Práticas de Segurança no Controle de Acesso à Conta Única de Aplicativos Móveis

INTRODUÇÃO

A Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços Públicos (MGI) é o órgão gerenciador da conta única nas lojas de aplicativos Google Play e Apple App Store.

Por meio da conta única, todos os aplicativos móveis que contenham informações institucionais, notícias ou prestação de serviços do federais são publicados, atualizados e mantidos de forma centralizada.

A gestão dos aplicativos móveis sob responsabilidade de um determinado órgão ou entidade se dá por meio da disponibilização de perfis de acesso específicos para este fim, abrigados sob a conta única.

Este documento define as diretrizes e práticas de segurança a serem seguidas pelos órgãos e entidades relativas à gestão dos acessos à conta única.

OBJETIVOS

Estabelecer diretrizes para padronizar o acesso aos consoles de gerenciamento das lojas Google e Apple, e a gestão dos aplicativos móveis. Essas diretrizes aplicam-se aos órgãos ou entidades que disponibilizam aplicativos móveis por meio da conta única do governo federal.

Aprimorar o controle dos acessos na conta única e minimizar os riscos na operação dos consoles nas lojas de aplicativos.

DIRETRIZES GERAIS

O uso da conta dos consoles bem como dos aplicativos móveis que não guarde relação com o exercício do cargo, função, emprego ou atividade públicos será considerado indevido e passível de imediato bloqueio de acesso à conta única e indisponibilidade do aplicativo, sem prejuízo da apuração das responsabilidades administrativa, penal e civil.

O órgão ou entidade que não seguir as práticas dispostas neste documento poderá ter seus aplicativos móveis removidos das lojas pelo gerenciador da conta única.

O órgão gerenciador da conta única fará análises periódicas de conformidade dos perfis de administrador e de gerenciador, conforme diretrizes aqui estabelecidas.

DIRETRIZES DE CONTROLE DE ACESSO

Os perfis de acesso à conta única, bem como as atribuições, exigências para cada perfil e as competências para autorização e credenciamento, estão descritas no Anexo I.

O Termo de Responsabilidade descrito no Anexo II deverá ser assinado como condição para a concessão das permissões de Administrador e de Gerenciador.

As contas de usuário para acesso aos consoles, com perfil de administrador ou gerenciador, devem ser institucionais, individuais e intransferíveis.

As contas de acesso aos consoles, com perfil de administrador ou gerenciador, devem ser do tipo individual, não sendo permitido o uso de e-mail do tipo compartilhado, aqui entendidos como contas de e-mail não utilizadas individualmente pelo membro da equipe do órgão ou entidade (ex.: suporte@orgao.gov.br).

As contas de acesso aos consoles, com perfil de administrador ou gerenciador, não devem possuir e-mail pessoais (ex.: @gmail.com, @hotmail.com, etc).

Para o perfil de administrador ou gerenciador do aplicativo móvel, deverão sempre ser informados dois usuários: um titular e um substituto, devidamente autorizados pelo gestor de TI do órgão.

É vedado ao usuário com perfil de administrador ou gerenciador do aplicativo conceder acesso de administrador ou gerenciador a outro usuário. As concessões das permissões de administrador ou gerenciador serão concedidas apenas pelo órgão gerenciador da conta única.

Caso o usuário com perfil de administrador deixe a equipe do aplicativo, deverá ser providenciado um substituto com as mesmas permissões.

Cada aplicativo móvel deverá possuir no mínimo um usuário com perfil de Suporte ao Cliente para tratamento adequado dos comentários.

REFERÊNCIA NORMATIVA

Art. 3º do Decreto nº 9.756, de 11 de abril de 2019.

Arts. 8º a 11 da Portaria SGD/ME nº 39, de 9 de julho de 2019.

ROGERIO SOUZA MASCARENHAS

Secretário

ANEXO I - PERFIS NA CONTA ÚNICA DE APLICATIVOS MÓVEIS

ANEXO II - TERMO DE RESPONSABILIDADE

Por meio deste Termo, o usuário acima identificado reconhece como verdadeiras as informações acima e está ciente de que:

O uso da conta dos consoles e dos aplicativos móveis que não guarde relação com o exercício do cargo, função, emprego ou atividade públicos será considerado indevido e passível de imediato bloqueio de acesso à conta única e indisponibilidade do aplicativo, sem prejuízo da apuração das responsabilidades administrativa, penal e civil.

As permissões de Administrador e as relacionadas à publicação de aplicativos móveis serão concedidas somente para aqueles usuários pertencentes ao quadro do órgão ou entidade que execute tarefas compatíveis com o perfil solicitado e que demonstrem, mediante documentação probatória, que recebeu autorização do dirigente máximo do órgão, de autoridade da área de negócio relativa ao serviço prestado pelo aplicativo ou ainda da unidade de TI responsável.

______________________________, _________ de ________________________ de 20___

Nome do requisitante:

Nome do responsável pela autorização:

Cargo: