RESOLUÇÃO N
o
132, DE 10 DE NOVEMBRO DE 2017.
(REPUBLICADA)
CRIA O DOC-ICP-17 QUE
INSTITUI O PRESTADOR DE
SERVIÇO DE CONFIANÇA PARA
ARMAZENAMENTO DE CHAVES
PRIVADAS DE USUÁRIOS FINAIS
E SERVIÇOS DE ASSINATURA
DIGITAL NO ÂMBITO DA ICP-
BRASIL E DÁ OUTRAS
PROVIDÊNCIAS.
O COORDENADOR DO COMITÊ GESTOR DA INFRAESTRUTURA DE CHAVES
PÚBLICAS BRASILEIRA, no uso das atribuições que lhe confere o art. 6º, §1º, inc. III, do
Regimento Interno, torna público que o COMITÊ GESTOR DA INFRAESTRUTURA DE
CHAVES PÚBLICAS BRASILEIRA, no exercício das competências previstas no art. 4°, da
Medida Provisória n° 2.200-2, de 24 de agosto de 2001, em reunião ordinária realizada em 10
de novembro de 2017,
CONSIDERANDO a necessidade de instaurar procedimentos operacionais para
armazenamento de chaves privadas dos usuários finais em hardwares criptográficos com
acesso remoto,
CONSIDERANDO facilitar o uso por parte do usuário e padronizar as assinaturas digitais e as
respectivas verificações, e
CONSIDERANDO a necessidade de instaurar a declaração de práticas dos prestadores de
serviço de confiança de armazenamento de chaves criptográficas e de assinatura digital no
âmbito da ICP-Brasil,
RESOLVEU:
Art. 1º O item 1, do DOC-ICP-03, versão 5,1, passa a vigorar com a seguinte redação:
Este documento estabelece os critérios e procedimentos a serem observados para o
credenciamento, manutenção do credenciamento e descredenciamento de Autoridades
Certificadoras (ACs), de Autoridades de Registro (ARs), de Autoridades de Carimbo do
Tempo (ACTs), de Prestadores de Serviço de Suporte (PSSs), de Prestadores de Serviço
Biométrico (PSBios) e de Prestadores de Serviço de Confiança (PSC) de Assinatura
Digital e Armazenamento de Chaves Criptográficas no âmbito da Infraestrutura de
Chaves Públicas Brasileira – ICP-Brasil.
Art. 2º As alíneas “c” e “d”, do item 2.1, do DOC-ICP-03, versão 5.1, passam a vigorar com a
seguinte redação:
c) atender aos requisitos relativos à qualificação econômico-financeira estabelecidos,
conforme a atividade a ser desenvolvida, nos anexos I, II, III, IV, V e VI; e
d) atender às diretrizes e normas técnicas da ICP-Brasil relativas à qualificação técnica
ou contratual, constantes dos documentos relacionados nos Anexos I, II, IV, V e VI,
aplicáveis aos serviços a serem prestados.
REVOGADA
Art. 3º O DOC-ICP-03, versão 5.1, passa a vigorar acrescido do seguinte item e Notas:
2.1.6. Critérios para credenciamento de PSC de Assinatura Digital e Armazenamento de
Chaves Criptográficas
Os PSC de Assinatura Digital e Armazenamento de Chaves Criptográficas deverão ser
entidades opcionais com capacidade técnica para realizar (i) o armazenamento de
chaves privadas para usuários finais no âmbito da ICP-Brasil ou (ii) fornecer serviços
de assinatura digital, verificação da assinatura digital ou (iii) ambos, conforme
regulamento operacional específico.
NOTA 1: Caberá à AC Raiz, por meio de Instrução Normativa, determinar os
procedimentos técnicos para operação desses PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas (DOC-ICP-17.01).
Os candidatos ao credenciamento como PSC de Assinatura Digital e Armazenamento de
Chaves Criptográficas devem ainda:
a) ter sede administrativa localizada no território nacional; e
b) ter instalações operacionais e recursos de segurança física e lógica
compatíveis com a atividade de armazenamento de chaves privadas para
usuários finais ou realizar serviços de assinatura digital e verificação da
assinatura digital ou ambos, localizadas em território nacional.
NOTA 2: As entidades credenciadas no âmbito da ICP-Brasil poderão prover o serviço
designado aos PSC de Assinatura Digital e Armazenamento de Chaves Criptográficas,
observados o disposto no normativo de credenciamento, técnico e operacional.
NOTA 3: As soluções corporativas de armazenamento de chaves privadas dos
funcionários em HSM de propriedade da instituição, em conhecimento e concordância
do titular do certificado com a DPC da AC, que atendam as aplicações demandadas das
organizações, com acesso exclusivo por meio da rede interna, não se enquadram na
definição de PSC de Armazenamento de Chaves Criptográficas .
Art. 4º O DOC-ICP-03, versão 5.1, passa a vigorar acrescido dos seguintes itens:
2.2.7. Procedimentos para credenciamento de PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas
2.2.7.1. Solicitação
2.2.7.1.1. As solicitações dos candidatos ao credenciamento como PSC de Assinatura
Digital e/ou Armazenamento de Chaves Criptográficas na ICP-Brasil serão
encaminhadas à AC Raiz, mediante a apresentação dos documentos a seguir
relacionados:
a) Formulário SOLICITAÇÃO DE CREDENCIAMENTO DE PRESTADOR
DE SERVIÇO DE CONFIANÇA DE ARMAZENAMENTO E ASSINATURA,
ADE-ICP-03.K [19], devidamente preenchido e assinado pelos representantes
legais do candidato;
b) Documentos relacionados no Anexo VI;
c) Identificação do(s) local(is) onde o candidato(s) realizará(ão) as suas
operações e manterá(ão) seus equipamentos, documentação e materiais
utilizados;
d) Identificação do serviço de diretório ou página web onde se obtêm o arquivo
com a publicação da Política de Segurança – PS.
2.2.7.1.2. A solicitação de credenciamento será protocolada perante o Protocolo Geral
do ITI e recebida, em até 30 (trinta) dias, por intermédio de despacho fundamentado.
2.2.7.1.3. Caso a solicitação de credenciamento não contenha todos os documentos
relacionados no Anexo VI, o ITI determinará a intimação do candidato para que, sob
pena de arquivamento do processo, supra as irregularidades no prazo máximo de 30
(trinta) dias, a contar do recebimento de ofício enviado pelo ITI com comprovação de
recebimento pelo destinatário.
2.2.7.2. Auditoria Pré-Operacional
2.2.7.2.1 Após a publicação do despacho de recebimento, o candidato deverá remeter à
AC Raiz, no prazo máximo de 30 (trinta) dias, o formulário de REQUERIMENTO DE
AUDITORIA ADE-ICP-03.D [4], devidamente preenchido, declarando estar em
conformidade com todos os requisitos exigidos pelas resoluções do Comitê Gestor da
ICP-Brasil relacionados à atividade de PSC de Assinatura Digital e/ou Armazenamento
de Chaves Criptográficas e pronto para ser auditado no prazo de 15 (quinze) dias a
contar daquele momento.
2.2.7.2.2 Tal requerimento deverá ser preenchido e assinado pelos representantes legais
do candidato à PSC de Assinatura Digital e/ou Armazenamento de Chaves
Criptográficas .
2.2.7.2.3 Durante as diligências de auditoria a AC Raiz poderá exigir documentação
adicional contendo especificações sobre equipamentos, produtos de hardware e
software, procedimentos técnicos e operacionais adotados pela candidata.
2.2.7.2.4 Caso o relatório de auditoria aponte o não-cumprimento de quaisquer dos
critérios para credenciamento exigidos pelo item 2.1, a AC Raiz intimará a candidata
para que os cumpra no prazo que fixar, a contar do recebimento de ofício enviado pela
AC Raiz com comprovação de recebimento pelo destinatário.
2.2.7.2.5 Após a comunicação da candidata de que atendeu os critérios de
credenciamento apontados como não cumpridos no relatório de auditoria, a AC Raiz
intimará a candidata por meio de ofício enviado com comprovação de recebimento pelo
destinatário, determinando a realização de auditoria complementar, de modo a verificar
as medidas adotadas.
2.2.7.2.6 A desistência de solicitação de credenciamento em tramitação poderá ser
requerida até a data de deferimento final do credenciamento na AC Raiz.
2.2.7.2.7 Apresentado o relatório final de auditoria, a AC Raiz manifestar-se-á sobre o
deferimento ou indeferimento da solicitação de credenciamento, no prazo máximo de
30 (trinta) dias.
2.2.7.2.8 Sobre a decisão de indeferimento de solicitação de credenciamento, caberá
recurso administrativo da candidata ao Comitê Gestor da ICP-Brasil.
2.2.7.3. Ato de credenciamento
2.2.7.3.1. O deferimento ou o indeferimento do credenciamento será fundamentado e
comunicado ao candidato que deu encaminhamento ao requerimento.
2.2.7.3.2. O PSC de Armazenamento de Chaves Criptográficas que já estiver
credenciado na ICP-Brasil poderá prestar serviço a qualquer usuário da ICP-Brasil, em
parceria com uma Autoridade Certificadora, devendo a AC emissora do certificado,
estar autorizada pelo ITI à prática de emissão declarada em sua PC/DPC, conforme
disposto no subitem “b” do item 3.1 do documento DOC-ICP-03.
2.2.7.3.3. O ato de credenciamento será publicado no Diário Oficial da União, devendo
o candidato, por seu representante legal, apresentar termo de compromisso, com a
descrição de suas responsabilidades e o compromisso de desempenhar suas funções de
acordo com padrões de idoneidade que asseguram a independência e neutralidade de
suas avaliações bem como o devido rigor técnico e operacional.
2.2.7.4. Vedações ao credenciamento
É vedada a contratação, subcontratação ou terceirização total ou parcial das atividades
de armazenamento das chaves privadas para usuários finais pelos PSC de Assinatura
Digital e Armazenamento de Chaves Criptográficas credenciados no âmbito da ICP-
Brasil, salvo a contratação de empresas fornecedoras de soluções para hardwares
criptográficos e sistemas para serviços de assinaturas digitais e verificação das
assinaturas digitais, conforme Anexo VI deste documento.
Art. 5º O DOC-ICP-03, versão 5.1, passa a vigorar acrescido do seguinte item:
3.6 Manutenção de credenciamento de PSC de Assinatura Digital e Armazenamento de
Chaves Criptográficas
A entidade credenciada para desenvolver as atividades de PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas deverá:
a) Comunicar, desde logo, ao ITI:
i. qualquer alteração em seus atos constitutivos, estatuto, contrato social
ou administradores;
ii. violação, de que tenha conhecimento, das diretrizes e normas técnicas
da ICP-Brasil;
iii. qualquer alteração na sua Declaração de Práticas de Prestadores de
Serviço de Confiança – DPPSC, Plano de Capacidade Operacional –
PCO e Política de Segurança – PS;
b) Encaminhar ao ITI, até o dia 15 (quinze) de dezembro de cada ano,
cronograma das auditorias a serem realizadas durante o ano seguinte;
c) Encaminhar ao ITI relatórios de auditorias em até 30 (trinta) dias após a
conclusão das mesmas;
d) Observar o DOC-ICP-17.01 [18], a DPPSC, o PCO e PS aplicável.
Art. 6º O DOC-ICP-03, versão 5.1, passa a vigorar acrescido dos seguintes itens:
4.5A. Descredenciamento de PSC de Assinatura Digital e Armazenamento de Chaves
Criptográficas .
4.5A.1. Hipóteses para o descredenciamento de PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas
a) A pedido do próprio PSC, mediante requerimento, em relação às suas
atividades;
b) Por determinação da AC Raiz, em razão de descumprimento de qualquer dos
critérios e procedimentos exigidos para o seu funcionamento, após o decurso do
prazo para regularização, sem que a entidade tenha sanado a irregularidade e
mediante processo administrativo.
4.5A.2. Procedimentos para descredenciamento de PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas
4.5A.2.1. Descredenciamento solicitado pelo próprio PSC de Assinatura Digital e
Armazenamento de Chaves Criptográficas.
Na hipótese de o descredenciamento ser solicitado pelo próprio PSC de Assinatura
Digital e Armazenamento de Chaves Criptográficas , o mesmo comunicará o fato, com
120 (cento vinte dias) dias de antecedência, diretamente à AC Raiz, aos titulares dos
certificados e, se for o caso, às Autoridades Certificadoras, no caso de armazenamento
de chaves privadas dos usuários finais, que o contrataram e publicará em sua página
web, para conhecimento dos titulares dos certificados, a decisão de encerrar suas
atividades de prestação de serviço de confiança no âmbito da ICP-Brasil, continuando a
prestar os serviços regularmente nesse período.
4.5A.2.2. Descredenciamento por determinação da AC Raiz.
Na hipótese de descredenciamento por determinação da AC Raiz, o PSC de Assinatura
Digital e Armazenamento de Chaves Criptográficas descredenciado ficará impedido de
apresentar novo pedido de credenciamento pelo prazo de 24 (vinte quatro) meses
contados da publicação de que trata o item 4.5A.2.3.
4.5A.2.3. Descredenciamento por quaisquer das hipóteses anteriormente previstas:
a) A AC Raiz divulgará o fato, logo após a consumação da respectiva hipótese,
no Diário Oficial da União e em sua página web;
b) Os PSC deverão cessar suas atividades de armazenamento de novas chaves
e/ou certificados digitais ou serviços de assinaturas ou ambos no âmbito da ICP-
Brasil imediatamente após a publicação de que trata a alínea anterior;
c) As operações do PSC utilizados durante o período de operação na ICP-Brasil
deverão ser realizadas por outro PSC credenciado, após aprovação da AC Raíz,
que deverão entrar em contato com os titulares das chaves privadas para os
novos procedimentos de uso;
d) Os PSC descredenciados deverão imediatamente prover acesso aos HSMs e
sistemas para outro PSC credenciado;
e) Quando houver mais de um PSC interessado, assumirá a responsabilidade
aquele indicado pelo PSC que encerra suas atividades;
f) Em caso de não vinculação do PSC descredenciado a uma AC e não haja
interessados em assumir as operações do PSC, os usuários deverão entrar em
contato com a AC emissora para procedimentos de reemissão do seu par de
chaves e respectivo certificado;
g) Em caso de vinculação do PSC descredenciado a uma AC e não haja
interessados em assumir as operações do PSC, as ACs que emitiram o par de
chaves e o respectivo certificado deverão entrar em contato com os usuários para
informações de uso ou reemissão do par de chaves e respectivo certificado.
4.5A.2.4 – Da Responsabilidade.
a) O PSC de Assinatura Digital e/ou Armazenamento de Chaves Criptográficas ,
ainda que descredenciado, não poderá, sob pena de responsabilidade civil,
criminal e administrativa, ceder, a qualquer título, as chaves privadas,
certificados digitais e documentos armazenados no desempenho de suas
atividades na ICP-Brasil, à exceção do previsto na alínea “c” do item 4.5A.2.3.
Art. 7º O item 4.6, do DOC-ICP-03, versão 5.1, passa a vigorar com a seguinte redação:
4.6. Obrigações Subsistentes
As AC, as AR, os PSS, as ACT, os PSBio e os PSC de Assinatura Digital e/ou
Armazenamento de Chaves Criptográficas operacionalmente vinculados têm o dever de
observar as diretrizes e normas técnicas da ICP-Brasil, inclusive as obrigações que
subsistirem após o encerramento das atividades de emissão e armazenamento de chaves
privadas.
O ITI poderá determinar a revogação imediata do certificado digital emitido em
desconformidade com as normas que regem a ICP-Brasil, com ônus à entidade infratora
para ressalvar o direito de terceiros de boa-fé.
Art. 8º A tabela do item 5.1, do DOC-ICP-03, versão 5.1, passa a vigorar acrescida da seguinte
referência:
[17] REQUISITOS MÍNIMOS PARA AS DECLARAÇÕES DE PRÁTICAS DE
PRESTADOR DE SERVIÇO DE CONFIANÇA DA ICP-BRASIL, DOC-ICP-17.
Art. 9º A tabela do item 5.2, do DOC-ICP-03, versão 5.1, passa a vigorar acrescida da seguinte
referência:
[18] PROCEDIMENTOS OPERACIONAIS MÍNIMOS PARA OS PRESTADORES
DE SERVIÇO DE CONFIANÇA DA ICP-BRASIL, DOC-ICP-17.01.
Art. 10. A tabela do item 5.3, do DOC-ICP-03, versão 5.1, passa a vigorar acrescida da
seguinte referência:
[19] Formulário SOLICITAÇÃO DE CREDENCIAMENTO DE PRESTADOR DE
SERVIÇO DE CONFIANÇA DE ASSINATURA E ARMAZENAMENTO, ADE-ICP-
03.K.
Art. 11. O DOC-ICP-03, versão 5.1, passa a vigorar acrescido do seguinte Anexo:
ANEXO VI
DOCUMENTOS PARA CREDENCIAMENTO DE PRESTADOR DE SERVIÇO DE
CONFIANÇA DE ASSINATURA DIGITAL E ARMAZENAMENTO DE CHAVES
CRIPTOGRÁFICAS
O candidato a desenvolver as atividades de PSC de Assinatura Digital e/ou Armazenamento de
Chaves Criptográficas deve entregar a AC Raiz os seguintes documentos atualizados:
1. Relativos a sua habilitação jurídica:
a) Ato constitutivo, devidamente registrado no órgão competente; e
b) Documentos da eleição de seus administradores, quando aplicável;
2. Relativos a sua regularidade fiscal:
a) Prova de inscrição no Cadastro Nacional de Pessoas Jurídicas – CNPJ;
b) Prova de inscrição no cadastro de contribuintes estadual ou municipal, se houver,
relativo ao domicílio ou sede do candidato, pertinente ao seu ramo de atividade e
compatível com o objeto contratual;
c) Prova de regularidade junto à Fazenda Pública Federal, Estadual e Municipal do
domicílio ou sede do candidato, ou outra equivalente, na forma da lei; e
d) Prova de regularidade do candidato junto à Seguridade Social e ao Fundo de Garantia
por Tempo de Serviço – FGTS, demonstrando situação regular no cumprimento dos
encargos sociais instituídos por lei.
3. Relativos a sua qualificação econômico-financeira (exceto entidades da administração
pública direta e indireta, nas esferas federal, estadual e municipal):
3.1. Certidão negativa de falência ou recuperação judicial/extrajudicial expedida pelo
distribuidor da sede da pessoa jurídica, ou de execução patrimonial, expedida no domicílio do
requerente;
3.2. Parecer de Contador que possua certidão emitida pelo Cadastro Nacional de Auditores
Independentes (CNAI), atestando a boa situação econômico-financeira do candidato ou,
alternativamente, atendimento ao seguinte:
a) Balanço patrimonial e demonstrações contábeis do último exercício social, já
exigíveis e apresentados na forma da lei, que comprovem a boa situação financeira da
empresa, vedada a sua substituição por balancetes ou balanços provisórios,
acompanhados de planilha evidenciando os cálculos previstos na alínea seguinte;
b) Será considerada em boa situação econômico-financeira o candidato que demonstrar,
no exercício referido nas demonstrações financeiras, possuir RSPL (retorno sobre o
patrimônio líquido) igual ou superior à TJLP média (Taxa de Juros de Longo Prazo,
aprovada pelo Conselho Monetário Nacional, divulgada pelo Banco Central do Brasil
com o código 256) a ser calculado da seguinte maneira:
Onde:
RSPL = Retorno Sobre o Patrimônio Líquido;
LL = Lucro Líquido do exercício;
PL = (patrimônio líquido inicial + patrimônio líquido final)/2; TJLP = média das
taxas a.a. divulgadas pelo BACEN no código 256 para o exercício.
c) Caso o candidato tenha obtido prejuízo no último exercício social exigível, poderá
ser efetuado cálculo da média dos cinco últimos exercícios exigíveis. Para tanto será
apurada a média aritmética do patrimônio líquido dos cinco últimos balanços, exigíveis
pela legislação vigente, e a respectiva média aritmética dos resultados obtidos em cada
balanço patrimonial considerado na apuração da média do PL. Neste caso, a
comparação será realizada com a menor TJLP divulgada para o mesmo período a que se
referir a média do patrimônio líquido;
d) Caso o resultado obtido na alínea “b” ou “c” seja menor que a TJLP, mas for maior
que zero, o candidato deverá comprovar, com base nos documentos exigidos nesta
resolução, que possui PL igual ou superior a R$ 1.000.000,00;
e) Caso a empresa tenha sido criada há menos de um ano e não seja exigível, nos termos
da legislação vigente, a apresentação de balanço patrimonial e demonstração contábil
do último exercício, deverá apresentar seguro de responsabilidade civil e operacional no
valor mínimo de R$ 1.000.000,00.
4. Relativos a sua qualificação técnica:
a) Declaração de que assinará, após o credenciamento, Termo de Confidencialidade, sob
o compromisso de obedecer as normas e políticas de segurança do ITI.
b) Declaração de Prática de Prestador de Serviço de Confiança – DPPSC, atendendo às
condições mínimas estabelecidas pelo documento REQUISITOS MÍNIMOS PARA AS
DECLARAÇÕES DE PRÁTICAS DE PRESTADOR DE SERVIÇO DE CONFIANÇA
DA ICP-BRASIL, DOC-ICP-17 [17];
c) Política de Segurança (PS), atendendo às condições mínimas estabelecidas na
POLÍTICA DE SEGURANÇA DA ICP-BRASIL, DOC-ICP-02 [12];
d) Requisitos operacionais do PSC de Assinatura Digital e/ou Armazenamento de
Chaves Criptográficas, atendendo às condições mínimas estabelecidas no
PROCEDIMENTOS OPERACIONAIS MÍNIMOS PARA OS PRESTADORES DE
SERVIÇO DE CONFIANÇA DA ICP-BRASIL, DOC-ICP-17.01 [18];
e) Plano de Capacidade Operacional – PCO.
NOTA 01: As empresas cadastradas no Sistema Unificado de Cadastramento de Fornecedores –
SICAF, registro cadastral oficial do Poder Executivo Federal, poderão, para fins do disposto no
item 2, apresentar seu extrato.
Art. 12. O DOC-ICP-04, versão 6.3, passa a vigorar acrescido dos seguintes itens:
1.3.3A Prestadores de Serviço de Confiança
1.3.3A.1 Neste item deve ser identificado o endereço da página web (URL) onde está
publicada a relação de todos os Prestadores de Serviço de Confiança (PSC) contratados
pela AC responsável.
1.3.3A.2. PSC poderão ser entidades utilizadas pelas AC, ou a própria AC, nesta PC ou
na DPC implementada pela AC e se classificam em três categorias, conforme o tipo de
atividade prestada:
a) armazenamento de chaves privadas dos usuários finais; ou
b) serviço de assinatura digital, verificação da assinatura digital; ou
c) ambos.
Art. 13. O item 6.2.4.2, do DOC-ICP-04, versão 6.3, passa a vigorar com a seguinte redação:
6.2.4.2. A AC responsável pela PC não poderá manter cópia de segurança de chave
privada de titular de certificado de assinatura digital por ela emitido, salvo nos casos em
que esta é credenciada como PSC. Por solicitação do respectivo titular, ou de empresa
ou órgão, quando o titular do certificado for seu empregado ou cliente, a AC poderá
manter cópia de segurança de chave privada correspondente a certificado de sigilo por
ela emitido.
Art. 14. A alínea “a”, do item 2, do DOC-ICP-08, versão 4.3, passa a vigorar com a seguinte
redação:
a) Pré-operacionais: são as auditorias realizadas antes do início das atividades do
candidato a Prestador de Serviço de Confiança (PSC), quer seja Autoridade
Certificadora (AC), Autoridade de Carimbo do Tempo (ACT), Autoridade de Registro
(AR), Prestador de Serviço de Suporte (PSS), Prestador de Serviço Biométrico (PSBio)
ou PSC de Assinatura Digital e Armazenamento de Chaves Criptográficas;
Art. 15. A tabela do item 3.1, do DOC-ICP-08, versão 4.3, passa a vigorar acrescida da
seguinte entidade:
PSC de Assinatura
Digital e
Armazenamento de
Chaves Criptográficas
ITI/DAFN/CGAF Empresa de Auditoria Independente,
credenciada junto ao ITI
Art. 16. A alínea “a”, do item 4.1, do DOC-ICP-08, versão 4.3, passa a vigorar com a seguinte
redação:
a) Tipo 1: entidades autorizadas a realizar auditoria em AC, ACT, AR, PSBio, PSC de
Assinatura Digital e/ou Armazenamento de Chaves Criptográficas, com respectivos
PSS. Este tipo é destinado às empresas de auditoria independentes cadastradas junto ao
CNAI.
Art. 17. A alínea “p”, do item 4.2 do DOC-ICP-08, versão 4.3, passa a vigorar com a seguinte
redação:
p) comprovação de licenciamento WebTrust, para entidades interessadas em realizar
auditorias do Tipo 1.
Art. 18. O DOC-ICP-08, versão 4.3, passa a vigorar acrescido do seguinte item:
5.5 Cada PSC de Assinatura Digital e/ou Armazenamento de Chaves Criptográficas
protocolará no ITI, até o dia 15 (quinze) de dezembro de cada ano, para aprovação da
DAFN, seu PLAAO para o ano civil seguinte, por meio do formulário ADE-ICP-08.C
[4].
Art. 19. A alínea “j”, do item 1.1, do DOC-ICP-09, versão 3.2, passa a vigorar com a seguinte
redação:
j) PRESTADOR DE SERVIÇO DE CONFIANÇA (PSC) – Qualquer entidade
credenciada para operar na ICP-Brasil, como: as Autoridades Certificadoras (AC); as
Autoridades de Registro (AR); as Autoridades de Carimbo do Tempo (ACT), os
Prestadores de Serviço de Suporte (PSS), os Prestadores de Serviço Biométrico
(PSBio), os PSC de Assinatura Digital e/ou Armazenamento de Chaves Criptográficas;
ou entidade vinculada, como o Laboratório de Ensaios e Auditoria (LEA) e outros que
executem ou determinem a execução de itens de certificação presentes nas resoluções
da ICP-Brasil;
Art. 20. Aprovar a versão 1.0 do documento DOC-ICP-17 – REQUISITOS MÍNIMOS PARA
AS DECLARAÇÕES DE PRÁTICAS DE PRESTADOR DE SERVIÇO DE CONFIANÇA
DA ICP-BRASIL, conforme Anexo I deste documento.
Art. 21. Ficam aprovadas as novas versões dos Documentos:
I - DOC-ICP-03 – CRITÉRIOS E PROCEDIMENTOS PARA CREDENCIAMENTO
DAS ENTIDADES INTEGRANTES DA ICP-BRASIL (versão 5.2);
II - DOC-ICP-04 - REQUISITOS MÍNIMOS PARA AS POLÍTICAS DE
CERTIFICADO NA ICP-BRASIL (versão 6.4);
III - DOC-ICP-08 – CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO DE
AUDITORIAS NAS ENTIDADES DA ICP-BRASIL (versão 4.4);
IV - DOC-ICP-09 – CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO
DAS ENTIDADES INTEGRANTES DA ICP-BRASIL (versão 3.3).
§ 1º As demais cláusulas dos referidos documentos, nas suas versões imediatamente
anteriores, em sua ordem originária, integram as presentes versões e mantêm-se válidas.
§ 2º Os documentos referidos no caput encontram-se disponibilizados, em sua
totalidade, no sítio http://www.iti.gov.br.
Art. 22. Esta Resolução entra em vigor na data da sua publicação, exceto quanto ao disposto na
Nota 1, do item 1.3.2, do Anexo I, deste documento, o qual entrará em vigor após nova
apreciação do Comitê-Gestor da ICP-Brasil.
LUIZ CARLOS DE AZEVEDO
Republicada por omissão do Anexo I no D.O.U. de 22 de novembro de 2017, Seção 1 pág. 18.
ANEXO I
REQUISITOS MÍNIMOS PARA AS DECLARAÇÕES DE
PRÁTICAS DOS PRESTADORES DE SERVIÇO DE
CONFIANÇA DA ICP-BRASIL
DOC-ICP-17
Versão 1.0
10 de novembro de 2017
SUMÁRIO
CONTROLE DE ALTERAÇÕES.................................................................................................4
LISTA DE ACRÔNIMOS.............................................................................................................5
1. INTRODUÇÃO........................................................................................................................7
1.1. Visão Geral.............................................................................................................................7
1.2. Identificação...........................................................................................................................8
1.3. Comunidade e Aplicabilidade................................................................................................8
1.4. Dados de Contato...................................................................................................................9
1.5. Procedimentos de mudança de especificação........................................................................9
1.6. Definições e Acrônimos.......................................................................................................10
2. RESPONSABILIDADE DO REPOSITÓRIO E PUBLICAÇÃO..........................................10
2.1. Publicação............................................................................................................................10
3. IDENTIFICAÇÃO E AUTORIZAÇÃO.................................................................................11
4. REQUISITOS OPERACIONAIS...........................................................................................11
4.1. Armazenamento e acesso às chaves privadas do subscritor.................................................11
4.2. Serviço de criação, validação e armazenamento de assinaturas digitais..............................11
4.3. Procedimentos de Auditoria de Segurança...........................................................................11
4.4. Arquivamento de Registros..................................................................................................14
4.5. Liberação do espaço do subscritor.......................................................................................15
4.6. Comprometimento e Recuperação de Desastre...................................................................15
4.7. Extinção dos serviços de PSC..............................................................................................16
5. CONTROLES DE SEGURANÇA FÍSICA, PROCEDIMENTAL E DE PESSOAL............17
5.1. Segurança Física..................................................................................................................17
5.2. Controles Procedimentais....................................................................................................20
5.3. Controles de Pessoal............................................................................................................21
6. CONTROLES TÉCNICOS DE SEGURANÇA.....................................................................24
6.1. Controles de Segurança Computacional..............................................................................24
6.2. Controles Técnicos do Ciclo de Vida...................................................................................25
6.3. Controles de Segurança de Rede..........................................................................................26
6.4. Controles de Engenharia do Módulo Criptográfico.............................................................28
7. POLÍTICAS DE ASSINATURA............................................................................................28
8. AUDITORIAS E AVALIAÇÕES DE CONFORMIDADE....................................................28
8.1. Fiscalização e Auditoria de Conformidade..........................................................................28
9. OUTROS ASSUNTOS DE CARÁTER COMERCIAL E LEGAL.......................................29
9.1. Obrigações e direitos............................................................................................................29
9.2. Responsabilidades................................................................................................................31
9.3. Responsabilidade Financeira................................................................................................31
9.4. Interpretação e Execução.....................................................................................................31
9.5. Tarifas de Serviço.................................................................................................................32
9.6. Sigilo....................................................................................................................................32
9.7. Direitos de Propriedade Intelectual......................................................................................34
10. DOCUMENTOS DA ICP-BRASIL......................................................................................34
11. REFERÊNCIAS....................................................................................................................35
CONTROLE DE ALTERAÇÕES
Resolução que aprovou
a alteração
Item alterado Descrição da alteração
Resolução 132,
de 10.11.2017
(Versão 1.0)
Criação do DOC-ICP-17.
LISTA DE ACRÔNIMOS
SIGLA DESCRIÇÃO
AC Autoridade Certificadora
AC RAIZ Autoridade Certificadora Raiz da ICP-Brasil
ACT Autoridade de Carimbo de Tempo
AR Autoridade de Registro
AUDIBRA Instituto dos Auditores Internos do Brasil
CD Compact Disc
CG Comitê Gestor da ICP-Brasil
CFC Conselho Federal de Contabilidade
CGU Controladoria Geral da União
CGAF Coordenação Geral de Auditoria e Fiscalização
CMMI Capability Maturity Model Integration
CNPJ Cadastro Nacional de Pessoas Jurídicas
COBIT Control Objectives for Information and related Technology
COSO Committee of Sponsoring Organizations
CVM Comissão de Valores Mobiliários
DAFN Diretoria de Auditoria, Fiscalização e Normalização
DOU Diário Oficial da União
DVD Digital Versatile Disc
FGTS Fundo de Garantia do Tempo de Serviço
IBRACON Instituto dos Auditores Independentes do Brasil
ICP-BRASIL Infraestrutura de Chaves Públicas Brasileira
IIA Information Systems Audit and Control Association
ISACA Information Systems Audit and Control Association
IEC International Electrotechnical Commission
ISO International Organization for Standardization
ITIL Information Technology Infrastructure Library
MPS-BR Melhoria de Processo do Software Brasileiro
PDF Portable Document Format
PLAAO Plano Anual de Auditoria Operacional
PSC Prestador de Serviço de Confiança
PSS Prestadores de Serviço de Suporte
SHA Secure Hash Algorithm
SICAF Sistema de Cadastramento Unificado de Fornecedores
TCU Tribunal de Contas da União
1. INTRODUÇÃO
1.1. Visão Geral
1.1.1. Este documento faz parte de um conjunto de normativos criado para regulamentar os
Prestadores de Serviço de Confiança de Assinatura Digital e/ou Armazenamento de Chaves
Criptográficas, referenciados neste documento como Prestadores de Serviço de Confiança -
PSC, no âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). Tal conjunto se
compõe dos seguintes documentos:
a) REQUISITOS MÍNIMOS PARA AS DECLARAÇÕES DE PRÁTICAS DE
CERTIFICAÇÃO DOS PRESTADORES DE SERVIÇO DE CONFIANÇA -
PSC DA ICP-BRASIL (DOC-ICP-17) – este documento;
b) PROCEDIMENTOS OPERACIONAIS MÍNIMOS PARA OS PRESTADORES
DE SERVIÇO DE CONFIANÇA DA ICP-BRASIL (DOC-ICP-17.01);
1.1.2. O Prestador de Serviço de Confiança – PSC da ICP-Brasil é uma entidade credenciada,
auditada e fiscalizada pelo ITI que provê serviços de armazenamento de chaves privadas para
usuários finais, nos termos do DOC-ICP-04 [11], ou serviços de assinaturas e verificações de
assinaturas digitais padrão ICP-Brasil nos documentos e transações eletrônicas ou ambos.
1.1.3. A utilização de Prestadores de Serviços de Confiança para estes serviços elencados é
facultativa. Chaves privadas dos usuários finais armazenados em dispositivos normatizados
conforme estabelecido no DOC-ICP-04 [11] e assinaturas digitais padrão ICP-Brasil feitas
pela chave do usuário em outros sistemas são válidas conforme ditame legal da ICP-Brasil.
1.1.4. Este documento estabelece os requisitos mínimos a serem obrigatoriamente observados
pelas PSC integrantes da ICP-Brasil na elaboração de suas Declarações de Práticas de
Prestador de Serviço de Confiança – DPPSC. A DPPSC é o documento que descreve as
práticas e os procedimentos operacionais e técnicos empregados pelo PSC na execução de seus
serviços. Não obstante, às ACs devem observar a mudança na respectiva DPC e PC caso utilize
para armazenamento de chaves dos seus usuários finais o modelo PSC (ciclo de vida do
certificado – descrição dos procedimentos de armazenamento).
1.1.5. Este documento tem como base as normas da ICP-Brasil, as RFC 4210, 4211, 3628,
3447 3161 do IETF, Regulation (EU) 910/2014 e o documento TS 101 861 do ETSI.
1.1.6. Toda DPPSC elaborada no âmbito da ICP-Brasil deve obrigatoriamente adotar a mesma
estrutura empregada neste documento.
1.1.7. Aplicam-se ainda aos PSC da ICP-Brasil, no que couberem, os regulamentos dispostos
nos demais documentos da ICP-Brasil, entre os quais destacamos:
a) POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4];
b) CRITÉRIOS E PROCEDIMENTOS PARA CREDENCIAMENTO
DAS ENTIDADES INTEGRANTES DA ICP-BRASIL [5];
c) CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO DE
AUDITORIAS NAS ENTIDADES INTEGRANTES DA ICP-BRASIL
[6];
d) CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS
ENTIDADES INTEGRANTES DA ICP-BRASIL [7];
e) REGULAMENTO PARA HOMOLOGAÇÃO DE SISTEMAS E
EQUIPAMENTOS DE CERTIFICAÇÃO DIGITAL NO ÂMBITO DA
ICP-BRASIL [9].
1.1.8. Esta DPPSC está conforme a Internet Engineering Task Force (IETF) RFC 3647,
podendo sofrer atualizações regulares.
1.2. Identificação
Neste item deve ser identificada a DPPSC.
1.3. Comunidade e Aplicabilidade
1.3.1. Prestadores de Serviço de Confiança
Neste item deve ser identificado o PSC integrante da ICP-Brasil a que se refere esta DPPSC.
1.3.1.1. Neste item deve ser identificado o endereço da página web (URL) onde está publicado
os serviços prestados pelo PSC.
1.3.1.2. PSC são entidades utilizadas para desempenhar atividade descrita nesta DPPSC e no
DOC-ICP-17.01, assim como nos ADE-ICP relacionados, e se classificam em três categorias,
conforme o tipo de atividade prestada:
a) armazenamento de chaves privadas dos subscritores; ou
b) serviço de assinatura digital, verificação da assinatura digital; ou
c) ambos.
1.3.1.3. O PSC deverá manter as informações acima sempre atualizadas.
1.3.2. Subscritores
Neste item devem ser caracterizadas as pessoas físicas ou jurídicas que poderão solicitar os
serviços descritos nesta DPPSC.
Os subscritores deverão manifestar plena aprovação aos serviços contratados pelo PSC, assim
como o nível de acompanhamento que o PSC deverá informar, para fins exclusivos de proteção
da chave privada do titular, seja na prestação de armazenamento das chaves privadas, serviços
de assinaturas digitais e verificação das assinaturas digitais e, por ventura, no armazenamento
de documentos assinados, neste último caso conforme legislação vigente.
Os subscritores deverão ter acesso, quando do uso do serviço de assinatura do PSC, por meio
do ambiente do usuário, no mínimo, das 10 (dez) últimas assinaturas digitais realizadas.
Nota 1: Os subscritores poderão solicitar a desvinculação das suas chaves ao PSC de
armazenamento de chaves criptográficas ao seu critério, em conformidade com os
procedimentos de portabilidade dispostos no documento DOC-ICP-17.01.
1.3.3. Aplicabilidade
Este item da DPPSC deve relacionar e identificar os serviços prestados pelo PSC que definem
como cada um desses autorizados devem ser utilizados pela comunidade. Nas descrições
estarão relacionadas as aplicações para as quais a comunidade fará uso dos serviços.
1.4. Dados de Contato
Neste item devem ser incluídos o nome, o endereço e outras informações da PSC responsável
pela DPPSC. Devem ser também informados o nome, os números de telefone e o endereço
eletrônico de uma pessoa para contato.
1.5. Procedimentos de mudança de especificação
Neste item devem ser descritos a política e os procedimentos utilizados para realizar alterações
na DPPSC. Qualquer alteração na DPPSC deverá ser submetida à aprovação da AC-Raiz.
A DPPSC deverá ser atualizada sempre que um novo serviço for implementado pelo PSC
responsável o exigir.
1.5.1. Políticas de publicação e notificação
Neste item devem ser descritos os mecanismos empregados para a distribuição da DPPSC à
comunidade envolvida.
1.5.2. Procedimentos de aprovação
Toda DPPSC deverá ser submetida à aprovação, durante o processo de credenciamento do PSC
responsável, conforme o determinado pelo documento CRITÉRIOS E PROCEDIMENTOS
PARA CREDENCIAMENTO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL [5].
1.6. Definições e Acrônimos
Neste item devem ser descritas todas as definições e acrônimos contidas no documento.
2. RESPONSABILIDADE DO REPOSITÓRIO E PUBLICAÇÃO
2.1. Publicação
2.1.1. Publicação de informação do PSC
2.1.1.1. Neste item devem ser definidas as informações a serem publicadas pelo PSC
responsável pela DPPSC, o modo pelo qual serão disponibilizadas e a sua disponibilidade.
2.1.1.2. As seguintes informações, no mínimo, deverão ser publicadas pelo PSC em página
web:
a) capacidade de armazenamento das chaves privadas dos subscritores que opera;
b) sua DPPSC;
c) os serviços que implementam;
d) as condições gerais mediante as quais são prestados os serviços de armazenamento
de chaves privadas, assinatura digital e verificação da assinatura digital;
e) se pretende continuar a prestar o serviço ou se está mediante a qualquer
fiscalização dos serviços.
2.1.2. Frequência de publicação
Neste item deve ser informada a frequência de publicação das informações de que trata o item
anterior, de modo a assegurar a disponibilização sempre atualizada de seus conteúdos.
2.1.3. Controles de acesso
Neste item devem ser descritos os controles e as eventuais restrições para acesso, leitura e
escrita das informações publicadas pelo PSC, de acordo com o estabelecido nas normas,
critérios, práticas e procedimentos da ICP-Brasil.
3. IDENTIFICAÇÃO E AUTORIZAÇÃO
Neste item o PSC responsável deve descrever a forma utilizada para identificar e autorizar os
subscritores, caso necessária a realização de tais procedimentos.
4. REQUISITOS OPERACIONAIS
4.1. Armazenamento e acesso às chaves privadas do subscritor
Neste item da DPPSC o PSC deve, além do descrito no documento PROCEDIMENTOS
OPERACIONAIS MÍNIMOS PARA OS PRESTADORES DE SERVIÇO DE CONFIANÇA
DA ICP-BRASIL, DOC-ICP-17.01, relatar como os componentes de software farão
comunicação entre a aplicação do subscritor e acesso ao certificado e suas chaves,
descrevendo:
a) a linguagem de programação utilizada para construção da plataforma de acesso;
b) os meios de acesso disponibilizados ao subscritor (aplicativos para dispositivos
móveis, para PC, páginas web, entre outros);
c) o canal de segurança em que trafegam as autenticações;
d) a arquitetura de rede da aplicação de acesso.
4.2. Serviço de criação e validação de assinaturas digitais
Neste item da DPPSC o PSC deve, além do descrito no documento PROCEDIMENTOS
OPERACIONAIS MÍNIMOS PARA OS PRESTADORES DE SERVIÇO DE CONFIANÇA
DA ICP-BRASIL, DOC-ICP-17.01, relatar como as plataformas de assinatura digital e
verificação da assinatura digital funcionarão.
4.3. Procedimentos de Auditoria de Segurança
Nos itens seguintes da DPPSC devem ser descritos aspectos dos sistemas de auditoria e de
registro de eventos implementados pelo PSC responsável com o objetivo de manter um
ambiente seguro.
4.3.1. Tipos de eventos registrados
4.3.1.1. O PSC responsável pela DPPSC deverá registrar em arquivos de auditoria todos os
eventos relacionados à segurança do seu sistema. Entre outros, os seguintes eventos deverão
obrigatoriamente estar incluídos em arquivos de auditoria:
a) iniciação e desligamento dos sistemas de PSC;
b)tentativas de criar, remover, definir senhas ou mudar privilégios de sistema dos
operadores do PSC;
c) mudanças na configuração dos sistemas de PSC;
d)tentativas de acesso (login) e de saída do sistema (logoff);
e) tentativas não-autorizadas de acesso aos arquivos de sistema;
f) registros de armazenamentos das chaves privadas e/ou certificados digitais;
g)tentativas de iniciar, remover, habilitar e desabilitar usuários de sistemas;
h)operações falhas de escrita ou leitura, quando aplicável;
i) todos os eventos relacionados à sincronização com a fonte confiável de tempo;
j) registros das assinaturas digitais criadas e verificações realizadas;
k)registros de acesso aos documentos dos subscritores;
l) registros de acesso ou tentativas de acesso a chave privada do subscritor.
4.3.1.2. O PSC responsável pela DPPSC deverá também registrar, eletrônica ou manualmente,
informações de segurança não geradas diretamente pelo seu sistema, tais como:
a) registros de acessos físicos;
b)manutenção e mudanças na configuração de seus sistemas;
c) mudanças de pessoal e de perfis qualificados;
d)relatórios de discrepância e comprometimento; e
e) registros de destruição de mídias de armazenamento contendo chaves
criptográficas, dados de ativação de certificados ou informação pessoal dos
subscritores.
4.3.1.3. Neste item, a DPPSC deve especificar todas as informações que deverão ser
registradas pelo PSC responsável.
4.3.1.4. A DPPSC deve prever que todos os registros de auditoria deverão conter a identidade
do agente que o causou, bem como a data e horário do evento. Registros de auditoria
eletrônicos deverão conter o horário UTC. Registros manuais em papel poderão conter a hora
local desde que especificado o local.
4.3.1.5. Para facilitar os processos de auditoria, toda a documentação relacionada aos serviços
do PSC deverá ser armazenada, eletrônica ou manualmente, em local único, conforme a
POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4].
4.3.2. Frequência de auditoria de registros (logs)
A DPPSC deve estabelecer a periodicidade, não superior a uma semana, com que os registros
de auditoria do PSC responsável serão analisados pelo seu pessoal operacional. Todos os
eventos significativos deverão ser explicados em relatório de auditoria de registros. Tal análise
deverá envolver uma inspeção breve de todos os registros, com a verificação de que não foram
alterados, seguida de uma investigação mais detalhada de quaisquer alertas ou irregularidades
nesses registros. Todas as ações tomadas em decorrência dessa análise deverão ser
documentadas.
4.3.3. Período de retenção para registros (logs) de auditoria
Neste item, a DPPSC deve estabelecer que o PSC responsável mantenha localmente os seus
registros de auditoria por pelo menos 2 (dois) meses e, subsequentemente, deverá armazená-los
da maneira descrita no item 4.5.
4.3.4. Proteção de registro (log) de auditoria
4.3.4.1. Neste item, a DPPSC deve descrever os mecanismos obrigatórios incluídos no sistema
de registro de eventos do PSC responsável para proteger os seus registros de auditoria contra
leitura não autorizada, modificação e remoção.
4.3.4.2. Também devem ser descritos os mecanismos obrigatórios de proteção de informações
manuais de auditoria contra a leitura não autorizada, modificação e remoção.
4.3.4.3. Os mecanismos de proteção descritos neste item devem obedecer à POLÍTICA DE
SEGURANÇA DA ICP-BRASIL [4].
4.3.5. Procedimentos para cópia de segurança (backup) de registro (log) de auditoria
Neste item da DPPSC devem ser descritos os procedimentos adotados pelo PSC responsável
para gerar cópias de segurança (backup) de seus registros de auditoria e a sua periodicidade,
que não deve ser superior a uma semana.
4.3.6. Sistema de coleta de dados de auditoria
Neste item da DPPSC devem ser descritos e localizados os recursos utilizados pelo PSC
responsável para a coleta de dados de auditoria.
4.3.7. Notificação de agentes causadores de eventos
A DPPSC deve observar que quando um evento for registrado pelo conjunto de sistemas de
auditoria do PSC responsável, nenhuma notificação deverá ser enviada à pessoa, organização,
dispositivo ou aplicação que causou o evento.
4.3.8. Avaliações de vulnerabilidade
A DPPSC deve assegurar que os eventos que indiquem possível vulnerabilidade, detectados na
análise periódica dos registros de auditoria do PSC responsável, serão analisados
detalhadamente e, dependendo de sua gravidade, registrados em separado. Ações corretivas
decorrentes deverão ser implementadas pelo PSC e registradas para fins de auditoria.
4.4. Arquivamento de Registros
Nos itens seguintes da DPPSC deve ser descrita a política geral de arquivamento de registros,
para uso futuro, implementada pelo PSC responsável.
4.4.1. Tipos de registros arquivados
Neste item da DPPSC devem ser especificados os tipos de registros arquivados, que deverão
compreender, entre outros:
a) notificações de comprometimento de chaves privadas dos subscritores por
qualquer motivo;
b) notificações de comprometimento de arquivos armazenados dos
subscritores por qualquer motivo;
c) informações de auditoria previstas neste item.
Neste item, a DPPSC deve estabelecer os períodos de retenção para cada registro arquivado,
observando que os registros de armazenamento de chaves privadas e/ou certificados digitais, de
assinaturas digitais criadas, de verificações das assinaturas digitais e, por ventura, dos
documentos armazenados, inclusive arquivos de auditoria, deverão ser retidos por, no mínimo,
6 (seis) anos.
4.4.2. Proteção de arquivo
A DPPSC deve estabelecer que todos os registros arquivados devem ser classificados e
armazenados com requisitos de segurança compatíveis com essa classificação, conforme a
POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4].
4.4.3. Procedimentos para cópia de segurança (backup) de arquivo
4.5.1.1. A DPPSC deve estabelecer que uma segunda cópia de todo o material arquivado
deverá ser armazenada em ambiente diferente às instalações principais do PSC responsável,
recebendo o mesmo tipo de proteção utilizada por ele no arquivo principal.
4.5.1.2. As cópias de segurança deverão seguir os períodos de retenção definidos para os
registros dos quais são cópias.
4.5.1.3. O PSC responsável pela DPPSC deverá verificar a integridade dessas cópias de
segurança, no mínimo, a cada 6 (seis) meses.
4.4.4. Requisitos para datação de registros
Neste item, a DPPSC deve estabelecer os formatos e padrões de data e hora contidos em cada
tipo de registro.
4.4.5. Sistema de coleta de dados de arquivo
Neste item da DPPSC devem ser descritos e localizados os recursos de coleta de dados de
arquivo utilizados pelo PSC responsável.
4.4.6. Procedimentos para obter e verificar informação de arquivo
Neste item da DPPSC devem ser detalhadamente descritos os procedimentos definidos pelo
PSC responsável para a obtenção ou a verificação de suas informações de arquivo.
4.5. Liberação do espaço do subscritor
Neste item, a DPPSC deve descrever os procedimentos técnicos e operacionais que serão
usados pelo PSC responsável para liberação de um espaço (slot) destinado a um subscritor
onde estava armazenado as chaves privadas do mesmo, no caso de expiração e não uso mais
por parte do usuário ou revogação do certificado.
4.6. Comprometimento e Recuperação de Desastre
4.6.1. Disposições Gerais
4.6.1.1. Nos itens seguintes da DPPSC devem ser descritos os requisitos relacionados aos
procedimentos de notificação e de recuperação de desastres, previstos no Plano de
Continuidade de Negócios (PCN) do PSC responsável, estabelecido conforme a POLÍTICA
DE SEGURANÇA DA ICP-BRASIL [4], para garantir a continuidade dos seus serviços
críticos.
4.6.1.2. O PSC deve assegurar, no caso de comprometimento de sua operação por qualquer um
dos motivos relacionados nos itens abaixo, que as informações relevantes sejam
disponibilizadas aos subscritores e às terceiras partes. O PSC deve disponibilizar a todos os
subscritores e terceiras partes uma descrição do comprometimento ocorrido.
4.6.1.3. No caso de comprometimento de uma operação de armazenamento e acesso das
chaves de um ou mais subscritores, o PSC não deverá mais prover esse serviço, até serem
tomadas as medidas administrativas pela AC Raiz, informando aos subscritores sobre o
problema e devidos encaminhamentos que estes deverão tomar.
4.6.1.4. Em caso de comprometimento de uma operação de serviço de assinatura digital ou
verificação da assinatura digital dos documentos assinados, sempre que possível, o PSC deve
disponibilizar a todos os subscritores e terceiras partes informações que possam ser utilizadas
para identificar quais documentos que podem ter sido afetados, a não ser que isso viole a
privacidade dos subscritores ou comprometa a segurança dos serviços do PSC.
4.6.2. Recursos computacionais, software, e dados corrompidos
Neste item da DPPSC devem ser descritos os procedimentos de recuperação utilizados pelo
PSC responsável quando recursos computacionais, software ou dados estiverem corrompidos
ou houver suspeita de corrupção.
4.6.3. Sincronismo do PSC
Neste item a DPPSC deve descrever os procedimentos de recuperação previstos pelo PSC para
utilização nas hipóteses de sincronismo com a fonte confiável de tempo da ICP-Brasil ou, se
for o caso, com o pool de HSM para operação.
4.6.4. Segurança dos recursos após desastre natural ou de outra natureza
Neste item da DPPSC devem ser descritos os procedimentos de recuperação utilizados pelo
PSC responsável após a ocorrência de um desastre natural ou de outra natureza, antes do
restabelecimento de um ambiente seguro.
4.7. Extinção dos serviços de PSC
4.7.1. Observado o disposto no item 4 do documento CRITÉRIOS E PROCEDIMENTOS
PARA CREDENCIAMENTO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL [5],
este item da DPPSC deve descrever os requisitos e os procedimentos que deverão ser adotados
nos casos de extinção dos serviços do PSC responsável.
4.7.2. O PSC deve assegurar que possíveis rompimentos com os subscritores e terceiras
partes, em consequência da cessação dos serviços de armazenamento das chaves privadas,
assinaturas digitais e verificações de assinaturas digitais sejam minimizados e, em particular,
assegurar a manutenção continuada da informação necessária para que não haja prejuízos aos
subscritores e as terceiras partes.
4.7.3. Antes de o PSC cessar seus serviços os seguintes procedimentos serão executados, no
mínimo:
a) o PSC disponibilizará a todos os subscritores e partes receptoras informações a
respeito de sua extinção;
b) o PSC transferirá a outro PSC, após aprovação da AC-Raiz, as obrigações relativas
à manutenção do armazenamento das chaves, certificados e documentos assinados,
se for o caso, e de auditoria necessários para demonstrar a operação correta do
PSC, por um período razoável;
c) o PSC manterá ou transferirá a outro PSC, após aprovação da AC-Raiz, suas
obrigações relativas a disponibilizar seus sistemas e hardwares, por um período
razoável;
d) o PSC notificará todas as entidades afetadas.
4.7.4. O PSC providenciará os meios para cobrir os custos de cumprimento destes requisitos
mínimos no caso de falência ou se por outros motivos se ver incapaz de arcar com os seus
custos.
5. CONTROLES DE SEGURANÇA FÍSICA, PROCEDIMENTAL E DE PESSOAL
Nos itens seguintes devem ser descritos os controles de segurança implementados pelo PSC
responsável pela DPPSC para executar de modo seguro suas funções, de acordo com o
PROCEDIMENTOS OPERACIONAIS MÍNIMOS PARA OS PRESTADORES DE SERVIÇO
DE CONFIANÇA DA ICP-BRASIL - DOC-ICP-17.01 [10].
5.1. Segurança Física
Nos itens seguintes da DPPSC devem ser descritos os controles físicos referentes às instalações
que abrigam os sistemas do PSC responsável.
5.1.1. Construção e localização das instalações do PSC
Neste item a DPPSC deve descrever aspectos de construção das instalações do PSC
responsável, relevantes para os controles de segurança física, compreendendo entre outros:
a) Instalações para equipamentos de apoio, tais como: máquinas de ar condicionado,
grupos geradores, no-breaks, baterias, quadros de distribuição de energia e de telefonia,
subestações, retificadores, estabilizadores e similares;
b) Instalações para sistemas de telecomunicações;
c) Sistemas de aterramento e de proteção contra descargas atmosféricas; e
d) Iluminação de emergência.
5.1.2. Acesso físico nas instalações do PSC
Todo PSC integrante da ICP-Brasil deverá implantar um sistema de controle de acesso físico
que garanta a segurança de suas instalações, conforme a POLÍTICA DE SEGURANÇA DA
ICP-BRASIL [4] e os requisitos que seguem.
5.1.2.1. Níveis de acesso
O PSC deve descrever minuciosamente cada nível de acesso e o seu conjunto de sistemas,
softwares e hardwares implantados, em conformidade com as descrições dos níveis de acesso
dispostos no documento DOC-ICP-17.01.
5.1.2.2. Sistemas físicos de detecção
5.1.2.2.1. A segurança de todos os ambientes do PSC deverá ser feita em regime de vigilância
24 x 7 (vinte e quatro horas por dia, sete dias por semana).
5.1.2.2.2. A segurança poderá ser realizada por:
a) guarda armado, uniformizado, devidamente treinado e apto para a tarefa de
vigilância; ou
b) Circuito interno de TV, sensores de intrusão instalados em todas as portas e
janelas e sensores de movimento, monitorados local ou remotamente por empresa
de segurança especializada.
5.1.2.2.3. O ambiente de nível 3 deverá ser dotado, adicionalmente, de Circuito Interno de TV
ligado a um sistema local de gravação 24x7. O posicionamento e a capacidade dessas câmeras
não deverão permitir a captura de senhas digitadas nos sistemas.
5.1.2.2.4. As mídias resultantes dessa gravação deverão ser armazenadas por, no mínimo, 1
(um) ano, em ambiente de nível 2.
5.1.2.2.5. O PSC deverá possuir mecanismos que permitam, em caso de falta de energia:
a) iluminação de emergência em todos os ambientes, acionada
automaticamente;
b) continuidade de funcionamento dos sistemas de alarme e do circuito interno
de TV.
5.1.2.3. Sistema de controle de acesso
O sistema de controle de acesso deverá estar baseado em um ambiente de nível 3.
5.1.3. Energia e ar-condicionado do ambiente de nível 3 do PSC
5.1.3.1. A infraestrutura do ambiente de nível 3 do PSC deverá ser dimensionada com sistemas
e dispositivos que garantam o fornecimento ininterrupto de energia elétrica às instalações. As
condições de fornecimento de energia devem ser mantidas de forma a atender os requisitos de
disponibilidade dos sistemas do PSC e seus respectivos serviços. Um sistema de aterramento
deverá ser implantado.
5.1.3.2. Todos os cabos elétricos deverão estar protegidos por tubulações ou dutos
apropriados.
5.1.3.3. Deverão ser utilizados tubulações, dutos, calhas, quadros e caixas de passagem,
distribuição e terminação projetados e construídos de forma a facilitar vistorias e a detecção de
tentativas de violação. Deverão ser utilizados dutos separados para os cabos de energia, de
telefonia e de dados.
5.1.3.4. Todos os cabos deverão ser catalogados, identificados e periodicamente vistoriados,
no mínimo a cada 6 (seis) meses, na busca de evidências de violação ou de outras
anormalidades.
5.1.3.5. Deverão ser mantidos atualizados os registros sobre a topologia da rede de cabos,
observados os requisitos de sigilo estabelecidos pela POLÍTICA DE SEGURANÇA DA ICP-
BRASIL [4]. Qualquer modificação nessa rede deverá ser documentada e autorizada
previamente.
5.1.3.6. Não deverão ser admitidas instalações provisórias, fiações expostas ou diretamente
conectadas às tomadas sem a utilização de conectores adequados.
5.1.3.7. O sistema de climatização deverá atender aos requisitos de temperatura e umidade
exigidos pelos equipamentos utilizados no ambiente.
5.1.3.8. A temperatura dos ambientes atendidos pelo sistema de climatização deverá ser
permanentemente monitorada.
5.1.3.9. A capacidade de redundância de toda a estrutura de energia e ar-condicionado do
ambiente de nível 3 do PSC deverá ser garantida por meio de nobreaks e geradores de porte
compatível.
5.1.4. Exposição à água nas instalações do PSC
O ambiente de Nível 3 do PSC deve estar instalado em local protegido contra a exposição à
água, infiltrações e inundações.
5.1.5. Prevenção e proteção contra incêndio nas instalações do PSC
5.1.5.1. Nas instalações do PSC não será permitido fumar ou portar objetos que produzam
fogo ou faísca, a partir do nível 2.
5.1.5.2. Deverão existir no interior do ambiente nível 3 extintores de incêndio das classes B e
C, para apagar incêndios em combustíveis e equipamentos elétricos, dispostos no ambiente de
forma a facilitar o seu acesso e manuseio. Em caso da existência de sistema de sprinklers no
prédio, o ambiente de nível 3 do PSC não deverá possuir saídas de água, para evitar danos aos
equipamentos.
5.1.5.3. O ambiente de nível 3 deve possuir sistema de prevenção contra incêndios, que acione
alarmes preventivos uma vez detectada fumaça no ambiente.
5.1.5.4. Nos demais ambientes do PSC deverão existir extintores de incêndio para todas as
classes de fogo, dispostos em locais que facilitem o seu acesso e manuseio
5.1.5.5. Mecanismos específicos deverão ser implantados pelo PSC para garantir a segurança
de seu pessoal e de seus equipamentos em situações de emergência. Esses mecanismos deverão
permitir o destravamento de portas por meio de acionamento mecânico, para a saída de
emergência de todos os ambientes com controle de acesso. A saída efetuada por meio desses
mecanismos deve acionar imediatamente os alarmes de abertura de portas.
5.1.6. Armazenamento de mídia nas instalações do PSC
O PSC responsável deverá atender à norma brasileira NBR 11.515/NB 1334 (“Critérios de
Segurança Física Relativos ao Armazenamento de Dados”).
5.1.7. Destruição de lixo nas instalações do PSC
5.1.7.1. Todos os documentos em papel que contenham informações classificadas como
sensíveis deverão ser triturados antes de ir para o lixo.
5.1.7.2. Todos os dispositivos eletrônicos não mais utilizáveis e que tenham sido anteriormente
utilizados para o armazenamento de informações sensíveis, deverão ser fisicamente destruídos.
5.1.8. Sala externa de arquivos (off-site) para PSC
Uma sala de armazenamento externa à instalação técnica principal do PSC deve ser usada para
o armazenamento e retenção de cópia de segurança de dados. Essa sala deverá estar disponível
a pessoal autorizado 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana e deverá atender
aos requisitos mínimos estabelecidos por este documento para um ambiente de nível 2.
5.2. Controles Procedimentais
Nos itens seguintes da DPPSC devem ser descritos os requisitos para a caracterização e o
reconhecimento de perfis qualificados no PSC responsável, com as responsabilidades definidas
para cada perfil. Para cada tarefa associada aos perfis definidos, deve também ser estabelecido
o número de pessoas requerido para sua execução.
5.2.1. Perfis qualificados
5.2.1.1. O PSC responsável pela DPPSC deverá garantir a separação das tarefas para funções
críticas, com o intuito de evitar que um empregado utilize indevidamente os serviços do
ambiente sem ser detectado. As ações de cada empregado deverão estar limitadas de acordo
com seu perfil.
5.2.1.2. O PSC deverá estabelecer um mínimo de 3 (três) perfis distintos para sua operação, a
saber:
a) Administrador do sistema – autorizado a instalar, configurar e manter os sistemas
confiáveis para gerenciamento do carimbo do tempo, bem como administrar a
implementação das práticas de segurança do PSC;
b) Operador de sistema – responsável pela operação diária dos sistemas confiáveis do
PSC. Autorizado a realizar backup e recuperação do sistema.
c) Auditor de Sistema – autorizado a ver arquivos e auditar os logs dos sistemas
confiáveis do PSC.
5.2.1.3. Todos os empregados do PSC deverão receber treinamento específico antes de obter
qualquer tipo de acesso. O tipo e o nível de acesso serão determinados, em documento formal,
com base nas necessidades de cada perfil.
5.2.1.4. Quando um empregado se desligar do PSC, suas permissões de acesso deverão ser
revogadas imediatamente. Quando houver mudança na posição ou função que o empregado
ocupa dentro do PSC, deverão ser revistas suas permissões de acesso. Deverá existir uma lista
de revogação, com todos os recursos, antes disponibilizados, que o empregado deverá devolver
ao PSC no ato de seu desligamento.
5.2.2. Número de pessoas necessário por tarefa
Todas as tarefas executadas no cofre ou gabinete onde se localizam os serviços do PSC deverão
requerer a presença de, no mínimo, 2 (dois) empregados com perfis qualificados. Para os casos
de cópias das chaves dos usuários e portabilidade da mesma serão necessários, no mínimo, 3
(três) empregados com perfis distintos e qualificados. As demais tarefas do PSC poderão ser
executadas por um único empregado.
5.2.3. Identificação e autenticação para cada perfil
5.2.3.1. A DPPSC deve garantir que todo empregado do PSC responsável terá sua identidade e
perfil verificados antes de:
a) ser incluído em uma lista de acesso físico às instalações do PSC;
b) ser incluído em uma lista para acesso lógico aos sistemas confiáveis do PSC;
c) ser incluído em uma lista para acesso lógico aos sistemas do PSC.
5.2.3.2. Os certificados, contas e senhas utilizadas para identificação e autenticação dos
empregados deverão:
a) ser diretamente atribuídos a um único empregado;
b) não ser compartilhados; e
c) ser restritos às ações associadas ao perfil para o qual foram criados.
5.2.3.3. O PSC deverá implementar um padrão de utilização de "senhas fortes", definido na
sua PS e em conformidade com a POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4], com
procedimentos de validação dessas senhas.
5.3. Controles de Pessoal
Nos itens seguintes da DPPSC devem ser descritos requisitos e procedimentos, implementados
pelo PSC responsável em relação a todo o seu pessoal, referentes a aspectos como: verificação
de antecedentes e de idoneidade, treinamento e reciclagem profissional, rotatividade de cargos,
sanções por ações não autorizadas, controles para contratação e documentação a ser fornecida.
A DPPSC deve garantir que todos os empregados do PSC responsável, encarregados de tarefas
operacionais terão registrado em contrato ou termo de responsabilidade:
a) os termos e as condições do perfil que ocuparão;
b) o compromisso de observar as normas, políticas e regras aplicáveis da ICP-Brasil; e
c) o compromisso de não divulgar informações sigilosas a que tenham acesso.
5.3.1. Antecedentes, qualificação, experiência e requisitos de idoneidade
Todo o pessoal do PSC responsável envolvido em atividades diretamente relacionadas com os
processos de gerenciamento dos sistemas de armazenamento de chaves privadas, assinaturas
digitais, verificações de assinaturas digitais deverá ser admitido conforme o estabelecido na
POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4]. O PSC responsável poderá definir
requisitos adicionais para a admissão.
5.3.2. Procedimentos de verificação de antecedentes
5.3.2.1. Com o propósito de resguardar a segurança e a credibilidade das entidades, todo o
pessoal do PSC responsável envolvido em atividades diretamente relacionadas com os
processos de gerenciamento dos sistemas de armazenamento de chaves privadas, assinaturas
digitais, verificações de assinaturas digitais deverá ser submetido a:
a) verificação de antecedentes criminais;
b)verificação de situação de crédito;
c) verificação de histórico de empregos anteriores; e
d)comprovação de escolaridade e de residência.
5.3.2.2. O PSC responsável poderá definir requisitos adicionais para a verificação de
antecedentes.
5.3.3. Requisitos de treinamento
Todo o pessoal do PSC responsável envolvido em atividades diretamente relacionadas com os
processos de gerenciamento dos sistemas de armazenamento de chaves privadas, assinaturas
digitais, verificações de assinaturas digitais deverão receber treinamento documentado,
suficiente para o domínio dos seguintes temas:
a) princípios e tecnologias dos sistemas e hardwares de armazenamento de chaves
privadas, assinaturas digitais, verificações de assinaturas digitais em uso no PSC;
b)ICP-Brasil;
c) princípios e tecnologias de certificação digital e de assinaturas digitais;
d)princípios e mecanismos de segurança de redes e segurança do PSC;
e) procedimentos de recuperação de desastres e de continuidade do negócio;
f) familiaridade com procedimentos de segurança, para pessoas com responsabilidade
de Oficial de Segurança;
g)familiaridade com procedimentos de auditorias em sistemas de informática, para
pessoas com responsabilidade de Auditores de Sistema;
h)outros assuntos relativos a atividades sob sua responsabilidade.
5.3.4. Frequência e requisitos para reciclagem técnica
Todo o pessoal do PSC responsável envolvido em atividades diretamente relacionadas com os
processos de gerenciamento dos sistemas de armazenamento de chaves privadas, assinaturas
digitais, verificações de assinaturas digitais deverá ser mantido atualizado sobre eventuais
mudanças tecnológicas nos sistemas do PSC.
5.3.5. Frequência e sequência de rodízio de cargos
Neste item, a DPPSC pode definir uma política a ser adotada pelo PSC responsável para o
rodízio de pessoal entre os diversos cargos e perfis por elas estabelecidos. Essa política não
deverá contrariar os propósitos estabelecidos no item 5.2.1 para a definição de perfis
qualificados.
5.3.6. Sanções para ações não autorizadas
5.3.6.1. A DPPSC deve prever que na eventualidade de uma ação não autorizada, real ou
suspeita, ser realizada por pessoa encarregada de processo operacional, o PSC deverá, de
imediato, suspender o acesso dessa pessoa aos sistemas, instaurar processo administrativo para
apurar os fatos e, se for o caso, adotar as medidas legais cabíveis.
5.3.6.2. O processo administrativo referido acima deverá conter, no mínimo, os seguintes
itens:
a) relato da ocorrência com modus operandis;
b) identificação dos envolvidos;
c) eventuais prejuízos causados;
d) punições aplicadas, se for o caso; e
e) conclusões.
5.3.6.3. Concluído o processo administrativo, o PSC responsável deverá encaminhar suas
conclusões à AC-Raiz.
5.3.6.4. As punições passíveis de aplicação, em decorrência de processo administrativo, são:
a) advertência;
b) suspensão por prazo determinado; ou
c) impedimento definitivo de exercer funções no âmbito da ICP-Brasil.
5.3.7. Requisitos para contratação de pessoal
Todo o pessoal do PSC responsável envolvido em atividades diretamente relacionadas com os
processos de gerenciamento dos sistemas de armazenamento de chaves privadas, assinaturas
digitais, verificações de assinaturas digitais deverá ser contratado conforme o estabelecido na
POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4]. O PSC responsável poderá definir
requisitos adicionais para a contratação.
5.3.8. Documentação fornecida ao pessoal
5.3.8.1. A DPPSC deve garantir que o PSC responsável tornará disponível para todo o seu
pessoal pelo menos:
a) sua DPPSC;
b) a POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4];
c) documentação operacional relativa às suas atividades; e
d) contratos, normas e políticas relevantes para suas atividades.
5.3.8.2. Toda a documentação fornecida ao pessoal deverá estar classificada segundo a política
de classificação de informação definida pelo PSC e deverá ser mantida atualizada.
6. CONTROLES TÉCNICOS DE SEGURANÇA
Nos itens seguintes, a DPPSC deve definir as medidas de segurança implantadas pelo PSC
responsável para proteger as chaves privadas dos subscritores, manter os serviços relativos a
assinaturas digitais, assim como o sincronismo de seus sistemas com a fonte confiável de
tempo da ICP-Brasil. Devem também ser definidos outros controles técnicos de segurança
utilizados pelo PSC na execução de suas funções operacionais.
6.1. Controles de Segurança Computacional
6.1.1. Disposições Gerais
Neste item, a DPPSC deve indicar os mecanismos utilizados para prover a segurança de suas
estações de trabalho, servidores e demais sistemas e equipamentos, observado o disposto na
POLÍTICA DE SEGURANÇA DA ICP-BRASIL [4].
6.1.2. Requisitos técnicos específicos de segurança computacional
6.1.2.1. A DPPSC deve prever que os sistemas e os equipamentos do PSC responsável, usados
nos processos de gerenciamento dos sistemas de armazenamento de chaves privadas,
assinaturas digitais, verificações de assinaturas digitais deverão implementar, entre outras, as
seguintes características:
a) controle de acesso aos serviços e perfis do PSC;
b)clara separação das tarefas e atribuições relacionadas a cada perfil qualificado do
PSC;
c) uso de criptografia para segurança de base de dados, quando exigido pela
classificação de suas informações;
d)geração e armazenamento de registros de auditoria do PSC;
e) mecanismos internos de segurança para garantia da integridade de dados e
processos críticos; e
f) mecanismos para cópias de segurança (backup).
6.1.2.2. Essas características deverão ser implementadas pelo sistema operacional ou por meio
da combinação deste com o sistema de gerenciamento do carimbo do tempo e com mecanismos
de segurança física.
6.1.2.3. Qualquer equipamento, ou parte desse, ao ser enviado para manutenção deverá ter
apagadas as informações sensíveis nele contidas e controlados seu número de série e as datas
de envio e de recebimento. Ao retornar às instalações do PSC, o equipamento que passou por
manutenção deverá ser inspecionado. Em todo equipamento que deixar de ser utilizado em
caráter permanente, observados os dispostos no ato de descredenciamento, deverão ser
destruídas de maneira definitiva todas as informações sensíveis armazenadas, relativas à
atividade do PSC. Todos esses eventos deverão ser registrados para fins de auditoria.
6.1.2.4. Qualquer equipamento incorporado ao PSC deverá ser preparado e configurado como
previsto na PS implementada ou em outro documento aplicável, de forma a apresentar o nível
de segurança necessário à sua finalidade.
6.1.3. Classificação da segurança computacional
Neste item da DPPSC deve ser informada, quando disponível, a classificação atribuída à
segurança computacional do PSC responsável, segundo critérios como: Trusted System
Evaluation Criteria (TCSEC), Canadian Trusted Products Evaluation Criteria, European
Information Technology Security Evaluation Criteria (ITSEC), Common Criteria e eIDAS.
6.2. Controles Técnicos do Ciclo de Vida
Nos itens seguintes da DPPSC devem ser descritos, quando aplicáveis, os controles
implementados pelo PSC responsável no desenvolvimento de sistemas e no gerenciamento de
segurança.
6.2.1. Controles de desenvolvimento de sistema
6.2.1.1. Neste item da DPPSC devem ser abordados aspectos tais como: segurança do
ambiente e do pessoal de desenvolvimento, práticas de engenharia de software adotadas,
metodologia de desenvolvimento de software, entre outros, aplicados ao software do sistema do
PSC ou a qualquer outro software desenvolvido ou utilizado pelo PSC responsável.
6.2.1.2. Os processos de projeto e desenvolvimento conduzidos pelo PSC deverão prover
documentação suficiente para suportar avaliações externas de segurança dos componentes do
PSC.
6.2.2. Controles de gerenciamento de segurança
6.2.2.1. Neste item da DPPSC devem ser descritas as ferramentas e os procedimentos
empregados pelo PSC responsável para garantir que os seus sistemas e redes operacionais
implementem os níveis configurados de segurança.
6.2.2.2. Uma metodologia formal de gerenciamento de configuração deverá ser usada para a
instalação e a contínua manutenção do sistema do PSC.
6.2.3. Classificações de segurança de ciclo de vida
Neste item da DPPSC deve ser informado, quando disponível, o nível de maturidade atribuído
ao ciclo de vida de cada sistema, com base em critérios como: Trusted Software Development
Methodology (TSDM), Capability Maturity Model do Software Engineering Institute (CMM-
SEI) e o Plano de Capacidade Operacional – PCO.
6.3. Controles de Segurança de Rede
6.3.1. Diretrizes Gerais
6.3.1.1. Neste item da DPPSC devem ser descritos os controles relativos à segurança da rede da
ACT responsável, incluindo firewall e recursos similares, observado o disposto da POLÍTICA
DE SEGURANÇA DA ICP-BRASIL [4].
6.3.1.2. Todos os servidores e elementos de infraestrutura e proteção de rede, tais como:
roteadores, hubs, switches, firewall e sistemas de detecção de intrusão (IDS), localizados no
segmento de rede que hospeda os sistemas do PSC, deverão estar localizados e operar em
ambiente de, no mínimo, nível 3.
6.3.1.3. As versões mais recentes dos sistemas operacionais e dos aplicativos servidores, bem
como as eventuais correções (patches), disponibilizadas pelos respectivos fabricantes deverão
ser implantadas imediatamente após testes em ambiente de desenvolvimento ou homologação.
6.3.1.4. O acesso lógico aos elementos de infraestrutura e proteção de rede deverá ser restrito,
por meio de sistema de autenticação e autorização de acesso. Os roteadores conectados a redes
externas deverão implementar filtros de pacotes de dados, que permitam somente as conexões
aos serviços e servidores previamente definidos como passíveis de acesso externo.
6.3.1.5. O acesso à Internet deverá ser provido por no mínimo duas linhas de comunicação de
sistemas autônomos (AS) distintos.
6.3.1.6. O acesso via rede aos sistemas do PSC deverá ser permitido somente para os seguintes
serviços:
a) pela EAT da ICP-Brasil, para o sincronismo e auditoria dos sistemas de assinaturas;
b)pelo PSC, para a administração dos sistemas de gestão a partir de equipamento
conectado por rede interna ou por VPN estabelecida mediante endereçamento IP
fixo previamente cadastrado junto à EAT;
c) pelo subscritor, para a armazenamento e acesso à chave privada e aos serviços de
assinatura digital, verificação da assinatura digital.
6.3.2. Firewall
6.3.2.1. Mecanismos de firewall deverão ser implementados em equipamentos de utilização
específica, configurados exclusivamente para tal função. Os firewalls deverão ser dispostos e
configurados de forma a promover o isolamento, em sub-redes específicas, dos equipamentos
servidores com acesso externo – a conhecida "zona desmilitarizada" (DMZ) – em relação aos
equipamentos com acesso exclusivamente interno ao PSC.
6.3.2.2. O software de firewall, entre outras características, deverá implementar registros de
auditoria.
6.3.2.3. O Oficial de Segurança deve verificar periodicamente as regras dos firewalls, para
assegurar-se que apenas o acesso aos serviços realmente necessários é permitido e que está
bloqueado o acesso a portas desnecessárias ou não utilizadas.
6.3.3. Sistema de detecção de intrusão (IDS)
6.3.3.1. O sistema de detecção de intrusão deverá ter capacidade de ser configurado para
reconhecer ataques em tempo real e respondê-los automaticamente, com medidas tais como:
enviar traps SNMP, executar programas definidos pela administração da rede, enviar e-mail aos
administradores, enviar mensagens de alerta ao firewall ou ao terminal de gerenciamento,
promover a desconexão automática de conexões suspeitas, ou ainda a reconfiguração do
firewall.
6.3.3.2. O sistema de detecção de intrusão deverá ter capacidade de reconhecer diferentes
padrões de ataques, inclusive contra o próprio sistema, apresentando a possibilidade de
atualização da sua base de reconhecimento.
6.3.3.3. O sistema de detecção de intrusão deverá prover o registro dos eventos em logs,
recuperáveis em arquivos do tipo texto, além de implementar uma gerência de configuração.
6.3.4. Registro de acessos não autorizados à rede
As tentativas de acesso não autorizado – em roteadores, firewalls ou IDS – deverão ser
registradas em arquivos para posterior análise, que poderá ser automatizada. A frequência de
exame dos arquivos de registro deverá ser, no mínimo, semanal e todas as ações tomadas em
decorrência desse exame deverão ser documentadas.
6.3.5. Outros controles de segurança de rede
6.3.5.1. O PSC deve implementar serviço de proxy, restringindo o acesso, a partir de todas suas
estações de trabalho, a serviços que possam comprometer a segurança do ambiente do PSC.
6.3.5.2. As estações de trabalho e servidores devem estar dotadas de antivírus, antispyware e de
outras ferramentas de proteção contra ameaças provindas da rede a que estão ligadas.
6.4. Controles de Engenharia do Módulo Criptográfico
Este item da DPPSC deve descrever os requisitos aplicáveis ao módulo criptográfico utilizado
para armazenamento da chave privada dos subscritores do PSC responsável. Poderão ser
indicados padrões de referência, como aqueles definidos no documento PADRÕES E
ALGORITMOS CRIPTOGRÁFICOS DA ICP-BRASIL [13].
7. POLÍTICAS DE ASSINATURA
Neste item da DPPSC, o PSC de Assinatura Digital deve informar as Políticas de Assinatura
Digital que pratica, seguindo o disposto no documento DOC-ICP-15.03 - REQUISITOS DAS
POLÍTICAS DE ASSINATURA DIGITAL NA ICP-BRASIL [12]. Esse documento trata das
Políticas e dos Padrões de Assinatura adotados no âmbito da ICP-Brasil.
8. AUDITORIAS E AVALIAÇÕES DE CONFORMIDADE
8.1. Fiscalização e Auditoria de Conformidade
8.1.1. As fiscalizações e auditorias realizadas nos PSC da ICP-Brasil têm por objetivo
verificar se seus processos, procedimentos e atividades estão em conformidade com suas
respectivas DPPSC, PCO e PS, demais normas e procedimentos estabelecidos pela ICP-Brasil
e com os princípios e critérios definidos pelo WebTrust.
8.1.2. As fiscalizações dos PSC da ICP-Brasil são realizadas pela AC-Raiz, por meio de
servidores de seu quadro próprio, a qualquer tempo, sem aviso prévio, observado o disposto no
documento CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS
ENTIDADES INTEGRANTES DA ICP-BRASIL [7].
8.1.3. As auditorias dos PSC da ICP-Brasil são realizadas:
a) quanto aos procedimentos operacionais, pela AC-Raiz, por meio de pessoal de seu
quadro próprio, ou por terceiros por ela autorizados, observado o disposto no
documento CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO DE
AUDITORIAS NAS ENTIDADES INTEGRANTES DA ICP-BRASIL [6].
b)quanto a autenticação e ao sincronismo de tempo pela Entidade de Auditoria do
Tempo (EAT) observado o disposto no documento PROCEDIMENTOS PARA
REALIZAÇÃO DE AUDITORIAS DO TEMPO NA ICP-BRASIL [3].
8.1.4. Neste item da DPPSC, o PSC responsável deve informar que recebeu auditoria prévia
da AC-Raiz para fins de credenciamento na ICP-Brasil e que é auditada anualmente, para fins
de manutenção do credenciamento, com base no disposto no documento CRITÉRIOS E
PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS NAS ENTIDADES
INTEGRANTES DA ICP-BRASIL [6]. Esse documento trata do objetivo, frequência e
abrangência das auditorias, da identidade e qualificação do auditor e demais temas
correlacionados.
8.1.5. Neste item da DPPSC, o PSC responsável deve informar que recebeu auditoria prévia
da EAT quanto aos aspectos de autenticação e sincronismo, sendo regularmente auditada, para
fins de continuidade de operação, com base no disposto no documento PROCEDIMENTOS
PARA REALIZAÇÃO DE AUDITORIAS DO TEMPO NA ICP-BRASIL [3].
8.1.6. Neste item da DPPSC, o PSC responsável deve informar que as entidades da ICP-
Brasil, se for o caso, a ela diretamente vinculadas também receberam auditoria prévia, para fins
de credenciamento, e que o PSC é responsável pela realização de auditorias anuais, para fins de
manutenção de credenciamento, conforme disposto no documento citado no parágrafo 8.1.3.
9. OUTROS ASSUNTOS DE CARÁTER COMERCIAL E LEGAL
9.1. Obrigações e direitos
Nos itens a seguir devem ser descritas as obrigações gerais das entidades envolvidas. Caso haja
obrigações específicas implementadas, as mesmas devem ser descritas.
9.1.1. Obrigações do PSC
Neste item devem ser incluídas as obrigações da PSC responsável pela DPPSC, contendo, no
mínimo, as abaixo relacionadas:
a) operar de acordo com a sua DPPSC e com a descrição dos serviços que realiza;
b)gerenciar e assegurar a proteção das chaves privadas dos subscritores;
c) manter os PSC sincronizados e auditados pela Entidade de Auditoria do Tempo da
ICP-Brasil;
d)tomar as medidas cabíveis para assegurar que subscritores e demais entidades
envolvidas tenham conhecimento de seus respectivos direitos e obrigações;
e)monitorar e controlar a operação dos serviços fornecidos;
f)notificar ao subscritor titular da chave e certificado, quando ocorrer
comprometimento de sua chave privada e solicitar a imediata revogação do
correspondente certificado ou o encerramento de suas atividades;
g)publicar em sua página web sua DPPSC e as Políticas de Segurança (PS) aprovadas
que implementa;
h)publicar, em sua página web, as informações definidas no item 2.1.1.2 deste
documento;
i) identificar e registrar todas as ações executadas, conforme as normas, práticas e
regras estabelecidas pelo CG da ICP-Brasil;
j) adotar as medidas de segurança e controle previstas na DPPSC, no Plano de
Capacidade Operacional (PCO) e PS que implementar, envolvendo seus processos,
procedimentos e atividades, observadas as normas, critérios, práticas e
procedimentos da ICP-Brasil;
k)manter a conformidade dos seus processos, procedimentos e atividades com as
normas, práticas e regras da ICP-Brasil e com a legislação vigente;
l) manter e garantir a integridade, o sigilo e a segurança da informação por ela
tratada;
m)manter e testar anualmente seu Plano de Continuidade do Negócio (PCN);
n)manter contrato de seguro de cobertura de responsabilidade civil decorrente da
atividade de armazenamento de chaves privadas para usuários finais, com cobertura
suficiente e compatível com o risco dessas atividades;
o)informar aos subscritores que contratam os seus serviços sobre coberturas,
condicionantes e limitações estipuladas pela apólice de seguro de responsabilidade
civil contratada nos termos acima; e
p)informar à AC-Raiz, mensalmente, a quantidade de chaves privadas ou certificados
digitais correspondentes armazenados e assinaturas realizadas e verificadas.
9.1.2. Obrigações do Subscritor
Ao contratar um serviço do PSC, se for o caso, o subscritor deve assegurar, por meio das
aplicações disponibilizadas ao contratar um PSC, que o seu par de chaves e/ou certificados
digitais foram corretamente armazenados e se a chave privada usada para assinar está
funcional.
9.1.3 Direitos da terceira parte (Relying Party)
9.1.3.1 Considera-se terceira parte, a parte que confia no teor, validade e aplicabilidade do
serviço de assinatura digital, verificação da assinatura digital.
9.1.3.2 Constituem direitos da terceira parte:
a) recusar a utilização do serviço de assinatura digital, verificação da assinatura
digital e guarda de documentos eletrônicos do PSC para fins diversos do seu
propósito de uso na ICP-Brasil.
b) verificar, a qualquer tempo, a validade da assinatura digital. Uma assinatura
digital ICP-Brasil é considerada válida quando:
i. o certificado digital não constar da LCR da AC emitente;
ii. a chave privada utilizada para assinar digitalmente não tiver sido
comprometida até o momento da verificação;
iii. puder ser verificada com o uso da cadeia de certificados que a gerou;
iv. o propósito de uso esteja em conformidade com o definido na política
do certificado digital do(s) signatário(s).
9.1.3.3 O não exercício desses direitos não afasta a responsabilidade do PSC responsável e do
titular do certificado.
9.2. Responsabilidades
9.2.1. Responsabilidades do PSC
O PSC responsável responde pelos danos a que der causa.
9.3. Responsabilidade Financeira
9.3.1. Indenizações devidas pela terceira parte (Relying Party)
Neste item deve ser estabelecida a inexistência de responsabilidade da terceira parte (relying
party) perante o PSC, exceto na hipótese de prática de ato ilícito.
9.3.2. Relações Fiduciárias
Neste item deve constar que o PSC responsável indenizará integralmente os danos a que der
causa. Em situações justificáveis, pode ocorrer limitação da indenização, quando o subscritor
for pessoa jurídica.
9.3.3. Processos Administrativos
Neste item devem ser relacionados os processos administrativos cabíveis, relativos às
operações do PSC responsável pela DPPSC.
9.4. Interpretação e Execução
9.4.1. Legislação
Neste item deve ser indicada a legislação que ampara a DPPSC.
9.4.2. Forma de interpretação e notificação
9.4.2.1. Neste item devem ser relacionadas as providências a serem tomadas na hipótese de
uma ou mais das disposições da DPPSC ser, por qualquer razão, considerada inválida, ilegal ou
não aplicável.
9.4.2.2. Deve também ser definida a forma pela qual serão realizadas as notificações, as
solicitações ou quaisquer outras comunicações necessárias, relativas às práticas descritas na
DPPSC.
9.4.3. Procedimentos de solução de disputa
9.4.3.1. Neste item devem ser definidos os procedimentos a serem adotados em caso de
conflito entre a DPPSC e outras declarações, políticas, planos, acordos, contratos ou
documentos que o PSC adotar.
9.4.3.2. Deve também ser estabelecido que a DPPSC do PSC responsável não prevaleça sobre
as normas, critérios, práticas e procedimentos da ICP-Brasil.
9.4.3.3. Os casos omissos deverão ser encaminhados para apreciação da AC-Raiz.
9.5. Tarifas de Serviço
Nos itens a seguir, deve ser especificada pelo PSC responsável pela DPPSC a política tarifária
e de reembolso aplicáveis, se for o caso.
9.5.1. Tarifas de armazenamento de chaves privadas para usuários finais;
9.5.2. Tarifas de serviço de assinatura digital;
9.5.3. Tarifas de serviço de verificação da assinatura digital;
9.5.4. Outras tarifas;
9.5.5. Política de reembolso.
9.6. Sigilo
9.6.1. Disposições Gerais
9.6.1.1. A chave privada dos subscritores serão mantidas pelo PSC, que será responsável pelo
seu sigilo, mantendo trilhas de auditoria com horário e data de seu acesso disponível ao
subscritor.
9.6.1.2 As assinaturas digitais e verificações das assinaturas digitais que poderão ser
realizadas pelo PSC, que será responsável pelo seu sigilo, mantendo as trilhas de auditoria com
horário e data sincronizados com a EAT, inclusive podendo identificar qual documento, IP ou
URL, entre outros, que devem ser previamente autorizados pelo subscritor, foram assinados
com a chave privada do mesmo.
9.6.1.3 Os documentos assinados digitalmente pelos subscritores poderão ser mantidos pelo
PSC, desde que expressamente acordado com o subscritor e de acordo com a legislação
vigente, que será responsável pelo seu sigilo.
9.6.2. Tipos de informações sigilosas
9.6.2.1. Neste item devem ser identificados os tipos de informações consideradas sigilosas
pelo PSC responsável pela DPPSC, de acordo com as normas, critérios, práticas e
procedimentos da ICP-Brasil.
9.6.2.2. A DPPSC deve estabelecer, como princípio geral, que nenhum documento,
informação ou registro fornecido pelo subscritor ao PSC deverá ser divulgado, exceto quando
for estabelecido um acordo com o subscritor para sua publicação mais ampla.
9.6.3. Tipos de informações não sigilosas
Neste item devem ser indicados os tipos de informações consideradas não sigilosas pelo PSC
responsável pela DPPSC, os quais deverão compreender, entre outros:
a) os certificados dos subscritores;
b)a DPPSC do PSC;
c) versões públicas de PS; e
d)a conclusão dos relatórios de auditoria.
9.6.4. Quebra de sigilo por motivos legais
Este item deve estabelecer o dever do PSC responsável pela DPPSC de fornecer documentos,
informações ou registros sob sua guarda, mediante ordem judicial.
9.6.5. Informações a terceiros
Este item da DPPSC deve estabelecer como diretriz geral que nenhum documento, informação
ou registro sob a guarda do PSC responsável pela DPPSC deverá ser fornecido a qualquer
pessoa, exceto quando a pessoa que o requerer, por meio de instrumento devidamente
constituído, estiver autorizada para fazê-lo e corretamente identificada.
9.6.6. Outras circunstâncias de divulgação de informação
Neste item da DPPSC devem ser descritas, quando cabíveis, quaisquer outras circunstâncias
em que poderão ser divulgadas informações sigilosas.
9.7. Direitos de Propriedade Intelectual
Neste item da DPPSC devem ser tratadas as questões referentes aos direitos de propriedade
intelectual de certificados, políticas, especificações de práticas e procedimentos, nomes e
chaves criptográficas, documentos assinados digitalmente de acordo com a legislação vigente.
10. DOCUMENTOS DA ICP-BRASIL
Os documentos abaixo são aprovados por Resoluções do Comitê-Gestor da ICP-Brasil,
podendo ser alterados, quando necessário, pelo mesmo tipo de dispositivo legal. O sítio
http://www.iti.gov.br publica a versão mais atualizada desses documentos e as Resoluções que
os aprovaram.
Ref Nome do documento Código
[1] VISÃO GERAL DO SISTEMA DE CARIMBO DO TEMPO
NA ICP-BRASIL
DOC-ICP-11
[2] REQUISITOS MÍNIMOS PARA AS POLÍTICAS DE
CARIMBO DO TEMPO NA ICP-BRASIL
DOC-ICP-13
[3] PROCEDIMENTOS PARA AUDITORIA DO TEMPO NA
ICP-BRASIL
DOC-ICP-14
[4] POLÍTICA DE SEGURANÇA DA ICP-BRASIL DOC-ICP-02
[5] CRITÉRIOS E PROCEDIMENTOS PARA
CREDENCIAMENTO DAS ENTIDADES INTEGRANTES
DA ICP-BRASIL
DOC-ICP-03
[6] CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO
DE AUDITORIAS NAS ENTIDADES INTEGRANTES DA
ICP-BRASIL
DOC-ICP-08
[7] CRITÉRIOS E PROCEDIMENTOS PARA
FISCALIZAÇÃO DAS ENTIDADES INTEGRANTES DA
ICP-BRASIL
DOC-ICP-09
[8] POLÍTICA TARIFÁRIA DA AUTORIDADE
CERTIFICADORA RAIZ DA ICP-BRASIL
DOC-ICP-06
[9] REGULAMENTO PARA HOMOLOGAÇÃO DE
SISTEMAS E EQUIPAMENTOS DE CERTIFICAÇÃO
DIGITAL NO ÂMBITO DA ICP-BRASIL
DOC-ICP-10
[10] PROCEDIMENTOS OPERACIONAIS MÍNIMOS PARA
OS PRESTADORES DE SERVIÇO DE CONFIANÇA DA
ICP-BRASIL
DOC-ICP-17.01
[11] REQUISITOS MÍNIMOS PARA AS POLÍTICAS DE
CERTIFICADO NA ICP-BRASIL
DOC-ICP-04
[12] REQUISITOS DAS POLÍTICAS DE ASSINATURA
DIGITAL NA ICP-BRASIL
DOC-ICP-15.03
[13] PADRÕES E ALGORITMOS CRIPTOGRÁFICOS DA
ICP-BRASIL
DOC-ICP-01.01
11. REFERÊNCIAS
BRASIL, Decreto nº 4.264, de 10 de junho de 2002 - Restabelece e Modifica o Regulamento
anterior.
BRASIL, Lei nº 9.933, de 20 de dezembro de 1999 - Dispõe sobre o Conselho Nacional de
Metrologia, Normalização e Qualidade Industrial (CONMETRO) e sobre o Instituto Nacional
de Metrologia, Normalização e Qualidade Industrial (INMETRO).
RFC 1305, IETF - Network Time Protocol version 3.0.
RFC 2030, IETF - Simple Network Time Protocol (SNTP) version 4.0.
RFC 3647, IETF - Internet X-509 Public Key Infrastructure Certificate Policy and
Certifications Practices Framework, novembro de 2003.
RFC 3161, IETF - Public Key Infrastructure Time Stamp Protocol (TSP), agosto de 2001.
RFC 3628, IETF - Policy Requirements for Time Stamping Authorities, November 2003.
ETSI TS 101.861 - v 1.2.1 Technical Specification / Time Stamping Profile, março de 2002.
ETSI TS 102.023 - v 1.1.1 Technical Specification / Policy Requirements for Time Stamping
Authorities, abril de 2002.
Regulation (EU) 910/2014 - relativo à identificação eletrônica e aos serviços de confiança
para as transações eletrônicas no mercado interno Europeu.
