Declaração de Práticas de Certificação. da Autoridade Certificadora. Imprensa Oficial SP

Transcrição

1 Declaração de Práticas de Certificação da Autoridade Certificadora Imprensa Oficial SP DPC DA AC Imprensa Oficial - SP Versão de Março de 2005

2 ÍNDICE 1. INTRODUÇÃO VISÃO GERAL IDENTIFICAÇÃO COMUNIDADE E APLICABILIDADE Autoridades Certificadoras Autoridades de Registro Titulares de Certificado Aplicabilidade DADOS DE CONTATO DISPOSIÇÕES GERAIS OBRIGAÇÕES E DIREITOS Obrigações da AC Imprensa Oficial - SP Obrigações das AR Obrigações do Titular do Certificado Direitos da Terceira Parte (Relying Party) Obrigações do Repositório RESPONSABILIDADES Responsabilidades da AC Imprensa Oficial - SP Responsabilidades das AR RESPONSABILIDADE FINANCEIRA Indenizações devidas pela terceira parte(relying Party) Relações Fiduciárias Processos Administrativos INTERPRETAÇÃO E EXECUÇÃO Legislação Forma de interpretação e notificação Procedimentos da solução de disputa TARIFAS DE SERVIÇO Tarifas de emissão e renovação de certificados Tarifas de acesso ao certificado Tarifas de revogação ou de acesso à informação de status Tarifas para outros serviços Política de reembolso PUBLICAÇÃO E REPOSITÓRIO Publicação de informação da AC Imprensa Oficial - SP Freqüência de publicação Controles de acesso Repositórios AUDITORIA DE CONFORMIDADE Freqüência de auditoria de conformidade Identidade e qualificação do auditor Relação entre auditor e a parte auditada Tópicos cobertos pela auditoria Medidas adotadas em caso de não-conformidade Comunicação de resultados SIGILO Tipos de informações sigilosas Tipos de informações não-sigilosas Divulgação de informação de revogação ou suspensão de certificado Quebra de sigilo por motivos legais Informações a terceiros Divulgação por solicitação do Titular Outras circunstâncias de divulgação de informação DIREITOS DE PROPRIEDADE INTELECTUAL IDENTIFICAÇÃO E AUTENTICAÇÃO...21 DPC da AC Imprensa Oficial SP v1.0 2/65

3 3.1. REGISTRO INICIAL Tipos de nomes Necessidade de nomes significativos Regras para interpretação de vários tipos de nomes Unicidade de nomes Procedimento para resolver disputa de nomes Reconhecimento, autenticação e papel de marcas registradas Método para comprovar a posse de chave privada Autenticação da identidade de uma organização Autenticação da identidade de um indivíduo GERAÇÃO DE NOVO PAR DE CHAVES ANTES DA EXPIRAÇÃO DO CERTIFICADO GERAÇÃO DE NOVO PAR DE CHAVES APÓS REVOGAÇÃO DO CERTIFICADO SOLICITAÇÃO DE REVOGAÇÃO REQUISITOS OPERACIONAIS SOLICITAÇÃO DE CERTIFICADO EMISSÃO DE CERTIFICADO ACEITAÇÃO DE CERTIFICADO SUSPENSÃO E REVOGAÇÃO DE CERTIFICADO Circunstâncias para revogação Quem pode solicitar revogação Procedimento para solicitação de revogação Prazo para solicitação de revogação Circunstâncias para suspensão Quem pode solicitar suspensão Procedimento para solicitação de suspensão Limites no período de suspensão Freqüência de emissão de LCR Requisitos para verificação de LCR Disponibilidade para revogação ou verificação de status on-line Requisitos para verificação de revogação on-line Outras formas disponíveis para divulgação de revogação Requisitos para verificação de outras formas de divulgação de revogação Requisitos especiais para o caso de comprometimento de chave PROCEDIMENTOS DE AUDITORIA DE SEGURANÇA Tipos de eventos registrados Freqüência de auditoria de registros (logs) Período de retenção para registros (logs) de auditoria Proteção de registro (log) de auditoria Procedimentos para cópia de segurança (backup) de registro (log) de auditoria Sistema de coleta de dados de auditoria Notificação de agentes causadores de eventos Avaliações de vulnerabilidade ARQUIVAMENTO DE REGISTROS Tipos de registros arquivados: Período de retenção para arquivo: Proteção de arquivo Procedimentos para cópia de segurança (backup) de arquivo Requisitos para datação (time-stamping) de registros Sistema de coleta de dados de arquivo Procedimentos para obter e verificar informação de arquivo TROCA DE CHAVE COMPROMETIMENTO E RECUPERAÇÃO DE DESASTRE Recursos computacionais, software, e dados corrompidos Certificado de AC é revogado Chave da entidade é comprometida Segurança dos recursos após desastre natural ou de outra natureza EXTINÇÃO DA AC IMPRENSA OFICIAL - SP CONTROLES DE SEGURANÇA FÍSICA, PROCEDIMENTAL E DE PESSOAL CONTROLES FÍSICOS DPC da AC Imprensa Oficial SP v1.0 3/65

4 Construção e localização das instalações Acesso físico Níveis de acesso Sistemas físicos de detecção Sistema de controle de acesso Mecanismos de emergência Energia e ar condicionado Exposição à água Prevenção e proteção contra incêndio Armazenamento de mídia Destruição de lixo Instalações de segurança (backup) externas (off-site) CONTROLES PROCEDIMENTAIS Perfis qualificados Número de pessoas necessário por tarefa Identificação e autenticação para cada perfil CONTROLES DE PESSOAL Antecedentes, qualificação, experiência e requisitos de idoneidade Procedimentos de verificação de antecedentes Requisitos de treinamento Freqüência e requisitos para reciclagem técnica Freqüência e seqüência de rodízio de cargos Sanções para ações não autorizadas Requisitos para contratação de pessoal Documentação fornecida ao pessoal CONTROLES TÉCNICOS DE SEGURANÇA GERAÇÃO E INSTALAÇÃO DO PAR DE CHAVES Geração do par de chaves Entrega da chave privada à entidade titular Entrega da chave pública para emissor de certificado Disponibilização de chave pública da AC Imprensa Oficial - SP para usuários Tamanhos de chave Geração de parâmetros de chaves assimétricas Verificação da qualidade dos parâmetros Geração de chave por hardware ou software Propósitos de uso de chave (conforme o campo key usage na X.509 v3) PROTEÇÃO DA CHAVE PRIVADA Padrões para módulo criptográfico Controle n de m para chave privada Recuperação (escrow) de chave privada Cópia de segurança (backup) de chave privada Arquivamento de chave privada Inserção de chave privada em módulo criptográfico Método de ativação de chave privada Método de desativação de chave privada Método de destruição de chave privada OUTROS ASPECTOS DO GERENCIAMENTO DO PAR DE CHAVES Arquivamento de chave pública Períodos de uso para as chaves pública e privada DADOS DE ATIVAÇÃO Geração e instalação dos dados de ativação Proteção dos dados de ativação Outros aspectos dos dados de ativação CONTROLES DE SEGURANÇA COMPUTACIONAL Requisitos técnicos específicos de segurança computacional Classificação da segurança computacional CONTROLES TÉCNICOS DO CICLO DE VIDA Controles de desenvolvimento de sistema Controles de gerenciamento de segurança Classificações de segurança de ciclo de vida DPC da AC Imprensa Oficial SP v1.0 4/65

5 6.7. CONTROLES DE SEGURANÇA DE REDE Firewall Sistema de detecção de intrusão (IDS) Registro de acessos não-autorizados à rede CONTROLES DE ENGENHARIA DO MÓDULO CRIPTOGRÁFICO PERFIS DE CERTIFICADO E LCR PERFIL DO CERTIFICADO Número de versão Extensões de certificado Identificadores de algoritmo Formatos de nome Restrições de nome OID (Object Identifier) de DPC Uso da extensão Policy Constraints Sintaxe e semântica dos qualificadores de política Semântica de processamento para extensões críticas PERFIL DE LCR Número(s) de versão Extensões de LCR e de suas entradas ADMINISTRAÇÃO DE ESPECIFICAÇÃO PROCEDIMENTOS DE MUDANÇA DE ESPECIFICAÇÃO POLÍTICAS DE PUBLICAÇÃO E NOTIFICAÇÃO PROCEDIMENTOS DE APROVAÇÃO DPC da AC Imprensa Oficial SP v1.0 5/65

6 DECLARAÇÃO DE PRÁTICAS DE CERTIFICAÇÃO DA AUTORIDADE CERTIFICADORA IMPRENSA OFICIAL - SP 1. INTRODUÇÃO 1.1. Visão Geral Esta Declaração de Práticas de Certificação (DPC) descreve as práticas e os procedimentos empregados pela Autoridade Certificadora Imprensa Oficial - SP na Infra-estrutura de Chaves Públicas Brasileira (ICP-Brasil) na execução dos seus serviços de certificação digital. A AC Imprensa Oficial - SP está certificada em nível imediatamente subseqüente ao da AC CertiSign certificada pela AC Raiz da ICP-Brasil. O certificado da AC Imprensa Oficial - SP contém a chave pública correspondente à sua chave privada, utilizada para assinar os certificados de assinatura A1, A2, A3, A4; de sigilo S1, S2, S3, S4 e para assinar a sua Lista de Certificados Revogados (LCR). Para regulamentar usos específicos dos certificados emitidos pela a AC Imprensa Oficial - SP são publicadas Políticas de Certificado disponíveis em página web A estrutura desta DPC está baseada na Resolução Nº 8 do Comitê Gestor da ICP-Brasil Requisitos Mínimos para as Declarações de Prática de Certificação na ICP-Brasil, publicada em 12/12/2001. As referências a formulários presentes nesta DPC deverão ser entendidas também como referências a outras formas que a AC Imprensa Oficial - SP ou entidades a ela vinculadas possa vir a adotar Identificação Esta DPC é chamada Declaração de Práticas de Certificação da Autoridade Certificadora AC Imprensa Oficial - SP e referida como "DPC da AC Imprensa Oficial - SP ", cujo OID (object identifier) é Comunidade e Aplicabilidade Autoridades Certificadoras Esta DPC refere-se à AC Subordinada Imprensa Oficial - SP no âmbito da ICP-Brasil. DPC da AC Imprensa Oficial SP v1.0 6/65

7 Autoridades de Registro A Imprensa Oficial do Estado de São Paulo atua como Autoridade de Registro para a AC Imprensa Oficial - SP AR Imprensa Oficial - SP, exercendo as funções de recebimento, validação e encaminhamento de solicitações de emissão ou de revogação de certificados digitais e identificação dos solicitantes na hierarquia pública da ICP-Brasil. A AC Imprensa Oficial - SP poderá ampliar a atividade de Registro através de pedido de credenciamento de novas AR vinculadas à AC Imprensa Oficial - SP. A DPC da AC Imprensa Oficial - SP será atualizada caso haja qualquer alteração no conjunto de AR vinculadas Titulares de Certificado Pessoas físicas ou jurídicas de direito público ou privado, nacionais ou estrangeiras, podem ser Titulares de Certificado. No caso de certificado emitido para pessoa jurídica, será designada pessoa física como responsável pelo certificado, que será a detentora da chave privada. Preferencialmente, será designado como responsável pelo certificado um dos representantes legais da pessoa jurídica Aplicabilidade A AC Imprensa Oficial - SP implementa as seguintes Políticas de Certificado Digital: Para Certificados de Assinatura Digital: Política de Certificado de Assinatura Digital Tipo A1 da Autoridade Certificadora Imprensa Oficial - SP, PC A1 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Assinatura Digital Tipo A2 da Autoridade Certificadora Imprensa Oficial - SP, PC A2 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Assinatura Digital Tipo A3 da Autoridade Certificadora Imprensa Oficial - SP, PC A3 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Assinatura Digital Tipo A4 da Autoridade DPC da AC Imprensa Oficial SP v1.0 7/65

8 Certificadora Imprensa Oficial - SP, PC A4 da AC Imprensa Oficial - SP, OID Para Certificados de Sigilo: Política de Certificado de Sigilo Tipo S1 da Autoridade Certificadora Imprensa Oficial - SP, PC S1 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Sigilo Tipo S2 da Autoridade Certificadora Imprensa Oficial - SP, PC S2 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Sigilo Tipo S3 da Autoridade Certificadora Imprensa Oficial - SP, PC S3 da AC Imprensa Oficial - SP, OID ; Política de Certificado de Sigilo Tipo S4 da Autoridade Certificadora Imprensa Oficial - SP, PC S4 da AC Imprensa Oficial - SP, OID Nas PC correspondentes estão relacionadas as aplicações para as quais são adequados os certificados emitidos pela AC Imprensa Oficial - SP e, quando cabíveis, as aplicações para as quais existam restrições ou proibições para o uso desses certificados Dados de Contato Nome: Imprensa Oficial do Estado SA IMESP Endereço: Rua da Mooca, 1921 Mooca São Paulo, SP Telefone: (11) Nome: Robinson Herzeg Telefone: Fax: icpbrasil@imprensaoficial.com.br DPC da AC Imprensa Oficial SP v1.0 8/65

9 2. DISPOSIÇÕES GERAIS 2.1. Obrigações e Direitos Nos itens a seguir estão descritas as obrigações gerais das entidades envolvidas. Os requisitos específicos associados a essas obrigações estão detalhados nas PC implementadas pela AC Imprensa Oficial - SP Obrigações da AC Imprensa Oficial - SP operar de acordo com esta DPC e com as PC que implementa; tomar as medidas cabíveis para assegurar que usuários e demais entidades envolvidas tenham conhecimento de seus respectivos direitos e obrigações; gerar e gerenciar seus pares de chaves criptográficas; assegurar a proteção de suas chaves privadas; notificar os usuários quando ocorrer suspeita de comprometimento da chave privada da AC Imprensa Oficial - SP, emissão de novo par de chaves e correspondente certificado ou o encerramento de suas atividades; distribuir seu próprio certificado; emitir,expedir, distribuir e revogar, conforme as instruções da AR os certificados de usuários finais; emitir, gerenciar, publicar sua LCR e disponibilizar consulta on-line de situação do certificado (OCSP On-line Certificate Status Protocol), quando aplicável por força de contratação específica; identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP-Brasil; publicar em sua página web esta DPC da AC Imprensa Oficial - SP e as PC que implementa; fiscalizar e auditorar as AR vinculadas e os prestadores de serviço que lhe sejam vinculados, em conformidade com as políticas, normas e procedimentos da ICP-Brasil; informar a emissão do certificado ao respectivo solicitante; emitir, expedir, distribuir e revogar os certificados das AR ; notificar a AC CertiSign, emitente do seu certificado, quando ocorrer comprometimento de sua chave privada e solicitar a imediata revogação desse certificado; adotar as medidas de segurança e controle previstas nesta DPC da AC Imprensa Oficial - SP, nas PC e Política de Segurança da AC Imprensa DPC da AC Imprensa Oficial SP v1.0 9/65

10 Oficial - SP que implementar, envolvendo seus processos, procedimentos e atividades, observadas as normas, critérios, práticas e procedimentos da ICP-Brasil; manter a conformidade dos seus processos, procedimentos e atividades com as normas, práticas e regras da ICP-Brasil e com a legislação vigente; manter e garantir a integridade, o sigilo e a segurança da informação por ela tratada; manter e testar regularmente seu Plano de Continuidade do Negócio; manter contrato de seguro de cobertura de responsabilidade civil decorrente das atividades de certificação digital e de registro, com cobertura suficiente e compatível com o risco dessas atividades. informar à terceira parte e titulares de certificado acerca das garantias, coberturas, condicionantes e limitações estipuladas pela apólice de seguro de responsabilidade civil contratada pela AC Imprensa Oficial SP; não emitir certificado com prazo de validade que se estenda além do prazo de validade de seu próprio certificado Obrigações das AR. receber solicitações de emissão ou de revogação de certificados; confirmar a identidade do solicitante e a validade da solicitação de acordo com os requisitos estabelecidos pelos itens 3 e 4 da PC aplicável; encaminhar as solicitações de emissão ou de revogação de certificados à AC Imprensa Oficial - SP; utilizando VPN (virtual private network - rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade; utilizar VPN (virtual private network rede privativa virtual), SSL (secure socket layer - protocolo de comunicação seguro) ou outra tecnologia de igual ou superior nível de segurança e privacidade, ao disponibilizar serviços para os solicitantes ou usuários de certificados digitais via web; informar os titulares de certificado a emissão ou a revogação de seus certificados; disponibilizar os certificados emitidos pela AC Imprensa Oficial - SP aos seus respectivos solicitantes; identificar e registrar todas as ações executadas, conforme as normas, práticas e regras estabelecidas pelo CG da ICP-Brasil; DPC da AC Imprensa Oficial SP v1.0 10/65

11 Obedecer estritamente a esta DPC da AC Imprensa Oficial - SP e às PC aplicáveis, bem como respeitar a legislação aplicável, incluindo as regras definidas pelo CG da ICP-Brasil; manter a conformidade dos seus processos, procedimentos e atividades com as normas, práticas e regras estabelecidas nesta DPC, nas PC implementadas e na Política de Segurança da AC Imprensa Oficial - SP; manter e garantir a segurança da informação por ela tratada, de acordo com o estabelecido nas normas, critérios, práticas e procedimentos da ICP-Brasil. oferecer treinamento aos seus agentes de registro, especialmente quanto ao reconhecimento de assinaturas e validade dos documentos apresentados na forma dos itens e Obrigações do Titular do Certificado fornecer, de modo completo e preciso, todas as informações necessárias para sua identificação; fornecer cópias autênticas dos documentos que forem exigidos para emissão do certificado; garantir a proteção e o sigilo de suas chaves privadas, senhas e dispositivos criptográficos; verificar, no momento da aceitação do certificado, a veracidade e exatidão das informações contidas no seu certificado e notificar a AC Imprensa Oficial - SP, solicitando a imediata revogação do certificado que contiver inexatidões ou erros; utilizar os seus certificados e chaves privadas de modo apropriado, conforme o previsto na PC correspondente; conhecer os seus direitos e obrigações contemplados por esta DPC, pela PC correspondente e por outros documentos aplicáveis da ICP- Brasil; informar à AC Imprensa Oficial - SP o comprometimento ou suspeita de comprometimento de sua chave privada e solicitar a imediata revogação do certificado correspondente; garantir que cada assinatura digital criada com a chave privativa correspondente à chave pública contida no certificado é a sua assinatura digital e que o certificado é válido (não expirou e não foi revogado) no momento da criação desta assinatura; obedecer estritamente a esta DPC da AC Imprensa Oficial - SP e às PC aplicáveis, bem como respeitar a legislação aplicável, incluindo as DPC da AC Imprensa Oficial SP v1.0 11/65

12 regras definidas pelo CG da ICP-Brasil e as obrigações contratuais assumidas perante à AC Imprensa Oficial - SP e AR ; Nota: Em caso de certificados emitidos para pessoas jurídicas, as obrigações do titular se aplicam ao responsável pelo uso do certificado Direitos da Terceira Parte (Relying Party) Considera-se terceira parte, a parte que confia no teor, validade e aplicabilidade do certificado digital. Constitui direito da terceira parte recusar a utilização do certificado para fins diversos dos previstos na PC correspondente. Constitui direito da terceira parte verificar, a todo tempo, a validade do certificado. Um certificado emitido pela AC Imprensa Oficial - SP é considerado válido quando: não constar da LCR da AC Imprensa Oficial - SP; não estiver expirado; e sua validade puder ser verificada através de certificado válido da AC Imprensa Oficial - SP. O não exercício desse direito não afasta a responsabilidade da AC Imprensa Oficial - SP e do titular do certificado Obrigações do Repositório disponibilizar, logo após a sua emissão, os certificados emitidos pela AC Imprensa Oficial - SP; disponibilizar a LCR da AC Imprensa Oficial - SP; disponibilizar verificação on-line do status do certificado ou outro mecanismo de atualização de status aprovado pela ICP-Brasil, quando aplicável por força de contratação específica; estar disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana; implementar os recursos necessários para a segurança dos dados nele armazenados Responsabilidades Responsabilidades da AC Imprensa Oficial - SP A AC responde pelos danos a que der causa. DPC da AC Imprensa Oficial SP v1.0 12/65

13 Responsabilidades das AR A AR é responsável pelos danos a que der causa. A AC Imprensa Oficial - SP responde solidariamente pelos atos das AR a ela vinculadas Responsabilidade Financeira Indenizações devidas pela terceira parte(relying Party) A terceira parte responde perante a AC Imprensa Oficial - SP e ARs vinculadas apenas pelos prejuízos a que der causa com a prática de ato ilícito, nos termos da legislação vigente Relações Fiduciárias A AC Imprensa Oficial - SP ou sua AR vinculada indeniza integralmente os prejuízos que, comprovadamente, der causa, quando o Titular do Certificado for pessoa física. Em caso de o Titular do Certificado ser pessoa jurídica, a política de indenizações da AC Imprensa Oficial - SP e de suas AR vinculadas, pelos danos a que, comprovadamente, derem causa, prevê o pagamento de indenização correspondente à 20 (vinte) vezes o valor do certificado, ou a R$ ,00, o que for menor. As indenizações da AC Imprensa Oficial - SP e de suas AR vinculadas cobrem perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial - SP, de erro na identificação do titular, de emissão defeituosa do certificado ou de erros ou omissões da AC Imprensa Oficial - SP ou das AR vinculadas Processos Administrativos O titular do certificado que sofrer perdas e danos decorrentes do uso do certificado Digital emitido pela AC Imprensa Oficial - SP tem o direito de comunicar à AC Imprensa Oficial - SP que deseja a indenização prevista no item acima, observadas as seguintes condições: a) nos casos de perdas e danos decorrentes de comprometimento da chave privada da AC Imprensa Oficial - SP, tal comprometimento deverá ter sido comprovado por perícia realizada por perito especializado e independente; b) nos casos de erro na identificação, o titular do certificado não pode requerer qualquer indenização quando os dados constantes no DPC da AC Imprensa Oficial SP v1.0 13/65

14 certificado corresponderem aos dados fornecidos por esse titular à AR que realizou sua identificação presencial; c) nos casos de erro na transcrição, o titular do certificado não pode requerer qualquer indenização quando houver aceitado o certificado Interpretação e Execução Legislação Esta DPC é regida pela Medida Provisória nº , pelas Resoluções do Comitê Gestor da ICP-Brasil, bem como pelas demais leis em vigor no Brasil Forma de interpretação e notificação Na hipótese de uma ou mais disposições desta DPC ser, por qualquer razão, considerada inválida, ilegal, ou conflituosa com norma da ICP- Brasil, a inaplicabilidade não afeta as demais disposições, sendo esta DPC interpretada, então, como se não contivesse tal disposição e, na medida do possível, interpretada para manter a intenção original da DPC. As notificações ou qualquer outra comunicação necessária, relativas às práticas descritas nesta DPC, são feitas através de mensagem eletrônica assinada digitalmente, com chave pública certificada pela ICP-Brasil, ou por escrito e entregue à AC Imprensa Oficial - SP. A DPC da AC Imprensa Oficial - SP na ICP-Brasil, não prevalece sobre as normas, critérios, práticas e procedimentos da ICP-Brasil Procedimentos da solução de disputa Em caso de conflito entre esta DPC da AC Imprensa Oficial - SP, as PC que implementa ou outros documentos que a AC Imprensa Oficial - SP adotar, prevalece o disposto nesta DPC. O contrato para emissão de certificados poderá criar obrigações específicas, limitar o uso dos certificados ou restringir valores de transações comerciais, desde que respeitados os direitos previstos nesta DPC. Esta DPC da AC Imprensa Oficial - SP não prevalece sobre as normas, critérios, práticas e procedimentos da ICP-Brasil. DPC da AC Imprensa Oficial SP v1.0 14/65

15 2.5. Tarifas de Serviço Tarifas de emissão e renovação de certificados Variável conforme definição comercial Tarifas de acesso ao certificado Não são cobradas tarifas de acesso ao certificado digital emitido Tarifas de revogação ou de acesso à informação de status Variável conforme definição comercial Tarifas para outros serviços Variável conforme definição comercial Política de reembolso Em caso de revogação do certificado por motivo de comprometimento da chave privada da AC Imprensa Oficial - SP ou da mídia armazenadora da chave privada da AC Imprensa Oficial - SP, ou ainda quando constatada a emissão imprópria ou defeituosa, imputável à AC Imprensa Oficial - SP, será reembolsado ao solicitante o preço pago pelo certificado, exceto em caso de emissão gratuita de outro certificado em substituição Publicação e Repositório Publicação de informação da AC Imprensa Oficial - SP O certificado da AC Imprensa Oficial - SP, a LCR, esta DPC, as PC que a AC Imprensa Oficial - SP implementa e os endereços das instalações técnicas das AR vinculadas são publicados em serviço de diretório e/ou em página web da AC Imprensa Oficial - SP ( obedecendo as regras e os critérios estabelecidos nesta DPC. A disponibilidade das informações publicadas pela AC Imprensa Oficial - SP em serviço de diretório e/ou página web é de 99% (noventa e nove por cento) do mês, 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana. DPC da AC Imprensa Oficial SP v1.0 15/65

16 Freqüência de publicação Certificados são publicados imediatamente após sua emissão. A publicação da LCR se dá conforme o item da PC correspondente. As versões ou alterações desta DPC e da PC, assim como os endereços das instalações técnicas das AR vinculadas, são atualizadas no web site da CertiSign após aprovação da AC Raiz da ICP-Brasil Controles de acesso Não há qualquer restrição ao acesso para consulta a esta DPC, à lista de certificados emitidos, à LCR da AC Imprensa Oficial SP, às PC implementadas e aos endereços das instalações técnicas das AR vinculadas. São utilizados controles de acesso físico e lógico para restringir a possibilidade de escrita ou modificação desses documentos ou desta lista por pessoal não-autorizado. A máquina que armazena as informações acima se encontra em nível 4 de segurança física e requer uma senha de acesso Repositórios O repositório da AC Imprensa Oficial - SP está disponível para consulta durante 24 (vinte e quatro) horas por dia, 7 (sete) dias por semana e pode ser encontrado na página Web ( As publicações da AC Imprensa Oficial - SP podem ser consultadas através do protocolo http. Somente a AC Imprensa Oficial - SP, por seus funcionários qualificados e designados especialmente para esse fim, pode efetuar a atualizações nas informações por ela publicadas no seu repositório Auditoria de Conformidade A AC Raiz é a responsável pela auditoria dos processos, procedimentos e atividades de todas as AC integrantes da ICP-Brasil e das AR a elas vinculadas. A auditoria dessas entidades é realizada com o objetivo de verificar a conformidade com suas respectivas DPC, PC, Política de Segurança e demais normas e procedimentos estabelecidos pela ICP-Brasil. DPC da AC Imprensa Oficial SP v1.0 16/65

17 A AC Imprensa Oficial - SP disponibiliza à AC Raiz e à AC CertiSign relatórios anuais de auditoria das AR e prestadores de serviço de suporte vinculados. Considera-se prestador de serviço de suporte aquele que desempenha atividade descrita neste documento ou em uma PC implementada pela AC Imprensa Oficial - SP Freqüência de auditoria de conformidade Auditorias de conformidade das ARs e prestadores de serviço de suporte vinculados à AC Imprensa Oficial - SP são realizadas anualmente Identidade e qualificação do auditor Os relatórios de auditoria das AR e dos prestadores de serviço de suporte são fornecidos pela AC Imprensa Oficial - SP ou por empresa de auditoria independente contratada pela AC Imprensa Oficial - SP. No caso da auditoria ser realizada pela própria AC Imprensa Oficial - SP os relatórios são assinados por funcionário com perfil qualificado conforme o item da DPC da AC Imprensa Oficial - SP Relação entre auditor e a parte auditada O auditor, pertencente à auditoria independente e especializada contratada, deve ser totalmente independente da entidade auditorada. O auditor será declarado impedido de realizar a auditoria quando: - houver motivo íntimo declarado; - for amigo íntimo ou inimigo capital de membros da entidade auditorada; - for credor ou devedor da entidade auditorada ou de um de seus membros; - tiver interesse no resultado da auditoria da entidade auditada; e houver relacionamento, de fato ou de direito, como cônjuge, parente, consangüíneo ou afim, com algum dos membros da entidade auditorada, em linha reta ou na colateral até o terceiro grau. O auditor firma declaração, sob as penas da lei, de que não se enquadra em qualquer das causas de impedimento. DPC da AC Imprensa Oficial SP v1.0 17/65

18 Quando a entidade auditada for a AR Imprensa Oficial SP ou o prestador de serviço de suporte, e a auditoria for realizada por auditor pertencente à AC Imprensa Oficial SP, este deverá preencher os requisitos conforme item desta DPC, não se aplicando os impedimentos acima Tópicos cobertos pela auditoria As auditorias de conformidade verificam todos os aspectos relacionados com a emissão e o gerenciamento de certificados digitais, incluindo o controle dos processos de solicitação, identificação, autenticação, geração, publicação, distribuição, renovação e revogação de certificados. Os tópicos cobertos pela auditoria de conformidade incluem, dentre outros: Política de Segurança; Segurança física; Administração dos serviços; Investigação de pessoal; PC e DPC utilizadas; Termo de Titularidade e Termo de Responsabilidade; Considerações de sigilo Medidas adotadas em caso de não-conformidade A entidade auditada, compromete-se a cumprir, no prazo estipulado pela AC Imprensa Oficial - SP, as recomendações dos auditores para corrigir os casos de não-conformidade com a legislação ou com as políticas, normas, práticas e regras estabelecidas. O não cumprimento das recomendações no prazo estipulado acarretará a suspensão das atividades de AR ou de prestador de serviço de suporte Comunicação de resultados Os auditores entregam relatórios completos à AC Imprensa Oficial - SP que serão encaminhados à AC Raiz por Intermédio da AC CertiSign. DPC da AC Imprensa Oficial SP v1.0 18/65

19 2.8. Sigilo AC Imprensa Oficial - SP gera e mantém sua chave privada, sendo responsável pelo seu sigilo. A divulgação ou utilização indevida da sua chave privada é de sua inteira responsabilidade. O titular ou responsável pelo uso dos certificados de assinatura digital e de sigilo emitidos pela AC Imprensa Oficial - SP é responsável pela geração, manutenção e sigilo de suas respectivas chaves privadas, bem como pela divulgação ou utilização indevida dessas chaves. As PC correspondentes aos certificados emitidos pela AC Imprensa Oficial - SP delimitam as responsabilidades pela manutenção e pela garantia do sigilo das respectivas chaves privadas Tipos de informações sigilosas Nenhum documento, informação ou registro fornecido pelos titulares de certificado à AC Imprensa Oficial - SP será divulgado Tipos de informações não-sigilosas As informações consideradas não-sigilosas compreendem: Termo de Titularidade, Termo de Responsabilidade ou solicitação de emissão do certificado; os certificados e a LCR emitidos pela AC Imprensa Oficial - SP; informações corporativas ou pessoais que constem no certificados ou em diretórios públicos; a PC correspondente; esta DPC; versões públicas de Políticas de Segurança; resultados finais de auditorias. A AC Imprensa Oficial - SP e a AR a ela vinculada tratam como confidenciais os dados fornecidos pelo solicitante que não constem no certificado. Contudo, tais dados não são considerados confidenciais quando: a) estejam na posse legítima da AC Imprensa Oficial - SP ou da AR a ela vinculada antes de seu fornecimento pelo solicitante ou o solicitante autorize formalmente a sua divulgação; DPC da AC Imprensa Oficial SP v1.0 19/65

20 b) posteriormente ao seu fornecimento pelo solicitante, sejam obtidos ou possam ter sido obtidos legalmente de terceiro(s) com direitos legítimos para divulgação sua sem quaisquer restrições para tal; c) sejam requisitados por determinação judicial ou governamental, desde que a AC Imprensa Oficial - SP ou a AR a ela vinculada comunique previamente, se possível e de imediato ao solicitante, a existência de tal determinação. Os motivos que justificaram a não emissão de um certificado são mantidos confidenciais pela AC Imprensa Oficial - SP e pela AR a ela vinculada, exceto na hipótese da alínea "c" acima, ou quando o solicitante requerer ou autorizar expressamente a sua divulgação a terceiros Divulgação de informação de revogação ou suspensão de certificado Informações sobre revogação de certificados emitidos pela AC Imprensa Oficial - SP são fornecidas em sua LCR ou através de OCSP, quando aplicável por força de contratação específica, pela PC correspondente. A razão para a revogação de certificado é informada ao titular do certificado e será tornada pública, desde que autorizada a divulgação pelo mesmo. A suspensão de certificados não é admitida na ICP-Brasil Quebra de sigilo por motivos legais A AC Imprensa Oficial - SP fornecerá, mediante ordem judicial ou por determinação legal, documentos, informações ou registros sob sua guarda Informações a terceiros Nenhum documento, informação ou registro sob a guarda da AC Imprensa Oficial - SP é fornecido a qualquer pessoa, exceto quando a pessoa que requerer, através de instrumento devidamente constituído, estiver corretamente identificada e autorizada para fazê-lo Divulgação por solicitação do Titular O titular de certificado e seu representante legal têm acesso a quaisquer dos seus próprios dados e identificações e podem autorizar a divulgação de seus registros. DPC da AC Imprensa Oficial SP v1.0 20/65

21 Autorizações podem ser apresentadas de duas formas: por meio eletrônico, contendo assinatura válida garantida por certificado do mesmo tipo ou superior emitido na ICP-Brasil; por solicitação escrita, com firma reconhecida. Nenhuma liberação de informação é permitida sem autorização numa das formas acima Outras circunstâncias de divulgação de informação Não se aplica Direitos de Propriedade Intelectual A AC Imprensa Oficial - SP ou sua licenciante VeriSign, Inc. detém todos os direitos de propriedade intelectual sobre as idéias, conceitos, técnicas e invenções, processos e/ou obras, incluídas ou utilizadas nos produtos e serviços fornecidos por AC Imprensa Oficial - SP nos termos dessa DPC. Os Direitos de Propriedade terão proteção conforme a legislação aplicável. 3. IDENTIFICAÇÃO E AUTENTICAÇÃO 3.1. Registro Inicial A AR realizará a autenticação da identidade de uma organização (item 3.1.8) e a autenticação da identidade de um indivíduo (item 3.1.9) por meio de no mínimo dois agentes de registro responsáveis pelo recolhimento e verificação da validade dos documentos apresentados Tipos de nomes O tipo de nome admitido para os titulares de certificados emitidos, segundo esta PC, é o distinguished name do padrão ITU X.500, endereços de correio eletrônico, endereço de página Web (URL), ou outras informações que permitam a identificação unívoca do titular.o certificado emitido para pessoa jurídica inclui o nome da pessoa física responsável. Para todos os efeitos legais, os certificados e as respectivas chaves de assinatura são de titularidade do responsável constante do certificado DPC da AC Imprensa Oficial SP v1.0 21/65

22 Necessidade de nomes significativos Os certificados emitidos pela AC Imprensa Oficial - SP exigem o uso de nomes significativos que possibilitam determinar univocamente a identidade da pessoa ou da organização titular do certificado Regras para interpretação de vários tipos de nomes Não se aplica Unicidade de nomes Identificadores do tipo "Distinguished Name" (DN) são únicos para cada entidade titular de certificado emitido pela AC Imprensa Oficial - SP. Números ou letras adicionais podem ser incluídos ao nome de cada entidade para assegurar a unicidade do campo DN Procedimento para resolver disputa de nomes A AC Imprensa Oficial - SP se reserva o direito de tomar todas as decisões na hipótese de haver disputa de nomes decorrente da igualdade de nomes entre solicitantes diversos de certificados. Durante o processo de confirmação de identidade, cabe à entidade solicitante do certificado provar o seu direito de uso de um nome específico Reconhecimento, autenticação e papel de marcas registradas Os processos de tratamento, reconhecimento e confirmação de autenticidade de marcas registradas são executados de acordo com a legislação em vigor Método para comprovar a posse de chave privada A AR verifica se a entidade que solicita o certificado possui a chave privada correspondente à chave pública para a qual está sendo solicitado o certificado digital. A RFC 2510 é utilizada como referência para essa finalidade. O método de verificação utilizado é Proof of Possession (POP) of Private Key conforme o item 2.3 da RFC Autenticação da identidade de uma organização A confirmação da identidade de uma pessoa jurídica é realizada mediante o fornecimento de, no mínimo, os seguintes documentos: DPC da AC Imprensa Oficial SP v1.0 22/65

23 registro comercial, no caso de empresa individual; ato constitutivo, estatuto ou contrato social em vigor, devidamente registrado, em se tratando de sociedades comerciais ou civis, e, no caso de sociedades por ações, acompanhado de documentos de eleição de seus administradores; prova de inscrição do Cadastro Nacional de Pessoas Jurídicas (CNPJ); prova de inscrição no Cadastro Específico do INSS (CEI), se aplicável. As solicitações de certificados são realizadas por pessoa física legalmente responsável. A pessoa física responsável é identificada, na forma descrita no item seguinte (3.1.9) Autenticação da identidade de um indivíduo A confirmação da identidade de um indivíduo é realizada mediante a presença física do interessado, com base em documentos pessoais de identificação. Documentos de identificação adicionais podem ser exigidos para a aquisição de um certificado emitido pela AC Imprensa Oficial - SP. Cada PC implementada pela AC Imprensa Oficial - SP define os documentos de identificação exigidos, com base nos requisitos aplicáveis estabelecidos pelo documento Requisitos Mínimos para Políticas de Certificado na ICP- Brasil. No caso de certificado emitido para pessoa física, o Titular do certificado assina o Termo de Titularidade pelo qual adere às normas, práticas e procedimentos da DPC e da PC aplicável da AC Imprensa Oficial - SP, em conformidade com as regras, normas, práticas e procedimentos fixados pela ICP-Brasil. A AR verifica e recolhe cópias dos documentos exigidos para identificação do solicitante do certificado e presencia a assinatura do Termo de Titularidade que deverá ser arquivado junto às cópias da documentação apresentada. O titular será, para todos os efeitos legais, responsável pela correta utilização do certificado conforme as normas da ICP-Brasil, assim como pelos danos a que der causa pelo uso indevido do certificado. No caso de certificados emitidos para pessoas jurídicas, os seus representantes legais assinarão "Termo de Titularidade", e a pessoa física DPC da AC Imprensa Oficial SP v1.0 23/65

24 indicada como responsável pelo certificado assinará "Termo de Responsabilidade". Os termos de titularidade e de responsabilidade serão mantidos junto à documentação da organização titular. Tanto a pessoa jurídica titular do certificado, como a pessoa física designada como responsável pelo certificado, são responsáveis, pela correta utilização deste conforme as normas da ICP-Brasil, assim como pelos danos a que derem causa pelo uso indevido do certificado. Nestes casos a AR verifica e recolhe cópias dos documentos de identificação da organização e dos documentos pessoais de identificação do responsável, verifica a autorização atribuída ao responsável pelo certificado, verifica os documentos de identificação dos representantes legais e presencia a assinatura do Termo de Responsabilidade pelo responsável. O procedimento de identificação utilizado é mantido em arquivo. As AR vinculadas guardam cópias dos documentos exigidos para confirmação da identidade da entidade solicitante e do responsável pelo certificado, o Termo de Titularidade, o Termo de Responsabilidade Geração de novo par de chaves antes da expiração do certificado Antes da expiração do certificado vigente, o titular pode solicitar um novo certificado por meio eletrônico, assinando digitalmente uma solicitação com o uso de certificado vigente de mesmo nível ou superior, limitada a 3 (três) ocorrências sucessivas. Em outros casos são adotados os mesmos requisitos e procedimentos exigidos para solicitação inicial do certificado Geração de novo par de chaves após revogação do certificado Após a revogação ou expiração do certificado, os procedimentos utilizados para confirmação da identidade do solicitante de novo certificado são os mesmos exigidos na solicitação inicial do certificado, na forma e prazo descritos nas PC implementadas. DPC da AC Imprensa Oficial SP v1.0 24/65

25 3.4. Solicitação de Revogação A solicitação de revogação de certificado é realizada através de formulário específico, permitindo a identificação inequívoca do solicitante. A confirmação da identidade do solicitante é feita com base na confrontação de dados fornecidos na solicitação de revogação e os dados previamente cadastrados na AR. As solicitações de revogação de certificado são registradas. O procedimento para solicitação de revogação de certificado emitido pela AC Imprensa Oficial - SP está descrito nas PC implementadas. 4. REQUISITOS OPERACIONAIS 4.1. Solicitação de Certificado Para atender à solicitação de emissão de certificados a AC Imprensa Oficial - SP exige que a AR tenha provido: a comprovação de atributos de identificação constantes do certificado e o recebimento dos documentos obrigatórios exigidos para identificação dos titulares e responsáveis, conforme item 3.1; a autenticação do agente de registro responsável pelas solicitações de emissão e de revogação de certificados mediante o uso de certificado digital que tenha requisitos de segurança, no mínimo, equivalentes a de um certificado de nível A3; assinatura de um Termo de Titularidade pelo Titular do Certificado e do Termo de Responsabilidade, pelo Responsável, no caso de certificados de pessoas jurídicas, estabelecendo termos e condições aplicados ao uso do certificado Emissão de Certificado A emissão de certificado depende do correto preenchimento de formulário de solicitação, do recebimento do Termo de Titularidade e do Termo de Responsabilidade, no caso de certificados de pessoas jurídicas, e dos demais documentos exigidos. Após o processo de validação das informações fornecidas pelo solicitante, o certificado é emitido e Titular é notificado, por , da emissão e do método para a retirada do certificado. O certificado é considerado válido a partir do momento de sua emissão. Os procedimentos detalhados são descritos nas PC implementadas. DPC da AC Imprensa Oficial SP v1.0 25/65

26 4.3. Aceitação de Certificado A aceitação do certificado e do seu conteúdo é declarada, pelo titular do certificado, na primeira utilização da chave privada correspondente. O prazo para aceitação do certificado está definido no item de cada PC implementada pela AC Imprensa Oficial - SP. O titular do certificado ou pessoa física responsável, verifica as informações contidas no certificado e o aceita caso as informações sejam íntegras, corretas e verdadeiras. Caso contrário, o titular do certificado não pode utilizar o certificado e deve solicitar imediatamente a revogação do mesmo.ao aceitar o certificado, o titular do certificado: concorda com as responsabilidades, obrigações e deveres nesta DPC e na PC correspondente; garante que, com seu conhecimento, nenhuma pessoa sem autorização teve acesso à chave privada associada ao certificado; afirma que todas as informações contidas no certificado, fornecidas na solicitação, são verdadeiras e estão reproduzidas no certificado de forma correta e completa Suspensão e Revogação de Certificado Circunstâncias para revogação O titular do certificado e o responsável pelo certificado podem solicitar a revogação de seu certificado a qualquer tempo. O certificado é obrigatoriamente revogado: quando constatada emissão imprópria ou defeituosa do mesmo; quando for necessária a alteração de qualquer informação constante no mesmo; no caso de extinção, dissolução ou transformação da AC Imprensa Oficial - SP; no caso de comprometimento da chave privada correspondente ou da sua mídia armazenadora; no caso de falecimento do titular - pessoas físicas; no caso de mudança na razão ou denominação social do titular - pessoas jurídicas; DPC da AC Imprensa Oficial SP v1.0 26/65

27 no caso de extinção, dissolução ou transformação do titular do certificado - pessoas jurídicas; no caso de falecimento ou demissão do responsável - pessoas jurídicas. A AC Imprensa Oficial - SP revoga, no prazo definido no item 4.4.3, o certificado do titular que deixar de cumprir as políticas, normas e regras estabelecidas para a ICP-Brasil. O CG da ICP-Brasil ou AC Raiz determina a revogação do certificado da AC Imprensa Oficial - SP quando essa deixar de cumprir a legislação vigente ou as políticas, normas, práticas e regras estabelecidas pela ICP- Brasil Quem pode solicitar revogação A revogação de um certificado somente poderá ser feita: por solicitação do titular do certificado; por solicitação do responsável pelo certificado, no caso de certificado de pessoas jurídicas; por solicitação da empresa ou órgão, no caso de certificado fornecido por essa empresa ou órgão para seus empregados, funcionários, servidor, parceiros ou fornecedores, para fins de utilização específica em aplicações determinadas; pela AC Imprensa Oficial - SP; pela AR que tiver recebido a solicitação; por determinação do CG da ICP-Brasil ou da AC Raiz Procedimento para solicitação de revogação Uma solicitação de revogação é necessária para que AR responsável inicie o processo de revogação. O solicitante da revogação habilitado pode solicitar facilmente e a qualquer tempo a revogação de certificado, evitando assim a utilização indevida do certificado. Instruções para a solicitação de revogação do Certificado são obtidas em página web disponibilizada pela AC Imprensa Oficial - SP ou pela AR Responsável. DPC da AC Imprensa Oficial SP v1.0 27/65

28 A revogação é realizada através de Formulário on-line contendo o motivo da solicitação de revogação mediante o fornecimento de dados e da frase de identificação indicada na solicitação de emissão do Certificado. Caso o Titular ou o Responsável -no caso de certificados de pessoas jurídicas - não recorde a frase de identificação ou quando a revogação é solicitada diretamente pelo Titular sem a participação do Responsável, o Formulário de revogação é impresso e assinado e entregue na AR Responsável. Os procedimentos de revogação detalhados são descritos na PC correspondente. Como diretrizes gerais: - O Solicitante da revogação de um certificado é identificado; - As solicitações de revogação, bem como as ações delas decorrentes serão registradas e armazenadas pela AC Imprensa Oficial - SP; - As justificativas para a revogação de um certificado são registradas; - O processo de revogação de um certificado termina com a geração e a publicação de uma LCR que contenha o certificado revogado ou com a atualização do status do certificado na resposta OCSP à base de dados da AC Imprensa Oficial - SP, quando aplicável por força de contratação específica. Cada PC implementada pela AC Imprensa Oficial - SP, define o prazo limite para a conclusão do processo de revogação do certificado, após o recebimento da respectiva solicitação, com base nos requisitos aplicáveis estabelecidos pelo documento Requisitos Mínimos para Política de Certificados na ICP-Brasil. A AC Imprensa Oficial - SP responde plenamente por todos os danos causados pelo uso de um certificado no período compreendido da solicitação de sua revogação e a emissão da LCR correspondente e com a atualização do status do certificado na resposta OCSP à base de dados da AC Imprensa Oficial - SP, quando aplicável por força de contratação específica. DPC da AC Imprensa Oficial SP v1.0 28/65