A PRESIDENTE EM EXERCÍCIO DO TRIBUNAL REGIONAL ELEITORAL DE SERGIPE, no que tange às suas atribuições previstas no artigo 28, XXXIV do Regimento Interno deste Tribunal

CONSIDERANDO a necessidade de definir processos para o uso de recursos criptográficos no Tribunal Regional Eleitoral de Sergipe;

CONSIDERANDO a  Resolução CNJ n.º 396, de 24 de setembro de 2021, que institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ);

CONSIDERANDO a  Resolução TSE n.º 23.644, de 1º de julho de 2021, que institui a Política de Segurança da Informação (PSI) no âmbito da Justiça Eleitoral;

CONSIDERANDO a Portaria DG/TSE n.º 444, de 8 de julho de 2021, que dispõe sobre a instituição da norma de termos e definições relativa à Política de Segurança da Informação do Tribunal Superior Eleitoral;

CONSIDERANDO as boas práticas em segurança da informação previstas nas normas ABNT ISO /IEC 27001 e ABNT NBR ISO/IEC 27002;

CONSIDERANDO as boas práticas em segurança da informação previstas no modelo CIS Controls V.8;

CONSIDERANDO a necessidade de implementar controles para o tratamento de dados pessoais, de acordo com a Lei 13.709/2018 (LGPD) e

CONSIDERANDO que a segurança da informação e a proteção de dados pessoais são condições essenciais para a prestação dos serviços jurisdicionais e administrativos do Tribunal Regional Eleitoral de Sergipe,

RESOLVE:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Instituir regras e procedimentos para o uso de recursos criptográficos no âmbito da Justiça Eleitoral de Sergipe.

CAPÍTULO II

DAS DEFINIÇÕES

Art. 2º Para efeitos desta norma consideram-se os termos e definições previstos na Portaria DG /TSE n.º 444/2021, além dos seguintes:

I - assinatura digital: tipo de assinatura eletrônica que usa operações matemáticas, com base em algoritmos criptográficos de criptografia assimétrica, para garantir segurança na autenticidade das documentações, sendo necessário possuir um certificado digital para assinar digitalmente um documento;

II - certificado digital: funciona como uma identidade virtual que permite a identificação segura e inequívoca do autor de uma mensagem ou transação feita em meios eletrônicos, como a web. Esse documento eletrônico é gerado e assinado por uma terceira parte confiável, ou seja, uma Autoridade Certificadora (AC) que, seguindo regras estabelecidas por um gestor, associa uma entidade (pessoa ou sistema informatizado) a um par de chaves criptográficas. Os certificados contêm os dados de seu titular conforme detalhado na Política de Segurança de cada Autoridade Certificadora;

III - informação restrita: toda a informação que deva ser mantida em sigilo por tempo determinado, com acesso restrito a um grupo credenciado de pessoas que tenham necessidade de conhecê-la, conforme determinado por Lei, norma de classificação da informação e procedimentos de tratamento da informação; e

IV - recurso criptográfico: sistema, programa, processo, equipamento isolado ou em rede que utiliza algoritmo simétrico ou assimétrico para realizar cifração ou decifração.

Art. 3º Esta norma visa assegurar o uso adequado e eficaz da criptografia na proteção dos dados em trânsito pelas redes de computadores, assim como dos dados em repouso, armazenados em servidores, microcomputadores, dispositivos móveis, mídias removíveis e bancos de dados.

Art. 4º O uso adequado de recursos criptográficos tem como objetivo proteger a confidencialidade, a integridade, a autenticidade e o não-repúdio das informações.

Art. 5º O tipo, a força e a qualidade dos algoritmos criptográficos apropriados tomarão como base, sempre que possível, o resultado do processo de gerenciamento de riscos de segurança da informação, o nível de proteção necessário e a classificação das informações.

Art. 6º Os controles criptográficos, seus parâmetros e sua aplicação na proteção de informações classificadas serão registrados no inventário de ativos de TIC - Tecnologia da Informação e Comunicação.

Art. 7º É vedada a implantação de controles criptográficos não homologados pelo TRE-SE ou utilizá-los de forma distinta aos procedimentos estabelecidos para tal finalidade.

Art. 8º Equipamentos, aplicações, sistemas ou banco de dados que lidem com informações restritas ou dados pessoais sensíveis e que não permitam a adoção de recursos criptográficos, deverão ter seu uso justificado pelo gestor do ativo, com a devida análise de riscos, e aprovado pelo Comitê Gestor de Segurança da Informação (CGSI).

CAPÍTULO III

A CRIPTOGRAFIA DOS DADOS EM TRÂNSITO

Art. 9º O trânsito de credenciais de acesso, como logins e senhas, de dados pessoais sensíveis e de informações restritas, deve ser protegido por protocolos de comunicação segura, tais como HTTPS, SSL, TLS, SSH e VPN.

Art. 10. É obrigatório o uso de protocolo seguro, como HTTPS, em todos os sistemas e portais web, independentemente de serem acessados pela rede interna ou pela internet.

Parágrafo Único. Os sistemas legados acessados pela rede interna que não permitam tecnicamente o uso de protocolo seguro deverão ter seu uso justificado pelo gestor do ativo, com a devida análise de riscos, e aprovado pelo Comitê Gestor de Segurança da Informação (CGSI).

CAPÍTULO IV

DA CRIPTOGRAFIA DOS DADOS ARMAZENADOS

Art. 11. Para mitigar os riscos, em caso de vazamento de dados, perda ou furto de equipamentos, devem ser adotados, no mínimo, os seguintes controles criptográficos:

I - criptografia ou anonimização de dados pessoais sensíveis armazenados em servidores, aplicações e banco de dados;

II - criptografia de cópias de segurança(backup) que contenham dados pessoais sensíveis; e

III - criptografia de discos ou partições de dispositivos móveis, como notebook, tablet, smartphone etc., e de mídias removíveis que contenham documentos ou informações restritas.

Parágrafo Único. Os computadores, notebooks e dispositivos móveis, de propriedade da Justiça Eleitoral, utilizados em trabalho remoto, devem ter seus discos rígidos protegidos por criptografia.

CAPÍTULO V

DA ASSINATURA DIGITAL

Art. 12. A distribuição e o gerenciamento dos certificados digitais serão realizados pela Secretaria de Tecnologia da Informação e Comunicação (STI), conforme a necessidade e os requisitos de segurança das operações a serem realizadas.

Art. 13. Os certificados digitais poderão ser utilizados como segundo fator de autenticação (2FA) em computadores ou sistemas para autenticar usuários e outras entidades do sistema, de acordo com a sua criticidade e disponibilidade da tecnologia.

Art. 14. Os certificados digitais, de uso individual ou coletivo, deverão ser distribuídos aos usuários mediante Termo de Responsabilidade de Uso.

§ 1º Cabe ao usuário zelar pela segurança do certificado digital recebido, não compartilhando seu uso e sua senha com terceiros.

§ 2º A assinatura digital ou o login, realizado por meio de certificado digital, é irretratável, impossibilitando o responsável pelo certificado de alegar que não efetuou o evento ou a ação.

§ 3º A perda, o roubo ou o comprometimento de equipamentos e tokens que possuam certificados digitais válidos deverão ser informados imediatamente à STI para adoção das providências de revogação.

Art. 15. Dispositivos e sistemas de uso interno do Tribunal poderão utilizar certificados digitais autoassinados por autoridade certificadora (AC) raiz criada pelo TRE-SE, mantida por Infraestrutura de Chave Pública (ICP) própria.

CAPÍTULO VI

DA AUTORIDADE CERTIFICADORA

Art. 16. O TRE-SE poderá manter a Infraestrutura de Chaves Públicas (ICP) própria para uso em sistemas e computadores de uso interno, sendo permitido o modelo de Autoridade Certificadora (AC) autoassinada.

Art. 17. Sistemas e servidores disponíveis para acesso pela internet deverão utilizar certificados digitais válidos fornecidos por AC nativamente reconhecida como confiável pelos principais navegadores e sistemas operacionais.

Art. 18. Respeitados os limites da lei, poderá ser aprovado pelo CGSI o uso de certificados digitais em dispositivos de segurança de rede, mediante justificativa técnica e aprovação do CGSI, para interceptar o tráfego com objetivo de filtrar conteúdo cifrado que possa ser considerado inadequado, impróprio ou malicioso.

CAPÍTULO VII

DAS RESPONSABILIDADES

Art. 19. Cabe à STI:

I - implementar e manter o nível adequado de recursos criptográficos nos sistemas, bancos de dados e dispositivos;

II - homologar os recursos criptográficos para uso no TRE-SE;

III - criar e manter procedimentos de certificação digital autoassinada pela AC raiz do TRE-SE, mantida por ICP própria;

IV - adquirir e gerenciar a distribuição de certificados digitais emitidos por AC nativamente reconhecida como confiável pelos principais navegadores e sistemas operacionais;

V - gerenciar o credenciamento de usuários de recursos criptográficos;

VI - criar, distribuir, recuperar e destruir chaves de uso em recursos criptográficos;

VII - revisar, no mínimo anualmente, os algoritmos e protocolos criptográficos utilizados, com base em recomendações de mercado e de órgãos oficiais, vedando o uso de tecnologias consideradas obsoletas ou inseguras; e

VIII - comunicar ao CGSI eventuais não-conformidades.

Art. 20. Cabe ao usuário:

I - Assinar termo de compromisso no ato do recebimento de certificado digital;

II - Zelar pela segurança do certificado digital recebido, não compartilhando o seu uso e a sua senha com terceiros;

III - Informar imediatamente à STI em caso de extravio ou comprometimento do certificado digital para adoção das providências de revogação;

IV - Estar ciente de que a assinatura ou login realizados por meio de certificado digital são irretratáveis, não podendo alegar que não efetuou a ação; e

V - Aplicar adequadamente os recursos criptográficos necessários para a proteção da informação sob sua custódia, em conformidade com as determinações desta norma;

CAPÍTULO VIII

DISPOSIÇÕES FINAIS

Art. 21. No caso de algum equipamento, aplicação, aplicativo, sistema ou banco de dados não permitir a adoção de protocolos seguros, a informação deverá constar em documento de análise de riscos de segurança da informação, sendo imediatamente submetido à apreciação do CGSI.

Art. 22. A Assessoria Técnica de Segurança Cibernética (ASSEC/STI) realizará, no mínimo anualmente, a verificação de conformidade desta norma, com o apoio das demais unidades do Tribunal.

Parágrafo Único. O descumprimento desta norma deve ser imediatamente comunicado à ASSEC/STI, para apuração e adoção das providências cabíveis.

Art. 23. A STI elaborará, no prazo de até 18 meses a contar da publicação deste normativo, os procedimentos operacionais para sua aplicação, cuja implementação ocorrerá de forma progressiva, com base em análise de riscos e viabilidade técnica e financeira, considerando as boas práticas de cibersegurança e os recursos tecnológicos disponíveis, bem como cronograma para adequação dos ativos de processamento.

Art. 24. Os casos omissos serão resolvidos pelo CGSI deste Tribunal.

Art. 25. Esta Instrução Normativa entra em vigor na data de sua publicação.

 ANA BERNADETE LEITE DE C. ANDRADE

 Presidente em Exercício