Segurança

Uma pasta de rede bem organizada responde “o arquivo está aqui”. Documento oficial precisa responder outra pergunta, mais difícil: “ninguém mexeu nisso depois de assinado”.

É uma diferença prática. Num sistema comum, quem administra o servidor pode alterar um arquivo e a data dele, e não sobra vestígio. Quando o Tribunal de Contas pergunta, a resposta é a palavra da Casa.

O que está descrito abaixo existe para que a resposta seja outra: uma demonstração que a própria Câmara executa, na frente de quem perguntou.

A senha não fica guardada em lugar nenhum. Nem escrita, nem trancada num cofre. O sistema guarda um resultado matemático dela, do qual não se volta atrás — serve para conferir quem digitou a senha certa, e para mais nada. Se alguém levar o banco de dados inteiro, não sai de lá com a senha de ninguém. Nós também não conseguimos ver a sua: senha esquecida é trocada, nunca recuperada.

Errar a senha muitas vezes trava a conta por um tempo. O travamento é por conta, e não pelo local de onde vem o acesso, porque a Câmara inteira costuma sair pela mesma conexão — travar por conexão deixaria o expediente todo de fora por causa de uma pessoa.

A sessão expira sozinha e é renovada em silêncio enquanto você trabalha. Se o sistema detecta que a mesma sessão está sendo renovada de dois lugares — sinal clássico de acesso roubado —, ela cai na hora e o episódio fica registrado.

Não é só o menu que muda de pessoa para pessoa: o alcance é conferido de verdade, a cada consulta. A diferença importa — sistema que apenas esconde o botão continua entregando o documento a quem insistir.

• Servidor enxerga o que é do seu setor, o que é dele e o que passou pelo setor dele — inclusive depois de despachado adiante, porque ele continua respondendo pelo que fez ali.
• Controladoria e procuradoria alcançam a Casa inteira, por dever de ofício.
• Documento sigiloso não cai na caixa geral do setor: ao tramitá-lo, é obrigatório dizer para qual pessoa vai.
• Quem administra o software tem acesso à parte técnica do sistema, que é uma tela separada. Isso não se confunde com hierarquia na Casa: administrar o sistema não é mandar em quem trabalha no documento.

Cada ato registrado leva junto a impressão digital do ato anterior, como elos de uma corrente. Mexer num elo do meio quebra todos os seguintes, e a quebra fica visível para quem conferir.

Quem recusa a alteração não é o programa: é o próprio arquivo onde tudo fica guardado. A diferença é o ponto todo. Se a proibição estivesse só no programa, bastaria alguém com acesso ao servidor passar por fora dele. Estando lá no fundo, a tentativa de alterar ou apagar é recusada mesmo assim.

Todo dia o registro do dia é fechado e carimbado por uma autoridade externa de carimbo do tempo — a mesma família de tecnologia do certificado digital que a Casa já usa. Sem isso, seria possível refazer a corrente inteira de forma coerente e trocar as datas; com o carimbo de terceiro, mudar a data passaria a exigir falsificar o carimbo dessa autoridade.

Uma cópia do dia sai do sistema e vai para um armazenamento que aceita gravar e não aceita regravar nem apagar. Apagar o banco inteiro não faz o histórico sumir.

A verificação é feita pela Casa, quando quiser: o sistema recalcula a corrente inteira e mostra qualquer registro que não confira.

Cada vez que alguém grava, nasce uma versão nova e completa — a anterior continua inteira. A versão 3 não apaga a 2. Dá para comparar duas versões lado a lado e voltar para uma anterior; o retorno também vira versão nova, preservando o caminho.

Isso resolve o problema mais banal e mais frequente de pasta de rede: alguém salvar por cima do trabalho de outro e não haver como voltar.

Como o histórico é permanente, o que entra nele não sai — nem por correção, nem a pedido. Por isso ele recebe o mínimo, e uma etapa obrigatória limpa o registro antes de gravar:

• senha, chave de acesso, CPF, cartão e chave PIX são substituídos por [REDIGIDO], mesmo que tenham escapado para algum campo;
• o texto do documento não entra no histórico — ele pertence à versão, que tem controle de acesso próprio;
• fica registrado o essencial: qual ação, quem fez, quando, sobre qual documento e de qual endereço de rede.

• Cada Câmara tem seu próprio sistema. Não há base compartilhada entre Casas: o documento de uma nunca aparece na busca de outra.
• Hospedagem em [VALIDAR: provedor de hospedagem contratado], região [VALIDAR: região do provedor de nuvem — ex.: São Paulo, Brasil].
• Tudo o que trafega entre o computador do servidor e o sistema vai cifrado.
• Cópias de segurança e cifragem do armazenamento: [VALIDAR: descrever conforme o contrato de hospedagem].
• Se o edital exigir, o sistema pode rodar na infraestrutura da própria Casa.

Uma exceção importante, e declarada: quando alguém usa a inteligência artificial, o trecho necessário àquele pedido é enviado ao provedor contratado. O acervo não é copiado para lá. Está detalhado em Inteligência artificial.

Nenhum sistema é imune, e fornecedor que diga o contrário está vendendo tranquilidade em vez de segurança.

Havendo incidente que possa atingir dados pessoais, comunicamos a Câmara rapidamente, dizendo o que aconteceu, o que foi atingido e o que já foi feito. A comunicação à autoridade nacional e às pessoas afetadas é da Casa, e nós entregamos o material técnico para instruí-la.

Encontrou uma falha? Escreva para contato@legisora.com.br antes de divulgar. Respondemos e damos crédito a quem reporta de forma responsável.

Nenhuma medida técnica substitui a gestão do dia a dia. Continua com a Casa:

• desativar a conta de quem sai do quadro;
• dar a cada pessoa o perfil e o setor que correspondem à função real;
• deixar claro que a conta é pessoal: o histórico atribui o ato a quem estava logado, e emprestar login transfere a responsabilidade junto;
• definir por quanto tempo cada tipo de documento deve ser guardado.