Portaria nº 1.135.25

VOLTAR

PORTARIA SEFAZ Nº 1.135, DE 24 DE NOVEMBRO DE 2025.

Altera a Política de Segurança da Informação, Equipamentos e das Comunicações – POSIEC, no âmbito da Secretaria de Estado da Fazenda, e adota outras providências.

O SECRETÁRIO DE ESTADO DA FAZENDA, no uso da atribuição que lhe confere o art. 42, § 1º, inciso II, da Constituição do Estado do Tocantins, e considerando a necessidade de atualizar e consolidar a Política de Segurança da Informação, Equipamentos e das Comunicações – POSIEC,

RESOLVE:

Art. 1º A Portaria Sefaz nº 811, de 13 de setembro de 2016, que dispõe sobre a Política de Segurança da Informação, Equipamentos e das Comunicações - POSIEC, passa a ter a seguinte redação:

“.......................................................................................................

Art. 9º Compete ao Superintendente de Tecnologia e Inovação Fazendária e ao Diretor Geral de Gestão Tecnológica, em conjunto ou separadamente:

................................................................................................................

Art. 14 A Política de Segurança da Informação, Equipamentos e das Comunicações – POSIEC disporá sobre:

I – acesso físico e lógico;

II – contas de usuários;

III – tratamento de dados;

IV – banco de dados;

V – recursos computacionais; e

VI – resposta a incidentes.

CAPÍTULO I

DO ACESSO FÍSICO E LÓGICO

Art. 15 São diretrizes do controle de acesso físico:

I – a Superintendência de Tecnologia e Inovação Fazendária – STIF e seus organismos adotarão controles que restrinjam a entrada e saída de visitantes, usuários internos, equipamentos e mídias, estabelecendo perímetros de segurança e habilitando o acesso apenas de pessoal autorizado;

II – os controles de acesso físico visam resguardar a segurança de equipamentos, documentos e suprimentos de tecnologia da informação;

III – é considerada área de segurança de acesso restrito toda a extensão da STIF e seus ambientes seguros, data centers, servidores, unidades de armazenamento, bancos de dados, geradores e veículos operacionais;

IV – os gestores da STIF e suas equipes de suporte técnico e manutenção terão perfis e níveis prioritários de acesso nas instalações, sistemas e equipamentos da SEFAZ.

Art. 16 São diretrizes do controle de acesso lógico:

I – os controles de acesso lógico compreendem procedimentos e recursos destinados a prevenir ou impedir ações que possam comprometer recursos computacionais, redes corporativas, aplicações, bancos de dados e sistemas de informação;

II – o acesso remoto por agentes externos, consultores ou prestadores de serviço deverá ser feito por usuário próprio, previamente autorizado pela STIF;

III – os data centers devem ser isolados, protegidos, de acesso restrito e monitorado por câmeras e outros meios de segurança, como chaves, portas seguras e identificação biométrica;

IV – as vulnerabilidades do ambiente de tecnologia devem ser avaliadas periodicamente, e as recomendações de segurança, divulgadas e adotadas pela SEFAZ.

Art. 17 A equipe de suporte técnico e manutenção de tecnologia terá permissão de acesso remoto às estações de trabalho sempre que necessário, independentemente de comunicação prévia, para cumprimento desta POSIEC.

CAPÍTULO II

DAS CONTAS DE USUÁRIOS

Art. 18 A administração das contas de usuários da rede SEFAZ e dos recursos de tecnologia da informação observará os seguintes critérios:

I – a conta de usuário é instrumento individual e intransferível de identificação na rede SEFAZ, sendo vedada sua divulgação;

II – o cadastramento de contas será submetido à STIF e efetuado mediante solicitação eletrônica via sistema de chamados de TI;

III – todos os usuários externos deverão assinar Termo de Responsabilidade e Compromisso (Anexo I);

IV – as contas de usuários seguirão padrão previamente definido e serão disponibilizadas por meio de certificado digital ou login e senha;

V – o usuário deve manter em sigilo suas credenciais de acesso, sob pena de responsabilidade.

Art. 19 Em casos especiais, a STIF poderá disponibilizar contas de usuário a outros órgãos ou agentes externos, mediante solicitação formal e justificativa.

Art. 20 A conta de usuário será cancelada quando ocorrer:

I – término do período autorizado para acesso, convênio ou similar;

II – perda da necessidade de utilização do serviço;

III – afastamento ou desligamento do usuário;

IV – identificação de vulnerabilidade, risco ou uso indevido;

V – inatividade da conta; ou

VI – inobservância da POSIEC.

Art. 21 Os perfis de acesso serão definidos pela STIF, conforme o tipo de serviço ou atribuição funcional.

Art. 22 Cada chefe de setor deve comunicar imediatamente os desligamentos, aposentadorias, afastamentos e movimentações que impliquem mudança de lotação.

CAPÍTULO III

DO TRATAMENTO DE DADOS

Art. 23 A classificação e o tratamento das informações no ambiente computacional da SEFAZ obedecerão às seguintes diretrizes:

I – todo ativo de dados e informações criado ou utilizado pela SEFAZ é bem institucional, devendo ser protegido, cuidado e gerenciado adequadamente;

II – o usuário somente poderá acessar informações e ambientes previamente autorizados;

III – o acesso aos dados é de responsabilidade individual e intransferível;

IV – o ambiente destinado a testes deve ser específico para esse fim;

V – as migrações de programas e dados para produção devem garantir integridade, disponibilidade e guarda de versões;

VI – os procedimentos de proteção e continuidade do uso da informação devem ser documentados;

VII – apenas o setor de suporte pode executar inserção, tratamento e remoção de programas, dados e aplicações;

VIII – toda informação crítica deve possuir cópia de segurança atualizada e protegida em servidor dedicado.

CAPÍTULO IV

DOS BANCOS DE DADOS

Art. 24 O acesso a bancos de dados sob licenciamento da SEFAZ será autorizado pelo titular da Diretoria de Infraestrutura, mediante assinatura de Termo de Responsabilidade e Sigilo, restrito a:

I – técnicos vinculados à STIF;

II – usuários de aplicação;

III – técnicos de auditoria e inteligência fiscal;

IV – usuários externos com vínculo contratual ativo ou institucional.

Art. 25 A execução de scripts ou exclusão de dados em bancos de dados deverá ser documentada para fins de auditoria.

Parágrafo único. É vedada a eliminação de registros e alteração de logs, exceto nas tabelas auxiliares.

Art. 26 As solicitações de acesso obedecerão ao rito de chamados, próprio da SEFAZ Tecnologia, a fim de facilitar a recuperação de permissões concedidas.

Art. 27 As credenciais de acesso deverão ser mantidas sob sigilo absoluto.

Art. 28 O bloqueio do acesso será determinado ex officio pela STIF em caso de falha de segurança ou determinação superior, independente de formalidade.

Parágrafo único. As contas permanecerão bloqueadas até nova solicitação formal, não sendo permitida sua exclusão para fins de auditoria.

CAPÍTULO V

DOS RECURSOS COMPUTACIONAIS

Art. 29 Os recursos computacionais disponíveis na SEFAZ obedecerão a critérios e procedimentos relativos ao uso, manuseio, controle, administração e requisitos mínimos de segurança.

Art. 30 São diretrizes gerais aplicáveis aos recursos computacionais:

I – o usuário deve ter acesso apenas aos recursos computacionais indispensáveis à execução de suas atividades funcionais;

II – as solicitações de manutenção ou suporte técnico deverão ser formalizadas exclusivamente pelo sistema oficial de chamados de tecnologia da informação;

III – o uso dos recursos de tecnologia para fins pessoais será admitido apenas em nível mínimo, mediante autorização expressa e observância da legislação vigente;

IV – o usuário é responsável pelos recursos computacionais sob sua utilização, devendo realizar, diariamente, o login e o logout, assegurando a integridade de suas credenciais;

V – os ambientes em que se encontrem instalados ou armazenados os recursos computacionais devem permanecer protegidos, inclusive na ausência do usuário;

VI – todos os equipamentos e dispositivos de informática deverão ser comissionados com configuração compatível com as normas técnicas e de segurança do domínio SEFAZ;

VII – o usuário deve zelar pela conservação dos equipamentos sob sua responsabilidade, evitando fumar, ingerir alimentos, manipular líquidos ou produtos químicos em sua proximidade;

VIII – em caso de dano, inutilização, roubo, furto ou extravio de equipamento, o usuário deverá registrar boletim de ocorrência, quando cabível, e comunicar o fato, formalmente, ao setor competente da SEFAZ;

IX – serão removidos, sem prévio aviso, softwares ou equipamentos instalados ou conectados à rede corporativa que não observem os critérios estabelecidos nesta norma, sem prejuízo das medidas disciplinares cabíveis;

X – apenas os técnicos de suporte e profissionais da STIF poderão deter credenciais de administrador, mediante prévia autorização e para fins estritamente funcionais.

Art. 31 É vedado ao usuário dos recursos computacionais da SEFAZ, sob pena de responsabilidade administrativa e disciplinar:

I - utilizar a identificação, login ou senha de outro usuário;

II - explorar falhas de configuração ou segurança, ou tentar obter conhecimento de senhas ou direitos especiais de acesso;

III - fornecer a terceiros informações sobre características, funcionalidades ou configurações dos recursos de tecnologia da informação da SEFAZ, salvo quando necessário ao exercício de atribuições funcionais;

IV - instalar, emular ou utilizar softwares ou hardware sem licença ou que permitam acessos indevidos a sites bloqueados ou recursos de navegação não autorizados;

V - reproduzir ou distribuir cópias de softwares adquiridos pela SEFAZ;

VI - instalar ou alterar softwares ou hardware que possam comprometer a integridade dos sistemas, tais como jogos eletrônicos, vírus, robôs, malware e congêneres;

VII - instalar softwares ou hardware não homologados, ainda que gratuitos, de domínio público ou em versão de demonstração;

VIII - utilizar indevidamente a Rede Privada Virtual – VPN ou os sistemas acessados por seu intermédio;

IX - divulgar, total ou parcialmente, relatórios, planilhas, fórmulas, cópias, dados financeiros, contábeis, orçamentários ou fiscais contidos em qualquer meio, suporte ou formato;

X - acessar, armazenar ou divulgar material de natureza pornográfica, discriminatória ou ofensiva, relacionado a raça, cor, etnia, política, religião ou procedência;

XI - criar ou remover arquivos fora da área de armazenamento destinada ao usuário, ou de modo a comprometer o desempenho dos sistemas;

XII - copiar, total ou parcialmente, bases de dados da SEFAZ para fins particulares;

XIII - utilizar os recursos de impressão da SEFAZ para fins pessoais;

XIV - conectar dispositivos não autorizados à rede local, especialmente equipamentos sem fio ou que permitam conexão simultânea com outras redes.

XV - deletar arquivos criados e armazenados, de uso coletivo do setor, considerados ativos de valor institucional.

§1º Identificada ocorrência em desacordo com esta norma, os gestores da STIF poderão, ex offício, excluir ou isolar arquivos, revogar acessos ou requisitar o equipamento, comunicando o fato à autoridade competente para apuração.

§2º A SEFAZ reserva-se o direito de realizar investigações, locais ou remotas, em quaisquer equipamentos integrantes de sua rede.

Art. 32 Consideram-se recursos computacionais específicos:

I – Estações de trabalho:

a) as estações de trabalho destinam-se exclusivamente à execução de atividades de interesse da SEFAZ e todo arquivo produzido é ativo de valor;

b) o usuário deverá bloqueá-las sempre que se ausentar, a fim de impedir acessos não autorizados;

c) a configuração do ambiente operacional somente poderá ser alterada por técnico de suporte autorizado;

d) o usuário deve ligar e desligar o equipamento de forma adequada e segura;

e) é vedado deixar a estação de trabalho ligada fora do expediente, em fins de semana ou feriados;

f) necessidades de atualização deverão ser comunicadas pelo sistema de chamados;

g) as estações de trabalho deverão possuir antivírus homologado e atualizado pela SEFAZ;

h) o antivírus deve ser executado obrigatoriamente em todos os dispositivos antes de sua abertura;

i) o processo automático de verificação não poderá ser interrompido;

j) arquivos salvos em disco local não terão garantia de recuperação em caso de manutenção;

k) o compartilhamento de diretórios e arquivos somente será permitido quando indispensável e mediante solicitação formal à STIF.

II – Equipamentos portáteis:

a) devem observar as mesmas regras aplicáveis às estações de trabalho e estar vinculados ao domínio SEFAZ;

b) deverão ser armazenados em local seguro, com controle de acesso e integridade garantida;

c) apenas técnicos vinculados à STIF e autorizados poderão configurá-los;

d) o usuário deve evitar armazenar informações confidenciais nesses dispositivos.

III – Servidores de aplicações, redes e web:

a) deverão ser instalados em salas seguras, construídas para essa finalidade;

b) somente técnicos autorizados terão acesso;

c) deverão operar com sistemas devidamente licenciados;

d) o acesso será restrito à equipe técnica da STIF.

IV – Servidores de arquivo:

a) destinam-se ao armazenamento de documentos de interesse institucional;

b) as permissões de acesso deverão ser concedidas por grupos funcionais;

c) o acesso a pastas ou arquivos dependerá de solicitação formal;

d) os arquivos de cada setor deverão ser mantidos em suas pastas correspondentes, garantindo o backup;

e) somente documentos de interesse institucional poderão ser gravados;

f) o compartilhamento deverá restringir-se aos diretórios necessários, sendo vedado o compartilhamento do diretório raiz.

V – Ativos de rede:

a) as portas dos switches deverão permanecer ativas apenas quando utilizadas e inventariadas;

b) switchs e access points devem possuir controle de acesso;

c) roteadores deverão utilizar, no mínimo, listas de controle de acesso (ACLs) e filtros de pacotes;

d) os ativos deverão ser instalados em local seguro, preferencialmente em racks fechados;

e) a instalação dependerá de homologação e adequação aos padrões definidos pela STIF;

f) intervenções na rede somente poderão ocorrer sob supervisão de técnico autorizado;

g) é vedada qualquer tentativa de acesso não autorizado;

h) testes técnicos deverão ser realizados em segmento de rede independente.

VI – Rede sem fio:

a) a SEFAZ disponibilizará rede sem fio (Wi-Fi) ao contribuinte e a usuários internos, sem custo;

b) a rede Wi-Fi corporativa terá caráter complementar, dada a eventual instabilidade de sinal;

c) o acesso dependerá de autenticação por protocolo seguro;

d) equipamentos conectados à rede Wi-Fi deverão observar todas as normas desta POSIEC;

e) somente técnicos autorizados poderão configurar GPO (Group Policy Object) e diretivas de segurança da rede;

f) caberá aos técnicos instruir os usuários sobre o acesso seguro.

VII – Impressoras:

a) somente técnicos autorizados pela STIF poderão alterar configurações;

b) é vedado deixar informações sigilosas ou sensíveis em impressoras acessíveis a terceiros.

VIII – Softwares:

a) somente poderão ser utilizados softwares homologados, licenciados e necessários à execução das atividades;

b) deverá ser mantido registro atualizado de licenças e instalações;

c) o processo de homologação deverá considerar o impacto na segurança da informação e a compatibilidade técnica;

d) a instalação e utilização estão condicionadas:

e) à quantidade de licenças disponíveis;

f) à compatibilidade com as funções do setor;

g) à aderência à matriz de softwares adotada pela SEFAZ;

h) ao desempenho do ambiente computacional;

i) à inexistência de prejuízo a outros setores.

IX – Manutenção e suporte:

a) as solicitações deverão ser registradas pelo sistema oficial de chamados;

b) a equipe de suporte deverá estar devidamente identificada;

c) os serviços só poderão ser prestados em equipamentos da SEFAZ ou formalmente cedidos;

d) o usuário deverá acompanhar o técnico durante a manutenção;

e) equipamentos deslocados para manutenção deverão estar identificados e embalados;

f) os dados institucionais deverão ser excluídos previamente à saída do equipamento;

g) a retirada de equipamentos de TIC dependerá de autorização da STIF, exceto nos casos de suporte interno;

h) o usuário deve guardar o número do chamado para controle e acompanhamento.

X – Controle e administração de recursos computacionais:

a) todos os recursos deverão ser identificados e inventariados;

b) equipamentos de fornecedores deverão ser controlados na entrada e saída das dependências;

c) a STIF deverá garantir a qualidade e disponibilidade dos serviços, bem como indicar necessidades de aquisição;

d) novas implementações e atualizações dependerão de homologação prévia;

e) todos os recursos computacionais serão monitorados e administrados pela STIF.

Art. 33 Em casos justificados, a SEFAZ poderá prover segmento de rede independente, de forma a permitir o compartilhamento de sua infraestrutura de tecnologia da informação sem comprometer o desempenho e a segurança, mediante autorização prévia da STIF.

Art. 34 A instalação de novas redes no domínio SEFAZ deverá dispor de links próprios e segmentação por VLANs, de modo a preservar o desempenho e a segurança da rede corporativa.

CAPÍTULO VI

DA RESPOSTA A INCIDENTES

Art. 35 A STIF designará uma Equipe de Tratamento e Resposta a Incidentes – ETRI, coordenada pelo Diretor de Infraestrutura e composta pelos diretores e gerentes das áreas técnicas da STIF.

Art. 36 Compete à ETRI:

I – gerenciar o tratamento e a resposta a incidentes;

II – detectar e analisar ameaças aos recursos computacionais;

III – realizar auditorias e testes de segurança da rede;

V – propor medidas preventivas e corretivas;

VI – manter acervo de informações sobre incidentes;

VII – acompanhar indicadores de segurança e eficácia de controles;

IX – compilar informações quantitativas sobre incidentes; e

X – executar outras atividades correlatas.

Art. 37 Consideram-se incidentes quaisquer falhas, anomalias, indisponibilidades, ameaças ou vulnerabilidades observadas no acesso à rede e aos recursos computacionais da SEFAZ.

.......................................................................................................”

Art. 2º Esta portaria entra em vigor na data de sua publicação.

Art. 3º Revogam-se as disposições em contrário.

JAIRO SOARES MARIANO

Secretário de Estado da Fazenda

GUILHERME SALES CARVALHO

Superintendente de Tecnologia e Inovação Fazendária

GEORGE ARTUR FERREIRA SARMENTO

Diretor-Geral de Gestão Tecnológica