O Departamento de Informática do Sistema Único de Saúde (Datasus), do Ministério da Saúde, anunciou nesta sexta-feira (18/07), um conjunto de normas que visam a proteção dos seus sistemas de informação.

"O ambiente computacional do Ministério da Saúde e suas informações são freqüentemente alvo de ataques indesejáveis de diversas procedências, tornando-se imperioso realizar uma estratégia de Segurança da Informação que trate da avaliação periódica dos riscos de seus ativos e da gestão dos controles de segurança", explicou o Diretor do Datasus; Ernani Bento Bandarra, num conjunto de argumentos que sustentam a justificativa para a adoção das novas medidas.

De todos os órgãos ministériais na área de Informática, o Datasus sempre foi o mais "fechado" à imprensa. Praticamente nunca informou suas ações neste campo nem tampouco tinha admitido, até o momento de forma pública, ser "alvo de ataques" em sua rede.

A decisão do Datasus, entretanto, é decorrente de um Acórdão 461/2004, do Tribunal de Contas da União, que na época cobrou tais medidas de segurança e deu um ano de prazo, já atrasado, de um ano, para que o Datasus implementasse o conjunto dessas novas práticas. São elas:

- A concepção e implementação de uma política de segurança de informações formal e, preferencialmente, baseada nos ditames da norma NBR ISO/IEC 17799;
- A análise regular de arquivos logs com utilização, sempre que possível, de softwares utilitários específicos, para monitoramento do uso dos sistemas;
- A elaboração e implementação de um Plano de Contingências de acordo com o item 11.1.4 da NBR ISO/IEC 17799;
- A classificação do nível de segurança e controle de acesso aos dados, no âmbito do Projeto "Repositório";
- O estabelecimento de mecanismos formais de monitoração, supervisão e controle das atividades terceirizadas; e a preservação do conhecimento do núcleo gerencial do negócio, dando prioridade à alocação de funcionários efetivos na supervisão e gerência de projetos;
- Estudos com vistas à criação de uma gerência específica de segurança, preferencialmente vinculada à direção geral;'

"É necessário, portanto, que o Datasus continue aprimorando a segurança das informações sob a sua custódia, pois, apesar de ter sido constatada a existência de iniciativas isoladas tanto no aspecto da segurança física quanto de acesso lógico, não existem, atualmente, procedimentos formais que implementem uma política de segurança adequada no órgão", destacou na época o relator do processo no TCU, Ministro Marcos Vilaça.

Decisões:

O Diretor Ernani Bandarra, publicou no Diário Oficial da União a Portaria 207, e instituiu a partir de agora no âmbito do Datasus, uma nova "Política de Segurança da Informação e Comunicações" (PSCI), baseadas nas seguintes conceituações:

I - Regulamentação: conjunto de diretrizes, normas e procedimentos que permitam ao DATASUS executar as mais variadas
tarefas de proteção da informação, no que diz respeito à confidencialidade, disponibilidade, integridade e autenticidade da informação.

II - Certificado de Conformidade: garantia formal de que um produto ou serviço, devidamente identificado, está em conformidade com uma norma legal;

III - Segurança da Informação: proteção dos sistemas de informação contra a negação de serviço a usuários autorizados, assim
como contra a intrusão, e a modificação desautorizada de dados ou informações, armazenados, em processamento ou em trânsito, abrangendo,inclusive, a segurança dos recursos humanos, da documentação e do material, das áreas e instalações das comunicações e computacional, assim como as destinadas a prevenir, detectar, deter e documentar eventuais ameaças a seu desenvolvimento.

Com base nesses princípios, o Datasus tomará uma série de medidas para a implementação da sua Política de Segurança. E duas delas certamente serão fator de preocupações para o mercado privado, pois trata-se de por um fim em eventuais dependências tecnoógicas que o órgão sofre. Após o Governo Fernando Henrique Cardoso, tornou-se comum em diversos ministérios, as áreas de informática serem totalmente terceirizadas, deixando-os vulneráveis quanto à guarada de informações sensíveis de Governo. Da mesma forma, materialmente, essas áreas tornaram-se dependentes de um único fornecedor ou uma única plataforma de sistemas proprietários, que sempre ditaram preços e regras de renovação de contratos. A nova portaria pelo menos visa acabar com esse clima de dependência ao estabelecer as seguintes medidas de Segurança:

a) Dotar o Datasus e os órgãos de administração direta que compõem a estrutura do Ministério da Saúde de instrumentos
normativos e organizacionais que os capacitem científica, tecnológica e administrativamente a assegurar a confidencialidade, a integridade, a autenticidade, o não-repúdio e a disponibilidade dos dados e das informações tratadas, classificadas e sensíveis, além de garantir que os mesmos sejam usados no interesse da Administração;

b) Eliminar a dependência externa em relação a sistemas,equipamentos, dispositivos e atividades vinculadas à segurança dos
sistemas de informação;

c) Promover a capacitação de recursos humanos para o desenvolvimento de competência científico-tecnológica em segurança
da informação;

d) Estabelecer normas jurídicas necessárias à efetiva implementação da segurança da informação;

e) Promover as ações necessárias à implementação e manutenção da segurança da informação;

f) Promover o intercâmbio científico-tecnológico entre os órgãos e as entidades da Administração Pública Federal e as instituições públicas e privadas, sobre as atividades de segurança da informação;

g) Promover a capacitação industrial do País com vistas à sua autonomia no desenvolvimento e na fabricação de produtos que
incorporem recursos criptográficos, assim como estimular o setor produtivo a participar competitivamente do mercado de bens e de serviços relacionados com a segurança da informação; e

h) Assegurar a interoperabilidade entre os sistemas de segurança da informação.

"A PSIC/Datasus sofrerá alterações à medida que novas orientações legais e normativas relacionadas à segurança da informação e comunicações forem emanadas do Governo Federal", informa a Portaria 207.