Vitorino Santos Raminhos
1 PORTARIA Nº RJ-PGD-2010/00020 de 3 de março de 2010 O JUIZ FEDERAL - DIRETOR DO FORO E CORREGEDOR PERMANENTE DOS SERVIÇOS AUXILIARES DA - SEÇÃO JUDICIÁRIA DO RIO DE JANEIRO, no uso de suas atribuições legais, e considerando a implementação da Política de Segurança da Informação estabelecida no âmbito do Conselho e da Justiça Federal de primeiro e segundo graus; considerando a necessidade de atualização periódica da regulamentação de Segurança da Informação e de Utilização dos Recursos de Tecnologia da Informação; considerando a apreciação e aprovação pelo Conselho Consultivo da Direção do Foro, na sessão de 26 de fevereiro de 2010, RESOLVE: I - Aprovar o Regulamento que dispõe sobre a Política de Utilização dos Recursos de Tecnologia da Informação no âmbito da Seção Judiciária do Rio de Janeiro, constante do ANEXO I. II - Aprovar as Regras de Aceitabilidade - RA, constantes do ANEXO II. III- Republicar o Regulamento, consolidando as alterações realizadas. IV - Esta Portaria entra em vigor na data de sua publicação. Revogam-se as Portarias Nº RJ-PGD-2008/00037, RJ-PGD-2008/00074 e RJ-PGD-2007/ PUBLIQUE-SE. REGISTRE-SE. CUMPRA-SE. ALEXANDRE LIBONATI DE ABREU Juiz Federal - Diretor do Foro RJPGD A Documento Nº: consulta à autenticidade em Classif. documental
2 Anexo ao documento RJ-PGD-2010/00020 ANEXO Nº RJ-ANE-2010/00124 REGULAMENTO Estabelece a Política de Utilização de Recursos de Tecnologia da Informação na SJRJ. Seção I Das Convenções Art.1º Neste Regulamento são utilizadas as seguintes denominações: I - DIRFO, para Direção do Foro; II- SJRJ, para Seção Judiciária do Rio de Janeiro; III - STI, para Subsecretaria de Tecnologia da Informação e de Comunicações; IV - TRF2R, para Tribunal Regional Federal da 2ª Região; V- TI, para Tecnologia da Informação; VI- SG, para Secretaria Geral; VII - SG-SEI, para Secretaria Geral - Segurança da Informação; VIII - UO, para Unidade Organizacional; IX - CLSI, para Comissão Local de Segurança da Informação; X - CLRI, para Comissão Local de Resposta a Incidentes de Segurança da Informação; XI - RA, Regras de Aceitabilidade; XII - PSI-JF, para Política de Segurança da Informação da Justiça Federal - Resolução n. 006/2008-CJF. Seção II Da Política de Segurança da Informação Classif. documental
3 Art.2º Este Regulamento é um documento acessório da Política de Segurança da Informação da Justiça Federal (PSI-JF) e estabelece as regras de segurança da informação no uso dos recursos de TI no âmbito da SJRJ. Art.3º As disposições contidas neste Regulamento se aplicam aos agentes públicos em exercício na SJRJ, aos funcionários de empresas prestadoras de serviços terceirizados não eventuais, aos servidores e empregados de entidades conveniadas e aos estagiários em atividade na SJRJ, conforme estabelecido na PSI-JF, Resolução nº 006/2008-CJF. Parágrafo único. As disposições também se aplicam a outras pessoas que se encontrem a serviço da SJRJ, autorizadas a utilizar os recursos de TI em caráter temporário. Art.4º Os contratos de prestação de serviço e os convênios celebrados com a SJRJ deverão ter cláusula específica, exigindo das empresas contratadas e das entidades conveniadas o cumprimento do presente Regulamento pelos prepostos por ela alocados, bem como prevendo as penalidades decorrentes da sua inobservância. Parágrafo único. Os atos já celebrados pela SJRJ, e em vigor na data de publicação deste Regulamento, deverão ser adequados, na ocasião de aditamento, com a inclusão da cláusula especificada no caput. Art.5º Os funcionários de empresas prestadoras de serviços terceirizados, os servidores e empregados de entidades conveniadas e os estagiários em atividade na SJRJ que utilizem os recursos de TI devem assinar previamente um termo de responsabilidade conforme modelo padronizado. Art.6º As competências da CLSI são definidas no ato próprio de sua constituição que detalha ou complementa as seguintes atribuições: I - assessorar a Administração e propor ações preventivas e educativas de segurança; II - manter atualizada a regulamentação e os documentos acessórios da PSI-JF, de acordo com a periodicidade determinada em cada um; III - utilizar métricas de segurança da informação definidas nos termos da PSI-JF; IV - coordenar as atividades e analisar os resultados da CLRI. Art.7º As competências da CLRI serão definidas no ato próprio de sua constituição que detalhará ou complementará as seguintes atribuições: 2
4 I - executar as ações de resposta e tratamento a qualquer incidente de segurança no âmbito da SJRJ, dando ciência à CLSI e à STI, por meio de relatórios periódicos, além de manter o registro estatístico e pericial dos incidentes; II - classificar os incidentes de segurança de acordo com as métricas definidas nos termos da PSI-JF, solicitando auxílio superior sempre que o evento atingir os parâmetros de relevância definidos; III - manter estreito intercâmbio com os outros grupos e comissões semelhantes da JF; IV - auxiliar na implementação e revisão dos documentos acessórios da PSI-JF. Art.8º São atribuições da SG-SEI: I - coordenar e controlar a implementação das ações propostas pela CLSI; II - coordenar e orientar a utilização dos recursos de TI nos termos das competências estabelecidas neste regulamento; III - organizar, prover os meios e secretariar a CLSI; IV - assessorar a Secretaria Geral nos assuntos pertinentes à Segurança da Informação. Seção III Dos Recursos de Tecnologia da Informação Art.9º Os recursos de TI são: I - os microcomputadores de mesa e portáteis e seus dispositivos periféricos, como teclado, mouse, caixas de som, microfone, leitoras, gravadoras e demais acessórios; conectados ao computador; II - os scanners, impressoras, câmeras e demais equipamentos periféricos acessórios a estações de trabalho; III - os programas de computador e sistemas adotados, bem como aqueles desenvolvidos pela SJRJ; IV - os equipamentos e serviços de rede da SJRJ, que compreendem as redes locais e remotas, bem como a rede de comunicação que as interligam; 3
5 V - os dispositivos de assinatura digital, como tokens e smartcards; VI - quaisquer outros elementos ou recursos que constituam ativos ou serviços de informação, conforme tratado na NBR/ISO/IEC 27002:2005. Art.10 São atribuições da STI: I - planejar as ações efetivas e organizar a infraestrutura e serviços de TI orientados pelos objetivos estratégicos da SJRJ; II - adquirir ou desenvolver as soluções de TI mais efetivas para os usuários, implementadas e integradas aos processos de trabalho; III - disponibilizar os recursos de TI aos usuários e fornecer os serviços de suporte com níveis adequados de qualidade e segurança; IV - monitorar e avaliar sistematicamente a qualidade e a conformidade dos recursos fornecidos com os padrões de segurança, controle e desempenho; V - manter padrões de tecnologia e procedimentos orientados para a eficiência dos recursos, a qualidade dos serviços e a segurança da informação. Art.11 Os recursos de TI disponibilizados para o usuário devem ser utilizados essencialmente em atividades relacionadas às atribuições funcionais da Justiça Federal. O usuário é responsável pelo uso e conservação dos recursos a que tem acesso e deve zelar pelo seu estado, integridade e funcionamento, comunicando qualquer defeito ou anormalidade à STI. Parágrafo único. Outras finalidades de uso são admitidas, desde que não comprometam o desempenho funcional e estejam em conformidade com as Regras de Aceitabilidade (RA) definidas em anexo deste Regulamento. Art.12 De modo a preservar o ambiente computacional da SJRJ, é vedado aos usuários o fornecimento de informações a terceiros sobre características, funcionalidades e configurações dos recursos de TI disponíveis, ressalvada a possibilidade de disposição de tais informações pela STI, quando o desempenho de atividades institucionais assim exigir. Art.13 É vedada a utilização dos recursos computacionais disponíveis com o objetivo de praticar ações maliciosas contra outros recursos da rede de computadores da SJRJ ou redes externas, dentre os quais: equipamentos servidores, estações de trabalho, equipamentos de rede, serviços de segurança e sistemas de informação. 4
6 Seção IV Das Estações de Trabalho Art.14 As estações de trabalho são constituídas pelos microcomputadores de mesa ou portáteis, pelos dispositivos periféricos agregados, pelo sistema operacional e pelos programas instalados, formando um conjunto de acordo com o padrão base, estabelecido pela STI para atender às necessidades da maioria dos usuários, ou com um padrão especial, estabelecido para UOs específicas. 1º É vedada ao usuário a alteração da configuração de componentes e dispositivos, a instalação de programas e a alteração da configuração do ambiente do sistema operacional, ressalvados os ajustes autorizados no perfil de usuário padrão. 2º Nos casos de usuários com necessidades especiais ou UOs com requisitos funcionais diferenciados, os ajustes podem ser efetuados pela STI mediante solicitação fundamentada do titular da UO, condicionados pela disponibilidade de equipamentos ou licenças de uso. 3º Nos casos de diferenciação em que haja questionamento quanto à pertinência da fundamentação, cabe a SG-SEI deliberar, podendo solicitar parecer de UO competente em função da natureza dos argumentos. 4º Quando autorizados, a alteração da configuração de componentes e dispositivos, a instalação de programas e a alteração da configuração do ambiente do sistema operacional devem ser realizados por técnico qualificado da STI. 5º As manutenções corretiva e preventiva dos equipamentos só devem ser feitas por técnicos qualificados e autorizados pela STI. Art.15 Os programas de computador adotados pela SJRJ e os sistemas desenvolvidos internamente ou por terceiros devem ser previamente testados e formalmente homologados e somente podem ser instalados nas estações de trabalho por técnico qualificado da STI, condicionada à disponibilidade de licença de uso. 1º Nos casos de necessidade de programas especiais, atualizações ou novos programas que não impliquem em aquisição ou possuam licença de uso aberta para organizações como a SJRJ, a instalação pode ser autorizada pela STI para uso restrito na estação de trabalho do solicitante, incluindo módulos funcionais complementares ao programa principal, desde que haja informações disponíveis na rede mundial sobre a qualidade, segurança e confiabilidade do programa. 5
7 2º Nos casos de necessidade de programas especiais, atualizações ou novos programas que impliquem em aquisição, a solicitação fundamentada deve ser encaminhada pelo titular da UO para avaliação da STI e posterior inclusão no planejamento de aquisições, desde que aprovada. 3º Nos casos de solicitação de aquisição em que haja questionamento quanto à pertinência da fundamentação, cabe a SG-SEI deliberar, podendo solicitar parecer de UO competente em função da natureza dos argumentos. 4º Nos casos de programas autorizados para uso restrito que demonstrem utilidade para outras UOs ou apresentem demandas para uso em mais estações, a STI deve proceder à avaliação e homologação formal. Art.16 A instalação e cópia de programas e sistemas nas estações de trabalho e equipamentos servidores deve observar as seguintes restrições: 1º É vedada a cópia de programas de computador, licenças de uso e sistemas implantados nas estações de trabalho e servidores da SJRJ para uso externo, sem que haja regularização formal do licenciamento de uso. 2º É vedada a utilização de programas nas estações de trabalho e servidores de rede que não possuam o devido licenciamento de uso ou que possam comprometer a segurança dos recursos de rede. 3º A STI deve remover, mediante comunicação prévia, qualquer programa de computador instalado em estação de trabalho que não se enquadre nos critérios estabelecidos neste Regulamento. Art.17 Somente em casos excepcionais, por necessidade de serviço, será concedido perfil especial de permissões para usuários das estações de trabalho, servidores do quadro de pessoal, mediante solicitação do titular da unidade à SG-SEI, que poderá condicionar a concessão à assinatura de termo de responsabilidade. 1º Os servidores que possuam o perfil especial de permissões equivalente ao perfil de administrador local da estação de trabalho podem realizar nestas os mesmos procedimentos restritos aos técnicos qualificados da STI, observados os padrões de tecnologia e procedimentos de segurança estabelecidos. 2º Os servidores referidos podem ser incluídos no grupo restrito com permissão para baixar os arquivos executáveis para os quais tenham autorização de uso. 6
8 Art.18 É vedado aos usuários com privilégio de administrador local da estação de trabalho o compartilhamento de recursos ou ativação de serviços de rede nas estações de trabalho. Art.19 É vedada a utilização de microcomputadores particulares, portáteis ou não, na rede da SJRJ, bem como a instalação de quaisquer equipamentos, periféricos, componentes ou placas de hardware que não tenham sido adquiridos pela SJRJ, exceto em situações de contingência e com acompanhamento de técnico qualificado da STI, mediante autorização da SG-SEI. Parágrafo único. A instalação só será permitida nos casos em que existam contratos de prestação de serviços, locações ou convênios firmados com a SJRJ e a especificação técnica do material a ser instalado possa ser previamente analisada e aprovada pela STI. Art.20 É vedada a conexão de equipamentos de rede sem fio (Wireless Access Point) na rede da SJRJ, exceto aqueles autorizados pela STI. Art.21 Compete à STI implementar as medidas para garantir a proteção contra vírus e programas maliciosos nas estações de trabalho, podendo agendar e realizar varredura nos equipamentos sempre que julgar necessário, mediante comunicação em tempo hábil aos usuários, ressalvadas as situações de risco imediato ou ocorrência de incidente. Art.22 É de responsabilidade do usuário a guarda e adequada utilização de dispositivos de armazenamento externos (tokens, cartões de memória, pendrives, CDs, DVDs, etc.), bem como a realização de procedimento padrão de segurança para garantir a remoção de informações relevantes antes do descarte do dispositivo. Art.23 O usuário é responsável pela guarda, manutenção da integridade física e adequada utilização das estações portáteis e dispositivos móveis e o Termo de Responsabilidade deverá ser utilizado como documento de autorização para o uso do equipamento. 1º Em viagens, as estações portáteis devem ser transportadas como bagagem pessoal, de forma que o usuário responsável traga-as sempre consigo, não devendo ser despachadas em compartimento de bagagem. 2º Na ocorrência de qualquer evento danoso ou extravio do equipamento, a DIRFO deverá ser comunicada imediatamente, no caso de o usuário ser magistrado. No caso de servidores, a comunicação deverá ser feita à SG. 3º No caso de roubo e furto, deverá ser apresentado o registro da ocorrência policial. 7
9 Seção V Do Acesso Físico Art.24 Quaisquer movimentações de equipamentos no âmbito da SJRJ devem ser atualizadas pelos respectivos responsáveis das unidades envolvidas no sistema de patrimônio. Art.25 Antes do envio de equipamentos para manutenção ou alienação, deve ser realizado procedimento padrão de segurança para garantir o backup e a remoção de informações relevantes. Parágrafo único: Deve ser prevista a inclusão de cláusula nos contratos sobre apagamento seguro de dados relevantes antes do descarte de componentes. Art.26 A retirada de equipamentos de informática da SJRJ, para qualquer fim, deve ser previamente lançada no sistema de patrimônio, onde será gerada a respectiva autorização de saída, mantendo-se registro da saída e posterior devolução, quando for o caso. Art.27 O ambiente físico em que se encontram os equipamentos servidores e equipamentos de rede deve ser protegido e ter acesso restrito ao pessoal da STI e da SG-SEI. Seção VI Das Unidades de Armazenamento de Rede Art.28 São de responsabilidade da STI a disponibilização de unidades de armazenamento de rede para usuários da SJRJ e a execução de suas cópias de segurança. Parágrafo único. A STI somente será responsável pela execução de cópia de segurança de arquivos da estação de trabalho quando não for disponibilizado o armazenamento em rede para os mesmos, desde que observado o disposto no art.30. Art.29 O usuário deve manter os arquivos de trabalho nas unidades de armazenamento de rede citadas no artigo anterior. Art.30 O usuário deve manter nas unidades de armazenamento de rede apenas arquivos que estejam estritamente relacionados às atividades desempenhadas na SJRJ, sendo vedada a gravação de arquivos que não atendam tal finalidade. Parágrafo único. A STI poderá solicitar aos gerentes das UOs a verificação da conformidade de seus arquivos de trabalho ao dispositivo do caput. 8
10 Art.31 A STI pode adicionar às unidades descritas anteriormente outras unidades de armazenamento de rede públicas, com direito de acesso a todos os usuários de uma rede local, para compartilhamento temporário de arquivos entre diferentes unidades ou áreas. Art.32 A STI poderá efetuar limpeza periódica nas unidades de rede descritas no artigo anterior, mediante comunicação prévia aos usuários. Art.33 A capacidade das unidades de rede será limitada, considerando a disponibilidade de espaço no equipamento servidor e as atividades inerentes às unidades ou áreas. Parágrafo único. A definição do espaço será estabelecida em conjunto pelas UOs e a STI. Caberá à SG-SEI arbitrar em caso de divergências. Seção VII Do Acesso Lógico Art.34 Os usuários somente podem acessar os ativos de informação e os recursos para os quais estejam autorizados. Art.35 Os direitos de acesso dos usuários devem seguir a Política de Controle de Acesso Lógico a ser estabelecida em regulamento específico e que deverá detalhar ou complementar as seguintes condições mínimas: I - deverão ser definidos pela STI, perfis de acesso para as UOs, grupos funcionais, usuários padrão e usuários especiais; II - o gerenciamento de permissões específicas dos ativos de informação será autorizado pelos respectivos administradores; III - as solicitações para acesso aos ativos de informação serão formuladas pelos gerentes das UOs. Seção VIII Da Identificação do Usuário e Senha de Acesso Art.36 Para utilização das estações de trabalho da SJRJ será necessária a autenticação do usuário, mediante identificação (login) e senha de acesso. 9
11 Art.37 A senha de acesso é de uso pessoal e intransferível e sua divulgação é vedada sob qualquer hipótese, devendo ser alterada pelo próprio usuário no primeiro acesso. Qualquer utilização, por meio da identificação e da senha de acesso, é de responsabilidade do usuário ao qual as informações estão vinculadas. Art.38 Os usuários são responsáveis pela segurança de suas identidades (logins) e de suas senhas. A identidade e sua respectiva senha são atribuídas a um único usuário e não devem ser compartilhadas com mais pessoas. Os usuários devem relatar imediatamente à STI qualquer suspeita de tentativa de violação de segurança, bem como qualquer anormalidade percebida pelo usuário quanto ao privilégio de seu acesso aos recursos de TI. Art.39 A concessão, a utilização e a revogação da identificação e da senha de acesso concedidas a estagiário e a funcionário de empresa prestadora de serviços terceirizados é de responsabilidade do responsável pela UO em que o mesmo estiver alocado. Art.40 O gerenciamento de senha deve seguir a Política de Controle de Acesso Lógico a ser estabelecida em regulamento específico e que deverá detalhar ou complementar as seguintes condições mínimas: I - a geração e a entrega de senhas ao usuário deve ser feita por um procedimento padronizado e seguro; II - a escolha de senha pelo usuário deve ser condicionada por critérios de segurança para a qualidade da senha. Art.41 Ao ser credenciado para uso dos recursos de TI, é atribuído ao usuário um perfil, que corresponde a seus direitos e privilégios para acesso a serviços e informações, pelo uso dos quais será diretamente responsável e que não podem, em hipótese alguma, ser transferidos a terceiros. Parágrafo único. Os usuários que possuírem o perfil especial de administrador de recursos deverão usá-lo preferencialmente nas tarefas de administração do recurso, sendo recomendado o uso do perfil padrão de usuário para as demais tarefas. Art.42 É atribuição da STI a alteração e a revogação de permissões de acesso aos serviços e sistemas de uso geral, bem como a alocação de usuários nos perfis de UO e nos perfis padrão. 1º A gestão de usuários e o controle de acessos dos serviços e sistemas de uso específico é atribuição dos gestores destes sistemas ou, por delegação, dos gestores das UOs. 10
12 2º No caso dos sistemas indicados no parágrafo anterior, poderão ser exigidas identificação e senha específicas, que somente serão fornecidas mediante critérios específicos e objetivos, estabelecidos pelos respectivos gestores. 3º As informações relativas a lotação, afastamentos definitivos ou temporários, desligamentos, aposentadorias e relotações de servidores, magistrados, prestadores de serviço, estagiários e demais usuários dos recursos de TI da SJRJ deverão ser comunicadas tempestivamente à STI. Art.43 Usuários em trânsito poderão utilizar os recursos de TI nas unidades em que estiverem trabalhando. Art.44 No caso de ausência do local de trabalho, mesmo que temporariamente, o usuário deverá desconectar (logoff) ou bloquear o acesso a sua estação de trabalho. Art.45 As identidades de usuário (login) de rede que apresentem inatividade por 90 dias corridos poderão ser automaticamente suspensas. Art.46 Os equipamentos servidores, switches, firewalls, e roteadores deverão ser protegidos por senha, que será de conhecimento exclusivo da STI. Seção IX Do Acesso a Redes Externas e a Internet Art.47 O acesso a redes externas, a partir da rede interna da SJRJ, só é permitido pelos meios disponibilizados e configurados pela STI, sendo vedado o uso de qualquer outra forma de conexão. Art.48 O acesso aos conteúdos de informação, serviços e recursos de comunicação pela Internet devem ser conduzidos nos termos estabelecidos no art.11. Parágrafo único. O acesso a sítios e serviços que estejam enquadrados como práticas proibidas ou que tenham sido bloqueados, mas que sejam necessários ao desempenho das atribuições funcionais do usuário, poderão ser liberados mediante solicitação à SG-SEI, que analisará, considerando a oitiva da STI. Art.49 A STI poderá bloquear o acesso a sítios e serviços que possuam conteúdo proibido ou que possam comprometer o desempenho da rede da SJRJ. 11
13 Seção X Da Utilização do Correio Eletrônico Corporativo Art.50 O serviço de correio eletrônico é destinado a agilizar a comunicação corporativa e sua utilização deve ser conduzida nos termos estabelecidos no art.11. Art.51 Na operacionalização do serviço de correio eletrônico a STI poderá estabelecer as seguintes restrições: I - a limitação da capacidade de armazenamento das caixas postais por cotas definidas segundo critérios organizacionais; II - a limitação de tamanho para arquivos anexados às mensagens e o respectivo bloqueio; III - o bloqueio do recebimento de anexos em função do tipo de arquivo considerado como ameaça potencial; IV - o bloqueio e posterior exclusão de caixas postais que apresentem inatividade por mais de 90 dias, sem justificativa formal. Parágrafo único. Os bloqueios poderão ser liberados mediante solicitação do usuário, por conveniência do serviço. Art.52 Compete à STI implementar mecanismos eficazes de proteção do serviço de correio eletrônico contra ameaças e práticas inaceitáveis como SPAM, Phishing, entre outras. Seção XI Da Administração dos Recursos de Tecnologia da Informação Art.53 A administração dos sistemas de TI será desenvolvida por pessoas do quadro funcional habilitados com perfil especial de administração dos recursos de TI. 1º Os administradores dos recursos de TI da SJRJ são responsáveis pelo uso criterioso dos recursos sob sua responsabilidade, devendo zelar pela disponibilidade integridade e confidencialidade dos sistemas e dos dados sob seus cuidados. 2º A administração dos perfis de usuários, bem como o detalhamento sobre a administração dos recursos de TI será tratada pela Política de Controle de Acesso Lógico. 12
14 3º Os servidores referidos devem ser incluídos no grupo restrito com permissão para baixar os arquivos executáveis para os quais tenham autorização de uso. 4º Em casos excepcionais, definidos pela STI, os funcionários de empresas contratadas podem ser habilitados como administradores de recursos específicos, desde que amparado por previsão contratual com cláusula de responsabilidade. Seção XII Dos Recursos de Certificação Digital Art.54 A utilização dos recursos de certificação digital no âmbito da SJRJ deve seguir a normatização, os padrões e os procedimentos previstos na Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) e as regras específicas da Autoridade Certificadora do Poder Judiciário (AC-Jus). 1º No caso de aplicações de uso interno da SJRJ, nas quais não haja necessidade de eficácia probatória, ou que tenham propósitos de capacitação, desenvolvimento, experimentação, ou semelhantes, poderão ser admitidos outros padrões de certificados. 2º O detalhamento dos critérios de utilização, dos perfis de usuário, dos padrões e dos procedimentos de certificação digital será tratado pela Política de Controle de Acesso Lógico. Art.55 Compete à CLSI: I - assessorar a Administração nos aspectos de segurança da certificação digital; II - analisar e dirimir dúvidas quanto à utilização e conformidade com as normas e padrões pertinentes; III - manter atualizado o detalhamento dos aspectos de certificação digital nos documentos acessórios da política de segurança (PSI-JF) de sua competência. Art.56 Compete à SG-SEI: I - organizar, coordenar e controlar as atividades para solicitação, autorização, emissão, renovação e revogação de certificados digitais para usuários finais na esfera da SJRJ; II - planejar, conduzir e controlar os contratos ou convênios com Autoridades Certificadoras e Autoridades de Registro necessários para o fornecimento de certificados digitais na esfera de sua competência; 13
15 III - analisar e controlar a conformidade das práticas de certificação digital com as diretrizes da CLSI. Art.57 Compete à STI: I - planejar, organizar, adquirir e disponibilizar os dispositivos de certificação digital para utilização na SJRJ, bem como fornecer os serviços de suporte aos usuários finais com níveis adequados de qualidade e segurança; II - organizar, conduzir e controlar as atividades para emissão, renovação e revogação de certificados digitais do tipo Equipamento Servidor, destinado a aplicações e equipamentos servidores em uso pela SJRJ, e do tipo Código Seguro, destinado à assinatura do código de programas de computador; III - elaborar, implementar e controlar as especificações dos equipamentos e sistemas que utilizam a certificação digital em conformidade com os requisitos funcionais, tecnológicos, legais e de segurança; IV - manter e assegurar os padrões, os procedimentos e as práticas de certificação digital em conformidade com as normas e padrões da ICP-Brasil e com as diretrizes da AC-Jus e da CLSI. Seção XIII Das Penalidades Art.58 O descumprimento do disposto neste Regulamento configura, sem prejuízo das sanções penais cabíveis: I - Inobservância do dever funcional por parte do servidor, ficando o mesmo sujeito às penalidades previstas no capítulo V, do título IV da Lei 8.112/90. II - Descumprimento de obrigação assumida no Termo de Compromisso de Estágio, no caso de estagiário, nos termos do item IV, art. 34, Resolução n. 039/2008-CJF. III - Descumprimento das obrigações contratuais, no caso de prestador de serviço, nos termos do contrato vigente. Seção XIV Das Disposições Gerais 14
16 Art.59 É atribuição da STI prover os instrumentos tecnológicos, bem como desenvolver e executar os projetos de mudança necessários ao cumprimento das normas estabelecidas neste Regulamento. Art.60 A SG-SEI e a STI deverão promover periodicamente cursos, palestras e/ou informativos sobre assuntos relacionados à segurança da informação ou ao uso de recursos de TI, com vistas a manter os usuários desses recursos informados e atualizados. Parágrafo único. A STI deve publicar e atualizar na rede interna as informações sobre padrões de tecnologia, procedimentos de suporte e conservação, equipamentos e programas autorizados ou homologados, recomendações de uso e segurança, além de quaisquer outras necessárias ao desempenho funcional dos usuários e ao melhor uso dos recursos de TI. Art.61 Sempre que se julgar necessário para a preservação da integridade dos recursos computacionais da SJRJ, dos serviços, dos usuários ou dos dados, a STI poderá bloquear temporariamente, sem aviso prévio, o acesso de qualquer usuário aos recursos computacionais da SJRJ, até que seja descartada a hipótese de dano à infra-estrutura tecnológica. Art.62 A implantação de novos serviços de rede ou de bloqueios de serviços existentes ou tipos de conteúdo deve ser autorizada pela SG-SEI, mediante solicitação fundamentada da STI. Parágrafo único. Nos casos de resposta a incidentes de segurança da informação ou ameaça iminente, a STI terá a prerrogativa de bloqueio temporário de quaisquer serviços ou tipos de conteúdo, devendo comunicar posteriormente à SG-SEI. Art.63 A privacidade no acesso à Internet e no uso do correio eletrônico é garantida, mas os endereços acessados serão registrados, e o conteúdo das mensagens poderá ser rastreado ou varrido, de forma automática, por softwares especiais para verificar a adequação de seu conteúdo às normas estabelecidas. 1º Compete à SG-SEI aprovar e fiscalizar a realização pela STI do monitoramento da utilização dos recursos de TI, além de exercer a fiscalização nos casos de apuração de uso abusivo dos mecanismos do monitoramento. 2º A STI deverá informar à SG-SEI os casos com indícios concretos de uso indevido dos recursos de TI, que serão analisados e poderão ser encaminhados para apuração, por meio de procedimento administrativo cabível, podendo, inclusive, haver acesso aos conteúdos. 15
17 Art.64 Cabe à SG-SEI coordenar as unidades competentes para a padronização de procedimentos e modelos estabelecidos neste regulamento. Art.65 A CLSI deve conduzir anualmente a revisão e atualização deste Regulamento. Art.66 Nos casos em que as providências para implementação dos dispositivos desse regulamento ensejem medidas complexas envolvendo projetos técnicos e/ou aquisições, a área competente deverá elaborar estudo e submeter à SG-SEI soluções de contingência e projeto com cronograma para solução definitiva. Art.67 Os casos omissos ou divergências quanto às deliberações estabelecidas neste Regulamento, bem como as dúvidas surgidas quanto a sua aplicação serão dirimidas pela SG, quando envolverem servidores, estagiários, prestadores de serviço, empregados de entidades conveniadas, ou pela DIRFO, quando envolverem magistrados. ALEXANDRE LIBONATI DE ABREU Juiz Federal - Diretor do Foro 16
18 Anexo ao documento RJ-PGD-2010/00020 ANEXO Nº RJ-ANE-2010/00125 REGRAS DE ACEITABILIDADE - RA I - PRÁTICAS PERMITIDAS Acesso a sítios que possam ser úteis ao desenvolvimento das atividades administrativas ou funcionais do usuário, ou sítios vinculados a conteúdos e serviços de educação, saúde, desenvolvimento profissional, cidadania, serviços públicos, governo eletrônico, entre outros, notadamente sítios: 1. bancários; 2. jornalísticos; 3. de pesquisa e busca; 4. de conteúdo profissional; 5. de qualidade de vida; 6. provedores de serviço de correio eletrônico pessoal. II - PRÁTICAS PROIBIDAS Acesso a páginas na Internet com conteúdo que envolva: 1. pornografia ou pedofilia; 2. racismo, discriminação ou preconceitos de qualquer natureza, violência, ameaças, constrangimentos, apologia do uso de drogas; 3. propagandas não autorizadas, cassinos, jogos, loterias, piadas; 4. violação de segurança, invasão e adulteração (hacking), serviços de proxy, obtenção de chaves irregulares ou quebra de mecanismos de licença de uso, disseminação de vírus ou qualquer código malicioso; 5. relacionamentos pessoais, cartões eletrônicos ou comunicados não solicitados. RJANE A Documento Nº: consulta à autenticidade em Classif. documental
19 Obtenção de arquivos na Internet (download) dos seguintes tipos: 1. jogos; 2. programas executáveis; 3. arquivos de qualquer tipo para uso particular, ressalvados os conteúdos permitidos no item I; 4. arquivos de qualquer tipo com funcionalidade para ataques a recursos de TI. Atuação irregular e danosa por meio dos seguintes comportamentos: 1. utilizar mecanismos com o objetivo de descaracterizar o acesso indevido a páginas ou serviços proibidos; 2. fazer-se passar por outrem quando do uso dos recursos computacionais da SJRJ; 3. efetuar ou tentar efetuar qualquer tipo de acesso não autorizado a dados dos recursos computacionais da SJRJ, ou tentar sua alteração; 4. criar ou manter páginas pessoais ou de prestação de serviços particulares; 5. violar ou tentar violar os sistemas de segurança dos recursos computacionais da SJRJ; 6. interceptar ou tentar interceptar transmissão de dados não destinados ao seu próprio acesso; 7. varrer, rastrear ou testar vulnerabilidades de um sistema ou rede, exceto quando no desempenho de atividades de segurança na UO ou vinculadas aos grupos/serviços/uos de segurança da informação; 8. tentar a apropriação de mais recursos do que os alocados para a sua conta; 9. causar interferência em serviços de qualquer outro usuário, servidor ou rede, ataques baseados no envio de mensagens de correio eletrônico em massa, envio de grande volume de dados a fim de congestionar um serviço, tentativas de sobrecarregar um sistema ou ataques do tipo "broadcast"; 10. forjar cabeçalhos de pacotes ou quaisquer partes dos cabeçalhos em uma mensagem de correio eletrônico ou postagem em grupos de discussão. RJANE A 2 Documento Nº: consulta à autenticidade em
20 Atuação irregular no uso do correio eletrônico corporativo: 1. Não é permitido ao usuário o cadastro do endereço corporativo em qualquer tipo de sitio externo, listas de discussão, salvo se forem listas relacionadas às atividades desempenhadas na SJRJ. 2. Não é permitido o envio de mensagens sem identificação do remetente. 3. Não é permitido o envio e poderá ser bloqueado o recebimento de mensagens sobre conteúdos proibidos por esta RA. 4. Não é permitido o envio e poderá ser bloqueado o recebimento de mensagens não desejadas ("SPAM"), como circulares, manifestos políticos, correntes de cartas, boatos ("HOAX"), "links" falsos para capturar informações de terceiros, causar excessivo tráfego na rede ou sobrecarregar os sistemas computacionais. III - PRÁTICAS NÃO CLASSIFICADAS Quaisquer práticas não expressamente definidas, ou análogas a estas, devem ser precedidas de consulta ao superior imediato que poderá autorizar se considerar compatível com a presente RA ou formalizará a consulta à SG-SEI em caso de dúvida. Em qualquer prática que implique em expansão, alteração ou cause efeito nos recursos de TI, a STI deverá ser consultada. ALEXANDRE LIBONATI DE ABREU Juiz Federal - Diretor do Foro RJANE A 3 Documento Nº: consulta à autenticidade em