Ir para o conteúdo

1.Introdução
A Prefeitura de Águas de São Pedro tem por missão colaborar na construção das políticas públicas saudáveis de forma participativa e articulada por meio dos diferentes representantes.
A Prefeitura de Águas de São Pedro entende que a informação institucional é um bem essencial para suas atividades e para resguardar a qualidade e garantia dos serviços ofertados aos munícipes.
A Prefeitura de Águas de São Pedro compreende que a manipulação de sua informação passa por diferentes meios de suporte, armazenamento e comunicação, sendo estes vulneráveis a fatores externos e internos que podem comprometer a segurança das informações institucionais.
Dessa forma, a Prefeitura de Águas de São Pedro estabelece sua Política de Segurança da Informação, como parte integrante do seu sistema de gestão institucional, alinhada às boas práticas e normas internacionalmente aceitas, com o objetivo de garantir níveis adequados de proteção a informações do Instituto ou sob sua responsabilidade.

2.Propósito
Esta política tem por propósito:
I- estabelecer diretrizes e normas de Segurança da Informação que permitam aos servidores e fornecedores da Prefeitura de Águas de São Pedro adotarem padrões de comportamentos seguros, adequados às metas e necessidades da Prefeitura de Águas de São Pedro;
II- Orientar quanto à adoção de controles e processos para atendimento dos requisitos para Segurança da Informação;
III- Resguardar as informações da Prefeitura de Águas de São Pedro, garantindo requisitos básicos de confidencialidade, integridade e disponibilidade;
IV- Prevenir possíveis causas de incidentes e responsabilidade legal da instituição e seus servidores e fornecedores;
V- Minimizar os riscos de perdas financeiras, da confiança de seus servidores ou de qualquer outro impacto negativo nos serviços da Prefeitura de Águas de São Pedro como resultado de falhas de segurança.

3.Escopo
Esta política se aplica a todos os usuários da informação da Prefeitura de Águas de São Pedro, incluindo qualquer indivíduo ou organização que possui ou possuiu vínculo com a Prefeitura de Águas de São Pedro, tais como servidores, ex-servidores, prestadores de serviço, ex-prestadores de serviço, que possuíram, possuem ou virão a possuir acesso às informações da Prefeitura de Águas de São Pedro e/ou fizeram, fazem ou farão uso de recursos computacionais compreendidos na infraestrutura da Prefeitura de Águas de São Pedro.

4.Diretrizes
O objetivo da gestão de Segurança da Informação da Prefeitura de Águas de São Pedro é garantir a gestão sistemática e efetiva de todos os aspectos relacionados à segurança da informação, provendo suporte às operações críticas dos serviços e minimizando riscos identificados e seus eventuais impactos na instituição.
O Prefeito e seus Secretários estão comprometidos com uma gestão efetiva de Segurança da Informação. Desta forma, adotam todas medidas cabíveis para garantir que esta política seja adequadamente comunicada, entendida e seguida em todos os níveis da instituição. Revisões periódicas serão realizadas para garantir sua contínua pertinência e adequação às necessidades da Prefeitura de Águas de São Pedro.
É política da Prefeitura de Águas de São Pedro:
I- Elaborar, implantar e seguir por completo políticas, normas e procedimentos de segurança da informação, garantindo que os requisitos básicos de confidencialidade, integridade e disponibilidade da informação sejam atingidos através da adoção de controles contra ameaças provenientes de fontes tanto externas quanto internas;
II- Disponibilizar políticas, normas e procedimentos de segurança a todas as partes interessadas e autorizadas, tais como: servidores, terceiros contratados e, onde pertinente, aos munícipes e a população em geral;
III- Garantir a educação e conscientização sobre as práticas adotadas pela Prefeitura de Águas de São Pedro de segurança da informação para servidores, terceiros contratados e, onde pertinente, aos munícipes e a população em geral;
IV- Atender integralmente requisitos de segurança da informação aplicáveis ou exigidos por regulamentações, leis e/ou cláusulas contratuais;
V- Tratar integralmente incidentes de segurança da informação, garantindo que os mesmos sejam adequadamente registrados, classificados, investigados, corrigidos, documentados e, quando necessário, comunicando as autoridades apropriadas;
VI- Garantir a continuidade dos serviços através da adoção, implantação, teste e melhoria contínua de planos de continuidade e recuperação de desastres;
VII- Melhorar continuamente a Gestão de Segurança da Informação através da definição e revisão sistemática de objetivos de segurança em todos os níveis da instituição.

5.Princípios
São princípios para o Sistema de Segurança da Informação a Confidencialidade, a Integridade e a Disponibilidade, conforme a ISO 27.001:2013. Esses princípios devem nortear todas as atividades dentro da Prefeitura de Águas de São Pedro, a fim de que as informações sejam protegidas no âmbito desta instituição.
São definições de Confidencialidade, Disponibilidade e Integridade:
I- Confidencialidade: propriedade em que a informação não é disponibilizada ou divulgada para pessoas, entidades ou processos não autorizados;
II- Disponibilidade: propriedade de ser acessível e utilizável sob demanda por uma entidade autorizada;
III- Integridade: propriedade de proteger a exatidão e a integridade dos ativos.
Além dos princípios basilares, devem ser observados os princípios correlatos da Segurança da Informação, tais como o princípio da autenticidade, o princípio do não repúdio e o princípio da utilidade.

6.BACKUP
Os backups são essenciais para deixar as informações seguras e não perder nenhum dado em caso de ataques.
Todos os backups são feitos de forma automática, por linha de comando. Essas rotinas são executadas preferencialmente fora do horário comercial, nos períodos em que não há nenhum ou pouco acesso de usuários ou processos aos sistemas de informática.
Esses backups são executados diariamente e ficam armazenados em uma cópia no servidor interno da Prefeitura, utilizando sempre que possível criptografia para proteção de acessos não autorizados.

7.Acesso à Internet e Comportamento em Mídias Sociais
A Prefeitura de Águas de São Pedro fornece acesso à Internet aos seus usuários autorizados, conforme as necessidades inerentes ao desempenho de suas atividades profissionais.
Durante o acesso à Internet fornecido pela da Prefeitura de Águas de São Pedro não será permitido o download, o upload, a inclusão, a disponibilização, a visualização, a edição, a instalação, o armazenamento e/ou a cópia de qualquer conteúdo relacionado expressa ou subjetivamente, direta ou indiretamente, com:
a) Qualquer espécie de exploração sexual;
b) Qualquer forma de conteúdo adulto, erotismo, pornografia;
c) Qualquer tipo de Pornografia infantil;
d) Qualquer forma de ameaça, chantagem e assédio moral ou sexual;
e) Qualquer ato calunioso, difamatório, infamante, vexatório, aviltante ou atentatório à moral e aos bons costumes da sociedade;
f) Preconceito baseado em cor, sexo, opção sexual, raça, origem, condição social, crença, religião, deficiências e necessidades especiais;
g) Incentivo ao consumo excessivo ou recorrente de bebidas alcoólicas, fumo e substâncias entorpecentes, sejam estas lícitas ou não;
h) A prática e/ou a incitação de crimes ou contravenções penais;
i)  A prática de propaganda política nacional ou internacional;
j) A prática de quaisquer atividades comerciais desleais;
k) O desrespeito a imagem ou aos direitos da Prefeitura de Águas de São Pedro;
l) A disseminação de códigos maliciosos e ameaças virtuais;
m) Tentativa de expor a infraestrutura computacional da Prefeitura de Águas de São Pedro a ameaças virtuais;
n) Divulgação não autorizada de qualquer informação da Prefeitura de Águas de São Pedro classificada como confidencial ou de uso interno;
o) Uso de sites ou serviços que busquem contornar controles de acesso à internet.

8.Comportamento em mídias e redes sociais
A publicação de conteúdo referente à Prefeitura de Águas de São Pedro em mídias e redes sociais é feita por departamentos e usuários que possuem essa responsabilidade específica, sendo os demais usuários proibidos de publicar qualquer tipo de informação em nome da instituição.
Quando no uso de suas mídias e redes sociais particulares, servidores, prestadores de serviço e terceiros contratados devem observar as seguintes restrições:
I- Não é permitido o uso de símbolos, bem como de qualquer parte da identidade visual da Prefeitura de Águas de São Pedro sem autorização prévia e expressa;
II- Não é permitida a criação, participação ou interação de/com quaisquer perfis, comunidades, grupos, tópicos de discussão e afins que empreguem o nome, símbolo ou outros sinais distintivos da Prefeitura de Águas de São Pedro, excetuando-se os canais oficiais da instituição;
III- Não é permitida a publicação de qualquer tipo de imagem, foto, vídeo, áudio relacionado ao ambiente institucional da Prefeitura de Águas de São Pedro sem a expressa autorização da instituição, excetuando-se material divulgado em canais oficiais.

9.Serviço de E-Mail
A Prefeitura de Águas de São Pedro fornece o serviço de e-mail para seus usuários autorizados exclusivamente para o desempenho de suas atividades profissionais;
Não é permitido o uso de qualquer serviço de e-mail, que não seja o oficialmente fornecido pela Prefeitura de Águas de São Pedro.
Quando o usuário fizer uso do serviço de e-mail da Prefeitura de Águas de São Pedro, não é permitido:
* Utilizar do serviço de e-mail em caráter pessoal ou para fins que não sejam de interesse da Prefeitura de Águas de São Pedro;
* Utilizar de termos ou palavras de baixo calão na redação de mensagens;
* Enviar informação classificada como de sigilosas para endereços eletrônicos que não fazem parte do domínio institucional da Prefeitura de Águas de São Pedro, excetuando-se quando expressamente autorizados;
* Inscrever o endereço de e-mail da Prefeitura de Águas de São Pedro em listas de distribuição e grupos de discussão que não estejam relacionadas com atividades laborais ou do interesse da instituição;
* Fazer uso de qualquer técnica de falsificação ou simulação de falsa identidade e manipulação de cabeçalhos de e-mail. Qualquer tentativa, mesmo não consumada, será tratada como um incidente de segurança da informação e estará sujeita a sanções e/ou demais penalidades aplicadas conforme decisão da Presidência;
* Tentar a interceptação ou alteração do conteúdo da mensagem de outros usuários ou terceiros, a menos que devidamente autorizado;
* Utilizar o serviço de e-mail para o envio de mensagens indesejadas (spam) ou qualquer tipo de técnica que possa levar a sobrecarga do serviço de e-mail;
* Usar o serviço de e-mail para disseminar ou transmitir mensagens de caráter injurioso, calunioso ou que possam ferir a legislação em vigor;
* Usar o serviço de e-mail para o envio de mensagens cujo conteúdo incite uso de drogas, terrorismo, práticas subversivas, violência, aborto, práticas racistas, assim como qualquer outro que possa infringir a legislação vigente;
A Prefeitura Águas de São Pedro adota um padrão para criação dos endereços de E-mail sendo composto: nome.sobrenome@aguasdesaopedro.sp.gov.br.
Casos de endereços de e-mail coincidentes ou que possam ocasionar cacofonias e situações vexatórias poderão ser alterados para seguir um modelo fora do padrão adotado pela Prefeitura de Águas de São Pedro, devendo primeiramente ser revisados pela Divisão de Tecnologia da Informação.
Não é permitido o uso de sobrenomes de filiação na composição do endereço de e-mail como, por exemplo, tais como Júnior, Filho, Neto, Segundo e Terceiro.
Os usuários do serviço de e-mail da Prefeitura de Águas de São Pedro devem adotar a assinatura padrão, formatada de acordo com o seguinte modelo:
a) Nome Completo;
b) Departamento;
c) Cargo;
d) Telefone.
Ao final do e-mail, após a assinatura, deverá ser exibido o seguinte aviso de confidencialidade:
“Esta mensagem, juntamente com qualquer outra informação anexada, é protegida por lei, e somente os seus destinatários são autorizados a usá-la. Caso a tenha recebido por engano, por favor, informe o remetente e em seguida apague a mensagem, observando que não há autorização para armazenar, encaminhar, imprimir, usar, copiar o seu conteúdo.”

10.Requisitos do Controle de Acesso
10.1. Gerenciamento de acesso do usuário
Os procedimentos formais de controle de acesso do usuário devem ser documentados, implementados e mantidos atualizados para cada aplicativo e sistema de informações, isto para garantir o acesso de usuário autorizado e impedir o acesso não autorizado. Eles devem abranger todos os estágios do ciclo de vida do usuário, desde o registro inicial até o cancelamento final.
Os direitos de acesso do usuário devem ser revisados em intervalos regulares. As contas de administração do sistema só devem ser fornecidas aos usuários que realmente irão executar tarefas de administração do sistema.
10.2. Registro de usuário
Uma solicitação de acesso à rede e aos sistemas de computadores da instituição deve primeiro ser enviada à Divisão de Tecnologia da Informação para aprovação. Todas as solicitações serão tratadas de acordo com um procedimento formal que garanta que as verificações de segurança sejam realizadas e que a autorização seja obtida antes da criação da conta de usuário.
Cada conta de usuário terá um nome de usuário exclusivo que não será compartilhado e será associado a um indivíduo específico, ou seja, não um cargo. Contas de usuário genéricas, ou seja, contas individuais a serem usadas por um grupo de pessoas não devem ser criadas, pois não fornecem garantias suficientes de responsabilidade.
Uma senha inicial forte deve ser criada na configuração da conta e comunicada ao usuário por meios seguros. O usuário deve ser obrigado a alterar a senha no primeiro uso da conta.
Quando o servidor for exonerado, em circunstâncias comuns, seu acesso aos sistemas e dados deve ser suspenso no último dia de trabalho. É responsabilidade do supervisor solicitar a suspensão dos direitos de acesso por meio da área de Tecnologia da Informação.
Em circunstâncias excepcionais, em que haja um risco do servidor tomar providências que possam prejudicar a instituição antes ou após a exoneração, uma solicitação para remover o acesso pode ser aprovada e acionada antes da notificação da exoneração. Esta precaução será aplicável nos casos em que o servidor tem acessos privilegiados.
As contas de usuário devem ser inicialmente suspensas ou desativadas apenas, e não excluídas. Os nomes das contas de usuários não devem ser reutilizadas, pois isso pode causar confusão no caso de uma investigação posterior.
10.3. Fornecimento do acesso
Cada usuário deve ter direito de acesso e permissões a sistemas de computador e dados que sejam compatíveis com as tarefas que deve executar. Isso será baseado na função, ou seja, uma conta de usuário será adicionada a um grupo com as permissões de acesso exigidas para essa função.
As funções de grupo devem ser mantidas de acordo com os requisitos dos serviços e quaisquer alterações devem ser formalmente autorizadas e controladas por meio do processo de gerenciamento de mudanças.
As permissões adicionais não devem ser concedidas a contas de usuário fora da função do grupo. Se tais permissões forem necessárias, isso deve ser tratado como uma modificação e formalmente solicitado.
10.4. Remoção ou adequação dos direitos de acesso
Quando é necessário um ajuste de direitos ou permissões de acesso, isso deve ser feito como parte da mudança de função. É preciso garantir que os direitos de acesso, que não são mais necessários na nova função, sejam removidos da conta do usuário. No caso de um usuário assumir uma nova função além da existente, deve ser solicitado mudanças.
Sob nenhuma circunstância os administradores poderão alterar suas próprias contas de usuário ou permissões. 
10.5. Gestão dos direitos de acesso privilegiado
Os direitos de acesso privilegiados, como aqueles associados a contas de nível de administrador, devem ser identificados para cada sistema ou rede e rigorosamente controlados.
O acesso a permissões no nível de administrador só deve ser destinado a indivíduos com essas funções e que receberam treinamento suficiente para entender as implicações de seu uso.
10.6. Revisão dos direitos de acesso ao usuário
Anualmente, os responsáveis de ativos e sistemas serão obrigados a analisar quem tem acesso às suas áreas de responsabilidade e o nível de acesso. Isto para identificar:
I- Pessoas que não devem ter acesso;
II- Contas de usuário com mais acesso do que o exigido pela função;
III- Contas de usuário com alocações de função incorretas;
IV- Contas de usuário que não fornecem identificação adequada, por exemplo contas genéricas ou compartilhadas;
V- Quaisquer outros problemas que não estejam em conformidade com esta política.
Esta revisão será realizada por um procedimento formal e quaisquer ações corretivas identificadas e realizadas.
Uma revisão das contas de usuários com acesso privilegiado será realizada trimestralmente pela área de Tecnologia da Informação para assegurar que esta política esteja sendo cumprida.
10.7. Autenticação e senha do usuário
Uma senha forte é uma barreira essencial contra o acesso não autorizado.
A política da Prefeitura Águas de São Pedro é utilizar métodos de autenticação adicionais com base em uma avaliação de riscos que leve em consideração:
I- O valor dos ativos protegidos;
II- O grau de ameaça que se acredita existir;
III- O custo do(s) método(s) adicional(is) de autenticação;
IV- A facilidade de uso e praticidade do(s) método(s) proposto(s);
V- Quaisquer outros controles relevantes.
O uso de métodos de autenticação de múltiplos fatores deve ser justificado com base nos fatores acima, e implementados e mantidos de maneira segura.
Se a autenticação de um ou vários fatores é usada, a qualidade das senhas de usuários deve ser aplicada, conforme os seguintes parâmetros:

11.Dispositivos Móveis
11.1. Uso de Dispositivos Móveis Pessoais
Os indivíduos não devem usar seus próprios dispositivos para manter e processar informações da instituição, a menos que tenham enviado uma solicitação para fazê-lo, e essa solicitação tenha sido formalmente aprovada. É política da Prefeitura Águas de São Pedro avaliar cada solicitação TSPD para estabelecer:
I- A identidade da pessoa que faz a solicitação;
II- O motivo da solicitação;
III- Os dados que serão mantidos ou tratados no dispositivo;
IV- O dispositivo específico que será usado.
As solicitações devem ser enviadas para a divisão de Tecnologia da Informação.
O princípio geral desta política é que o grau de controle exercido pela instituição sobre o dispositivo TSPD seja apropriado para a sensibilidade dos dados contidos nela.
Para garantir que os dados sejam protegidos adequadamente, é importante que a Prefeitura de Águas de São Pedro possa monitorar e auditar o nível de conformidade com essa política. O nível de monitoramento e auditoria será apropriado para cada informação armazenada no dispositivo.
Os métodos e o tempo de monitoramento e auditoria deverão respeitar a privacidade do proprietário do dispositivo, em conformidade com a legislação aplicável. Em geral, o monitoramento do uso fora do horário comercial será evitado.
No caso de perda ou roubo do dispositivo, o proprietário deve informar à área de Tecnologia da Informação o mais rápido possível, fornecendo detalhes sobre as circunstâncias da perda e a sensibilidade das informações de propriedade da Prefeitura de Águas de São Pedro armazenadas nele. A Prefeitura de Águas de São Pedro reserva o direito de apagar remotamente o dispositivo, sempre que possível, como medida de segurança. Isso pode envolver a exclusão de dados pertencentes o proprietário do dispositivo.
Ao ser exonerado ou pedir exoneração, o proprietário do dispositivo deve permitir que o dispositivo seja auditado e todos os dados e aplicativos relacionados aos serviços da Prefeitura Águas de São Pedro sejam removidos.

12.Mesa Limpa
Os servidores são obrigados a garantir que todas as informações sigilosas em cópia impressa ou eletrônica estejam seguras em sua área de trabalho no final do dia e quando se espera que estejam ausentes por um período prolongado;
As estações de trabalho do computador devem ser bloqueadas quando o espaço de trabalho estiver desocupado;
As estações de trabalho do computador devem ser desligadas completamente no final do dia de trabalho;
Qualquer informação sigilosa deve ser retirada da mesa e trancada em uma gaveta quando a mesa estiver desocupada e ao final do expediente;
Os armários de arquivos contendo informações restritas ou confidenciais devem ser mantidos fechados e trancados quando não estiverem em uso ou quando não forem atendidos;
As chaves usadas para acesso a informações sigilosas não devem ser deixadas em uma mesa desacompanhada;
Os laptops devem ser trancados em uma gaveta ao final do expediente;
As senhas não podem ser deixadas em notas adesivas postadas em ou sob um computador, nem podem ser deixadas escritas em um local acessível;
Impressões contendo informações sigilosas devem ser removidas imediatamente da impressora;
Quadros brancos contendo informações sigilosas devem ser apagados;
Manter alimentos e bebidas longe das estações de trabalho para evitar derramamentos acidentais;

13.Sanções e Punições
As violações, mesmo que por mera omissão ou tentativa não consumada, desta política, bem como demais normas e procedimentos de segurança, serão passíveis de penalidades que incluem advertência verbal, advertência por escrito, suspensão não remunerada e a demissão por justa causa;
A aplicação de sanções e punições será realizada conforme a análise da Comissão responsável, devendo-se considerar a gravidade da infração, efeito alcançado e as recorrências podendo a comissão, no uso do poder disciplinar que lhe é atribuído, aplicar a pena que entender cabível quando tipificada a falta grave.
No caso de terceiros contratados ou prestadores de serviço, a Comissão deve analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos previstos em contrato.
Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em dano à Prefeitura de Águas de São Pedro, o infrator será responsabilizado pelos prejuízos, cabendo aplicação das medidas judiciais pertinentes sem prejuízo aos termos descritos nos itens anteriores desta política.
13.1. Casos Omissos
Os casos omissos serão avaliados pela Comissão responsável.
As diretrizes estabelecidas nesta política e nas demais normas e procedimentos de segurança, não se esgotam em razão da contínua evolução tecnológica e constante surgimento de novas ameaças. Desta forma, não se constitui rol enumerativo, sendo obrigação do usuário da informação da Prefeitura Águas de São Pedro adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir proteção às informações da Prefeitura de Águas de São Pedro.

14.Glossário
Ameaça: Causa potencial de um incidente, que pode vir a prejudicar a instituição;
Ativo: Tudo aquilo que possui valor para a instituição;
Ativo de informação: Patrimônio intangível da instituição, constituído por suas informações de qualquer natureza, incluindo de caráter estratégico, técnico, administrativo, financeiro, mercadológico, de recursos humanos, legal natureza, bem como quaisquer informações criadas ou adquiridas por meio de parceria, aquisição, licenciamento, compra ou confiadas a instituição por parceiros, clientes, empregados e terceiros, em formato escrito, verbal, físico ou digitalizado, armazenada, trafegada ou transitando pela infraestrutura computacional da instituição ou por infraestrutura externa contratada pela instituição, além dos documentos em suporte físico, ou mídia eletrônica transitados dentro e fora de sua estrutura física.
Confidencialidade: Propriedade dos ativos da informação da instituição, de não serem disponibilizados ou divulgados para indivíduos, processos ou entidades não autorizadas.
Controle: Medida de segurança adotada pela instituição para o tratamento de um risco específico.
Disponibilidade: Propriedade dos ativos da informação da instituição, de serem acessíveis e utilizáveis sob demanda, por partes autorizadas.
Gestor da Informação: Usuário da informação que ocupe cargo específico, ao qual foi atribuída responsabilidade sob um ou mais ativos de informação criados, adquiridos, manipulados ou colocados sob a responsabilidade de sua área de atuação.
Incidente de segurança da informação: Um evento ou conjunto de eventos indesejados de segurança da informação que tem possibilidade significativa de afetar as operações ou ameaçar as informações da instituição.
Integridade: Propriedade dos ativos da informação da instituição, de serem exatos e completos.
Risco de segurança da informação: Efeito da incerteza sobre os objetivos de segurança da informação da instituição.
Segurança da informação: A preservação das propriedades de confidencialidade, integridade e disponibilidade das informações da instituição.
Usuário da informação: Colaboradores com vínculo empregatício de qualquer área da instituição ou terceiros alocados na prestação de serviços a instituição, indiferente do regime jurídico a que estejam submetidos, assim como outros indivíduos ou organizações devidamente autorizadas a utilizar manipular qualquer ativo de informação da instituição para o desempenho de suas atividades profissionais.
Vulnerabilidade: Causa potencial de um incidente de segurança da informação, que pode vir a prejudicar as operações ou ameaçar as informações da instituição.

15.Revisões
Esta política é revisada com periodicidade anual ou conforme o entendimento da Comissão responsável.

16.Gestão da Política
Esta política foi aprovada pela Comissão de Trabalho de Proteção de Dados Pessoais e, posteriormente, pelo Prefeito de Águas de São Pedro.
Esta Política será revisada de acordo com a demanda que se fizer necessária.