2013-06-02
Citius Plus (piloto) em todos os tribunais até final de Julho
«Na semana passada, o Ministério da Justiça optou pela plataforma Citius Piloto, uma versão do Citius Plus, que «até final de julho» estará em «todos os tribunais», com «melhorias ao nível da segurança, desempenho e nos mecanismos de integração», disse a tutela à agência Lusa.
(...)
O Citius Piloto é uma versão do Citius Plus, que a Critical Software
desenvolveu de junho de 2010 ao mesmo mês de 2011, e, refere o
Ministério da Justiça, «irá suportar os novos desenvolvimentos a fazer
para o novo Código de Processo Civil».
À semelhança do Citius Plus, o Citius Piloto permite que todo o fluxo
passe a ser desmaterializado e que o suporte em papel seja possível
apenas para peças processuais e documentos essenciais.
O sistema permitirá ao cidadão comum o envio, de forma eletrónica, de
documentos, através do cartão do cidadão, mas, sublinha o Ministério da
Justiça, «não será este ano».
O Citius Piloto encontrava-se instalado desde 2012 no Tribunal
Judicial de Santarém, Tribunal da Concorrência, Regulação e Supervisão,
Tribunal da Propriedade Intelectual, Tribunal Judicial de Faro, Juízes
Cíveis de Coimbra, Tribunais de Família e Menores de Coimbra e na
Comarca Grande Lisboa Noroeste.»
Fonte: Diário Digital
Comentário:
Há cerca de quatro anos escrevi um conjunto de artigos sobre segurança informática, relacionados com a necessidade de certificação dos sistemas de informação da justiça (vide, nomeadamente, o artigo publicado aqui).
Espero que, desta vez, os padrões exigíveis de segurança estejam implementados e certificados - o que seria a primeira vez... -.
Etiquetas: certificação de sistemas de informação, certificação ISO, citius plus, ISO 15408, ISO 17799, ISO 27002, segurança informática
2009-03-09
IV - Citius: Ministério da Justiça não reconheceu a importância da certificação
Confrontado com o estudo publicado aqui, o Secretário de Estado da Justiça, Mestre João Tiago Silveira, respondeu ao Jornal de Notícias o seguinte:
«Ao contrário do que é insinuado no artigo do juiz Jorge Langweg, a implementação do Citius pressupôs sempre a existência de verificações de segurança e funcionalidade efectuadas por entidades internas e externas", começou por responder o Ministério da Justiça, sem, contudo, identificar as supostas entidades avaliadoras (o Citius é gerido pelo Instituto das Tecnologias de Informação na Justiça, que depende do Ministério da Justiça).
Sobre o apelo de Langweg à sujeição do Citius a normas internacionais ISO sobre segurança informática, o Ministério da Justiça não produziu qualquer comentário ou referência. (...)»
As insuficiências da resposta são patentes.
Em matéria de segurança o Citius não reúne os requisitos indispensáveis que possibilitem a sua certificação, cujas exigências já foram concretizadas nas postagens anteriores.
A importância da sua certificação técnica - que apenas será válida, no caso de serem satisfeitas as exigências segundo as normas ISO - também já foi por mim concretizada no estudo publicado no F.P.J.I..
De resto, gostaria de sensibilizar as pessoas em geral para outros riscos.
Ao introduzir a tramitação electrónica dos processos existe o perigo constante do código-fonte do programa executável ou uma determinada opção tecnológica "revogar", de certo modo, uma norma processual, ao impedir, ou condicionar a prática digital de um determinado acto processual previsto na lei.
Nestes termos, antes de ser introduzido nos tribunais, o seu código-fonte deveria ter sido devidamente analisado, de modo a aferir se o programa executável está de acordo, integralmente, com as regras processuais aplicadas nos tribunais.
Infelizmente, em termos funcionais - e apesar dos esforços dos contributos de muitos técnicos e utilizadores do sistema informático - o Citius ainda é uma ferramenta algo rudimentar.
O poder decisório dos juízes, a intervenção do Ministério Público e o exercício do patrocínio forense pelos advogados não devem ser afectados por insuficiências técnicas ou tecnológicas do sistema informático judicial.
Etiquetas: certificação ISO, citius, ISO 27002, segurança informática
II - SGSI: as suas exigências normais
As exigências normais dos processos de certificação, já referidos, pressupõem o seguinte:
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
Etiquetas: certificação ISO, ISO 27002, SGSI
2009-03-04
Citius e Citius-MP: casos de insegurança?
O sistema judicial tem sido alertado, recentemente, por notícias e receios alarmantes, relativos à segurança dos sistemas informáticos utilizados nos tribunais e nos Serviços do Ministério Público.
As preocupações suscitadas têm fundamento, na medida em que os problemas tornados públicos revelam, designadamente, a ausência de uma verdadeira avaliação da segurança dos sistemas.
A abordagem tradicional dos juristas nesta matéria é realizada, normalmente, através de uma análise empírica, emergente da utilização dos aplicativos, ou de uma análise meramente jurídica. A importância destas abordagens não é despicienda.
Contudo, em matéria de segurança de sistemas computacionais e de redes informáticas, isso não basta.
Não se pode afirmar que um determinado sistema é seguro ou inseguro com a mesma ligeireza ou convicção com que se expressa a ideia que uma determinada obra de arte é, ou não, bela.
A segurança informática não pode estar dependente de avaliações subjectivas.As preocupações suscitadas têm fundamento, na medida em que os problemas tornados públicos revelam, designadamente, a ausência de uma verdadeira avaliação da segurança dos sistemas.
A abordagem tradicional dos juristas nesta matéria é realizada, normalmente, através de uma análise empírica, emergente da utilização dos aplicativos, ou de uma análise meramente jurídica. A importância destas abordagens não é despicienda.
Contudo, em matéria de segurança de sistemas computacionais e de redes informáticas, isso não basta.
Não se pode afirmar que um determinado sistema é seguro ou inseguro com a mesma ligeireza ou convicção com que se expressa a ideia que uma determinada obra de arte é, ou não, bela.
Para responder às exigências dos profissionais de segurança, foram desenvolvidos diversos sistemas métricos de segurança, cuja utilização tem sido considerada verdadeiramente crítica para o desenvolvimento de sistemas com qualidade assegurada.
As métricas de segurança constituem ferramentas de avaliação dos níveis de segurança de sistemas, produtos e processos informáticos, permitindo a previsão e a resolução das questões de segurança (vejam, na imagem supra, o elevado número de factores a considerar):
a) Identificando e avaliando as vulnerabilidades de sistemas informáticos;
b) Gerando as acções correctivas prioritárias;
A sua aplicação permitirá, ainda:
c) Facilitar a responsabilização dos administradores dos sistemas;
d) Melhorar a confiança dos utilizadores;
e) Perspectivar investimentos correctos em segurança – tanto no desenvolvimento de programas informáticos, como na definição do ambiente de operação -;
f) Aumentando o nível de maturidade da segurança da organização.
(Fonte da imagem: aqui)
O facto destas normas técnicas terem sido aparentemente ignoradas na concepção dos sistemas informáticos judiciais e judiciários constituiu para mim motivação suficiente para escrever, a propósito desta matéria, o artigo publicado, nesta data, aqui.
(Hiperligação: http://www.justicaindependente.net/opiniaoforum/jorgelangweg-seguranca-informatica-certificacao.html)
Nota: Para os estudiosos destas matérias, poderão iniciar a pesquisa bibliográfica sobre o tema aqui.
Etiquetas: citius, Citius-MP, CTCPEC, FIPS, ISO 15408, ISO 17799, ISO 27002, ITSEC, MSFR, norma TCSEC, Orange Book, segurança informática, sistemas métricos de segurança
