O PREFEITO MUNICIPAL DE CARIACICA, no uso das atribuições que lhe são conferidas pelo artigo 90, IX da Lei Orgânica Municipal e em conformidade com o que estabelece o parágrafo único do artigo 3º do Decreto nº 163/2024;
CONSIDERANDO o Decreto nº 157/2017, que dispõe sobre a política de Segurança da Informação no âmbito da administração municipal;
CONSIDERANDO a Lei Federal nº 13.709/2018, que versa sobre a Lei Geral de Proteção de Dados Pessoais (LGPD);
CONSIDERANDO a Lei Federal nº 12.527/2011 que versa sobre a Lei de Acesso à Informação (LAI);
CONSIDERANDO o que dispõe o Framework Information Technology Infrastructure Library – ITIL, v. 4, conjunto de boas práticas a serem aplicadas na infraestrutura, operação e gerenciamento de serviços de TI;
CONSIDERANDO o que dispõe o Guia do Framework de Privacidade e Segurança da Informação, Controle 11, Recuperação de Dados;
CONSIDERANDO a importância de se estabelecer objetivos, princípios e diretrizes de Segurança da Informação alinhados às recomendações constantes da norma NBR ISO/IEC 27001:2022, que trata da segurança da informação;
CONSIDERANDO a Lei Federal nº 14.129/2021, que versa sobre a Lei do Governo Digital, que define o Governo Digital como a gestão pública em que a tecnologia é utilizada para transformar serviços, melhorar a eficiência e a transparência, e promover a participação do cidadão;
CONSIDERANDO a Lei Federal nº 8.159/1991 que
versa sobre a política nacional de arquivos públicos e privados; Decreta
Art. 1º Instituir a Política de Cópia de Segurança (Backup) e Restauração de
Dados (Restore) no âmbito da Prefeitura Municipal de
Cariacica.
§ 1º Entende-se por backup a cópia das informações armazenadas nos
equipamentos e servidores utilizados para prover os serviços tecnológicos
oferecidos pela Prefeitura Municipal de Cariacica.
§ 2º Entende-se por restore a recuperação da
informação copiada.
Art. 2º Para os fins deste Decreto, considera-se:
I - Backup:
cópia de segurança gerada para possibilitar o acesso ou recuperação futura dos
dados pertinentes à Prefeitura Municipal de Cariacica/ES, tem por finalidade
garantir a recuperação contra desastres, falhas ou comprometimento da
integridade, além de permitir o controle histórico, rastreabilidade, auditoria,
retorno ao estado anterior, entre outros;
II –
Administrador do backup: profissional da unidade responsável pelo planejamento
de soluções de backup, procedimentos de configuração, execução, monitoramento,
testes de backup, definição de padrões, configurações e atendimento avançado de
resolução de incidentes e problemas;
III –
Administrador do recurso: profissional da unidade responsável pela operação dos
serviços ou equipamentos;
IV – Tempo
de retenção: tempo que permanecerá disponível o backup das informações para
eventual restauração;
V – Backup
completo: modalidade de backup em que todos os dados a serem salvaguardados são
copiados integralmente (cópia de segurança completa) para uma unidade de
armazenamento, independentemente de terem sido ou não alterados desde o último
backup;
VI –
Backup incremental: modalidade de backup em que são salvaguardados apenas os
dados novos ou modificados desde o último backup de qualquer modalidade
efetuado;
VII –
Backup diferencial: modalidade de backup em que são salvaguardados apenas dados
novos ou modificados desde o último backup completo efetuado;
VIII –
Periodicidade de backup: frequência em que ocorrerá o backup;
IX –
Mídia: meio físico ou virtual no qual efetivamente armazenam-se os dados de um
backup.
X –
Criticidade: grau de importância dos dados para a continuidade das atividades e
serviços da organização;
XI –
Descarte: eliminação correta de dados, documentos, unidades de armazenamento e
acervos digitais;
XII –
Disponibilidade: garantia de que o dado esteja acessível e utilizável sob
demanda de pessoa física ou determinado serviço de TI, órgão ou entidade
devidamente autorizados;
XIII – Janela
de backup: período durante o qual cópias de segurança sob execução agendada ou
manual poderão ser executadas;
XIV –
Gestor negocial: agente público formalmente responsável pela administração de
serviço de TI e pelas informações produzidas em seu processo de trabalho;
XV –
Unidade de armazenamento de backup: unidade de armazenamento com
características específicas para retenção de cópia de segurança de dados
digitais;
XVI – RTO
(Recovery Time Objective) – Objetivo do Tempo de
Recuperação: indicador que mensura o tempo máximo em que um sistema ou uma
informação pode ficar indisponível após uma falha;
XVII – RPO
(Recovery Point Objective) – Ponto Objetivo de
Recuperação: indicador utilizado para apurar a quantidade de recursos mínimos a
serem recuperados em caso de falhas ou perda de dados; e
XVIII -
Ferramenta de administração de backup e restore:
Conjunto de programas especializados no planejamento, identificação,
processamento e controle de backup e restore.
Art. 3º A Política de Backup define diretrizes, responsabilidades e
competências que visam à segurança, à proteção e à disponibilidade dos dados
digitais custodiados pelos administradores de backup e administradores de
recursos, com o objetivo de manter a continuidade do negócio da Prefeitura
Municipal de Cariacica.
Parágrafo único. Todos os procedimentos previstos neste
Decreto deverão observar as disposições da Lei Geral de Proteção de Dados
Pessoais (Lei nº 13.709/2018), no que tange a, controle de acesso não
autorizado, destruição, perda, alteração indevida, criptografia, logs e
auditorias, descartes seguros, e da Lei nº 8.159/1991, observando-se os prazos
de guarda previstos nas tabelas de temporalidade a serem definidos pelas
Secretarias Municipais em conformidade com a referida Lei, bem como as
restrições da Lei de Acesso à Informação.
Art. 4º Todos os serviços críticos da Prefeitura de Cariacica deverão ser
incluídos no processo de backup, conforme definido no Plano de Continuidade.
§ 1º A Política de Backup engloba como escopo todas as informações contidas
em Servidores de Arquivos, de Aplicações, de Banco de Dados, de Comunicação
(e-mail/mensagens) e demais Sistemas Críticos.
§ 2º Informações armazenadas localmente nas estações de trabalho não farão
parte do escopo do backup.
Art. 5º Na ausência de Plano de Continuidade, os serviços que estão inclusos no
processo de backup serão definidos pela Subsecretaria de Tecnologia da
Informação da Secretaria Municipal de Finanças (SUBTI)
Art. 6º Para a inclusão de um novo serviço na rotina deverá ser feita
comunicação à SUBTI.
Parágrafo único. A solicitação que trata o caput deste artigo
deverá ser formalizada pelo sistema de gerenciamento de chamados utilizado pela
Prefeitura Municipal de Cariacica e direcionada para o Administrador do backup.
Art. 7º Os Gestores negociais deverão ter ciência do tempo de retenção
estabelecido para cada tipo de informação e o Administrador de backup deverá
zelar pelo cumprimento das diretrizes estabelecidas neste Decreto.
Parágrafo único. As disposições tratadas em normativa
complementar, deverão se utilizar de Instruções Normativas da Subsecretaria de
Tecnologia da Informação (SUBTI), que estabelecerá as frequências de backup, os
critérios de amostragem para testes, os padrões técnicos e os mecanismos de
proteção diferenciados, assim como as disposições do parágrafo único do artigo
terceiro deste Decreto.
Art. 8º O serviço de backup deve ser orientado para a restauração das
informações no menor tempo possível, principalmente havendo indisponibilidade
de serviços que dependam da operação de restore.
Art. 9º Todas as falhas nos procedimentos de backups deverão ser tratadas pelo
Administrador do backup e, em caso de falha, o administrador deste recurso
deverá ser notificado.
Art. 10 As rotinas de backup devem possuir requisitos mínimos diferenciados de
acordo com o tipo de serviço de TI ou dado salvaguardado, com prioridade para
os serviços de TI classificados como críticos.
Art. 11 A administração dos serviços de backup deve seguir os requisitos de segurança definidos pela Subsecretaria de Tecnologia da Informação.
Parágrafo único. O descumprimento injustificado das obrigações previstas neste Decreto poderá ensejar responsabilização administrativa, nos termos do Estatuto dos Servidores Públicos, sem prejuízo de eventual responsabilização civil e penal, quando cabível.
Art. 12 Caberá ao Administrador do Backup:
I – Definir os requisitos de segurança para o armazenamento dos dados digitais;
II –Efetuar auditorias periódicas sobre as contas administrativas do ambiente de armazenamento dos dados digitais;
III – Definir critérios de segurança para processos de geração da cópia de segurança dos bancos de dados;
IV – Definir requisitos de segurança para recuperação de dados pontuais;
V - Configurar as soluções de backup;
VI - Aplicar as políticas de arquivamento de acordo com a normas definidas;
VII - Definir os procedimentos de restauração e neles auxiliar;
VIII - Verificar os eventos gerados pela solução de backup, tomando as providências necessárias para remediação de eventuais falhas;
IX - Tomar medidas preventivas para evitar falhas;
X - Reportar imediatamente ao setor a que está subordinado os incidentes ou erros que causem indisponibilidade ou impossibilitem a execução ou restauração de backups;
XI - Gerenciar mensagens e registros de auditoria (LOGs) de execução dos backups;
XII - Disponibilizar informações que subsidiem as decisões referentes à gestão de capacidade relacionada aos backups;
XIII - Propor modificações visando o aperfeiçoamento da Política de Backup e Recuperação de Dados Digitais; e
XIV - Providenciar a execução dos testes de restauração.
Art. 13 Caberá ao Operador de Backup:
I – Apoiar na definição dos prazos de retenção de dados junto aos gestores negociais;
II – Auxiliar na definição da periodicidade das cópias de segurança junto aos gestores negociais;
III – Certificar que as cópias de segurança são realizadas conforme definição dos gestores negociais;
IV – Acompanhar a execução dos backups por meio das ferramentas de monitoramento disponíveis para esse objetivo;
V – Configurar as soluções de backup;
VI – Restaurar ou recuperar os backups em caso de necessidade;
VII - Operar e manusear as unidades de armazenamento de backups;
VIII - Informar ao administrador de backup qualquer problema que impossibilite a criação ou restauração de um backup;
IX - Manter as unidades de armazenamento de backups preservadas, funcionais e seguras; e
X – Realizar periodicamente testes de restauração para averiguar os processos de backup e estabelecer melhorias.
Art. 14 Caberá aos Gestores Negociais:
I – Solicitar, formalmente, a salvaguarda das informações geridas e dar anuência à solicitação feita pela área técnica para recuperação de dados;
II – Validar, negocialmente, o resultado das restaurações eventualmente solicitadas;
III – Validar, negocialmente, o resultado dos testes de restauração dos backups; e
IV – Definir a frequência de realização do backup.
Art. 15 Os backups dos serviços de TI da Prefeitura Municipal de Cariacica devem
ser realizados utilizando-se de frequências temporais, a serem regulamentadas
em ato normativo complementar.
Art. 16 A solicitação de salvaguarda dos dados deve ser realizada pelas gerências
da SUBTI, com a anuência prévia e formal dos gestores negociais, refletindo os
requisitos de negócio da organização, bem como os requisitos de segurança da
informação envolvidos e a criticidade da informação para a continuidade da
operação da organização.
Art. 17 A recuperação de dados não será viabilizada em caso de perdas
anteriores à conclusão da cópia de segurança e os dados criados ou modificados
entre execuções de cópias de segurança subsequentes não serão protegidos por
soluções de backup.
Art. 18 A alteração das frequências e dos tempos de retenção estabelecidos
devem ser precedidos de solicitação e justificativa formais encaminhadas ao
administrador de backup pelo gestor negocial dono da informação.
Art. 19 Em casos onde se faça necessária a eliminação definitiva de dados, a
área responsável deverá formalizar a solicitação à equipe de backup, que
procederá à eliminação integral das cópias de segurança referentes ao período e
ao serviço requerido.
Parágrafo
único. A eliminação
integral de uma cópia de segurança é uma ação irreversível e resultará na perda
de todos os dados contidos no referido backup.
Art. 20 Os backups devem ser testados
periodicamente, com o objetivo de garantir a confiabilidade e a integridade dos
dados salvaguardados.
Art. 21 Os testes de restauração dos backups devem ser realizados por
amostragem, em equipamentos/servidores diferentes dos equipamentos que atendem
aos ambientes de produção uma vez por mês, observando os recursos humanos de TI
e tecnologias disponíveis, a fim de verificar backups bem-sucedidos.
Art. 22 Outras periodicidades, abrangências, procedimentos e as rotinas
inerentes aos testes de backup poderão ser definidos em processo específico a
ser elaborado pela Subsecretaria de tecnologia da informação em conjunto com os
gestores negociais.
Art. 23 Os backups podem ser armazenados em:
I – Disco rígido;
II – Nuvem; e
III – Fitas
magnéticas.
Art. 24 Os dados devem ser periodicamente
copiados para um dispositivo de disco distinto daquele em que se encontram, de
tal forma que possam ser recuperados e restaurados em caso de corrompimento, de
indisponibilidade ou de perda dos dados de produção.
Art. 25 De acordo com a criticidade, as cópias
de segurança armazenadas em disco podem ser copiadas para nuvem e fitas
magnéticas apropriadas para esse fim.
Art. 26 O descarte das mídias de backup
inservíveis ou inutilizáveis deverá ser realizado mediante proposta apresentada
pelo administrador de backup dirigida à unidade competente, conforme política
de descarte vigente.
Parágrafo
único. As mídias a serem
descartadas deverão ser destruídas, de forma a impedir a sua reutilização ou o
acesso indevido às informações por pessoas não autorizadas.
Art. 27 As unidades de armazenamento dos backups
devem ser acondicionadas em locais apropriados, com controle de fatores
ambientais sensíveis como umidade e temperatura, e com acesso restrito a
pessoas autorizadas pelo administrador de backup.
Art. 28 Os dados estruturados, armazenados em sistema gerenciador de bancos de
dados em produção da Prefeitura de Cariacica, devem ser periodicamente copiados
para um dispositivo de disco distinto daquele em que se encontram, de tal forma
que possam ser recuperados e restaurados em caso de corrompimento, de
indisponibilidade ou de perda dos dados de produção.
Art. 29 O backup em disco deve permitir a restauração íntegra de um banco de
dados até o momento imediatamente anterior ao evento que causou a corrupção, a
indisponibilidade ou a perda dos dados, observados os períodos de retenção
estabelecidos.
Art. 30 O procedimento de backup de banco de dados deve ser realizado
preferencialmente fora do horário de expediente, não devendo indisponibilizar o
banco de dados do qual esteja sendo extraído.
Art. 31 Como medida adicional de segurança, os backups dos dados de produção
podem ser copiados para nuvem ou fita, conforme critério do administrador do
backup.
Art. 32 Devem ser adotadas estratégias específicas e diferenciadas de backup
para os dados de produção armazenados em cada ambiente em virtude de critérios
como tamanho das bases de dados gerenciadas, criticidade da informação para a
Prefeitura de Cariacica e mecanismos de backup.
Art. 33 Além das responsabilidades do Administrador do backup, o DBA e/ou
responsável pela aplicação que possui banco de dados deverá construir em
parceria com o administrador do backup políticas para cópia das informações de
forma incremental por mais de uma vez ao dia sendo feito a salvaguarda da
última cópia do dia para Ferramenta de administração de backup e restore.
Art. 34 A Política de Backup e Restauração de Dados da Prefeitura Municipal de
Cariacica deverá ser revisada bianualmente ou quando necessário.
Art. 35 Este Decreto entra em vigor na data de sua publicação.
Cariacica/ES, 10 de setembro de 2025.
Este texto não substitui o original publicado e arquivado na Prefeitura Municipal de Cariacica.