Notas:

1) Revogada pela Portaria PGFN nº 531, de 17.12.2002, DOU 19.12.2002.

2) Assim dispunha a Portaria revogada:

"O Procurador-Geral da Fazenda Nacional, no uso das atribuições que lhe conferem os incisos XIII e XVIII do art. 49 do Regimento Interno da PGFN, aprovado pela Portaria nº 138, de 1º de julho de 1997, e tendo em vista a necessidade de regulamentar a segurança e o controle de acesso lógico aos sistemas informatizados da Procuradoria-Geral da Fazenda Nacional, resolve:

Das Disposições Gerais

Art. 1º Os sistemas informatizados da Procuradoria-Geral da Fazenda Nacional - PGFN observarão as normas de segurança e de controle de acesso lógico em conformidade com o disposto nesta Portaria.

Art. 2º Para efeitos desta Portaria entende-se por:

I - Acesso cooperativo: a transferência direta de informações entre o computador do usuário e o computador central;

II - acesso motivado: aquele realizado para fins estranhos às tarefas do servidor;

III - acesso lógico: a operação de atualização e consulta de dados e informações em um sistema;

IV - acesso por transferência de arquivo: a formatação de dados em um computador e sua transmissão a outro computador;

V - ambiente de desenvolvimento: o conjunto de recursos utilizados para construir, testar e manter sistemas;

VI - ambiente de homologação: o conjunto de recursos utilizados para verificar se o sistema funciona conforme a especificação;

VII - ambiente de produção: o conjunto de recursos onde são executados os sistemas com dados reais e operações válidas no ambiente administrativo;

VIII - ambiente de treinamento: o conjunto de recursos utilizados para capacitar usuários nas funcionalidades dos sistemas;

IX - cadastrador-geral: servidor da Procuradoria-Geral da Fazenda Nacional, designado por portaria, para, utilizando o Sistema de Controle de Acesso Senha-Rede, cadastrar usuários e cadastradores parciais e habilitá-los no uso de sistemas, no ambiente de produção. No caso de ambiente de treinamento, homologação e de desenvolvimento o cadastrador-geral será um funcionário do Serviço Federal de Processamento de Dados - SERPRO, designado pelo seu Superintendente para as mesmas funções;

X - cadastrador-parcial: servidor da Procuradoria-Geral da Fazenda Nacional, designado pelo Cadastrador-Geral, para, utilizando o Sistema de Controle de Acesso Senha-Rede, cadastrar usuários e habilitá-los no uso de sistemas, no ambiente de produção, no perfil por ele determinado. No caso de ambiente de treinamento, homologação e de desenvolvimento o cadastrador-parcial será um funcionário do Serviço Federal de Processamento de Dados - SERPRO, designado pelo seu Superintendente para as mesmas funções;

XI - cadastramento: procedimento de inclusão de sistemas ou usuários no sistema de controle de acesso Senha-Rede;

XII - confidencialidade: a garantia de sigilo das informações;

XIII - disponibilidade: o princípio de segurança que trata da entrega tempestiva da informação, a usuários e processos autorizados;

XIV - gestor de sistema: o servidor da PGFN, designado por portaria, responsável pela definição e manutenção do respectivo sistema;

XV - administrador do sistema: funcionário do SERPRO, designado pelo seu Superintendente de Negócios, responsável pela criação dos sistemas, cadastramento e habilitação dos Cadastradores-Gerais da PGFN e do SERPRO;

XVI - habilitação: o procedimento que permite ao usuário cadastrado acessar sistemas;

XVII - integridade: o princípio de segurança que trata da confiabilidade da informação;

XVIII - log: o registro das atividades relativas às ações realizadas sobre os dados de um sistema e da identificação do Usuário que a executou;

XIX - perfil: o subconjunto de transações de um sistema, que define a abrangência de atuação de um Cadastrador ou Usuário;

XX - transação: um programa executável do sistema;

XXI - titular da unidade: os titulares da unidade central ou das unidades descentralizadas da PGFN, onde estiverem lotados os usuários;

XXII - usuário: a pessoa ou processo autorizado ao uso de determinada informação ou conjunto de dados.

Parágrafo único. São deferidas aos Procuradores-Gerais Adjuntos, Coordenadores-Gerais da PGFN e aos Titulares de similar nível dos outros órgãos, as mesmas competências e obrigações previstas no inciso XXI, deste artigo.

Art. 3º São Usuários dos sistemas informatizados da PGFN:

I - Os servidores da PGFN;

II - os servidores da Secretaria da Receita Federal - SRF;

III - os servidores do SERPRO em atividade na PGFN;

IV - os servidores do SERPRO da área de desenvolvimento e manutenção dos sistemas designados pelo seu superintendente;

V - os estagiários da PGFN.

VI - os servidores de outros Órgãos Públicos Federais, mediante Acordo de Cooperação Técnica.

Art. 4º As formas de acesso aos sistemas informatizados da PGFN são:

I - Acesso cooperativo;

II - acesso lógico;

III - acesso por transferência de arquivos.

Art. 5º Os gestores do sistema de controle de acesso aos sistemas informatizados da PGFN possuem as seguintes atribuições:

I - definir e manter atualizada a relação de perfis e transações estabelecidas para utilização dos sistemas informatizados;

II - definir e classificar os perfis de usuários que serão habilitados nos sistemas informatizados da PGFN;

III - determinar, quando for necessária, a execução de transações dos sistemas em locais específicos.

Art. 6º A autorização para acesso aos sistemas informatizados da PGFN observará o seguinte:

I - ao administrador do sistema de controle de acesso Senha-Rede, funcionário do Serviço Federal de Processamento Dados - SERPRO, designado pelo seu Superintendente de Negócios, cabe:

a) criar os sistemas informatizados da PGFN, nos ambientes de desenvolvimento, homologação, produção e treinamento;

b) cadastrar e descadastrar o cadastrador-geral no Sistema de Controle de Acesso Senha-Rede;

c) manter atualizado o arquivo contendo as solicitações de cadastramento e descadastramento do cadastrador geral, pelo período de cinco anos.

II - Ao cadastrador-geral, no ambiente de sua responsabilidade, cabe:

a) cadastrar os perfis e respectivas transações estabelecidas pelos gestores dos sistemas;

b) cadastrar e descadastrar o cadastrador parcial no Sistema de Controle de Acesso Senha-Rede;

c) definir em quais perfis o cadastrador parcial está autorizado a habilitar e desabilitar usuários;

d) cadastrar e excluir do cadastro os usuários no Sistema de Controle de Acesso Senha-Rede e nos sistemas informatizados da PGFN;

e) habilitar, desabilitar, reativar, desativar, desbloquear e trocar senha dos usuários;

f) orientar os usuários na execução e desempenho de suas atividades;

g) manter atualizado o arquivo contendo os formulários, referentes aos últimos cinco anos, de cadastramento, exclusão do cadastro, habilitação, desabilitação, reativação e desativação dos usuários sob sua supervisão, bem como os atos formais que os nomearam para exercer suas funções.

III - Ao Cadastrador-Parcial, no ambiente de sua responsabilidade, cabe:

a) cadastrar e excluir do cadastro os usuários no Sistema de Controle de Acesso Senha-Rede e nos sistemas informatizados da PGFN;

b) habilitar, desabilitar, reativar, desativar, desbloquear e trocar senha dos usuários;

c) orientar os usuários na execução e desempenho de suas atividades;

d) manter atualizado o arquivo contendo os formulários dos últimos cinco anos de cadastramento, exclusão do cadastro, habilitação, desabilitação, reativação e desativação dos usuários sob sua supervisão, bem como os atos formais que os nomearam para exercer suas funções.

IV - Ao titular da unidade, cabe:

a) auditar, a cada seis meses, as habilitações por ele autorizadas;

b) solicitar a desabilitação dos usuários, no caso de transferência de unidade;

c) solicitar a exclusão dos usuários no caso de desligamento da PGFN;

d) solicitar o descadastramento do usuário nos casos de afastamento das funções inerentes à habilitação/cadastramento.

Art. 7º A solicitação de cadastramento no sistema de controle de acesso Senha-Rede, a habilitação dos usuários nos sistemas informatizados da PGFN e a reativação de senha far-se-ão por intermédio de formulário, conforme modelo anexo a esta Portaria, observando-se o seguinte:

I - as autorizações de acesso devem ser definidas de acordo com a necessidade de condução das tarefas, considerando o princípio dos privilégios mínimos (ter acesso apenas aos sistemas, transações e recursos necessários para a condução de tarefas), sendo esta definição de estrita responsabilidade do titular da unidade em que trabalhar o usuário.

II - o perfil de acesso observará o conjunto de transações inerentes aos níveis estabelecidos pelos Gestores dos sistemas informatizados;

Parágrafo único. Aos servidores dos outros órgãos somente será permitida consulta aos dados dos sistemas.

Art. 8º Os sistemas informatizados da PGFN deverão ser controlados e protegidos contra ações intencionais ou acidentais que impliquem perda, destruição, inserção, cópia, acesso e alterações indevidas, em conformidade com os princípios da confidencialidade, integridade e disponibilidade.

§ 1º O Sistema de controle de acesso deverá prover as funções de:

a) autorização, identificação e autenticação, acesso controlado, contabilização e auditoria;

b) validação do número de inscrição no Cadastro de Pessoas Físicas e o respectivo nome do usuário ou cadastrador, em relação ao sistema de Cadastro de Pessoas Físicas da Secretaria da Receita Federal;

c) proteção das informações dos sistemas informatizados da PGFN contra o uso não autorizado;

d) manutenção da integridade dos dados armazenados e rotinas de segurança inerentes aos sistemas;

e) exibir na tela inicial mensagem informando que o serviço só pode ser utilizado por Usuários autorizados.

§ 2º O Log deverá:

a) assegurar a preservação dos dados relativos às transações realizadas nos sistemas, com a identificação do Usuário, local e horário de acesso;

b) permitir a contabilização do uso, auditoria e recuperação nas situações de falhas.

§ 3º As senhas devem ser individuais, secretas, intransferíveis e protegidas com o grau de segurança compatível com a informação associada.

§ 4º O arquivo de senhas deve ser criptografado e o acesso a ele controlado.

§ 5º A distribuição de senhas aos Usuários será feita, por telefone, diretamente ao interessado após ser devidamente identificado.

Esta senha, gerada pelo sistema, deve ser trocada no primeiro acesso.

§ 6º O sistema de acesso deve permitir ao Usuário alterar sua senha sempre que desejar.

§ 7º A senha digitada não deve ser exibida.

§ 8º As senhas serão:

a) bloqueadas, após três tentativas de acesso frustradas;

b) inativadas, caso não haja acesso por período de 45 dias;

c) excluídas, caso não haja acesso no período de 90 dias.

§ 9º A troca ou liberação de uma senha bloqueada só deve ser executada após a identificação do usuário, podendo ser solicitada por telefone.

§ 10. O sistema solicitará nova autenticação do usuário após certo tempo de inatividade da sessão (time-out), definido pelo gestor do sistema.

Art. 9º A produção, homologação, desenvolvimento e treinamento dos sistemas informatizados da PGFN utilizarão ambientes específicos.

Art. 10. Qualquer infringência às regras estabelecidas para o uso dos sistemas informatizados da PGFN deverá ser informada ao titular da unidade de ocorrência do fato, para fins de apuração de responsabilidade.

Dos Deveres, Responsabilidades e Penalidades Institucionais e Funcionais:

Art. 11. É de responsabilidade de todos os servidores cuidar da integridade, confidencialidade e disponibilidade dos dados, informações e sistemas da PGFN, devendo comunicar por escrito ao titular da unidade quaisquer irregularidades, desvios ou falhas identificadas.

§ 1º O direito de acesso do usuário é intransferível.

§ 2º É proibida a exploração de falhas ou vulnerabilidades porventura existentes nos sistemas.

§ 3º O acesso à informação não garante direito sobre a mesma nem confere autoridade para liberar acesso a outras pessoas.

§ 4º É proibida a divulgação de dados obtidos dos sistemas informatizados para servidores e funcionários públicos que não estejam envolvidos nos trabalhos objeto das consultas.

§ 5º Os usuários e cadastradores devem manter suas senhas de acesso secretas, não podendo deixar qualquer sistema em condições de ser acessado por terceiros.

Art. 12. O tráfego de informações em rede deve ser protegido contra danos, perdas, indisponibilidades ou uso ou exposição indevidos, de acordo com seu valor, criticidade e confidencialidade.

Art. 13. As redes locais da PGFN devem adotar e manter procedimentos de cópia de segurança (backup) e recuperação, procedimentos de combate a vírus, bem como utilizar somente programas (softwares) autorizados.

Parágrafo único. As estações de trabalho instaladas nas redes locais da PGFN devem possuir controle de acesso lógico individual.

Art. 14. É responsabilidade do titular da unidade iniciar ação preventiva e corretiva apropriada para corrigir os desvios com relação às normas desta portaria ou procedimentos de segurança dentro de sua área de atuação, comunicando o fato aos gestores dos sistemas informatizados da PGFN.

Art. 15. O descumprimento das disposições desta portaria caracterizará infração funcional, a ser apurada em processo administrativo disciplinar, sem prejuízo da responsabilidade penal e civil.

Art. 16. O acesso imotivado aos serviços informatizados da PGFN constitui, sem prejuízo da responsabilidade civil e penal, infração funcional de descumprimento de normas legais ou regulamentares, tipificada no art. 116, incisos I e III, da Lei nº 8.112, de 11 de dezembro de 1990.

Art. 17. Constitui descumprimento de normas legais e regulamentares e quebra de sigilo funcional de que tratam os incisos III e VIII do art. 116 da Lei nº 8.112, de 1990, a divulgação de dados dos sistemas informatizados para servidores da PGFN que não estejam envolvidos nos trabalhos objeto das consultas.

Art. 18. Ressalvadas as hipóteses de requisições legalmente autorizadas, constitui infração funcional de revelação de segredo do qual se apropriou em razão do cargo, tipificada no inciso IX do art. 132 da Lei nº 8.112, de 1990, a divulgação, a quem não seja servidor da PGFN e da SRF, de informações dos sistemas informatizados protegidas pelo sigilo fiscal, sujeitando o infrator à penalidade de demissão, independentemente de sanção prevista no Capítulo I do Título XI do Decreto-Lei nº 2.848, de 1940 (Código Penal).

Art. 19. Sem prejuízo da responsabilidade penal e civil, na forma dos arts. 121 a 125 da Lei nº 8.112, de 1990, e de outras infrações disciplinares, constitui falta de zelo e dedicação às atribuições do cargo e descumprimento de normas legais e regulamentares, na forma dos incisos I e III do art. 116 da Lei nº 8.112, de 1990, não proceder o servidor com o devido cuidado na guarda e utilização da senha ou cedê-la a outro servidor, ainda que habilitado.

Das Disposições Finais

Art. 20. Os cadastradores e usuários dos sistemas informatizados da PGFN que se encontrem habilitados na data da publicação desta Portaria devem ser recadastrados no prazo de 90 dias, sob pena de exclusão.

Art. 21. Fica revogada a Portaria 403, de 06.08.1999.

Art. 22. Esta Portaria entra em vigor na data de sua publicação.

ALMIR MARTINS BASTOS

ANEXO