Art. 26
Fica revogado o Provimento nº 74, de 31 de julho de 2018 . Ministro MAURO CAMPBELL MARQUES ANEXO I INFRAESTRUTURA TECNOLÓGICA MÍNIMA Disposição geral: Este Anexo estabelece os requisitos estruturais mínimos de infraestrutura tecnológica necessários à continuidade operacional dos serviços notariais e de registro, compreendendo elementos físicos, energéticos, de conectividade e de suporte técnico, sem prejuízo dos controles de segurança previstos nos Anexos II e III. Os requisitos técnicos nele previstos constituem parâmetros mínimos compatíveis com o estado da técnica vigente à época da edição deste Provimento. Sempre que houver evolução tecnológica ou substituição de padrões, admitir-se-á a adoção de soluções tecnicamente equivalentes ou superiores, desde que assegurada, de forma demonstrável, a manutenção ou ampliação dos níveis de segurança, disponibilidade, integridade, rastreabilidade e continuidade exigidos neste ato normativo. 1. Infraestrutura de energia
Art. 26, inciso I
Redação anterior
utilização de fonte de energia estável e confiável;
Art. 26, inciso I
Redação anterior
conexão à internet com capacidade compatível com o pleno funcionamento dos sistemas informatizados e integrações obrigatórias;
Art. 26, inciso I
Classe 3: RPO máximo de 4 (quatro) horas;
Art. 26, inciso II
Redação anterior
sistema de aterramento adequado às normas técnicas vigentes;
Art. 26, inciso II
Redação anterior
as velocidades nominais mínimas indicadas constituem referência compatível com o cenário tecnológico atual e poderão ser substituídas por métricas técnicas mais adequadas à evolução dos serviços digitais, desde que assegurado desempenho efetivo compatível com a classe da serventia, com as integrações obrigatórias e com o cumprimento dos parâmetros de RTO e RPO definidos neste Provimento.
Art. 26, inciso II
Classe 2: RPO máximo de 12 (doze) horas;
Art. 26, inciso III
Redação anterior
utilização de Sistema de Alimentação Ininterrupta (SAI/UPS) ou solução tecnicamente equivalente, com autonomia suficiente para assegurar o salvamento de dados em memória, o encerramento seguro das transações ativas e o desligamento ordenado dos equipamentos ( safe shutdown ), recomendando-se, preferencialmente, autonomia estendida de 30 (trinta) minutos;
Art. 26, inciso III
Para a Classe 3, mecanismos de tolerância a falhas ( Fault Tolerance ) ou alta disponibilidade (HA), compatíveis com a classe da serventia;
Art. 26, inciso IV
Redação anterior
previsão de plano de contingência energética compatível com a classe da serventia. 2. Conectividade e rede
Art. 26, inciso IV
As velocidades nominais previstas neste item possuem caráter referencial. Considera-se atendido o requisito de conectividade quando a serventia demonstrar, por meio de testes documentados, que a infraestrutura contratada permite a conclusão do backup incremental e a sincronização de dados dentro do RPO estabelecido para sua classe, independentemente da largura de banda nominal contratada;
Art. 26, inciso V
Para fins de atendimento ao critério de desempenho efetivo referido neste inciso, admite-se a adoção de soluções complementares ou alternativas de continuidade e restauração, tais como armazenamento local redundante, replicação híbrida, cópia de segurança local sincronizada com nuvem, procedimentos de “ seed ” inicial, ou outros meios tecnicamente equivalentes, desde que documentados no PCN/PRD e aptos a demonstrar, de modo verificável, a aderência ao RTO e ao RPO estabelecidos;
Art. 26, inciso VI
Redação anterior
utilização de roteador para gerenciamento das conexões internas e externas;
Art. 26, inciso VI
preservação dos registros de testes de restauração pelo prazo mínimo de 5 (cinco) anos, sem prejuízo de prazo superior quando exigido pela Corregedoria competente em procedimento específico;
Art. 26, inciso VII
Redação anterior
utilização de comutador ( switch ) para conexão dos dispositivos internos;
Art. 26, inciso VII
implementação dos mecanismos de tolerância a falhas, alta disponibilidade ou redundância por meio de tecnologias diversas, físicas ou virtuais, locais ou em nuvem, desde que assegurado nível de resiliência igual ou superior ao exigido neste Anexo. 5.1. Os prazos de guarda previstos neste item aplicam-se exclusivamente aos registros técnicos de testes de restauração e não afastam os prazos de guarda documental e probatória estabelecidos nas Disposições Gerais do Anexo IV. 6. Equipamentos e suporte técnico
Art. 26, inciso VIII
possibilidade de múltiplos links ou tecnologia equivalente que assegure desempenho efetivo compatível com a classe da serventia. 2.1. Para a Classe 1, a adoção de arquitetura de alta disponibilidade, redundância simultânea de links ou duplicação integral de infraestrutura não constitui requisito obrigatório quando o RTO e o RPO definidos para a respectiva classe forem comprovadamente atendidos por meio de backup periódico testado e procedimento documentado de restauração, observado o prazo máximo de 24 (vinte e quatro) horas. 3. Ambiente físico e proteção estrutural
Art. 26, § 1º
Os valores estabelecidos neste item constituem parâmetros funcionais mínimos de ponto máximo de perda de dados admissível, podendo ser superados por solução tecnicamente mais protetiva.
Art. 26, § 2º
A demonstração de atendimento ao RPO deverá constar do PCN/PRD e do dossiê técnico ou relatório simplificado, conforme a classe. 2.2. Parâmetros mínimos de RTO por classe
Art. 26, § 2º, inciso I
Classe 3: RTO máximo de 8 (oito) horas;
Art. 26, § 2º, inciso II
Classe 2: RTO máximo de 24 (vinte e quatro) horas;
Art. 26, § 2º, inciso III
Classe 1: RTO máximo de 24 (vinte e quatro) horas, admitida solução simplificada de restauração documentada no PCN/PRD, compatível com os recursos estruturais da classe.
Art. 26, § 3º
Os parâmetros estabelecidos neste item constituem padrões mínimos obrigatórios, admitida a adoção de metas mais protetivas quando técnica e economicamente viável. 3. Monitoramento e trilhas de auditoria
Art. 26, § 3º, inciso I
Redação anterior
logs protegidos contra alteração não autorizada, com mecanismos de integridade verificável e controle de acesso restrito;
Art. 26, § 3º, inciso I
Aplicável ao delegatário, interino, interventor, colaboradores, estagiários e terceiros. 3. Princípios Confidencialidade; Integridade; Disponibilidade; Rastreabilidade; Conformidade Legal. 4. Estrutura mínima obrigatória 4.1 Governança e responsabilidades; 4.2 Regras de controle e revogação de acesso; 4.3 Diretrizes de uso aceitável; 4.4 Integração com PCN e PRD, com RTO e RPO definidos; 4.5 Proteção física de ativos; 4.6 Procedimentos de gestão de incidentes; 4.7 Gestão de vulnerabilidades, observados integralmente os prazos e critérios técnicos definidos no Anexo II, vedada flexibilização por norma interna; 4.8 Proteção de Dados Pessoais (LGPD):
Art. 26, § 3º, inciso II
Redação anterior
identificação inequívoca do usuário, data, hora e tipo de operação;
Art. 26, § 3º, inciso II
tratamento de vulnerabilidades classificadas como críticas em prazo máximo de 30 (trinta) dias, quando inexistente evidência de exploração ativa. Identificada exploração ativa, risco iminente ou comprometimento relevante, deverão ser adotadas medidas imediatas de contenção e correção emergencial, preferencialmente em até 72 (setenta e duas) horas, com registro formal das providências, inclusive das medidas mitigatórias aplicadas durante a janela de correção;
Art. 26, § 3º, inciso III
Redação anterior
sincronização de tempo por fonte confiável;
Art. 26, § 3º, inciso III
encarregado/DPO, quando aplicável. 1.2. Elaborar, aprovar e divulgar internamente a Política de Segurança da Informação, contemplando integralmente os elementos mínimos do Anexo III e estabelecendo (planejando), de forma expressa e estruturada, as diretrizes, objetivos estratégicos, cronogramas, responsabilidades e demais parâmetros que fundamentarão a elaboração, na Etapa 2, do Plano de Continuidade de Negócios (PCN) e do Plano de Recuperação de Desastres (PRD). Nesta Etapa 1, exige-se a incorporação dessas diretrizes à Política interna, com definição preliminar de escopo, governança e critérios de continuidade. A formalização técnica completa, operacional e documentada do PCN e do PRD, com definição detalhada de riscos, medidas de mitigação, RTO e RPO, ocorrerá obrigatoriamente na Etapa 2, vedada tanto sua exigência integral nesta Fase 1 quanto sua postergação para etapa posterior à segunda; 1.3. Implementar autenticação individualizada e autenticação multifator obrigatória para acessos administrativos, vedadas credenciais compartilhadas; 1.4. Instituir registro das operações de tratamento de dados pessoais, nos termos do art. 7º, §1º. 1.5. Incidentes classificados como críticos deverão ser comunicados à Corregedoria competente nos prazos e condições definidos no Anexo II, sem prejuízo das comunicações exigidas pela legislação específica; 1.6. Sem prejuízo do prazo máximo previsto no item anterior, constitui meta de governança e padrão de diligência reforçada que a comunicação à Corregedoria competente ocorra, sempre que possível, em até 24 (vinte e quatro) horas da ciência do incidente, especialmente quando houver risco relevante de indisponibilidade prolongada, comprometimento de dados pessoais ou potencial impacto sistêmico; 1.7. Elaborar inventário completo de ativos tecnológicos, integrações, bancos de dados, certificados digitais, softwares, histórico de atualizações e contratos; 1.8. Regularizar licenciamento de softwares e revisar todos os contratos com terceiros que envolvam tratamento, armazenamento ou processamento de dados da serventia, assegurando cláusulas expressas e exequíveis de: (i) confidencialidade; (ii) reversibilidade; (iii) portabilidade integral do acervo em formato interoperável e não proprietário; (iv) disponibilização de documentação técnica necessária à migração; (v) cooperação em caso de transição de fornecedor; (vi) gestão de incidentes; e (vii) conformidade integral com a Lei nº 13.709/2018 ; 1.9. Produzir declaração de conclusão da Etapa 1, a ser necessariamente firmada pelo titular da delegação, pelo interino na serventia vaga ou pelo interventor. Registrar a conclusão desta Etapa no Sistema Justiça Aberta. ETAPA 2 — INFRAESTRUTURA E CONTINUIDADE OPERACIONAL Escopo da etapa : estruturar a base material que sustenta os sistemas informatizados, garantindo disponibilidade mínima, estabilidade elétrica, segurança física e planejamento formal de continuidade. Condições objetivas de conformidade : ao término desta etapa, a serventia deverá dispor de infraestrutura física adequada, conectividade compatível com sua classe, planos formais de continuidade (PCN e PRD) com RTO e RPO definidos, e capacidade mínima de manter ou restabelecer as operações dentro dos parâmetros normativos. 2.1. Implementar infraestrutura energética adequada (fonte estável, aterramento técnico e SAI/UPS com autonomia mínima de 30 minutos). 2.2. Estabelecer plano de contingência energética compatível com a classe. 2.3. Adequar ambiente físico com controle de acesso restrito e proteção contra incêndio, inundações e variações térmicas. 2.4. Implementar conectividade compatível com a classe, com roteador, switch e, quando necessário, múltiplos links. 2.5. Formalizar o Plano de Continuidade de Negócios (PCN) e o Plano de Recuperação de Desastres (PRD), em documentos distintos ou integrados, desde que contenham, cumulativamente:
Art. 26, § 3º, inciso IV
retenção mínima das trilhas de auditoria pelo prazo de 5 (cinco) anos, admitido prazo uniforme superior quando tecnicamente justificado;
Art. 26, § 3º, inciso V
possibilidade de utilização de solução SIEM e coleta centralizada de logs, preservada a segregação lógica por serventia;
Art. 26, § 3º, inciso VI
adoção de soluções tecnológicas equivalentes ou superiores às exemplificadas, inclusive baseadas em automação avançada ou inteligência artificial, desde que assegurados os requisitos de imutabilidade, rastreabilidade e retenção mínima previstos neste Anexo. 3.1. A referência a SIEM, IDS/IPS, correlação automatizada ou monitoramento contínuo possui natureza exemplificativa, não constituindo requisito de aquisição de ferramenta específica, reputando-se atendido o controle quando a serventia demonstrar, por meios técnicos proporcionais à sua classe, a coleta, a proteção contra adulteração, a retenção mínima e a capacidade de auditoria dos logs, inclusive mediante soluções nativas do fornecedor, centralização simplificada, alertas básicos e revisões periódicas documentadas, preservados os requisitos de imutabilidade, rastreabilidade e retenção mínima. 4. Gestão de incidentes de segurança da informação