INSTRUÇÃO NORMATIVA Nº 28, DE 22 DE SETEMBRO DE 2025

O Presidente do Tribunal Regional Eleitoral do Tocantins, no uso das atribuições que lhe são conferidas pelo art. 20, inciso XV, do Regimento Interno do Tribunal Regional Eleitoral do Tocantins, RESOLVE:

Capítulo I

DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída a norma de configuração segura de ambientes na Justiça Eleitoral do Tocantins, em consonância com a Política de Segurança da Informação da Justiça Eleitoral (PSI-JE).

Capítulo II

DA CLASSIFICAÇÃO DOS TIPOS DE ATIVOS CORPORATIVOS

Art. 2º Os controles mínimos estabelecidos nos incisos deste artigo visam estabelecer e manter a configuração segura de ativos corporativos (dispositivos de usuário final, incluindo portáteis e móveis; dispositivos de rede; dispositivos não computacionais/ IoT; e servidores) e software (sistemas operacionais e aplicações) no ambiente da rede corporativa da justiça eleitoral de acordo com a seguinte classificação:

I - ATIVOS DE INFRAESTRUTURA REDE, quais sejam os dispositivos de rede;

II - ATIVOS DE APLICAÇÕES, quais sejam os sistemas operacionais e aplicações;

III - ATIVOS DE USUÁRIOS, quais sejam os usuários finais;

IV - ATIVOS DE DISPOSITIVOS, quais sejam os dispositivos de usuário final, incluindo portáteis, dispositivos não computacionais/ IoT e móveis e servidores;

Capítulo III

DA CONFIGURAÇÃO SEGURA PARA OS ATIVOS DE INFRAESTRUTURA DE REDE

Art. 3º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de rede contemplando no mínimo:

I - Revisão e atualização da documentação anualmente ou quando ocorrerem mudanças significativas no ambiente que possam impactar esta medida de segurança;

II - Gerenciamento dos ativos e software corporativos com implementações de gestão de configuração que no mínimo seja contemplado:

a) Uso de infraestrutura como código (IaC), quando possível, qual seja o gerenciamento e provisionamento da infraestrutura por meio de códigos, em vez de processos manuais.

b) Acesso a interfaces administrativas por meio de protocolos de rede seguros, como Secure Shell (SSH) e Hypertext Transfer Protocol Secure (HTTPS),

c) Não utilização de protocolos de gestão inseguros, como Telnet (Teletype Network) e HTTP, a menos que seja operacionalmente essencial;

d) Aplicação de procedimentos de hardening nos ativos de rede e servidores contemplando no mínimo a limitação do acesso à interface de gerência em interfaces e/ou endereços IP controlados;

Capítulo IV

DA CONFIGURAÇÃO SEGURA PARA OS ATIVOS DE APLICAÇÕES

Art. 4º Deverá ser estabelecido e mantido um processo de configuração segura para os softwares de sistemas operacionais e aplicações utilizados nos ativos corporativos que contemple:

I - Revisão e atualização da documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam impactar esta medida de segurança;

II - Criação de processos automatizados de configuração de segurança que definam as configurações de segurança dos sistemas para atender aos requisitos mínimos de proteger os dados usados nos ativos corporativos;

III - Utilização de configurações de baseline de segurança com base nos requisitos de segurança ou classificação dos dados no ativo corporativo, contemplando:

a) Instalação do software básico do sistema operacional e posterior aplicação dos patches de segurança apropriados.

b) Instalação apenas dos pacotes, ferramentas e utilitários de software de aplicação apropriados e posterior atualizações apropriadas ao software instalado.

c) Execução processos automatizados de configuração de segurança.

d) Execução de testes para aferição que possam aferir a qualidade das implementações de segurança.

Capítulo V

DA CONFIGURAÇÃO SEGURA PARA OS ATIVOS DE USUÁRIOS

Art. 5º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de usuários da rede corporativa da Justiça Eleitoral que contemple:

I - Configuração de bloqueio automático de sessão nos ativos corporativos após um período definido de inatividade.

a) Para sistemas operacionais de uso geral, o período não deve exceder 15 minutos.

b) Para dispositivos móveis de usuário final, o período não deve exceder 2 minutos.

II - Desativação ou inutilização das contas padrão nos ativos e software corporativos quando possível.

Capítulo VI

DA CONFIGURAÇÃO SEGURA PARA OS ATIVOS DE DISPOSITIVOS

Art. 6º Deverá ser estabelecido e mantido um processo de configuração segura para os ativos de dispositivos dos usuários da rede corporativa da Justiça Eleitoral que contemple:

I - A implementação e gerenciamento de firewall nos servidores, onde houver suporte. Essas implementações podem incluir firewall virtual, firewall do sistema operacional ou um agente de firewall de terceiros.

II - A implementação e gerenciamento de firewall baseado em host ou uma ferramenta de filtragem de porta nos dispositivos de usuário final, com uma regra de negação padrão de bloqueio de todo o tráfego, exceto os serviços e portas que são explicitamente permitidos.

III - A desinstalação ou desativação de todos os serviços desnecessários nos ativos e software corporativos.

IV - Configuração de servidores DNS confiáveis nos ativos corporativos, preferencialmente servidores DNS controlados pela Justiça Eleitoral e/ou servidores DNS confiáveis acessíveis externamente caso seja imprescindível para a operação;

V - A imposição de bloqueio automático do dispositivo seguindo um limite pré-determinado de tentativas de autenticação local com falha nos dispositivos portáteis de usuário final, quando compatível.

a) Para laptops, não devem ser permitidas mais de 10 tentativas de autenticação com falha;

b) Para tablets e smartphones, não mais do que 7 tentativas de autenticação com falha.

VI - A implementação da segmentação dos espaços de trabalho corporativos que sejam utilizados nos dispositivos móveis de usuário final, onde houver suporte, para garantir a separação das aplicações e dados corporativos das aplicações e dados pessoais.

Capítulo VII

DISPOSIÇÕES FINAIS

Art. 7º A revisão desta norma ocorrerá a cada ano ou sempre que se fizer necessário ou conveniente para o TRE-TO.

Art. 8° O descumprimento desta norma deve ser imediatamente registrado como incidente de segurança e comunicado à CPSI para apuração e consequente adoção das providências cabíveis.

Art. 9º Os casos omissos serão resolvidos pela Comissão Permanente de Segurança da Informação (CPSI).

Art. 10 Esta Instrução Normativa entra em vigor na data de sua publicação e sua implementação se fará no prazo de 90 dias a contar dessa data.

Palmas, 22 de setembro de 2025.

Desembargador Adolfo Amaro Mendes
Presidente