PORTARIA SF Nº 266, DE 29 DE AGOSTO DE 2024

Aprova a nova Política de Segurança da Informação - POSIN para a Secretaria Municipal da Fazenda.

O SECRETÁRIO MUNICIPAL DA FAZENDA, no uso de suas atribuições legais,

RESOLVE:

Art. 1º Aprovar, nos termos do Anexo Único desta Portaria, a nova Política de Segurança da Informação – POSIN para a Secretaria Municipal da Fazenda.

Art. 2º Esta Portaria entrará em vigor na data de sua publicação, revogada a Portaria SF nº 333, de 1 de dezembro de 2021.

ANEXO ÚNICO DA PORTARIA SF Nº 266, DE 29 DE AGOSTO DE 2024

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

PREÂMBULO

A Secretaria Municipal da Fazenda, objetivando atender, implementar e manter a governança da Segurança da Informação, declara que:

A Segurança da Informação é uma questão sensível que engloba e permeia toda a atuação da Secretaria;

A Segurança da Informação é um requisito de negócio para a Secretaria;

A Segurança da Informação é responsabilidade de todos os integrantes da Secretaria;

A Segurança da Informação exige políticas, procedimentos e ações implementados e com efetividade;

A Segurança da Informação se baseia em gestão apropriada de riscos, ativos e controles;

A Segurança da Informação demanda adequada alocação de recursos;

A Segurança da Informação requer treinamento e conscientização;

A Segurança da Informação deve ser planejada, gerenciada, mensurável e mensurada;

A Segurança da Informação exige definição e atribuição adequadas de competências, papéis e responsabilidades;

A Segurança da informação demanda devida qualidade de bens e serviços, adequando-se conforme a necessidade e as condições de fato; e

A Segurança da Informação impõe processos de avaliação e melhoria contínua.

Art. 1º A Política de Segurança da Informação – POSIN é uma norma em nível estratégico que estabelece, entre outros assuntos, princípios, diretrizes, competências, responsabilidades e disposições gerais para a Segurança da Informação no âmbito da Secretaria Municipal da Fazenda.

Art. 2º A POSIN adota a abordagem finalística e baseada em riscos e oportunidades, visando a efetividade da Segurança da Informação.

Parágrafo Único. A POSIN adota a visão de Segurança Centrada em Pessoas, para promover maior autonomia, agilidade e flexibilidade nas ações e decisões de Segurança da Informação, ao mesmo tempo em que reforça a responsabilização e o monitoramento.

Art. 3º Para esta POSIN, a acepção da palavra “Informação”, com a primeira letra maiúscula, é diferente da acepção da palavra “informação”, com a primeira letra minúscula, conforme disposto no Capítulo III.

Art. 4º Esta POSIN deverá ser interpretada de forma a maximizar a efetividade de suas disposições e a concretizar os princípios a elas inerentes.

CAPÍTULO I

DOS OBJETIVOS

Art. 5º São objetivos desta POSIN:

I - instituir o Programa de Governança de Segurança da Informação da Secretaria Municipal da Fazenda - PGSEG;

II - munir a Secretaria de instrumentos jurídicos e organizacionais que habilitem tecnológica e administrativamente seus agentes, de modo a prover Segurança da Informação em níveis adequados;

III - estabelecer controles e mecanismos para embasar, direcionar e avaliar as iniciativas relacionadas à Segurança da Informação;

IV - garantir a autonomia da Secretaria em relação à segurança da sua Informação independentemente do meio e do ambiente;

V - nortear a elaboração das normas necessárias à efetiva implementação da Segurança da Informação;

VI - promover as ações necessárias à implementação, manutenção, adequação e melhoria da Segurança da Informação;

VII - fomentar a capacitação de recursos humanos para o desenvolvimento de competência científico-tecnológica em Segurança da Informação;

VIII - estimular a conscientização e a disseminação de uma mentalidade adequada relativa à Segurança da Informação.

CAPÍTULO II

DA ABRANGÊNCIA

Art. 6º Estão submetidos a esta Política e a todas as suas Normas Complementares todos os servidores, colaboradores, estagiários, prestadores de serviço e todos que, de alguma forma, exerçam atividades no âmbito da Secretaria Municipal da Fazenda, bem como qualquer pessoa, física ou jurídica, que venha a ter acesso a qualquer Informação desta Secretaria.

Art. 7º Os contratos, convênios, acordos e outros instrumentos congêneres celebrados pela Secretaria deverão incluir dispositivos de forma a viabilizar ou facilitar a implementação do disposto nesta POSIN.

CAPÍTULO III

DOS CONCEITOS E DEFINIÇÕES

Art. 8º No âmbito desta POSIN, define-se:

I - Alta Administração: servidores ocupantes dos cargos assim identificados, conforme Decreto n.º 56.130/2015 - Código de Conduta Funcional dos Agentes Públicos e da Alta Administração Municipal;

II - ameaça: causa potencial de um incidente não desejado, que pode causar danos ou exposição indevida à Informação;

III - autenticidade: propriedade de que uma pessoa, organização, entidade, documento ou Informação realmente ser o que ela diz ser;

IV - classificação da Informação: identificação de quais são os níveis de proteção que a Informação demanda e estabelecimento de categorias e formas de identificá-las, além de determinar os controles necessários a cada uma;

V - competência: poder ou autoridade passível de ser aplicado para a consecução de uma determinada atividade ou tarefa;

VI - confiabilidade: propriedade de obter comportamentos e resultados de forma prevista e consistente;

VII - confidencialidade: propriedade de não estar disponível ou não ser revelado para indivíduos, entidades ou processos não autorizados;

VIII - conformidade: atendimento a um ou mais requisitos pré-estabelecidos;

IX - conhecimento: resultado da ordenação e/ou processamento de uma ou mais informações, aliadas ao contexto, à experiência e/ou à intuição;

X - continuidade de negócio: capacidade de um órgão ou entidade de se planejar e responder a incidentes e interrupções de negócios, minimizando seus impactos e recuperando perdas ou comprometimentos da Informação das atividades relevantes, de forma a manter suas operações em um nível aceitável, previamente definido;

XI - controle: método ou ação que avalia ou altera o risco de uma Informação;

XII - dado: um ou mais fatos, sinais ou símbolos quantificados ou quantificáveis;

XIII - disponibilidade: propriedade de estar acessível e usável para atender tempestivamente à demanda de uma pessoa, processo, ou entidade autorizada;

XIV - evento: acontecimento ou situação fática que pode ou não implicar em mudança das circunstâncias;

XV - fiel depositário: pessoa, organização ou entidade responsável pelo armazenamento, transporte ou processamento da Informação. É também responsável pela aplicação apropriada das diretrizes desta POSIN para a Informação sobre a qual detenha responsabilidade ou que custodie, dentro dos limites das suas atribuições, competências e conhecimentos;

XVI - gestão de incidentes: processos para detectar, registrar, relatar, dimensionar, responder, lidar e aprender a partir dos incidentes;

XVII - gestão de risco: atividades coordenadas para direcionar e controlar uma organização com relação ao risco;

XVIII - governança da Segurança da Informação: conjunto de princípios e processos pelo qual a Secretaria fornece visões e orientações das atividades relacionadas à Segurança da Informação;

XIX - incidente: evento ou sequência de eventos já ocorridos, que causam ou razoavelmente podem vir a causar impactos em termos de Segurança da Informação;

XX - informação: conjunto de dados estruturados e/ou ligados por meio de uma ou mais relações;

XXI - Informação: ativos materiais e imateriais da Secretaria, compreendendo, entre outros aspectos, dados, informações, conhecimentos e competências, bem como comunicações, atividades, ações, processos, estruturas, relações, táticas e estratégias;

XXII - Informação Documentada: Informação, independente de formato, mídia e fonte, que deve ser controlada e mantida adequadamente pela Secretaria, bem como o meio que a contém, incluindo evidências, processos e documentações;

XXIII - integridade: propriedade de completude e fidedignidade;

XXIV - irretratabilidade: também conhecida como não-repúdio, é a capacidade de provar a ocorrência de determinado evento ou ação, bem como provar a sua autoria ou responsabilidade;

XXV - Parte Interessada: pessoa ou organização que pode afetar, ser afetada ou perceber que afeta ou que é afetada por uma decisão ou atividade;

XXVI - política: intenções e diretrizes de uma organização conforme dispostas pela Alta Administração, seja ela normatizada ou não;

XXVII - procedimento: uma ou mais instruções que detalham e permitem a operacionalização, total ou parcial, de uma política;

XXVIII - rastreabilidade: capacidade de detectar a ocorrência de determinado evento ou ação, prover caracterização adequada do fato e determinar a sua autoria;

XXIX - requisito: materialização formal da necessidade ou expectativa, seja implícita ou obrigatória;

XXX - risco: efeito da incerteza sobre o objetivo;

XXXI - Segurança Centrada em Pessoas: abordagem de Segurança da Informação focada em modelagem de comportamento, priorizando educação e monitoramento;

XXXII - segurança da informação: preservação das Bases Fundamentais da Segurança da Informação dispostas no Capítulo IV;

XXXIII - Segurança da Informação: preservação de todos os princípios da Segurança da Informação dispostos no Capítulo IV;

XXXIV - terceiro: Parte Interessada externa à Secretaria;

XXXV - validação: confirmação, por meio de evidências objetivas, que um requisito específico foi atendido por um ou mais ativos em processo de aquisição, contratação ou desenvolvimento;

XXXVI - verificação: confirmação, por meio de evidências objetivas, da aderência de um ou mais ativos já existentes ao requisito especificado para ele(s);

XXXVII - vulnerabilidade: fragilidade potencial existente em um ativo ou controle que pode ser explorada por uma ou mais ameaças.

CAPÍTULO IV

DOS PRINCÍPIOS

Art. 9º Esta POSIN se encontra calcada nos seguintes princípios:

I - Valoração da Informação;

II - Vulnerabilidade da Informação;

III - Princípio da Confiança;

IV - Extensibilidade;

V - Bases Fundamentais da Segurança da Informação;

VI - Qualidade;

VII - Proporcionalidade;

VIII - Proteção da privacidade dos titulares de dados;

IX - Continuidade dos processos e serviços.

Art. 10. A Valoração da Informação define que a Informação possui valor para a Administração e, portanto, devem existir mecanismos físicos, tecnológicos, pessoais, processuais, organizacionais e normativos implementados para conferir adequado tratamento à Informação de forma a atender efetivamente aos interesses da Secretaria.

Art. 11. Em particular, a Informação protegida pelo sigilo, tal como o disposto nos incisos X e XII do artigo 5º da Constituição Federal, no artigo 325 do Código Penal, no artigo 198 do Código Tributário Nacional e demais instrumentos normativos, deve receber especial atenção para que apenas as partes corretamente autorizadas tenham os devidos privilégios de acesso, manuseio e descarte.

Art. 12. A Vulnerabilidade da Informação declara que a Informação possui vulnerabilidades em termos físicos, tecnológicos, pessoais, processuais e organizacionais, exigindo a adoção de medidas e controles nos níveis estratégico, tático e operacional para que haja efetiva Segurança da Informação.

Art. 13. O Princípio da Confiança estabelece que uma pessoa ou um processo automatizado que esteja aderente aos critérios e atributos de Segurança da Informação podem ter maior autonomia e ter a sua atuação facilitada em função do tipo do ativo, do perfil da pessoa e da criticidade da Informação.

Parágrafo único. O Princípio da Confiança não obsta a adoção da Denegação por Padrão, na qual, salvo disposição em contrário, a Administração só concederá e manterá os privilégios estritamente necessários e suficientes para a execução das atividades.

Art. 14. A Extensibilidade preconiza a extensão e a complementação desta POSIN, por meio de normas adicionais, visando a dar adequado alcance e profundidade às normas de Segurança da Informação.

Art. 15. No âmbito desta POSIN, as Bases Fundamentais da Segurança da Informação são:

I - Confidencialidade;

II - Integridade;

III - Disponibilidade;

IV - Autenticidade;

V - Rastreabilidade;

VI - Irretratabilidade;

VII - Confiabilidade;

VIII - Utilidade;

IX - Ética;

X - Consciência;

XI - Posse;

XII - Conformidade.

Art. 16. A Qualidade determina que a qualidade de bens e serviços é um fator relevante para a Segurança da Informação.

Parágrafo único. Os bens e serviços abrangem todos os bens e serviços adquiridos ou contratados pela Secretaria, não se limitando àqueles relacionados à segurança da informação.

Art. 17. Para fins desta POSIN, a Proporcionalidade é uma manifestação dos Princípios da Razoabilidade, da Economicidade e da Eficiência e define que os aspectos qualitativos e quantitativos da efetiva aplicação das normas e princípios aqui expressos serão definidos em função dos benefícios trazidos à Segurança da Informação e dos custos associados à aplicação.

CAPÍTULO V

DAS DIRETRIZES GERAIS

Art. 18. Esta POSIN define e estabelece a Segurança da Informação em nível estratégico e o detalhamento de suas diretrizes será regulamentado em Normas Complementares que possuem efeito para toda a Secretaria.

Parágrafo único. Como documentação auxiliar, as Normas Complementares poderão ter:

I - Padrões, que definem os procedimentos a serem seguidos na falta de disposição específica;

II - Boas Práticas, que apresentam exemplos não vinculantes de procedimentos considerados como adequadamente seguros e aderentes à POSIN;

III - Manuais Operacionais, elaborados por cada unidade, em conjunto com a COTEC, que formalizam o seu modus operandi em termos de Segurança da Informação.

Art. 19. Todas as Informações devem estar em conformidade com esta POSIN e, no que for aplicável, com as suas Normas Complementares.

Art. 20. É vedada a utilização de informações produzidas por terceiros para uso exclusivo da Secretaria em quaisquer outros projetos ou atividades que não sejam do interesse da Secretaria, salvo autorização específica pelos titulares das unidades administrativas, nos processos e documentos de sua competência, ou pelo Secretário, nos demais casos.

Art. 21. A Informação poderá ser classificada de acordo com os níveis definidos conforme a legislação e as normas vigentes.

§ 1º Categorias adicionais poderão ser estabelecidas pela POSIN ou pelas suas Normas Complementares.

§ 2º Todas as partes interessadas relevantes devem estar explicitadas claramente em cada iniciativa referente à Segurança da Informação.

§ 3º Para cada uma das diretrizes, gerais ou específicas, constantes desta POSIN podem ser elaboradas uma ou mais Normas Complementares específicas para detalhar, modular ou implementar de maneira efetiva o disposto nesta POSIN.

CAPÍTULO VI

DAS DIRETRIZES ESPECÍFICAS

SEÇÃO I

DO PROGRAMA DE GOVERNANÇA DE SEGURANÇA DA INFORMAÇÃO DA SECRETARIA MUNICIPAL DA FAZENDA

Art. 22. Fica instituído o Programa de Governança de Segurança da Informação da Secretaria Municipal da Fazenda- PGSEG.

Art. 23. O PGSEG visa a promover o alinhamento estratégico com os objetivos da Secretaria, a agregação e entrega de valor para as partes interessadas, bem como a gestão adequada dos riscos de Informação da Secretaria.

Art. 24. O PGSEG se pauta pelas seguintes premissas:

I - difusão da Segurança da Informação em todo o âmbito da Secretaria;

II - adoção de uma abordagem baseada na gestão de riscos;

III - investimento de recursos para alcançar os objetivos de Segurança da Informação em consonância com os objetivos estratégicos;

IV - aderência a requisitos relevantes interna e externamente;

V - promoção de um ambiente positivo em termos de Segurança da Informação;

VI - aplicação de mecanismos de avaliação da adequação da Segurança da Informação.

Art. 25. A Administração determinará e fornecerá os recursos necessários para o estabelecimento, implementação, manutenção e melhoria contínua do PGSEG.

Art. 26. O PGSEG deverá definir os processos de análise, avaliação e tratamento de riscos da Informação da Secretaria.

Art. 27. O PGSEG deverá definir os processos de detecção e resposta a incidentes de Segurança da Informação, bem como os processos de monitoramento, avaliação, auditoria e melhoria contínua da Segurança da Informação.

Art. 28. O PGSEG deverá definir os processos de gestão de Informação Documentada relativa à Segurança da Informação.

Art. 29. O PGSEG deverá gerar um Plano Estratégico de Segurança da Informação – PESEG – para a Secretaria, em conformidade com os ditames da POSIN.

Art. 30. O PGESEG deverá conter o planejamento estratégico a médio e longo prazos e estar alinhado com os objetivos estratégicos da Secretaria e poderá estar contido no Plano Estratégico de Tecnologia da Informação (PETI) da Secretaria.

Art. 31. O Comitê Executivo previsto no art. 2º, I, da Portaria nº 134, de 30 de maio de 2017 é o órgão gestor do Programa de Governança da Segurança da Informação.

Art. 32. No tocante à Segurança da Informação, a gestão das metas, ações, riscos, controles e decisões da Secretaria em nível estratégico e estratégico-tático é de atribuição do Comitê Executivo, enquanto a gestão das metas, ações, riscos, controles e decisões da Secretaria em nível tático e tático-operacional é de atribuição dos Gestores de Negócio ou a quem determinarem as normas vigentes ou, subsidiariamente, a quem determinar o Comitê Executivo.

Art. 33. O Comitê Executivo será responsável pela orientação, monitoramento e avaliação para Segurança da Informação em nível estratégico e estratégico-tático.

Art. 34. Compete ao Comitê Executivo publicar Normas Complementares e Padrões.

Art. 35. Compete à COTEC a competência para publicar Boas Práticas, ouvido o Comitê Executivo.

Art. 36. A assessoria em tecnologia do Comitê será feita pela Divisão de Segurança da Informação (DISEG), vinculada à COTEC, ou por membros da Secretaria ou ainda por terceiros, com a anuência do Comitê Executivo.

Art. 37. O Comitê Executivo se reunirá mediante convocação da COTEC ou quando surgir evento relevante que demande a sua atuação.

Art. 38. O tratamento de incidentes de Segurança da Informação considerados de criticidade alta será feito pelo Comitê Executivo.

Art. 39. O tratamento de incidentes de Segurança da Informação relativos à Tecnologia de Informação e Comunicação que não sejam de criticidade alta será realizado pela COTEC ou para quem a COTEC delegar esta atribuição.

Art. 40. A gestão de continuidade do negócio sob os aspectos de Tecnologia de Informação e Comunicação será realizada pela COTEC ou para quem a COTEC delegar esta atribuição, ouvida a área de negócio.

Art. 41. Em caso de violação de alguma diretriz da POSIN ou de suas Normas Complementares que coloque em risco iminente uma ou mais Bases Fundamentais de Segurança da Informação das Informações ou ativos da Secretaria, o Chefe de Gabinete poderá determinar restrições de caráter temporário à Informação e a ativos, físicos ou não, para garantir a continuidade do negócio ou limitar potenciais danos aos dados da Secretaria.

Parágrafo único. Na impossibilidade de comunicação tempestiva com o Chefe de Gabinete, fica autorizado o Coordenador da COTEC a determinar as restrições contidas no caput.

Art. 42. Compete ao Comitê Executivo deliberar sobre os casos de Segurança da Informação que estejam omissos nesta POSIN ou em suas Normas Complementares.

SEÇÃO II

DO PLANEJAMENTO E GESTÃO DO CONTEXTO

Art. 43. A Secretaria, por meio do Comitê Executivo, deverá planejar, implementar e controlar as metas, iniciativas e ações necessárias para a Segurança da Informação.

Art. 44. A Segurança da Informação sempre estará presente na gestão de projetos, independentemente do tipo de projeto.

Art. 45. É dever de todos determinar riscos e oportunidades que devem ser considerados para garantir a efetividade da Segurança da Informação, prevenindo ou reduzindo efeitos indesejados e mantendo melhoria contínua.

Art. 46. A Secretaria, por meio do Comitê Executivo, determinará as necessidades relevantes de comunicação, interna e externa para a Segurança da Informação e definirá os processos para a sua efetivação.

Art. 47. É dever de todo Gestor de Negócio manter Informação Documentada na extensão necessária e suficiente para a efetividade da Segurança da Informação.

Art. 48. A Informação Documentada será elaborada, mantida, controlada e protegida nos moldes do que estabelecerem esta POSIN, Normas Complementares, Padrões e os Manuais Operacionais para que possa ser utilizada sempre e onde for necessária.

Art. 49. A Informação Documentada será detalhada em função do tamanho e da complexidade da Informação, bem como da capacidade das pessoas envolvidas.

Art. 50. A Informação Documentada terá controles em termos de distribuição, acesso, obtenção, uso, armazenamento, preservação, controle de mudanças, retenção e descarte.

Art. 51. Papéis e responsabilidades em termos de Segurança da Informação devem ser definidos e atribuídos de maneira apropriada e efetiva, devendo-se aplicar a sua segregação sempre que possível para reduzir vulnerabilidades em termos de Segurança da Informação.

Parágrafo único. Contatos com grupos especiais de interesse ou outras organizações de segurança da informação devem ser mantidos, sempre que possível.

Art. 52. A Secretaria, por meio da COCIN e da COTEC, periodicamente avaliará a conformidade da Segurança da Informação com relação ao disposto na POSIN, nas Normas Complementares, Padrões, Boas Práticas e Manuais Operacionais.

Parágrafo único. A Secretaria manterá Informação Documentada para as evidências da auditoria;

Art. 53. O resultado da auditoria será disponibilizado para os gestores envolvidos, para o Comitê Executivo e para a Alta Administração.

Parágrafo único. É dever de todos adotar ações reativas e preventivas com relação a não conformidades em termos de Segurança da Informação.

SEÇÃO III

DA OPERAÇÃO

Art. 54. A Secretaria, por meio de cada uma de suas unidades, monitorará o uso dos seus recursos, ativos e informações, inclusive em termos de desempenho e usabilidade e respeitando-se os princípios legais.

Art. 55. Mecanismos serão implementados para o monitoramento, incluindo-se trilhas de auditoria que permitam rastrear, acompanhar, controlar e verificar os acessos e/ou interações do usuário com relação aos sistemas e dados da Pasta e à rede interna da Secretaria, bem como as interações feitas pelo usuário a partir de ativos da Secretaria ou valendo-se da infraestrutura da mesma.

§ 1º As trilhas de auditoria poderão ser classificadas de acordo com o tipo de informação armazenada, estabelecendo-se políticas diferenciadas de retenção a depender de sua criticidade, volume, custo de armazenamento e outros critérios técnicos.

§ 2º Trilhas de auditoria relacionadas a eventos de infraestrutura, na ausência de disposição em contrário, serão armazenadas pelo período máximo de 06 (seis) meses.

Art. 56. Mecanismos serão implementados para garantir a exatidão e proteção dos dados coletados pelo monitoramento, admitindo-se quando tecnicamente mais viável, estabelecer trilhas de auditoria em formato de melhor esforço.

Art. 57. Controles e mecanismos criptográficos deverão ser considerados em Informações e ativos, físicos ou não, de forma a garantir a efetividade da Segurança da Informação e deverão estar atualizados e adequados para atender aos requisitos de negócio.

Art. 58. Os serviços de tecnologia da informação e comunicação fornecidos à Secretaria terão cláusulas que definirão níveis de serviço adequados e que sejam aplicados e atualizados de forma consistente ao longo do tempo, de forma a atender às necessidades da Secretaria.

SEÇÃO IV

DA SEGURANÇA DOS RECURSOS HUMANOS

Art. 59. A Secretaria, por meio da EMAF e da COTEC, com o apoio da ASCOM, promoverá a conscientização dos servidores e usuários de seus sistemas com relação às normas, políticas, procedimentos e boas práticas, a sua contribuição para a efetividade da Segurança da Informação e as implicações de não conformidades com as exigências da Segurança da Informação.

Parágrafo único. Os desvios de conduta em termos de Segurança da Informação serão apurados nos termos da legislação em vigor.

Art. 60. O Comitê Executivo definirá os procedimentos, em termos de Segurança da Informação, relativos à perda de vínculo do recurso humano com a Secretaria, os quais serão aplicados pela COTEC e pela COADM.

SEÇÃO V

DA GESTÃO DE ATIVOS

Art. 61. Os ativos relativos à tecnologia da informação e comunicação devem estar devidamente identificados e classificados em termos de Segurança da Informação.

Art. 62. A classificação será feita em função de exigências legais, valor, criticidade e sensibilidade à exposição ou modificação não autorizadas.

Parágrafo único. A classificação poderá ensejar diferentes formas de gestão da Informação, as quais serão respeitadas durante todo o seu ciclo de vida, desde a criação até o descarte.

Art. 63. Deve-se manter um inventário atualizado dos ativos críticos e um catálogo atualizado de serviços, que deverão ficar sob responsabilidade de um gestor, atendendo ao disposto nesta POSIN.

Art. 64. Os ativos inventariados e os serviços catalogados devem ter um gestor responsável associado.

Parágrafo único. O gestor responsável pelo ativo deverá zelar permanentemente pela aderência do ativo com relação ao disposto nesta POSIN.

Art. 65. Todos os ativos da Secretaria custodiados pelos servidores e terceiros devem ser devolvidos quando do encerramento do seu vínculo com a Secretaria, quando cessar a condição que demande ou permita tal custódia ou quando requisitado pela COTEC.

Art. 66. Os ativos físicos da Secretaria, incluindo-se as redes de comunicação e as instalações de infraestrutura, devem estar adequadamente protegidos contra indisponibilidade, acessos indevidos e falhas, bem como perdas, danos, furtos, roubos e interrupções não programadas.

SEÇÃO VI

DO CONTROLE DE ACESSO

Art. 67. Devem-se estabelecer políticas e procedimentos de controle de acesso de acordo com os requisitos de negócio e de Segurança da Informação.

§ 1º A definição das políticas de concessão de acesso a sistemas de informação e outros ativos de Informação compete à COTEC, ouvidas as áreas de negócio.

§ 2º O Comitê Gestor do PGSEG poderá estabelecer políticas alternativas considerados critérios de gestão e risco.

Art. 68. A identificação do usuário, independentemente da forma, será pessoal e intransferível e permitirá o seu reconhecimento de forma clara e inequívoca.

§ 1º Os usuários deverão ter acesso apenas às instalações, à rede, aos serviços, aos sistemas e às Informações aos quais possuem autorização de acesso.

§ 2º O acesso deverá ser feito por meios adequadamente seguros e deve ser condicionado ao aceite de Termo de Responsabilidade, ou equivalente em meio eletrônico.

Art. 69. Os resultados do monitoramento em termos de Segurança da Informação poderão se refletir em alterações nos privilégios de acesso.

Parágrafo único. Deverá existir uma base de dados corporativa de gestão de pessoas, a qual deverá ser atualizada tempestivamente de forma automatizada ou por meio de notificações da unidade, se a automatização for inexistente ou inviável.

SEÇÃO VII

DA SEGURANÇA FÍSICA E DO AMBIENTE

Art. 70. A Secretaria implementará ações, controles e mecanismos de segurança de instalações físicas, remotas e/ou de equipamentos, ainda que móveis, sempre que houver a necessidade de garantir a segurança do usuário ou proteger a sua Informação de acesso não autorizado ou de dano ou de interferência, dentro do Princípio da Proporcionalidade.

Art. 71. Os procedimentos e mecanismos para descarte também serão realizados de forma a garantir adequadamente a segurança do usuário ou proteger a sua Informação de acesso não autorizado, dentro do Princípio da Proporcionalidade.

SEÇÃO VIII

DA SEGURANÇA DAS COMUNICAÇÕES

Art. 72. Mecanismos de segurança, níveis de serviço e requisitos de gerência de todos os serviços relacionados à comunicação de dados devem estar identificados e incluídos nos contratos de serviços de tecnologia da informação, de forma a atender aos requisitos de qualidade e consistência, bem como garantir a compatibilidade com padrões de mercado e/ou boas práticas.

Art. 73. A transferência de informações, independentemente do meio de comunicação, deverá ser realizada utilizando-se de meios adequados de proteção.

Paágrafo único. O tráfego das informações deve contar com métodos e mecanismos adequados de proteção contra transmissão incompleta, repetição ou comutação ou roteamento incorretos, adulteração de mensagem, revelação não autorizada e duplicação ou reenvio não autorizados de mensagens.

Art. 74. As informações trafegadas em redes públicas devem contar com métodos e mecanismos adequados de proteção contra atividade fraudulenta, bem como contra revelação e modificação não autorizadas.

Parágrafo único. A proteção da transferência de informações abrange inclusive o acesso a redes externas como a internet, o uso de ativos de rede e o uso de equipamentos de acesso à rede.

SEÇÃO IX

DA AQUISIÇÃO, DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMAS

Art. 75. Os requisitos de Segurança da Informação devem ser incluídos nos requisitos para novos sistemas ou nas melhorias dos sistemas existentes.

Parágrafo único. A COTEC, em conjunto com os Gestores de Negócio, monitorará o desenvolvimento, a correção e melhoria de sistemas produzidos por terceiros.

SEÇÃO X

DA GESTÃO DE INCIDENTES E CONTINUIDADE DE NEGÓCIOS DE SEGURANÇA DA INFORMAÇÃO

Art. 76. Servidores e terceiros que utilizarem os sistemas e serviços da Secretaria deverão registrar e relatar qualquer vulnerabilidade de Segurança da Informação, por meio de canais disponibilizados pela Secretaria.

Art. 77. Eventos avaliados pelo Gestor de Negócio como causadores, potenciais ou não, de impactos não desprezíveis aos interesses da Secretaria, deverão ser identificados, monitorados, comunicados e tratados em tempo hábil de forma a minimizar os danos.

Art. 78. Todos os incidentes de Segurança da Informação, no que tange à Tecnologia da Informação e Comunicação, deverão ser notificados à COTEC.

Art. 79. A Secretaria poderá acessar qualquer Informação e/ou ativo, físico ou não, de sua propriedade, para fins de averiguação.

Parágrafo único. Os incidentes de Segurança da Informação serão classificados e tratados de acordo com a sua criticidade, que poderá ser baixa ou alta, considerando-se a gravidade do risco ou dano à segurança da sociedade ou da Secretaria.

CAPÍTULO VII

DA COMPETÊNCIA E RESPONSABILIDADE

Art. 80. É de responsabilidade de todos que têm acesso, parcial ou total, à Informação de propriedade ou que transite pela Secretaria prezar pela Segurança da Informação, segundo preceitos desta Política, das Normas Complementares, Padrões e Manuais Operacionais e de forma condizente com suas responsabilidades e sua atribuição.

SEÇÃO I

DA ALTA ADMINISTRAÇÃO

Art. 81. A Alta Administração desta Secretaria proverá ativamente o direcionamento, os recursos e o apoio necessários à Segurança da Informação, de acordo com o preâmbulo desta POSIN, com os objetivos estratégicos e com as normas pertinentes, respeitadas as restrições orçamentárias.

Parágrafo único. A Alta Administração fornecerá ativamente o seu apoio para iniciativas que objetivem:

I - suportar a efetividade do PGSEG, tais como:

a) garantir a difusão da Segurança da Informação dentro da Secretaria;

b) alinhar o PGSEG com as estratégias da Secretaria;

c) garantir a integração do PGSEG nos processos da Secretaria;

d) prezar para que o PGSEG alcance os seus objetivos;

e) promover a melhoria contínua.

II - promover a capacitação e conscientização relativos à Segurança da Informação;

III - normatizar e operacionalizar as diretrizes estabelecidas nas normas relativas à Segurança da Informação.

SEÇÃO II

DOS GESTORES DE NEGÓCIO

Art. 82. No âmbito da POSIN, cada unidade da Secretaria contará com um servidor ativo designado como Gestor de Negócio, que será o responsável pela gestão da Segurança da Informação no âmbito da unidade e das competências a ela atribuídas.

Art. 83. O Gestor de Negócio no âmbito da POSIN será o gestor da unidade, que poderá delegar expressamente, inclusive por meio eletrônico, essa atribuição.

Parágrafo único. Conflitos de competência, tanto positiva quanto negativa, serão dirimidos pelo Comitê Executivo do PGSEG.

Art. 84. O Gestor de Negócio possui autonomia, assim entendida como a conjugação de habilidades e responsabilidade, para gerir as Informações da sua unidade ou sob sua guarda, alinhada aos objetivos de negócio da Secretaria ao mesmo tempo em que mantém aderência à Segurança da Informação conforme disposto nesta POSIN e em suas Normas Complementares.

Art. 85. Sem prejuízo da atuação do Comitê Executivo, o Gestor de Negócio tem como atribuições:

I - promover a cultura da Segurança da Informação nas suas equipes, incentivando a participação em atividades de sensibilização, conscientização, capacitação e especialização e facilitando a disseminação e a implantação da Segurança da Informação no âmbito das suas áreas de atuação;

II - orientar seus subordinados quanto à existência e aplicabilidade à sua unidade desta POSIN, das Normas Complementares, Boas Práticas e Manuais Operacionais, com o apoio técnico da COTEC, se necessário;

III - elaborar e publicar Manuais Operacionais para a sua unidade, com o apoio técnico da COTEC, se necessário;

IV - propor melhorias e novos procedimentos de Segurança da Informação relacionados às suas áreas de competência, submetendo as propostas ao Comitê Executivo;

V - gerir, dentro dos limites da sua atuação e da sua unidade, os controles a serem realizados em termos de Segurança da Informação e determinar, de forma subsidiária ao estabelecido nas normas vigentes e ao estabelecido pelo Comitê Executivo, eventuais controles adicionais que se façam convenientes ou necessários para a unidade;

VI - classificar as Informações de sua unidade ou sob sua guarda, de acordo com os critérios estabelecidos nas normas vigentes;

VII - atuar de forma diligente com relação a incidentes e vulnerabilidades das Informações de sua unidade ou sob sua guarda;

VIII - atuar de forma tempestiva com relação a incidentes de criticidade alta, realizando o seu tratamento em caráter precário enquanto não houver a atuação do Comitê Executivo;

IX - resolver, de maneira motivada, excepcional e pontual, eventuais conflitos entre os interesses da Secretaria e as normas de Segurança da Informação, apenas com relação a incidentes ou não-conformidades irrelevantes ou de criticidade baixa com relação à Segurança da Informação de sua unidade ou sob sua guarda;

X - comunicar imediatamente casos relevantes de violação de Segurança da Informação ao Comitê Executivo;

XI - participar e apoiar integralmente a apuração de incidentes de Segurança da Informação relacionados à Informação sob a guarda ou responsabilidade da unidade e prover informações acerca da Segurança da Informação para o Comitê Executivo ou para a Alta Administração, no âmbito da sua atuação e da atuação da sua unidade.

Art. 86. Todo sistema deverá estar vinculado a um Gestor de Negócio, que será responsável pela gestão do sistema em termos de regras de negócio.

Parágrafo único. O Gestor de Negócio terá o apoio técnico da COTEC.

Art. 87. Caso o sistema seja gerido por apenas uma unidade organizacional ou implemente regras de negócio de apenas uma unidade organizacional, o Gestor de Negócio vinculado ao sistema será o dessa unidade.

Art. 88. Caso o sistema seja gerido por mais de uma unidade ou implemente regras de negócio de mais de uma unidade, o primeiro superior hierárquico comum a todas designará o Gestor de Negócio associado ao sistema, dentre os das unidades envolvidas.

Art. 89. Em caso de indefinição sobre qual unidade realiza a gestão do sistema, o Gestor de Negócio associado ao sistema será o da unidade cujas competências ou atribuições funcionais estejam mais alinhadas com as regras de negócio implementadas pelo sistema.

Art. 90. O Comitê Executivo poderá definir quem será o Gestor de Negócio em caso de haver conflitos de interesse que dificultem ou inviabilizem a definição consoante os itens anteriores.

Art. 91. A partir da publicação desta norma, novos sistemas só poderão entrar em produção se houver um Gestor de Negócio previamente associado consoante os critérios anteriores.

Art. 92. Os sistemas já em produção no momento da publicação desta norma terão seus respectivos Gestores de Negócio definidos pela COTEC, conforme os critérios anteriores, podendo o Comitê Executivo rever a atribuição dos sistemas.

Art. 93. A COTEC poderá definir outros ativos, além de sistemas, que deverão ter um vínculo expresso com um Gestor de Negócio.

SEÇÃO III

DOS SERVIDORES E COLABORADORES

Art. 94. São deveres de todo servidor ou colaborador da Secretaria:

I - adotar e promover a cultura da Segurança da Informação nas suas atividades, participando de atividades de sensibilização, conscientização, capacitação e especialização, facilitando a disseminação e a implantação da Segurança da Informação no âmbito da sua atuação, seguindo sempre que possível os procedimentos definidos como Boas Práticas e cumprindo com os deveres dispostos na POSIN e nas demais normas de Segurança da Informação;

II - buscar orientação do superior hierárquico imediato em caso de dúvidas relacionadas à Segurança da Informação;

III - assinar os termos ou instrumentos equivalentes que venham a ser instituídos por normas de Segurança da Informação, formalizando a ciência e o aceite da política, das normas e procedimentos respectivos, bem como assumindo responsabilidade por seu fiel cumprimento no que diz respeito a suas atribuições;

IV - utilizar os recursos de segurança que lhe forem disponibilizados para proteger as informações a que tenha acesso contra acesso, modificação, destruição ou divulgação não autorizados nos termos da POSIN e Normas Complementares;

V - sugerir melhorias em termos de Segurança da Informação no âmbito das suas atividades, competências ou conhecimentos.

CAPÍTULO VIII

DAS DISPOSIÇÕES GERAIS

Art. 95. A POSIN e suas Normas Complementares serão disponibilizadas para consulta de todos os servidores e colaboradores na rede corporativa desta Secretaria, sem prejuízo da publicação oficial.

Art. 96. Alterações na POSIN e/ou nas Normas Complementares serão objeto de ampla divulgação.

Art. 97. Além do disposto nesta POSIN, as iniciativas de Segurança da Informação desta Secretaria deverão também se orientar, de forma subsidiária e sem prejuízo da aplicação do Princípio da Razoabilidade e das restrições orçamentárias, pelas melhores práticas e procedimentos de Segurança da Informação recomendados oficialmente por órgãos e entidades públicas e privadas responsáveis pelo estabelecimento de padrões.

Art. 98. O disposto na Portaria SF 39/2007, que dispõe sobre o controle de acesso aos bancos de dados da Secretaria Municipal da Fazenda – SF, fica recepcionado por esta POSIN até a publicação de uma Norma Complementar que contenha disposições sobre o mesmo tema.

Art. 99. O disposto na Portaria SF 104/2010, que disciplina a utilização, controle e responsabilidade pelos ativos de informação da Secretaria Municipal da Fazenda, fica recepcionado por esta POSIN até a publicação de uma Norma Complementar que contenha disposições sobre o mesmo tema.

Art. 100. As normas de referência desta POSIN são:

I - Constituição Federal de 1988 e suas atualizações, notadamente o artigo 5º;

II - Código Tributário Nacional e suas atualizações, notadamente o artigo 198;

III - Código Penal Brasileiro e suas atualizações, notadamente os artigos 153, 313-A, 313-B e 325;

IV - Lei 12.527, de 2011 (Lei de Acesso à Informação) e o Decreto 53.623, de 2012, e suas atualizações, que regulamenta a Lei no âmbito municipal;

V - Lei 14.098, de 2005 e o Decreto 49.914, de 2008, que dispõe sobre a proibição de acesso a “sites” da Internet com conteúdos relacionados a sexo, drogas, pornografia, pedofilia, violência e armamento, no âmbito dos órgãos integrantes da Administração Municipal Direta e Indireta;

VI - Lei 12.737, de 2012, que dispõe sobre a tipificação criminal de delitos informáticos;

VII - Lei 12.965, de 2014 (Marco Civil da Internet);

VIII - Decreto 56.130, de 2015 e suas atualizações, que institui, no âmbito do Poder Executivo, o Código de Conduta Funcional dos Agentes Públicos e da Alta Administração Municipal;

IX - Orientação Normativa PREF nº 02, de 2013;

X - Padrões internacionais ISO 27001/2022, ISO 27002/2022 e ISO 27014/2022, que versam respectivamente sobre Requisitos da Segurança da Informação, Boas Práticas da Segurança da Informação e Governança da Segurança da Informação;

XI - Lei 13.709, de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD).

CAPÍTULO IX

DA ATUALIZAÇÃO

Art. 101. Esta POSIN deverá ser revisada e atualizada a cada três anos ou quando houver fatos relevantes que exigirem revisão extemporânea.

§ 1º As Normas Complementares serão revisadas a cada dois anos ou sempre que surgirem fatos relevantes que justifiquem a revisão.

§ 2º A revisão e a atualização da POSIN e das Normas Complementares serão realizadas pelo Comitê Executivo, com o apoio de todas as unidades da Secretaria.

Publicação referente ao doc. SEI! nº 109118085