Segurança da Informação: MGI publica Modelo de Norma de Gestão de Identidades e Controle de Acesso
O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) disponibilizou por meio da Secretaria de Governo Digital (SGD), minuta contendo as diretrizes obrigatórias de segurança digital com o Modelo de Política e Norma de Gestão de Identidades e Controle de Acesso.
O texto fornece uma base normativa para que órgãos e entidades da administração pública implementem regras formais sobre a gestão de identidades digitais, credenciais de autenticação e permissões de acesso lógico e físico.
O modelo foi concebido para atender e comprovar conformidade com diversas medidas de segurança cibernética e de governança do PPSI 2.0, bem como com a Lei Geral de Proteção de Dados Pessoais (LGPD).
AS DIRETRIZES
O documento institui a Norma de Gestão de Identidades e Controle de Acesso a ser estabelecida pelos órgãos e entidades, em complemento à Política de Segurança da Informação e à Política de Gestão de Identidade e Controle de Acesso. Estabelecendo regras e responsabilidades para o ciclo de vida das identidades, gestão de credenciais e processos de concessão, revisão, revogação de acessos lógicos e físicos.
A norma aplica-se a servidores públicos, funcionários terceirizados, prestadores de serviços, estagiários, colaboradores eventuais e a identidades não humanas – APIs, serviços automatizados, aplicações e contas de sistema –, independentemente de os recursos estarem em instalações locais ou em nuvem.
A criação de identidade digital deverá ser solicitada identificando: (i) a pessoa natural ou entidade não humana à qual a identidade será vinculada; (ii) a justificativa para sua criação; (iii) a unidade responsável pela solicitação: e (iv) o período de utilização, quando aplicável.
Destaca-se que cada identidade deverá ser associada a uma única pessoa ou entidade não humana, sendo vedado o compartilhamento de identidades digitais. As informações associadas às identidades digitais deverão ser mantidas e atualizadas durante todo o seu ciclo de vida.
A suspensão será aplicada em casos de afastamento, indisponibilidade temporária ou contenção imediata de incidentes e/ou riscos – sem exclusão da conta e/ou dados de auditoria.
O encerramento das identidades digitais ocorre quando cessa a necessidade ou o vínculo, acarretando a revogação imediata dos acessos, sendo vedada a reutilização e reassociação dessa identidade a terceiros.
As contas vinculadas a uma identidade digital válida, serão classificadas em individuais ou de serviço e em conta privilegiada – conta que possua permissões elevadas – ou não privilegiada.
A norma dispõe ainda sobre a autenticação, que deverá assegurar nível de confiança de acordo com a criticidade do ativo de informação ou do recurso da tecnologia de informação, considerados os riscos associados ao acesso e assegurando a rastreabilidade e a responsabilização das ações realizadas.
Por fim, estabelece revisão da norma a cada 2 anos ou sempre que ocorrerem incidentes graves ou alterações legislativas relevantes.
Clique aqui e acesse a íntegra da normativa
Atenciosamente
Deybson de S. Cipriano – Presidente da Federação Assespro
Adriano Krzyuy – Presidente da Assespro-PR