Regulamento n.º 173/2021

O presente Regulamento é elaborado ao abrigo do disposto no artigo 241.º da Constituição da República Portuguesa, da alínea k) do n.º 1 do artigo 33.º do Anexo I da Lei n.º 75/2013, de 12 de setembro, na sua redação atual, que aprova o Regime Jurídico das Autarquias Locais, das Entidades Intermunicipais e do Associativismo Autárquico e do artigo 14.º da Lei n.º 46/2018, de 13 de agosto, que estabelece o regime jurídico da segurança no ciberespaço, conjugado com o artigo 14.º do Código do Procedimento Administrativo, na sua redação atual.

Para efeitos deste regulamento, utilizam-se as seguintes siglas:

CISO: Chief Information Security Officer;

COM: Computer Operations Manager;

CSI: Comissão de Segurança da Informação;

DRH: Direção de Recursos Humanos;

GAI: Gabinete de Auditoria Interna;

IEC: International Electrotechnical Commission;

ISO: International Standards Organization;

PDCA: Plan (planear), Do (executar), Check (verificar), Act (agir);

SGSI: Sistema de Gestão de Segurança de Informação;

SI: Sistemas de Informação

SISA: Senior Information Security Advisor;

SHORE: Subunidade Orgânica de Recursos Humanos e Expediente;

TCO: Total Cost of Ownership;

TI: Tecnologias de Informação;

VPN: Virtual Private Network.

Consideram-se, para efeitos deste regulamento, as seguintes definições:

A Política de Segurança a implementar tem como principal objetivo o estabelecimento dos pilares de Segurança dos Sistemas de Informação, de modo a assegurar:

A Comissão de Segurança de Informação, doravante CSI, é a estrutura funcional responsável pela segurança de informação do Município de Alvaiázere.

A CSI é composta por:

O Gabinete de Auditoria Interna (GAI) é responsável por:

O COM:

A CSI pode solicitar a colaboração do Gabinete de Contratação Pública, Assessoria e Fiscalização para a validação da conformidade legal da Segurança de Informação no Município de Alvaiázere.

A CSI define, em colaboração com a Subunidade Orgânica de Recursos Humanos e Expediente (SOHRE), as ações a desencadear para a sensibilização dos colaboradores do Município de Alvaiázere para as questões de segurança da informação.

Nenhum parceiro externo deverá utilizar o bom nome do Município de Alvaiázere para seu benefício ou em propósitos de marketing ou publicidade, exceto se obtiver autorização para tal.

A organização interna:

O Presidente da CSI especifica, ao nível do inventário de ativos, a atribuição da responsabilidade pela propriedade da informação de bases de dados, ficheiros corporativos, assim como outro tipo de informação partilhada e designa os responsáveis por manter os direitos de acesso a essa informação, em alternativa aos seus proprietários.

A CSI deve garantir que nenhuma alteração aos sistemas corporativos, solicitada ou promovida por um serviço da instituição, é efetuada sem a sua prévia autorização.

Normas, procedimentos e boas práticas para a gestão da segurança de informação são centralizados para toda a instituição pela CSI.

Os sistemas críticos de infraestrutura de segurança de informação do Município de Alvaiázere não devem parar, ser desligados ou desativados, sem aprovação prévia da CSI.

É feita uma análise externa e independente aos sistemas de informação periodicamente, de forma a se obter o resultado da sua aplicabilidade e conformidade com os controlos de segurança implementados na instituição.

Para acessos VPN, acessos a sistemas mais críticos ou para mecanismos de autenticação partilhadas por vários sistemas, devem ser implementados, sempre que possível, mecanismos de autenticação forte (exemplo: OTP, passwords + certificados digitais, tokens, impressão digital, etc.).

As normas constantes da presente secção aplicam-se às atividades a desenvolver no âmbito do processo de gestão de incidentes (Incident Management) e a gestão de incidentes de segurança, segundo a norma ISO27001.

A CSI, enquanto gestora do processo de gestão de incidentes, é responsável por:

As exceções a qualquer norma plasmada nesta secção, ou aos seus procedimentos, quando permitidas, devem ser aprovadas por escrito pelos responsáveis pelo colaborador, ou por outra pessoa credenciada para o efeito.

Todas as mensagens têm de finalizar com a seguinte comunicação de isenção:

"O conteúdo desta mensagem eletrónica e de todos os ficheiros em anexo são confidenciais e podem conter informação privilegiada. Quem dela tomar conhecimento sem autorização do emitente poderá incorrer em ilícito penal. Estão estritamente interditas a publicação, distribuição, uso, impressão ou cópia não autorizadas da mensagem ou dos seus anexos. Caso tenha recebido esta mensagem por engano, queira por favor devolver-nos a mensagem errónea. Obrigado pela sua colaboração."

Exceções a qualquer das normas desta secção, ou aos seus procedimentos, quando permitidas, devem ser aprovadas pela CSI.

Não é permitido aos colaboradores do Município de Alvaiázere partilhar passwords de acesso, credenciais de acesso ou qualquer outro tipo de identificação pessoal pela Internet.

Exceções a qualquer dos preceitos desta secção ou aos seus procedimentos, quando permitidas, devem ser aprovadas por escrito pela CSI.

O documento de Entrega & Devolução de Ativo (Anexo V) deve ser assinado no momento da entrega por quem recebe o ativo, devendo ter-se em consideração o seguinte:

O documento de Entrega & Devolução de Ativo (Anexo V) deve ser assinado no momento da devolução do ativo pelo técnico que o receber.

Os casos omissos e as dúvidas suscitadas pela interpretação e aplicação do presente regulamento que não possam ser sanadas pelo recurso aos critérios legais de interpretação e integração de lacunas serão submetidas para decisão dos órgãos competentes.

O presente regulamento entra em vigor 15 dias após a sua publicação no Diário da República.

ANEXOS

ANEXO I

Entrega de Password

(ver documento original)

Deve alterar a password provisória no primeiro login no sistema.

As regras de composição das passwords: