivo

Este documento tem por objetivo disciplinar o acesso a dados corporativos no âmbito do processo de desenvolvimento da Secretaria da Fazenda. As diretrizes aqui estabelecidas orientam o acesso a bases de dados que contém informações pessoais, sigilosas e/ou sensíveis, nos termos da legislação vigente.

Definições

Área de Negócio - parte da estrutura administrativa da Secretaria da Fazenda responsável por tomar as decisões relativas ao negócio para um determinado sistema. A Área de Negócio é representada diretamente pelo seu Diretor ou por quem este delegar a função

BDA ou DBA – Profissional administrador de Banco de Dados

CTN - Código Tributário Nacional

Desenvolvedor interno – profissional da Secretaria da Fazenda que realiza desenvolvimento de sistemas

Fábrica de Software – contratado pela Secretaria da Fazenda para desenvolvimento de sistemas e seus colaboradores

LAI – Lei de Acesso à Informação

Líder técnico - servidor cadastrado no Catálogo como responsável técnico pelo sistema desenvolvido

LGPD – Lei Geral de Proteção de Dados Pessoais

Operador técnico – Entidade ou pessoa responsável pela operação e solução de problemas correntes em um determinado sistema. Pode ser uma área da Secretaria ou uma entidade externa (PRODAM, por exemplo)

Usuário de sistema – trata-se da conta de usuário que é utilizada pelas aplicações para acesso à infraestrutura. Em regra, não deve ser empregada por usuários humanos.

Diretrizes gerais

Dados sujeitos a regulação protetiva (LGPD, LAI, CTN etc) empregados no processo de desenvolvimento ou teste deverão ser excluídos quando este processo estiver concluído. O juízo da necessidade de continuidade do projeto e quais dados deverão ser excluídos ao fim de uma fase cabe à Área de Negócio.

A concessão de acesso a bases de dados é, em regra, pessoal e intransferível. Exceção a esta diretriz é o caso de usuários de aplicação.

O acesso aos bancos de dados é concedido individualmente (por banco) e controlado via grupo do AD (cada grupo atribui um tipo de acesso a um banco específico).

Exceções deverão ser tratadas pelo Coordenador da COTEC, assim como casos omissos a esta norma.

Classificação geral dos dados armazenados

Dados fictícios

São dados que não guardam relação com entidades e pessoas do mundo real. Seu uso no ambiente de desenvolvimento é encorajado, não havendo necessidade de aprovação especial.

Dados mascarados ou anonimizados

São dados relativos a uma entidade real que não pode ser identificada usando os meios técnicos razoáveis e disponíveis. Somente serão mascarados dados protegidos por legislação específica (CTN, LGPD, LAI etc). A área de negócio será responsável por aprovar o resultado do processo de mascaramento. O tratamento destes dados, independentemente do ambiente, depende da aprovação da Área de Negócio.

Dados pessoais/sensíveis/sigilosos e sujeitos a outras proteções legais

São dados submetidos a regime protetivo específico, em razão da legislação vigente. O seu tratamento, independentemente do ambiente, depende de aprovação do Coordenador da COTEC e da Área de Negócio.

Classificação geral dos ambientes e seu uso 

Desenvolvimento

É o ambiente típico onde ocorre o desenvolvimento e teste inicial de aplicações. Dada a dinâmica deste ambiente, os dados nele presentes são sujeitos a um menor controle e, justamente por isso, dados sujeitos a regime de proteção especial devem ser excepcionais.

Homologação e treinamento

Trata-se do ambiente no qual as aplicações desenvolvidas são validadas para verificar se suas funcionalidades terão o comportamento esperado no ambiente definitivo.

Produção

Neste ambiente são operadas as aplicações com dados reais da Secretaria. O controle de acesso a este ambiente é rígido e alterações manuais são excepcionais. 

Admite-se a situação de “Piloto em Produção”, na qual poderá existir dados fictícios ou mascarados, além de dados reais, porém é obrigatório que os dados e acessos sejam revertidos após conclusão do Piloto. (Para a execução de piloto em Produção com dados reais é necessária a aprovação da área de

negócio e do Coordenador da COTEC)

Classificação específica dos dados

A correta classificação dos dados e seu enquadramento no grau de proteção adequado é de responsabilidade da Área de Negócio. Desta forma, ao iniciar um tratamento, a Área de Negócio deverá informar se os dados tratados são sujeitos a sigilo fiscal, dados pessoais, sensíveis ou merecem outro tipo de proteção especial dada a sua não-publicidade. O armazenamento da classificação de cada informação deverá estar disponível para o administrador de banco de dados.

Ao final de uma demanda, o responsável pela execução (eg. Fábrica de software, PRODAM, DIDEV) deverá informar ao líder técnico se houve alteração no banco de dados. Caso positivo, a área de negócios deverá ser acionada para efetuar a classificação dos dados adicionados e validação dos dados existentes. O líder técnico só poderá aprovar a demanda se houver confirmação ou negação de que houve alteração.

Para novos sistemas, o processo de desenvolvimento atual prevê a necessidade de classificação das entidades pela área de negócio. A partir das entidades (modelo de domínio de negócio) a fábrica de software desenvolverá o banco de dados físico, com as respectivas classificações.

As informações referentes aos dados serão oportunamente disponibilizadas aos envolvidos na operação de banco de dados. Temporariamente, deverá haver acesso à documentação desses campos pela área de banco de dados sempre que houver necessidade. A atualização de banco de dados enseja o mesmo processo. A declaração da Área de Negócio pode substituir a consulta à documentação.

Para sistemas existentes, ao atender qualquer solicitação, o DBA deverá informar se naquele escopo há dados classificados (dados pessoais, sigilosos, sensíveis ou não). Se não houver classificação, a área de negócio será responsável por informar.

O mapeamento dos dados legados deverá ser feito pela área de negócio. Para classificação e manutenção da atualização dos dados deverá ser oportunamente disponibilizada interface para que a área de negócio tenha ciência dos dados armazenados e possa classificar a sua criticidade (pessoal, sensível, sigiloso etc).

Fluxo de aprovação de acesso por usuário

Os acessos concedidos a um determinado usuário devem ser aprovados segundo a tabela abaixo. As tabelas subsequentes descrevem o acesso máximo permitido a depender do papel exercido pelo usuário.

O BDA enquadra-se em uma circunstância específica. Embora ele tenha acesso a uma gama de funcionalidades altamente diversificada, ele somente deve executar as tarefas que forem explicitamente atribuídas.

O Líder técnico tem seus acessos conforme a tabela abaixo a partir da sua inserção no catálogo.

Aprovações necessárias para a concessão de acesso

Papel    Desenvolvimento    Homologação/Trein.    Produção

Líder técnico    Conforme catálogo    Coordenador COTEC    Área de negócios + Coordenador COTEC

FSW (Desenvolvedor)    Líder técnico    Coordenador COTEC    

Operador técnico    Líder técnico    Coordenador COTEC    

BDA    Acesso conforme tabelas abaixo    Acesso conforme tabelas abaixo    

Desenvolvedor interno    Líder técnico    Coordenador COTEC    

Área de negócio    Líder técnico    Coordenador COTEC    

Tipos de acesso (Leitura/Escrita) - Estrutura dos Dados (acessos máximos)

Papel    Desenvolvimento    Homologação/Trein.    Produção

Líder técnico    L    L    -

FSW (Desenvolvedor)    L    E    L

Operador técnico    LE    L    -

BDA    LE    LE    LE

Desenvolvedor interno    LE    L    -

Área de negócio    Por padrão não tem    Por padrão não tem    Por padrão não tem

Usuário de sistema    Por padrão não tem*    Por padrão não tem*    Por padrão não tem*

Tipos de acesso (Leitura/Escrita) - Dados (acessos máximos)

Papel    Desenvolvimento    Homologação/Trein.    Produção

Líder técnico    LE    L    -

FSW (Desenvolvedor)    LE    L    -

Operador técnico    LE    L    -

BDA    LE    LE    LE

Desenvolvedor interno    LE    L    -

Área de negócio    Por padrão não tem    Por padrão não tem    -

Usuário de sistema    LE    LE    LE

Tipos de acesso (Leitura/Escrita) - Logs de auditoria

Papel    Desenvolvimento    Homologação/Trein.    Produção

Líder técnico    L    L    L

FSW (Desenvolvedor)    L    L    Por padrão não tem

Operador técnico    L    L    L

BDA    L    L    L

Desenvolvedor interno    L    L    Por padrão não tem

Área de negócio    Por padrão não tem    Por padrão não tem    Por padrão não tem

Tipos de acesso (Leitura) - Logs de operação (erros)

Papel    Desenvolvimento    Homologação/Trein.    Produção

Líder técnico    L    L    L

FSW (Desenvolvedor)    L    L    Por padrão não tem

Operador técnico    L    L    L

BDA    L    L    L

Desenvolvedor interno    L    L    Por padrão não tem

Área de negócio    Por padrão não tem    Por padrão não tem    Por padrão não tem

Remoção de acessos

O líder técnico é o responsável por solicitar a remoção dos acessos quando se encerra um projeto.