DOC-ICP: Estrutura

Este bloco de documentos desenha a arquitetura hierárquica de confiança e as regras de ingresso e permanência na ICP-Brasil. No topo, o DOC-ICP-01 declara como a própria AC Raiz opera, enquanto que o DOC-ICP-03 estabelece os critérios e o passo a passo para o credenciamento de novas entidades; por fim, a IN nº 03/2020 define detalhes para versionamento de alterações que impactem os documentos críticosdas entidades.

DOC-ICP-01: Declaração de práticas de certificação da autoridade certificadora raiz da ICP-Brasil

Essa DOC é uma Declaração de Práticas de Certificação (DPC) que descreve as práticas e os procedimentos empregados pelo Instituto Nacional de Tecnologia da Informação (ITI) na execução dos seus serviços como Autoridade Certificadora Raiz (AC Raiz) da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). Lembrando que a ICP-Brasil é uma plataforma criptográfica de confiança que garante presunção de validade jurídica aos atos e negócios eletrônicos assinados e cifrados com certificados digitais e chaves emitidos por essa infraestrutura.

A AC Raiz é a autoridade máxima da cadeia de certificação digital na ICP-Brasil. Ela possui os certificados mais importantes de toda a hierarquia. Dentro desses certificados, estão as chaves públicas que correspondem às chaves privadas da própria AC Raiz. Essas chaves públicas são usadas para verificar as assinaturas digitais feitas com as chaves privadas. Na prática, a AC Raiz utiliza suas chaves para três finalidades principais:

• Assinar seus próprios certificados (autoassinatura).
• Assinar os certificados das ACs de nível imediatamente abaixo (suas subordinadas).
• Assinar as Listas de Certificados Revogados (LCR) que ela emite.

Assim, qualquer pessoa pode usar a chave pública da AC Raiz para confirmar que essas assinaturas são autênticas e confiáveis. No entanto, os certificados emitidos pela AC Raiz não podem identificar ou verificar qualquer entidade ou assinatura além dos propósitos descritos nessa DPC – ou seja, não pode ser usada para verificar a assinatura de um contrato ou identificar o dono de um e-CPF ou e-CNPJ. O repositório de versões dos certificados da AC Raiz e das LCRs estão disponíveis no link. O Serviço Federal de Processamento de Dados (SERPRO) presta serviço de suporte à AC Raiz, disponibilizando infraestrutura física e lógica (ambiente de contingência), recursos humanos e serviços especializados.

As ACs de nível imediatamente subsequente ao da AC Raiz, portanto titulares de certificados, terão um nome que as identifiquem univocamente no âmbito da ICP-Brasil. Essa identificação dar-se-á pelo DNs (Distinguished Names) no padrão ITU-T X.501. A ITU-T (sigla para International Telecommunication Union – Telecommunication Standardization Sector) apresenta diversas famílias de padrões para nomes, sendo que a X.501 organiza os nomes de forma hierárquica do mais genérico para o mais específico.

A solicitação de um certificado da AC Raiz é feita pelo Comitê Gestor da ICP-Brasil que delega a execução dessas funções ao ITI. A solicitação de um certificado de AC de nível imediatamente subsequente deve ser feita pelos seus representantes legais, conforme DOC-ICP-03. A AC titular de certificado emitido pela AC Raiz deve operar de acordo com a sua própria DPC e com as Políticas de Certificado (PC) que implementar, estabelecidos em conformidade com os documentos DOC-ICP-05 e DOC-ICP-04.

Para o processo de validação de uma nova AC, primeiro a AC Raiz investiga quem é o solicitante por todos os meios legais. Além disso, quando a nova AC pede um certificado, ela apresenta uma chave pública (que ficará no certificado). A AC Raiz precisa ter 100% de certeza de que a nova AC tem a posse da chave privada correspondente (que nunca é revelada). Como fazer isso sem ver a chave privada? Usa-se um protocolo de desafio e resposta (padronizado pela norma técnica RFC 4210 e atualizada pela RFC 6712). A AC Raiz envia um “desafio” criptografado com a chave pública. Se a AC candidata conseguir descriptografar e responder corretamente, prova que tem a chave privada, sem nunca mostrá-la. Depois, ela verifica se a empresa existe legalmente e se quem a representa tem poderes para tal, seguindo a DOC-ICP-03. Por fim, garante que todo esse processo segue os mais altos padrões globais de segurança para serem aceitos em outros lugares (como em navegadores de internet ou em outros países).

A emissão de um certificado pela AC Raiz é feita em cerimônia específica, com a presença de representante da AC Raiz, da AC credenciada, de auditores e convidados, na qual são registrados todos os procedimentos executados. As chaves públicas dos certificados autoassinados são publicadas no DOU. O processo de geração, pela AC Raiz, de um novo certificado para uma AC de nível imediatamente subsequente ao seu pode ser feito de forma simplificada, antes da expiração da validade do certificado vigente da AC, através do “FORMULÁRIO DE REVALIDAÇÃO DOS DADOS CADASTRAIS E SOLICITAÇÃO DE NOVO CERTIFICADO”. A solicitação de revogação do certificado à AC Raiz deve ser efetivada pelo preenchimento do “FORMULÁRIO DE SOLICITAÇÃO DE REVOGAÇÃO DE CERTIFICADO DE AC”, por determinação da AC Raiz, da AC titular do certificado ou determinação judicial.

Um certificado deve obrigatoriamente ser revogado:

• quando constatada emissão imprópria ou defeituosa do mesmo;
• quando for necessária a alteração de qualquer informação constante no mesmo;
• no caso de dissolução da AC titular do certificado;
• no caso de comprometimento da chave privada da AC ou da sua mídia armazenadora;
• quando a AC deixar de cumprir a legislação vigente ou as políticas, normas, práticas e regras estabelecidas para a ICP-Brasil.

As chaves públicas dos certificados emitidos por AC dissolvida serão armazenadas por outra AC indicda por ela, após aprovação da AC Raiz. O processo de revogação de um certificado de AC termina quando uma nova LCR, contendo o certificado revogado, é emitida e publicada pela AC Raiz. Para a AC Raiz, a frequência normal é a cada 90 dias para emissão, mas em caso de uma revogação real, a LCR deve ser emitida em até 1 (uma) hora.

O processo de gerenciamento de certificados da AC Raiz da ICP-Brasil inclui os seguintes controles:

• segurança física e controles ambientais;
• controles de integridade dos sistemas, incluindo gerenciamento de configuração, manutenção de integridade de código confiável e detecção e prevenção de incidentes;
• segurança de rede e gerenciamento de firewalls, incluindo restrições de porta e filtragem de endereços IP;
• gerenciamento de usuários, segregação de funções, capacitação, conscientização e treinamento;
• controles de acesso lógico, com registro de atividades e de inatividade, a fim de fornecer responsabilidades individuais;
• programa de segurança da AC Raiz da ICP-Brasil.

O par de chaves criptográficas da AC Raiz é gerado pela própria AC Raiz. O par de chaves criptográficas de uma AC de nível imediatamente subsequente ao da AC Raiz é gerado pela própria AC, após o deferimento do seu pedido de credenciamento e a consequente autorização de funcionamento no âmbito da ICP-Brasil.

O documento DOC-ICP-01.01 é uma Instrução Normativa que regulamenta os padrões de hardware, os algoritmos e parâmetros criptográficos a serem empregados em todos os processos realizados no âmbito da ICP-Brasil. Em outras palavras, é o manual de especificações técnicas para que todos falem a mesma língua criptográfica, com o mesmo nível de segurança.

DOC-ICP-03: Critérios e procedimentos para credenciamento das entidades integrantes da ICP-Brasil

Essa DOC estabelece os critérios e procedimentos a serem observados para o credenciamento, manutenção do credenciamento e descredenciamento dos Prestadores de Serviço de Certificação (PSCerts), que são:

• Autoridades Certificadoras (ACs): responsável por emitir, expedir, distribuir, renovar, revogar e gerenciar certificados digitais;
• Autoridades de Registro (ARs): responsável pelo recebimento e o encaminhamento de solicitações de emissão ou revogação de certificados digitais às AC e a identificação de seus solicitantes (conforme os procedimentos da DOC-ICP-05) através da pessoa responsável (Agente de Registro);
• Autoridades de Carimbo do Tempo (ACTs): responsável por emitir Carimbos do Tempo;
• Prestadores de Serviço de Suporte (PSSs): entidade utilizada pelos demais entes credenciados para prestação de serviços relacionados às suas respectivas atividades (disponibilização de infraestrutura física e lógica, recursos humanos especializados ou ambos);
• Prestadores de Serviço Biométrico (PSBios): entidade com capacidade técnica por realizar a identificação e a verificação biométrica do requerente de um certificado digital em um ou mais bancos/sistemas de dados biométrico da ICP-Brasil;
• Prestadores de Serviço de Confiança (PSC) de Assinatura Digital e Armazenamento de Chaves Criptográficas: entidade que provê serviços de armazenamento de chaves privadas para usuários finais e/ou serviços de assinaturas e verificações de assinaturas digitais padrão ICP-Brasil nos documentos e transações eletrônicas (conforme os procedimentos da DOC-ICP-17).

Veja a imagem de como essas entidades se relacionam – um diagrama atualizado real pode ser encontrado no site de estrutura do ITI:

Credenciamento

Os candidatos ao credenciamento na ICP-Brasil devem atender aos seguintes critérios comuns:

• ser órgão ou entidade de direito público ou pessoa jurídica de direito privado;
• estar quite com todas as obrigações tributárias e os encargos sociais instituídos por lei;
• atender aos requisitos relativos à qualificação econômico-financeira estabelecidos (conforme a atividade a ser desenvolvida);
• atender às diretrizes e normas técnicas relativas à qualificação técnica ou contratual (conforme a atividade a ser desenvolvida);
• recursos de segurança compatíveis com a atividade (instalações e segurança física/lógica ou PSS que as possua);
• apresentar relatório de auditoria pré-operacional (realizada por empresa de auditoria devidamente credenciada pelo ITI) com o conceito ADEQUADO;
• ter sede administrativa localizada no território nacional.

Quanto aos vínculos e relações institucionais, os requisitos variam conforme o tipo de entidade. A AC deve possuir, no mínimo, uma AR operacionalmente vinculada, ou solicitar seu próprio credenciamento como AR, além de apresentar a relação de eventuais candidatos ao credenciamento como PSS. A AR deve estar operacionalmente vinculada a pelo menos uma AC ou candidata a AC. A ACT e a PSBio devem apresentar a relação de eventuais candidatos ao credenciamento como PSS. O PSS deve estar operacionalmente vinculado a pelo menos uma AC, ACT, PSBio ou PSC, ou aos respectivos candidatos.

As documentações a serem enviadas constam dos anexos de I a VI, mas existem vários itens em comuns para todas as atividades a serem desenvolvidas:

• Ato constitutivo devidamente registrado no órgão competente;
• Documentos da eleição de seus administradores (quando aplicável);
• Prova de inscrição no CNPJ;
• Prova de inscrição no cadastro de contribuintes estadual ou municipal (se houver);
• Prova de regularidade perante as Fazendas Públicas Federal, Estadual e Municipal (dispensado se for entidade pública);
• Prova de regularidade perante a Seguridade Social e o FGTS (dispensado se for entidade pública);
• Certidão negativa de falência ou recuperação judicial/extrajudicial, ou de execução patrimonial;
• Parecer de contador com certidão do CNAI (Cadastro Nacional de Auditores Independentes), ou alternativa de comprovação econômico-financeira;
• Balanço patrimonial e demonstrações contábeis do último exercício, quando utilizada a alternativa ao parecer do contador;
• Planilha de cálculo da situação econômico-financeira, associada às demonstrações contábeis (quando usada a alternativa);
• Cálculo baseado em RSPL (Retorno Sobre o Patrimônio Líquido) e TJLP (Taxa de Juros de Longo Prazo);
• Apuração pela média dos cinco últimos exercícios, em determinadas situações de prejuízo/rentabilidade;
• DEFIS (Declaração de Informações Socioeconômicas e Fiscais) ou DCTF (Declaração de Créditos Tributários e Débitos Federais) para comprovação de inatividade (quando aplicável);
• Eventual comprovação de patrimônio líquido mínimo, fiança bancária e seguro de responsabilidade civil e operacional.

As diferenças conforme a atividade estão com relação aos valores de PL mínimo quando resultado menor que TJLP mas positivo (inclusive se for AC de 1° ou 2° nível), condições para empresa com menos de 1 ano e documentação quando a empresa esteve inativa. Na AR existe uma diferença textual importante: a possibilidade de usar a média dos cinco exercícios é acionada quando houve rentabilidade menor que a TJLP ou prejuízo, enquanto nos demais anexos a redação está centrada no prejuízo do último exercício. Além disso, o que varia são esses itens:

• AC: DPC + PC + PS + documentação sobre AC subsequente (se for de 2° nível);
• AR: contratos/convênios com AC e eventualmente PSS;
• ACT: DPCT + PCT + PS;
• PSS: requisitos econômico-financeiros determinados pelo tipo de PSS;
• PSBio: Termo de Confidencialidade + PS;
• PSC: Termo de Confidencialidade + DPPSC (Declaração de Prática de Prestador de Serviço de Confiança) + PS + requisitos operacionais + PCO (Plano de Capacidade Operacional).

Outros documentos específicos devem ser enviados conforme a atividade para fins de credenciamento – como o Formulário de Solicitação de Credenciamento específico de cada atividade, encontrados nos adendos (ADE-ICP-03):

• AC: Formulário ADE-ICP-03.A, comprovante do pagamento da tarifa (DOC-ICP-06); solicitação de credenciamento separada por propósito de uso de chave (aplicações específicas, documentos e carimbo de tempo);
• AR: Formulário ADE-ICP-03.B;
• ACT: Formulário ADE-ICP-03.G, comprovante do pagamento da tarifa (DOC-ICP-06);
• PSS: Formulário ADE-ICP-03.C, documento indicando as atividades específicas (disponibilização de infraestrutura física e lógica, recursos humanos especializados ou ambos);
• PSBio: Formulário ADE-ICP-03.I, identificação de onde se obtêm o arquivo com a PS e a relação das ACs atendidas;
• PSC: Formulário ADE-ICP-03.K, identificação de onde se obtêm o arquivo com a PS;

Ainda no caso da AC, é necessário enviar a documentação referente à AR associada. O respectivo vale caso a AC ou ACT solicitem o credenciamento de PSS. Os órgãos e entidades da Administração Direta da União, dos Estados, do Distrito Federal e dos Municípios, bem como suas autarquias e fundações públicas, estão dispensados do pagamento da tarifa. Tanto PSBio quanto PSC não podem tercerizar suas atividades fim.

Procedimentos

O pedido inicial de credenciamento deverá ser encaminhado à AC Raiz por intermédio da cadeia de certificação à qual a candidata ao credenciamento se encontrar operacionalmente vinculada, iniciando-se a tramitação pela AC, ou candidato à AC de nível imediatamente superior à interessada e, a partir daí, respeitando-se a hierarquia da cadeia, até chegar à AC Raiz. As demais comunicações e requerimentos à AC Raiz, inclusive a complementação da documentação inicialmente encaminhada, poderão ser encaminhados diretamente à AC Raiz pela interessada. Veja um fluxo geral do credenciamento:

Ao protocolar a solicitação de credenciamento, o candidato a PSCert deverá estar em conformidade com todos os requisitos exigidos pelos regulamentos da ICP-Brasil relacionados à atividade específica que exercerá e o relatório de auditoria pré-operacional apresentado deve comprovar essa conformidade e atender aos Critérios para Elaboração de Relatório e Emissão de Parecer de Auditoria na ICP-Brasil, definidos em Instrução Normativa da AC Raiz. A DAFN (Diretoria de Auditoria, Fiscalização e Normalização) examinará a documentação apresentada. Com base no(s) relatório(s) de auditoria e demais documentos apresentados, a AC Raiz manifestar-se-á sobre o deferimento ou indeferimento da solicitação de credenciamento. O deferimento será publicado no Diário Oficial da União (exceto PSS) e importará a autorização para funcionamento no âmbito da ICP-Brasil.

Após o deferimento e até em 90 dias, no caso da AC, ainda é necessário apresentar uma apólice de seguro de responsabilidade civil, além de emitir o certificado da AC e sua LCR e apresentá-los ao ITI para análise de conformidade. No caso da ACT (também até em 90 dias), deve ser apresentada a apólice de seguro e os certificados dos equipamentos da ACT, emitidos por uma AC credenciada, para análise de conformidade pelo ITI. No caso do PSBio e do PSC, o representante legal deve apresentar ao ITI termo de compromisso descrevendo suas responsabilidades e assumindo compromisso de independência, neutralidade e rigor técnico e operacional. Os órgãos e entidades da Administração Direta, autarquias e fundações públicas estão dispensados da apresentação da apólice de seguro tanto para AC quanto para ACT.

Manutenção

Após o credenciamento, todas as entidades devem manter continuamente os requisitos que fundamentaram sua habilitação na ICP-Brasil, observar as normas e procedimentos aplicáveis às suas atividades e comunicar à autoridade competente alterações relevantes em sua estrutura societária a sua entidade superior na hierarquia, documentação ou condições de operação, além de comunicar violações ou fraudes de que tenha conhecimento. Também devem manter registros das alterações realizadas em sua infraestrutura, quando aplicável, e atender às obrigações de auditoria e encaminhamento dos respectivos relatórios.

Descredenciamento

O processo de descredenciamento é uma medida formal que extingue a autorização de uma entidade para operar na ICP-Brasil. Para todas as atividades, o descredenciamento deve ser precedido de um processo administrativo que garanta o direito à ampla defesa e ao contraditório, conforme a Lei nº 9.784/1999. As hipóteses que podem levar ao descredenciamento são, em sua maioria, comuns a todas as entidades e incluem:

• Solicitação voluntária: pedido formal da própria entidade para encerrar suas atividades na ICP-Brasil;
• Descumprimento de obrigações: não manter os critérios de credenciamento ou as obrigações previstas nos regulamentos, manuais e na legislação;
• Infrações graves: cometimento de infrações consideradas graves, que comprometam a confiança e a segurança da infraestrutura, como fraude, violação de segurança ou atuação em desacordo com os padrões técnicos e operacionais.

Os procedimentos gerais para o descredenciamento de uma entidade envolvem, invariavelmente:

• Instauração de processo administrativo: conduzido pela AC Raiz para apurar os fatos que motivaram o descredenciamento;
• Notificação e ampla defesa: a entidade é notificada e tem um prazo para apresentar sua defesa e provas;
• Decisão final: a AC Raiz profere uma decisão fundamentada, que pode ser o descredenciamento ou a aplicação de outra penalidade;
• Publicação: o ato de descredenciamento é publicado no Diário Oficial da União e comunicado a todas as partes envolvidas;
• Obrigações subsistentes: mesmo após o descredenciamento, a entidade tem a obrigação subsistente de preservar e fornecer, quando solicitado, todos os registros e informações referentes aos serviços prestados durante o período em que foi credenciada, durante o prazo definido pela legislação e pelos regulamentos específicos.

Além das hipóteses gerais, uma AC pode ser descredenciada se não operar com a infraestrutura mínima de segurança exigida, se tiver sua DPC ou PCs reprovadas ou se sofrer uma sucessão sem a devida autorização. A AC que pede descredenciamento deve apresentar um plano de descontinuação de seus serviços, que inclui a revogação de todos os certificados por ela emitidos e a notificação de todos os titulares e entidades a ela vinculadas. A AC Raiz aprova e acompanha a execução desse plano, que pode incluir a transferência da cadeia para outra AC.

O descredenciamento da AR pode ocorrer automaticamente se a AC à qual está vinculada for descredenciada. Também pode ser descredenciada se não cumprir os prazos para corrigir não conformidades apontadas em auditoria ou se não enviar os relatórios de auditoria exigidos. A AR deve ser notificada e a decisão final é comunicada à AC à qual está vinculada. A entidade deve cessar todas as atividades de registro e proceder com a devolução de qualquer material ou equipamento da AC, se aplicável.

Uma ACT pode ser descredenciada se não possuir mais o seguro de responsabilidade civil exigido ou se o seu ambiente de emissão de carimbos de tempo for comprometido de forma grave. O processo é semelhante ao de uma AC: a ACT deve apresentar um plano para interromper a emissão de carimbos de tempo, garantindo a autenticidade e a integridade dos carimbos já emitidos. Os carimbos emitidos devem permanecer verificáveis por um período determinado.

A vinculação de um PSS com uma entidade que foi descredenciada pode ser um fator para seu descredenciamento. O PSS deve ser notificado e a decisão é comunicada à entidade (AC, ACT, PSBio ou PSC) à qual presta serviços, que fica responsável por tomar as providências para substituir os serviços ou migrar a operação para outro PSS, garantindo a continuidade e segurança da operação.

O descredenciamento de um PSBio pode ocorrer se descumprir as vedações de terceirização de suas atividades-fim ou se o sistema de identificação biométrica for comprometido, violando a integridade e a confiabilidade do processo. O PSBio é notificado e a decisão fundamentada é comunicada. O principal ponto é garantir que todos os dados biométricos sob sua custódia sejam devolvidos ou destruídos de forma segura, conforme a política de segurança, e que a AC que o contratou seja informada para interromper o uso de seus serviços.

A inobservância das vedação de terceirização das atividades de armazenamento também é uma hipótese específica para descredenciamento de PSC. A entidade deve apresentar um plano de transição para garantir que os serviços de assinatura e, principalmente, o armazenamento de chaves privadas dos usuários sejam transferidos ou descontinuados com total segurança, sem perda de dados ou comprometimento da segurança das chaves. O ITI e as ACs envolvidas são notificados para coordenar a transição.

Fechando a DOC-ICP-03, os documentos complementares DOC-ICP-03.01 e DOC-ICP-03.02 abordam requisitos mínimos de segurança para AR e PSBio, respectivamente. A DOC-ICP-03.01 detalha as regras para a segurança de pessoas (como os agentes de registro), a infraestrutura física e os equipamentos que uma AR precisa ter, como a obrigatoriedade de manter um dossiê para cada agente e o uso de circuito fechado de TV (CFTV) nas instalações técnicas. A DOC-ICP-03.02 especifica os padrões de desempenho e segurança que um PSBio deve cumprir, definindo, por exemplo, que a taxa de aceitação verdadeira (TAR) para a verificação facial, para uma taxa de falsa aceitação (FAR) de 0,1%, deve ser de, no mínimo, 90%.

IN nº 03/2020

A Instrução Normativa nº 03/2020 do ITI estabelece os procedimentos que as entidades da ICP Brasil devem seguir para submeter, analisar, aprovar e publicar alterações em seus documentos críticos (como Políticas de Segurança, de Certificados e Declarações de Práticas). A norma define um processo formal que inclui o envio de documentos em PDF, uma relação detalhada das mudanças e uma tabela com controle de versão e hash, além de conceder um prazo de análise de 180 dias para o ITI, com aprovação tácita caso esse prazo seja ultrapassado.

As entidades podem publicar e operar com as novas práticas imediatamente após a submissão, sob a obrigação de fazer correções futuras. Elas devem adotar um sistema de versionamento: controle numérico de dois dígitos (v.a), onde o primeiro dígito (v) indica a versão do documento, que deve ser alterada quando as mudanças são impostas por novas Resoluções do Comitê Gestor da ICP-Brasil, e o segundo dígito (a) indica a atualização, que deve ser alterada quando as mudanças partem da própria entidade ou por solicitação do ITI. Além disso, sempre que uma nova versão é criada, o dígito da atualização é zerado (a passa a ser 0), enquanto que, em uma nova atualização, o dígito da versão permanece o mesmo.