ORDEM INTERNA SECRETARIA MUNICIPAL DA FAZENDA - SF/COTEC Nº 03 DE 05 DE OUTUBRO DE 2021

Dispõe sobre os definições e procedimentos necessários para recuperação de desastres que possam afetar a infraestrutura de serviços tecnológicos, datacenter, assim como a consistência, autenticidade e disponibilidade de dados da Secretaria Municipal da Fazenda.

ORDEM INTERNA SF/COTEC Nº 03/2021, de 05 de outubro de 2021

COORDENADORIA DE TECNOLOGIA DE INFORMAÇÃO E COMUNICAÇÃO DA SECRETARIA MUNICIPAL DA FAZENDA DE SÃO PAULO

Considerando a ocorrência de frequentes ataques a sistemas de entidades públicas;

Considerando a necessidade de preparar a Secretaria Municipal da Fazenda para coordenadamente responder a ataques e descontinuidades nos serviços dependentes de ativos de tecnologia, de forma a minimizar os impactos e otimizar a recuperação de desastres.

O COORDENADOR de COTEC, no uso das atribuições que lhe são conferidas por lei,

RESOLVE:

Art. 1º. Instituir o Plano de Recuperação de Desastres, no âmbito da Secretaria Municipal da Fazenda de São Paulo, delimitando o respectivo escopo, responsabilidades, objetivos e atribuições.

Art. 2º. O Plano de Recuperação de Desastres da Secretaria Municipal da Fazenda de São Paulo (PRD-SF) consta do ANEXO I da presente Ordem Interna.

Art. 3º. Esta ordem interna entra em vigor na data de sua publicação.

Luciano Felipe de Paula Capato

Coordenador Geral

Coordenadoria de Tecnologia de Informação e Comunicação - SF/COTEC

ANEXO I

Plano de Recuperação de Desastres da Secretaria Municipal da Fazenda de São Paulo (PRD-SF)

Visão Geral

O Plano de Recuperação de Desastres da Secretaria Municipal da Fazenda de São Paulo (PRD-SF) institui normas gerais para o planejamento, definição de conceitos e responsabilidades, coordenação entre pessoas técnicas, sendo essas integrantes ou não da estrutura de SF, com o intuito de proteger os ativos de informação e a continuidade na prestação dos serviços tecnológicos, internos e externos, durante e após ocorrência de incidentes, falhas técnicas, desastres naturais ou ciberataques.

Sumário

O PRD-SF é composto pelos seguintes temas:

* Análise e Classificação de Riscos Tecnológicos;

* Estratégia Geral de Recuperação;

* Definições e conceitos de Recuperação de Desastres;

* Definição de Responsabilidades;

* Delimitação de Escopo do PRD-SF;

* Procedimentos de Recuperação de Desastres;

* Testes de Recuperação.

Escopo

O escopo do PRD-SF compreende um texto acessível à equipe técnica, que respeite as normas de segurança da informação e opere como um índice orientador maior para as técnicas e normas gerais de atuação coordenada entre as áreas envolvidas e a Coordenadoria de Tecnologia de Informação e Comunicação – COTEC da SF, incluindo também prestadores de serviços externos e internos, de forma a definir: os conceitos; as pessoas responsáveis para a execução dos procedimentos de mitigação, redução de danos e recuperação; o plano de atuação conjunta em cenário de desastre; contingências técnicas; o plano de recuperação técnica; as restrições em caso de desastres; os ativos de tecnologia e bases de dados (tais como Virtual Private Network – VPN e Virtual Desktop, Rede e Internet, Compartilhamento de Arquivos, serviço de correio eletrônico e voz sobre IP – VOIP) que estão englobados pelo PRD-SF; e, por fim, uma forma de comunicação em caso de desastre.

Objetivos

O PRD-SF é estruturado para minimizar os danos diretos e indiretos decorrentes de eventos de desastre/ataque, para proporcionar uma diminuição do tempo de restabelecimento dos serviços de base tecnológica, maximizar a segurança dos ativos tecnológicos e de informação e, principalmente, otimizar a comunicação em casos de incidentes, aumentando a responsividade, de forma a possibilitar adequada recuperação e continuidade dos serviços.

Conceitos e Definições

PRD-TI: plano de recuperação de desastres, é o atual documento e demais normas correlatas, que deverão coordenar a forma pela qual a Secretaria Municipal da Fazenda deverá se estruturar e atuar em casos de desastres/ataques que afetem ou possam afetar seus ativos de informação e sistemas.

Continuidade Tecnológica: é o funcionamento dos serviços de infraestrutura tecnológica que fornecem os meios para a operação dos sistemas e dados necessários para o negócio da secretaria.

Continuidade de negócio: é o funcionamento das funções de negócio durante ou após desastres/ataques, de forma a não ocasionar prejuízo de informações, mas aceitando deficiência e/ou intermitência.

Função de negócio: representa um trabalho feito ou serviço prestado por uma unidade/estrutura de negócio de SF. Pode ser suportada por um ou mais processos de negócio e sistemas ou bases de dados ainda que não vinculados àquela unidade de negócio.

Processo de Negócio: representa uma tarefa pontual, exercida ou não por humano, com limites bem delimitados, entradas e saídas definidas, suportadas ou não por sistemas ou bases de dados, que tenham o intuito de acrescentar valor, automatizar ou não tarefas, e gerar algum resultado.

Plano de Recuperação: engloba o PRD-TI e quaisquer outros documentos criados com o intuito de designar, orquestrar, coordenar, definir, planejar ou institucionalizar procedimentos de recuperação de incidentes.

Linha de tempo de Recuperação: é a indicação temporal do incidente até completa recuperação.

Análise de Impacto: avaliação prévia das vulnerabilidades nos ativos de tecnologia e infraestrutura e qual impacto e/ou dano pode advir de cenários de desastres/ataques diversos.

Desastre: interrupção, intermitência ou deficiência no fornecimento de energia elétrica; incêndio; vazamento de água ou alagamento; eventos climáticos extremos; falha generalizada de dispositivos a ativos de sistemas e/ou infraestrutura tecnológica.

Ataque: Ataque virtual ou físico a ativos de dados, informações, sistemas ou infraestrutura tecnológica

Incidente: evento ou sequência de eventos já ocorridos, que podem ou não causar impactos nos processos de negócio, podendo ser, mas não se limitando a desastres ou ataques.

Gestão de incidentes: processos para detectar, registrar, relatar, dimensionar, responder, lidar e aprender a partir dos incidentes.

Gestão de risco: atividades coordenadas para direcionar e controlar uma organização com relação ao risco.

Ameaça: causa potencial de um incidente não desejado, que pode causar danos ou exposição indevida à Informação, bem como indisponibilidade de dados, sistemas, funções e/ou processos de negócio.

Papéis, atribuições e reponsabilidades

Coordenador de Recuperação: diretor da DITEC - Divisão de Infraestrutura de Tecnologia da Informação, com as seguintes atribuições e responsabilidades:

1. Produzir documentação de análise e planejamento de acordo com o Guia de Planejamento e Coordenação das atividades de mitigação, restauração e recuperação de desastres/ataques;

2. Providenciar, com auxílio dos Operadores de Recuperação, prévia Análise de Risco e Impacto adotando boas práticas e planos de ação para cenários comuns de incidentes tais como, exemplificativamente, ataques DDoS (Distributed Denial of Service), Ransomware, falhas em hardware etc;

3. Definir restrições excepcionais de acesso e/ou disponibilidade de dados ou sistemas, em cenários de desastre/ataque;

4. Definir previamente rotas de ação e planos de mitigação/recuperação para desastres e ataques previamente delimitados;

5. Centralizar a comunicação durante as atividades de mitigação e recuperação de desastre;

6. Comunicar, quando solicitado, dados para contato em caso de incidentes;

7. Definir o repositório dos dados para contato dos integrantes e possíveis integrantes de equipes de recuperação de desastre;

8. Decidir, no caso concreto, levando em consideração documentação pertinente, quais componentes da infraestrutura (local ou contratada) dos serviços de tecnologia e/ou ativos de informação precisam ser priorizados;

9. Atuar conjuntamente com os Operadores de Recuperação nas etapas de validação das atividades de recuperação;

10. Apoiar os demais papéis do PRD-SF;

11. Propor melhoria contínua nas iniciativas de Recuperação de Desastres e Segurança da Informação.

Operador de Recuperação: todo e qualquer profissional previamente identificável, interno ou externo, envolvido nas atividades de mitigação e recuperação, a ser convocado em casos de incidentes, que terá as seguintes atribuições e responsabilidades:

1. Fornecer suporte às atividades de Análise de Riscos/Impacto;

2. Produzir documentação de análise e planejamento de acordo com as diretrizes definidas pelo Coordenador de Recuperação;

3. Executar o plano de mitigação/recuperação em caso de desastre/ataque;

4. Efetuar os backups dos ativos sob sua responsabilidade;

5. Assegurar a realização de backups levando em consideração os parâmetros previamente definidos;

6. Realizar e documentar periodicamente testes de restauração e recuperação de desastres, conforme solicitado pelo Coordenador de Recuperação;

7. Restauração dos backups de acordo com orientações do Coordenador de Recuperação e demais profissionais pertinentes;

8. Atuar junto ao Coordenador de Recuperação nas etapas de validação das atividades de recuperação, principalmente na verificação dos dados restaurados;

9. Comunicar, quando solicitado, dados para contato em caso de incidentes;

10. Apoiar os demais papéis do PRD-SF;

11. Propor melhoria contínua nas iniciativas de Recuperação de Desastres e Segurança da Informação.

Fases do Plano de Recuperação de Desastres (PRD-SF)

Mapeamento da Infraestrutura

Uma visão geral dos componentes de infraestrutura tecnológica, própria ou contratada, deve estar documentada e protegida contra acessos indevidos, mas acessível aos profissionais responsáveis pelas atividades de recuperação.

É importante que essa documentação seja atualizada e descreva os pontos principais da infraestrutura tecnológica, respectivos fornecedores, tecnologias adotadas, camadas de redundância, informações contratuais e planejamento de contingências.

Exemplificativamente, deve-se relatar dados sobre datacenters, redes de dados e comunicação, armazenamento e backup, suporte técnico e helpdesk, servidores de dados e, quando cabível, de aplicação (ex. desktop virtual).

Análise de Riscos e Impacto

Na fase de Análise de Riscos e Impacto, deve-se analisar e documentar os principais riscos envolvidos para cada aspecto da infraestrutura tecnológica básica (exemplificativamente Virtual Private Network – VPN e Virtual Desktop, Rede e Internet, Compartilhamento de Arquivos, serviço de correio eletrônico e voz sobre IP – VOIP) e dados, delimitando um escopo de atuação para mitigar ou definir um plano de recuperação para casos concretos de desastre/ataque.

Documentação Básica e Comunicação

Deve-se compilar a documentação da fase anterior e disponibilizá-la ao corpo técnico, obedecendo a necessidade de privacidade e segurança da informação, de forma a operar como um índice orientador para outros documentos mais específicos e privativos.

Essa documentação deverá ser facilmente acessível e conter dados de contato para pessoal previamente designado para atuar em casos de desastres/ataques, bem como pessoal com potencial de ser envolvido nas atividades de mitigação/recuperação de desastre.

Procedimentos de Teste

Periodicamente, os procedimentos de recuperação, comunicação e backup precisam ser testados e documentados de forma a dar maior clareza, segurança e previsibilidade. Seguindo diretrizes definidas pelo Coordenador de Recuperação.

Procedimentos de Recuperação

Em caso de desastre/ataque, o Coordenador de Recuperação deverá comunicar os Operadores de Recuperação, COTEC e Gabinete e iniciar os procedimentos pertinentes de mitigação/recuperação.

Procedimentos de Validação

Após o reestabelecimento da infraestrutura tecnológica e, em sendo o caso, restauração dos dados, o Coordenador de Recuperação e Operadores de Recuperação, deverão validar os procedimentos e dados restaurados.

Lições Aprendidas

Concluída a restauração e restabelecimento à normalidade, os envolvidos irão reunir-se para propor melhorias ao PRD-SF.