Tribunal Regional do Trabalho - 9ªRegião

POLÍTICA N° 86, DE 11 DE JUNHO DE 2024.

Institui a Política de backup e restauração de dados no âmbito do Tribunal Regional do Trabalho da 9ª Região.  

O DESEMBARGADOR DO TRABALHO, PRESIDENTE DO TRIBUNAL  REGIONAL DO TRABALHO DA 9ª REGIÃO, usando de suas atribuições legais e regimentais,

CONSIDERANDO:

- a Política de Segurança da Informação (PSI) do Tribunal Regional do Trabalho da 9ª Região;

- o disposto no Art. 21, inciso II, alínea c, da Resolução CNJ 370/2021, sobre a necessidade de constituir e manter estruturas organizacionais adequadas e compatíveis com a relevância e demanda de TIC, considerando, entre outros macroprocessos, o de Segurança da Informação e Proteção de Dados e seu processo de Continuidade de serviços essenciais; 

- o item 12.3 da norma ISO 27.002/2013, que estabelece diretrizes para definição de política de backup (cópias de segurança), com o intuito de proteger o negócio contra perda de dados;

- o Guia Referencial de Segurança da Informação da Justiça do Trabalho, editado pelo Conselho Superior da Justiça do Trabalho (CSJT);

- a necessidade de atender a todos os pilares da Segurança da Informação, a saber, Confidencialidade, Integridade e Disponibilidade;

- a instituição da Política de Gerenciamento de Processos de trabalho no âmbito do Tribunal;

RESOLVE ad referendum do Tribunal Pleno

CAPÍTULO I

DAS DISPOSIÇÕES INICIAIS

Art. 1° Instituir a POLÍTICA DE BACKUP E RESTAURAÇÃO DE DADOS, no âmbito deste Tribunal.

Art. 2º Esta política integra a Política de Segurança da Informação (PSI) do Tribunal Regional do Trabalho da 9ª Região e tem como objetivo assegurar a correta elaboração, aprovação, execução dos planos de backup e dos relatórios de backup e restauração de dados, prevenindo a perda e a indisponibilidade de sistemas e informações produzidos e/ou armazenados nos ativos de Tecnologia de Informação e Comunicação (TIC) do Tribunal. 

CAPÍTULO II

DOS CONCEITOS E DEFINIÇÕES

Art. 3° Para os efeitos deste ato, aplicam-se as seguintes definições e conceitos:

I - AMBIENTE PRIMÁRIO DE BACKUP: local onde é feita a primeira cópia dos arquivos originais, delimitado, precisamente, como sendo o DATACENTER DE BACKUP onde se encontra a biblioteca de fitas magnéticas;

II - ÁREA DE TIC: Unidades administrativas do Tribunal responsáveis pelos serviços de TI do Tribunal como infraestrutura, desenvolvimento e manutenção de soluções da área Judiciária, apoios à governança e à gestão, contratações, projetos e gestão de serviços; desenvolvimento e manutenção de soluções de TIC da área Administrativa; e pela Segurança da Informação, gerenciamento de bancos de dados, servidores web, serviços de rede e gerenciamento de desktops que suportam a infraestrutura de TIC do Tribunal;

III - BACKUP: cópia de segurança de informação para prevenir perda de disponibilidade em caso de perda da informação principal;

IV - BACKUP FULL: backup completo onde são copiados todos os arquivos da fonte que está sendo feito backup. O backup full não depende de outros backup para sua execução ou para restore de dados;

V - BACKUP INCREMENTAL: backup que copia somente os arquivos que foram modificados desde a realização do último backup full ou incremental, sendo assim um backup mais rápido que o backup full que também economiza espaço no armazenamento dos dados; para uma restauração completa ele depende de um backup full e todos os demais incrementais que foram realizados até a data do ponto de restauração desejado;

VI - BACKUP DIÁRIO: backup que é realizado com a frequência mínima de uma vez ao dia;

VII - BACKUP MENSAL: backup que é realizado uma única vez ao mês;

VIII - BACKUP EM FITA: backup que é salvo em mídias magnéticas (fitas) utilizando a tecnologia LTO (Linear Tape-Open);

IX - BACKUP EM DISCO: backup que é armazenado em unidades de disco rígido (HDD Hard Disk Drive), e/ou em unidades de estado sólido (SSD Solid State Drive), e/ou em unidades de memória não volátil expressa (NVMe Non-Volatile Memory express) e/ou em unidades com tecnologia similar a essas;

X - BIBLIOTECA DE FITAS: é um dispositivo de armazenamento que contém uma ou mais unidades de fita, certa quantidade de nichos para guardar cartuchos de fitas magnéticas, um leitor de código de barras para identificar cartuchos de fita e um método automatizado para inserir as fitas na unidade de leitura (um robot). Também conhecida pelas siglas em inglês tape library ou simplesmente library;

XI - CÓPIA DE SEGURANÇA OFFSITE: cópia de backup em mídia armazenada em mídia física localizada fora do ambiente primário de dados de backup. Também podem ser conhecidas como cópias de longa retenção;

XII - CUSTODIANTE DOS ATIVOS DE INFORMAÇÃO: unidade da Área de TIC  responsável pela manutenção e operação do sistema de backup;

XIII - DATACENTER: corresponde a um local físico que armazena máquinas de computação e seus equipamentos de hardware relacionados. Ele contém a infraestrutura de computação que os sistemas de TI exigem, como servidores, unidades de armazenamento de dados e equipamentos de rede;

XIV - DATACENTER DE BACKUP: corresponde ao local onde estão armazenadas as cópias dos arquivos do LOCAL PRIMÁRIO DE DADOS, tratando-se de local físico diferente do datacenter primário;

XV - DESDUPLICAÇÃO DE DADOS: trata-se de um conceito que envolve a aplicação de compactação de dados que permite diminuir o volume de dados armazenados eliminando cópias de dados armazenados;

XVI - DONO DA INFORMAÇÃO: proprietário da informação, a saber, o próprio Tribunal Regional do Trabalho da 9ª Região;

XVII - JANELA DE BACKUP: período de tempo compreendido entre o início e o fim de uma operação de backup, sendo um fator importante de avaliação de desempenho da solução de backup instalada;

XVIII - LOCAL PRIMÁRIO DE DADOS: local (ou locais, quando se tratar de conceito de alta disponibilidade de datacenters) onde estão armazenados os dados originais gerados por usuários e/ou aplicações e sistemas;

XIX - RESTAURAÇÃO: processo realizado para colocar disponível uma cópia de segurança de informação anteriormente preservada; 

XX - RETENÇÃO DOS DADOS: período de tempo pelo qual os dados copiados são preservados no ambiente de backup; e

XXI RPO (Ponto Objetivo de Recuperação, do inglês, Recovery Point Objective): é a métrica que define o intervalo máximo de tempo para a perda de dados e/ou informações geradas em algum sistema ou serviço desde a última rotina de backup realizada.

CAPÍTULO III

DAS DIRETRIZES GERAIS

Art. 4º As cópias de backup das informações, softwares e sistemas devem ser realizadas e testadas regularmente, de acordo com esta política.

§ 1º O backup de determinado sistema ou serviço deve contemplar todos os arquivos e dados necessários à sua plena restauração, incluindo executáveis, definições de estrutura de banco de dados, entre outros.

§ 2º O backup de sistemas, aplicativos e documentos protegidos por direitos autorais deve observar as restrições de cópia previstas em suas respectivas licenças de uso e sua legislação vigente.

§ 3º As cópias de segurança devem ser geradas, transportadas e armazenadas de forma segura, com controles físicos e lógicos compatíveis com os requisitos de confidencialidade, integridade e disponibilidade das respectivas informações.

§ 4º As cópias do backup de dados devem ser armazenadas em localidade diferente do local primário de dados, a uma distância suficiente para evitar danos ocasionados por eventual desastre no local primário e devem possuir nível apropriado de proteção física e ambiental.

§ 5º De modo a prover redundância e atender à continuidade do negócio em caso de desastre, as mídias de cópia de segurança offsite devem ser mantidas fora  do ambiente primário de backup, se possível em outra sede, sendo armazenadas em cofres de segurança próprios para esse fim. 

§ 6º A Administração deve prover os recursos físicos e humanos necessários para a operação segura e eventual transporte das mídias da cópia de segurança offsite.

§ 7º As informações que possuem dados sigilosos devem ter seus backups protegidos por criptografia ou controle de acesso físico e lógico restritos.

§ 8º Os tempos de retenção de backup obedecerão aos parâmetros de temporalidade mínimos estabelecidos na tabela constante no Anexo A e havendo disponibilidade de espaço e recursos, sem impactos orçamentários, tais limites poderão ser dinamicamente ajustados de forma a aproveitar o espaço de armazenamento disponível.

§ 9º Quanto aos dados armazenados em infraestrutura de nuvem que não sejam de aplicações críticas e importantes, para os quais não há políticas próprias de retenção e backup, ficam eles sujeitos aos critérios e parâmetros estabelecidos pela CONTRATADA e pelo TRT9 para tais serviços, obedecendo aos parâmetros e níveis de garantia do serviço definidos contratualmente, os quais serão divulgados pela área de TIC do Tribunal aos seus usuários.

§ 10. Os backups de Registro de Eventos (Logs) devem possuir critérios de retenção diferentes dos demais objetos, bem como serem armazenados preferencialmente em mídias menos custosas.

§ 11. Havendo possibilidade técnica e disponibilidade de recursos, será realizada uma operação de cópia dos dados para uma mídia diferente daquela em que os dados foram salvos inicialmente. 

§ 12. Visando aumentar a oferta de espaço de armazenamento na infraestrutura de backup otimizando custos financeiros de aquisição, todo e qualquer equipamento de backup em disco adquirido pelo TRT9 deverá fornecer, preferencialmente, a funcionalidade de desduplicação de dados de forma nativa.

CAPÍTULO IV

DOS PAPÉIS E RESPONSABILIDADES

Art. 5º São atribuições do Custodiante dos ativos de informação:

I - criar o Plano de Backup de acordo com o Art. 6º;

II - planejar, configurar, executar e monitorar as rotinas de backup;

III - executar testes de restauração de dados salvos no backup.

CAPÍTULO V

DOS PLANOS E RELATÓRIOS

Art. 6º O Plano de Backup, a ser elaborado pelo Custodiante dos ativos de informação, deve conter, no mínimo, as seguintes informações: 

I identificação e descrição dos ativos, e da categoria de dado salvo neles, que serão resguardados em backup;

II volumetria, aproximada, da estrutura de dados que será resguardada em backup;

III estratégia de emissão de relatórios de execução de backup e/ou de restauração (Ex. periodicidade mensal ou semestral, ou sob demanda etc).

Art. 7º Os períodos de retenção dos dados, bem como as definições relacionadas às mídias de armazenamento das informações e demais parâmetros estão definidos no Anexo A desta política.

Art. 8º O Relatório de Backup e o Relatório de Restauração devem conter, no mínimo, as seguintes informações: 

I data e hora da execução da rotina de backup e/ou restauração;

II condição do retorno da execução da rotina de backup e/ou restauração, com os resultados de Sucesso ou Falha, e informações acerca dos resultados obtidos.

Parágrafo único. Consideram-se, também, como Relatório de Backup e como o Relatório de Restauração os registros de eventos (logs) gerados pelas rotinas automatizadas de backup e os processos manuais de restauração realizados pelo software gerenciador de backup.

CAPÍTULO VI

DAS DIRETRIZES ESPECÍFICAS

Art. 9º A criação e a operação dos backups devem observar as seguintes orientações:

I - CRIAÇÃO DE BACKUPS: o backup deverá ser programado, preferencialmente, para execução automática, em horários de menor ou nenhuma utilização dos sistemas e da rede, observando os requisitos do Plano de Backup;

II - OPERAÇÃO DE BACKUPS: o backup deverá ser monitorado pelo Custodiante da Informação. 

Parágrafo único. Um relatório (preferencialmente automatizado) deverá ser gerado para as execuções de backup, contendo informações dos registros dos resultados do processo.

Art. 10. Na restauração de dados, por conta de solicitação específica, deverá ser mantido no software gerenciador do backup o registro da informação restaurada, juntamente com as informações relativas à solicitação (número do chamado técnico, solicitação de serviço ou ticket de abertura de chamado), para eventual conferência futura.

CAPÍTULO VII

DA PRESTAÇÃO DE CONTAS

Art. 11. Sempre que solicitado, a área de TIC apresentará aos membros do Comitê de Segurança da Informação e Proteção de Dados (CSIPD) ou aos demais órgãos Colegiados  que as requererem, informações acerca do cumprimento da presente política. 

CAPÍTULO VIII

DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 12. Caberá à área de TIC estabelecer os critérios técnicos relacionados aos procedimentos e às configurações de backup e de restauração para cada sistema ou base de dados, em harmonia com o contido nesta política e anexo(s). 

Art. 13. O conteúdo do ANEXO A será revisado periodicamente, após parecer de mérito do CSIPD e aprovação direta da Presidência do Tribunal, assegurado o controle documental e de versões.

Art. 14. Compete ao Dono do Processo de Trabalho de Gestão de Backup e Restauração de Dados analisar sobre os casos omissos ou que suscitem dúvidas quanto ao disposto nesta política, cabendo-lhe a decisão de encaminhamento das questões às partes interessadas ou à Alta Administração para deliberação.

Art. 15. Propostas de revisões e atualizações desta política deverão ser encaminhadas para a deliberação do CSIPD.

Art. 16. Em consonância com a Política de Gerenciamento de Processos de trabalho do Tribunal, o dono do Processo de Backup e Restauração de Dados é o(a) titular da área de TIC. 

Parágrafo único. O(s) gerente(s) do Processo de Backup e Restauração de Dados será(ão) designado(s) pelo Dono do Processo.

Art. 17. Esta Política entra em vigor na data de sua publicação, revogando-se a Política 14/2017.

CÉLIO HORST WALDRAFF

Desembargador Presidente do TRT da 9ª Região

ANEXO A 

TABELA DOS PARÂMETROS MÍNIMOS DE BACKUP E TEMPOS DE RETENÇÃO

(v1, de 11 de junho de 2024) - Política 86/2024

Observações e Diretrizes Específicas do Anexo A

1.   N/A = Não Aplicável Parâmetros não aplicáveis a determinadas categorias de dados.

2.  Os prazos definidos neste anexo não conflitam com os critérios mínimos contidos nas orientações de armazenamentos descritas no Guia Referencial de Segurança da Informação da Justiça do Trabalho, versão 2, publicado em fevereiro de 2022.

Disponível em: https://www.csjt.jus.br/documents/955023/0/Guia_Referencial_de_Seguranca_da_Informacao_da_Justica_do_Trabalho___v2.0.pdf (Acessado em: 16/04/2024)

3.   Os tempos de retenção em disco e em fita somente começam a ser contados após a EXCLUSÃO do dado em sua base originária.

a.     O tempo de retenção do dado em sua base originária não é tratado por esse normativo.

4.  O Custodiante dos Ativos de Informação definirá tecnicamente, de acordo com a tecnologia envolvida, o melhor método de execução das rotinas de backup (backup full ou backup incremental, e a mídia a ser utilizada) para atendimento dos parâmetros mínimos de retenção para cada categoria de dado.

5.   A granularidade temporal na restauração de dados obedece ao tipo de rotina que salvou o dado: granularidade diária, para backup diário, e mensal para as rotinas mensais. Isso implica em:

a.     Dados criados e apagados durante o dia podem não ser salvos no backup diário;

b. Dados criados e apagados durante um mês podem não ser salvos no backup mensal.

6.   Os dados gerados por quaisquer novos equipamentos servidores instalados, passíveis de serem copiados para o backup, devem ser enquadrados em uma das 4 (quatro) categorias descritas no Anexo A.

7.  As informações contidas na coluna Conteúdo do Anexo A - Parâmetros de Backup se referem a exemplos de informações em servidores e em aplicações em cada categoria, não se tratando de uma lista exaustiva.

8. Define-se para todas as 4 categorias de dados um RPO de 24 (vinte e quatro) horas.