PORTARIA Nº 557, DE 19 DE JUNHO DE 2023

O PRESIDENTE DO EGRÉGIO TRIBUNAL REGIONAL ELEITORAL DO AMAZONAS, no uso das competências que lhe são conferidas pelo art. 18, incisos XII, do Regimento Interno e com fundamento no art. 35, inciso I, da Lei n. 8.112, de 11.12.1990, com redação dada pela Lei n. 9.527, de 10.12.1997,

CONSIDERANDO a Res. CNJ nº 370/2021, que institui a Estratégia Nacional Tecnologia da Informação e Comunicação do Poder Judiciário (ENTIC-JUD);

CONSIDERANDO a Res. CNJ nº 396/2021, que institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ);

CONSIDERANDO a Res. TSE nº 23.644/2021, que institui a Política de Segurança da Informação (PSI) no âmbito da Justiça Eleitoral;

CONSIDERANDO a portaria DG/TSE nº 444/2021, que instituiu a norma de termos e definições relativa à Política de Segurança da Informação do Tribunal Superior Eleitoral;

CONSIDERANDO as boas práticas de segurança da informação e privacidade previstas nas normas ABNT ISO/IEC 27001 e ABNT ISO/IEC 27002;

CONSIDERANDO as boas práticas em segurança da informação previstas no modelo CIS Controls V.8;

CONSIDERANDO a necessidade de gerenciar os incidentes de segurança da informação que envolvam o tratamento de dados pessoais, de acordo com a lei 13.709/2018 (LGPD);

CONSIDERANDO, ainda, que a segurança da informação, a proteção e privacidade de dados pessoais são condições essenciais para a prestação dos serviços jurisdicionais e administrativos do Tribunal Regional Eleitoral Amazonas;

RESOLVE:

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída a Norma Complementar de Configuração Segura de Ambientes no âmbito do Tribunal Regional Eleitoral do Amazonas.

Art. 2º Esta norma integra a Política de Segurança da Informação da Justiça Eleitoral, estabelecida pela Resolução TSE n. 23.644/2021.

Art. 3º Para os efeitos desta norma deverá ser realizada a classificação de risco dos dados manipulados/armazenados no ativo corporativo contemplando pelo menos três níveis:

a. Risco alto
b. Risco moderado
c. Risco baixo.

CAPÍTULO II
DA CLASSIFICAÇÃO DOS TIPOS DE ATIVOS CORPORATIVOS

Art. 4º Os controles mínimos estabelecidos nos incisos deste artigo visam estabelecer e manter a configuração segura de ativos corporativos (dispositivos de usuário final, incluindo portáteis e móveis; dispositivos de rede; dispositivos não computacionais/IoT; e servidores) e software (sistemas operacionais e aplicações) no ambiente da rede corporativa da justiça eleitoral de acordo de acordo com a seguinte classificação:

I. Ativos de Infraestrutura Rede, quais sejam os dispositivos de rede;
II. Ativos de Aplicações, quais sejam os sistemas operacionais e aplicações;
III. Ativos de Usuários, quais sejam os usuários finais; e
IV. Ativos de Dispositivos, quais sejam os dispositivos de usuário final, incluindo portáteis, dispositivos não computacionais/IoT e móveis e servidores.

CAPÍTULO III
DA CONFIGURAÇÃO SEGURA PARA OS ATIVOS DE INFRAESTRUTURA DE REDE

Art. 5º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de rede contemplando no mínimo:

I. Revisão e atualização da documentação anualmente ou quando ocorrerem mudanças significativas no ambiente que possam impactar esta medida de segurança;
II. Gerenciamento dos ativos e softwares corporativos com implementações de gestão de configuração que no mínimo seja contemplado:
a. Uso de infraestrutura como código (IaC) qual seja o gerenciamento e provisionamento da infraestrutura por meio de códigos, em vez de processos manuais;
b. Acesso a interfaces administrativas por meio de protocolos de rede seguros, como Secure Shell (SSH) e Hypertext Transfer Protocol Secure (HTTPS),
c. Não utilização de protocolos de gestão inseguros, como Telnet (Teletype Network) e HTTP, a  menos que seja operacionalmente essencial;
d. Aplicação de procedimentos de hardening nos ativos de rede e servidores contemplando, no mínimo, a limitação do acesso à interface de gerência em interfaces e/ou endereços IP controlados.

CAPÍTULO IV
DA CONFGURAÇÃO SEGURA PARA OS ATIVOS DE APLICAÇÕES

Art. 6º Deverá ser estabelecido e mantido um processo de configuração segura para os softwares de sistemas operacionais e aplicações utilizados nos ativos corporativos que contemple:

I. Revisão e atualização da documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam impactar esta medida de segurança;
II. Criação de processos automatizados de configuração de segurança que definam as configurações de segurança dos sistemas para atender aos requisitos mínimos de proteger os dados usados nos ativos corporativos;
III. Utilização de configurações de baseline de segurança com base nos requisitos de segurança ou classificação dos dados no ativo corporativo contemplando:
a. Instalação do software básico do sistema operacional e posterior aplicação dos patches de segurança apropriados.
b. Instalação apenas dos pacotes, ferramentas e utilitários de software de aplicação apropriados e posterior atualizações apropriadas ao software instalado.
c. Execução processos automatizados de configuração de segurança.
IV. Execução de testes para aferição que possam aferir a qualidade das implementações de segurança.

CAPÍTULO V
DA CONFGURAÇÃO SEGURA PARA OS ATIVOS DE USUÁRIOS

Art. 7º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de usuários da rede corporativa da Justiça Eleitoral que contemple:

I. Configuração de bloqueio automático de sessão nos ativos corporativos após um período definido de inatividade, sendo:
a. Para sistemas operacionais de uso geral, o período não deve exceder 15 minutos.
b. Para dispositivos móveis de usuário final, o período não deve exceder 2 minutos.
II. Desativação ou inutilização das contas padrão nos ativos e softwares corporativos, quando possível.

CAPÍTULO VI
DA CONFGURAÇÃO SEGURA PARA OS ATIVOS DE DISPOSITIVOS

Art. 8º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de dispositivos dos usuários da rede corporativa da Justiça Eleitoral que contemple:

i. A implementação e gerenciamento de firewall nos servidores, onde houver suporte. Essas implementações podem incluir firewall virtual, firewall do sistema operacional ou um agente de firewall de terceiros.
ii. A implementação e gerenciamento de firewall baseado em host ou uma ferramenta de filtragem de porta nos dispositivos de usuário final, com uma regra de negação padrão de bloqueio todo o tráfego, exceto os serviços e portas que são explicitamente permitidos.
iii. A desinstalação ou desativação todos os serviços desnecessários nos ativos e softwares corporativos.
iv. Configuração de servidores DNS confiáveis nos ativos corporativos, preferencialmente servidores DNS controlados pela Justiça Eleitoral e/ou servidores DNS confiáveis acessíveis externamente caso seja imprescindível para a operação;
v. A imposição de bloqueio automático do dispositivo seguindo um limite pré-determinado de tentativas de autenticação local com falha nos dispositivos portáteis de usuário final, quando compatível, sendo:
a. Para laptops, não deve ser permita mais de 10 tentativas de autenticação com falha;
b. Para tablets e smartphones, não mais do que 7 tentativas de autenticação com falha.
vi. A limpeza remota dos dados corporativos de dispositivos portáteis de usuário final de propriedade da Justiça Eleitoral para dispositivos perdidos ou roubados, ou quando do desligamento do usuário das exercidas na Justiça Eleitoral;
vii. A implementação da segmentação dos espaços de trabalho corporativos que sejam utilizados nos dispositivos móveis de usuário final, onde houver suporte, para garantir a separação das aplicações e dados corporativos das aplicações e dados pessoais.

CAPÍTULO VII
DISPOSIÇÕES FINAIS

Art. 9º Os casos omissos serão resolvidos pelo Comitê de Segurança da Informação e de Gerenciamento de Crises Cibernéticas ou pelo Comitê Gestor de Proteção e Privacidade de Dados Pessoais, quando se tratar de tema relativo ao tratamento de dados pessoais.

Art. 10º Qualquer descumprimento desta norma deve ser imediatamente comunicado e registrado pelo Gestor de Segurança da Informação, com consequente adoção das providências cabíveis.

Art. 11º Esta norma complementar deverá ser revisada sempre que se fizer necessário ou conveniente à este Tribunal, nunca excedendo ao período máximo de 01 (um) ano, e encaminhada para nova apreciação do Comitê de Segurança da Informação e de Gerenciamento de Crises Cibernéticas.

Art. 12º Esta Política deve ser publicada no portal de intranet do Tribunal pelo Comitê de Segurança da Informação.

Art. 13º Esta Portaria entra em vigor na data de sua publicação.

Publique-se e cumpra-se.

Desembargador JORGE MANOEL LOPES LINS
Presidente do TRE - AM