A política de segurança do governo do estado do Ceará

Resumo Política de Segurança do Gov. do Estado do Ceará

Com a necessidade de manter o controle e garantir a informação dentro do processo de segurança da informação baseado nos pilares de integridade, confidencialidade e disponibilidade, o Governo do Estado do Ceará lança um decreto nº 29.227, de 13 de março de 2008 onde define alguns procedimento e normas para compor a política de segurança da informação do governo do estado do ceará e seus demais órgãos.

Diante desse decreto, vesse a necessidade de criar um Comitê Gestor de Segurança da Informação na qual tem como finalidade supervisionar, executar, revisar e atualizar toda a política de segurança do governo. O Comitê é composto por um coordenador, secretaria executiva e diversos membros de diversos órgãos.

Com a política de segurança implantada nos órgãos, lembramos que além dos supervisores responsáveis pela gestão da segurança da informação, os usuários também possuem seus papéis dentro do processo. Cada usuário tem a responsabilidade de conhecer e seguir as normas da política de segurança da informação, notificar ao CGSI de qualquer falha ou incidente no processo.

Diretrizes

Foram apresentadas cinco diretrizes com seus objetivos e ações para servir como apoio para o sucesso da segurança da informação.

Diretriz 1: Diretriz na qual orienta de como deve ser executada a ação de segurança pelos órgãos/entidades do estado, desenvolvendo , implementando e comunicando oficialmente ao usuários para que sejam seguidas todas as normas e procedimentos adotados pelo órgão.

Diretriz 2: Diretriz na qual estabelece a segurança na informação, definindo seu grau de confidencialidade e permissões de acesso.

Diretriz 3: Diretriz na qual estabelece a forma na qual os ativos devem garantir a continuidade do negócio. Ex: Backups, controle dos softwares, inventário dos ativos, etc..

Diretriz 4: Diretriz na qual estabelece normas relacionadas a sistemas operacionais. Processo de desenvolvimento, aquisição e implantação para dar continuidade nos negócios e garantir o nível de segurança adequado.

Diretriz 5: Diretriz na qual foca a utilização da internet e correio eletrônico informando aos órgãos sobre gerenciamento das regras e utilização adequada da internet e correio eletrônico.

Essa última diretriz estabelece algumas normas que são identificadas como:

• NPS01 – Correio Eletrônico: Regras e responsabilidades no uso do correio eletrônico. Essa norma controla todos os procedimentos para criação de email, exclusão, bem como as regras pré-estabelecidas relacionados ao envio e recebimento e tamanho do email. Caso haja alguma infração por parte do usuário sobre as regras, o mesmo terá sua conta bloqueada e responderá com penalidades de acordo com a legislação vigente.

• NPS02 – Uso da Internet: Regras e responsabilidades no uso da Internet. Essa norma controla todos os procedimentos relacionados a criação/exclusão de contas de acesso à internet, regras a serem seguidas de acordo com o documento oficial e no caso do não cumprimento da regra o usuário também responderá pela infração e sendo penalizado desde processos administrativos criminais e cíveis até penalidades já regulamentadas pelo órgão. Orientações sobre a segurança no uso da internet nesta norma é bastante refletida, informando os sites permitidos e quais tipos de sites são proibidos, orienta ao usuário como saber se o site é seguro/criptografado pelo SSL/HTTPS, entre outros procedimentos.

• NPS03 – Contas e Senhas para Usuários: Estabelecer o controle do acesso dos usuários no ambiente de TIC do órgão. Norma que controla todos os procedimentos de criação/exclusão para aceso ao ambiente TIC do governo do estado do ceará. Como todos os procedimentos relatados, toda solicitação de criação/exclusão deve partir dar chefia através de memorando assinado. Assim como todas as normas, essa também possui algumas regras a serem cumpridas na criação de senhas, como devem ser criada, o que não pode conter na criação das senhas, as recomendações e deveres a serem seguidas, referente a troca de senha ( Período ), a confidencialidade das senhas, etc.. Essa normal também informa de todas as penalidades previstas pelo não comprimento da mesma.

• NPS04 – Contas e Senhas para Administradores: Estabelecer o controle do acesso dos usuários com privilégio