Este bloco de documentos da ICP-Brasil concentra os procedimentos que materializam as políticas e a segurança no dia a dia da emissão de certificados. O DOC-ICP-05 funciona como uma lista de verificação que as ACs preenchem para se comprometer publicamente com seus procedimentos, enquanto o DOC-ICP-05.03 normatiza a coleta e validação biométrica do requerente. A Resolução nº 211 classifica os tipos de certificados digitais, definindo seus usos e níveis de segurança. Na camada técnica, o DOC-ICP-15.01 complementa o bloco ao estabelecer os padrões técnicos para geração e verificação de assinaturas digitais, garantindo a interoperabilidade de todo o ecossistema.
DOC-ICP-05: Requisitos mínimos para as declarações de práticas de certificação das Autoridades Certificadoras da ICP-Brasil
O documento número 5 estabelece os requisitos mínimos a serem obrigatoriamente observados pelas Autoridades Certificadoras (AC), de primeiro e segundo nível, integrantes da ICP-Brasil na elaboração de suas Declarações de Práticas de Certificação (DPCs). A DPC é o documento que descreve as práticas e os procedimentos empregados pela AC na execução de seus serviços. Toda DPC elaborada no âmbito da ICP-Brasil deve obrigatoriamente adotar a mesma estrutura estabelecida pela DOC-ICP-05, conforme determina o item 1.1.2. Ou seja, é comum usá-lo como um “esqueleto” a ser adaptado com as informações da empresa, para facilitar a montagem e conferência da DPC da entidade – por exemplo, para manter a numeração dos itens, caso não proceda uma determinada situação, pode-se manter o item mas escrever “não se aplica”.
1. Introdução
Este capítulo deve apresentar a própria DPC e situar a AC dentro da ICP-Brasil. Deve identificar o documento, sua versão e OID, os participantes envolvidos (AC, AR, titulares, partes confiáveis e demais participantes), as políticas de certificado (PCs) implementadas e os usos permitidos ou proibidos para os certificados. Também deve identificar a AC responsável pela DPC, seus contatos, a pessoa responsável por avaliar sua adequação às PCs e os procedimentos de aprovação da DPC, além de apresentar as definições e os acrônimos utilizados no documento.
2. Responsabilidades de publicação e repositório
Este capítulo deve explicar onde e como a AC disponibiliza as informações públicas relacionadas à certificação. A DPC deve identificar os repositórios utilizados, os locais (por exemplo, páginas web e serviços de consulta) onde ficam disponíveis a DPC, as PCs, os certificados, as LCRs e demais informações que devam ser publicadas, além de estabelecer a frequência ou os prazos de atualização dessas informações. Também deve descrever os mecanismos de controle de acesso aos repositórios, inclusive os controles e eventuais restrições aplicáveis ao acesso, leitura e escrita das informações e dos próprios repositórios.
3. Identificação e autenticação
Este é o capítulo que deve descrever como a AC verifica quem é quem antes de realizar as operações de certificação. A DPC deve estabelecer as regras para atribuição e unicidade dos nomes dos titulares, interpretação dos diferentes tipos de nomes e solução de disputas, e descrever os procedimentos de validação inicial da identidade, incluindo comprovação do controle da chave privada, autenticação de pessoas físicas e organizações e, quando aplicável, equipamentos ou aplicações. Deve ainda descrever os procedimentos de identificação e autenticação para emissão de novas chaves e para solicitação de revogação.
4. Requisitos operacionais do ciclo de vida do certificado
Este capítulo deve descrever todo o ciclo de vida operacional dos certificados: quem pode solicitar um certificado, como ocorre o registro e a identificação, como os pedidos são processados, aprovados ou rejeitados, como o certificado é emitido e entregue, como o titular o aceita e como ele é publicado. Deve também estabelecer os procedimentos para renovação, emissão de nova chave (re-key), modificação, suspensão e revogação, incluindo quem pode solicitar cada operação, como a solicitação é processada, prazos aplicáveis e como o status do certificado é disponibilizado por LCR, OCSP ou outros mecanismos. Por fim, deve tratar do encerramento das atividades da AC e, quando aplicável, das políticas e práticas de custódia e recuperação de chaves.
5. Controles operacionais, gerenciamento e de instalações
Este capítulo deve descrever como a AC protege fisicamente, administrativamente e operacionalmente sua infraestrutura. A DPC deve apresentar os controles físicos das instalações — localização, construção, áreas de acesso, níveis de segurança, energia, climatização, proteção contra água e incêndio, armazenamento e destruição de mídias e instalações de backup — e os controles procedimentais, incluindo perfis qualificados, quantidade de pessoas necessária para tarefas críticas, autenticação e segregação de funções. Deve ainda tratar dos controles de pessoal, registros de auditoria (logs), arquivamento e retenção de registros, troca de chaves, gerenciamento de incidentes, comprometimento, recuperação de desastre, continuidade de negócio e extinção da AC. Por exemplo, a norma exige que a DPC defina os níveis de acesso físico e descreva os mecanismos de proteção dos registros de auditoria.
6. Controles técnicos de segurança
Este capítulo deve explicar quais mecanismos técnicos protegem as chaves, os sistemas e as operações de certificação. A DPC deve descrever a geração e instalação dos pares de chaves, tamanhos e algoritmos, entrega e armazenamento das chaves, proteção da chave privada, uso de módulos criptográficos, controles de acesso n-de-m, backup, arquivamento, ativação, desativação e destruição de chaves. Deve também tratar dos dados de ativação, controles de segurança computacional, controles técnicos durante o ciclo de vida dos sistemas, geração de LCR e segurança de rede, incluindo firewall, detecção de intrusão e registro de acessos não autorizados. Quando a AC utilizar carimbo de tempo, devem ser tratados também os aspectos correspondentes.
7. Perfis de certificado, LCR e OCSP
Este capítulo deve apresentar as características técnicas dos objetos que a AC efetivamente emite ou disponibiliza. Para os certificados, a DPC deve descrever os perfis adotados, incluindo versão X.509, extensões, algoritmos, formatos e restrições de nomes, OID da DPC e demais elementos de política previstos. Deve também descrever os perfis das LCRs, suas versões e extensões, e, quando houver OCSP, seu perfil, versão e extensões. Em outras palavras, é aqui que a DPC deixa documentado como são estruturados tecnicamente os certificados e mecanismos de verificação de status utilizados pela AC, em conformidade com as PCs aplicáveis.
8. Auditoria de conformidade e outras avaliações
Este capítulo deve informar como a conformidade da AC e das entidades a ela vinculadas é avaliada. A DPC deve tratar da frequência e das circunstâncias das avaliações, da identificação e qualificação dos avaliadores, da relação entre avaliador e entidade avaliada, do escopo dos itens examinados, das providências adotadas quando são encontradas deficiências e da comunicação dos resultados. A DPC deve informar a realização da auditoria prévia para credenciamento e das auditorias anuais para manutenção do credenciamento; também há previsão específica para as entidades diretamente vinculadas à AC.
9. Outros negócios e assuntos jurídicos
Este capítulo deve consolidar as condições econômicas, responsabilidades, garantias, confidencialidade, privacidade e demais aspectos jurídicos da prestação dos serviços de certificação. A DPC deve informar tarifas e política de reembolso, responsabilidade financeira e seguros, regras de confidencialidade e proteção de informações pessoais, direitos de propriedade intelectual, declarações e garantias das partes, eventuais isenções e limitações de responsabilidade, indenizações, prazo e término da DPC/serviços, formas de comunicação, procedimentos para alteração da DPC, solução de conflitos, legislação aplicável e conformidade legal, além de outras disposições contratuais pertinentes. Também estabelece, por exemplo, regras sobre a proteção das informações confidenciais e sobre a responsabilidade pelo sigilo das chaves privadas.
A Autoridade de Registro (AR) deve seguir a DPC da AC à qual está vinculada, que estabelece as práticas e procedimentos aplicáveis aos serviços de certificação. Além disso, a AR possui sua própria Declaração de Práticas de Negócio (DPN), documento no qual descreve suas práticas e procedimentos, especialmente aqueles relacionados à sua atuação em cada cadeia de AC. A DPN não é um dos DOC-ICP da estrutura normativa da ICP-Brasil; sua elaboração está associada aos Princípios e Critérios WebTrust para AR (WebTrust Principles and Criteria for Registration Authorities), que constituem um conjunto de critérios de auditoria e conformidade voltados às Autoridades de Registro, estabelecendo requisitos para avaliar se seus processos e controles são adequados e estão sendo seguidos. O próprio ITI informa que, desde a adoção do WebTrust na ICP-Brasil, as ARs devem elaborar sua DPN conforme esses princípios e critérios.
Sobre os documentos complementares, a DOC-ICP-05.01, DOC-ICP-05.02 e DOC-ICP-05.05 foram revogadas pela IN ITI nº 36/2026, regulamento esse que detalha os requisitos e procedimentos para a confirmação da identidade de requerente de certificado digital. A DOC-ICP-05.03 trata dos procedimentos para identificação biométrica e a DOC-ICP-05.04 regulamenta os procedimentos para gerenciamento da chave simétrica para geração do IDN.
DOC-ICP-05.03: Procedimentos para identificação biométrica na ICP-Brasil
O Sistema Biométrico da ICP-Brasil, associado com as verificações em bases oficiais nacionais, tem por objetivo aumentar a segurança na identificação dos titulares e responsáveis por certificados digitais, reduzindo o risco de fraudes, e permitir a simplificação do processo de emissão de certificados digitais através da verificação biométrica do requerente. Dentre os principais conceitos envolvidos, estão:
- rede PSBio: conjunto de entidades e sistemas que operam os processos de identificação biométrica na ICP-Brasil;
- dados biométricos: imagens capturadas de face e/ou dedos, bem como templates extraídos das imagens;
- dados biográficos: dados que permitem a identificação da pessoa física/titular de certificado digital relacionada a um conjunto de dados biométricos;
- identificador de registro biométrico (IDN): identificador que identifica unicamente um registro biométrico de uma pessoa física na Rede PSBio, gerado de forma que não permita a identificação de seus dados biográficos;
- transação biométrica: a transação biométrica é um conjunto de dados, em formato eletrônico, contendo dados biométricos e que tem um propósito, como cadastramento, atualização, verificação e identificação;
- base biométrica ICP-Brasil: base distribuída entre os PSBio da ICP-Brasil. Contém todas as biometrias e seus respectivos identificadores de registro biométrico (IDN);
- bases oficiais nacionais: bases de dados de amplitude nacional e de grande abrangência de cidadãos, que contenham dados biométricos e biográficos, regulamentadas no âmbito da ICPBrasil para uso na confirmação da identidade de requerentes de certificados digitais;
- exceção biométrica: notificação recebida pela AC de um conflito de biometria com outro IDN (em processo de identificação) ou não coincidência de biometria com a conhecida para aquele IDN (em processo de verificação).
O IDN deve ser uma sequência de caracteres do tipo alfanumérico, gerados a partir de função criptográfica simétrica, com tamanho de 64 caracteres. A geração do IDN utilizará a chave armazenada em HSM, da seguinte forma: IDN = BASE64 (SHA256(AES(CPF))||SHA256(SHA256(AES(CPF)))).
Em sistemas biométricos, a verificação ou identificação de uma pessoa pode envolver diferentes tipos de comparação, sendo as modalidades 1:1 e 1:N as denominações usualmente empregadas para distingui-las. Na comparação 1:1, também chamada de verificação, uma amostra biométrica apresentada é comparada com uma única referência previamente cadastrada, buscando confirmar se ambas pertencem à mesma pessoa. Já na comparação 1:N, chamada de identificação, a amostra apresentada é comparada com várias referências de uma base, buscando determinar a qual delas ela corresponde. Assim, enquanto a comparação 1:1 responde essencialmente à pergunta “esta pessoa é quem afirma ser?”, a 1:N busca responder “a quem pertence esta amostra?”.
O capítulo 2 estabelece os requisitos para a coleta das biometrias dos requerentes de certificados digitais, abrangendo tanto a coleta presencial quanto a realizada remotamente por videoconferência. Define que a coleta é responsabilidade da AC, por meio de sua rede de AR, e estabelece requisitos mínimos de qualidade para as imagens faciais e impressões digitais. São especificados parâmetros técnicos relacionados ao enquadramento facial, resolução, formato e tamanho das imagens, bem como à resolução, compressão e qualidade das impressões digitais, incluindo critérios baseados no padrão NFIQ. O capítulo também estabelece requisitos de auditoria e rastreabilidade das coletas, além de procedimentos para garantir que as biometrias submetidas ao sistema atendam aos padrões mínimos estabelecidos.
Para efeito de comparação, a Carteira de Identidade Nacional (CIN) faz uso da Resolução nº 21, de 6 de fevereiro de 2025 para as especificações técnicas do serviço biométrico federal. Segundo ela, os dados da impressão digital devem atender aos padrões NIST Fingerprint Image Quality (NFIQ) 2, de acordo com a ISO/IEC 29794-4, e os dados da face são submetidos ao padrão estabelecido pelo Documento 9303, da International Civil Aviation Organization (ICAO), de acordo com a ISO/IEC 29794- 5.
O capítulo 3 regulamenta o funcionamento dos Prestadores de Serviço Biométrico (PSBio), responsáveis pela execução das operações biométricas e pela manutenção de uma base biométrica distribuída e anonimizada. Define os requisitos e responsabilidades do PSBio, seu monitoramento, os serviços que deve prestar e as regras de funcionamento da Base Biométrica da ICP-Brasil. Também disciplina a comunicação entre PSBio e AC, os níveis de serviço (Service Level Agreement, SLA), o funcionamento do Hub Biométrico (serviços assíncronos para recebimento de transações biométricas de outros PSBios) e do Diretório de Registros Biométricos (serviços síncronos para consulta de IDNs e biometrias disponíveis no PSBio). Além disso, estabelece procedimentos para tratamento de pendências e erros, prazos para sua resolução, remoção de registros, utilização de cache biométrico, tratamento da Base de Fraudadores e processamento de erros assíncronos.
O capítulo 4 descreve operacionalmente como as informações biométricas circulam entre as entidades da ICP-Brasil. Define o fluxo de coleta e o recebimento das transações biométricas, inclusive das mensagens no padrão NIST (National Institute of Standards and Technology), e especifica os mecanismos relacionados ao IDN, como IDN_CACHE, IDN QUERY e IDN LIST. Em seguida, detalha os diferentes fluxos de processamento das transações, incluindo as etapas de envio, consulta, processamento e resposta. O capítulo também estabelece o fluxo de consulta à lista negativa e o tratamento das transações que resultam em pendências, formando a descrição do funcionamento operacional da Rede PSBio e de sua comunicação com as ACs.
O capítulo 5 especifica as transações biométricas utilizadas pelos PSBios e os respectivos padrões técnicos. Define os tipos de transações, seus formatos e a descrição de cada operação, estabelecendo como as informações devem ser estruturadas e transmitidas entre os sistemas envolvidos. O capítulo também contempla as transações destinadas às Bases Oficiais Nacionais, incorporadas ao modelo para permitir a verificação da identidade dos requerentes em bases biométricas e biográficas de abrangência nacional. Trata-se, portanto, de um capítulo essencialmente técnico, que detalha as mensagens e operações que implementam os procedimentos biométricos definidos nos capítulos anteriores.
IN ITI nº 36/2026
A instrução normativa ITI nº 36/2026 absorveu a matéria sobre vídeoconferência da DOC-ICP-05.05 nos artigos 36 a 45, ampliando seu escopo ao longo do capítulo 3. Além disso, ela também consolida/amplia disposições gerais e métodos de identificação (cap. 1), procedimentos gerais de confirmação de identidade (cap. 2), Módulo Eletrônico de AR (cap. 4), AR Eletrônica (cap. 5), comunicação de fraude/indícios (cap.6) e disposições finais (cap. 7: pós-verificação, LGPD e transição).
No capítulo 1, é dito que os métodos de confirmação de identidade são:
- Comparecimento presencial
- Videoconferência
- Uso de certificado ICP-Brasil válido
- Módulo Eletrônico de AR
- AR Eletrônica
Os métodos dos itens 4 e 5 apresentam regulamentação inédita. Na AR tradicional, um AGR (agente de registro humano) realiza o atendimento. Se a AR faz uso de um Módulo Eletrônico, o atendimento é digital mas dentro da estrutura da AR. Já na AR Eletrônica, o processo é muito mais automatizado, com controles tecnológicos substituindo a intervenção humana em várias etapas.
A confirmação de identidade do requerente de certificado digital deve compreender, no mínimo:
- apresentação e verificação da documentação exigida
- coleta e verificação biométrica
- consulta à base de dados da Lista Negativa de ACs
- assinatura ou confirmação da origem e integridade do Termo de Titularidade, conforme o caso
As Bases Oficiais Nacionais admitidas na ICP-Brasil para fins de batimento biométrico e biográfico são as seguintes:
- base de dados da Carteira Nacional de Identidade – CIN
- base de dados da Identificação Civil Nacional – ICN, mantida pelo Tribunal Superior Eleitoral – TSE
- base de dados da Carteira Nacional de Habilitação, mantida pela Secretaria Nacional de Trânsito – Senatran
- base de dados da Infraestrutura Pública Digital – IPD de Identificação Civil