Administração federal ganha normas severas para acesso a informações

Os órgãos da administração pública federal terão que adotar medidas severas de controle de informações, a começar pela restrição de acesso a certos dados, inclusive com a assinatura de termos de compromisso por parte dos servidores, que passarão a ser responsabilizados por eventuais quebras de segurança.

As normas a serem adotadas por todos os órgãos da administração federal foram publicadas na sexta-feira, 7/5, em portaria do Gabinete de Segurança Institucional da Presidência da República. A premissa básica é um levantamento feito pelo TCU onde se constatou que praticamente a metade dos órgãos públicos não adota qualquer tipo de controle de acesso.

Entre as determinações, cada órgão terá que registrar os acessos à rede corporativa de computadores de forma a permitir a rastreabilidade e a identificação do usuário, assim como manter “mecanismos que permitam identificar e rastrear os endereços de origem e destino, bem como os serviços utilizados”. A norma sugere a implementação, sempre que possível, de dispositivos que contemplem biometria, tokens ou smart cards, como forma de identificação do usuário da rede.

“São medidas tão óbvias que as pessoas nem percebem a falta que isso faz, até serem invadidas. Hoje é uma festa. A pessoa chega ao órgão publico, recebe uma senha, e não tem nenhuma responsabilidade. Agora tem um termo de compromisso, como acontece no mundo todo. São informações de Estado e a gente precisa tomar cuidado”, defende o diretor do Departamento de Segurança da Informação e Comunicações (DSIC), Raphael Mandarino.

Ou seja, a partir da implementação da norma pelos órgãos, um determinado servidor poderá ser responsabilizado – administrativa, civil e criminalmente - pela quebra de segurança ocorrida com a utilização de sua respectiva conta de acesso. A portaria sugere até um modelo de documento a ser assinado por usuários de rede. Nela, os ativos de informação são tratados como patrimônio, os usuários se comprometem a utilizar as informações exclusivamente no interesse desses mesmos órgãos e, especialmente, se responsabilizam pelo uso indevido de credenciais ou contas de acesso.

Haverá, assim, restrições mais severas. Por exemplo, “o uso dos ativos de informação que não guarde relação com o exercício do cargo, função, emprego ou atividade públicas será considerado indevido e passível de imediato bloqueio de acesso, sem prejuízo da apuração das responsabilidades administrativa, penal e civil”. Será limitado o perfil de administrador e a concessão de credenciais ou contas de acesso deverá respeitar o princípio do menor privilégio.

Site: Convergência Digital
Data: 10/05/2010
Hora: 13h37
Seção: Segurança
Autor: Luís Osvaldo Grossmann
Link: http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=22527&sid=18