18 • Art. 12, I) Nos projetos básicos e projetos executivos de obras e serviços serão considerados principalmente os seguintes requisitos: [...] - segurança;
• Art. 1º) Fica instituída a Política de Segurança da Informação nos órgãos e nas entidades da Administração Pública Federal, que tem como pressupostos básicos: I - assegurar a garantia ao direito individual e coletivo das pessoas, à inviolabilidade da sua intimidade e ao sigilo da correspondência e das comunicações, nos termos previstos na Constituição; II - proteção de assuntos que mereçam tratamento especial; III - capacitação dos segmentos das tecnologias sensíveis; IV - uso soberano de mecanismos de segurança da informação, com o domínio de tecnologias sensíveis e duais; V - criação, desenvolvimento e manutenção de mentalidade de segurança da informação; VI - capacitação científico-tecnológica do País para uso da criptografia na segurança e defesa do Estado; e VII - conscientização dos órgãos e das entidades da Administração Pública Federal sobre a importância das informações processadas e sobre o risco da sua vulnerabilidade.
• Art. 2º) Para efeitos da Política de Segurança da Informação, ficam estabelecidas as seguintes conceituações: [...] II - Segurança da Informação: proteção dos sistemas de informação contra a negação de serviço a usuários autorizados, assim como contra a intrusão, e a modificação desautorizada de dados ou informações, armazenados, em processamento ou em trânsito, abrangendo, inclusive, a segurança dos recursos humanos, da documentação e do material, das áreas e instalações das comunicações e computacional, assim como as destinadas a prevenir, detectar, deter e documentar eventuais ameaças a seu desenvolvimento.
• Art. 59) A celebração de contrato cujo objeto seja sigiloso, ou que sua execução implique a divulgação de desenhos, plantas, materiais, dados ou informações de natureza sigilosa, obedecerá aos seguintes requisitos: I - o conhecimento da minuta de contrato estará condicionado à assinatura de termo de compromisso de manutenção de sigilo pelos interessados na contratação; e II - o estabelecimento de cláusulas prevendo a: a) possibilidade de alteração do contrato para inclusão de cláusula de segurança não estipulada por ocasião da sua assinatura; b) obrigação de o contratado manter o sigilo relativo ao objeto contratado, bem como à sua execução; c) obrigação de o contratado adotar as medidas de segurança adequadas, no âmbito das atividades sob seu controle, para a manutenção do sigilo relativo ao objeto contratado; d) identificação, para fins de concessão de credencial de segurança, das pessoas que, em nome do contratado, terão acesso a material, dados e informações sigilosos; e e) responsabilidade do contratado pela segurança do objeto subcontratado, no todo ou em parte.
• Art. 60) Aos órgãos e entidades públicos, bem como às instituições de caráter público, a que os contratantes estejam vinculados, cabe providenciar para que seus fiscais ou representantes adotem as medidas necessárias para a segurança dos documentos ou materiais sigilosos em poder dos contratados ou subcontratados, ou em curso de fabricação em suas instalações.
• Art. 61) O disposto neste Decreto aplica-se a material, área, instalação e sistema de informação cujo sigilo seja imprescindível à segurança da sociedade e do Estado.
• 9.1.13. inclua os seguintes requisitos de segurança em contratos de prestação de serviços e locação de mão-de-obra em Tecnologia da Informação que vierem a ser celebrados a partir da presente data, em atenção aos itens 4.2.2 e 4.3.1 da NBR ISO/IEC 17799 (item 2.7 do relatório de auditoria):
• 9.1.13.1. obrigatoriedade de aderência à Política de Segurança da Informação, à Política de Controle de Acesso, à Metodologia de Desenvolvimento de Sistemas e às outras normas de segurança da informação vigentes no Ministério;
• 9.1.13.2. Acordo de Nível de Serviço, negociado entre os grupos de usuários e o fornecedor dos serviços, com o objetivo de estabelecer um entendimento comum da natureza dos serviços propostos e critérios de medição de desempenho, que deverá conter, no mínimo, os seguintes elementos: participantes do acordo; descrição clara dos serviços e funcionalidades disponíveis, para contratos de prestação de serviços; descrição clara dos perfis profissionais desejados, para contratos de locação de mão-de-obra; funções e responsabilidades; níveis de serviços desejados em termos de disponibilidade, prazos, desempenho, segurança, quantidade, qualidade e outros; indicadores de níveis de serviços; responsável pela medição dos serviços; ações a serem tomadas quando da ocorrência de problemas de mau desempenho (ações corretivas, penalidades financeiras e outras);
• 9.1.13.3. definição clara acerca da propriedade dos dados entregues pela Administração Pública a empresas contratadas, coletados por essas empresas em nome da Administração Pública ou produzidos por programas de computadores decorrentes de contratos de prestação de serviços;
• 9.1.13.4. definição acerca dos direitos de propriedade de programas, de acordo com a Lei n. 9.609/1998, de documentação técnica e forma de acesso a eles; se o contrato dispuser que programas e documentação técnica não pertencem à Administração Pública, o projeto básico deve apresentar a justificativa de tal escolha; caso contrário, o contrato deve estabelecer de que forma e em que prazo se dará o acesso aos mesmos, inclusive na ocorrência de fatos imprevisíveis ou de força maior; recomenda-se que se estabeleça, como data limite para entrega de programas fontes e documentação, a data de homologação dos mesmos;
• 9.1.13.5. obrigatoriedade de manter sigilo sobre o conteúdo de programas de computadores (fontes e executáveis), documentação e bases de dados; deve ser estabelecido um período durante o qual subsistirão as obrigações de manter sigilo;
• 9.1.13.6. obrigatoriedade de assinatura de Termo de Compromisso ou Acordo de Confidencialidade por parte dos prestadores de serviços, contendo declarações que permitam aferir que os mesmos tomaram ciência das normas de segurança vigentes no órgão;
• 9.1.13.7. garantia do direito de auditar, por parte da contratada e dos órgãos de controle, e forma de exercício deste direito;
• [Relatório]6.19 [...]"19. Nos moldes do atual edital, a área de informática do ministério ficaria dependente de única empresa, não obstante os serviços componham distintos processos de trabalho. 20. Não se nega que a contratação de uma única prestadora facilita a gestão do contrato. Todavia, a economia em relação aos controles pode ser suplantada pelos prejuízos decorrentes da vinculação a um único prestador de serviços. A instituição fica fragilizada tanto pela eventualidade da empresa não cumprir o acordado, comprometendo todo o sistema, quanto pela relação de dependência que se estabelece frente à prestadora no tocante à segurança e manipulação das informações.
• [Voto do Relator]68. Pode-se dizer que o modelo de contratação antes adotado pelo MDIC consistia na reunião de todos os serviços de informática do órgão em um único e grande contrato, adjudicado a uma única empresa, com pagamentos realizados por hora-trabalhada. 69. É necessário que se esclareça que essa prática, que equivale à contratação dos serviços de um CPD completo e terceirizado, não se restringia ao Ministério do Desenvolvimento, Indústria e Comércio Exterior. Em diversos processos examinados pelo Tribunal, verificou-se que foram muitos os casos em que licitações de serviços de informática vinham sendo promovidas pela Administração Pública Federal sem que se procedesse à divisão do objeto em parcelas, como preconizado pelo art. 23, §§ 1º e 2º, da Lei 8.666/93, apesar de tal alternativa se mostrar viável. A título de exemplo, podem ser citados certames realizados pelo Ministério do Planejamento (Concorrência 14/2000 - Decisão 1.067/2002 - Plenário), Agência Nacional do Cinema (Concorrência 02/2003 - Acórdão 1.937/203 - Plenário), Ministério da Educação (Concorrência 01/1999 - Acórdão 2.561/2004-2ª Câmara), Ministério da Justiça (Concorrência 03/2000 - Decisão 351/2002 - Plenário), entre outros. 70. Esse modelo apresentava uma série de desvantagens potencialmente causadoras de prejuízos aos cofres públicos e à atividade da Administração. 71. Como o contrato englobava todos os serviços do setor de informática, os requisitos de habilitação e de pontuação da proposta técnica estabelecidos no edital eram muito abrangentes. Assim, limitava-se a participação no certame às grandes empresas e se afastavam as empresas de menor porte, especializadas em determinadas áreas da informática. Como conseqüência, aumentava-se o risco de onerar os futuros preços contratuais, pois se reduzia a possibilidade de obtenção de propostas mais vantajosas decorrentes da ampliação da competitividade. 72. Na fase de execução contratual, verificava-se que todos os sistemas, programas e bases de dados passavam a ser geridos por uma única empresa privada. 73. Do ponto de vista estratégico, tal situação não atendia ao interesse público. Isso, porque o domínio de uma única empresa sobre a área de informática do órgão poderia resultar na monopolização do conhecimento da operação do setor pela contratada. Esse monopólio poderia obstaculizar o acesso do órgão ao conhecimento, ocasionar a perda do controle da Administração sobre os sistemas institucionais, incluindo a perda da capacidade de decidir sobre as respectivas especificações, e criar dependência em relação à empresa para proceder a alterações e manutenção dos aplicativos. Não custa lembrar que já foram vistos nesta Corte casos em que o órgão praticamente se tornou refém da empresa contratada. 74. Do ponto de vista da segurança, essa concentração também poderia oferecer riscos. Em primeiro lugar, a empresa contratada teria acesso a todos os sistemas e dados do órgão, inclusive os estratégicos e sigilosos, dificultando o estabelecimento de mecanismos de proteção independentes pela Administração. Ademais, na hipótese de eventual impossibilidade da empresa em executar o contrato (falência, extinção, dificuldades financeiras, etc.), ficaria obstada a execução de todos os serviços de informática, podendo levar a sério impasse no cumprimento das atividades finalísticas do órgão. Imagine-se, por exemplo, os graves problemas econômicos e sociais que poderiam advir da paralisação dos sistemas informatizados que controlam o comércio exterior e o seguro-desemprego. 75. Além disso, ao prever o pagamento da contratada com base quase exclusivamente na hora-trabalhada, o modelo anterior poderia causar disfunções com reflexos negativos sobre a economicidade da contratação. 76. A primeira dessas disfunções correspondia ao que denomino paradoxo do lucro-incompetência. Isso significa que, quanto menor a qualificação dos profissionais alocados na prestação de serviço, maior o número de horas necessário para executá-lo, maior o lucro da empresa contratada e maior o custo para a Administração. 77. Outra disfunção consistia na tendência de se remunerar todas as horas de disponibilidade dos empregados da empresa, ainda que não produtivas, em razão da dificuldade da Administração em controlar a efetiva atividade dos profissionais terceirizados. Com isso, havia a possibilidade de que a empresa viesse a ser remunerada sem que houvesse a contraprestação em serviços efetivamente realizados.