norma nº 4358/2024

Drfeitura do Município de Bertioga
Estado de São Paulo
Estância Balneária
DECRETO N. 4.358, DE 10 DE JANEIRO DE 2024
Altera o Decreto Municipal n.
2.897, de 28 de dezembro de
2017, que regulamenta o uso
de recursos da Tecnologia da
Informação disponibilizados
pela Prefeitura do Município de
Bertioga.
Eng.º Caio Matheus, Prefeito do Município de Bertioga, no uso
das atribuições que lhe são conferidas por Lei,
CONSIDERANDO a solicitação do Diretor do Departamento de
Tecnologia da Informação, nos autos do processo administrativo n. 8451/2017;
DECRETA:
Art. 1º Fica alterado o Decreto Municipal n. 2.897, de 28 de
dezembro de 2017, que regulamenta o uso de recursos da TECNOLOGIA DA
INFORMAÇÃO disponibilizados pela Prefeitura do Município de Bertioga, que
passa a vigorar com as seguintes redações:
CAR. TO...
$ 2º Compete à Secretaria Municipal de Governo e Gestão
Institucional a coordenação das políticas de gestão da
segurança da informação no Município”. (NR)
CArt. TO. terre
Parágrafo único. Fica a Secretaria Municipal de
Administração, através da Diretoria de Recursos Humanos,
responsável por repassar à Diretoria de Tecnologia da
Informação, a qualquer tempo, as demissões/exonerações, do
quadro de funcionários, para que as providências acima sejam
tomadas”. (NR)
“Art. 16. Compete exclusivamente à Diretoria de Tecnologia
da Informação realizar backup diário dos dados armazenados
nos servidores internos da Prefeitura.
Drfeitura do Município de Bertioga
Estado de São Paulo
= /7
Estância Balnednia
$1º A política de cópia de segurança (backup) e restauração
de dados no âmbito da Prefeitura do Município de Bertioga,
segue regulamentada no Anexo Ill, deste Decreto.
$ 2º Não compete à Diretoria de Tecnologia da Informação
fazer backup diário ou periódico de informações armazenadas
localmente nos computadores, porém, a esta compete orientar
os usuários quanto as melhores práticas para realização de
backups para aplicativos instalados em computadores locais e
quanto à necessidade de salvar os arquivos mais importantes
na rede da Prefeitura”. (NR)
Art. 2º O Anexo Il, do Decreto Municipal n. 2.897, de 28 de
dezembro de 2017, passa a vigorar conforme a nova versão anexa, parte
integrante deste Decreto.
Art. 3º Fica incluído o Anexo Ill ao Decreto Municipal n. 2.897,
de 28 de dezembro de 2017, que passa a vigorar conforme a redação anexa,
parte integrante deste Decreto.
Art. 4º Este Decreto entra em vigor na data de sua publicação,
revogadas as disposições em contrário.
Bertioga, 10 de janeiro de 2024. (PA n. 8451/17)
Eng.º Caio Matheus
Prefeito do Município
Estado de São Paulo
És (ância Bodneánia
ANEXO II
TERMO DE RESPONSABILIDADE .
ACESSO AOS RECURSOS TECNOLOGIA DA INFORMAÇÃO
Eu, , declaro haver solicitado
acesso aos Recursos da Tecnologia da Informação e comprometo-me a:
Acessar a internet/intranet somente por necessidade de serviço ou por
determinação expressa de superior hierárquico, realizando as tarefas e
operações em estrita observância aos procedimentos, normas e disposições
contidas na instrução normativa que rege o acesso à internetintranet e
utilização de e-mails;
1. Utilizar a caixa postal (e-mail) colocada a minha disposição somente por
necessidade de serviço ou por determinação expressa de superior hierárquico,
realizando as tarefas e operações, em estrita observância aos procedimentos,
às normas e às disposições contidas na instrução normativa que rege o acesso
à internet/intranet e utilização de e-mails;
2. Não revelar, fora do âmbito profissional, fato ou informação de qualquer
natureza de que tenha conhecimento por força de minhas atribuições, salvo em
decorrência de decisão competente na esfera legal ou judicial, bem como de
autoridade superior;
3. Manter a necessária cautela quando da exibição de dados em tela,
impressora ou na gravação em meios eletrônicos, a fim de evitar que deles
venham a tomar ciência pessoas não autorizadas;
4. Não me ausentar da estação de trabalho sem encerrar a sessão de uso do
navegador (browser), bem como encerrar a seção do cliente de correio,
garantindo, assim, a impossibilidade de acesso indevido por terceiros;
5. Não revelar minha senha de acesso à internetlintranet e de minha caixa
postal (e-mail) a ninguém e tomar o máximo de cuidado para que ela
permaneça somente de meu conhecimento;
6. Responder, em todas as instâncias, pelas consequências das ações ou
omissões de minha parte que possam pôr em risco ou comprometer a
exclusividade de conhecimento de minha senha ou das transações a que tenha
acesso.
7. Declaro, ainda, estar plenamente esclarecido e consciente das cláusulas que
regem o Decreto nº 2.897, de 28 de dezembro de 2017, enfatizando, entre
outras, que:
a) Não é permitida a navegação em sites pornográficos, defensores do uso
de drogas, de pedofilia ou sites de cunho racista e similares;
Estado de São Paulo
És dância 507 edria
b) É de minha responsabilidade cuidar da integridade, confidencialidade e
disponibilidade das informações contidas em minha caixa postal (e-mail),
devendo comunicar por escrito à chefia imediata quaisquer indícios ou
possibilidades de irregularidades, de desvios ou falhas identificadas no
sistema de correio, sendo proibida a exploração de falhas ou
vulnerabilidades porventura existentes;
c) O acesso à informação de minha caixa postal (e-mail) não me garante
direito sobre ela, uma vez que faço uso para melhor desempenhar minhas
atividades administrativas, nem me confere autoridade para liberar acesso a
outras pessoas, pois se constitui de informações pertencentes à
Administração Municipal;
d) Constitui descumprimento de normas legais, regulamentares e quebra de
sigilo funcional divulgar dados obtidos por meio do uso de minha caixa postal
(e-mail), a qual tenho acesso, para outros servidores não envolvidos nos
trabalhos executados;
e) Devo alterar minha senha, sempre que obrigatório ou que tenha suspeição
de descoberta por terceiros, não usando combinações simples que possam
ser facilmente descobertas;
f) Respeitar as normas de segurança e restrições de sistema impostas pelos
sistemas de segurança implantados na instituição;
8. Da Assinatura Eletrônica — Os documentos eletrônicos gerados no
âmbito dos sistemas de informação interno e externo da Prefeitura terão sua
autoria e integridade asseguradas mediante a utilização de assinatura
eletrônica.
a) A assinatura eletrônica na Prefeitura se dará através de:
* Assinatura Cadastrada: uso da assinatura eletrônica cadastrada através
de Login e Senha do Usuário.
* Assinatura Digital: uso de assinatura eletrônica digital através de
certificado digital.
b) A prática de atos assinados eletronicamente implicará na aceitação das
normas regulamentares sobre o assunto e da responsabilidade do usuário
pela utilização indevida de sua assinatura eletrônica.
c) A assinatura cadastrada e assinatura digital são de uso pessoal e
intransferível, sendo de responsabilidade do titular sua guarda e sigilo.
d) A utilização indevida da assinatura eletrônica individual será de
responsabilidade exclusiva do servidor.
9. Cumprir e fazer cumprir os dispositivos da Política Corporativa de
Segurança da Informação, de suas diretrizes, bem como deste Termo de
Responsabilidade.
Estado de São Paulo
És (ância Bodneánia
Ressalvadas as hipóteses de requisições legalmente autorizadas, constitui
infração funcional a revelação de segredo do qual me apropriei em razão do
cargo, sendo crime contra a Administração Pública a divulgação a quem não
seja servidor da Prefeitura, das informações a(s) qual(is) tenho acesso,
estando sujeito às penalidades previstas em lei;
Sem prejuízo da responsabilidade penal e civil, e de outras infrações
disciplinares, constitui falta de zelo e dedicação às atribuições do cargo e
descumprimento de normas legais e regulamentares não proceder com
cuidado na guarda e utilização de senha ou emprestá-la a outro servidor,
ainda que habilitado;
Constitui infração funcional e penal enviar ou facilitar o envio por terceiros de
e-mails falsos, ficando o infrator sujeito à punição com a demissão, conforme
responsabilização por crime contra a Administração Pública, tipificado
nos artigos 313-A e 313-B, do Código Penal Brasileiro (Decreto-Lei nº
2.848, de 1940).
Declaro, nesta data, ter ciência e estar de acordo Reservado para o DTI
com os procedimentos anteriormente descritos,
comprometendo-me a respeitá-los e cumpri-los
plena e integralmente. USUÁRIO.
de de ld
do usuário:
Assinatura Assinatura
Estado de São Paulo
És dancia Balneária
ANEXO III
POLÍTICA DE BACKUP E RESTAURAÇÃO DE DADOS
Regulamenta a política de cópia de
segurança (backup) e restauração de
dados no âmbito da Prefeitura do
Município de Bertioga.
Disposição Preliminares
A Política de Backup e Restauração de Dados objetiva instituir
diretrizes, responsabilidades e competências que visam à segurança, proteção
e disponibilidade dos dados custodiados pela Diretoria de Tecnologia da
Informação (DTI) para manter a continuidade das atividades institucionais da
Prefeitura do Município de Bertioga.
A implantação desta política busca assegurar sua missão,
sendo necessário estabelecer mecanismos que permitam a guarda de dados e
sua eventual restauração em casos de indisponibilidade ou perda por erro
humano, ataques cibernéticos ou outras ameaças. Busca estabelecer o modo e
a periodicidade da cópia de dados armazenados pelos sistemas
computacionais.
Considera-se como “dados críticos” pastas armazenadas no
servidor de dados, banco de dados dos sistemas de informações corporativas,
de folha de pagamento, tramitação de documentos e e-mails devendo ser
revisado anualmente a definição de dados críticos e o escopo desta política de
backup.
Esta política se aplica aos servidores da DTI que armazenam
tais dados. A política também se aplica a terceiros que processam e
armazenam dados de propriedade da Prefeitura.
Dos Conceitos
Para fins desta política considera-se:
- Backup ou Cópia de Segurança: conjunto de procedimentos
que permitem salvaguardar os dados de um sistema computacional, garantindo
a guarda, proteção e recuperação. Tem a fidelidade ao original assegurada.
Deve ser identificado a mídia em que a cópia é realizada;
- Custodiante da Informação: qualquer indivíduo ou estrutura
da Prefeitura que tenha a responsabilidade formal de proteger a informação e
aplicar os níveis de controle de segurança em conformidade com as exigências
de Segurança da Informação comunicadas pelo proprietário da informação;
Estado de São Paulo
Estância Balneária
- Eliminação: exclusão de dado ou conjunto de dados
armazenados em banco de dados, independentemente do procedimento
empregado;
- Mídia: mecanismos em que os dados podem ser
armazenados;
- Infraestrutura Crítica: Instalações, serviços, bens e
sistemas, virtuais ou físicos, que se forem incapacitados ou tiverem
desempenho degradado, provocarão forte impacto na rotina de trabalho da
Prefeitura;
- Recovery Point Objective (RPO): ponto no tempo em que os
dados dos serviços de TI devem ser recuperados após uma situação de parada
ou perda, correspondendo ao prazo máximo em que se admite perder dados
no caso de um incidente;
- Recovery Time Objective (RTO): tempo estimado para
restaurar os dados e tornar os serviços de TI novamente operacionais,
correspondendo ao prazo máximo em que se admite manter os serviços de TI
inoperante até a restauração de seus dados, após um incidente.
Dos Princípios Gerais
A Política de Backup e Restauração de Dados deve estar
alinhada com a Politica de Segurança da Informação, bem como com a gestão
de continuidade das atividades.
As rotinas de backup devem ser orientadas para a restauração
dos dados no menor tempo possível, principalmente quando da
indisponibilidade de serviços de TI.
As rotinas de backup devem utilizar soluções próprias e
especializadas para este fim, preferencialmente de forma automatizada.
As rotinas de backup devem possuir requisitos mínimos
diferenciados de acordo com o tipo de serviço de TI ou dado armazenado,
dando prioridade aos serviços de Tl críticos da Prefeitura.
O armazenamento de backup, se possível, deve ser realizado
em um local distinto da infraestrutura crítica.
A infraestrutura de rede de backup deve ser separada dos
sistemas críticos da Prefeitura.
Drofoctura do Município de Bertioga
Estado de São Paulo
Estância Balneária
Nos casos em que a confidencialidade for importante, convém
que as cópias de segurança sejam protegidas através de criptografia
apropriada.
Os backups críticos devem ser realizados diariamente.
Os serviços críticos de TI, armazenados em nuvem, devem ser
resguardados sob um padrão de segurança, devendo observar a frequência da
retenção de dados estabelecida abaixo:
|— Diária: 1 mês;
Il — Mensal: 1 ano;
Il — Anual: 5 anos.
Os serviços não críticos de TI, armazenados em nuvem ou
infraestrutura local, devem ser resguardados sob um padrão de segurança,
devendo observar a frequência da retenção de dados estabelecidas abaixo:
|- Diária: 1 mês;
Il — Mensal: 1 ano;
HI — Anual: 1 ano.
Especificações dos serviços de TI críticos e dos serviços de TI
não críticos podem demandar frequência e tempo de retenção diferenciados.
Os ativos envolvidos no processo de backup são considerados
ativos críticos para a organização.
A alteração das frequências e tempos de retenção definidos
nesta seção deve ser precedida de solicitação e justificativa formais
encaminhadas à DTI para análise e aprovação.
Os responsáveis pelos dados deverão ter ciência dos tempos
de retenção estabelecidos para cada tipo de informação e os administradores
de backup deverão zelar pelo cumprimento das regras estabelecidas.
Do Tipo de Backup
Para fins de realização de backup serão utilizados os
seguintes modelos:
| - Completo (Full);
Il — Incremental.
Drofoctura do Município de Bertioga
Estado de São Paulo
Estância Balneária
Salvo indicação em contrário, o backup dos dados do sistema
será feito de acordo com a programação padrão:
| — Backup incremental diário;
Il — Backup completo semanal.
Os backups serão armazenados na infraestrutura de rede de
backup. Os backups deverão ser realizados no período noturno para permitir
mais tempo para realizar o backup e o baixo processamento dos servidores de
dados.
Do Uso da Rede e Recurso de Armazenamento
Deve ser considerado o impacto da execução das rotinas de
backup sobre o desempenho da rede de dados da Prefeitura, garantindo que o
tráfego necessário às suas atividades não ocasione indisponibilidade dos
demais serviços de TI da instituição.
As unidades de armazenamento utilizadas no armazenamento
dos dados devem considerar as características de cada dado armazenado, tais
como:
I- A criticidade do dado armazenado;
Il — O tempo necessário de retenção do dado;
HI — A probabilidade de necessidade de restauração;
IV — O tempo previsto de restauração;
V — O custo de aquisição e manutenção da unidade de
armazenamento de backup;
VI— A vida útil da unidade de armazenamento de backup.
A Diretoria de Tecnologia da Informação deve identificar a
viabilidade de utilização de diferentes tecnologias na realização das cópias de
segurança, propondo a melhor solução para cada caso.
A execução das rotinas de backup deve considerar a previsão
de ampliação da capacidade dos dispositivos envolvidos para o
armazenamento local e em nuvem.
As unidades de armazenamento de backup devem estar
instaladas em locais apropriados, com controle de temperatura, umidade,
Estado de São Paulo
Estância Balneária
poeira e de acesso restrito a pessoas de acordo com as normas técnicas que
tratam de segurança física e lógica destes equipamentos.
Quando ocorrer a necessidade de descarte de unidades de
armazenamento de backups, tais recursos devem ser fisicamente destruídos,
de forma a inutilizá-los, atentando-se ao descarte sustentável conforme normas
ambientais para equipamentos de TI.
Dos Testes de Backup
Os backups deverão ser verificados periodicamente:
| — Diariamente, deverão ser revisados os logs em busca de
erros, durações anormais e quando possível a oportunidade para melhoria do
desempenho do backup;
Il — Ações corretivas serão tomadas quando forem identificados
os problemas de backup, a fim de reduzir os riscos associados a falhas de
backup;
II — Deverá ser mantido registro de backups e de testes de
restauração para demonstrar a conformidade com esta política.
Os testes de restauração de backups devem ser realizados por
amostragem, uma vez por mês, em equipamentos servidores diferentes dos
equipamentos que atendem os ambientes de produção, a fim de verificar
backups bem-sucedidos.
Será necessário verificar se foram atendidos os níveis de
serviço de Recovery Time Objective — RTOs.
Os registros deverão conter, no mínimo, o tipo de sistema que
teve seu restabelecimento testado, a data da realização do teste, o tempo
gasto para o retorno de backup e se o procedimento foi realizado com sucesso.
Do Procedimento de Restauração de Backup
O atendimento de solicitações de restauração de backup de
arquivos, banco de dados e demais formas de dado deverá obedecer aos
seguintes procedimentos:
| — A solicitação de restauração deverá sempre partir do
responsável pelo dado, através de chamado técnico;
Il — A restauração somente será possível nos casos em que
este tenha sido atingido pela estratégia de backup;
Drofoctura do Município de Bertioga
Estado de São Paulo
Estância Balneária
HI — A restauração poderá ser negada nos casos cujo conteúdo
não seja condizente com a atividade da área solicitante, cabendo recurso da
negativa solicitado pelo secretário da pasta solicitante com as justificativas da
solicitação;
IV — O tempo de restauração é proporcional ao volume de
dados necessários para o restore de dados, devendo ser estabelecido por meio
de acordo de nível de serviço o tempo para atendimento estas solicitações.
Do Descarte de Dados e da Mídia
Nos casos de desligamento do usuário (de forma permanente
ou temporária), o backup de seus arquivos respeitará as diretrizes de política
de descarte. Após o período determinado, os arquivos poderão ser excluídos a
qualquer momento.
A mídia de backup será retirada e descartada conforme
descrito nesta política de backup;
Deverá ser garantido que a mídia não contenha mais imagens
de backup ativas e que o conteúdo atual ou anterior não possa ser lido ou
recuperado por terceiros não autorizados.
A Diretoria de Tecnologia da Informação deverá garantir a
destruição física da mídia antes do descarte.
Considerações Finais
Não serão salvaguardados, nem recuperados dados
armazenados localmente em microcomputadores dos usuários ou em qualquer
outro dispositivo que seja de desconhecimento da Diretoria de Tecnologia da
Informação, ficando sob a responsabilidade do usuário/ departamento que
utilizar o dispositivo.