Uma política de uso de certificados digitais é o documento interno que define onde os certificados da empresa ficam guardados, quem pode usá-los, para quê e o que fazer quando alguém sai ou algo dá errado. Ela existe porque o certificado é a assinatura eletrônica da empresa: tudo o que é feito com ele é atribuído a ela.
Abaixo estão os pontos que a política precisa cobrir e um modelo completo para copiar e adaptar. Boa parte dessas regras, como quem pode usar cada certificado e o registro de cada uso, pode ser aplicada na prática com o controle de acesso aos certificados.
Por que a empresa precisa de uma política de uso de certificados
Os documentos assinados com certificado ICP-Brasil presumem-se verdadeiros em relação ao titular (Medida Provisória 2.200-2/2001, art. 10, § 1º). Se o certificado da empresa for usado sem autorização, é a empresa que precisa provar que não foi ela. Sem regras claras, isso é quase impossível: o arquivo circula por e-mail, fica instalado em várias máquinas e a senha é conhecida por muita gente.
Além disso, o certificado dá acesso a dados pessoais de sócios e funcionários no e-CAC e no eSocial. A LGPD exige que a empresa adote medidas de segurança para proteger esses dados (art. 46). Uma política escrita e cumprida é uma dessas medidas.
O que a política precisa cobrir
| Tema | Pergunta que a política responde |
|---|---|
| Inventário | Quais certificados a empresa tem, de quem são e quando vencem? |
| Guarda | Onde os certificados ficam e onde é proibido guardá-los? |
| Acesso | Quem pode usar cada certificado, em quais portais e com aprovação de quem? |
| Terceiros | Como a contabilidade externa, advogados e consultorias usam os certificados? |
| Registro | Como a empresa sabe quem usou cada certificado? |
| Vencimento | Quem cuida da renovação e com quanta antecedência? |
| Saídas | O que acontece quando alguém muda de função ou sai da empresa? |
| Incidentes | O que fazer se houver suspeita de uso indevido? |
| Revisão | De quanto em quanto tempo os acessos são revisados? |
Modelo de política de uso de certificados digitais
Copie, troque o que está entre colchetes e ajuste à realidade da empresa. Peça ao jurídico para revisar antes de aprovar. Em grupos com várias filiais, a política também precisa dizer qual certificado cada CNPJ usa.
POLÍTICA DE USO DE CERTIFICADOS DIGITAIS – [NOME DA EMPRESA]
1. Objetivo. Definir as regras de guarda, uso, controle e renovação dos certificados digitais da [Empresa], para proteger a empresa contra o uso não autorizado e permitir identificar quem realizou cada operação.
2. Abrangência. Esta política vale para todos os certificados digitais em nome da [Empresa], de suas filiais e de empresas do grupo, e para os certificados de pessoas físicas usados em nome da empresa (diretores, procuradores e responsáveis legais). Aplica-se a colaboradores, estagiários e prestadores de serviço.
3. Papéis.
- Gestor de certificados: [cargo]. Mantém o inventário, concede e retira acessos, acompanha vencimentos e revisa os registros de uso.
- Aprovador: [cargo, por exemplo o gestor da área]. Aprova os pedidos de acesso da sua área.
- Usuário: quem recebeu acesso. Usa o certificado só para as atividades autorizadas.
- TI: mantém o ambiente onde os certificados ficam e apoia a investigação de incidentes.
4. Inventário. O gestor mantém a lista atualizada de todos os certificados, com: titular, CPF ou CNPJ, tipo, certificadora, data de vencimento, local de guarda e usuários autorizados.
5. Guarda.
5.1. Os certificados ficam guardados exclusivamente em [sistema ou local aprovado].
5.2. É proibido guardar ou enviar o arquivo do certificado ou sua senha por e-mail, aplicativos de mensagem, pendrives, pastas compartilhadas ou computadores pessoais.
5.3. A senha do certificado não é informada aos usuários, sempre que o sistema adotado permitir o uso sem a senha.
6. Concessão de acesso.
6.1. O acesso é pedido ao gestor, com a aprovação do aprovador da área, informando o certificado, os portais e a finalidade.
6.2. Cada usuário recebe acesso individual, apenas aos certificados e portais necessários para a sua função.
6.3. Quando possível, o acesso é limitado a dias e horários de expediente.
7. Registro de uso. Todo uso de certificado deve ficar registrado com usuário, data, hora, computador e sistema acessado. Os registros são guardados por [prazo] e não podem ser alterados pelos usuários.
8. Terceiros.
8.1. Contabilidade externa, escritórios de advocacia e consultorias recebem acesso individual, por prazo determinado, e nunca o arquivo do certificado e a senha.
8.2. Ao fim do prazo ou do contrato, o acesso é retirado.
8.3. Sempre que o serviço permitir, dá-se preferência à procuração eletrônica.
8.4. O contrato com o terceiro deve prever as obrigações de segurança e confidencialidade.
9. Vencimento e renovação. O gestor inicia a renovação com pelo menos [30] dias de antecedência e confirma a instalação do novo certificado antes do vencimento do anterior.
10. Mudança de função e saída.
10.1. A área de pessoas avisa o gestor de qualquer desligamento ou mudança de função no mesmo dia.
10.2. O gestor retira os acessos no mesmo dia.
10.3. Na saída de diretor, procurador ou responsável legal, o gestor também providencia a revogação das procurações eletrônicas e, quando aplicável, a troca do responsável pelo CNPJ e a emissão de novo certificado.
11. Incidentes.
11.1. Qualquer suspeita de uso indevido, perda ou vazamento deve ser comunicada imediatamente ao gestor e à TI.
11.2. Confirmado o comprometimento, o certificado é revogado junto à certificadora e um novo é emitido.
11.3. O jurídico avalia a necessidade de comunicar a ANPD e os titulares dos dados, conforme o art. 48 da LGPD.
12. Revisão de acessos. A cada [mês ou trimestre], o gestor revisa com cada área a lista de usuários e os registros de uso, e retira os acessos que não forem mais necessários.
13. Descumprimento. O descumprimento desta política sujeita o responsável às medidas previstas no regulamento interno e no contrato.
14. Vigência. Esta política entra em vigor em [data] e será revisada a cada [12] meses.
Como colocar a política em prática
Uma política só funciona se a ferramenta permitir cumpri-la. Os itens 5, 6, 7 e 8 dependem de um sistema que guarde os certificados num só lugar, dê acesso individual sem entregar o arquivo e registre cada uso. É o que faz a gestão de certificados digitais para empresas do CertiSeguro.
Para saber como funciona o registro de cada uso, veja se é possível saber quem usou o certificado digital. Para o acesso de parceiros, veja como dar acesso ao certificado para a contabilidade externa.
Perguntas frequentes
A política de uso de certificados é obrigatória?
Não há uma lei que exija esse documento específico. Mas a LGPD exige medidas de segurança para os dados pessoais (art. 46), e a política é a forma de mostrar que elas existem.
Quem deve aprovar a política?
A diretoria, com revisão do jurídico e participação da TI e das áreas que usam os certificados.
A política vale para o certificado do diretor?
Vale para todo certificado usado em nome da empresa, inclusive o e-CPF de diretores e procuradores quando usado em atividades da empresa.
O que fazer com os certificados que já estão espalhados?
Comece pelo inventário (item 4), recolha as cópias soltas e concentre tudo no local aprovado antes de liberar os acessos individuais.
O que fazer se o certificado for usado sem autorização?
Siga o item 11: comunique o gestor e a TI, revogue o certificado se o comprometimento for confirmado e avalie a comunicação à ANPD.