Acesso à informação e segurança da informação
O acesso à informação é uma garantia legal prevista no inciso XXXIII, do art. 5º , no inciso II, § 3º, do art. 37 e no § 2º, do art. 216 da Constituição Federal. Em novembro de 2011 foi sancionada a Lei nº 12.527, de 18 de novembro de 2011, também conhecida como Lei de Acesso à Informação (LAI).
A LAI passou a valer em 2012, ano no qual foi regulamentada pelo Decreto nº 7.724, de 16 de maio de 2012. Acesso, transparência e publicidade são elementos de sustentação da Lei nº 12.527/2012, todavia, não ocorrem de forma irrestrita e, por isso, fez-se necessário também regulamentar as exceções: informações classificadas segundo grau de sigilo ou que possuem acesso restrito.
Podem ser objeto de restrição de acesso às informações sigilosas classificadas segundo os graus previstos pela LAI (Art. 23), as informações restritas previstas pela LAI (Art. 31), as informações sigilosas previstas por outras hipóteses legais, bem como as informações restritas previstas por outras hipóteses legais.
Ou seja, as informações de acesso restrito são todas as informações classificadas como sigilosas (reservada, secreta ou ultrassecreta) ou consideradas de acesso restrito nos termos da Lei de Acesso à Informação, bem como as protegidas pelas demais hipóteses legais de sigilo e restrição.
A proteção aos documentos que possuem informações de acesso restrito é essencial para garantir a segurança da informação, que é um dos elementos que compõem o domínio da segurança institucional.
Na Universidade Federal do Espírito Santo (Ufes), o Comitê de Governança Digital (CGD) aprovou em 2022 a Política de Segurança da Informação (POSIN), que, associada às Instruções Normativas, estabelece princípios, diretrizes, orientações gerais e responsabilidades relacionadas à segurança da informação em âmbito institucional.
Nesse contexto, é importante entendermos os conceitos básicos que permeiam a segurança da informação.
O que são as informações sigilosas?
Segundo o Art. 23 da LAI, são as informações consideradas imprescindíveis à segurança da sociedade ou do Estado. , Portanto, são passíveis de classificação as informações cuja divulgação ou acesso irrestrito possam:
- pôr em risco a defesa e a soberania nacionais ou a integridade do território nacional;
- prejudicar ou pôr em risco a condução de negociações ou as relações internacionais do País, ou as que tenham sido fornecidas em caráter sigiloso por outros Estados e organismos internacionais;
- pôr em risco a vida, a segurança ou a saúde da população;
- oferecer elevado risco à estabilidade financeira, econômica ou monetária do País;
- prejudicar ou causar risco a planos ou operações estratégicos das Forças Armadas;
- prejudicar ou causar risco a projetos de pesquisa e desenvolvimento científico ou tecnológico, assim como a sistemas, bens, instalações ou áreas de interesse estratégico nacional;
- pôr em risco a segurança de instituições ou de altas autoridades nacionais ou estrangeiras e seus familiares; ou
- comprometer atividades de inteligência, bem como de investigação ou fiscalização em andamento, relacionadas com a prevenção ou repressão de infrações.
Os prazos máximos de restrição de acesso à informação contam a partir da data de sua produção e são os seguintes:
- ultrassecreto: 25 (vinte e cinco) anos*;
- secreto: 15 (quinze) anos; e
- reservado: 5 (cinco) anos.
Para a classificação da informação em determinado grau de sigilo, deverá ser observado o interesse público da informação e utilizado o critério menos restritivo possível, considerando a gravidade do risco ou o dano à segurança da sociedade e do Estado. Após transcorrido o prazo, a informação classificada em grau de sigilo torna-se de acesso público.
Ademais, também são consideradas sigilosas as informações protegidas por legislações específicas, tais como informações concernentes ao:
- Sigilo Bancário: Lei Complementar nº 105, de 10 de janeiro de 2001
- Sigilo Fiscal: Código Tributário Nacional
- Segredo de Justiça: Código de Processo Civil, Código de Processo Penal, etc.
- Sigilo Decorrente de Direitos Autorais: Lei nº 9.610/1998
- Sigilo Empresarial: Sigilo das Sociedades Anônimas (Lei nº 6.404/2012) e Sigilo Decorrente de Risco à Governança Empresarial (Decreto 7.724/2012)
- Sigilo de Processo Administrativo Disciplinar em Curso
Ou seja, são sigilosas as informações classificadas de acordo com os Art. 23 e 24 da LAI ou por outras legislações específicas que prevejam o sigilo.
*Pode ser prorrogado por igual período.
O que é informação restrita?
Informação que, independente de atribuição de grau de sigilo, possui acesso restrito em observação a outras hipóteses legais, como ocorre com as informações pessoais, que possuem acesso restrito pelo prazo de 100 anos, independente de classificação por grau ultrassecreto, secreto ou reservado.
Além disso, os documentos preparatórios que fundamentam a tomada de decisão ou o ato administrativo de uma autoridade competente também têm acesso restrito até que a decisão seja formalizada, conforme o disposto pelo Art. 20 do Decreto nº 7.724/2012.
Portanto, a informação restrita é aquela que, ainda que não seja classificada segundo os graus de sigilo instituídos pela LAI, tem acesso restrito determinado por outro instrumento normativo ou legal.
O papel da CPADS na segurança da informação
Em observância ao estabelecido pelo Art. 34, do Decreto nº 7.724, de 16 de maio de 2012, que regulamenta a Lei nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à Informação, a UFES criou a Comissão Permanente de Avaliação de Documentos Sigilosos (CPADS/Ufes) pela Portaria Ufes nº 2.175, de 25 de setembro de 2012.
A composição da CPADS/Ufes foi alterada pela Portaria Ufes nº 2.177, de 25 de setembro de 2012, e pela Portaria UFES nº 726, de 09 de abril de 2015.
Compete à CPADS/Ufes:
- Opinar sobre a informação produzida no âmbito de sua atuação para fins de classificação em qualquer grau de sigilo;
- Assessorar a autoridade classificadora ou a autoridade hierarquicamente superior quanto à desclassificação, reclassificação ou reavaliação de informação classificada em qualquer grau de sigilo;
- Propor o destino final das informações desclassificadas, indicando os documentos para guarda permanente, observado o disposto na Lei nº 8.159, de 8 de janeiro de 1991 ; e
- Subsidiar a elaboração do rol anual de informações desclassificadas e documentos classificados em cada grau de sigilo, a ser disponibilizado na Internet.
- Portanto, a CPADS/Ufes é diretamente responsável pela implementação da Lei de Acesso à Informação (LAI), bem como pelos dispositivos que garantem a proteção de informações cujo acesso deve ser restrito.
A importância da segurança da informação
Compreende a garantia de confidencialidade, integridade e disponibilidade da informação. As ações em torno da segurança da informação devem garantir a segurança institucional, bem como a proteção da privacidade das pessoas que possuem vínculo com o funcionamento da instituição, sejam alunos, professores, servidores técnico-administrativos, terceirizados, estagiários e outros colaboradores ou atores externos.
Na Ufes , o Comitê de Governança Digital (CGD) aprovou em 2022 a Política de Segurança da Informação (POSIN), que, associada às Instruções Normativas, estabelece princípios, diretrizes, orientações gerais e responsabilidades relacionadas à segurança da informação em âmbito institucional.
“A Política de Segurança da Informação (POSIN) é uma declaração formal acerca do compromisso com a proteção das informações de sua propriedade e/ou sob sua guarda. Esta POSIN deve direcionar a Universidade Federal do Espírito Santo (Ufes) na gestão dos riscos e no tratamento dos incidentes de segurança, por meio da adoção de procedimentos e mecanismos, que visam a eliminação ou redução de ocorrência de modificações não autorizadas, garantindo confidencialidade, integridade e autenticidade, bem como a disponibilidade de recursos e sistemas críticos para garantir a continuidade do funcionamento da Ufes.”
O acesso à informação é uma garantia constitucional. Todavia, as hipóteses legais que assegurem a restrição da informação devem ser observadas para garantir a continuidade do funcionamento da instituição, bem como proteger as informações pessoais que foram produzidas ou acumuladas pela Ufes em decorrência de seu funcionamento.
A segurança da informação envolve:
- Tratamento da Informação
- Segurança Física e do Ambiente
- Gestão de Incidentes em Segurança da Informação
- Gestão de Ativos
- Gestão do Uso dos Recursos Operacionais e de Comunicações
- Controles de Acesso Lógico
- Gestão de Riscos
- Gestão de Continuidade
- Auditoria e Conformidade
- Segurança em Recursos Humanos
- Desenvolvimento de Software Seguro
- Licenciamento de Software
- Cópias de Segurança (Backup)
Nesse cenário, é fundamental pensar a segurança da informação como peça-chave da segurança institucional e como uma responsabilidade compartilhada entre as unidades estratégicas que compõem a Universidade.