II SÉRIE-A — NÚMERO 117 34

revogados e compatíveis com todos os domínios utilizados pelo sítio;

b) O sistema deve apor a indicação «seguro» em todos os cookies sensíveis;

c) O servidor deve configurar o fornecedor do TLS de modo a que este apenas aceite algoritmos de cifragem

de dados conformes com as melhores práticas;

d) Os utilizadores devem ser informados de que devem ativar a funcionalidade TLS no seu navegador.

6 - O sistema deve impedir reencaminhamentos e reenvios não validados.

Artigo 43.º

Integridade dos dados

1 - As plataformas eletrónicas não devem partilhar hardware e recursos do SO, nem quaisquer dados,

nomeadamente, credenciais de acesso e de cifragem, com qualquer outra aplicação ou sistema.

2 - Cada transação com sucesso que envolva modificação do conteúdo da informação da plataforma

eletrónica deve fazer passar a BD de um estado de integridade para outro estado de integridade.

3 - Deve ser garantido que todos os dados críticos da plataforma eletrónica são seguros e autênticos,

devendo para o efeito ser utilizados algoritmos e chaves fortes, de acordo com as normas internacionais.

4 - Devem ser considerados como dados críticos, no mínimo, todas as configurações de segurança, perfis

de utilizador, dados relativos às peças do procedimento e propostas, bem como os respetivos backups.

Artigo 44.º

Segurança de rede

1 - A ligação da plataforma eletrónica à Internet deve ser protegida por um sistema de proteção de fronteira.

2 - Todo o tráfego destinado à plataforma eletrónica deve ser inspecionado e registado.

3 - As regras do sistema de proteção de fronteira devem rejeitar o tráfego que não é necessário à utilização

e à administração segura do sistema.

4 - A plataforma eletrónica deve estar alojada num segmento da rede de produção devidamente protegido,

separado de eventuais segmentos utilizados para alojar sistemas que não são de produção, como ambientes

de desenvolvimento ou de testes.

5 - A rede local (LAN) deve cumprir, no mínimo, as seguintes medidas de segurança:

a) Lista de acesso Layer 2/ segurança dos portos (port switch);

b) Os portos não utilizados/necessários devem ser desativados;

c) A DMZ deve encontrar-se numa rede local virtual (VLAN) ou LAN própria;

d) Não devem estar ativas interligações (trunking) L2 em portas desnecessárias.

Artigo 45.º

Tratamento dos dados pessoais e livre circulação

O tratamento de informação, pelas plataformas eletrónicas, que contenha dados pessoais, implica a

notificação prévia da Comissão Nacional de Proteção de Dados, nos termos previstos na Lei de Proteção de

Dados Pessoais.

Artigo 46.º

Segurança física

Sem prejuízo dos controlos de segurança identificados e implementados, com base nos requisitos da ISO/IEC

27001, os sistemas que compõem a plataforma eletrónica devem estar devidamente protegidos em zona segura,

com acesso restrito e controlado por sistemas de controlo de acessos e dentro dessa zona, no mínimo, instalado

num bastidor seguro.