Orientação sobre autenticação individualizada e controle de acessos

Em atendimento às boas práticas de segurança da informação e às exigências do Provimento nº 213, é importante esclarecer que a autenticação individualizada e o controle de acesso não devem ser aplicados apenas ao sistema principal da serventia.

O controle de acesso deve abranger todos os meios, físicos e digitais, utilizados na rotina administrativa e operacional que permitam acesso, armazenamento, compartilhamento, circulação ou tratamento de informações, especialmente dados pessoais.

Isso inclui, por exemplo:

• usuários do Windows;

• contas de rede e domínio;

• e-mails institucionais;

• pastas compartilhadas;

• permissões de arquivos;

• sistemas internos e auxiliares;

• sistemas de atendimento ao cliente;

• WhatsApp Business ou ferramentas semelhantes;

• acessos administrativos a servidores, computadores, roteadores, backups e demais plataformas;

• documentos físicos;

• livros, fichas, pastas e arquivos;

• protocolos internos;

• impressões e cópias;

• documentos em circulação entre setores;

• armários, arquivos físicos, salas restritas e locais de guarda do acervo;

• procedimentos de retirada, consulta, transporte, arquivamento e descarte de documentos.

Cada colaborador deve possuir seu próprio usuário e senha para acesso aos sistemas e recursos tecnológicos, sendo vedado o uso de credenciais compartilhadas. Essa prática permite identificar quem acessou determinado recurso, quando o acesso ocorreu e quais ações foram realizadas, fortalecendo a rastreabilidade, a segurança e a responsabilidade individual.

Da mesma forma, no ambiente físico, a serventia deve adotar controles administrativos e operacionais que permitam restringir, acompanhar e responsabilizar o acesso ao acervo documental, especialmente quando envolver documentos com dados pessoais, informações sensíveis ou atos sob sigilo.

Sempre que houver acesso administrativo ou acesso a informações sensíveis em ambiente digital, recomenda-se a utilização de autenticação multifator, especialmente em e-mails, sistemas em nuvem, ferramentas de atendimento, acessos remotos e contas com privilégios elevados.

Dessa forma, a adequação ao Provimento nº 213 deve considerar todo o ambiente de tratamento de informações da serventia, abrangendo o sistema principal, os recursos tecnológicos, os documentos digitais e o acervo físico, e não apenas o sistema utilizado para a atividade-fim.