Política de Certificado de Assinatura Digital Tipo A4. da Autoridade Certificadora Imprensa Oficial SP para a Secretaria da Receita Federal SRF

Transcrição

1 Política de Certificado de Assinatura Digital Tipo A4 da Autoridade Certificadora Imprensa Oficial SP para a Secretaria da Receita Federal SRF PC A4 DA AC IMPRENSA OFICIAL SP SRF Versão de Novembro de 2005

2 ÍNDICE 1. INTRODUÇÃO VISÃO GERAL IDENTIFICAÇÃO COMUNIDADE E APLICABILIDADE Autoridades Certificadoras Autoridades de Registro Titulares de Certificado Aplicabilidade DADOS DE CONTATO DISPOSIÇÕES GERAIS OBRIGAÇÕES E DIREITOS Obrigações da AC Imprensa Oficial SP SRF Obrigações das AR Obrigações dos Titulares do Certificado Direitos da Terceira Parte (Relying Party) Obrigações do Repositório RESPONSABILIDADES Responsabilidades da AC Imprensa Oficial SP SRF Responsabilidades das AR RESPONSABILIDADE FINANCEIRA Indenizações devidas pela terceira parte (Relying Party) Relações Fiduciárias Processos Administrativos INTERPRETAÇÃO E EXECUÇÃO Legislação Forma de interpretação e notificação Procedimentos de solução de disputa TARIFAS DE SERVIÇO Tarifas de emissão e renovação de certificados Tarifas de acesso ao certificado Tarifas de revogação ou de acesso à informação de status Tarifas para outros serviços Política de reembolso PUBLICAÇÃO E REPOSITÓRIO Publicação de informação da AC Imprensa Oficial SP SRF Freqüência de publicação Controles de acesso Repositórios AUDITORIA DE CONFORMIDADE Freqüência de auditoria de conformidade Identidade e qualificações do auditor Relação entre auditor e parte auditada Tópicos cobertos pela auditoria Medidas adotadas em caso de não-conformidade Comunicação de resultados SIGILO Tipos de informações sigilosas Tipos de informações não-sigilosas Divulgação de informação de revogação ou suspensão de certificado Quebra de sigilo por motivos legais Informações a terceiros Divulgação por solicitação do Titular do Certificado Outras circunstâncias de divulgação de informação DIREITOS DE PROPRIEDADE INTELECTUAL IDENTIFICAÇÃO E AUTENTICAÇÃO...20 PC A4 da AC Imprensa Oficial SP SRF v1.1 2/46

3 3.1.REGISTRO INICIAL Tipos de nomes Necessidade de nomes significativos Regras para interpretação de vários tipos de nomes Unicidade de nomes Procedimento para resolver disputa de nomes Reconhecimento, autenticação e papel de marcas registradas Método para comprovar a posse de chave privada Autenticação da identidade de uma organização Autenticação da identidade do indivíduo Documentos para identificação Certificado emitido para pessoa física Certificado emitido para pessoa jurídica GERAÇÃO DE NOVO PAR DE CHAVES ANTES DA EXPIRAÇÃO DO ATUAL GERAÇÃO DE NOVO PAR DE CHAVES APÓS REVOGAÇÃO SOLICITAÇÃO DE REVOGAÇÃO REQUISITOS OPERACIONAIS SOLICITAÇÃO DE CERTIFICADO EMISSÃO DE CERTIFICADO ACEITAÇÃO DE CERTIFICADO SUSPENSÃO E REVOGAÇÃO DE CERTIFICADO Circunstâncias para revogação Quem pode solicitar revogação Procedimento para solicitação de revogação Prazo para solicitação de revogação Circunstâncias para suspensão Quem pode solicitar suspensão Procedimento para solicitação de suspensão Limites no período de suspensão Freqüência de emissão de LCR Requisitos para verificação de LCR Disponibilidade para revogação ou verificação de status on-line Requisitos para verificação de revogação on-line Outras formas disponíveis para divulgação de revogação Requisitos para verificação de outras formas de divulgação de revogação Requisitos especiais para o caso de comprometimento de chave PROCEDIMENTOS DE AUDITORIA DE SEGURANÇA Tipos de eventos registrados Freqüência de auditoria de registros (logs) Período de retenção para registros (logs) de auditoria Proteção de registro (log) de auditoria Procedimentos para cópia de segurança (backup) de registro (log) de auditoria Sistema de coleta de dados de auditoria Notificação de agentes causadores de eventos Avaliações de vulnerabilidade ARQUIVAMENTO DE REGISTROS Tipos de registros arquivados Período de retenção para arquivo Proteção de arquivo Procedimentos para cópia de segurança (backup) de arquivo Requisitos para datação (time-stamping) de registros Sistema de coleta de dados de arquivo Procedimentos para obter e verificar informação de arquivo TROCA DE CHAVE COMPROMETIMENTO E RECUPERAÇÃO DE DESASTRE Recursos computacionais, software, e dados corrompidos Certificado de entidade é revogado Chave de entidade é comprometida Segurança dos recursos após desastre natural ou de outra natureza PC A4 da AC Imprensa Oficial SP SRF v1.1 3/46

4 4.9. EXTINÇÃO DA AC IMPRENSA OFICIAL SP SRF CONTROLES DE SEGURANÇA FÍSICA, PROCEDIMENTAL E DE PESSOAL CONTROLES FÍSICOS Construção e localização das instalações Acesso físico Energia e ar condicionado Exposição à água Prevenção e proteção contra incêndio Armazenamento de mídia Destruição de lixo Instalações de segurança (backup) externas (off-site) CONTROLES PROCEDIMENTAIS Perfis qualificados Número de pessoas necessário por tarefa Identificação e autenticação para cada perfil CONTROLES DE PESSOAL Antecedentes, qualificação, experiência e requisitos de idoneidade Procedimentos de verificação de antecedentes Requisitos de treinamento Freqüência e requisitos para reciclagem técnica Freqüência e seqüência de rodízio de cargos Sanções para ações não autorizadas Requisitos para contratação de pessoal Documentação fornecida ao pessoal CONTROLES TÉCNICOS DE SEGURANÇA GERAÇÃO E INSTALAÇÃO DO PAR DE CHAVES Geração do par de chaves Entrega da chave privada à entidade titular do certificado Entrega da chave pública para emissor de certificado Disponibilização de chave pública da AC para usuários Tamanhos de chave Geração de parâmetros de chaves assimétricas Verificação da qualidade dos parâmetros Geração de chave por hardware ou software Propósitos de uso de chave (conforme o campo key usage na X.509 v3) PROTEÇÃO DA CHAVE PRIVADA Padrões para módulo criptográfico Controle n de m para chave privada Recuperação (escrow) de chave privada Cópia de segurança (backup) de chave privada Arquivamento de chave privada Inserção de chave privada em módulo criptográfico Método de ativação de chave privada Método de desativação de chave privada Método de destruição de chave privada OUTROS ASPECTOS DO GERENCIAMENTO DO PAR DE CHAVES Arquivamento de chave pública Períodos de uso para as chaves pública e privada DADOS DE ATIVAÇÃO Geração e instalação dos dados de ativação Proteção dos dados de ativação Outros aspectos dos dados de ativação CONTROLES DE SEGURANÇA COMPUTACIONAL Requisitos técnicos específicos de segurança computacional Classificação da segurança computacional CONTROLES TÉCNICOS DO CICLO DE VIDA Controles de desenvolvimento de sistema Controles de gerenciamento de segurança PC A4 da AC Imprensa Oficial SP SRF v1.1 4/46

5 6.6.3.Classificações de segurança de ciclo de vida CONTROLES DE SEGURANÇA DE REDE CONTROLES DE ENGENHARIA DO MÓDULO CRIPTOGRÁFICO PERFIS DE CERTIFICADO E LCR PERFIL DO CERTIFICADO Número de versão Extensões de certificado Certificado e-cpf Certificado e-cnpj Identificadores de algoritmo Formatos de nome Certificado e-cpf Certificado e-cnpj Restrições de nome OID (Object Identifier) de Política de Certificado Uso da extensão Policy Constraints Sintaxe e semântica dos qualificadores de política Semântica de processamento para extensões críticas PERFIL DE LCR Número(s) de versão Extensões de LCR e de suas entradas ADMINISTRAÇÃO DE ESPECIFICAÇÃO PROCEDIMENTOS DE MUDANÇA DE ESPECIFICAÇÃO POLÍTICAS DE PUBLICAÇÃO E NOTIFICAÇÃO PROCEDIMENTOS DE APROVAÇÃO PC A4 da AC Imprensa Oficial SP SRF v1.1 5/46

6 Política de Certificado de Assinatura Digital Tipo A4 da Autoridade Certificadora Imprensa Oficial SP SRF 1. INTRODUÇÃO 1.1.Visão Geral Esta Política de Certificado (PC) descreve as políticas de certificação de certificados de Assinatura Digital Tipo A4 da Autoridade Certificadora Imprensa Oficial SP para a Secretaria da Receita Federal (AC Imprensa Oficial SP SRF) integrante da Infraestrutura de Chaves Públicas Brasileira. A estrutura desta PC está baseada na Resolução Nº 7 do Comitê Gestor da ICP-Brasil Requisitos Mínimos para as Políticas de Certificados na ICP-Brasil, publicada em 12/12/2001 e na RFC 2527 (Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework). 1.2.Identificação Esta PC é chamada Política de Certificado de Assinatura Digital Tipo A4 da Autoridade Certificadora Imprensa Oficial SP para a Secretaria da Receita Federal na Infraestrutura de Chaves Públicas Brasileira e referida como PC A4 da AC Imprensa Oficial SP SRF na ICP-Brasil. Esta PC descreve os usos relacionados ao certificado de Assinatura Digital corresponde ao tipo A4 da Resolução no. 7 da ICP-Brasil, de 12 de dezembro de O OID (object identifier) desta PC é Comunidade e Aplicabilidade Autoridades Certificadoras Esta PC refere-se à Autoridade Certificadora Habilitada ACH, AC Imprensa Oficial SP SRF. As práticas e procedimentos de certificação da AC Imprensa Oficial SP SRF estão descritos na Declaração de Práticas de Certificação da AC Imprensa Oficial SP para a Secretaria da Receita Federal SRF (DPC da AC Imprensa Oficial SP SRF) Autoridades de Registro A Imprensa Oficial do Estado S.A. - IMESP atua como Autoridades de Registro para AC Imprensa Oficial SP SRF, exercendo as funções de recebimento, validação e encaminhamento de solicitações de emissão ou de revogação de certificados digitais e identificação dos solicitantes na hierarquia pública da ICP-Brasil. PC A4 da AC Imprensa Oficial SP SRF v1.1 6/46

7 Autoridades de Registro credenciadas na ICP-Brasil vinculadas à AC Imprensa Oficial SP SRF: - AR Imprensa Oficial SP SRF A AC Imprensa Oficial SP SRF pode ampliar a atividade de Registro através de pedido de credenciamento de novas AR vinculadas à AC Imprensa Oficial SP SRF. A DPC da AC Imprensa Oficial SP SRF é atualizada sempre que há alteração no conjunto de AR vinculadas. A AR Imprensa Oficial SP SRF pode abrir novos endereços de instalações técnicas, mediante autorização de funcionamento da AC Raiz. Os endereços autorizados das instalações técnicas das AR vinculadas são publicados em serviço de diretório e/ou em página web da AC Imprensa Oficial SP SRF ( A AR Imprensa Oficial SP SRF pode abrir postos provisórios de instalações técnicas mediante autorização de funcionamento da Autoridade Certificadora Raiz Titulares de Certificado Pessoas físicas ou jurídicas inscritas no CPF ou no CNPJ podem ser Titulares de Certificado e-cpf ou e-cnpj Tipo A1, Tipo A3 e Tipo A4, desde que não enquadradas na situação cadastral de CANCELADA (pessoa física) ou na condição de INAPTA, SUSPENSA ou CANCELADA (pessoa jurídica), conforme o disposto nos incisos I e II do art. 6 da Instrução Normativa SRF n 222, de 11 de Outubro de No caso de certificado emitido para pessoa jurídica, é designada pessoa física como responsável pelo certificado, que será a detentora da chave privada. Obrigatoriamente, o Responsável pelo certificado é o mesmo responsável pela pessoa jurídica cadastrado no CNPJ da SRF Aplicabilidade Os certificados digitais e-cpf e e-cnpj são utilizados para identificação do Contribuinte e acesso ao Sistema Interativo de Atendimento Virtual (Receita 222), para as opções de atendimento, via internet, disponibilizadas pela SRF. Os certificados emitidos pela AC Imprensa Oficial SP SRF no âmbito desta PC também podem ser utilizados para confirmação de identidade do titular em aplicações como Web, correio eletrônico, transações on-line, redes privadas virtuais, transações eletrônicas, informações eletrônicas; para cifração de chaves de sessão, assinatura de documentos eletrônicos e verificação da integridade de informações transmitidas eletronicamente. O Termo de Titularidade e o Termo de Responsabilidade, no caso de certificados de pessoas jurídicas, disponibilizados pela da AR que recebe e valida o pedido de emissão de certificado poderá limitar as aplicações para as quais são adequados os certificados de assinatura Tipo A4 emitidos pela AC Imprensa Oficial SP SRF, determinando restrições ou proibições de uso destes certificados. PC A4 da AC Imprensa Oficial SP SRF v1.1 7/46

8 1.4.Dados de Contato Nome: Imprensa Oficial do Estado S.A. - IMESP Endereço: Rua da Mooca, 1921 Mooca São Paulo, SP Telefone: (11) Nome: Robinson Herzeg Telefone: Fax: icpbrasil@imprensaoficial.com.br 2. DISPOSIÇÕES GERAIS 2.1.Obrigações e Direitos Obrigações da AC Imprensa Oficial SP SRF operar de acordo com sua DPC na ICP-Brasil e com esta PC; tomar as medidas cabíveis para assegurar que usuários e demais entidades envolvidas tenham conhecimento de seus respectivos direitos e obrigações; gerar e gerenciar os seus pares de chaves criptográficas; assegurar a proteção de suas chaves privadas; notificar os seus usuários quando ocorrer suspeita de comprometimento da chave privada da AC Imprensa Oficial SP SRF, emissão de novo par de chaves e correspondente certificado ou o encerramento de suas atividades; distribuir o seu próprio certificado; emitir, expedir, distribuir e revogar após confirmação da identidade do solicitante pela AR, os certificados de usuários finais; informar a emissão do certificado ao respectivo solicitante; manter na internet lista disponível e atualizada dos certificados e-cpf e e- CNPJ emitidos; disponibilizar diariamente para SRF a lista atualizada dos certificados emitidos; emitir, gerenciar e publicar as Lista de Certificado Revogado (LCR), ou disponibilizar outro mecanismo de publicação de status de certificado aprovado pela ICP-Brasil, quando aplicável; emitir, expedir, distribuir e revogar os certificados das AR; identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP-Brasil; publicar em seu Web Site a DPC da AC Imprensa Oficial SP SRF e as PC que implementar; disponibilizar, na internet, mecanismo que permita aos usuários verificar a correta instalação dos certificados em seus equipamentos; PC A4 da AC Imprensa Oficial SP SRF v1.1 8/46

9 contratar auditoria independente 3 meses após o início das atividades como ACH; contratar auditoria independente a cada 12 meses, com a finalidade de verificar o correto exercício das atividades como AC; fiscalizar e auditorar as AR vinculadas e os prestadores de serviço que lhe sejam vinculados, em conformidade com as políticas, normas e procedimentos da ICP-Brasil; Atender a Instrução Normativa nº 222, de 11 de Outubro de 2002, nos seus Artigos 10 e 11. adotar as medidas de segurança e controle previstas na DPC, nesta PC e na Política de Segurança, envolvendo seus processos, procedimentos e atividades, observadas as normas, critérios, práticas e procedimentos da ICP-Brasil; manter a conformidade dos seus processos, procedimentos e atividades com as normas, práticas e regras da ICP-Brasil e com a legislação vigente; manter e garantir a integridade, o sigilo e a segurança da informação por ela tratada; manter e testar regularmente seu Plano de Continuidade do Negócio; manter contrato de seguro de cobertura de responsabilidade civil decorrente das atividades de certificação digital e de registro, com cobertura suficiente e compatível com o risco dessas atividades. informar às terceiras partes e titulares de certificado acerca das garantias, coberturas, condicionantes e limitações estipuladas pela apólice de seguro de responsabilidade civil contratada pela AC Imprensa Oficial SP SRF. não emitir certificado com prazo de validade que se estenda além do prazo de validade de seu próprio certificado Obrigações das AR - receber solicitações de emissão ou de revogação de certificados; - confirmar a identidade do solicitante e a validade da solicitação, de acordo com os requisitos estabelecidos pelos itens 3 e 4 desta PC; - encaminhar a solicitação de emissão ou de revogação de certificado à AC Imprensa Oficial SP SRF utilizando VPN (virtual private network - rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade; - utilizar VPN (virtual private network rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade, ao disponibilizar serviços para os solicitantes ou usuários de certificados digitais via web; PC A4 da AC Imprensa Oficial SP SRF v1.1 9/46

10 - informar aos respectivos titulares a emissão ou a revogação de seus certificados; - disponibilizar os certificados emitidos pela AC aos seus respectivos solicitantes; - identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP Brasil; - Obedecer estritamente a DPC da AC Imprensa Oficial SP SRF e à esta PC, bem como respeitar a legislação aplicável, incluindo as regras definidas pelo CG da ICP-Brasil. - manter a conformidade dos seus processos, procedimentos e atividades com as normas, critérios, práticas e regras estabelecidas pela AC vinculada; - manter e garantir a segurança da informação por elas tratada, de acordo com o estabelecido nas normas, critérios, práticas e procedimentos da ICP - Brasil; - oferecer treinamento aos seus agentes de registro, especialmente quanto ao reconhecimento de assinaturas e validade dos documentos apresentados na forma dos itens e notificar os titulares, com antecedência mínima de 30 (trinta) dias, a expiração da validade dos certificados Obrigações dos Titulares do Certificado - fornecer, de modo completo e preciso, todas as informações necessárias para sua identificação; - fornecer originais ou cópias autênticas dos documentos que forem exigidos para emissão do certificado; - garantir a proteção e o sigilo de suas chaves privadas, dados de ativação e dispositivos criptográficos; - verificar, no momento da aceitação do certificado, a veracidade e exatidão das informações contidas no seu certificado e notificar a AC Imprensa Oficial SP SRF solicitando a imediata revogação do certificado que contiver inexatidões ou erros; - utilizar sua chave privada e o certificado correspondente a esta apenas para as aplicações listadas no item desta PC; - conhecer os seus direitos e obrigações, contemplados pela DPC, por esta PC e por outros documentos aplicáveis da ICP-Brasil; - informar à AC Imprensa Oficial SP SRF o comprometimento ou suspeita de comprometimento de sua chave privada e solicitar a imediata revogação do certificado correspondente; PC A4 da AC Imprensa Oficial SP SRF v1.1 10/46

11 - garantir que cada assinatura digital criada com a chave privativa correspondente à chave pública contida no certificado é a sua assinatura digital e que o certificado é válido (não expirou e não foi revogado) no momento da criação desta assinatura. - obedecer estritamente a esta PC, bem como respeitar a legislação aplicável, incluindo as regras definidas pelo CG da ICP-Brasil e as obrigações contratuais assumidas perante à AC Imprensa Oficial SP SRF e AR. utilizar, obrigatoriamente, senha para proteção da chave privada dos certificados e-cpf e e-cnpj Arcar com os custos de emissão do certificado; Responsabilizar-se por todos os atos praticados perante a SRF utilizando o referido certificado e sua correspondente chave privada. Em caso de certificados emitidos para pessoas jurídicas, estas obrigações se aplicam ao responsável pelo uso do certificado Direitos da Terceira Parte (Relying Party) Considera-se terceira parte, a parte que confia no teor, validade e aplicabilidade do certificado digital. Constitui direito da terceira parte recusar a utilização dos certificados para fins diversos dos previstos nesta PC. Constitui direito da terceira parte verificar, a qualquer tempo, a validade do certificado. Um certificado emitido pela AC Imprensa Oficial SP SRF é considerado válido quando: não constar da LCR da AC Imprensa Oficial SP SRF; não estiver expirado; e sua validade puder ser verificada através de certificado válido da AC Imprensa Oficial SP SRF; O não-exercício desse direito não afasta a responsabilidade da AC Imprensa Oficial SP SRF e do Titular do Certificado Obrigações do Repositório estar disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana; e PC A4 da AC Imprensa Oficial SP SRF v1.1 11/46

12 implementar os recursos necessários para a segurança dos dados nele armazenados. disponibilizar, logo após a sua emissão, a lista dos certificados emitidos pela AC Imprensa Oficial SP SRF; disponibilizar a LCR da AC Imprensa Oficial SP SRF ; disponibilizar verificação on-line do status do certificado ou outro mecanismo de atualização de status aprovado pela ICP-Brasil, quando aplicável; 2.2.Responsabilidades Responsabilidades da AC Imprensa Oficial SP SRF A AC responde pelos danos a que der causa Responsabilidades das AR A AR é responsável pelos danos a que der causa. 2.3.Responsabilidade Financeira Indenizações devidas pela terceira parte (Relying Party) A terceira parte responde perante a AC Imprensa Oficial SP SRF e ARs vinculadas apenas pelos prejuízos a que der causa com a prática de ato ilícito, nos termos da legislação vigente Relações Fiduciárias A AC Imprensa Oficial SP SRF ou sua AR vinculada indeniza integralmente os prejuízos que, comprovadamente, der causa, quando o Titular do Certificado for pessoa física. Em caso de o Titular do Certificado ser pessoa jurídica, a política de indenizações da AC Imprensa Oficial SP SRF e de suas AR vinculadas, pelos danos a que, comprovadamente, derem causa, prevê o pagamento de indenização correspondente à 20 (vinte) vezes o valor do certificado, ou a R$ ,00, o que for menor. As indenizações da AC Imprensa Oficial SP SRF e de suas AR vinculadas cobrem perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial SP SRF, de erro na identificação do titular, de emissão defeituosa do certificado ou de erros ou omissões da AC Imprensa Oficial SP SRF ou das AR vinculadas. PC A4 da AC Imprensa Oficial SP SRF v1.1 12/46

13 2.3.3.Processos Administrativos O titular do certificado que sofrer perdas e danos decorrentes do uso do certificado Digital emitido pela AC Imprensa Oficial SP SRF tem o direito de comunicar à AC Imprensa Oficial SP SRF que deseja a indenização prevista no item acima, observadas as seguintes condições: a) nos casos de perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial SP SRF, tal comprometimento deverá ter sido comprovado por perícia realizada por perito especializado e independente; b) nos casos de erro na identificação, o titular do certificado não pode requerer qualquer indenização quando os dados constantes no certificado corresponderem aos dados fornecidos por esse titular à AC Imprensa Oficial SP SRF ou à AR Imprensa Oficial SP SRF; c) nos casos de erro na transcrição, o titular do certificado não pode requerer qualquer indenização quando houver aceitado o certificado. 2.4.Interpretação e Execução Legislação Esta PC é regida pela Instrução Normativa SRF 222, pela Medida Provisória nº , pelas Resoluções do Comitê Gestor da ICP-Brasil bem como pelas demais leis aplicáveis em vigor no Brasil Forma de interpretação e notificação Na hipótese de uma ou mais das disposições desta PC ser, por qualquer razão, considerada inválida, ilegal, ou conflituosa com as normas da ICP-Brasil ou da SRF, tal inaplicabilidade não afeta as demais disposições, sendo esta PC interpretada, então, como se não contivesse tal disposição, e na medida do possível, interpretada para manter a intenção original da PC. As notificações ou qualquer outra comunicação necessária relativa às práticas descritas nesta PC, são feitas através de mensagem eletrônica assinada digitalmente, com chave pública certificada pela ICP-Brasil, ou por escrito, entregues à AC Imprensa Oficial SP SRF Procedimentos de solução de disputa Em caso de conflito entre esta PC e outras políticas, planos, acordos, contratos ou documentos adotados pela AC Imprensa Oficial SP SRF, prevalece o PC A4 da AC Imprensa Oficial SP SRF v1.1 13/46

14 disposto nesta PC, exceto pela DPC da AC Imprensa Oficial SP SRF, que prevalece sobre esta PC. Esta PC A4 da Imprensa Oficial SP SRF não prevalece sobre as normas, critérios, práticas e procedimentos da ICP-Brasil. 2.5.Tarifas de Serviço Tarifas de emissão e renovação de certificados Variável conforme definição comercial Tarifas de acesso ao certificado Não são cobradas tarifas de acesso ao certificado digital emitido Tarifas de revogação ou de acesso à informação de status Não são cobradas tarifas de revogação e de acesso à informação de status Tarifas para outros serviços Não são cobradas tarifas de acesso à informação de status do certificado e à LCR, bem assim, tarifas de revogação e de acesso aos certificados emitidos Política de reembolso Em caso de revogação do certificado por motivo de comprometimento da chave privada ou da mídia armazenadora da chave privada da AC Imprensa Oficial SP SRF, ou ainda quando constatada a emissão imprópria ou defeituosa, imputável à AC Imprensa Oficial SP SRF, será emitido gratuitamente outro certificado em substituição. 2.6.Publicação e Repositório Publicação de informação da AC Imprensa Oficial SP SRF O certificado da AC Imprensa Oficial SP SRF, a LCR AC Imprensa Oficial SP SRF, a DPC da AC Imprensa Oficial SP SRF, esta PC e os endereços das instalações técnicas das AR vinculadas são publicados em serviço de diretório e/ou em página web de AC Imprensa Oficial SP SRF ( obedecendo as regras e os critérios estabelecidos na DPC. A disponibilidade das informações publicadas pela AC Imprensa Oficial SP SRF em serviço de diretório e/ou em página web é de 99% (noventa e nove por cento) do mês, 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana. PC A4 da AC Imprensa Oficial SP SRF v1.1 14/46

15 2.6.2.Freqüência de publicação Certificados são publicados após sua emissão. A publicação de LCR se dá conforme o item desta PC. As versões ou alterações da DPC AC Imprensa Oficial SP SRF e desta PC são atualizadas em página web da AC Imprensa Oficial SP SRF após aprovação da AC Raiz Controles de acesso Não há qualquer restrição ao acesso para consulta a esta PC, à DPC da AC Imprensa Oficial SP SRF, aos certificados emitidos ou à LCR da AC Imprensa Oficial SP SRF. São utilizados controles de acesso apropriados para restringir a possibilidade de escrita ou modificação dessas informações por pessoal não-autorizado Repositórios O repositório da AC Imprensa Oficial SP SRF está disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana e pode ser encontrado em ( As publicações da AC Imprensa Oficial SP SRF são consultadas através de protocolo http. Somente a AC Imprensa Oficial SP SRF, por seus funcionários qualificados e designados especialmente para esse fim, pode efetuar atualizações nas informações por ela publicadas. 2.7.Auditoria de Conformidade A AC Imprensa Oficial SP SRF disponibiliza à AC Raiz, por intermédio da Autoridade Certificadora da SRF, relatórios anuais de auditoria das AR e prestadores de serviço de suporte vinculados Freqüência de auditoria de conformidade A AC Imprensa Oficial SP SRF, as AR e os prestadores de serviço de suporte são auditorados: previamente ao credenciamento pela AC Raiz e à sua habilitação pela AC SRF; a qualquer tempo, sem aviso prévio, pela AC Raiz ou pela AC SRF. PC A4 da AC Imprensa Oficial SP SRF v1.1 15/46

16 A AC Imprensa Oficial SP SRF contrata empresa de auditoria especializada e independente autorizada pela AC Raiz e disponibiliza à AC SRF anualmente, relatório de auditoria de suas atividades. Os relatórios de auditoria das AR e dos prestadores de serviço de suporte são fornecidos pela AC Imprensa Oficial SP SRF ou por empresa de auditoria independente contratada pelas AR. A AC Imprensa Oficial SP SRF disponibiliza à AC Raiz por intermédio da AC SRF relatórios anuais de auditoria das AR e prestadores de serviço de suporte vinculados Identidade e qualificações do auditor Os relatórios de auditoria da AC Imprensa Oficial SP SRF e de seus prestadores de serviço de suporte são realizados por empresa de auditoria independente e autorizadas pela AC Raiz, contratada pela AC Imprensa Oficial SP SRF. Os relatórios de auditoria das AR e de seus prestadores de serviço de suporte são realizados pela AC Imprensa Oficial SP SRF ou por empresa de auditoria independente e especializada com comprovada experiência em serviços de auditoria e tecnologias de certificação contratada pelas AR e seus prestadores. No caso da auditoria ser realizada pela própria AC Imprensa Oficial SP SRF os relatórios são assinados por funcionário com perfil qualificado conforme o item da DPC da AC Imprensa Oficial SP SRF Relação entre auditor e parte auditada O auditor contratado deve ser totalmente independente da entidade auditorada. O auditor será declarado impedido de realizar a auditoria quando: houver motivo íntimo declarado; for amigo íntimo ou inimigo capital de membros da entidade auditorada; for credor ou devedor da entidade auditorada ou de um de seus membros; tiver interesse no resultado da auditoria da entidade auditorada; e houver relacionamento, de fato ou de direito, como cônjuge, parente, consangüíneo ou afim, com algum dos membros das entidades auditoradas, em linha reta ou na colateral até o terceiro grau. O auditor firma declaração, sob as penas da lei, de que não se enquadra em qualquer das causas de impedimento. PC A4 da AC Imprensa Oficial SP SRF v1.1 16/46

17 Quando a entidade auditorada for a AR Imprensa Oficial SP SRF, e a auditoria for realizada por auditor pertencente à AC Imprensa Oficial SP SRF este deverá preencher os requisitos conforme item desta PC, não se aplicando os impedimentos acima Tópicos cobertos pela auditoria As auditorias de conformidade verificam todos os aspectos relacionados com a emissão e o gerenciamento de certificados digitais, incluindo o controle dos processos de solicitação, identificação, autenticação, geração, publicação, distribuição, renovação e revogação de certificados. Os tópicos cobertos pela auditoria de conformidade incluem, dentre outros: Política de Segurança; Segurança Física; Administração dos serviços; Investigação de pessoal; PC e DPC utilizados; Acordo de Assinante e Termo de Titularidade do Subscritor Responsável; Considerações de sigilo Medidas adotadas em caso de não-conformidade A entidade auditorada compromete-se a cumprir, no prazo estipulado pela AC Imprensa Oficial SP SRF, as recomendações dos auditores para corrigir os casos de não-conformidade com a legislação ou com as políticas, normas, práticas e regras estabelecidas. O não cumprimento das recomendações no prazo estipulado acarretará a suspensão das atividades de AR e de seus prestadores de serviço de suporte Comunicação de resultados Os auditores entregam relatórios completos à AC Imprensa Oficial SP SRF que serão encaminhados à AC Raiz por intermédio da AC Imprensa Oficial SP. PC A4 da AC Imprensa Oficial SP SRF v1.1 17/46

18 2.8.Sigilo AC Imprensa Oficial SP SRF gera e mantém sua chave privada, sendo responsável pelo seu sigilo. A divulgação ou utilização indevida da chave privada é de sua inteira responsabilidade. O titular ou o responsável pelo certificado de assinatura digital, em caso de pessoa jurídica, emitidos pela AC Imprensa Oficial SP SRF é responsável pela geração, manutenção e sigilo de suas respectivas chaves privadas bem como pela divulgação ou utilização indevida dessas chaves. No intuito de preservar o sigilo da sua chave privada o titular ou responsável pelo certificado devem tomar todas as medidas para a proteção da mesma. O sigilo da chave privada do certificado é garantido através de senha de acesso à chave privada. Esta senha será definida pelo usuário no momento da instalação do certificado. A criação e utilização dessa senha para acesso à aplicação são de responsabilidade do usuário. O Titular ou responsável pelo Certificado devem observar procedimentos básicos de segurança, tais como: - Nunca fornecer a senha a terceiros; - Utilizar senha de, no mínimo, 8 caracteres; - Não utilizar senha fraca ou óbvia, conforme definido na Política de Segurança da AC Imprensa Oficial SP SRF, item ; - Montar senha com caracteres numéricos e alfanuméricos; - Memorizar a senha e não escrevê-la; - Guardar a mídia principal e cópia de segurança em lugar seguro Tipos de informações sigilosas Como princípio geral, todo documento, informação ou registro fornecido à AC ou às AR é sigiloso Tipos de informações não-sigilosas As informações consideradas não-sigilosas compreendem: Acordo de Assinante, Termo de Titularidade do Subscritor Responsável ou solicitação de emissão do certificado; os certificados e as LCR emitidos pela AC Imprensa Oficial SP SRF; PC A4 da AC Imprensa Oficial SP SRF v1.1 18/46

19 informações corporativas ou pessoais que constem no certificados ou em diretório público; esta PC; a DPC da AC Imprensa Oficial SP SRF; versões públicas de Políticas de Segurança; resultados finais de auditorias; informações que sejam de conhecimento público à época da comunicação ou caiam no domínio público, após a comunicação, sem culpa da AC Imprensa Oficial SP SRF; Divulgação de informação de revogação ou suspensão de certificado Informações sobre revogação de certificados emitidos pela AC Imprensa Oficial SP SRF são fornecidas em suas LCR. As razões para a revogação de certificados serão informadas aos titular do certificado e tornadas públicas, desde que autorizadas a divulgação pelo mesmo. A suspensão de certificados não é admitida na ICP-Brasil Quebra de sigilo por motivos legais A AC Imprensa Oficial SP SRF fornecerá, mediante ordem judicial ou por determinação legal, documentos, informações ou registros sob sua guarda Informações a terceiros Nenhum documento, informação ou registro sob a guarda da AC Imprensa Oficial SP SRF é fornecido a qualquer pessoa, exceto quando o requisitante, através de instrumento devidamente constituído, estiver corretamente identificado e autorizado para fazê-lo Divulgação por solicitação do Titular do Certificado Os titulares de certificado têm acesso a quaisquer dos seus próprios dados e identificações e podem autorizar a divulgação de seus registros. Autorizações podem ser apresentadas de duas formas: - por meio eletrônico, contendo assinatura válida garantida por certificado do mesmo tipo ou superior emitido na ICP-Brasil; - por solicitação escrita, com firma reconhecida. PC A4 da AC Imprensa Oficial SP SRF v1.1 19/46

20 Nenhuma liberação de informação é permitida sem autorização numa das formas acima Outras circunstâncias de divulgação de informação Não se aplica Direitos de Propriedade Intelectual A AC Imprensa Oficial SP SRF ou sua licenciante Verisign Inc., detém todos os direitos de propriedade intelectual sobre as idéias, conceitos, técnicas e invenções, processos e/ou obras, incluídas ou utilizadas nos produtos e serviços fornecidos pela Imprensa Oficial SP nos termos desta PC. Os Direitos de Propriedade terão proteção conforme a legislação aplicável. O titular de certificado emitido pela AC Imprensa Oficial SP SRF concede à AC-SRF e à AC Imprensa Oficial SP SRF o direito de publicar e divulgar em página web, a chave pública contida no certificado, correspondente à chave privada que esta sob sua posse. 3. IDENTIFICAÇÃO E AUTENTICAÇÃO 3.1.Registro Inicial As AR vinculadas à AC Imprensa Oficial SP SRF efetuam a identificação e a autenticação dos solicitantes de certificado com base nos dados fornecidos no formulário de solicitação e nos documentos de apresentação obrigatória. Os requisitos e procedimentos específicos estão detalhados nas PC implementadas pela AC Imprensa Oficial SP SRF. A AR realizará a autenticação da identidade de uma organização (item 3.1.8) e a autenticação da identidade de um indivíduo (item 3.1.9) por meio de dois agentes de registro responsáveis pelo recolhimento e verificação da validade dos documentos apresentados Tipos de nomes O tipo de nome admitido para os titulares de certificados emitidos, segundo esta PC, é o distinguished name do padrão ITU X.500, endereços de correio eletrônico, endereço de página Web (URL), ou outras informações que permitam a identificação unívoca do titular.o certificado emitido para pessoa jurídica inclui o nome da pessoa física responsável pelo seu uso. PC A4 da AC Imprensa Oficial SP SRF v1.1 20/46

21 3.1.2.Necessidade de nomes significativos Os certificados emitidos pela AC Imprensa Oficial SP SRF utilizarão o nome da pessoa física e da pessoa jurídica titular do certificado, bem assim do responsável pela pessoa jurídica obtidos diretamente do CPF e do CNPJ da SRF Regras para interpretação de vários tipos de nomes Não se aplica Unicidade de nomes Esta DPC estabelece que identificadores do tipo "Distinguished Name" (DN) são únicos para cada entidade titular de certificado emitido pela AC Imprensa Oficial SP SRF. Para assegurar a unicidade do campo dos certificados e-cnpj e e-cpf é incluído o número do CNPJ e no número do CPF após o nome do titular do certificado, respectivamente, nos certificados e-cnpj e e-cpf Procedimento para resolver disputa de nomes No âmbito da AC Imprensa Oficial SP SRF não há disputa decorrente da igualdade de nomes entre solicitantes de certificados pois o nome do Titular do Certificado será formado a partir do nome constante dos cadastros da SRF, CPF ou CNPJ para certificados de pessoa física ou jurídica respectivamente, acrescido do número de inscrição nestes cadastros. Este procedimento garante a unicidade de todos os nomes no âmbito da AC Imprensa Oficial SP SRF. A AC Imprensa Oficial SP SRF se reserva o direito de tomar todas as decisões na hipótese de haver disputa de nomes decorrente da igualdade de nomes entre solicitantes diversos de certificados. Durante o processo de confirmação de identidade, cabe à entidade solicitante do certificado provar o seu direito de uso de um nome específico Reconhecimento, autenticação e papel de marcas registradas Os processos de tratamento, conhecimentos e confirmação de autenticidade de marcas registradas são executados de acordo com a legislação em vigor Método para comprovar a posse de chave privada A AC verifica se a entidade que solicita o certificado possui a chave privada correspondente à chave pública para a qual está sendo solicitado o certificado digital. A RFC 2510 é utilizada como referência para essa finalidade. O método PC A4 da AC Imprensa Oficial SP SRF v1.1 21/46

22 de verificação utilizado é Proof of Possession (POP) of Private Key conforme o item 2.3 da RFC A solicitação é armazenada pela AC Imprensa Oficial SP SRF e possui um número de referência que deve ser impresso no Termo de Titularidade e Termo de Responsabilidade, no caso de certificados de pessoas jurídicas junto com os dados da entidade solicitante Autenticação da identidade de uma organização A confirmação da identidade de uma pessoa jurídica é realizada mediante o fornecimento de, no mínimo, os seguintes documentos: - registro comercial, no caso de empresa individual; - ato constitutivo, estatuto ou contrato social em vigor, devidamente registrado, em se tratando de sociedades comerciais ou civis, e, no caso de sociedades por ações, acompanhado de documentos de eleição de seus administradores; - prova de inscrição do Cadastro Nacional de Pessoas Jurídicas (CNPJ); - prova de inscrição no Cadastro Específico do INSS (CEI), se aplicável. As solicitações de certificados são realizadas por pessoa física legalmente responsável. A pessoa física responsável é identificada, na forma descrita no item seguinte (3.1.9). No momento da solicitação do certificados e-cnpj é realizada consulta da situação do solicitante perante o CNPJ, conforme art. 6º da Instrução Normativa SRF N 222. Se o CNPJ informado for inexistente ou se a pessoa jurídica apresentar a condição de inapta, suspensa ou cancelada, a solicitação não será concluída nem enviada à AC Imprensa Oficial SP SRF, inviabilizando a emissão do certificado Autenticação da identidade do indivíduo A confirmação da identidade de um indivíduo é realizada mediante a presença física do interessado, com base em documentos pessoais de identificação relacionados no item No momento da solicitação do certificados e-cpf é realizada consulta da situação cadastral do solicitante perante o CPF, conforme art. 6º da Instrução Normativa SRF N 222. Se o CPF informado for inexistente ou se a pessoa física apresentar a condição de cancelada, a solicitação não será concluída nem enviada à AC Imprensa Oficial SP SRF, inviabilizando a emissão do certificado. O procedimento de identificação utilizado é mantido em arquivo. As AR vinculadas guardam cópias dos documentos exigidos para confirmação da identidade da entidade solicitante e do responsável pelo certificado, o Termo de PC A4 da AC Imprensa Oficial SP SRF v1.1 22/46

23 Titularidade, o Termo de Responsabilidade e a solicitação de emissão de certificado Documentos para identificação Devem ser apresentada uma foto recente e os seguintes documentos acompanhados de cópia: - Cédula de Identidade ou Passaporte, se estrangeiro; - Cadastro de Pessoa Física - CPF; - comprovante de residência; - Número de Identificação Social-NIS (Cadastro do Programa de Integração Social-PIS,Cadastro do Programa de Formação do Patrimônio do Servidor Público-PASEP ou Cadastro de Contribuintes Individuais do INSS-CI), se aplicável; - Cadastro Específico do INSS-CEI, se aplicável; - Título de eleitor, se aplicável; - mais um documento oficial com fotografia. Caso o solicitante seja incapaz, devem ser apresentados os documentos acima relacionados do responsável. Entende-se por cédula de identidade as carteiras instituídas por lei, desde que contenham foto e às mesmas seja atribuída fé pública em todo o território nacional, tais como: Carteira de Identidade emitida pela Secretaria de Segurança Pública, Carteira Nacional de Habilitação, Carteira de Identidade Funcional, Carteira de Identidade Profissional. Documentos de identificação adicionais podem ser exigidos para a aquisição de um certificado emitido pela AC Imprensa Oficial SP SRF Certificado emitido para pessoa física Após a confirmação da identidade na forma do item , o titular do certificado assina o Termo de Titularidade, pelo qual adere às normas, práticas e procedimentos da DPC e desta PC da AC Imprensa Oficial SP SRF, em conformidade com as regras, normas, práticas e procedimentos fixados pela ICP-Brasil. O agente de registro da AR verifica e recolhe cópias dos documentos exigidos para identificação do solicitante do certificado e presencia a assinatura do Termo de Titularidade Certificado emitido para pessoa jurídica No caso de certificado emitido para pessoa jurídica, a confirmação da identidade da organização e das pessoas físicas é feita nos seguintes termos: PC A4 da AC Imprensa Oficial SP SRF v1.1 23/46

24 a) apresentação do rol de documentos elencados no item 3.1.8; b) apresentação do rol de documentos elencados no item dos representantes legais da pessoa jurídica e do responsável pelo uso do certificado; c) presença física do responsável pelo uso do certificado e assinatura do Termo de Responsabilidade ; e d) presença física dos representantes legais da pessoa jurídica e assinatura do Termo de Titularidade. Nestes casos, a AR verifica e recolhe cópias dos documentos de identificação da organização solicitante do certificado e dos documentos pessoais de identificação dos representantes legais e do responsável, verifica a autorização atribuída ao responsável pelo certificado, e presencia as assinaturas do Termo de Titularidade pelos representantes legais e do Termo de Responsabilidade pelo responsável. 3.2.Geração de novo par de chaves antes da expiração do atual Antes da expiração do certificado, o titular pode solicitar um novo certificado por meio eletrônico, assinando digitalmente uma solicitação com o uso de certificado vigente de mesmo nível ou superior, limitada a 3 (três) ocorrências sucessivas. Em outros casos são adotados os mesmos requisitos e procedimentos exigidos para solicitação inicial do certificado. 3.3.Geração de novo par de chaves após revogação Após a revogação ou expiração do certificado, os procedimentos utilizados para confirmação da identidade do solicitante de novo certificado são os mesmos exigidos na solicitação inicial de certificado, na forma e prazo descritos nesta PC. 3.4.Solicitação de Revogação A solicitação de revogação de certificado é realizada através de formulário on-line específico, permitindo a identificação inequívoca do solicitante. A confirmação da identidade do solicitante é feita com base na confrontação de dados fornecidos no formulário on-line de revogação e os dados previamente cadastrados na AR. Na solicitação de emissão de certificado o solicitante informa uma frase de identificação, que é associada à identidade do solicitante. Essa frase de identificação é utilizada para solicitar a revogação, permitindo, assim, a identificação inequívoca do solicitante. Nos demais casos ou quando o Titular ou o Responsável -no caso de certificados de pessoas jurídicas- não recorda a frase de identificação ou quando a revogação é solicitada diretamente pelo Titular, sem a participação do Responsável, o Formulário de revogação é impresso e assinado e entregue na AR. PC A4 da AC Imprensa Oficial SP SRF v1.1 24/46

25 Os procedimentos para solicitação de revogação de certificado emitido pela AC Imprensa Oficial SP SRF estão descritos no item As solicitações de revogação de certificado são registradas. 4. REQUISITOS OPERACIONAIS 4.1.Solicitação de Certificado Para atender à solicitação de emissão de certificados, a AR exige: - o fornecimento dos dados e documentos exigidos para identificação dos titulares e responsáveis, conforme item 3.1; - a autenticação do agente de registro responsável pelas solicitações de emissão e de revogação de certificados mediante o uso de certificado digital que tenha requisitos de segurança, no mínimo, equivalentes a de um certificado de nível A3; - assinatura do Termo de Titularidade pelo Titular do certificado e do Termo de Responsabilidade pelo Responsável, no caso de certificados de pessoas jurídicas, estabelecendo os termos e condições aplicados ao uso do certificado. 4.2.Emissão de Certificado A emissão de certificado depende do correto preenchimento de formulário de solicitação, da conformidade dos dados contidos na solicitação com o CPF ou CNPJ, da assinatura do Acordo do Assinante, do Termo de Titularidade do Subscritor Responsável, no caso de certificados de pessoas jurídicas e da entrega, na AR, dos demais documentos exigidos. Após o processo de validação das informações fornecidas pelo solicitante, o certificado é emitido e o Titular do certificado é notificado por da emissão e do método para a retirada do certificado. O certificado é considerado válido a partir do momento de sua emissão. 4.3.Aceitação de Certificado A aceitação do certificado e do seu conteúdo é declarada pelo titular do certificado, na primeira utilização da chave privada correspondente. O prazo para aceitação do certificado está definido no item desta PC. O titular do certificado ou pessoa física responsável, verifica as informações contidas no certificado e o aceita caso as informações sejam íntegras, corretas e verdadeiras. Caso contrário, o titular do certificado não pode utilizar o certificado deve solicitar imediatamente a revogação do mesmo. PC A4 da AC Imprensa Oficial SP SRF v1.1 25/46