2013-06-02
Citius Plus (piloto) em todos os tribunais até final de Julho
«Na semana passada, o Ministério da Justiça optou pela plataforma Citius Piloto, uma versão do Citius Plus, que «até final de julho» estará em «todos os tribunais», com «melhorias ao nível da segurança, desempenho e nos mecanismos de integração», disse a tutela à agência Lusa.
(...)
O Citius Piloto é uma versão do Citius Plus, que a Critical Software
desenvolveu de junho de 2010 ao mesmo mês de 2011, e, refere o
Ministério da Justiça, «irá suportar os novos desenvolvimentos a fazer
para o novo Código de Processo Civil».
À semelhança do Citius Plus, o Citius Piloto permite que todo o fluxo
passe a ser desmaterializado e que o suporte em papel seja possível
apenas para peças processuais e documentos essenciais.
O sistema permitirá ao cidadão comum o envio, de forma eletrónica, de
documentos, através do cartão do cidadão, mas, sublinha o Ministério da
Justiça, «não será este ano».
O Citius Piloto encontrava-se instalado desde 2012 no Tribunal
Judicial de Santarém, Tribunal da Concorrência, Regulação e Supervisão,
Tribunal da Propriedade Intelectual, Tribunal Judicial de Faro, Juízes
Cíveis de Coimbra, Tribunais de Família e Menores de Coimbra e na
Comarca Grande Lisboa Noroeste.»
Fonte: Diário Digital
Comentário:
Há cerca de quatro anos escrevi um conjunto de artigos sobre segurança informática, relacionados com a necessidade de certificação dos sistemas de informação da justiça (vide, nomeadamente, o artigo publicado aqui).
Espero que, desta vez, os padrões exigíveis de segurança estejam implementados e certificados - o que seria a primeira vez... -.
Etiquetas: certificação de sistemas de informação, certificação ISO, citius plus, ISO 15408, ISO 17799, ISO 27002, segurança informática
2009-03-19
Ainda a necessidade de certificação das T.I. da Justiça
Em sequência do acolhimento, pela A.S.J.P., da exigência de certificação do Citius que já havia sido concretizada aqui, que mereceu também a concordância de muitos utilizadores, começa a gerar-se um consenso, entre as pessoas ligadas aos sistemas informáticos judiciais, que essa questão terá de ser resolvida a curto prazo.
Importa sublinhar que a necessidade de certificação poderá determinar mais alterações no modelo de gestão das T.I. da Justiça, com mudanças na organização da gestão dos sistemas informáticos e das redes de comunicações dos tribunais e dos Serviços do Ministério Público, do que no Citius propriamente dito.
A sobrevivência do Citius a médio/longo prazo dependerá, nessa medida, da certificação de toda a segurança da informação da organização - tanto o modelo de organização, como a inviolabilidade, acessibilidade e integridade dos dados (informação) e os próprios equipamentos utilizados - que deverá obedecer às normas técnicas que constam dos padrões internacionais já identificados no meu artigo.
Nestes termos, não é só o Citius que carece de certificação, mas todo o sistema informático e a própria organização (gestão) da sua segurança, que deverão corresponder àquelas normas.
A quem interessar, poderá aceder através das hiperligações que seguem, ao Manual de Avaliação da Segurança em T.I. e ao Manual dos Critérios de Avaliação de Segurança em T.I., ambos publicados pela Comissão Europeia e disponibilizados no sítio do Bundesamt für Sicherheit in der Informationstechnik.
Etiquetas: certificação de sistemas de informação, certificação ISO, citius, Citius-MP, segurança informática
2009-03-09
IV - Citius: Ministério da Justiça não reconheceu a importância da certificação
Confrontado com o estudo publicado aqui, o Secretário de Estado da Justiça, Mestre João Tiago Silveira, respondeu ao Jornal de Notícias o seguinte:
«Ao contrário do que é insinuado no artigo do juiz Jorge Langweg, a implementação do Citius pressupôs sempre a existência de verificações de segurança e funcionalidade efectuadas por entidades internas e externas", começou por responder o Ministério da Justiça, sem, contudo, identificar as supostas entidades avaliadoras (o Citius é gerido pelo Instituto das Tecnologias de Informação na Justiça, que depende do Ministério da Justiça).
Sobre o apelo de Langweg à sujeição do Citius a normas internacionais ISO sobre segurança informática, o Ministério da Justiça não produziu qualquer comentário ou referência. (...)»
As insuficiências da resposta são patentes.
Em matéria de segurança o Citius não reúne os requisitos indispensáveis que possibilitem a sua certificação, cujas exigências já foram concretizadas nas postagens anteriores.
A importância da sua certificação técnica - que apenas será válida, no caso de serem satisfeitas as exigências segundo as normas ISO - também já foi por mim concretizada no estudo publicado no F.P.J.I..
De resto, gostaria de sensibilizar as pessoas em geral para outros riscos.
Ao introduzir a tramitação electrónica dos processos existe o perigo constante do código-fonte do programa executável ou uma determinada opção tecnológica "revogar", de certo modo, uma norma processual, ao impedir, ou condicionar a prática digital de um determinado acto processual previsto na lei.
Nestes termos, antes de ser introduzido nos tribunais, o seu código-fonte deveria ter sido devidamente analisado, de modo a aferir se o programa executável está de acordo, integralmente, com as regras processuais aplicadas nos tribunais.
Infelizmente, em termos funcionais - e apesar dos esforços dos contributos de muitos técnicos e utilizadores do sistema informático - o Citius ainda é uma ferramenta algo rudimentar.
O poder decisório dos juízes, a intervenção do Ministério Público e o exercício do patrocínio forense pelos advogados não devem ser afectados por insuficiências técnicas ou tecnológicas do sistema informático judicial.
Etiquetas: certificação ISO, citius, ISO 27002, segurança informática
II - SGSI: as suas exigências normais
As exigências normais dos processos de certificação, já referidos, pressupõem o seguinte:
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
Etiquetas: certificação ISO, ISO 27002, SGSI
