Política de Certificado de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial SP

Transcrição

1 Política de Certificado de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial SP PC_AC IO SP A2i.indd I 12/20/04 4:40:48 PM

2 PC A2 DA AC IMPRENSA OFICIAL SP Política de Certificado de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial SP PC_AC IO SP A2i.indd II 12/20/04 4:40:49 PM

3 Índice 1. INTRODUÇÃO Visão Geral Identificação Comunidade e Aplicabilidade Autoridades Certificadoras Autoridades de Registro Novos endereços de instalações técnicas Posto provisório de instalação técnica Titulares de Certificado Aplicabilidade Dados de Contato DISPOSIÇÕES GERAIS Obrigações e Direitos Obrigações da AC Imprensa Oficial SP Obrigações das AR Obrigações dos Titulares do Certificado Direitos da Terceira Parte (Relying Party) Obrigações do Repositório Responsabilidades Responsabilidades da AC Imprensa Oficial SP Responsabilidades das AR Responsabilidade Financeira Indenizações devidas pela terceira parte (Relying Party) Relações Fiduciárias Processos Administrativos Interpretação e Execução Legislação Forma de interpretação e notificação Procedimentos de solução de disputa Tarifas de Serviço Tarifas de emissão e renovação de certificados Tarifas de acesso ao certificado Tarifas de revogação ou de acesso à informação de status Tarifas para outros serviços, tais como informação de política Política de reembolso Publicação e Repositório Publicação de informação da AC Imprensa Oficial SP Freqüência de publicação Controles de acesso Repositórios Auditoria de Conformidade Freqüência de auditoria de conformidade Identidade e qualificações do auditor Relação entre auditor e parte auditada Tópicos cobertos pela auditoria Medidas adotadas em caso de não-conformidade Comunicação de resultados Sigilo Tipos de informações sigilosas Tipos de informações não-sigilosas...8 PC_AC IO SP A2i.indd III 12/20/04 4:40:49 PM

4 Divulgação de informação de revogação ou suspensão de certificado Quebra de sigilo por motivos legais Informações a terceiros Divulgação por solicitação do Titular do Certificado Outras circunstâncias de divulgação de informação Direitos de Propriedade Intelectual IDENTIFICAÇÃO E AUTENTICAÇÃO Registro Inicial Tipos de nomes Necessidade de nomes significativos Regras para interpretação de vários tipos de nomes Unicidade de nomes Procedimento para resolver disputa de nomes Reconhecimento, autenticação e papel de marcas registradas Método para comprovar a posse de chave privada Autenticação da identidade de uma organização Autenticação da identidade do indivíduo Documentos para identificação Certificado emitido para pessoa física Certificado emitido para pessoa jurídica Certificado emitido para equipamento ou aplicação Geração de novo par de chaves antes da expiração do atual Geração de novo par de chaves após revogação Solicitação de Revogação REQUISITOS OPERACIONAIS Solicitação de Certificado Emissão de Certificado Aceitação de Certificado Suspensão e Revogação de Certificado Circunstâncias para revogação Quem pode solicitar revogação Procedimento para solicitação de revogação Prazo para solicitação de revogação Circunstâncias para suspensão Quem pode solicitar suspensão Procedimento para solicitação de suspensão Limites no período de suspensão Freqüência de emissão de LCR Requisitos para verificação de LCR Disponibilidade para revogação ou verificação de status on-line Requisitos para verificação de revogação on-line Outras formas disponíveis para divulgação de revogação Requisitos para verificação de outras formas de divulgação de revogação Requisitos especiais para o caso de comprometimento de chave Procedimentos de Auditoria de Segurança Tipos de eventos registrados Freqüência de auditoria de registros (logs) Período de retenção para registros (logs) de auditoria Proteção de registro (log) de auditoria Procedimentos para cópia de segurança (backup) de registro (log) de auditoria Sistema de coleta de dados de auditoria...15 PC_AC IO SP A2i.indd IV 12/20/04 4:40:50 PM

5 Notificação de agentes causadores de eventos Avaliações de vulnerabilidade Arquivamento de Registros Tipos de registros arquivados Período de retenção para arquivo Proteção de arquivo Procedimentos para cópia de segurança (backup) de arquivo Requisitos para datação (time-stamping) de registros Sistema de coleta de dados de arquivo Procedimentos para obter e verificar informação de arquivo Troca de chave Comprometimento e Recuperação de Desastre Recursos computacionais, software, e dados corrompidos Certificado de entidade é revogado Chave de entidade é comprometida Segurança dos recursos após desastre natural ou de outra natureza Extinção da AC Imprensa Oficial SP CONTROLES DE SEGURANÇA FÍSICA, PROCEDIMENTAL E DE PESSOAL Controles Físicos Construção e localização das instalações Acesso físico Energia e ar-condicionado Exposição à água Prevenção e proteção contra incêndio Armazenamento de mídia Destruição de lixo Instalações de segurança (backup) externas (off-site) Controles Procedimentais Perfis qualificados Número de pessoas necessário por tarefa Identificação e autenticação para cada perfil Controles de Pessoal Antecedentes, qualificação, experiência e requisitos de idoneidade Procedimentos de verificação de antecedentes Requisitos de treinamento Freqüência e requisitos para reciclagem técnica Freqüência e seqüência de rodízio de cargos Sanções para ações não autorizadas Requisitos para contratação de pessoal Documentação fornecida ao pessoal CONTROLES TÉCNICOS DE SEGURANÇA Geração e Instalação do Par de Chaves Geração do par de chaves Entrega da chave privada à entidade titular do certificado Entrega da chave pública para emissor de certificado Disponibilização de chave pública da AC para usuários Tamanhos de chave Geração de parâmetros de chaves assimétricas Verificação da qualidade dos parâmetros Geração de chave por hardware ou software Propósitos de uso de chave (conforme o campo key usage na X.509 v3)...18 PC_AC IO SP A2i.indd V 12/20/04 4:40:51 PM

6 6.2. Proteção da Chave Privada Padrões para módulo criptográfico Controle n de m para chave privada Recuperação (escrow) de chave privada Cópia de segurança (backup) de chave privada Arquivamento de chave privada Inserção de chave privada em módulo criptográfico Método de ativação de chave privada Método de desativação de chave privada Método de destruição de chave privada Outros Aspectos do Gerenciamento do Par de Chaves Arquivamento de chave pública Períodos de uso para as chaves pública e privada Dados de Ativação Geração e instalação dos dados de ativação Proteção dos dados de ativação Outros aspectos dos dados de ativação Controles de Segurança Computacional Requisitos técnicos específicos de segurança computacional Classificação da segurança computacional Controles Técnicos do Ciclo de Vida Controles de desenvolvimento de sistema Controles de gerenciamento de segurança Classificações de segurança de ciclo de vida Controles de Segurança de Rede Controles de Engenharia do Módulo Criptográfico PERFIS DE CERTIFICADO E LCR Perfil do Certificado Número de versão Extensões de certificado Identificadores de algoritmo Formatos de nome Restrições de nome OID (Object Identifier) de Política de Certificado Uso da extensão Policy Constraints Sintaxe e semântica dos qualificadores de política Semântica de processamento para extensões críticas Perfil de LCR Número(s) de versão Extensões de LCR e de suas entradas ADMINISTRAÇÃO DE ESPECIFICAÇÃO Procedimentos de mudança de especificação Políticas de publicação e notificação Procedimentos de aprovação...23 PC_AC IO SP A2i.indd VI 12/20/04 4:40:52 PM

7 1. INTRODUÇÃO 1.1. Visão Geral Esta Política de Certificado (PC) descreve as políticas de certificação de certificados de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial SP. A estrutura desta PC está baseada na Resolução N. 7 do Comitê Gestor da ICP-Brasil Requisitos Mínimos para as Políticas de Certificados na ICP-Brasil, publicada em 12/12/2001 e na RFC 2527 (Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework) Identificação Esta PC é chamada Política de Certificado de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial SP e referida como PC A2 da AC Imprensa Oficial SP. Esta PC descreve os usos relacionados ao certificado de Assinatura Digital correspondente ao tipo A2 da Resolução no. 7 da ICP-Brasil, de 12 de dezembro de O OID (object identifier) desta PC é n 1.3. Comunidade e Aplicabilidade Autoridades Certificadoras Esta PC refere-se exclusivamente à AC Subordinada Imprensa Oficial SP (AC Imprensa Oficial SP) no âmbito da ICP-Brasil. As práticas e procedimentos de certificação da AC Imprensa Oficial SP estão descritos na Declaração de Práticas de Certificação da AC Imprensa Oficial SP (DPC da AC Imprensa Oficial SP) Autoridades de Registro A Imprensa Oficial do Estado SA IMESP atua como Autoridades de Registro para AC Imprensa Oficial SP, exercendo as funções de recebimento, validação e encaminhamento de solicitações de emissão ou de revogação de certificados digitais e identificação dos solicitantes na hierarquia pública da ICP-Brasil. Autoridades de Registro credenciadas na ICP-Brasil vinculadas à AC Imprensa Oficial SP: - AR Imprensa Oficial-SP A AC Imprensa Oficial SP pode ampliar a atividade de Registro através de pedido de credenciamento de novas AR vinculadas à AC Imprensa Oficial SP. A DPC da AC Imprensa Oficial SP é atualizada sempre que há alteração no conjunto de AR vinculadas Novos endereços de instalações técnicas A AR Imprensa Oficial-SP pode abrir novos endereços de instalações técnicas, mediante autorização de funcionamento da AC Raiz. A AC Raiz pode, a qualquer tempo, verificar a conformidade dos procedimentos e atividades dos postos das Autoridades de Registro autorizados com as práticas e regras estabelecidas pelo CG da ICP-Brasil. Constatada qualquer irregularidade, a AC Raiz cassará a autorização de funcionamento do posto e verificará a conformidade dos procedimentos dos demais da mesma AR. Todos os postos que adotarem os mesmos procedimentos também terão sua autorização cassada. Os endereços autorizados das instalações técnicas das AR vinculadas são publicados em serviço de diretório e/ou em página web da Imprensa Oficial do Estado de São Paulo ( Posto provisório de instalação técnica A AR Imprensa Oficial SP pode abrir postos provisórios de instalações técnicas mediante autorização de funcionamento da Autoridade Certificadora Raiz Titulares de Certificado Pessoa físicas ou jurídicas de direito público ou privado, nacionais ou estrangeiras, podem ser Titulares de Certificado. 1 PC_AC IO SP A2i.indd 1 12/20/04 4:40:53 PM

8 No caso de certificado emitido para equipamento ou aplicação, o titular será a pessoa física ou jurídica solicitante do certificado. No caso de certificado emitido para pessoa jurídica, será designada pessoa física como responsável pelo certificado, que será a detentora da chave privada. Preferencialmente, será designado como responsável pelo certificado um dos representantes legais da pessoa jurídica Aplicabilidade Os certificados emitidos pela AC Imprensa Oficial SP no âmbito desta PC podem ser utilizados para confirmação de identidade do titular em aplicações como Web, correio eletrônico, transações on-line, redes privadas virtuais, transações eletrônicas, informações eletrônicas; para cifração de chaves de sessão, assinatura de documentos eletrônicos e verificação da integridade de informações transmitidas eletronicamente. Os certificados também podem ser associados a equipamentos ou aplicações. O Termo de Titularidade e o Termo de Responsabilidade, no caso de certificados de pessoas jurídicas, disponibilizados pela da AR que recebe e valida o pedido de emissão de certificado poderá limitar as aplicações para as quais são adequados os certificados de assinatura tipo A2 emitidos pela AC Imprensa Oficial SP, determinando restrições ou proibições de uso destes certificados Dados de Contato Nome: Imprensa Oficial do Estado SA IMESP Endereço: Rua da Mooca, 1921 Mooca São Paulo, SP Telefone: Nome: Robinson Herzeg Telefone: Fax: icpbrasil@imprensaoficial.com.br 2. DISPOSIÇÕES GERAIS 2.1. Obrigações e Direitos Obrigações da AC Imprensa Oficial SP operar de acordo com a Declaração de Práticas de Certificação da AC Imprensa Oficial SP (DPC da AC Imprensa Oficial SP) e com as PC que implementa; tomar as medidas cabíveis para assegurar que usuários e demais entidades envolvidas tenham conhecimento de seus respectivos direitos e obrigações; gerar e gerenciar os seus pares de chaves criptográficas; assegurar a proteção de suas chaves privadas; notificar os seus usuários quando ocorrer suspeita de comprometimento da chave privada da AC Imprensa Oficial SP, emissão de novo par de chaves e correspondente certificado ou o encerramento de suas atividades; distribuir o seu próprio certificado; emitir, expedir, distribuir e revogar conforme as instruções da AR os certificados de usuários finais; emitir, gerenciar e publicar as Lista de Certificado Revogado (LCR), ou disponibilizar outro mecanismo de publicação de status de certificado aprovado pela ICP-Brasil, quando aplicável por força de contratação específica; identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP-Brasil; publicar em seu Web Site a DPC da AC Imprensa Oficial SP e as PC que implementar; 2 PC_AC IO SP A2i.indd 2 12/20/04 4:40:54 PM

9 informar a emissão do certificado ao respectivo solicitante; emitir, expedir, e distribuir os certificados das AR. adotar as medidas de segurança e controle previstas na DPC, nesta PC e na Política de Segurança, envolvendo seus processos, procedimentos e atividades, observadas as normas, critérios, práticas e procedimentos da ICP-Brasil; manter a conformidade dos seus processos, procedimentos e atividades com as normas, práticas e regras da ICP-Brasil e com a legislação vigente; manter e garantir a integridade, o sigilo e a segurança da informação por ela tratada; manter e testar regularmente seu Plano de Continuidade do Negócio; informar às terceiras partes e titulares de certificado acerca das garantias, coberturas, condicionantes e limitações estipuladas pela apólice de seguro de responsabilidade civil contratada pela AC Imprensa Oficial SP. não emitir certificado com prazo de validade que se estenda além do prazo de validade de seu próprio certificado Obrigações das AR receber solicitações de emissão ou de revogação de certificados; confirmar a identidade do solicitante e a validade da solicitação, de acordo com os requisitos estabelecidos pelos itens 3 e 4 desta PC; encaminhar a solicitação de emissão ou de revogação de certificado à AC Imprensa Oficial SP utilizando VPN (virtual private network - rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade; utilizar VPN (virtual private network rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade, ao disponibilizar serviços para os solicitantes ou usuários de certificados digitais via web; informar aos respectivos titulares a emissão ou a revogação de seus certificados; disponibilizar os certificados emitidos pela AC aos seus respectivos solicitantes; identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP Brasil; obedecer estritamente a DPC da AC Imprensa Oficial SP e à esta PC, bem como respeitar a legislação aplicável, incluindo as regras definidas pelo CG da ICP-Brasil. manter a conformidade dos seus processos, procedimentos e atividades com as normas, critérios, práticas e regras estabelecidas pela AC vinculada; manter e garantir a segurança da informação por elas tratada, de acordo com o estabelecido nas normas, critérios, práticas e procedimentos da ICP -Brasil; oferecer treinamento aos seus agentes de registro, especialmente quanto ao reconhecimento de assinaturas e validade dos documentos apresentados na forma dos itens e Obrigações dos Titulares do Certificado fornecer, de modo completo e preciso, todas as informações necessárias para sua identificação; fornecer originais ou cópias autênticas dos documentos que forem exigidos para emissão do certificado; garantir a proteção e o sigilo de suas chaves privadas, dados de ativação e dispositivos criptográficos; verificar, no momento da aceitação do certificado, a veracidade e exatidão das informações contidas no seu certificado e notificar a AC Imprensa Oficial SP solicitando a imediata revogação do certificado que contiver inexatidões ou erros; utilizar sua chave privada e o certificado correspondente a esta apenas para as aplicações listadas no item desta PC; 3 PC_AC IO SP A2i.indd 3 12/20/04 4:40:55 PM

10 conhecer os seus direitos e obrigações, contemplados pela DPC, por esta PC e por outros documentos aplicáveis da ICP-Brasil; informar à AC Imprensa Oficial SP o comprometimento ou suspeita de comprometimento de sua chave privada e solicitar a imediata revogação do certificado correspondente; garantir que cada assinatura digital criada com a chave privativa correspondente à chave pública contida no certificado é a sua assinatura digital e que o certificado é válido (não expirou e não foi revogado) no momento da criação desta assinatura; obedecer estritamente a esta PC, bem como respeitar a legislação aplicável, incluindo as regras definidas pelo CG da ICP-Brasil e as obrigações contratuais assumidas perante à AC Imprensa Oficial SP e AR. Em caso de certificados emitidos para pessoas jurídicas, equipamento ou aplicação, estas obrigações se aplicam ao responsável pelo uso do certificado Direitos da Terceira Parte (Relying Party) Considera-se terceira parte, a parte que confia no teor, validade e aplicabilidade do certificado digital. Constitui direito da terceira parte recusar a utilização dos certificados para fins diversos dos previstos nesta PC. Constitui direito da terceira parte verificar, a qualquer tempo, a validade do certificado. Um certificado emitido pela AC Imprensa Oficial SP é considerado válido quando: não constar da LCR da AC Imprensa Oficial SP ; não estiver expirado; e sua validade puder ser verificada por certificado válido da AC Imprensa Oficial SP ; O não-exercício desse direito não afasta a responsabilidade da AC Imprensa Oficial SP e do Titular do Certificado Obrigações do Repositório estar disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana; e implementar os recursos necessários para a segurança dos dados nele armazenados. disponibilizar, logo após a sua emissão, os certificados emitidos pela AC Imprensa Oficial SP ; disponibilizar a LCR da AC Imprensa Oficial SP; disponibilizar verificação on-line do status do certificado ou outro mecanismo de atualização de status aprovado pela ICP-Brasil, quando aplicável por força de contratação específica; 2.2. Responsabilidades Responsabilidades da AC Imprensa Oficial SP A AC responde pelos danos a que der causa Responsabilidades das AR A AR é responsável pelos danos a que der causa Responsabilidade Financeira Indenizações devidas pela terceira parte (Relying Party) A terceira parte responde perante a AC Imprensa Oficial SP e ARs vinculadas apenas pelos prejuízos a que der causa com a prática de ato ilícito, nos termos da legislação vigente Relações Fiduciárias A AC Imprensa Oficial SP ou sua AR vinculada indeniza integralmente os prejuízos que, comprovadamente, der causa, quando o Titular do Certificado for pessoa física. 4 PC_AC IO SP A2i.indd 4 12/20/04 4:40:56 PM

11 Em caso de o Titular do Certificado ser pessoa jurídica, a política de indenizações da AC Imprensa Oficial SP e de suas AR vinculadas, pelos danos a que, comprovadamente, derem causa, prevê o pagamento de indenização correspondente à 20 (vinte) vezes o valor do certificado, ou a R$ ,00, o que for menor. As indenizações da AC Imprensa Oficial SP e de suas AR vinculadas cobrem perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial SP, de erro na identificação do titular, de emissão defeituosa do certificado ou de erros ou omissões da AC Imprensa Oficial SP ou das AR vinculadas Processos Administrativos O titular do certificado que sofrer perdas e danos decorrentes do uso do certificado Digital emitido pela AC Imprensa Oficial SP tem o direito de comunicar à AC Imprensa Oficial SP que deseja a indenização prevista no item acima, observadas as seguintes condições: a) nos casos de perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial SP, tal comprometimento deverá ter sido comprovado por perícia realizada por perito especializado e independente; b) nos casos de erro na identificação, o titular do certificado não pode requerer qualquer indenização quando os dados constantes no certificado corresponderem aos dados fornecidos por esse titular à AC Imprensa Oficial SP ou à AR Imprensa Oficial-SP; c) nos casos de erro na transcrição, o titular do certificado não pode requerer qualquer indenização quando houver aceitado o certificado Interpretação e Execução Legislação Esta PC é regida pela Medida Provisória nº , pelas Resoluções do Comitê Gestor da ICP-Brasil, bem como pelas demais leis em vigor no Brasil Forma de interpretação e notificação Na hipótese de uma ou mais das disposições desta PC ser, por qualquer razão, considerada inválida, ilegal, ou não-aplicável por lei ou norma da ICP-Brasil, tal inaplicabilidade não afeta as demais disposições, sendo esta PC interpretada, então, como se não contivesse tal disposição, e na medida do possível, interpretada para manter a intenção original da PC. As notificações ou qualquer outra comunicação necessária relativa às práticas descritas nesta PC, são feitas através de mensagem eletrônica assinada digitalmente, com chave pública certificada pela ICP-Brasil, ou por escrito, entregues à AC Imprensa Oficial SP Procedimentos de solução de disputa Em caso de conflito entre esta PC e outras políticas, planos, acordos, contratos ou documentos adotados pela AC Imprensa Oficial SP, prevalece o disposto nesta PC, exceto pela DPC da AC Imprensa Oficial SP, que prevalece sobre esta PC. Esta PC A2 da Imprensa Oficial SP não prevalece sobre as normas, critérios, práticas e procedimentos da ICP-Brasil Tarifas de Serviço Tarifas de emissão e renovação de certificados Variável conforme definição comercial Tarifas de acesso ao certificado Não são cobradas tarifas de acesso ao certificado digital emitido Tarifas de revogação ou de acesso à informação de status Variável conforme definição comercial. 5 PC_AC IO SP A2i.indd 5 12/20/04 4:40:56 PM

12 Tarifas para outros serviços, tais como informação de política Variável conforme definição comercial Política de reembolso A AC Imprensa Oficial SP não reembolsa valores recebidos após a emissão de certificados. Caso constatada a emissão imprópria ou defeituosa do certificado Tipo A2, imputável à AC Imprensa Oficial SP, ou caso seja necessária a revogação do certificado por comprometimento da chave privativa da AC Imprensa Oficial SP, a AC Imprensa Oficial SP emitirá novo certificado sem a cobrança de qualquer tarifa adicional Publicação e Repositório Publicação de informação da AC Imprensa Oficial SP O certificado da AC Imprensa Oficial SP, a LCR AC Imprensa Oficial SP, a DPC da AC Imprensa Oficial SP, esta PC e os endereços das instalações técnicas das AR vinculadas são publicados em serviço de diretório e/ou em página web de Imprensa Oficial do Estado de São Paulo ( obedecendo as regras e os critérios estabelecidos na DPC. A disponibilidade das informações publicadas pela AC Imprensa Oficial SP em serviço de diretório e/ou em página web é de 99% (noventa e nove por cento) do mês, 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana Freqüência de publicação Certificados são publicados após sua emissão. A publicação de LCR se dá conforme o item desta PC. As versões ou alterações da DPC AC Imprensa Oficial SP e desta PC são atualizadas em página web da AC Imprensa Oficial SP após aprovação da AC Raiz Controles de acesso Não há qualquer restrição ao acesso para consulta a esta PC, à DPC da AC Imprensa Oficial SP, aos certificados emitidos ou à LCR da AC Imprensa Oficial SP. São utilizados controles de acesso apropriados para restringir a possibilidade de escrita ou modificação dessas informações por pessoal não-autorizado Repositórios O repositório da AC Imprensa Oficial SP está disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana e pode ser encontrado em ( As publicações da AC Imprensa Oficial SP são consultadas através de protocolo https. Somente a AC Imprensa Oficial SP, por seus funcionários qualificados e designados especialmente para esse fim, pode efetuar atualizações nas informações por ela publicadas Auditoria de Conformidade A AC Imprensa Oficial SP disponibiliza à AC Raiz, por intermédio da AC CertiSign, relatórios anuais de auditoria das AR e prestadores de serviço de suporte a ela vinculados Freqüência de auditoria de conformidade Auditorias nas AR e prestadores de serviço de suporte vinculados à AC Imprensa Oficial SP são realizadas anualmente Identidade e qualificações do auditor Os relatórios de auditoria das AR e dos prestadores de serviço de suporte são fornecidos pela AC Imprensa Oficial SP ou por empresa de auditoria independente contratada pela AC Imprensa Oficial SP. No caso da au- 6 PC_AC IO SP A2i.indd 6 12/20/04 4:40:57 PM

13 ditoria ser realizada pela própria AC Imprensa Oficial SP os relatórios são assinados por funcionário com perfil qualificado conforme o item da DPC da AC Imprensa Oficial SP Relação entre auditor e parte auditada O auditor, pertencente à auditoria independente e especializada contratada, deve ser totalmente independente da entidade auditada. O auditor será declarado impedido de realizar a auditoria quando: houver motivo íntimo declarado; for amigo íntimo ou inimigo capital de membros da entidade auditada; for credor ou devedor da entidade auditada ou de um de seus membros; tiver interesse no resultado da auditoria da entidade auditada; e houver relacionamento, de fato ou de direito, como cônjuge, parente, consangüíneo ou afim, com algum dos membros das entidades auditadas, em linha reta ou na colateral até o terceiro grau. O auditor firma declaração, sob as penas da lei, de que não se enquadra em qualquer das causas de impedimento. Quando a entidade auditada for a AR Imprensa Oficial SP, e a auditoria for realizada por auditor pertencente à AC Imprensa Oficial SP este deverá preencher os requisitos conforme item desta PC, não se aplicando os impedimentos acima Tópicos cobertos pela auditoria As auditorias de conformidade verificam todos os aspectos relacionados com a emissão e o gerenciamento de certificados digitais, incluindo o controle dos processos de solicitação, identificação, autenticação, geração, publicação, distribuição, renovação e revogação de certificados. Os tópicos cobertos pela auditoria de conformidade incluem, dentre outros: Política de Segurança; Segurança Física; Administração dos serviços; Investigação de pessoal; PC e DPC utilizados; Termo de Titularidade e Termo de Responsabilidade; Considerações de sigilo Medidas adotadas em caso de não-conformidade A entidade auditada compromete-se a cumprir, no prazo estipulado pela AC Imprensa Oficial SP, as recomendações dos auditores para corrigir os casos de não-conformidade com a legislação ou com as políticas, normas, práticas e regras estabelecidas. O não cumprimento das recomendações no prazo estipulado acarretará a suspensão das atividades de AR ou de prestador de serviço de suporte Comunicação de resultados Os auditores entregam relatórios completos à AC Imprensa Oficial SP que serão encaminhados à AC Raiz por intermédio da AC CertiSign Sigilo AC Imprensa Oficial SP gera e mantém sua chave privada, sendo responsável pelo seu sigilo. A divulgação ou utilização indevida da chave privada é de sua inteira responsabilidade. 7 PC_AC IO SP A2i.indd 7 12/20/04 4:40:58 PM

14 O titular ou responsável pelos certificados de assinatura digital, em caso de pessoa jurídica emitidos pela AC Imprensa Oficial SP é responsável pela geração, manutenção e sigilo de suas respectivas chaves privadas bem como pela divulgação ou utilização indevida dessas chaves. No intuito de preservar o sigilo a sua chave privada o titular ou responsável pelo certificado deve tomar todas as medidas para a proteção da mesma. O sigilo da chave privada do certificado é garantido através de senha de acesso à chave privada. Esta senha será definida pelo usuário no momento da instalação do certificado. A criação e utilização dessa senha para acesso à aplicação são de responsabilidade do usuário. O Titular ou responsável pelo Certificado deve observar procedimentos básicos de segurança, tais como: Nunca fornecer a senha a terceiros; Utilizar senha de, no mínimo, 8 caracteres; Não utilizar senha fraca ou óbvia, conforme definido na Política de Segurança da AC Imprensa Oficial SP, item ; Montar senha com caractere numéricos e alfanuméricos; Memorizar a senha e não escrevê-la; Guardar a mídia principal e cópia de segurança em lugar seguro Tipos de informações sigilosas Como princípio geral, todo documento, informação ou registro fornecido à AC ou às AR é sigiloso Tipos de informações não-sigilosas As informações consideradas não-sigilosas compreendem: Termo de Titularidade, Termo de Responsabilidade ou solicitação de emissão do certificado; os certificados e as LCR emitidos pela AC Imprensa Oficial SP; informações corporativas ou pessoais que constem no certificado ou em diretório público; esta PC; a DPC da AC Imprensa Oficial SP; versões públicas de Políticas de Segurança; resultados finais de auditorias; informações que sejam de conhecimento público à época da comunicação ou caiam no domínio público, após a comunicação, sem culpa da AC Imprensa Oficial SP; Divulgação de informação de revogação ou suspensão de certificado Informações sobre revogação de certificados emitidos pela AC Imprensa Oficial SP são fornecidas em suas LCR. As razões para a revogação de certificados serão informadas aos titular do certificado e tornadas públicas, desde que autorizadas a divulgação pelo mesmo. A suspensão de certificados não é admitida no âmbito da ICP-Brasil Quebra de sigilo por motivos legais A AC Imprensa Oficial SP fornecerá, mediante ordem judicial ou por determinação legal, documentos, informações ou registros sob sua guarda Informações a terceiros Nenhum documento, informação ou registro sob a guarda da AC Imprensa Oficial SP é fornecido a qualquer pessoa, exceto quando o requisitante, através de instrumento devidamente constituído, estiver corretamente identificado e autorizado para fazê-lo. 8 PC_AC IO SP A2i.indd 8 12/20/04 4:40:58 PM

15 Divulgação por solicitação do Titular do Certificado Os titulares de certificado têm acesso a quaisquer dos seus próprios dados e identificações e podem autorizar a divulgação de seus registros. Autorizações podem ser apresentadas de duas formas: por meio eletrônico, contendo assinatura válida garantida por certificado do mesmo tipo ou superior emitido na ICP-Brasil; por solicitação escrita, com firma reconhecida. Nenhuma liberação de informação é permitida sem autorização numa das formas acima Outras circunstâncias de divulgação de informação Não se aplica Direitos de Propriedade Intelectual A AC Imprensa Oficial SP ou sua licenciante Verisign Inc., detém todos os direitos de propriedade intelectual sobre as idéias, conceitos, técnicas e invenções, processos e/ou obras, incluídas ou utilizadas nos produtos e serviços fornecidos pela CertiSign nos termos desta PC. Os Direitos de Propriedade terão proteção conforme a legislação aplicável. 3. IDENTIFICAÇÃO E AUTENTICAÇÃO 3.1. Registro Inicial As AR vinculadas à AC Imprensa Oficial SP efetuam a identificação e a autenticação dos solicitantes de certificado com base nos dados fornecidos no formulário de solicitação e nos documentos de apresentação obrigatória. A AR realizará a autenticação da identidade de uma organização (item 3.1.8) e a autenticação da identidade de um indivíduo (item 3.1.9) por meio de dois agentes de registro responsáveis pelo recolhimento e verificação da validade dos documentos apresentados Tipos de nomes O tipo de nome admitido para os titulares de certificados emitidos, segundo esta PC, é o distinguished name do padrão ITU X.500, endereços de correio eletrônico, endereço de página Web (URL), ou outras informações que permitam a identificação unívoca do titular.o certificado emitido para pessoa jurídica inclui o nome da pessoa física responsável pelo seu uso Necessidade de nomes significativos Os certificados emitidos pela AC Imprensa Oficial SP exigem o uso de nomes significativos que possibilitam determinar univocamente a identidade da pessoa ou da organização titular do certificado Regras para interpretação de vários tipos de nomes Não se aplica Unicidade de nomes Identificadores do tipo Distinguished Name (DN) são únicos para cada entidade titular de certificado emitido pela AC Imprensa Oficial SP. Números ou letras adicionais podem ser incluídos ao nome de cada entidade para assegurar a unicidade do campo (DN) Procedimento para resolver disputa de nomes AC Imprensa Oficial SP se reserva o direito de tomar todas as decisões na hipótese de haver disputa de nomes decorrente da igualdade de nomes entre solicitantes diversos de certificados. Durante o processo 9 PC_AC IO SP A2i.indd 9 12/20/04 4:40:59 PM

16 de confirmação de identidade, cabe à entidade solicitante do certificado provar o seu direito de uso de um nome específico Reconhecimento, autenticação e papel de marcas registradas Os processos de tratamento, conhecimentos e confirmação de autenticidade de marcas registradas são executadas de acordo com a legislação em vigor Método para comprovar a posse de chave privada A AR verifica se a entidade que solicita o certificado possui a chave privada correspondente à chave pública para a qual está sendo solicitado o certificado digital. A RFC 2510 é utilizada como referência para essa finalidade. O método de verificação utilizado é Proof of Possession (POP) of Private Key conforme o item 2.3 da RFC Autenticação da identidade de uma organização A confirmação da identidade de uma pessoa jurídica é realizada mediante o fornecimento de, no mínimo, os seguintes documentos: registro comercial, no caso de empresa individual; ato constitutivo, estatuto ou contrato social em vigor, devidamente registrado, em se tratando de sociedades comerciais ou civis, e, no caso de sociedades por ações, acompanhado de documentos de eleição de seus administradores; prova de inscrição do Cadastro Nacional de Pessoas Jurídicas (CNPJ); As solicitações de certificados são realizadas por pessoa física legalmente responsável. A pessoa física responsável é identificada, na forma descrita no item seguinte (3.1.9) Autenticação da identidade do indivíduo A confirmação da identidade de um indivíduo é realizada mediante a presença física do interessado, com base em documentos pessoais de identificação. O procedimento de identificação utilizado é mantido em arquivo. As AR vinculadas guardam cópias dos documentos exigidos para confirmação da identidade da entidade solicitante e do responsável pelo certificado, o Termo de Titularidade, o Termo de Responsabilidade Documentos para identificação Devem ser apresentada uma foto recente e os seguintes documentos acompanhados de cópia: Cédula de Identidade ou Passaporte, se estrangeiro; Cadastro de Pessoa Física - CPF; comprovante de residência; PIS/PASEP, se aplicável; Título de eleitor, se aplicável; Caso o solicitante seja incapaz, devem ser apresentados os documentos acima relacionados do responsável. Entende-se por cédula de identidade as carteiras instituídas por lei, desde que contenham foto e às mesmas seja atribuída fé pública em todo o território nacional, tais como: Carteira de Identidade emitida pela Secretaria de Segurança Pública, Carteira Nacional de Habilitação, Carteira de Identidade Funcional, Carteira de Identidade Profissional. Documentos de identificação adicionais podem ser exigidos para a aquisição de um certificado emitido pela AC Imprensa Oficial SP Certificado emitido para pessoa física Após a confirmação da identidade na forma do item , o titular do certificado assina o Termo de Titularidade, pelo qual adere às normas, práticas e procedimentos da DPC e desta PC da AC 10 PC_AC IO SP A2i.indd 10 12/20/04 4:41:00 PM

17 Imprensa Oficial SP, em conformidade com as regras, normas, práticas e procedimentos fixados pela ICP-Brasil. O agente de registro da AR verifica e recolhe cópias dos documentos exigidos para identificação do solicitante do certificado e presencia a assinatura do Termo de Titularidade Certificado emitido para pessoa jurídica Nos caso de certificado de titularidade de pessoa jurídica, a confirmação da identidade da organização e das pessoas físicas é feita nos seguintes termos: a) apresentação do rol de documentos elencados no item 3.1.8; b) apresentação do rol de documentos elencados no item dos representantes legais da pessoa jurídica e do responsável pelo uso do certificado; c) presença física do responsável pelo uso do certificado e assinatura do Termo de Responsabilidade ; e d) presença física dos representantes legais da pessoa jurídica e assinatura do Termo de Titularidade. Nestes casos, a AR verifica e recolhe cópias dos documentos de identificação da organização solicitante do certificado e dos documentos pessoais de identificação dos representantes legais e do responsável, verifica a autorização atribuída ao responsável pelo certificado, e presencia as assinaturas do Termo de Titularidade pelos representantes legais e do Termo de Responsabilidade pelo responsável Certificado emitido para equipamento ou aplicação Se o titular for pessoa física, a confirmação de sua identidade é feita na forma do item , e esta assinará Termo de Titularidade. Se o titular for pessoa jurídica, a confirmação da identidade da organização e das pessoas físicas e feita nos seguintes termos: a) apresentação do rol de documentos elencados no item 3.1.8; b) apresentação do rol de documentos elencados no item do representante legal da pessoa jurídica e do responsável pelo uso do certificado; c) presença física do responsável pelo uso do certificado e assinatura do termo de responsabilidade; e d) presença física do representante legal da pessoa jurídica e assinatura do termo de titularidade, ou outorga de procuração atribuindo poderes para solicitação de certificado para equipamento ou aplicação e assinatura do respectivo termo de titularidade. Nestes casos, a AR verifica e recolhe cópias dos documentos de identificação da organização solicitante do certificado e dos documentos pessoais de identificação dos representantes legais e do responsável, verifica a autorização atribuída ao responsável pelo certificado, e presencia as assinaturas do Termo de Titularidade pelos representantes legais e do Termo de Responsabilidade pelo responsável Geração de novo par de chaves antes da expiração do atual Antes da expiração do certificado, o titular pode solicitar um novo certificado por meio eletrônico, assinando digitalmente uma solicitação com o uso de certificado vigente de mesmo nível ou superior, limitada a 3 (três) ocorrências sucessivas. Em outros casos, são adotados os mesmos requisitos e procedimentos exigidos para solicitação inicial do certificado Geração de novo par de chaves após revogação Após a revogação ou expiração do certificado, os procedimentos utilizados para confirmação da identidade do solicitante de novo certificado são os mesmos exigidos na solicitação inicial de certificado, na forma e prazo descritos nesta PC Solicitação de Revogação A confirmação da identidade do solicitante é feita com base na confrontação de dados fornecidos no formulário online específico de solicitação de revogação e os dados previamente cadastrados nas AR. 11 PC_AC IO SP A2i.indd 11 12/20/04 4:41:01 PM

18 Na solicitação de emissão de certificado o solicitante informa uma frase de identificação, que é associada à identidade do solicitante. Essa frase de identificação é utilizada para solicitar a revogação, permitindo, assim, a identificação inequívoca do solicitante. Caso o Titular ou o Responsável, no caso de certificados de pessoas jurídicas, não recordar a frase de identificação ou quando a revogação é solicitada diretamente pelo Titular, sem a participação do Responsável, o Formulário de revogação é impresso e assinado e entregue na AR. As solicitações de revogação de certificado são documentadas. 4. REQUISITOS OPERACIONAIS 4.1. Solicitação de Certificado Para atender à solicitação de emissão de certificados, a AR exige: o fornecimento dos dados e documentos exigidos para identificação dos titulares e responsáveis, conforme item 3.1; a autenticação do agente de registro responsável pelas solicitações de emissão e de revogação de certificados mediante o uso de certificado digital que tenha requisitos de segurança, no mínimo, equivalentes a de um certificado de nível A3; assinatura do Termo de Titularidade pelo Titular do certificado e do Termo de Responsabilidade pelo Responsável, no caso de certificados de pessoas jurídicas, equipamentos ou aplicações, estabelecendo os termos e condições aplicados ao uso do certificado Emissão de Certificado A emissão de certificado depende do correto preenchimento de formulário de solicitação, do recebimento do Termo de Titularidade e do Termo de Responsabilidade, no caso de certificados de pessoas jurídicas, equipamentos ou aplicações e dos demais documentos exigidos. Após o processo de validação das informações fornecidas pelo solicitante, o certificado é emitido e o Titular do certificado é notificado, por , da emissão e do método para a retirada do certificado. O certificado é considerado válido a partir do momento de sua emissão Aceitação de Certificado A aceitação do certificado e do seu conteúdo é declarada pelo titular do certificado, na primeira utilização da chave privada correspondente. O prazo para aceitação do certificado está definido no item desta PC. O titular do certificado ou pessoa física responsável verifica as informações contidas no certificado e o aceita caso as informações sejam íntegras, corretas e verdadeiras. Caso contrário, o titular do certificado não pode utilizar o certificado deve solicitar imediatamente a revogação do mesmo Suspensão e Revogação de Certificado Circunstâncias para revogação O titular do certificado e o responsável pelo certificado podem solicitar a revogação de seu certificado a qualquer tempo. O certificado é obrigatoriamente revogado: quando constatada emissão imprópria ou defeituosa do mesmo; quando for necessária a alteração de qualquer informação constante no mesmo; no caso de comprometimento da chave privada correspondente ou da sua mídia armazenadora; no caso de falecimento do titular pessoas físicas; no caso de mudança na razão ou denominação social do titular - equipamentos, aplicações e pessoas jurídicas; no caso de extinção, dissolução ou transformação do titular do certificado - equipamentos, aplicações e pessoas jurídicas; 12 PC_AC IO SP A2i.indd 12 12/20/04 4:41:01 PM

19 no caso de falecimento ou demissão do responsável - equipamentos, aplicações e pessoas jurídicas. no caso de extinção, dissolução ou transformação da AC Imprensa Oficial SP; AC Imprensa Oficial SP revoga, no prazo definido no item 4.4.3, o certificado do titular que deixar de cumprir as políticas, normas e regras estabelecidas para a ICP-Brasil Quem pode solicitar revogação A revogação de um certificado somente poderá ser feita: por solicitação do titular do certificado; por solicitação do responsável pelo certificado, no caso de certificado de equipamentos, aplicações e pessoas jurídicas; por solicitação da empresa ou órgão, no caso de certificado fornecido por essa empresa ou órgão para seus empregados, funcionários, servidores, parceiros ou fornecedores, para fins de utilização específica em aplicações determinadas; pela AC Imprensa Oficial SP; pela AR que tiver recebido a solicitação; por determinação do CG da ICP-Brasil ou da AC Raiz; Procedimento para solicitação de revogação Uma solicitação de revogação é necessária para que AR responsável inicie o processo de revogação. O solicitante da revogação habilitado, conforme o item desta PC, pode solicitar facilmente e a qualquer tempo a revogação de certificado, evitando assim a utilização indevida do certificado. Instruções para a solicitação de revogação do Certificado são obtidas em página web disponibilizada pela AC Imprensa Oficial SP ou pela AR Responsável. A revogação é feita através de Formulário on-line contendo o motivo da solicitação de revogação mediante o fornecimento de dados e da frase de identificação indicada na solicitação de emissão do Certificado. Caso o Titular ou o Responsável -no caso de certificados de pessoas jurídicas, equipamentos ou aplicações- não recorda a frase de identificação ou quando a revogação é solicitada diretamente pelo Titular, sem a participação do Responsável, o Formulário de revogação é impresso e assinado e entregue na AR. Como diretrizes gerais: O solicitante da revogação de um certificado é identificado, conforme o item 3.4 desta PC; As solicitações de revogação, bem como as ações delas decorrentes são registradas e armazenadas pela AC Imprensa Oficial SP; As justificativas para a revogação de um certificado são registradas; O processo de revogação de um certificado termina com a geração e a publicação de uma LCR que contenha o certificado revogado ou com a atualização do status do certificado na resposta OCSP à base de dados da AC Imprensa Oficial SP, quando aplicável por força de contratação específica. O prazo máximo para a conclusão do processo de revogação de certificados pela AC Imprensa Oficial SP é de 54 horas após o efetivo recebimento do formulário específico. A AC Imprensa Oficial SP responde plenamente por todos os danos causados pelo uso de um certificado no período compreendido da solicitação de sua revogação e a emissão da LCR correspondente ou com a atualização do status do certificado na resposta OCSP à base de dados da AC Imprensa Oficial SP, quando aplicável por força de contratação específica Prazo para solicitação de revogação A solicitação de revogação tem que ser imediata quando configuradas as circunstâncias definidas no item PC_AC IO SP A2i.indd 13 12/20/04 4:41:02 PM

20 O prazo para aceitação do certificado pelo seu titular (item 4.3 desta PC) é de 3 (três) dias, dentro do qual a revogação desse certificado pode ser solicitada sem cobrança de tarifa de revogação Circunstâncias para suspensão A suspensão de certificados não é admitida no âmbito da ICP-Brasil Quem pode solicitar suspensão A suspensão de certificados não é admitida no âmbito da ICP-Brasil Procedimento para solicitação de suspensão A suspensão de certificados não é admitida no âmbito da ICP-Brasil Limites no período de suspensão A suspensão de certificados não é admitida no âmbito da ICP-Brasil Freqüência de emissão de LCR A freqüência para emissão da LCR é de 1 (uma) hora Requisitos para verificação de LCR A verificação da validade do certificado na respectiva LCR é obrigatória, antes do mesmo ser utilizado. Também é obrigatória a verificação da autenticidade da LCR, por meio das verificações da assinatura da AC Imprensa Oficial SP e do período de validade do seu certificado de AC Disponibilidade para revogação ou verificação de status on-line A AC Imprensa Oficial SP não suporta os processos de revogação de certificados de forma on-line. A AC Imprensa Oficial SP, suporta verificação da situação de estado de certificados de forma on-line, quando aplicável por força de contratação específica Requisitos para verificação de revogação on-line Não aplicável Outras formas disponíveis para divulgação de revogação Não aplicável Requisitos para verificação de outras formas de divulgação de revogação Não aplicável Requisitos especiais para o caso de comprometimento de chave O titular do certificado deve notificar, imediatamente,, através de solicitação on-line de revogação de certificado, à AR responsável caso ocorra perda, roubo, modificação, acesso indevido, comprometimento ou suspeita de comprometimento de sua chave privada. Nessa solicitação são registradas as circunstâncias de comprometimento, observando o previsto no item O titular do certificado pode ainda comunicar a perda, roubo, modificação, acesso indevido, comprometimento ou suspeita de comprometimento de sua chave privada diretamente na AR Responsável, assinando formulário de solicitação de revogação, observado o item desta PC. Todos os documentos e relatórios relativos são arquivados após a conclusão deste processo. 14 PC_AC IO SP A2i.indd 14 12/20/04 4:41:03 PM