CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ AULA EXTRA POLTICA

CA DE SEGURANA DA INFORMAO NO MBITO DA SRF (PORTARIA SRF N 450, DE 28/4/2004) 1. INTRODUO

CURIOSIDADE: A despeito de no ser servidor da Receita Federal, sinto-me muito vontade para escrever esta aula. Pois, tenho mais de 5 anos de experincia na rea de Segurana da Informao. Por exemplo: nos anos de 2007 e 2008, em Braslia, fui instrutor dessa disciplina no Curso de Formao de Oficiais Temporrios da Marinha do Brasil; na CGU, sou Gerente do Projeto de Implementao da Poltica de Segurana Corporativa na Corregedoria-Geral da Unio. Ressalto que a Segurana Corporativa abrange a Segurana da Informao.

A Portaria SRF n 450, de 28/04/2004, dispe sobre a Poltica de Segurana da Informao no mbito da Secretaria da Receita Federal. Esse ato normativo no fez parte do programa dos concursos de AFRF/2005 e TRF/2006. Por isso no h questes anteriores para orientar nosso estudo. Todavia, de 2001 a 2003, constou dos programas de tica na Administrao Pblica o assunto Acesso aos Sistemas Informatizados da SRF, tratado nos arts. 23 a 30 da Portaria SRF n 782, de 20/06/1997. Transcrevo, abaixo, os dispositivos citados, os quais no precisam ser memorizados.

PORTARIA SRF N 782, DE 20/06/1997: DO CONTROLE DE INFORMATIZADOS (...) Art. 23. O cadastramento inicial e a atualizao de cadastradores e usurios dos sistemas informatizados da SRF sero efetuados mediante a utilizao dos formulrios do Anexo V e segundo as rotinas constantes dos Anexos II a IV. 1 O cadastramento inicial vincular o CPF do usurio a uma
Prof. Anderson Luiz

ACESSO

LGICO

AOS

SISTEMAS

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ senha secreta, pessoal e intransfervel e se consubstanciar com a assinatura do Termo de Responsabilidade. 2 Nas operaes de cadastramento inicial e atualizaes de usurios e cadastradores o nmero de inscrio no CPF e o respectivo nome do servidor devero ser validados em relao ao Cadastro de Pessoas Fsicas da SRF. 3 As habilitaes de acesso de usurios e cadastradores obedecero os critrios definidos pelo gestor de cada sistema. 4 O chefe imediato do servidor o responsvel pelo cadastramento inicial e atualizaes de acesso aos sistemas, devendo solicitar ao cadastrador competente a desabilitao dos sistemas aos quais o servidor tiver acesso quando do desligamento do setor, afastamento temporrio e outras ocorrncias que alterem a natureza das atividades dos cadastradores e usurios sob sua superviso. 5 O chefe imediato de usurios e cadastradores deve revalidar, de forma on-line, as suas habilitaes de acesso lgico, de acordo com os critrios definidos pela COTEC em ato prprio. DAS RESPONSABILIDADES FUNCIONAIS INSTITUCIONAIS E

Art. 24. responsabilidade de todos os servidores cuidar da integridade, confidencialidade e disponibilidade dos dados, informaes e sistemas da SRF, devendo comunicar por escrito chefia imediata quaisquer irregularidades, desvios ou falhas identificadas. 1 proibida a explorao de falhas ou vulnerabilidades porventura existentes nos sistemas. 2 O acesso informao no garante direito sobre a mesma nem confere autoridade para liberar acesso a outras pessoas. 3 Os usurios e os cadastradores devem manter suas senhas de acesso secretas, no podendo deixar qualquer sistema em condies de ser acessado por terceiros. Art. 25. responsabilidade da chefia imediata iniciar ao corretiva apropriada para corrigir os desvios com relao s normas desta Portaria ou procedimentos de segurana dentro de sua rea de atuao, comunicando o fato ao Gestor de Segurana de sua respectiva Regio Fiscal. Art. 26. O descumprimento das disposies desta Portaria caracterizaro infrao funcional, a ser apurada em processo administrativo disciplinar, sem prejuzo da responsabilidade penal e civil. Art. 27. O acesso imotivado do servidor aos sistemas 2

Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ informatizados da SRF constitui, sem prejuzo da responsabilidade civil e penal, infrao funcional de falta de zelo e dedicao s atribuies do cargo e descumprimento de normas legais ou regulamentares tipificadas na Lei n 8.112, de 11 de dezembro de 1990, art. 116, incisos I e III. Art. 28. Constitui descumprimento de normas legais e regulamentares e quebra de sigilo funcional de que tratam os incisos III e VIII, do art. 116, da Lei n 8.112, de 1990, a divulgao de dados obtidos dos sistemas informatizados para servidores da SRF que no estejam envolvidos nos trabalhos objeto das consultas. Art. 29. Ressalvadas as hipteses de requisies legalmente autorizadas, constitui infrao funcional de revelao de segredo do qual se apropriou em razo do cargo, tipificada no inciso IX do art. 132 da Lei n 8.112, de 1990, e crime contra a administrao pblica, tipificado no art. 325, do Decreto-Lei n 2.848, de 7 de dezembro de 1940 (Cdigo Penal) a divulgao, a quem no seja servidor da SRF, de informaes dos sistemas informatizados protegidas pelo sigilo fiscal, sujeitando o infrator penalidade de demisso. Art. 30. Sem prejuzo da responsabilidade penal e civil, na forma dos arts. 121 a 125, da Lei n 8.112, de 1990, e de outras infraes disciplinares, constitui falta de zelo e dedicao s atribuies do cargo e descumprimento de normas legais e regulamentares, na forma dos incisos I e III, do art. 116, da Lei n 8.112, de 1990, no proceder o servidor com o devido cuidado na guarda e utilizao da senha ou emprest-la a outro servidor, ainda que habilitado.

Vejam como o assunto Acesso aos Sistemas Informatizados da SRF (Portaria SRF n 782/97) foi cobrado:

(AFRF/2003) Um servidor da Secretaria da Receita Federal, por curiosidade, utilizou sua senha de acesso aos sistemas informatizados para conhecer a situao fiscal de determinadas autoridades pblicas. Manteve segredo sobre as informaes obtidas, mas, como o acesso ficou registrado, o fato chegou ao conhecimento de seus superiores. Nesta hiptese, esse servidor: a) cometeu crime contra a administrao pblica. b) cometeu crime de violao de sigilo funcional. c) cometeu infrao funcional de falta de zelo, dedicao s atribuies do cargo e descumprimento de normas legais.
Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ d) no cometeu qualquer irregularidade. e) deve receber uma meno de elogio se tiver descoberto alguma irregularidade nos dados consultados. Resposta: C Ver art. 30 da Portaria SRF n 782/97. (TRF/2003) Nos termos da Portaria SRF n 782, de 20 de junho de 1997, constitui infrao funcional de revelao de segredo do qual se apropriou em razo do cargo, a divulgao, ressalvadas as requisies legalmente autorizadas, a quem no seja servidor da SRF, de informaes dos sistemas informatizados protegidas pelo sigilo fiscal. Nesta hiptese, a previso a aplicao da seguinte penalidade: a) demisso b) suspenso c) advertncia d) multa e) exonerao Resposta: A Ver art. 29 da Portaria SRF n 782/97.

(AFRF/2002) Nos termos da Portaria SRF n 782, de 20 de junho de 1997, o servidor que no proceder com o devido cuidado na guarda ou utilizao de sua senha responder: a) penalmente. b) civil, penal e administrativamente. c) penal e administrativamente. d) civil e administrativamente. e) administrativamente. Resposta: B Ver art. 30 da Portaria SRF n 782/97. (TRF/2002) Nos termos da Portaria SRF n 782, de 20 de junho de 1997, a revelao de segredo do qual se apropriou em razo do cargo, constitui infrao funcional punvel com a penalidade de: a) multa
Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ b) demisso c) advertncia d) suspenso e) remoo Resposta: B Ver art. 29 da Portaria SRF n 782/97. (AFRF/2002) Nos termos da Portaria SRF n 782, de 20 de junho de 1997, o acesso imotivado do servidor aos sistemas informatizados da SRF constitui violao do seguinte dever funcional: a) exercer com zelo e dedicao as atribuies do cargo. b) guardar sigilo sobre assunto da repartio. c) manter conduta administrativa. compatvel com a moralidade

d) ser leal s instituies a que servir. e) zelar pela economia do material e a conservao do patrimnio pblico. Resposta: A Ver art. 27 da Portaria SRF n 782, de 20/06/1997. (AFRF/2001) Em relao segurana e o controle de acesso lgico aos sistemas informatizados da Secretaria da Receita Federal, assinale a opo falsa. a) responsabilidade da chefia imediata iniciar ao corretiva apropriada para corrigir os desvios com relao s normas da Portaria SRF n 782 de 20.06.97. b) O acesso informao no garante direito sobre a mesma. c) Os usurios dos sistemas devem manter suas senhas de acesso secretas. d) O descumprimento das normas de segurana, objeto da Portaria SRF n 782, de 20.06.97, caracteriza, exclusivamente, infrao funcional. e) proibida a explorao de vulnerabilidades porventura existentes nos sistemas. Resposta: D A letra a est certa. Ver art. 24 da Portaria SRF n 782/97. A letra b est certa. Ver art. 24, 2 da Portaria SRF n 782/97.
Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ A letra c est certa. Ver art. 24, 3 da Portaria SRF n 782/97. A letra d est errada. Ver art. 26 da Portaria SRF n 782/97. A letra e est certa. Ver art. 24, 1 da Portaria SRF n 782/97.

Repito: vocs no precisam memorizar esses artigos da Portaria SRF n 782/97. Afinal, esse normativo, que foi revogado pela Portaria n 450/04, no est previsto nos editais de AFRFB/2009 e ATRFB/2009. Ainda assim, fao questo de mostrar como o tema foi cobrado em provas. Isso serve apenas para que vocs percebam o que a ESAF quer que os(as) futuros(as) AFRFB e ATRFB saibam. Notem que o assunto cobrado em tica na Administrao Pblica, e no em Informtica (esta nem faz parte do edital!). Ademais o concurso no para a rea de Tecnologia da Informao (TI). Logo, provavelmente, ser exigido de vocs o conhecimento acerca de deveres, proibies e responsabilizaes dos servidores. Ou seja, a tendncia que a ESAF mantenha o enfoque dos concursos anteriores. Por isso, recomendo que sejam seletivos no estudo desta Portaria. Isto , no percam tempo memorizando conceitos especficos de TI. Com efeito, todos devem saber que o descumprimento das disposies constantes na Portaria SRF n 450/04, e demais normas sobre segurana da informao caracteriza infrao funcional, a ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil (Portaria n 450/04, art. 23).

IMPORTANTE: O descumprimento das disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao caracteriza infrao funcional. O descumprimento das disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil. O servidor que descumprir as disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao responder civil, penal e administrativamente.

Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ Como disse na aula demonstrativa, nosso estudo ser focado naquilo que realmente importante, naquilo que verdadeiramente exigido pelas bancas examinadoras. Dito isto, vamos em frente! 2. DISPOSITIVOS RELEVATES A Poltica de Segurana da Informao, no mbito da Secretaria da Receita Federal (SRF), tem como pressuposto a garantia da Disponibilidade, Integridade e Confidencialidade dos Ativos de informao (art. 1).

PRESSUPOSTO DA POLTICA DE SEGURANA DA INFORMAO (DICA): Disponibilidade

(sempre que necessrio as pessoas autorizadas tero acesso informao)

dos Ativos de informao.

(dados + informaes + infra-estrutura + tecnologia + hardware + software)

Garantia da

Integridade
(salvaguarda da exatido e confiabilidade)

Confidencialidade
(somente pessoas autorizadas tm acesso informao)

responsabilidade de todos os servidores cuidar da disponibilidade, integridade e confidencialidade dos ativos de informao da SRF (art. 20).

IMPORTANTE: responsabilidade de todos os servidores cuidar da DICA.

Quaisquer irregularidades, falhas ou desvios identificados pelo servidor devem ser comunicados por escrito chefia imediata e rea responsvel pela segurana da informao da sua unidade da SRF (art. 20, pargrafo nico).
Prof. Anderson Luiz

www.pontodosconcursos.com.br

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ

IMPORTANTE: O servidor deve comunicar por escrito quaisquer irregularidades, falhas ou desvios identificados chefia imediata E rea responsvel pela segurana da informao da sua unidade da SRF.

Ademais, proibida a explorao de falhas ou vulnerabilidades porventura existentes nos ativos de informao da SRF (art. 21). A fim de identific-las, a Coordenao-Geral de Tecnologia e Segurana da Informao (COTEC) poder autorizar testes controlados (art. 21, pargrafo nico).

IMPORTANTE: proibida a explorao de falhas ou vulnerabilidades.

Os ativos de informao e o ambiente informatizado da SRF devem estar em conformidade com as normas de segurana institudas pela Portaria SRF n 450 e demais normas relativas segurana da informao. Os ativos de informao da SRF devem ser protegidos contra aes intencionais ou acidentais que impliquem perda, destruio, insero, cpia, extrao, alterao, uso e exposio indevidos, em conformidade com os princpios da confidencialidade, integridade e disponibilidade. No ambiente informatizado da SRF, devem ser utilizados e instalados somente softwares homologados pela COTEC (art. 12). Ademais, a fim de garantir a DICA, vedada a alterao dos mecanismos e configuraes definidos pela COTEC, incluindo (art. 18): Infra-estrutura eltrica; Infra-estrutura lgica; Equipamentos de rede e de conectividade; Equipamentos servidores; Estaes de trabalho fixas; Estaes de trabalho mveis; Sistemas operacionais; Softwares em geral; e Dispositivos de comunicao sem fio. www.pontodosconcursos.com.br

Prof. Anderson Luiz

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ IMPORTANTE: No ambiente informatizado da SRF, devem ser utilizados e instalados somente softwares homologados pela COTEC. vedada a alterao dos mecanismos e configuraes definidos pela COTEC.

A Portaria n 450/04 deixa claro que as informaes da SRF devem ser classificadas em funo de sua importncia e confidencialidade (art. 5).

CURIOSIDADE: Essa regra decorre do Decreto n 4.553/02, que dispe sobre a salvaguarda de dados, informaes, documentos e materiais sigilosos de interesse da segurana da sociedade e do Estado, no mbito da Administrao Pblica Federal. Segundo o art. 5 do referido Decreto, os dados ou informaes sigilosos sero classificados em ultra-secretos, secretos, confidenciais e reservados, em razo do seu teor ou dos seus elementos intrnsecos. Por exemplo, so passveis de classificao como reservados dados ou informaes cuja revelao no-autorizada possa comprometer planos, operaes ou objetivos neles previstos ou referidos (Decreto n 4.553/02, art. 5, 4).

Nesse contexto, as medidas de segurana devem ser adotadas de forma proporcional aos riscos existentes e magnitude dos danos potenciais, considerados o ambiente, o valor e a criticidade da informao (art. 6). Saibam que os dados e informaes devem ser mantidos com o mesmo nvel de proteo, independente do meio no qual estejam armazenados, em que trafeguem ou do ambiente em que estejam sendo processados (art. 6, 1). Ainda nesse sentido, a Portaria SRF n 450 exige a adoo de medidas adicionais de proteo, a fim de garantir o mesmo nvel de segurana das instalaes internas da SRF, no caso de: Computao mvel; Acesso remoto ao ambiente informatizado da SRF; www.pontodosconcursos.com.br 9

Prof. Anderson Luiz

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ Operao de redes instaladas em recintos diferentes das unidades da SRF; Equipamentos destinados ao acesso pblico; e Comunicao sem fio.

importante destacar que o acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas (art. 7). Alm disso, as permisses de acesso so de uso exclusivo e intransfervel. Logo, a pessoa autorizada no pode deixar qualquer ativo de informao em condies de ser utilizado com suas permisses de acesso por terceiros (art. 7, 1). Por exemplo: Um AFRFB no pode emprestar suas senhas para outro. Saibam que a permisso de acesso de um Superintendente ser mais ampla do que a de um Delegado. Pois, as permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores (art. 7, 2). Alm disso, o acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao (art. 7, 3).

IMPORTANTE: O acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas. As permisses de acesso so de uso exclusivo e intransfervel. As permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores. O acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao.

Prof. Anderson Luiz

www.pontodosconcursos.com.br

10

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ 3. RESUMO 1) O descumprimento das disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao caracteriza infrao funcional. 2) O descumprimento das disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil. 3) O servidor que descumprir as disposies constantes na Portaria SRF n 450/2004 e demais normas sobre segurana da informao responder civil, penal e administrativamente. 4) PRESSUPOSTO DA POLTICA DE SEGURANA DA INFORMAO (DICA): Disponibilidade
(sempre que necessrio as pessoas autorizadas tero acesso informao)

dos Ativos de informao.

(dados + informaes + infra-estrutura + tecnologia + hardware + software)

Garantia da

Integridade
(salvaguarda da exatido e confiabilidade)

Confidencialidade
(somente pessoas autorizadas tm acesso informao)

5) responsabilidade de todos os servidores cuidar da DICA. 6) O servidor deve comunicar por escrito quaisquer irregularidades, falhas ou desvios identificados chefia imediata E rea responsvel pela segurana da informao da sua unidade da SRF. 7) proibida a explorao de falhas ou vulnerabilidades.
Prof. Anderson Luiz

www.pontodosconcursos.com.br

11

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ 8) No ambiente informatizado da SRF, devem ser utilizados e instalados somente softwares homologados pela COTEC. 9) vedada a alterao dos mecanismos e configuraes definidos pela COTEC. 10) O acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas. 11) As permisses de acesso so de uso exclusivo e intransfervel. 12) As permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores. 13) O acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao.

Prof. Anderson Luiz

www.pontodosconcursos.com.br

12

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ 4. EXERCCIOS 1. O servidor que descumprir as disposies constantes na Portaria SRF n 450, de 28 de abril de 2004, e demais normas sobre segurana da informao responder: a) penalmente. b) civil, penal e administrativamente. c) penal e administrativamente. d) civil e administrativamente. e) administrativamente. 2. luz da Portaria SRF n 450, de 28 de abril de 2004, julgue os itens a seguir e assinale a opo correspondente: I- O descumprimento das disposies constantes na referida Portaria e demais normas sobre segurana da informao no caracteriza infrao funcional. II- responsabilidade da chefia imediata do servidor cuidar da disponibilidade, integridade e confidencialidade dos ativos de informao da SRF. III- Quaisquer irregularidades, falhas ou desvios identificados pelo servidor devem ser comunicados por escrito chefia imediata ou rea responsvel pela segurana da informao da sua unidade da SRF. a) VVF b) VFV c) VVF d) FFV e) FFF 3. luz da Portaria SRF n 450, de 28 de abril de 2004, julgue os itens a seguir e assinale a opo correspondente: I- permitida a explorao de falhas ou vulnerabilidades porventura existentes nos ativos de informao da SRF, enquanto no identificadas pela COTEC. II- O acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas. III- As permisses de acesso so de uso exclusivo e intransfervel. a) FVF
Prof. Anderson Luiz

www.pontodosconcursos.com.br

13

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ b) VFV c) FVV d) FFV e) VFF 4. luz da Portaria SRF n 450, de 28 de abril de 2004, julgue os itens a seguir e assinale a opo correspondente: I- O acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao. II- As permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores. III- No ambiente informatizado da SRF, somente softwares homologados pela COTEC devem ser utilizados e instalados. Todavia, a fim de aumentar a produtividade e com fundamento no princpio da eficincia, permitida a alterao dos mecanismos e configuraes definidos pela COTEC. a) VVV b) VVF c) FVF d) VFV e) FFF 5. GABARITO COMENTADO 1. Resposta: B O descumprimento das disposies constantes na Portaria SRF n 450/04, e demais normas sobre segurana da informao caracteriza infrao funcional, a ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil (Portaria n 450/04, art. 23). 2. Resposta: E O item I falso. O descumprimento das disposies constantes na Portaria SRF n 450/04, e demais normas sobre segurana da informao caracteriza infrao funcional, a ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil (Portaria n 450/04, art. 23). www.pontodosconcursos.com.br

Prof. Anderson Luiz

14

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ O item II falso. responsabilidade de todos os servidores cuidar da DICA (Portaria n 450/04, art. 20). O item III falso. O servidor deve comunicar por escrito quaisquer irregularidades, falhas ou desvios identificados chefia imediata E rea responsvel pela segurana da informao da sua unidade da SRF (Portaria n 450/04, art. 20, pargrafo nico). 3. Resposta: C O item I falso. proibida a explorao de falhas ou vulnerabilidades porventura existentes nos ativos de informao da SRF (Portaria n 450/04, art. 21). A fim de identific-las, a Coordenao-Geral de Tecnologia e Segurana da Informao (COTEC) poder autorizar testes controlados (Portaria n 450/04, art. 21, pargrafo nico). O item II verdadeiro. O acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas (art. 7). O item III verdadeiro. As permisses de acesso so de uso exclusivo e intransfervel. Logo, a pessoa autorizada no pode deixar qualquer ativo de informao em condies de ser utilizado com suas permisses de acesso por terceiros (art. 7, 1). 4. Resposta: B O item I verdadeiro. O acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao (art. 7, 3). O item II verdadeiro. As permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores (art. 7, 2). O item III falso. No ambiente informatizado da SRF, devem ser utilizados e instalados somente softwares homologados pela COTEC (art. 12). Ademais, a fim de garantir a DICA, vedada a alterao dos mecanismos e configuraes definidos pela COTEC, incluindo (art. 18):
Prof. Anderson Luiz

www.pontodosconcursos.com.br

15

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ Infra-estrutura eltrica; Infra-estrutura lgica; Equipamentos de rede e de conectividade; Equipamentos servidores; Estaes de trabalho fixas; Estaes de trabalho mveis; Sistemas operacionais; Softwares em geral; e Dispositivos de comunicao sem fio.

Amigo(as), Chegamos ao final de nosso curso! Espero, com sinceridade, esclarecedoras. que essas aulas tenham sido

Desculpem-me pelas eventuais falhas! Se as cometi, foi com a inteno de ajud-los(as). Continuo disposio de todos(as) no frum e no e-mail anderson@pontodosconcursos.com.br. Toro por vocs! Boa sorte! At breve! Bons estudos, Anderson Luiz

Prof. Anderson Luiz

www.pontodosconcursos.com.br

16

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
PORTARIA N 450 DE 28/04/2004 SECRETARIA DA RECEITA FEDERAL - SRF PUBLICADO NO DOU NA PAG. 00012 EM 02/06/2004 Dispe sobre a Poltica de Segurana da Informao no mbito da Secretaria da Receita Federal. O SECRETRIO DA RECEITA FEDERAL, no uso da atribuio que lhe confere o inciso III do art. 209 do Regimento Interno da Secretaria da Receita Federal, aprovado pela Portaria MF n 259, de 24 de agosto de 2001, e tendo em vista o disposto no Decreto n 3.505, de 13 de junho de 2000, resolve: DAS DISPOSIES PRELIMINARES Art. 1 A Poltica de Segurana da Informao, no mbito da Secretaria da Receita Federal (SRF), tem como pressuposto a garantia da confidencialidade, integridade e disponibilidade dos ativos de informao. Art. 2 Para efeito desta Portaria, entende-se por: I - ativos de informao, o patrimnio composto por todos os dados e informaes gerados e manipulados nos processos da SRF, bem assim todos os elementos de infra-estrutura, tecnologia, hardware e software necessrios execuo dos processos da organizao; II - ambiente informatizado, o conjunto de recursos que utiliza ou disponibiliza servios de processamento de dados e sistemas de informao de uso na SRF; III - confidencialidade, o princpio de segurana que trata da garantia de que o acesso informao seja obtido somente por pessoas autorizadas; IV - integridade, o princpio de segurana que trata da salvaguarda da exatido e confiabilidade da informao e dos mtodos de processamento; V - disponibilidade, o princpio de segurana que trata da garantia de que pessoas autorizadas obtenham acesso informao e aos recursos correspondentes, sempre que necessrio; VI - anlise de risco e vulnerabilidades, a avaliao das ameaas, impactos e vulnerabilidades dos ativos de informao e da probabilidade de sua ocorrncia; VII - controle de acesso, o conjunto de recursos que efetivam as autorizaes e as restries de acesso aos ativos de informao; e VIII - software homologado, o software desenvolvido, adquirido ou alterado pela SRF, ou a pedido desta, e submetido a procedimentos de verificao quanto aderncia s especificaes e s normas vigentes na SRF.

Prof. Anderson Luiz

www.pontodosconcursos.com.br

17

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
Art. 3 Os ativos de informao e o ambiente informatizado da SRF devem estar em conformidade com as normas de segurana institudas por esta Portaria e demais normas relativas segurana da informao. Art. 4 Os ativos de informao da SRF devem ser protegidos contra aes intencionais ou acidentais que impliquem perda, destruio, insero, cpia, extrao, alterao, uso e exposio indevidos, em conformidade com os princpios da confidencialidade, integridade e disponibilidade. Art. 5 As informaes da SRF devem ser classificadas em funo de sua importncia e confidencialidade. Art. 6 As medidas de segurana devem ser adotadas de forma proporcional aos riscos existentes e magnitude dos danos potenciais, considerados o ambiente, o valor e a criticidade da informao. Pargrafo nico. Os dados e informaes devem ser mantidos com o mesmo nvel de proteo, independente do meio no qual estejam armazenados, em que trafeguem ou do ambiente em que estejam sendo processados. Art. 7 O acesso aos ativos de informao e ao ambiente informatizado da SRF deve ser sempre motivado por necessidade de servio, devendo ser controlado e restrito s pessoas autorizadas. 1 As permisses de acesso so de uso exclusivo e intransfervel, no podendo a pessoa autorizada deixar qualquer ativo de informao em condies de ser utilizado com suas permisses de acesso por terceiros. 2 As permisses de acesso devem ser graduadas de acordo com as atribuies dos servidores. 3 O acesso ao ativo de informao no gera direito real sobre o mesmo e nem sobre os frutos de sua utilizao. Art. 8 Os servidores da SRF devem ser permanentemente treinados e capacitados a exercerem as atividades inerentes rea de segurana da informao, bem assim sobre as formas de proteo dos ativos de informao sob sua responsabilidade, de acordo com programa de capacitao e desenvolvimento estabelecido pela Coordenao-Geral de Tecnologia e Segurana da Informao (Cotec). DA SEGURANA NO AMBIENTE INFORMATIZADO Art. 9 O ambiente informatizado da SRF, com a finalidade de garantir os princpios de confidencialidade, integridade e disponibilidade, deve possuir: I - modelo de gesto, devidamente aprovado pela Cotec; II - plano de contingncia que assegure a operao e a recuperao de ativos de informao em situaes de emergncia, de acordo com as necessidades e prazos especficos; Prof. Anderson Luiz

www.pontodosconcursos.com.br

18

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
III - recursos de autenticao que garantam a identificao individual e inequvoca do usurio, quando do acesso aos ativos de informao; IV - recursos de criptografia; V - mecanismos de proteo da rede da SRF, inclusive em suas interfaces com outras redes e com a Internet; VI - monitorao, em tempo real, com vistas a prover mecanismos de preveno, deteco, identificao e combate invaso (intruso); VII - mecanismos de preveno, deteco e eliminao de vrus de computador e outros programas maliciosos; VIII - sistemtica de gerao de cpias de segurana (backup) e de recuperao de informaes (restore) devidamente documentada, abrangendo periodicidade de cpias, forma e local de armazenamento, autorizao de uso, prazo de reteno e plano de simulao e testes; IX - medidas para verificao dos dados quanto a sua preciso e consistncia; X - registro de informaes (log) com prazos de reteno e formas de acesso definidas, com vistas a permitir a recuperao do sistema em caso de falha; XI - registro de informaes (trilha de auditoria) com prazos de reteno e formas de acesso definidas, com vistas a permitir auditoria, identificao de situaes de violao e contabilizao individual do uso dos sistemas; XII - parmetros de normalidade de utilizao definidos; e XIII - controle de acesso fsico s instalaes e equipamentos. Art. 10. Os ambientes de produo, treinamento, prospeco, testes, homologao e desenvolvimento dos sistemas informatizados, localizados nas unidades da SRF ou em seus prestadores de servios, devem ser distintos e de exclusividade da SRF, observadas as regras definidas pela Cotec. Art. 11. O desenvolvimento de software, em todas as fases do processo, a prospeco de produtos e servios e os procedimentos de homologao devero contar com a participao de servidores em exerccio na rea de segurana da informao. Art. 12. No ambiente informatizado da SRF, devem ser utilizados e instalados somente softwares homologados pela Cotec. Pargrafo nico. O disposto no caput no se aplica aos ambientes de prospeco, testes e homologao. Art. 13. Os softwares instalados nos equipamentos servidores, nos equipamentos de rede e comunicao e nas estaes de trabalho devem ser Prof. Anderson Luiz

www.pontodosconcursos.com.br

19

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
permanentemente atualizados, visando incrementar aspectos de segurana e corrigir falhas. Art. 14. Os ativos de informao devem ser inventariados periodicamente por servidores em exerccio na rea de tecnologia da informao, em relao aos aspectos atinentes a hardware, software e configuraes. Art. 15. A eliminao de informao protegida por sigilo fiscal ou de uso exclusivo da SRF e de softwares instalados, constantes em dispositivos de armazenamento, deve ser procedida mediante a utilizao de ferramentas adequadas eliminao segura dos dados, quando: I - destinados, no mbito da SRF, a outro servidor; II - houver alterao das atividades desempenhadas pelo servidor e o contedo armazenado for prescindvel s novas atividades; III - destinados a pessoas ou organizaes no autorizadas; e IV - o dispositivo de armazenamento estiver danificado. Pargrafo nico. Na hiptese prevista no inciso IV do caput, o dispositivo de armazenamento dever ser destrudo se as informaes nele contidas no puderem ser eliminadas. Art. 16. Devem ser adotadas medidas adicionais de proteo, visando garantir o mesmo nvel de segurana das instalaes internas da SRF, no caso de: I - computao mvel; II - acesso remoto ao ambiente informatizado da SRF; III - operao de redes instaladas em recintos diferentes das unidades da SRF; IV - equipamentos destinados ao acesso pblico; e V - comunicao sem fio. Art. 17. O trfego de informaes em redes locais e de longa distncia deve ser protegido contra danos, perdas, indisponibilidades, uso ou exposio indevidos, de acordo com seu valor, criticidade e confidencialidade. 1 O trfego de dados deve ser efetuado por meio de canais privativos, sejam eles fsicos ou virtuais, que provejam criptografia e autenticao. 2 As redes devem possuir rotas alternativas e contar com mecanismos de redundncia. Art. 18. vedada a alterao dos mecanismos e configuraes definidos pela Cotec, incluindo:

Prof. Anderson Luiz

www.pontodosconcursos.com.br

20

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
I - infra-estrutura eltrica; II - infra-estrutura lgica; III - equipamentos de rede e de conectividade; IV - equipamentos servidores; V - estaes de trabalho fixas; VI - estaes de trabalho mveis; VII - sistemas operacionais; VIII - softwares em geral; e IX - dispositivos de comunicao sem fio. Art. 19. A Cotec editar e manter atualizado Manual de Procedimentos de Segurana, que servir de referncia para certificao de conformidade dos ambientes gerenciados pela SRF e pelos prestadores de servios, devendo abranger, dentre outros, os seguintes aspectos: I - segurana fsica das instalaes onde se encontram os recursos do ambiente; II - configurao dos equipamentos servidores, de rede e de comunicaes, bem assim das estaes de trabalho; III - atualizao dos softwares em uso na SRF; IV - preveno, deteco e eliminao de vrus de computador; V - cpia de segurana (backup) e recuperao; VI - uso, armazenamento e destruio de informaes; e VII - transmisso e compactao de dados. DAS RESPONSABILIDADES INSTITUCIONAIS E FUNCIONAIS Art. 20. responsabilidade de todos os servidores cuidar da integridade, confidencialidade e disponibilidade dos ativos de informao da SRF. Pargrafo nico. O servidor deve comunicar por escrito quaisquer irregularidades, falhas ou desvios identificados chefia imediata e rea responsvel pela segurana da informao da sua unidade da SRF. Art. 21. proibida a explorao de falhas ou vulnerabilidades porventura existentes nos ativos de informao da SRF.

Prof. Anderson Luiz

www.pontodosconcursos.com.br

21

CURSO ON-LINE TICA NA ADMINISTRAO PBLICA CURSO REGULAR TEORIA E EXERCCIOS PROFESSOR: ANDERSON LUIZ
Pargrafo nico. A Cotec poder autorizar testes controlados para identificar a existncia de falhas ou vulnerabilidades nos ativos de informao da SRF. Art. 22. Cabe Cotec: I - gerenciar o processo de implantao e aplicao das normas constantes nesta Portaria; II - definir os agentes intervenientes, bem assim as respectivas atribuies, necessrios para garantir o fiel cumprimento desta Portaria; III - regulamentar o acesso aos ativos de informao da SRF; IV - realizar, periodicamente, auditoria de segurana e anlise de risco e vulnerabilidades nos ambientes operacionais e nos sistemas de informao localizados nos prestadores de servios e nas prprias instalaes nas unidades da SRF; e V - dirimir eventuais dvidas relativas aos procedimentos regulamentados; e VI - expedir normas complementares. Art. 23. O descumprimento das disposies constantes nesta Portaria e demais normas sobre segurana da informao caracteriza infrao funcional, a ser apurada em processo administrativo disciplinar, sem prejuzo das responsabilidades penal e civil. DAS DISPOSIES FINAIS Art. 24. Os contratos de prestao de servios e convnios celebrados pela SRF devem contemplar, quando aplicveis, as normas de segurana institudas por esta Portaria e demais normas relativas segurana da informao. Art. 25. A Cotec editar, no prazo de trinta dias contados desta data, normas complementares ao disposto nesta Portaria. Art. 26. Esta Portaria entra em vigor em 1 de junho de 2004. Art. 27. Fica formalmente revogada, a partir de 1 de junho de 2004, sem interrupo de sua fora normativa, a Portaria SRF n 782, de 20 de junho de 1997. JORGE ANTONIO DEHER RACHID

Prof. Anderson Luiz

www.pontodosconcursos.com.br

22