MINISTÉRIO PÚBLICO DA FEDERAL
Boletim de Serviço – Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004.
SUMÁRIO
Atos do Procurador-Geral da República....................01
Secretaria de Recursos Humanos................................38
Expediente..................................................................91
ATOS DO PROCURADOR-GERAL DA REPÚBLICA
Portaria nº 627, de 20 de outubro de 2004
O PROCURADOR-GERAL DA REPÚBLICA, no uso das atribuições que lhe conferem o artigo 127 da
Constituição Federal e o inciso XX do artigo 49 da Lei Complementar nº 75, de 20 de maio de 1993, resolve:
Art. 1º - Ficam aprovados a Política de Segurança do Ministério Público Federal, assim como os Planos
Diretores de Segurança Física e de Segurança de Tecnologia da Informação, na forma dos Anexos I, II e III desta
Portaria.
Art. 2º - O Procurador-Geral da República baixará os atos que se fizerem necessários à
operacionalização das normas elencadas no artigo 1º.
Art. 3º - A implantação da Política de Segurança do Ministério Público Federal e dos Planos Diretores
de Segurança Física será realizada de modo gradativo.
Art. 4º - Esta Portaria entra em vigor na data de sua publicação.
ANEXO I DA PORTARIA PGR Nº 627/2004
POLÍTICA DE SEGURANÇA DO MPF
Índice
1.
Data efetiva
2.
Preâmbulo
3.
Objetivos da Política
4.
Declarações de Princípios da Política
5.
Aplicação
6.
Responsabilidade
7.
Estrutura de gerenciamento e responsabilidades
8.
Definições
9.
Documentação de suporte
10.
Exigências
10.6
Programa de Segurança
10.7
Compartilhamento de Informações e outros ativos
10.8
Segurança fora das instalações ou instalações compartilhadas
10.9
Contratação
10.10 Treinamento da Segurança, conscientização e diretivas
10.11 Identificação de bens
10.12 Gerenciamento de Risco
10.13 Limitações de Acesso
10.14 Defesa da Segurança - Verificação de Confiabilidade
10.15 Proteção dos empregados
10.16 Segurança Física-Material
10.17 Segurança de Tecnologia de Informações
10.18 Segurança em Situações de emergência e em situações de escalada de ameaças
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
2
10.19 Plano de Continuidade de Atividades
10.20 Investigação de Incidentes de Segurança
10.21 Sanções
11.
Monitoração
12.
Revisão
13.
Referências
14.
Pesquisas
Anexo "A" – Responsabilidades
Anexo "B" - Glossário
1.
Data
10 de agosto de 2004
2.
Preâmbulo
2.1 - O Ministério Público Federal depende de seu pessoal e patrimônio para garantir a correta realização das missões
que lhes foram conferidas pela Constituição da República. Por essa razão, o Ministério Público Federal deve gerir tais
recursos com diligência e adotar as medidas apropriadas para as suas corretas proteções.
2.2 – Ameaças de ofensas ao pessoal e patrimônio do Ministério Público Federal incluem violência contra membros e
servidores, ao patrimônio, acesso não autorizado, subtração de bens e informações, fraude, vandalismo, fogo,
desastres naturais, falhas técnicas e danos acidentais. As ameaças de ciberataques e atividades maliciosas através da
Internet são comuns e podem causar severos danos aos serviços eletrônicos e áreas sensíveis.
2.3 -Ameaças aos interesses institucionais, como atividades criminais transnacionais, atividades de inteligências de
grupos investigados e terrorismo, continuam a evoluir como resultado das mudanças ocorridas tanto no cenário
nacional quanto internacional.
2.4 - A Política de Segurança do Ministério Público Federal (PSMPF) prescreve a aplicação de salvaguardas para
reduzir o risco de ano. A PSMPF é projetada para proteger os recursos humanos, preservar a confiabilidade,
integridade, disponibilidade e o valor do patrimônio e assegurar a continuidade da prestação das atividades do
Ministério Público Federal.
2.5 – Desde que o Ministério Público Federal depende extensivamente da Tecnologia da Informação (TI) para prover
seus serviços, esta política enfatiza a necessidade das mais diversas unidades do Ministério Público Federal monitorar
suas operações eletrônicas.
2.6 - Esta política complementa outras políticas de gerenciamento de recursos humanos no âmbito do Ministério
Público Federal.
3.
OBJETIVOS
Dar suporte aos interesses e objetivos institucionais do Ministério Público Federal através da proteção dos recursos
humanos e patrimônio e assegurando a continuidade na realização das atividades.
4.
Declaração de Princípios
4.1 – Membros e servidores sob ameaças de violência devem ser protegidos de acordo com requisitos básicos de
segurança e submetidos a contínua avaliação de risco.
4.2 – Patrimônio deve ser protegido de acordo com os requisitos básicos de segurança e submetidos a continua
avaliação de risco.
4.3 – A contínua realização das atividades do Ministério Público Federal deve ser assegurada através de requisitos
básicos de segurança, incluindo um plano de continuidade de atividades e gerenciamento contínuo dos riscos.
5.
Aplicação
5.1 - Esta política se aplica a todas as Unidades do Ministério Público Federal.
5.2 – Esta política também se aplica a qualquer comissão designada pelo Procurador-Geral da República.
6.
Responsabilidades
6.1 – Os administradores são os responsáveis pela proteção dos recursos humanos e bens em suas áreas de
responsabilidade e pela implementação desta política.
7.
Estrutura de Gerenciamento e responsabilidades
7.1 – Estrutura de gerenciamento e responsabilidades encontram-se no anexo A.
8.
Definições
8.1 – Definições e conceitos encontram-se no anexo B.
9.
Documentação de suporte
9.1 – Esta política é complementada por:
(a) Plano de Segurança das diversas unidades do Ministério Público Federal. O Plano de Segurança contem as
medidas obrigatórias e recomendadas para dirigir e guiar a implementação desta política.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
3
(b) Documentação técnica, dirigida e coordenada pelo Centro de Pesquisa e Segurança Institucional para
complementar as normas operacionais. Essa documentação inclui normas técnicas de segurança, especificações,
melhores práticas e manuais desenvolvidos e emitidos pelos responsáveis pela segurança.
10.
Exigências
10.1 – As Unidades do Ministério Público Federal deverão cumprir as exigências desta política e as normas
operacionais e documentação técnica associadas.
10.2 – Essas exigências são baseadas na avaliação integrada das ameaças e riscos contra os interesses institucionais
assim como contra os recursos humanos e patrimônio do Ministério Público Federal.
10.3 – As Unidades do Ministério Público Federal deverão conduzir suas próprias avaliações de ameaças e riscos para
determinar a necessidade de proteção seguindo uma escala de níveis.
10.4 - As exigências desta política complementam outras medidas do Ministério Público Federal no gerenciamento de
situações de emergência (e.g., incêndio, ameaças de bomba, materiais perigosos, falta de energia, evacuação e
emergências civis).
10.5 A Procuradoria-Geral da República orientará as Unidades na implementação de níveis mais elevados de
segurança em situações de emergência e nos casos de aumento do número de ameaças.
10.6
Programa de Segurança
10.6.1 – As Unidades, aqui entendidas as Procuradorias da República nos Estados e as Procuradorias Regionais da
República, deverão nomear um Assessor de Segurança para estabelecer e executar um programa de segurança que
assegure a coordenação de todas as atividades de segurança em suas áreas de atuação e a implementação das
exigências desta política.
10.6.2 – Essas funções incluem atividades de administração em geral (procedimentos, treinamento e conscientização,
identificação de patrimônio, gerenciamento de situações de risco, compartilhamento de informações e bens),
limitações de acesso, verificação de confiabilidade, segurança física, proteção dos recursos humanos, segurança de
tecnologia das informações, segurança em situações de emergência ou de escalada de ameaças, plano de continuidade
de atividades, segurança na contratação e investigação de incidentes de segurança.
10.6.3 – Dada a importância deste papel, a indicação do Assessor de Segurança deverá recair em pessoa com
suficiente experiência em assuntos de segurança e que possua
(1) Uma reputação de integridade e profissionalismo, assim como a habilidade de manter um alto grau de
integridade no trabalho;
(2) Compromisso, vontade e a habilidade de obter conhecimento necessário para o desempenho das funções
institucionais do Ministério Público Federal, assim como para proteger os direitos e garantias individuais.
(3) Compromisso com as declarações de princípios e políticas apresentados neste documento.
(4) Um histórico que demonstre espírito de liderança e habilidade;
(5) Potencial para ganhar o respeito dentro do Centro de Pesquisas e Segurança Institucional e dos demais
servidores, latu sensu, da Instituição.
(6) A habilidade de trabalhar em equipe; e;
(7) A habilidade de trabalhar sob pressão.
10.6.4 – O Assessor de Segurança deve ser posicionado na estrutura de modo a prover aconselhamento a toda
Unidade e orientar a alta direção nos assuntos de suas atribuições.
10.7
Compartilhamento de informações e outros bens
10.7.1 – As Unidades do Ministério Público Federal devem seguir esta política quando compartilhar informações e
bens com outros órgãos do Governo (incluindo estrangeiros, federal, estaduais ou municipais), organizações
internacionais, educacionais ou privadas.
10.7.2 – Nessas situações, as Unidades deverão desenvolver negociações que demarquem as responsabilidades na área
de segurança, as salvaguardas a serem aplicadas, os termos e condições para a participação continuada.
10.7.3 – As Unidades deverão tratar informações e outros bens recebidos de governos (incluindo governos
estrangeiros, governo federal, estadual e municipal), organismos internacionais (e.g., ONU), organizações
educacionais e do setor privado, obedecendo aos acordos mantidos entre as partes envolvidas.
10.7.4 – Unidades que dividem infra-estrutura de gerenciamento de informações e tecnologia das informações, para
atividades on-line e outros propósitos, devem adequá-las aos padrões de segurança estabelecidos para essa infraestrutura.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
10.8
4
Segurança fora de áreas e instalações do MPF e em prédios de uso misto.
10.8.l –Normas especiais de segurança deverão ser desenvolvidas em consulta com os demais interessados nas
ocasiões em que a Unidade do MPF estiver instalada em prédios não destinados exclusivamente às suas atividades.
10.8.2 – Poderão ser impostas restrições a atividades a serem desenvolvidas em áreas particularmente perigosas.
10.8.3 – Para a salvaguarda de assuntos, documentos, bens ou áreas sensíveis deverão ser estabelecidas limitações e
condições de acesso.
10.8.4 – Nas viagens para áreas particularmente perigosas, informações, medidas específicas de segurança e
limitações poderão ser requeridas à Divisão de Segurança Orgânica do Centro de Pesquisas e Segurança Institucional.
10.9
Contratação
10.9.1 – Esta política se aplica igualmente ao processo de contratação do Ministério Público Federal. A autoridade
contratante deverá observar as exigências desta política, as normas de segurança na contratação e documentação
técnica.
10.9.2 – A Autoridade contratante deverá:
(a) Assegurar o correta avaliação de confiabilidade de organizações privadas e indivíduos que necessitem ter acesso a
informações e a bens protegidos e classificados, conforme especificado nas normas de segurança.
(b) Assegurar a proteção de bens do Ministério Público Federal, incluindo sistemas de tecnologia da informação.
(c) Especificar as necessárias exigências de segurança nos termos e condições de qualquer documento contratual.
10.10
Treinamento de Segurança, conscientização e instruções
10.10.1 – As Unidades do MPF devem:
(a) Assegurar que os indivíduos que possuam deveres específicos de segurança recebam treinamento apropriado e
atualizado.
(b) Possuir um programa de conscientização de segurança que informe e regularmente lembre os usuários de suas
responsabilidades, questões e preocupações na proteção de pessoas, áreas e instalações do Ministério Público
Federal.
(c) Instruir usuários a respeito de privilégios de acesso e proibições relacionadas com a sua credencial de segurança
antes do exercício de seus deveres ou quando exigido em ciclo de atualização.
10.11
Identificação de Bens
10.11.1 – Sigilo
As Unidades deverão identificar informações e outros ativos quando a sua revelação indevida puder causar danos a:
(a) Interesses institucionais do Ministério Público Federal. Essas informações devem ser classificadas e
categorizadas em escalas de potencialidade danosa (dano: “Confidencial”; dano sério: “Sensível”; dano
excepcionalmente grave: “Altamente Sensível”).
(b) Interesses privados ou não institucionais. Tais informações são protegidas. Devem ser classificadas e
categorizadas conforme a potencialidade danosa (baixo: “Restrito”; médio e alto: “Reservado”).
10.11.2 – Disponibilidade, integridade e valor
Unidades devem identificar e categorizar bens, especialmente serviços críticos, baseado em graus de dano (baixo,
médio, alto) que podem ser razoavelmente esperados como resultado do comprometimento da disponibilidade ou
integridade. As Unidades devem considerar o valor dos ativos na determinação de danos. Para a indicação do nível de
proteção, as Unidades deverão identificar os serviços críticos quanto a disponibilidade e propósitos de integridade.
10.12
Gerenciamento de Risco
10.12.1 - Unidades devem conduzir avaliação de ameaças e riscos para determinar a necessidade de proteção além das
necessidades básicas de segurança.
10.12.2 - As Unidades devem monitorar as situações de risco continuamente para a eventualidade de qualquer
mudança na escalada de ameaças e fazer qualquer ajustamento necessário no sistema de segurança para manter em
níveis aceitáveis o risco e o equilíbrio entre as necessidades operacionais e a segurança.
10.12.3 – A avaliação de ameaças e risco envolve:
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
5
(a) Estabelecimento do alcance da avaliação e identificação dos membros, servidores e bens a serem protegidos.
(b) Individualização das ameaças aos membros, servidores e patrimônios do Ministério Público Federal e avaliação
da probabilidade e impacto da ocorrência de ameaça.
(c) Avaliação do risco baseado na existência e adequação das salvaguardas e vulnerabilidades.
(d) Implementação de qualquer salvaguarda suplementar que reduza o risco a um nível aceitável.
10.13
Limitações de Acesso
10.13.1 – As Unidades deverão limitar o acesso a informações e outros bens classificados do Ministério Público
Federal às pessoas que possuam a necessidade de conhecer a informação e que possuam o nível adequado de
segurança.
10.13.2 – Para ampliar as necessidades, as Unidades também deverão limitar o acesso a outros bens exigindo
salvaguardas adicionais para a disponibilidade, integridade e manutenção do valor. Isto inclui assegurar que nenhum
indivíduo poderá independentemente controlar todos os aspectos de um processo ou sistema.
10.14
Defesa da Segurança – Verificação da Confiabilidade
10.14.1 - O Ministério Público Federal deve assegurar que pessoas com acesso a informações e bens institucionais são
dignas de confiança. Para segurança institucional, o MPF deve assegurar a lealdade de membros e servidores como
condição para proteger a Instituição contra atividades de inteligência e terrorismo.
10.14.2 - Especial cuidado deve ser tomado para assegurar a continuada confiabilidade e lealdade de membros e
servidores e prevenir atividades infiltradas e divulgação não autorizada de informações classificadas e protegidas por
indivíduos em posição de confiança.
10.14.3 – As Unidades deverão assegurar que, antes de iniciar suas atividades, as pessoas que exijam:
(a) Acesso a bens do MPF sejam submetidas a checagem de confiabilidade.
(b) Acesso a informações e bens classificados possuam status adequado de confiabilidade, sejam submetidos a
avaliação de segurança e recebam permissão de segurança adequada ao nível. Isto inclui visitantes e terceirizados
que trabalhem na Unidade. Certas limitações às permissões de segurança podem ser impostas como especificado
nas normas de defesa da segurança (checagem de confiabilidade).
(c) Acesso a áreas e instalações que são críticas ou a áreas restritas possuam a permissão de acesso adequada ao
local.
10.14.4 – As Unidades também deverão:
(a) Tratar as pessoas de maneira cortês e imparcial dando a elas a oportunidade de se explicar antes que alguma
decisão seja tomada.
(b) Assegurar que os Administradores permaneçam vigilantes e atuem diante de qualquer nova informação que possa
colocar em questão a confiabilidade ou lealdade individual.
(c) Atualizar o status de confiabilidade dos dispositivos de segurança regularmente.
(d) Revisar, revogar, suspender ou diminuir o status de confiabilidade ou dispositivo de segurança.
10.14.5 – Poderá ser delegada a um Assessor de Segurança atribuições para conceder ou negar o status de
confiabilidade. O responsável pela segurança da Unidade poderá delegar ao Assessor a concessão de permissão de
acesso. O Assistente somente poderá negar, revogar ou suspender permissão de acesso com a anuência do
responsável pela Segurança e do Chefe da Unidade.
10.15
Proteção de Membros e Servidores
10.15.1 – as Unidades são responsáveis pela saúde e segurança de membros e servidores no trabalho. Essa
responsabilidade abrange as situações em que membros e servidores estejam sob ameaças de violência em decorrência
de suas atuações funcionais ou em decorrência de situações às quais foram expostos. Essas situações incluem, mas
não são a elas limitadas, a cartas e ligações telefônicas ameaçadoras, a recepção de substâncias potencialmente
perigosas, armadilhas e atentados.
10.15.2 – as Unidades devem possuir mecanismos para:
(a) Identificar, proteger e dar suporte a membros e servidores sob ameaças de violência baseado em avaliação da
ameaça e risco de situações específicas.
(b) Em certos casos, o MPF deve estender a identificação, proteção e suporte à família de membros e servidores,
inclusive, e, sempre baseado em avaliação da ameaça e risco de situações específicas, promover a remoção da
família de membros e servidores para localidade segura.
(c) Se for o caso, relatar incidentes ao Procurador-Geral da República, aos recursos humanos, à equipe de segurança
e à autoridade policial.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
6
(d) Prover informação, treinamento e aconselhamento aos membros e servidores.
(e) Manter base de arquivos de incidentes relatados.
10.16
Segurança Física
10.16.1 – A segurança física envolve o adequado planejamento das instalações e o uso de medidas para retardar e
prevenir o acesso não autorizado ao patrimônio do Ministério Público Federal.
10.16.2 – A segurança física inclui medidas para deter a tentativa ou o acesso não autorizado e ativar a resposta
apropriada. A segurança física também provê medidas para a salvaguarda de membros e servidores da violência.
10.16.3 – as Unidades devem assegurar que o sistema de segurança esteja totalmente integrado ao processo de
planejamento, seleção, projeção e modificação das instalações.
10.16.4 – As Unidades devem:
(a) Selecionar, projetar e modificar suas instalações de modo a facilitar o controle de acesso.
(b) Demarcar áreas de acesso restrito e ter instaladas barreiras, sistemas de segurança e equipamentos baseados em
avaliação de ameaças e riscos.
(c) Incluir as necessárias especificações de segurança no planejamento, solicitação de propostas e documentos
sensíveis.
(d) Assegurar que todos, membros e servidores, atendidas as particularidades de cada Unidade e as normas
operacionais de segurança física, estejam sujeitos a controle de acesso.
10.16.5 – as Unidades também devem assegurar o seguro arquivamento, transmissão e disposição de informações
classificadas ou protegidas em todas as suas formas, de acordo com as normas de segurança física exigidas. Quando
embasadas em uma avaliação de ameaça ou situação de risco, as Unidades também devem garantir o depósito seguro,
transmissão ou disposição de outros bens.
10.16.6 – Impõe-se às Unidades a contínua revisão das medidas de segurança física de modo a se adequar às
mudanças nos níveis de ameaça e tirar vantagem de novas tecnologias.
10.17
Segurança de Tecnologia de Informações
10.17.1 – Os sistemas de informações devem estar protegidos contra o desenvolvimento de ameaças que rapidamente
possam comprometer o sigilo, integridade, disponibilidade, possibilidade de uso e valor.
10.17.2 – Para defesa contra as ameaças mencionadas no item anterior, as Unidades deverão estar dotadas de
estratégia de Segurança de Tecnologia de Informações (STI) adequada às mudanças nas condições ameaçadoras, que
podem ser rápidas, e dar suporte à continua realização das atividades. Isto significa que as Unidades devem aplicar
controles básicos de segurança, monitorar continuamente o fluxo de atividades, rastrear e analisar ameaças ao sistema
de tecnologia de informações da Unidade e estabelecer uma resposta ao incidente e a continuidade dos mecanismos de
Tecnologia de Informação.
10.17.3 – as Unidades devem assegurar que a Segurança de Tecnologia de Informações está integrada a cada estágio
no ciclo de vida de desenvolvimento ou aquisição do sistema de informações. Exigências de segurança e recursos
relacionados devem estar identificados e incluídos no planejamento, requisição de propostas e documentos sensíveis
para projetos de Tecnologia de Informações.
10.18.4 – Atuando em conformidade com as normas técnicas e operacionais da Segurança de Tecnologia de
Informações, as Unidades estarão mais bem preparadas para prevenir, detectar, reagir e recuperar incidentes.
10.18.5 Prevenção
10.18.5.1 – Para prevenir o comprometimento dos sistemas de tecnologia de informações, as Unidades deverão
implementar controles básicos de segurança e qualquer controle adicional cuja necessidade se verifique por meio da
avaliação de ameaças e situações de risco.
10.18.5.2 – Esses controles e as atribuições e responsabilidades de membros e servidores devem estar claramente
definidos, documentados e comunicados a Administração.
10.18.5.3 – Para assegurar o cumprimento dessa política, as Unidades deverão:
(a) Certificar e credenciar os sistemas de tecnologia de informações antes da operação e sujeitá-los, incluindo
salvaguardas de segurança associadas, para repercutir as configurações das práticas de gerenciamento.
(b) Conduzir avaliações periódicas do sistema de segurança, incluindo avaliação das mudanças de configuração
conduzidas nas rotinas básicas.
(c) Periodicamente buscar revisão por terceiros, de modo a se ter uma avaliação independente.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
7
10 .18.6 Detecção
18.18.6.1 – Em decorrência do fato de que os serviços podem degradar rapidamente em conseqüência de incidentes
envolvendo computadores, desde simples lentidão até completa paralisação, as Unidades deverão continuamente
monitorar as operações de seus sistemas e detectar anomalias nos níveis de prestação do serviço.
10.18.7 Resposta
10.18.7.1 – as Unidades deverão:
(a) No contexto de investigação de incidentes de segurança, estabelecer mecanismos de resposta efetiva a incidentes
de Segurança de Tecnologia de Informações e trocar informações com a Secretaria de Informática e o Núcleo de
Segurança de Tecnologia da Informação do Centro de Pesquisa e Segurança Institucional num curto espaço de
tempo.
(b) Designar um ponto seguro de Tecnologia de Informações para comunicações na eventualidade de ser necessária
uma resposta ao incidente no âmbito de todo o Ministério Público Federal.
10.18.7.2 – Para prevenir a degradação culposa das condições de segurança de outra Unidade, conduzir atividades de
segurança, incluindo resposta a incidente, de maneira a reconhecer que o MPF é, na verdade, uma única entidade
interconectada.
10.18.8 Recuperação
10.18.8.1 – Para assegurar a atual disponibilidade de serviços críticos, as Unidades deverão desenvolver Plano
de Continuidade de Tecnologia de Informações como parte de planejamento-geral da continuidade e
recuperação de atividades.
10.19
Segurança em situações de emergência e em situações de escalada de ameaças
10.19.1 – as Unidades deverão desenvolver planos e procedimentos para aumentar o nível de segurança nos casos de
situações emergenciais ou de aumento de ameaças. A Procuradoria-Geral da República, por meio da Centro de
Pesquisa e Segurança Institucional, poderá orientar as Unidades a aumentar o nível de segurança.
10.19.2 – As Unidades devem coordenar esses planos com outros planos de prevenção e resposta a situações de
emergência (e.g., incêndio, ameaças de bomba, materiais perigosos, falta de energia, evacuação, emergências civis).
10.20
Plano de Continuidade das Atividades
10.20.1 – Serviços críticos e bens relacionados devem permanecer disponíveis e em condições de assegurar a saúde,
proteção, segurança e bem estar de membros e servidores, assim como assegurar o efetivo funcionamento das
atividades e evitar prejuízos materiais ao Ministério Público Federal.
10.20.2 – as Unidades do MPF deverão estabelecer planos de continuidade das atividades (PCA) para prover de forma
continuada a disponibilidade de serviços e bens críticos e outros serviços e bens em decorrência de avaliação de
ameaças e situações de risco.
10.20.3 – O programa deve incluir os seguintes elementos:
(a) Dentro do contexto do programa de segurança da unidade e da organização, a estrutura de direção estabelecendo
atribuições e responsabilidades pelo programa e para o desenvolvimento e aprovação do plano de continuidade
das atividades.
(b) Dentro do contexto de identificação de bens, uma análise de impacto que identifique e priorize os serviços e bens
críticos da Unidade.
(c) Planos, medidas e arranjos que assegurem a contínua disponibilidade de serviços e bens críticos e, quando
recomendado pela análise de ameaças e situações de risco, de qualquer outro bem ou serviço.
(d) Atividades para monitorar o nível de alerta e preparação de toda a Unidade.
(e) Provisão de revisão continuada, teste e auditoria do plano de continuidade das atividades.
10.21
Investigação de Incidentes de Segurança
10.21.1 – Através de uma efetiva notificação e investigação dos incidentes de segurança, vulnerabilidades poderão ser
determinadas e os riscos de ocorrências futuras reduzidos.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
8
10.21.2 – as Unidades deverão desenvolver rotinas para a notificação e investigação de incidentes de segurança e
adotar ações corretivas.
10.21.3 – As Unidades também deverão relatar:
(a) A ocorrência de fatos que em tese constituam crimes à Autoridade Policial apropriada.
(b) Incidentes envolvendo ameaças aos interesses institucionais do MPF ao Procurador-Geral da República.
(c) Incidentes e ameaças que afetem a disponibilidade de bens e serviços críticos à Chefia Imediata e ao SecretárioGeral do Ministério Público Federal para adoção de medidas de proteção da infra-estrutura e preparativos de
emergência.
(d) Incidentes que possam ser considerados graves ou envolvam dano à saúde de membros ou servidores ao
Procurador-Geral da República.
10.22
Sanções
10.22.1 – as Unidades devem aplicar sanções em resposta a incidentes de segurança quando decorrentes de dolo ou da
não observância do dever de cuidado.
11.
Monitoração
11.1 – as Unidades devem conduzir atividades de monitoração e auditorias internas de seus programas de segurança.
Os resultados das auditorias internas devem ser relatados ao Procurador-Geral da República.
11.2 – A Procuradoria-Geral da República, com a assistência das Unidades, produzirá relatório acerca da eficácia da
política.
12.
Revisão
12.1 – Esta política de segurança será revista dentro de 3 anos.
13.
Referencias
13.1 – A Autoridade desta política deriva das disposições do artigo 49, incisos XX e XXII, da Lei Complementar nº
75/93
14.1 – Normas relevantes para esta política incluem as normas operacionais emanadas do Centro de Pesquisas e
Segurança Institucional.
14.
FINAIS
Dúvidas acerca desta política poderão ser dirigidas ao Centro de Pesquisas e Segurança Institucional. Para
interpretação e homogeneidade na aplicação dessa política recomenda-se contactar o Centro de Pesquisas e Segurança
Institucional.
Centro de Pesquisas e Segurança Institucional
4º Andar, bloco B, Edifício Sede da Procuradoria-Geral da República
Brasília - DF, 70.050-900
Telefone: (61) 3031-6129 ou 3031-6126, 3031-6130 ou 3031-6125
Facsimile: (61) 3031-6253
Anexo "A" – Responsabilidades
1.
Procurador-Geral da República
1.1 – O Procurador-Geral da República aprova a Política de Segurança do Ministério Público Federal.
2.
Divisão de Segurança Orgânica
2.1 – Como órgão central de assuntos de segurança a Divisão de Segurança Orgânica do Centro de Pesquisas e
Segurança Institucional é responsável por:
(a) Desenvolver e atualizar a Política de Segurança do Ministério Público Federal.
(b) Oferecer diretrizes estratégicas, liderança, aconselhamento e assistência em questões de segurança.
(c) Em consulta com as Unidades, desenvolver padrões operacionais e documentos técnicos para a administração da
política, defesa da segurança (avaliação de confiabilidade), proteção de membros e servidores, segurança em
emergências e aumento na escalada de ameaças, plano de continuidade de atividades, investigação de incidentes
de segurança e outros assuntos relacionados que forem exigidos.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
9
(d) Dirigir e coordenar o desenvolvimento de normas operacionais e documentação técnica para segurança física,
segurança dos recursos humanos, segurança de tecnologia de informações e segurança na contratação.
(e) Coordenar o oferecimento de treinamento de segurança e conscientização em conjunto com a Secretaria de
Recursos Humanos e as demais Unidades do MPF.
(f) Coordenar pesquisas e desenvolvimentos na área de segurança.
(g) Oferecer política para gerenciamento de informações estratégicas, estrutura de Tecnologia de Informações em
suporte às atividades e objetivos institucionais do Ministério Público Federal, incluindo serviços comuns de
tecnologia de informação e credenciamento comum de infra-estrutura.
(h) Monitorar e relatar ao Procurador-Geral da República, com a assistência das Unidades do MPF a implementação
da política e o estado da segurança no Ministério Público Federal.
(i) Desenvolver e ocupar-se com a estratégia que capacitará o Ministério Público Federal a identificar, recrutar,
manter e continuamente preparar profissionais de segurança.
(j) Emitir notas sobre a implementação da política de segurança e assessoramento.
3.
Órgãos parceiros ou conveniados
(a) Várias forças públicas podem oferecer assistência e diretrizes ao Ministério Público Federal na implementação da
Política de Segurança, assim como em relação a sua efetividade e ao estado da segurança do Ministério Público
Federal.
(b) Essas forças também podem revisar e recomendar normas operacionais de segurança e documentações técnicas
para aprovação pela autoridade apropriada.
4.
Órgãos de Segurança Responsáveis
4.1 – No cumprimento desta Política de Segurança impõe reconhecer que certos órgãos possuem responsabilidades
específicas.
4.1
Centro de Pesquisas e Segurança Institucional
4.1.1 – Como parte no seu papel de segurança e inteligência, o Centro de Pesquisas e Segurança Institucional – CPSI é responsável por:
(a) Investigar e analisar ameaças físicas e lógicas à segurança do Ministério Público Federal, como definido no ato de
criação, e oferecer aconselhamento relacionados ao tema. Essas ameaças incluem espionagem e sabotagem,
influência de pessoas hostis ao Ministério Público sobre os recursos humanos e violência politicamente
motivada.
(b) Oferecer assistência na área de inteligência, inclusive avaliação de ameaças de risco.
(c) Conduzir investigações e oferecer avaliação de segurança quando requisitado pelos órgãos para o processamento
das falhas de segurança.
4.2
Núcleo de Segurança de Tecnologia da Informação
O Núcleo de Segurança de Tecnologia da Informação é a autoridade técnica na área de criptografia e segurança de
tecnologia de informações sendo responsável por:
(c) Em consulta com as outras Unidades, desenvolver normas operacionais e documentação técnica relacionada com
a inteligência dos sinais, com a visão que lhe empresta a presente Política, segurança das comunicações e
segurança de tecnologia de informações em termos de certificação do sistema e credenciamento, analises de
riscos e vulnerabilidades, avaliações de produtos e analises da segurança de sistemas e redes;
(d) Prover assistência às Unidades naquilo que se relacionar com as normas operacionais e documentação técnica por
ele desenvolvidas.
(e) Prover serviços de engenharia de segurança, assistência técnica e operacional para o planejamento,
implementação e operação dos sistemas de tecnologia de informações e elementos de infra-estrutura.
(f) Desenvolver e prover treinamento especializado em inteligência dos sinais, com a visão que lhe empresta a
presente Política, e segurança de tecnologia de informações, especialmente no que se refere a segurança das
comunicações, vulnerabilidades de redes e salvaguardas técnicas relevantes.
(g) Testar, inspecionar e avaliar produtos de tecnologia de informações e sistemas visando identificar riscos,
vulnerabilidades e conduzir o desenvolvimento e pesquisas técnicas relacionadas.
(h) Avaliar e relatar a aplicação das salvaguardas para a segurança das comunicações e tecnologia de informações,
por solicitação ou em cumprimento de normas de segurança.
(i) Gerenciar a distribuição de inteligência de sinais, equipamentos de criptografia, publicações disponíveis e
material essencial.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
4.6
10
Secretaria-Geral do Ministério Público Federal
4.6.1 – Como parte de seu papel no oferecimento de liderança na proteção da infra-estrutura e gerenciamento efetivo
das situações de emergência, a Secretaria-Geral do Ministério Público Federal é responsável por:
(a) Em conjunto com o Centro de Pesquisas e Segurança Institucional desenvolver padrões operacionais e
documentação técnica relacionada com a proteção e segurança das redes críticas, sistemas de informações e
outros bens críticos do Ministério Público Federal.
(b) Assistir a Divisão de Segurança Orgânica no desenvolvimento do Plano de Continuidade das Atividades e, com a
Assistência da Divisão de Segurança Orgânica, oferecer assessoramento às Unidades do MPF no
desenvolvimento e manutenção dos planos de continuidade das atividades.
(c) Por suas secretarias, oferecer assessoramento às Unidades do MPF no que diz respeito à proteção das redes de
comunicações e de dados, sistemas de informações e infra-estruturas que sejam essenciais ao Ministério Público
Federal.
(d) Por suas secretarias, assistir as Unidades do MPF na identificação e demarcação de seus bens críticos, na
condução da avaliação de vulnerabilidades desses bens e oferecendo analise-geral das vulnerabilidades e
necessidades dos bens críticos do Ministério Público Federal.
(e) Por suas secretarias, atuar como órgão central do Ministério Público Federal para:
•
Divulgação departamental de ameaças reais ou iminentes e de incidentes que potencialmente possam afetar as
redes, sistemas de informações e outros bens e infra-estruturas essenciais ao funcionamento do Ministério Público
Federal;
• Monitorar e analisar ciberataques e ameaças contra redes do Ministério Público Federal
• Divulgar alertas, avisos e outras informações e conselhos às unidades relacionadas com essas ameaças ou
incidentes;
• Coordenar resposta a ameaças físicas ou cibernéticas ou a incidentes que afetem o funcionamento do Ministério
Público Federal;
• Responder às solicitações das Unidades do Ministério Público Federal para aconselhamentos técnicos específicos,
orientações e informações a respeito de da prevenção de incidentes cibernéticos, resposta e recuperação.
(f) Em cooperação com outras Unidades do Ministério Público Federal desenvolver e promover programas
educativos, de treinamento e de conscientização.
(g) Em colaboração com outras Unidades do Ministério Público Federal, prover capacidade de desenvolvimento e
pesquisa para contribuir com a segurança de redes essenciais, sistemas de informações e outros bens do
Ministério Público Federal.
4.8
Secretaria de Administração
Como uma Secretaria para contratação, gerenciamento dos bens do Ministério Público Federal a Secretaria de
Administração é responsável por:
(a) Em consulta com a Secretaria-Geral do Ministério Público Federal e outras Unidades, desenvolver padrões
operacionais e documentação técnica para a segurança na contratação.
(b) Administrar o Programa de Segurança segundo a Política de Segurança do Ministério Público Federal.
(c) Prover aconselhamento às Unidades seguindo os padrões operacionais e documentação técnica para a segurança
na contratação.
(d) Desenvolver e prover treinamento para a segurança dos contratos.
(e) Manter base de dados das organizações do setor privado e de indivíduos que estejam autorizados a ter acesso a
bens do Ministério Público Federal.
(f) Garantir obediência à Política de Segurança nas contratações realizadas pelas demais Unidades do MPF e permitir
acesso aos bens do MPF.
(g) Quando sob a custódia da Unidade, garantir a provisão de segurança básica da edificação.
4.9 – Secretaria de Informática
Como uma Secretaria para contratação e gerenciamento dos bens e serviços do Ministério Público Federal
relacionados com tecnologia de informações e telecomunicações, a Secretaria de Informática é responsável por:
(h) Em consulta com a Secretaria-Geral do Ministério Público Federal e outras Unidades, desenvolver padrões
operacionais e documentação técnica para a segurança na contratação em sua área específica de atuação.
(i) Administrar o Programa de Segurança segundo a Política de Segurança do Ministério Público Federal.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
11
(j) Prover aconselhamento às Unidades seguindo os padrões operacionais e documentação técnica para a segurança
na contratação.
(k) Desenvolver e prover treinamento para a segurança dos contratos.
(l) Manter base de dados das organizações do setor privado e de indivíduos que estejam autorizados a ter acesso a
bens do Ministério Público Federal.
(m) Garantir obediência à Política de Segurança nas contratações realizadas pelas demais Unidades do MPF e permitir
acesso aos bens do MPF.
(n) Garantir que os contratantes encontrem exigências de segurança nos contratos que envolvam bens relacionados
com a segurança de tecnologia das informações
(o) Garantir o sigilo, integridade e disponibilidade dos serviços comuns de Tecnologia de Informações colocados a
disposição de outras Unidades.
4.10
Secretaria de Recursos Humanos
Como uma Secretaria para contratação e gerenciamento dos recursos humanos do Ministério Público Federal, a SRH
é responsável por:
(a) Em consulta com a Secretaria-Geral do Ministério Público Federal e outras Unidades, desenvolver normas
operacionais e documentação técnica para a segurança na contratação do pessoal.
(b) Administrar o Programa de Segurança segundo a Política de Segurança do Ministério Público Federal.
(c) Prover aconselhamento às Unidades seguindo as normas operacionais e documentação técnica para a segurança
na contratação do pessoal.
(d) Desenvolver e prover treinamento no que tange à segurança na contratação do pessoal.
(e) Manter base de dados do pessoal contratado.
(f) Garantir obediência à Política de Segurança nas contratações realizadas pelas demais Unidades do MPF.
(g) Garantir que os contratantes encontrem exigências de segurança nos contratos que envolvam bens relacionados
com a segurança de tecnologia das informações .
Anexo “B”Ameaça
Área de acesso restrito –
Autorização -.
Bens classificados –
Bens Essenciais –
Bens Protegidos –
Certificação –
Comprometimento –
Confidencialidade –.Sigilo
Credencial de Acesso
Dimensão da Segurança –.
Qualquer evento ou ato, deliberado ou não intencional, que
possa causar dano a bens, servidores ou membros do
Ministério Público Federal.
Área de trabalho onde o acesso é limitado a indivíduos
autorizados.
Autorização oficial do gerente para a operação de um sistema
de tecnologia de informação e aceitação pelo gerente do risco
residual associado. A Autorização é baseada num processo
de certificação assim com em outras considerações
gerenciais.
Bens cuja revelação não autorizada poderá resultar em danos
aos interesses do Ministério Público Federal.
Bens que dão suporte a serviços essenciais do Ministério
Público Federal.
Bens de cuja revelação não autorizada se possa esperar dano
a interesses não institucionais.
Avaliação abrangente de aspectos técnicos e não-técnicos de
um sistema de Tecnologia de Informações e salvaguardas
relacionadas, no sentido de estabelecer a extensão e um
conjunto de exigências de segurança em suporte do processo
de autorização.
Revelação não autorizada, destruição, remoção, modificação,
interrupção ou uso de ativos do Ministério Público Federal.
O atributo conferido a uma informação que impede o acesso
ou a sua revelação a pessoas não autorizadas em decorrência
da possibilidade de danos institucionais ou outros interesses.
Credencial exigida para o acesso a instalações essenciais ao
interesse do MPF ou áreas de acesso restrito.
Indica a conclusão bem sucedida de uma avaliação de
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
Disponibilidade Exigências básicas de Segurança –.
Incidente de Segurança -
Informação classificada –
Informação Protegida –
Instalações –
Integridade –.
Interesse Institucional –
Motivo Determinante –.
Necessidade de conhecer
Patrimônio – Ativos -
Plano de Continuidade de Atividades –
Processo de Contratação –
Risco –.
Segurança das Comunicações -.
Segurança de Tecnologia de Informação –.
12
segurança; com a necessidade de conhecer, permite acesso a
informação classificada. Há três níveis da dimensão da
segurança: Confidencial, Secreto e Altamente Secreto
A condição de ser utilizável em operações de apoio,
programas e serviços.
Provisões cogentes da Política de Segurança do Ministério
Público Federal assim como dos padrões operacionais e
documentação técnica relacionados.
Comprometimento de um bem ou qualquer ato ou omissão que
possa resultar em comprometimento, ameaça ou ato de
violência contra membros e servidores.
Informação relacionada com interesses institucionais do
Ministério Público Federal das quais se poderá
razoavelmente esperar prejuízo aos interesses da Instituição
ou de terceiros se objeto de acesso ou conhecimento não
autorizado.
Informação relacionada com outras que o interesse da
Instituição possa qualificar como uma isenção ou exclusão
sob as normas de acesso a informações e o comprometimento
dos quais razoavelmente se possa esperar venha a causar
danos a interesses não institucionais.
Ambiente físico destinado a fim específico. Uma instalação
pode ser parte de um prédio, um prédio inteiro ou um prédio e
sua área; ou pode ser uma construção em que não existe
edificação. O termo abrange não apenas o objeto mas também
o seu uso
Precisão e integridade de bens e autenticidade das transações
Interesse referente à defesa e manutenção da estabilidade
social, política e econômica do MPF.
Uma determinação da existência de razões suficientes para
rever, revogar, suspender ou diminuir o status de
confiabilidade ou de uma medida de proteção. No contexto de
uma avaliação de segurança, na determinação dos motivos
determinantes são necessárias verificações mais aprofundadas
A necessidade que alguém possui de acessar e conhecer
informações necessárias ao cumprimento de seu dever.
Coisas tangíveis ou intangíveis pertencentes ao Ministério
Público Federal. Ativos incluem, mas não são limitados,
informações em todas as suas formas e mídias, redes,
sistemas, bens, recursos financeiros, confiança dos
empregados, confiança pública e reputação internacional (A
inclusão de informações nessa definição presta-se
unicamente aos propósitos desta política).
Um conjunto de atos que incluem o desenvolvimento e a
pontual execução de planos, medidas, procedimentos e
arranjos que garantam a disponibilidade mínima ou a não
interrupção da disponibilidade de serviços e bens essenciais a
atividade do Ministério Público Federal.
Inclui contato, negociação, pagamento, performance e
resolução dos contratos.
A possibilidade de uma vulnerabilidade ser explorada.
Criptografia, transmissão e emissão de medidas de segurança
aplicadas ao arquivamento, processamento ou transmissão
eletrônica; um subconjunto da segurança de tecnologia de
informações.
Salvaguardas para preservar o sigilo, integridade,
disponibilidade, uso e valor de informações eletronicamente
arquivadas.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
Segurança Física - (segurança material) –
Serviços Essenciais –
Status de Confiabilidade -
Vulnerabilidade
13
O uso de salvaguardas físicas para prevenir e retardar o acesso
não autorizado a bens, detecção antecipada e ativar resposta
apropriada.
Serviços cujo comprometimento em termos de
disponibilidade ou integridade poderão resultar em alto grau
de dano à saúde, proteção e ao patrimônio dos usuários dos
serviços e ao eficiente funcionamento do MPF.
Indica a conclusão bem sucedida de uma verificação da
confiabilidade; permite o acesso regular aos recursos do MPF
e a informação protegida cujo conhecimento seja necessário
Falha na segurança que pode permitir que a transformação de
uma ameaça em dano.
ANEXO II DA PORTARIA PGR Nº 627/2004
PLANO DIRETOR DE SEGURANÇA FÍSICA
ÍNDICE
1.
INTRODUÇÃO
2.
ESTRUTURA DE SEGURANÇA FÍSICA
3.
– A CESSO A ÁREAS RESTRITAS
4.
– A RMAZENAMENTO 20
5.
– TRANSPORTE E TRANSMISSÃO
6.
- DESTRUIÇÃO 21
7.
– PROTEÇÃO DO PESSOAL E DO PÚBLICO
A NEXO A - ORIENTAÇÕES
A NEXO B - REFERENCIAS
1.
Introdução
1.1
Propósito e Abrangência
Este documento estabelece o Plano Diretor de Segurança Física de informações sensíveis e bens tal como exigido pela
Política de Segurança do Ministério Público. As normas contêm tanto exigências, indicadas pelo uso da palavra
“deve”, assim como salvaguardas recomendadas, indicadas pela palavra “pode”.
As normas para o transporte e transmissão de bens e informações sensíveis, serão disponibilizadas pela Divisão de
Segurança Orgânica do Centro de Pesquisas e Segurança Institucional.
1.2
Funções e responsabilidades
As Unidades são responsáveis pela proteção de bens e informações sensíveis, assim como dos demais bens sob seus
controles, de acordo com a Política de Segurança, Planos Diretores e suas normas operacionais.
As autoridades contratantes são responsáveis por assegurar o acatamento da política de segurança e que o contrato
inclui as cláusulas necessárias de segurança.
As Unidades são responsáveis pela implementação destas normas dentro das instalações sob seus controles.
Quando inquilinas, as Unidades são responsáveis por negociar com o senhorio as cláusulas necessárias à observância
das normas operacionais.
1.3
Orientação
A Assessoria de Segurança da Unidade e a Divisão de Segurança Orgânica são incumbidas de oferecerem a orientação
necessária ao atendimento deste Plano.
1.4
Conceitos
As normas contidas no Plano Diretor de Segurança Física partem do princípio de que os ambientes externos e internos
das instalações podem ser projetados e administrados para criar condições que, juntamente com salvaguardas físicas
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
14
específicas, irão fornecer a proteção necessária contra acesso não autorizado, fazer a detecção antecipada ou atual de
acesso não autorizado e ativar uma resposta efetiva.
Projetos ambientais podem aumentar a segurança ao fazer a transição entre uma propriedade
governamental e uma propriedade não governamental, e entre Áreas dentro das instalações. Tais demarcações devem
ser visíveis tanto para membros e servidores do MPF quanto para visitantes. Essa demarcação da propriedade e das
várias Áreas indica propriedade e responsabilidade e assim desencoraja tentativas de acesso não autorizado.
Projetos ambientais também podem aumentar a segurança ao fazer a transição entre pontos e certas áreas de maneira
claramente visível para o corpo de segurança e para outras pessoas.
Projetos ambientais podem aumentar a segurança ainda mais quando combinados com a maneira como o ambiente
físico das instalações é gerenciado. Por exemplo, onde apropriado, o uso de pontos de transição e outras áreas,
limitando o número de pessoas que trabalham em certas áreas e permitindo membros e servidores personalizarem
áreas de trabalho, podem reduzir os riscos de segurança.
Em segurança física o termo:
a) “Proteção” é usado para significar o uso de barreiras físicas, psicológicas e procedimentais para retardar ou
deter o acesso não autorizado.
b) “Detecção” envolve o uso de equipamentos e métodos apropriados para indicar um acesso atual ou tentado,
não autorizado.
c) “Resposta” refere-se à reação do pessoal e o envolvimento de guardas e da polícia. Resposta também inclui
controle de dano, a implementação do plano de continuidade de atividades e passos para prevenir a falha de
outros elementos da segurança física.
Com o devido tempo, quase todas as medidas de segurança podem ser superadas. Por isto é importante avaliar a
eficiência tanto das salvaguardas quanto de todo o sistema, tanto naquilo que diz respeito ao retardamento de um
acesso não autorizado quanto do tempo de resposta.
a) Medidas protetivas são avaliadas contra o tempo exigido para conseguir acesso não autorizado;
b) Medidas de detenção são avaliadas contra o tempo entre o alarme e o provável comprometimento do alvo;
c) Medidas de resposta são avaliadas com base no tempo necessário para mobilizar a força de resposta, para cobrir
a distância do ponto de mobilização até as instalações e o acesso à área comprometida.
Este conceito decorrente da combinação das mais apropriadas medidas de projetos ambientais e gerenciamento com o
tempo de reação formam a base das exigências e orientações que se seguirão.
2.
Estrutura de Segurança Física
2.1
PARTE GERAL
As normas de segurança física devem ser consideradas desde os primeiros estágios da construção ou modificação do
projeto de edificações e por isso, a aquisição ou contratação de imóveis devem ser precedidas de avaliação de risco e
ameaça. Quando segurança física está embutida em vez de acrescentada, as medidas de segurança provavelmente
interferirão menos com o uso eficiente das instalações, deteriorarão menos a sua aparência ou trarão menos
inconvenientes aos membros e servidores ou ao público. Além do mais, incorporando segurança física desde a fase de
projeto eliminará a necessidade de reformas onerosas.
Salvaguardas existentes ou propostas e normas de segurança recomendadas para o projeto de instalações devem ser
periodicamente avaliadas em face avaliações de riscos e ameaças atuais. Quando possível, ajustes das salvaguardas,
justificadas pela avaliação de risco e ameaças, devem incluir mudanças que assegurarão o cumprimento de medidas
protetivas das instalações e a observância das normas de segurança apropriadas para o projeto de instalações.
2.2
Orientações sobre Segurança Física
A falha em levar em consideração as exigências de segurança durante o processo de projeção das instalações
provavelmente criará vulnerabilidades na segurança e a necessidade de reformas onerosas. Para evitar tais situações,
os responsáveis pela segurança deverão estar cientes dos planos de projeção das instalações e devem colaborar com os
administradores na elaboração do projeto. Além do mais, o oportuno uso de orientações escritas, no planejamento
geral, processo de construção e implementação ajudarão a assegurar que as considerações de segurança serão levadas
em conta na seleção das instalações e desenho dos compartimentos. Existem dois tipos de orientações.
Orientação de segurança do lugar – identifica os atributos do lugar a serem considerados quanto à localização das
instalações. A oportuna orientação de lugar poderá assegurar que a Unidade pode implementar a segurança em
instalações alugadas e que as condições do local irão suportar o projeto de instalações ou modificação das
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
15
mesmas instalações. A orientação de lugar será provida para os projetistas quando a Unidade requisitar novas
acomodações ou se prontificar a alterá-las.
Orientação de projeto de segurança descreve o conceito de segurança física e o layout de áreas restritas
desenvolvidas em resposta a uma avaliação de risco e ameaça. A orientação do projeto de segurança está
incorporada à definição do projeto de arquitetura proposto no plano de ocupação das instalações (salas).
As unidades devem incluir orientações que identificam as exigências de segurança para a seleção do local e projeto
de instalações em documentos que contenham orientações arquitetônicas.
Contradições entre o projeto arquitetônico proposto e orientações do projeto de segurança deverão ser identificadas e
resolvidas como exigido no processo de aquisição e de ocupação das instalações. Desse modo, as consultas entre as
Autoridades do Projeto e o Centro de Pesquisas e Segurança Institucional/Divisão de Segurança Orgânica devem ser
providenciadas o mais cedo possível.
As exigências de segurança para os prédios e instalações de ocupação mista, representam caso especial para o
planejamento da segurança. As necessidades e as exigências de segurança das Unidades devem ser harmonizadas de
acordo com as preocupações de segurança dos usuários/inquilinos e as necessidades operacionais dos demais
ocupantes. Caso o local não possa prover uma Unidade com a necessária segurança, outro local deve ser considerado.
Um fator significante nestas considerações são as recomendações contidas na avaliação de riscos e ameaça das
instalações.
A aplicação das orientações do projeto de segurança devem ser revistas a cada estágio do projeto, desde o rascunho
até a conclusão.
2.3
Regulamentos e Códigos
As Unidades devem assegurar que as medidas de segurança física atendem aos regulamentos e códigos da cidade
onde estão inseridas. Esses regulamentos incluem Códigos de Edificações, Planos Diretores, e normas de Direito do
Trabalho, de combate a incêndio, assim como regulamentos para construção e circuitos elétricos.
2.4
Perímetro Externo
Cercas e muros delineando os limites delimitam a propriedade e fornecem algum controle sobre o acesso. Cercas e
muros são normalmente usadas em instalações contendo equipamentos de segurança ou de comunicações. Alguns
tipos de cercas e de muros podem compensar deficiências de segurança em edifícios, como nas ocasiões em que
janelas baixas expõem a risco bens e informações sensíveis
As cercas e muros das Unidades do MPF devem ser projetados de modo a facilitar a vigilância, o controle do
perímetro e evitar o acesso não autorizado.
2.5
Paisagem
O conceito de projeto ambiental também tem aplicação de segurança na paisagem em volta ou nas proximidades das
instalações. A paisagem deve dar suporte à proteção do edifício, detenção de intrusos e resposta a incidentes de
segurança. Ao mesmo tempo, as medidas de segurança da paisagem não devem interferir com o valor estético da
propriedade. Medidas paisagísticas de segurança úteis incluem:
Definição clara dos limites.
A ausência de esconderijo para intrusos.
Uma visão desobstruída de áreas problemáticas de modo a permitir a vigilância pela equipe de segurança e por
membros e servidores.
Essas medidas devem ser efetivas em todas as ocasiões.
2.6
Estacionamentos
A segurança dos Estacionamentos será incrementada onde:
Localização das vagas estão convenientemente distantes de saídas de emergência, das áreas para frotas ou de
descargas e outras aberturas, de modo a desencorajar furtos oportunísticos;
Empregados e corpo de segurança podem ver e monitorar veículos e pedestres;
Faixas de pedestres levando a Áreas de recepção podem ser facilmente observadas;
-
A segurança das instalações e de estacionamento pode ser incrementada pelo correto encaminhamento de
veículos para e do estacionamento de modo a que se tenha controle dos possíveis pontos vulneráveis.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
16
O projeto de áreas de estacionamentos deve conduzir os motoristas a que entrem e deixem a área pelo ponto mais
remoto das instalações. Isto irá incrementar as atividades em áreas remotas e prover vigilância de veículos
estacionados e de pedestres enquanto usuários se aproximam ou deixam a Área de recepção.
2.7
Iluminação de Segurança
As Unidades deverão prover iluminação suficiente dentro e ao redor das instalações de modo a permitir a detenção e
observação de pessoas aproximando-se do prédio e a desencorajar atividades criminosas. Iluminação de segurança
deve demandar incremento de luminosidade ou espectro de cor especializado, ou ambos, para propósitos de
identificação ou para aplicação de circuito fechado de televisão (CFTV). Em vista da complexidade técnica e da
necessidade de produzir segurança, iluminação de segurança deve ser planejada por pessoal qualificado.
Assistência e aconselhamento em termos de iluminação de segurança deverão estar disponíveis a partir do Centro de
Pesquisas e Segurança Institucional/Divisão de Segurança Orgânica.
2.8
Outras características da Edificação
Portas, janelas, escotilhas e dutos de serviço devem ser projetados para conter ameaças identificadas. Salvaguardas
típicas incluem materiais resistentes, barreiras especialmente construídas e equipamentos adequados. Assim como
outras salvaguardas, é recomendável, do ponto de vista da relação custo benefício incluir tais características durante
os estágios de projeto e construção do que na reforma.
Saídas de Emergências, tal como definido em Código de Edificações das cidades, devem sempre satisfazer as
preocupações com a segurança de membros e servidores, mas não deve permitir acesso não autorizado a áreas
controladas, tanto durante operações normais quanto em emergências. Por exemplo, portas de saída de emergência
não devem permitir acesso sem controle a segurança ou a Áreas de alta segurança a qualquer tempo. Regulamentos
estritos da Unidade e procedimentos devem regular o uso das saídas de emergência que permitem acesso a Áreas
restritas. Salvaguardas adicionais também devem estar disponíveis durante emergências quando informações e bens
são mais vulneráveis.
2.9
Áreas
Um modo efetivo de proteger informações e bens sensíveis é usar uma série de Áreas claramente discerníveis para
progressivamente controlar o acesso pelo público e, em menor extensão, por membros e servidores. Cinco Áreas
podem ser usadas nesse propósito.
Área Pública.
Área de Recepção.
Área de Operação.
Área Sensível.
Área de Segurança.
As duas primeiras destas cinco Áreas (Área Pública e Área de Recepção) devem estabelecer condições de acesso para
as demais três Áreas restritas. O termo “área controlada” pode ser usada para descrever qualquer combinação de Áreas
restritas. Por exemplo: quando conjunto de Áreas restritas são separadas por Áreas de acesso público e de recepção.
Uma Área pública geralmente cerca ou forma parte de uma instalação do MPF. Exemplos incluem o terreno em volta
do prédio, corredor público e lobbies de elevador em prédio de ocupação mista. Indicativos de limites tais como sinais
e vigilância direta ou remota devem ser usados para desencorajar atividade não autorizada.
A Área de Recepção deve ser localizada na entrada da instalação. É o local onde o contato inicial entre o público e a
Unidade ocorre, onde os serviços são providos, informações são trocadas e o acesso a Áreas restritas é controlado.
Com variados graus, a atividade na Área de Recepção deve ser monitorada por pessoal que ali trabalha, por outras
pessoas ou pelo corpo de segurança.
O Acesso pelo público, por razões específicas, pode ser limitado a períodos determinados do dia em ordem de serviço
da Unidade. O Acesso além da Área de Recepção, como vão de porta, arranjo de mobília ou divisórias em setor
aberto ao público, deve ser monitorado pelo corpo de segurança.
Uma Área de Operação é uma área onde o acesso é limitado ao pessoal que ali trabalha e a visitantes acompanhados.
Áreas de Operação devem ser monitoradas ao menos periodicamente, baseada em Avaliação de Risco e Ameaças e
deve preferencialmente ser acessível a partir da Área de Recepção.
Uma Área Sensível é uma área onde o acesso é limitado a pessoal autorizado e a visitantes devidamente
acompanhados. Áreas de Segurança devem preferencialmente ser acessível a partir da Área de Operação e através de
uma ponto de entrada. Uma Área Sensível necessita ser separada de uma Área de operação por um perímetro seguro.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
17
Áreas de Segurança devem ser monitoradas 24 horas ao dia e sete dias por semana pelo corpo de segurança, outras
pessoas ou por meios eletrônicos.
Os gabinetes dos Procuradores da República devem ser tratados como Área sensível.
Uma Área de Segurança é uma área na qual o acesso é controlado através de um ponto de entrada e limitado a
pessoas autorizadas e devidamente submetidas a procedimento de checagem de confiabilidade e a visitantes
adequadamente escoltados. Área de Segurança devem ser acessíveis apenas a partir de Áreas de segurança e separadas
das Áreas de segurança e de operações por um perímetro construído segundo especificações contidas na Avaliação de
Risco e Ameaças. Área de Segurança devem ser monitoradas 24 horas ao dia e sete dias por semana pelo corpo de
segurança, outras pessoas ou por meios eletrônicos.
Definições em andamento não precluem o estabelecimento de Áreas restritas temporárias seja internas ou externas à
área controlada. Por exemplo, uma Área Sensível Temporária pode ser estabelecida em volta de pessoas, veículos ou
bens, sob contínua guarda. Também pode ser uma mesa em uma sala onde normalmente funcione uma Área Sensível
se utilizada por pessoal que processe informações ou bens sensíveis.
As Unidades devem estabelecer o tipo e número apropriados de Áreas restritas para o processamento de informações
e bens sensíveis e para estabelecer as necessárias condições para o armazenamento dessas informações e bens. As
exigências se aplicam no caso de novas salas e devem ser aplicadas onde for possível nas salas existentes. Ver Seção
4 para informações sobre exigências de armazenamento. Uma Área restrita deve ser usada para armazenamento de
informações e bens sensíveis em prateleiras ou armários abertos ocasião em que se qualificará como determinado tipo
de sala segura.
Recomendações a respeito dos níveis de informações e bens sensíveis que devem ser processados em Áreas restritas
ou armazenados em compartimentos localizados em Áreas restritas são discriminados na tabela abaixo:
Quando recomendado por Avaliação de Risco e Ameaça, uma Área de Segurança deve ser usada para o
processamento de informações e bens altamente sensíveis e extremamente sensíveis.
O uso efetivo de Áreas restritas em um ambiente aberto depende da implementação do procedimento apropriado de
segurança, que inclui:
Respeito ao princípio da necessidade do acesso e perímetros das Áreas de segurança –
Escolta – acompanhamento de visitantes
Procedimentos de proteção de informações e bens sensíveis ao se deixar a área de trabalho.
Tomada de precauções quando se discutir informações sensíveis.
Também é útil localizar equipamentos tais como armários e picotadores onde estes possam ser usados sem que se
deixe informações sensíveis a descoberto.
Os limites das Áreas podem variar de acordo com o período de uso durante o dia ou semana. Por exemplo: uma Área
usada como Área de Recepção durante o período de atividade da instituição pode eventualmente receber critérios de
uma Área de Operação durante período limitado do dia, como em finais de semana ou durante a noite, quando seus
perímetros são controlados e monitorados continuamente. Similarmente, uma Área de operação pode submeter-se a
critérios de Área Sensível durante determinado período do dia.
Para facilitar a aplicação do princípio da necessidade do conhecimento, qualquer das Áreas restritas pode ser
subdividida em áreas organizacionais. Por exemplo, perímetros físicos podem ser estabelecidos em volta de diferentes
áreas que somente serão acessadas por pessoas trabalhando em projetos específicos. Igualmente, áreas de trabalho
podem ser definidas onde o acesso é limitado aos trabalhadores de manutenção, o que requer acesso às instalações
mas não a informações sensíveis. Pontos de entrada podem ser usados para imitar o acesso a essas áreas (veja artigo
3.1).
2.10 Sinais
Indicações devem ser usadas no acesso público ou nas Áreas de Recepção para indicar propriedade a menos que a
Avaliação de Risco e Ameaças indique que tal indicação possa representar uma vulnerabilidade da Unidade.
2.11
Áreas de Serviço
Áreas de serviço que exijam acesso público, tais como banheiros e vestiários devem ser localizados nas Áreas de
Recepção de modo a que o público não tenha acesso a Áreas restritas e que a vigilância seja facilitada.
Outras áreas comumente usadas pelo pessoal e por visitantes autorizados, tais como bibliotecas ou centro de
comunicações podem ser operados como qualquer Área restrita. Sob certas condições, o acesso pode ser ainda mais
restringido seja para em relação ao pessoal autorizado, seja em relação ao visitantes que possua a necessidade
identificada de adentrar a referidas áreas.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
18
Áreas de Circulação também são comumente usadas pelos empregados ou por visitantes autorizados e devem ser
projetadas para reduzir as oportunidades de acesso não autorizado a informações e bens sensíveis.
As Áreas às quais trabalhadores de manutenção devem ter acesso para reparar equipamentos de serviços necessários à
manutenção do ambiente de trabalho devem ser incluídos na Análise de Risco e Ameaças da Instalação. Essas áreas
incluem dutos e encanamentos, assim como centrais telefônicas, centrais elétricas, equipamentos e armários dos
zeladores.
2.12
Áreas de Discussão de Assuntos Sensíveis
Uma área de discussão de assuntos sensíveis é uma área especialmente projetada e administrada para prevenir a escuta
e vazamento de informações sensíveis. Devido ao custo das instalações e da operação de áreas de discussão de
assuntos sensíveis, as Unidades deverão avaliar cuidadosamente a necessidade, o risco e o custo-benefício. Quando a
construção e uso de uma área de discussão de assuntos sensíveis for considerada, o Centro de Pesquisas e Segurança
Institucional deverá ser consultado a respeito da definição de necessidades, opções, padrões de construção e
procedimentos para administração das áreas de discussão de assuntos sensíveis.
2.13
– Centros de Controle de Segurança
Um Centro de Controle de Segurança é uma área na qual se aplicam as regras relativas à necessidade de acesso. O
centro pode ser usado para monitorar e controlar o acesso a várias Áreas das Instalações. O Centro de Controle de
Segurança também pode ser usado para monitorar o status de segurança dos equipamentos de controle de acesso,
detecção de intrusão, sistemas de comunicação de emergência e alarmes de fogo e alarmes de pânico. As Unidades do
MPF consideradas de grande porte devem, em seu plano de segurança, indicar a necessidade de implantação de um
Centro de Controle de Segurança.
O pessoal do Centro de Controle de Segurança deve ter a capacidade de avaliar irregularidades, emergências, acessos
ou tentativa de acessos não autorizados, e, onde justificado, iniciar a resposta apropriada.
A decisão quanto a quem irá operar o Centro de Controle de Segurança – a Unidade ou terceiro contratado – deve ser
levada em consideração durante Avaliação de Risco e Ameaças.
No Centro de Controle de Segurança - CCS, equipamentos de segurança devem ser operados independentemente do
gerenciamento dos equipamentos do prédio. O centro deve ser projetado para maximizar a eficiência das pessoas que
ali trabalham.
As Procuradorias da República de portes médio e grande devem estar dotadas de Centros de Controle de Segurança.
2.14
– Tecnologia da Informação
As exigências do projeto de segurança física nestas normas aplicam-se a áreas e instalações que se destinam
especialmente a equipamentos de tecnologia da informação, incluindo computadores e salas de comunicações.
Uma vulnerabilidade comum afetando equipamentos de fac-símiles e terminais de computadores é a deficiência de
controle sobre o aceso físico a informações sensíveis por eles recebidos. Análise de Risco e Ameaça devem levar esse
fator em conta. Onde apropriado, limitar o acesso a tal equipamento, especialmente após o horário de expediente e
implementar salvaguardas apropriadas, por exemplo, desligar o equipamento e trancar a porta.
O Ministério Público Federal, a despeito da crescente evolução tecnológica, o que pode indicar que novos
mecanismos podem ser criados, deve planejar a aquisição de Unidade Telefônicas Seguras ou Telefones Seguros
Governamentais.
Unidades Telefônicas Seguras não exigem salvaguardas especiais, mas não devem ser deixadas com a chave no
terminal quando desacompanhada. Quando esta chave estiver armazenada na mesma sala que o terminal, a chave deve
merecer proteção compatível com a sensibilidade do terminal chaveado.
O Plano Diretor de Segurança de Tecnologia de Informações (Capítulo 2-2) possui mais informações acerca de
segurança em operações baseadas em computadores e centros de comunicação.
2.15
– Salas Seguras
Salas seguras são salas construídas de acordo com normas técnicas para o processamento e armazenamento de
informações e bens sensíveis.
Informações sensíveis armazenadas no tipo adequado de salas seguras não precisam ser especialmente protegidas por
armazenamento em recipientes adicionais, a menos que subsistam preocupações relacionadas com o princípio da
necessidade do acesso. Isto implica que um escritório onde informações sensíveis são armazenadas em prateleiras ou
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
19
armários abertos devem ser construídos como uma espécie de sala segura ou que o acesso a ela se submeta às regras
aplicáveis a Áreas sensíveis ou de segurança.
O custo-benefício da implantação de salas seguras deve ser avaliado em função de seu alto custo.
3.– Acesso a Áreas Restritas
3.1
– Pontos de Entrada
Uma maneira de fisicamente controlar acesso a Áreas restritas é através do uso de pontos de entrada. Um ponto de
entrada é uma característica do projeto que canaliza o tráfego dentro das Instalações de maneira a que o efetivo
monitoramento e controle pelo pessoal, vigilantes e meios automáticos se torne possível.
Pontos de entrada são usados tanto em uma Área de Recepção quanto dentro de área controlada em lugares onde
existam Áreas diferentes ou unidades organizacionais dentro da interface da Área. Pontos de Entrada são geralmente
estabelecidos na entrada da Área Sensível, embora outros métodos menos aparentes ou menos onerosos existam como
opção para o controle de acesso em ambientes abertos. O projeto de uma Área de Segurança exige o estabelecimento
de um ou mais pontos de entrada.
3.2
– Reconhecimento – Identificação do Pessoal
Quando um pequeno número do pessoal atua em uma Área particular, a habilidade de cada empregado em reconhecer
os outros e de deter um estranho é um benefício distinto de segurança que pode suportar ou modificar outros
equipamentos de controle de acesso.
Na medida em que o número do pessoal for maior, um funcionário deve ser indicado para trabalhar no ponto de
entrada, local onde controlará o acesso pelo reconhecimento das pessoas e também informará os visitantes acerca das
regras de conduta e de circulação no interior das instalações. Outras pessoas devem ser escaladas para trabalhar no
ponto de entrada para escoltar visitantes. Independentemente do tamanho da Unidade, as regras básicas de acesso
devem ser afixadas na Área de recepção.
Com grande número de funcionários será menos oneroso e mais proveitoso valer-se de controle eletrônico de acesso
e/ou vigilantes (ver artigo 3.4).
3.3
Identificação Pessoal
Membros e servidores devem ser identificados por crachá ou elemento de identificação para verificação de seu
vínculo com a Unidade. Adicionalmente, membros e servidores que exijam regular acesso a Áreas restritas dentro da
Unidade devem também exibir uma forma de passe ou de distintivo de acesso que demonstrem a autorização para
entrar em Áreas específicas. Um distintivo de acesso apenas indica a autorização, de modo que, onde justificado,
procedimentos de controle de acesso devem levar em conta passos adicionais para verificação da identidade.
Um crachá de identificação deve conter a fotografia individual, nome, o nome do departamento ou seção a que o
identificado pertence, o número do crachá e a data em que expira a sua validade. Onde constar os deveres do portador
fazer a inclusão do nível do status de confiabilidade a menos que a Avaliação de Risco e Ameaças recomende outra
medida.
Onde as Unidades se valerem de crachás ou de distintivos de autorização, deverão ser estabelecidos procedimentos
para seus usos.
Procedimentos relativos a Crachás de identificação e distintivos devem cobrir:
Manutenção e inventário
Razões para retirada.
Substituição
Relatório de dano, perca ou subtração.
3.4
– Controle Eletrônico de Acesso
Controle Eletrônico de Acesso pode apresentar-se tanto por meio de barreiras físicas quanto por barreiras psicológicas
e devem ser capazes de gravar detalhes do acesso para auditoria (p. ex., hora e data da chegada e destino do Usuário).
Como tais controles são especialmente onerosos, opções como reconhecimento do pessoal e fechaduras mecânicas
devem ser consideradas em primeiro lugar.
Um perímetro seguro deve ser estabelecido antes da instalação de controle eletrônico de acesso. Medidas alternativas
devem estar disponíveis quando os controles eletrônicos não estiverem em funcionamento.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
20
As unidades devem assegurar que as medidas físicas de segurança obedecem aos regulamentos e códigos das cidades.
Leitoras de cartões ou teclados de senhas pessoais de identificação identificam o código do crachá ou valida a senha
pessoal de identificação, mas não podem identificar o portador. Se for necessário validar eletronicamente a
identidade, apenas credenciais que resgatam informações de uma fonte confiscável devem ser usadas. Elementos
biométricos, tais como impressões digitais, impressões vocais ou da mão são elementos de controle eletrônico de
acesso devem ser considerados diante da ameaça de ataques potencialmente sofisticados.
3.5
– Detecção Eletrônica de Intrusão
Controle Eletrônico de Intrusão deve dar suporte ao controle de acesso ao detectar uma tentativa ou atual acesso não
autorizado e comunicar tal ocorrência ao corpo de segurança. Esses equipamentos devem ser instalados de maneira e
em locais de modo a prover o mais rápido possível o aviso de intrusão ou tentativa em Área restrita. Os equipamentos
devem ser projetados de modo a se contrapor à capacidade técnica adversária identificada em Avaliação de Risco e
Ameaça.
Equipamentos de Detecção Eletrônica de Intrusão exigem monitoramento e devem estar apoiados em capacidade de
resposta compatível com os riscos e ameaças detectados em Avaliação de Risco e Ameaça, os quais devem ser
checados regularmente para assegurar a confiabilidade da operação. Medidas alternativas devem estar disponíveis
para as ocasiões em que tais equipamentos estiverem fora de serviço.
3.6
– Circuito Fechado de Televisão
Circuito Fechado de Televisão pode prover vigilância nos pontos de entrada e apoiar o Corpo de Segurança no
reconhecimento das pessoas que entram ou deixam determinada Área das instalações. Se integrado com sistemas de
detecção eletrônica de intrusão, o CFTV pode aumentar a eficiência do corpo de segurança ao mostrar quem se
aproxima dos pontos de entrada. O CFTV pode também apoiar na avaliação de eventos, alarmes ou violações do
controle de acesso.
O CFTV pode dar apoio ao controle de acesso ao funcionar como uma barreira psicológica. Vídeos gravados também
podem auxiliar na investigação de eventos de acesso não autorizado e, eventualmente, como prova em processos
judiciais. Além do mais, CFTV pode ser usado para a avaliação e melhorar o controle de acesso e procedimentos ao
prover informações gravadas de eventos críticos. Medidas alternativas devem estar disponíveis para as ocasiões em
que o CFTV estiver fora de serviço.
As unidades de médio porte devem considerar a vigilância por CFTV enquanto as de grande porte devem integrar a
vigilância por CFTV ao dispositivo de segurança.
3.7
– Outras Medidas de Controle de Acesso
Outras medidas de controle de acesso ou de apoio ao controle de acesso incluem recipientes seguros, fechaduras,
vigilantes e outros membros do corpo de segurança.
4.
– Armazenamento
4.1
Informações Gerais
Bens e informações sensíveis devem ser armazenados em recipientes apropriados, tal como descrito abaixo. Além do
mais, recipientes de armazenamento devem estar localizados nas Áreas restritas apropriadas, (ver artigo 2.9).
Exceção: onde Área restrita for também tipo apropriado de sala segura, recipientes adicionais não serão necessários.
4.2
– Armários Seguros
Bens e informações sensíveis devem ser armazenados em recipientes seguros.
Exceção: Quando não for possível ou impraticável o uso de recipientes seguros, a situação necessitará da criação de
Área restrita apropriada, por exemplo, complexo cercado ou área vigiada.
Quando informações de diferentes níveis de sensibilidade estiverem armazenadas juntas, o armazenamento deverá
obedecer ao padrão de segurança indicado para o nível de sensibilidade mais alto das informações envolvidas. O
armazenamento de informações de alto nível de sensibilidade com informações de baixo nível de sensibilidade pode
vulnerar as salvaguardas se não observada a recomendação anterior.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
4.3
21
– Chaves para recipientes de segurança
As chaves dos recipientes de segurança devem receber proteção consentânea com a mais alta classificação ou
designação do bem ou informação a que dão acesso. Esta exigência também se aplica a informações gravadas que
podem permitir a reprodução da chave.
Cópia de reserva ou chave-mestra e as informações necessárias para a reprodução das chaves não devem ser
armazenadas em apenas uma sala.
Chaves que dêem acesso a recipientes de segurança devem ser trocadas quando Avaliação de Risco e Ameaça indicar
ameaça inaceitável, por exemplo, após a liberação de empregado insatisfeito ou revisão do princípio da necessidade
do acesso a determinado recipiente. Chaves devem ser trocadas quando a fechadura de um recipiente de segurança
puder ou haver sido comprometida.
A gravação de datas, razões, todas as trocas de chaves de recipientes de segurança devem ser mantidas em arquivo.
5.
– Transporte e Transmissão
A segurança de bens e informações sensíveis depende largamente da manutenção do controle de acesso à informação
e bens a todo tempo quando estiverem sendo transportadas.
De outro lado, quando transmitida, a segurança de bens e informações sensíveis dependem largamente do adequado
empacotamento, de um serviço postal ou de correio adequado e confiável (seja governamental ou privado) e do quão
anônima esta informação está no fluxo normal das correspondências e mensagens.
Para limitada quantidade de informações e bens sensíveis de alto risco, salvaguardas adicionais apropriadas devem ser
usadas, tal como indicado em Avaliação de Risco e Ameaça.
6.
- Destruição
6.1
– Procedimentos normais
Informações sensíveis para as quais o período de retenção estiver expirado e que não possuam valor histórico ou
arquivístico, devem ser imediatamente destruídas. Esta recomendação inclui cópias excedentes, rascunhos e resíduos.
Informações sensíveis em meios não eletrônicos devem ser destruídas usando equipamentos apropriados. Exceção:
informações de baixo nível de sensibilidade após o manuseio.
Unidades devem estabelecer procedimento para a proteção de informações e bens sensíveis antes de suas destruições.
Esses procedimentos incluem:
Afixação de etiquetas em equipamentos de destruição indicando o mais alto nível de sensibilidade de informação
que pode por ele ser destruída.
Salvaguardas para proteger informações no aguardo de destruição ou em trânsito para destruição na maneira
prescrita para o nível mais elevado das informações envolvidas.
Assegurar que o pessoal autorizado esteja presente para monitorar a destruição de informações sensíveis.
Manter informações sensíveis que estejam no aguardo de destruição separadas de outras informações não
classificadas que estejam igualmente no aguardo de destruição.
Quando Unidades forem responsáveis, por delegação de outra Unidade, pelo transporte de informações sensíveis a
serem destruídas, ou pela destruição dessas informações, deverá obter certificados que autorizem a destruição.
6.2
– Armazenamento de Mídias Eletrônicas
Para informações acerca da disposição de armazenamento eletrônico de mídia ver capítulo 2-3 e documentação
relevante listada nas referências anexadas a esse capítulo.
7.
– Proteção do Pessoal e do Público
7.1
– Pessoal
As Unidades do MPF são responsáveis pela segurança e saúde dos empregados no trabalho. Em consonância com esse
princípio, a Avaliação de Risco e Ameaça das Instalações deve levar em conta as situações em que membros e
servidores estejam sob a necessidade de proteção física e as necessárias salvaguardas para protegê-los. Exemplos
incluem servidores das Áreas de recepção que são os primeiros a se deparar com usuários hostis ou emocionalmente
transtornados e membros que podem ser ameaçados em decorrência de eventualmente serem vistos como
responsáveis por decisões impopulares.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
22
Membros e servidores que ocupem posições de alto risco pessoal devem receber treinamento de segurança pessoal,
onde justificado, e estarem cobertos por salvaguardas adicionais projetadas para minimizar os riscos de atentados.
Exemplos dessas salvaguardas incluem controle de acesso, barreira e instalações visíveis de CFTV.
A Divisão de Segurança Orgânica está disponível, sob requerimento, para dar apoio na avaliação de lugares que
exijam proteção para o pessoal e para prover aconselhamento na instalação de equipamentos de segurança.
7.2
– O Público
Se a segurança ou a confiança do público for uma preocupação, controle de acesso e adequada demarcação das Áreas
servirão como instrumento para assegurar a segurança.
Anexo A - Orientações
Para assistência a respeito destas normas contatar:
Assessoria de Segurança Orgânica
Anexo B - Referencias
Os documentos de referência deverão ser desenvolvidos pela Divisão de Segurança Orgânica do Centro de Pesquisas
e Segurança Institucional.
ANEXO III DA PORTARIA PGR Nº 627/2004
Plano Diretor de Segurança de Tecnologia da Informação
ÍNDICE
CAPÍTULO 2-3 – PADRÕES DE SEGURANÇA DE TECNOLOGIA DA INFORMAÇÃO
1.
2.
3.
4.
5.
INTRODUÇÃO
1.1 Propósito e alcance
1.2 Papéis e Responsabilidades
1.3 Conceito
1.4 Orientações
ORGANIZAÇÃO E ADMINISTRAÇÃO DE SEGURANÇA DE TECNOLOGIA DA INFORMAÇÃO
2.1 Organização
2.2 Planejamento
2.3 Procedimentos de gerenciamento de riscos de segurança
2.4 Certificação e Credenciamento
2.5 Autorização e Procedimentos de Acesso
2.6 Manutenção
2.7 Gerenciando material criptográfico
2.8 Monitoramento e revisão
SEGURANÇA DE TECNOLOGIA DA INFORMAÇÃO
SEGURANÇA DE TECNOLOGIA DA INFORMAÇÃO E SEGURANÇA FÍSICA
SEGURANÇA DE TECNOLOGIA DA INFORMAÇÃO
5.1 Segurança de Hardware
5.2 Segurança do Software
5.3 Segurança das Comunicações
5.3.1
Parte Geral
5.3.2
- Redes
5.3.3
Autorização eletrônica e autenticação
5.3.4
Emanações
5.4 Segurança das Operações
A NEXO A - ORIENTAÇÕES
1.
Introdução
1.1
Propósito e alcance
Este documento estabelece o Plano Diretor de Segurança em Tecnologia da Informação. As normas contêm tanto
exigências, indicadas pela palavra “deve”, quanto salvaguardas recomendadas, indicadas pela palavra “pode”.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
23
1.2 Papéis e Responsabilidades
1.2.1
1.2.2
1.2.3
1.2.4
1.2.5
1.2.5.1
1.2.5.2
1.2.6
1.2.7
1.2.8
1.3
- As Unidades são responsáveis pela proteção de bens e informações sensíveis sob seus controles de acordo
com a Política de Segurança, Planos Diretores, Normas e Procedimentos Operacionais.
- Nas hipóteses em que as atividades envolvam diversas Unidades do MPF, a Unidade patrocinadora ou que
coordene tais atividades é a Unidade responsável pela segurança.
- Esta responsabilidade inclui dar às Unidades que possam ser afetadas a oportunidade de ajudar na
formulação de planos, normas e procedimentos de segurança.
- A Unidade patrocinadora também é responsável por estabelecer exigências mínimas de segurança a serem
cumpridas pela Unidade participante, de acordo com a Política de Segurança e suas normas e procedimentos.
- As Unidades envolvidas no compartilhamento de sistemas de informações devem:
- Realizar avaliações de riscos e ameaças conjuntamente.
- Concordar a respeito das exigências de segurança, salvaguardas, termos e condições e documentar o acordo.
- A autoridade contratante é responsável pelo cumprimento da Política de Segurança e pela observância da
inclusão, na documentação contratual, das cláusulas necessárias a esse cumprimento.
- As Unidades podem solicitar ao CPSI/NSTI revisem o cumprimento por parte do Contratante de cláusulas
particulares de STI (Segurança de Tecnologia da Informação).
– O Anexo B da Política de Segurança descreve as atribuições do CPSI e do NSTI no que tange à Segurança
de Tecnologia da Informação.
Conceito
1.3.1 - Segurança de Tecnologia da Informação se propõe a assegurar o sigilo (confidencialidade) das informações
armazenadas, processadas ou transmitidas eletronicamente; a integridade da informação e dos procedimentos
relacionados; e a disponibilidade da informação, sistemas e serviços. Isto compreende a segurança de hardware e
software de informática, redes, telecomunicações e outros equipamentos relacionados, assim como as instalações nas
quais estão abrigados.
1.3.2 - Programas de STI das Unidades deverão atender a todos esses elementos, assim como os aspectos relacionados
com organização e administração, segurança física e do pessoal.
1.3.3 - O sucesso do programa de STI dependerá da efetiva coordenação entre as várias áreas de segurança, assim
como entre o pessoal da segurança e pessoal de tecnologia da informação e usuários.
1.3.4 - Os programas de STI das Unidades deverão atender a todos esses elementos, do mesmo modo com os
relacionados com a organização e administração, segurança física e pessoal.
1.3.5 - Um programa departamental efetivo de STI exige o uso correto do gerenciamento de risco. Se adequadamente
implementado, o gerenciamento de risco irá confirmar se as normas mínimas são apropriadas a sistemas de
tecnologia de informação particulares e irá apontar para a eventual necessidade de salvaguardas adicionais. O
gerenciamento da avaliação do risco de segurança durante o ciclo de desenvolvimento do sistema ajudará a assegurar
que as salvaguardas escolhidas e utilizadas são efetivas, fáceis de implementar e causam interrupções mínimas.
1.3.6 - A chave do gerenciamento de risco é avaliar a adequabilidade das salvaguardas existentes ou propostas. O
alcance das salvaguardas a serem consideradas inclui as indicadas nas áreas de organização e administração da
segurança, assim como a segurança física e do pessoal. Políticas, procedimentos e medidas específicas relacionadas
com a STI, em si mesmo consideradas, devem ser avaliadas. Critérios para essas avaliações incluem as exigências e
manuais mencionados nestas normas e em normas técnicas de STI.
1.3.7 - O conceito de sistemas confiáveis está evoluindo e esse enfoque deve ser considerado no planejamento e
desenho de sistemas seguros de tecnologia da informação. Esse conceito é baseado na avaliação da qualidade e da
eficácia das salvaguardas técnicas.
1.3.8 - Implementar um sistema confiável exige definir privilégios de acesso para todos os níveis de informações
sensíveis em um sistema, determinar as exigências de integridade de dados e, selecionando os componentes do
sistema, projetar todo o sistema conforme tais achados.
1.3.9 - Parte dos componentes essenciais para sistemas confiáveis é proporcionado por produtos que foram avaliados
segundo critérios aceitos e a ele incorporadas características de segurança. Sistemas adequadamente implementados
com tais produtos podem prover meios técnicos para o processamento de diferentes níveis de informação sensível e
controle de acesso de usuários com diferentes níveis de credencial de segurança e necessidades de acesso.
1.3.9 - Em essência, elementos chave de STI são a ampla coordenação dos planos e implementação, adoção de
gerenciamento de técnicas de gerenciamento de riscos durante todo o ciclo de desenvolvimento do sistema e o uso
apropriado de salvaguardas, incluindo produtos avaliados, onde possível.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
1.4
Orientações
1.4.1
– Contacte as organizações listadas no anexo A para aconselhamento e orientações acerca destas normas.
2.
Organização e Administração de Segurança de Tecnologia da Informação
24
Organização
2.1.1 - As Unidades com mais de trinta membros devem indicar um Coordenador de Segurança de Tecnologia da
Informação. Esse cargo deve ter um relacionamento formal com o Responsável pela Segurança da Unidade, tanto para
a ele se reportar como funcionalmente.
2.1.2 - O Coordenador de Segurança de Tecnologia da Informação acumulará a função de responsável pela segurança
das comunicações, com responsabilidades relacionadas com a segurança das comunicações e criptografia, com
observância da Política de Segurança do Ministério Público Federal.
2.1.3 – Nas demais Unidades o responsável pelo Setor de Informática é também o responsável pela coordenação das
atividades de segurança de tecnologia da informação.
2.1.4 – A indicação do Coordenador de Segurança de Tecnologia da Informação deve recair em servidor estável dos
quadros do MPF possuidor de conhecimentos específicos da área de atuação.
Planejamento
2.2.1 - A segurança da tecnologia da informação será mais efetiva quando estiver presente e for parte integral e
documentada para cada estágio do ciclo de desenvolvimento e de vida do sistema e assim for incorporada às
disciplinas relacionadas com a administração do projeto, à administração do risco e à verificação da qualidade.
2.2.2 - Não obstante, as políticas e os procedimentos das Unidades para planejamento e implementação de tecnologia
da informação devem exigir consultas ao Núcleo de Segurança Orgânica da Unidade e uso oportuno da documentação
das ações de segurança.
2.2.3 - Exemplos de tais documentações são as avaliações de risco e ameaça; relatórios contendo exigências de
segurança; documentos de certificação e credenciamento (outorga de credenciais), e cláusulas contratuais apropriadas.
2.2.4 - Esta documentação se destina a proporcionar a linha necessária para a administração da segurança, por
exemplo, dando suporte ao financiamento das solicitações, facilitando os enfoques consistentes no desenvolvimento,
implementação e manutenção e pela provisão de meios de comunicações com administradores e usuários de sistemas
de tecnologia da informação.
2.2.5 - As Unidades devem documentar acordos relacionados com exigências de segurança, planos e decisões a cada
estágio do ciclo de desenvolvimento e de vida de sistemas de tecnologia da informação.
2.3 Procedimentos de gerenciamento de riscos de segurança
2.3.1
A administração de risco é um processo interativo que envolve a escolha, certificação, credenciamento,
manutenção, monitoramento e ajuste de salvaguardas. O processo de gerenciamento de risco começa com a
avaliação de riscos e ameaças, que a seu turno começa com a identificação daquilo que precisa ser protegido.
2.3.2
A declaração de sensibilidade é a primeira etapa do processo de avaliação de ameaças e riscos. A declaração
deve registrar as exigências identificadas nas seguintes áreas:
a) Sigilo ou confidencialidade - Exigências de Confidencialidade são identificadas pela classificação e
individualização do bem a ser protegido. (É de se notar que a designação de bens pode incluir uma estimativa de
reposição ou valor de aquisição. O valor de um bem é frequentemente um fator de risco significativo nos casos em
que bens de tecnologia da informação são facilmente portáveis.).
b) Disponibilidade – Exigências de disponibilidade são identificadas pelo período máximo aceitável de inatividade e
níveis mínimos de serviço para sistemas de tecnologia da informação.
c) Integridade – Exigências de integridade referem-se à necessidade de salvaguardar a certeza e completude de
informação e bens e a autenticidade da transação.
2.3.3
Uma avaliação de ameaças e riscos genérica pode ser conduzida para sistemas de tecnologia da informação
que processam dados comuns ou similares ou onde são compartilhadas preocupações acerca da confidencialidade
(sigilo), integridade e disponibilidade.
2.3.4
- É sempre preferível realizar avaliações de risco e ameaças em instalações, sistemas ou sub-sistemas
específicos, conforme necessário.
2.3.5
- Se os usuários finais estão incluídos no processo de avaliação de ameaças e riscos, eles deverão estar
cientes das questões de segurança e devem ajudar na escolha das salvaguardas apropriadas.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
25
2.3.6
- A avaliação de risco e ameaça deverá ser revisada quando ocorrerem incidentes de segurança (exceto
incidentes de menor repercussão), e quando ocorrerem mudanças em sistemas de tecnologia da informação, como
em reconfigurações. De outro modo, uma revisão anual é suficiente.
2.3.7
- A administração de risco é mais efetiva quando aplicada no momento oportuno, através do processo de
planejamento de tecnologia da informação e em concerto com diretores do projeto, especialistas e usuários de
informática. Os planos de segurança das Unidades devem definir, por conseguinte, responsabilidades relacionadas
com o gerenciamento de riscos de segurança de tecnologia da informação.
2.4
Certificação e Credenciamento
2.4.1
– Seguindo-se à decisão da Administração realizada com base nas recomendações da avaliação de riscos e
ameaças, procedimento deverá ser instituído no propósito de garantir que as salvaguardas aprovadas serão
implementadas e revisadas adequadamente. Certificação e credenciamento são dois passos neste processo que é
voltado para prover a certeza de que as salvaguardas implantadas são efetivas; credenciamento segue-se à
certificação.
2.4.2
- Certificação de segurança é a prática de gerenciamento que é usualmente construída em políticas e
procedimentos para gerenciamento do ciclo de vida e desenvolvimento do sistema e envolve a verificação por
pessoal qualificado de que as salvaguardas vão de encontro às exigências de segurança definidas.
2.4.3
- Certificação de salvaguardas são mais facilmente alcançadas quando os produtos tiverem sido avaliados
segundo critérios específicos de segurança ou exigências funcionais.
2.4.4
- Certificação também se torna mais fácil e útil onde normas técnicas para segurança de tecnologia da
informação tiverem sido aplicadas durante os estágios de planejamento, elaboração e implantação do projeto do
sistema.
2.4.5
- Credenciamento de Segurança é
aspecto do bom gerenciamento dos sistemas de tecnologia da
informação e meio pelo qual o administrador aceita a responsabilidade pela operação do sistema e aceita,
também, o uso das salvaguardas certificadas. Nas ocasiões em que um grau maior de segurança for necessária, o
credenciamento deve ser feito de maneira formal durante o processo de gerenciamento do sistema.
2.5 Autorização e Procedimentos de Acesso
2.5.1
- Os procedimentos das Unidades na autorização de acesso a sistemas de informática devem cobrir a emissão
de cartões de identificação e a conservação de registros de controle sobre material sensível, assim como chaves,
códigos, combinações, distintivos e sistemas de senhas.
2.5.2
– As Unidades deverão desenvolver e implementar políticas e procedimentos para emitir privilégios de
acesso à tecnologia da informação e para retirada desses privilégios nas ocasiões em que houver cessação do
vínculo empregatício ou quando, para o exercício de suas atividades, não mais houver necessidade de acesso.
2.6 Manutenção
2.6.1
- As políticas e procedimentos das Unidades deverão prestar especial atenção ao controle da configuração
dos equipamentos, sistemas e redes e a atualização de procedimentos de operação.
2.6.2
- O pessoal responsável por manter o sistema de tecnologia da informação deve receber treinamento
adequado de segurança de tecnologia da informação e ser informado sobre questões e exigências atuais de
segurança de tecnologia da informação.
2.6.3
- Reparo e manutenção de equipamentos de segurança de tecnologia da informação deve ser levado a efeito
unicamente por pessoal qualificado e adequadamente submetido a verificação de segurança (confiabilidade) ou
adequadamente supervisionado.
2.7 Gerenciamento de material criptográfico
2.7.1
- Se material criptográfico, incluindo equipamentos-chave e chave de geração de sistemas estiverem
comprometidos, todas as telecomunicações cifradas relacionadas se tornarão inseguras. Sendo assim, mesmo
depois que o material cifrado não mais se tornar necessário à Unidade, cuidados deverão ser adotados na
disposição ou na destruição porque ainda assim permanecerá valioso e poderá ser alvo de atividades de
inteligência.
2.7.2
- Exemplos dessa inteligência incluem metodologia do projeto de criptografia, princípio de geração de
chaves e conceitos da operação. Esta informação pode, em última análise, ser usada para lançar ataques
criptográficos contra alvos específicos de tecnologia da informação.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
26
2.8 Monitoramento e revisão
2.8.1
– O pessoal no controle do sistema ou o pessoal da segurança deverá monitorar as salvaguardas com
regularidade suficiente a satisfazer a avaliação de riscos e ameaças.
2.8.2
– Baseado em avaliação de risco e ameaça, controle eletrônico de programas deve relatar quem usou ou
tentou usar tal ou qual aplicativo e quais arquivos foram abertos, criados ou modificados. Eles também devem
monitorar todos os acessos externos ou internos.
2.8.3
- O uso destes programas de controle deve ser realizado com respeito aos requisitos da PSMPF e o acesso ao
log somente deve ser possível quando justificado por investigação de incidente de segurança para inspeções, ou
para fins estatísticos e gerenciais, hipóteses estas em que será preservada a privacidade dos usuários.
2.8.4
- Os acontecimentos graves de segurança ou trocas de sistema requerem uma revisão da avaliação de ameaça
e risco. O perfil da segurança do sistema poderá, também, necessitar de novos ajustes.
2.8.5
– As salvaguardas devem ser revisadas formalmente para determinar se elas observam tanto as exigências de
segurança da Unidade quanto a Política de Segurança do MPF e desenvolver recomendações adequadas. A
Política de Segurança exige auditoria interna da segurança de tecnologia da informação a ser realizada tanto a
partir do NSTI/CPSI/PGR quanto a partir da própria Unidade.
2.8.6
- Além disto, a Política de Segurança exige das Unidades que solicitem ao NSTI/CPSI/PGR conduza uma
revisão de seus programas de segurança de tecnologia da informação em bases regulares.
2.8.7
- As Unidades podem solicitar essas revisões ao menos a cada dois anos e mais frequentemente para sistemas
contendo informações classificadas e extremamente sensíveis.
2.8.8
- Por solicitação, o NSTI/CPSI/PGR deverá inspecionar, testar e avaliar aspectos determinados da segurança
das comunicações e revisar telecomunicações do MPF para avaliar se aderem às metodologias e práticas
prescritas para a segurança das comunicações.
2.8.9
- Onde as Unidades foram as autoridades responsáveis pela contratação, elas são também responsáveis por
acertar as revisões pelo CPSI, tal como exigido. De outro modo, isto será responsabilidade da Secretaria de
Informática da PGR.
2.8.10 - As Unidades, embasadas em análise de risco e ameaça, poderão solicitar ao NSTI/CPSI/PGR que revise
imediatamente eventos de segurança, como reconfigurações ou provável quebra de segurança, a menos que se
trate de incidente de reduzido potencial ofensivo.
3.
Segurança de Tecnologia da Informação e Recursos Humanos
3.0.1
- Os requisitos da política de segurança para a investigação de segurança e as normas descritas no Plano
Diretor de Segurança dos Recursos Humanos aplicam-se aos cargos, funções e contratos que exijam acesso a bens
e informações sensíveis relacionados com tecnologia da informação e STI.
3.0.2
- Além disto, a Política de Segurança exige que as Unidades implementem programas de conscientização
para todo o pessoal no propósito de explicar suas responsabilidades na segurança. Isto é particularmente relevante
para aquelas pessoas que realizam pessoalmente a conservação geral dos sistemas, incluindo a segurança do
sistema e o armazenamento de informação.
3.0.3
- Esses indivíduos devem, não obstante, ser conhecedores tanto do uso do sistema quanto de procedimentos
próprios de segurança.
3.0.4
- O CPSI/NSTI deve promover programas de treinamento de Segurança de Tecnologia da Informação tanto
para o pessoal técnico quando para o pessoal não técnico de segurança de tecnologia da informação.
3.0.5
- O CPSI/NSTI, também pode proporcionar reuniões e pacotes de treinamentos para administradores de área
alheia à de segurança.
4.
Segurança de Tecnologia da Informação e Segurança Física
4.0.1
- As normas de segurança física do Capítulo 2-2 aplicam-se aos sistemas de tecnologia da informação,
instalações e áreas.
4.0.2
- Isto inclui a definição de exigências de segurança nos planos de acomodações destinadas a Tecnologia da
Informação e uso adequado de zonas de segurança, armários e outros mecanismos seguros para a proteção de
informações de tecnologia da informação e bens.
4.0.3
- Um exemplo comum da vulnerabilidade na segurança física de tecnologia da informação é a falha na
salvaguarda de informações sensíveis recebidas automaticamente por um equipamento de facsímile. Ver Plano
Diretor de Segurança Física para informação acerca das salvaguardas apropriadas.
4.0.4
- Uma avaliação de risco e ameaça deve avaliar as utilidades que dão suporte aos sistemas de tecnologia da
informação, assim como o uso de equipamentos apropriados para a disposição de informações eletronicamente
armazenadas.
4.0.5
- A análise deverá avaliar também a eficácia das salvaguardas ambientais para proteger o sistema de
tecnologia da informação de ameaças como água, umidade, fumaça e fogo.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
5.
27
Segurança de Tecnologia da Informação
5.1 Segurança de Hardware
5.1.1
- Segurança de hardware compreende a salvaguarda do equipamento de tecnologia da informação, as funções
desempenhadas e as informações que são processadas, armazenadas ou transmitidas pelo equipamento.
5.1.2
- Segurança de hardware ajuda a assegurar que as informações não sejam acidentalmente perdidas ou
alteradas entre equipamentos de hardware.
5.1.3
- Segurança de hardware também ajuda a assegurar a disponibilidade dos serviços que possam ser perdidos
em decorrência dos efeitos da emanação de interferência eletromagnética. (Artigo 5.3 descreve o uso de medidas
no sentido de conter sinais eletromagnéticos irradiados acidentalmente, observadas as limitações tecnológicas
atualmente existentes no Brasil no que respeita ao assunto).
5.1.4
- Uma vulnerabilidade comum na segurança de hardware é a inadequação de políticas e procedimentos para
controle das mudanças nos sistemas de tecnologia da informação, incluindo aqueles procedimentos e políticas
resultantes da manutenção das atividades. Isto cria um risco de segurança significativo, mas não se deve perder
de vista que o custo das operações de segurança voltadas para a redução de tais risco é normalmente baixo.
5.1.5
- As Unidades devem desenvolver e implementar políticas e procedimentos para a segurança de hardware.
Políticas e procedimentos devem cobrir mas não devem se limitar a:
a) Localização e instalação adequada de equipamentos de tecnologia da informação para reduzir os efeitos da
interferência de emanações eletromagéticas;
b) Manutenção de um inventário e configuração de hardware;
c) Identificação e uso de medidas de segurança implementadas no interior do hardware;
d) Autorização, documentação e controle das mudanças do hardware;
e) Identificação de instalações de suporte incluindo energia elétrica e ar condicionado;
f) Provisão de uma fonte ininterrupta de energia;
g) Manutenção de equipamentos e serviços de segurança de tecnologia da informação.
5.2 Segurança do Software
5.2.1
- A segurança do software compreende a salvaguarda de aplicações, dados, sistemas operacionais, linguagem
de programação, controles e códigos embutidos em equipamentos que controlam alguns dos aspectos dos
sistemas de tecnologia da informação.
5.2.2
- Segurança do software abrange controles administrativos, a certeza da qualidade, procedimentos de
desenvolvimento e manutenção, gerenciamento de configurações, isolamento e acesso e controles de auditoria.
5.2.3
- A partir de uma perspectiva de segurança, há três maneira de ver um software: como uma salvaguarda,
como um bem ou como uma ameaça.
SOFTWARE COMO SALVAGUARDA
5.2.3.1 - Ao se ver o software como uma “salvaguarda”, o software provê controle de acesso, criptografia,
gerenciamento de rede, controles de auditoria, logging, rotulações, isolamento, recuperação de sistema e técnicas
de verificação de integridade.
5.2.3.2 - A integridade das funções realizadas por tal software especializado depende de controles administrativos e
procedimentos próprios para o uso.
5.2.3.3 - Dependendo da Avaliação de Risco e Ameaça, informações sensíveis eletronicamente armazenadas podem
exigir software de criptografia.
5.2.3.4 - Cuidado deve ser tomado na seleção software de criptografia, tendo em vista os diferentes níveis de
proteção que eles ofertam. As unidades podem consultar o CPSI/NSTI quando estiverem selecionando tais
produtos para efeitos de certificação da qualidade.
5.2.3.5 - Ver artigo 5.3 para informações no que diz respeito o uso da criptografia para proteger informações
sensíveis transmitidas eletronicamente.
5.2.3.6 – O software está se tornando cada vez mais útil como ferramenta para proporcionar salvaguardas. Exemplos
incluem softwares que incorporam identificação de login individual, controles mais eficientes de acesso, baixo
nível de auditagem, isolamento de periféricos de tecnologia da informação e níveis elementares de certeza. A
disponibilidade de tais softwares podem fazer a escolha do software a mais importante consideração no processo
de planejamento de sistemas de tecnologia da informação e irão facilitar o projeto e a implementação de sistemas
confiáveis.
SOFTWARE COMO BEM OU ATIVO
5.2.4
- Como um bem ou ativo, a proteção do software é necessária para manter a disponibilidade e a integridade
dos sistemas.
5.2.4.1 - Problemas de software podem destruir a integridade de aplicações e dados em um instante.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
28
5.2.4.2 - Desde que o software permite ao hardware realizar funções úteis, as deficiências do software reduzirão a
utilidade do hardware.
5.2.4.3 - Software é suscetível a uma larga margem de ameaças, tais como vírus de computador, cavalos de tróia e
vermes, que justificam a adoção de contramedidas. Tais medidas incluem controle de inventário e procedimentos
para aquisição (incluindo escaneamento de vírus), projeto, desenvolvimento, mudança de controle, manutenção e
conservação da qualidade.
SOFTWARE COMO AMEAÇA
5.2.5
- Como uma “ameaça”, certos softwares são capazes de evitar, anular ou alterar controles e, não obstante,
podem ser usados para conseguir acesso não autorizado a aplicações e dados sensíveis.
5.2.5.1 – Como ameaça, softwares também podem ser usados para assumir o controle de recursos de sistemas e
desse modo proibir o acesso autorizado a tais recursos.
5.2.5.2 - Salvaguardas apropriadas incluem compartimentação de responsabilidades, controle de acesso a tais
softwares, estabelecimento de limites de recursos e o uso de mecanismos de vigilância e detenção.
5.2.6
– As Unidades deverão desenvolver e implementar políticas e procedimentos para segurança de software.
Políticas e procedimentos deverão cobrir, mas não estão limitadas às seguintes medidas:
a) Controle Administrativo, incluindo compartimentação de deveres do pessoal de tecnologia
da informação, mantendo-se inventário e revisar a segurança.
b) Desenvolver normas para o ciclo de desenvolvimento e de vida da aplicação incluindo
normas para a projeção e testes, troca de controles e resolução de problemas.
c) Garantia de qualidade.
d) Gerenciamento da configuração.
e) Identificação e autenticação.
f) Isolamento, criptografia e controle de acesso.
g) Controles de Auditoria e vigilância.
h) Escaneamento de vírus.
5.3 Segurança das Comunicações
5.3.1
Parte Geral
5.3.1.1 - Segurança das comunicações compreende a proteção das informações transmitidas eletronicamente e a
proteção contra a detecção e interpretação de emanações eletromagnéticas de um equipamento de tecnologia da
informação.
5.3.1.2 - A menos que protegidas, todas as comunicações eletrônicas são vulneráveis a ameaças como o hacking, a
interceptação ou o direcionamento errôneo.
5.3.1.3 - As conseqüências dessas ameaças podem levar à interrupção do serviço ou de determinada atividade, a
danos financeiros por apropriação indevida de serviços de telecomunicações e a revelação não autorizada de
informação.
5.3.1.4
- Comunicações eletrônicas representam um desafio especial da segurança em razão da conveniência,
imensa disponibilidade e da crescente dependência dos meios de comunicação para a transmissão de informações
não raramente sensíveis, incluindo informações críticas às atividades do MPF.
5.3.1.5 - As Unidades deverão usar métodos de criptografia ou outras medidas endossadas ou aprovadas pelo
CPSI/NSTI para proteger comunicações eletrônicas que transmitam informações classificadas ou extremamente
sensíveis. Essas exigências se aplicam a todas aplicações de rede, incluindo redes locais.
5.3.1.6 - Quando realizadas com suporte em uma Avaliação de Risco e Ameaça, as Unidades poderão usar
criptografia para proteger informações comunicadas eletronicamente e rotuladas como de baixa sensibilidade ou
particularmente sensíveis.
5.3.1.7 - A utilização de criptografia não aprovada introduzirá o risco de empregar um dispositivo na segurança que
poderá conter uma vulnerabilidade. Tais vulnerabilidades podem ser conhecidas por quem projetou, manufaturou
ou outras partes que possam ter pronto acesso às informações. Não obstante, as Unidades devem obter
aconselhamento técnico do CPSI/NSTI antes de usar criptografia não homologada.
5.3.1.8 - As Unidades deverão desenvolver políticas e procedimentos para o trato com o público e a comunicação
eletrônica de informação pessoal. Os procedimentos, se justificado, devem incluir os passos para contactar os
indivíduos cuja intimidade possa ser ameaçada com a transmissão de informações pessoais para que se determine
se eles aceitam os riscos inerentes.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
29
5.3.2 Telefones normalmente não são meios seguros de comunicação. Assuntos sensíveis não devem ser discutidos ao
telefone, nem mesmo por códigos.
5.3.2.1 As Unidades devem observar cuidados no planejamento do Sistema de telefonia Fixa de modo a impedir a
emanação acidental das informações discutidas nas proximidades do aparelho, mesmo nas situações em que o
telefone estiver no gancho.
5.3.2.2 Um PABX digital possui, em geral, diversas funcionalidades programáveis que permitem a interceptação e
replicação de chamadas, pelas quais é possível, em princípio, implantar uma escuta sem nenhuma alteração física
na rede de telefonia. O acesso aos terminais de programação do PABX deve estar habilitado apenas àqueles
responsáveis por tal função, com proteção através de senha e registro, não passível de adulteração, das atividades
de programação efetuadas.
5.3.2.3 Recomenda-se que na funcionalidade de “conferência” ocorra sinalização sonora para alertar aos interlocutores
de que há uma conferência em curso. A funcionalidade “intercalação”, que permite a auto-inserção de um ramal
em uma ligação em curso deve ser desabilitada, ou, se for necessária, sinalizada com aviso sonoro.
5.3.2.4 Os pontos de acesso à telefonia, como tomadas telefônicas, quadros de passagem e de distribuição, e centrais
telefônicas (PABX), devem estar lacrados ou trancados, e somente o pessoal autorizado e submetido a
verificação de segurança (Ver Plano Diretor de Segurança dos Recursos Humanos) deverá possuir controle de
acesso.
5.3.2.5 Linhas telefônicas diretas são bastante vulneráveis, pois basta grampear-se um único circuito para se monitorar
as ligações originadas ou recebidas em um aparelho. Tal escuta pode ser instalada na rede interna ou na rede de
acesso (a ligação com a central pública), em armários de distribuição ou em caixas de emendas em postes. O uso
de ramais, com acesso à rede pública através de uma rota comum, é mais seguro, pois os vários circuitos da rota
são ocupados aleatoriamente, dificultando o monitoramento. Recomenda-se também que a ligação com a
operadora seja por fibra óptica, o que torna mais complexa e perceptível qualquer tentativa de implantação de
uma escuta na rede de acesso.
5.3.2.6 Deve se evitar funcionalidade “tronco executivo”, pela qual há associação de um ramal a uma linha analógica,
conectada ao PABX. Neste caso, da mesma forma que na linha direta, basta monitorar um único circuito para se
grampear as ligações externas do ramal.
5.3.2.7 O uso de ramal digital no lugar de analógico é preferível, pois o digital é mais sensível a alterações dos
parâmetros do circuito, além de não permitir o uso de equipamentos similares como extensão.
5.3.2.8 O cabo de ligação entre o aparelho telefônico e a tomada deve possuir apenas o número de fios necessários
para o seu funcionamento (em geral dois), para se evitar o uso indevido dos demais fios, que poderiam ser
conectados internamente aos alto-falantes e microfones do aparelho telefônico, mesmo os digitais, tranformandoos em escutas ambientais com fio.
5.3.2.9 O uso de telefones sem fio para conversas sigilosas deve ser evitado, pois estes são radio-comunicadores,
estando sujeitos à monitoração passiva e, portanto, imperceptível. Caso seja absolutamente necessário utilizá-los,
deve-se optar por sistemas digitais mais complexos e menos inseguros (como os que utilizam o padrão DECT,
por exemplo).
5.3.2.10 Sistema de Telefonia Celular - a operação em modo analógico deve ser evitada, o que pode ser feito em
alguns aparelhos configurando os mesmos a operar apenas no modo digital. Mas, mesmo trabalhando sempre em
modo digital, a interceptação também é possível, desde que se utilizem equipamentos específicos.
5.3.2.11 Deve-se optar, na utilização de telefones celulares, por sistemas que incorporem a troca da chave de cifragem
a cada ligação. Como os sistemas que incorporam tais características (atualmente GSM) não são totalmente
seguros, deve-se evitar ligação longas para dificultar a quebra da cifra.
5.3.2.12 Mesmo quando no gancho, um telefone pode captar e transmitir o que é conversado nas proximidades. Por
isso, deve-se evitar a instalação de telefones em áreas de discussão de assuntos sensíveis. Não sendo possível,
deve-se considerar o uso de telefones que incorporem características de isolamento e desconexão.
5.3.3 Redes
5.3.3.1 - As Unidades devem prestar especial atenção à revisão das exigências de segurança de redes locais e
remotas. Há a necessidade de equilibrar a troca aberta de informações com as necessidades de segurança para
prevenir que usuários não autorizados ganhem acesso a sistemas de informações sensíveis.
5.3.3.2 - Há diversos tipos de aplicações de rede que garantem especial atenção a partir de uma perspectiva de
segurança, incluindo correspondência eletrônica (e-mail) e troca eletrônica de dados.
5.3.3.3
- Troca eletrônica de dados é largamente usada no campo financeiro e está crescendo nas áreas de
administração e contrato, aquisição e saúde. As aplicações são freqüentemente vulneráveis a ameaças de
transmissão fraudulenta, rejeição de autorização, negação de serviço e perda de integridade de dados.
5.3.3.4 - Não obstante as aplicações, as Unidades devem desenvolver e implementar políticas e procedimentos para
a segurança de redes. Políticas e procedimentos devem cobrir e não estão limitadas a:
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
a)
b)
c)
d)
e)
f)
g)
30
Assegurar que política e normas para a proteção de informações e bens sensíveis de rede
são aplicadas;
Manutenção de configuração de redes e inventários;
Assegurar que as redes sejam certificadas e credenciadas;
Obtenção de prévia autorização do coordenador de segurança de tecnologia de informação
para todas as mudanças da configuração de rede e documentação dessas mudanças;
Revisar avaliações de risco e ameaça, certificação de rede e credenciamento após as
mudanças de configuração;
Monitoramento de operações de rede para as irregularidades de segurança;
Identificação de enfoque formal para a resolução de problemas de segurança.
5.3.2 - Autorização eletrônica e autenticação
-5.3.4.1 - Métodos de Autorização e Autenticação Eletrônica provêem salvaguardas contra ameaças dirigidas a
aplicativos de rede. Métodos de Autorização e Autenticação Eletrônica também provêem um mecanismo de
responsabilidade e suporte legal para transações eletrônicas. "Autorização Eletrônica" é o processo pelo qual
uma assinatura eletrônica é aposta em uma transação para indicar que a pessoa com autoridade delegada
autorizou efetivamente o processamento dos dados.
5.3.4.2 - "Autenticação Eletrônica" é o processo pelo qual uma autorização eletrônica é verificada antes da realização
de outros processamentos com o propósito de assegurar que o autorizador pode ser efetivamente identificado,
que a integridade do dado autorizado foi preservada e que os dados estão inalterados.
5.3.4.3 - Assinaturas Digitais são meios que provêem a autorização e autenticação exigida em uma transação
eletrônica, além de fornecerem irretratabilidade (não-repúdio).
5.3.4.4 - As Unidades devem usar unicamente assinaturas digitais e processos chaves de gerenciamento endossados ou
aprovados pelo CPSI/NSTI.
5.3.4.5 - Certos procedimentos de segurança, tais como as Autorizações e Autenticações Eletrônicas e o uso de
criptografia para a proteção do sigilo (confidencialidade) de dados, compartilham componentes da arquitetura do
sistema. Por isso mesmo, exigências de Autorização e Autenticações Eletrônicas devem ser consideradas desde
os primeiros estágios do ciclo de desenvolvimento de sistemas e o responsável pela de Segurança de Tecnologia
da Informação da Unidade deve ser consultado.
5.3.5 - Emanações Eletromagnéticas
5.3.5.1 - Sinais eletromagnéticos não-intencionais irradiados de equipamentos de tecnologia da informação podem
afetar o sigilo (confidencialidade) da informação.
5.3.5.2 - Essa vulnerabilidade, embora ainda relativamente distante da realidade brasileira, deve ser considerada na
Avaliação de Risco e Ameaça tanto para informações classificadas quanto para informações específicas que se
deseja proteger.
5.3.5.3 – Com amparo em Avaliação de Risco e Ameaça, a vulnerablidade deve ser dirigida ao coordenador de
Segurança de Tecnologia da Informação ou o CPSI/NSTI, que trabalhará junto com os projetistas do sistema de
tecnologia da informação visando sanar a vulnerabilidade.
5.3.5.4 – Para dar suporte as atividades tendentes a minimizar os riscos de segurança associados à ameaça de
emanações eletromagnéticas há uma variedade de salvaguardas, variando extensamente em custo, flexibilidade e
facilidade de implementação.
5.3.5.5 - Menos custosa e invasiva, mas muito efetiva, é a proteção provida pela localização e instalação adequada
de equipamentos de Tecnologia de Comunicação. Essa medida irá reduzir potencialmente emanações disponíveis
do lado de fora das instalações e também irá reduzir os efeitos da interferência.
5.3.5.6 - Outro tipo de salvaguarda é o uso de equipamento especialmente aprovados e escudos para suprimir as
emanações eletromagnéticas; esses escudos são referidos como salvaguardas contra a tecnologia de vigilância de
pulsos eletromagnéticos.
5.3.5.7 - Essas salvaguardas são normalmente usadas para proteger informações extremamente sensíveis,
informações específicas a que se deseja proteger, baseado numa avaliação de risco e ameaça.
5.3.5.8 - Regras especiais se aplicam à proteção de sinais de inteligência (SINT), naquilo que eventualmente vier a
ser aplicado no âmbito do MPF e à adequada localização de equipamentos criptográficos.
5.3.5.9 - Emanações na forma de interferência entre peças de equipamentos de tecnologia da informação podem
afetar a disponibilidade de serviços. Artigo 5.1 refere a medidas para combater o efeito de emanações que
possam causar estas interferências.
MPF – Boletim de Serviço –Ano XVIII - nº 20 – Edição Extra – 2ª quinzena de outubro de 2004
31
5.4 Segurança das Operações
5.4.1
- Procedimentos bem definidos asseguram a consistência e a responsabilidade na aplicação de políticas de
segurança.
5.4.2
- Procedimentos de operações também asseguram que eventos relacionados com a segurança podem ser
auditados, para assistir na tomada de ações corretivas.
5.4.3
- Esses princípios aplicam-se a todos os sistemas de tecnologia da informação e instalações.
5.4.4
- Uma vulnerabilidade comum na área da segurança de operações é a carência de políticas e procedimentos
na disposição/desfazimento de mídias armazenadas eletronicamente. Informações armazenadas nesse tipo de
mídia encontram-se em situação de risco se a mídia não for apagada corretamente.
5.4.5
- Unidades devem assegurar que a responsabilidade pela disposição/desfazimento apropriado seja
corretamente atribuída, que procedimentos efetivos estão definidos e que os equipamentos necessários e as
instalações estão disponíveis para a disposição/desfazimento da mídia.
5.4.6
- Outra vulnerabilidade comum na segurança de operações é criada pela não autenticação do acesso a partir
de centros remotos de diagnóstico e suporte. Tal acesso pode ser legitimamente exigido para determinar
características defeituosas do computador, mas pode criar uma vulnerabilidade significativa, especialmente
quando o acesso ganho está em nível de sistema ou de operador.
5.4.7
– As Unidades devem desenvolver e implementar políticas e procedimentos para segurança das operações de
tecnologia da informação. Políticas e procedimentos devem cobrir, mas não estão limitados a:
a) Atividades operacionais diárias;
b) Manejo regular e planejado da produção de programas;
c) Uso de equipamentos e softwares privilegiados;
d) Autorizações de sistemas e acessos (passwords, tokens);
e) Responsabilidade e controle do ambiente de operações;
f) Autorização e controle do acesso para e a partir de centros remotos;
g) Contingenciamento, recuperação de desastre e planos de recuperação das atividades;
h) Desinfecção e disposição de mídia de armazenamento eletrônico;
i) Identificação de enfoques de resolução de problemas.
Anexo A - Orientações
Orientações acerca dessas normas poderão ser obtidas junto ao NSTI/CPSI/PGR e SI
Ver anexo B da Política de Segurança do MPF para descrição das responsabilidades da CPSI e do NSTI/CPSI