INSTRUÇÃO NORMATIVA Nº 003, DE 28 DE MAIO DE 2025.

A DIRETORA-GERAL DO TRIBUNAL REGIONAL ELEITORAL DO PARANÁ, no uso das atribuições que lhe são conferidas pelo art. 43, inc. VII, do Regulamento da Secretaria deste Tribunal;

CONSIDERANDO a necessidade de definir processos para o uso de recursos criptográficos;

CONSIDERANDO a Resolução CNJ nº 396, de 07/06/2021, que institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ);

CONSIDERANDO a Resolução TSE nº 23.644, de 1º/07/2021, que institui a Política de Segurança da Informação (PSI) no âmbito da Justiça Eleitoral.

CONSIDERANDO a Portaria nº DG/TSE 444, de 08/07/2021, que dispõe sobre a instituição da norma de termos e definições relativa à Política de Segurança da Informação do Tribunal Superior Eleitoral.

CONSIDERANDO as boas práticas em segurança da informação previstas nas normas ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002.

CONSIDERANDO as boas práticas em segurança da informação previstas no modelo CIS Controls V.8.

CONSIDERANDO a necessidade de implementar controles para o tratamento de dados pessoais, de acordo com a Lei nº 13.709, de 14/08/2018 (LGPD);

CONSIDERANDO que a segurança da informação e a proteção de dados pessoais são condições essenciais para a prestação dos serviços jurisdicionais e administrativos do Tribunal Regional Eleitoral do Paraná;

CONSIDERANDO o contido no Processo SEI nº 0001699-58.2025.6.16.8000;

RESOLVE:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída a presente Instrução Normativa para regulamentar o uso de recursos criptográficos no âmbito da Justiça Eleitoral do Paraná.

Art. 2º Esta norma observa a Política de Segurança da Informação da Justiça Eleitoral, estabelecida pela Resolução TSE nº 23.644/2021.

CAPÍTULO II

DAS DEFINIÇÕES

Art. 3º Para efeitos desta norma consideram-se os termos e definições previstos na Portaria DG/TSE nº 444/2021.

Art. 4º O uso de recursos criptográficos visa proteger a confidencialidade, a integridade e a autenticidade dos dados transmitidos pelas redes de computadores, assim como dos dados em repouso, armazenados em servidores, microcomputadores, dispositivos móveis e bancos de dados.

CAPÍTULO III

DA CRIPTOGRAFIA DOS DADOS EM TRÂNSITO

Art. 5º É obrigatório o uso de protocolo seguro, como HTTPS, em todos os sistemas e portais Web, independentemente de serem acessados pela rede interna ou pela Internet.

Art. 6º Toda comunicação cliente/servidor onde trafegam dados pessoais ou logins e senhas deve utilizar protocolos de comunicação segura.

CAPÍTULO IV

DA CRIPTOGRAFIA DOS DADOS ARMAZENADOS

Art. 7º Os dados pessoais sensíveis armazenados em servidores e bancos de dados devem adotar técnicas de criptografia ou anonimização, visando diminuir o risco em caso de vazamento de dados.

Art. 8º As cópias de segurança (backups) que contenham dados pessoais sensíveis devem adotar técnicas de criptografia, visando diminuir o risco em caso de vazamento de dados.

Art. 9º Os computadores, notebooks e dispositivos móveis, de propriedade da Justiça Eleitoral, utilizados em trabalho remoto, devem ter seus discos rígidos protegidos por criptografía, visando diminuir o risco de vazamento de dados em caso de furto.

CAPÍTULO V

DA ASSINATURA DIGITAL

Art. 10. A Secretaria de Tecnologia da Informação (SECTI) deverá distribuir e gerenciar certificados para assinatura digital, sejam do tipo A1 (arquivo digital com senha) ou A3 (token), de acordo com as necessidades do usuário interno e com os procedimentos técnicos adotados.

Art. 11. Os certificados digitais poderão ser utilizados como segundo fator de autenticação (2FA) em computadores ou sistemas, de acordo com a sua criticidade e disponibilidade da tecnologia.

CAPÍTULO VI

DA AUTORIDADE CERTIFICADORA

Art. 12. O TRE-PR poderá manter a Infraestrutura de Chaves Públicas (ICP) própria para uso em sistemas e computadores de uso interno, sendo permitido o modelo de Autoridade Certificadora (AC) auto assinada.

Art. 13. Os certificados digitais instalados em servidores e sistemas Web com acesso pela Internet deverão utilizar certificados digitais fornecidos por AC comercial, visando a compatibilidade com os computadores e dispositivos móveis dos usuários externos.

CAPÍTULO VII

DAS RESPONSABILIDADES

Art. 14. Cabe à SECTI, por meio de suas áreas técnicas:

I - Implementar o nível adequado de criptografia nos sistemas e dispositivos;

II - Adquirir e gerenciar os certificados digitais para usuários;

III - Implementar e manter ICP interna;

IV - Adquirir e gerenciar os certificados digitais para servidores e aplicações;

V - Informar ao Comitê Gestor de Segurança da Informação e Proteção de Dados Pessoais (CGSIPDP) eventuais não-conformidades.

Art. 15. Cabe ao usuário:

I - Zelar pela segurança do certificado digital recebido, não compartilhando o seu uso e a sua senha com terceiros;

II - Assinar termo de compromisso no ato do recebimento de certificado digital;

III - Informar imediatamente à SECTI em caso de extravio ou comprometimento do certificado digital para adoção das providências de revogação;

IV - O usuário deve estar ciente de que a assinatura ou login realizados por meio de certificado digital são irretratáveis, não podendo alegar que não efetuou a ação.

CAPÍTULO VIII

DISPOSIÇÕES FINAIS

Art. 16. No caso de algum equipamento, aplicação, aplicativo, sistema ou banco de dados não permitir a adoção de protocolos seguros, a informação deverá constar em documento de análise de riscos de segurança da informação, sendo imediatamente submetido à apreciação do CGSIPDP.

Art. 17. Os casos omissos serão resolvidos pelo CGSIPDP.

Art. 18. A SECTI elaborará, em até 1 (um) ano a partir da publicação desta norma, os procedimentos operacionais para sua aplicação, que levem em conta as boas práticas de cibersegurança e os recursos tecnológicos disponíveis.

Art. 19. Qualquer descumprimento desta norma deve ser imediatamente comunicado e registrado pelo Gestor de Segurança da Informação, com consequente adoção das providências cabíveis.

Art. 20. Esta norma será revisada sempre que se fizer necessário.

Art. 21. No prazo de 1 (um) ano a partir da publicação desta norma, a SECTI deverá informar ao Gestor de Segurança da Informação quais ativos de informação não poderão se adequar às regras previstas nesta instrução normativa.

Art. 22. Esta instrução normativa entrará em vigor na data de sua publicação.

Curitiba, 28 de maio de 2025.

SOLANGE MARIA VIEIRA

Diretora-Geral