De acordo com pt.wedoany.com-O Departamento de Aprovação Administrativa e Gestão de Informação Governamental da Província de Henan publicou oficialmente, em 3 de abril de 2026, o "Guia de Gestão de Segurança para o Desenvolvimento de Sistemas de Informação Governamental Não Confidenciais", divulgando a interpretação da política em 6 de maio. O guia, composto por 6 capítulos e 29 artigos, integra controlos de segurança em todo o processo de planeamento, design, desenvolvimento, teste e entrada em funcionamento de sistemas de informação governamental não confidenciais, construindo um sistema de gestão de segurança que cobre todo o ciclo de construção do sistema.
A publicação do guia é uma resposta direta ao aumento contínuo dos riscos de segurança do governo digital. Com o avanço contínuo da interconexão dos sistemas de informação governamental e o aumento do nível de agregação de dados, uma falha na segurança do sistema ameaça diretamente o funcionamento do governo, a privacidade dos cidadãos e até a segurança nacional. Com base em investigação aprofundada e múltiplas rondas de discussão, a Província de Henan transformou os sistemas principiológicos a nível nacional sobre segurança de redes, segurança de dados e aplicação de criptografia em normas específicas operacionalizáveis e implementáveis, eliminando a lacuna de controlo de segurança na fase de desenvolvimento, um ponto de entrada de risco há muito subestimado.
O princípio central do guia exige "planeamento, design, construção, verificação de aceitação e utilização síncronos". Isto significa que a proteção de segurança deve ser promovida em simultâneo com o desenvolvimento do sistema, em vez de se complementar a segurança após a entrada em funcionamento do sistema. O guia proíbe explicitamente a operação de sistemas de informação governamental que não tenham sido submetidos a testes de segurança ou que não cumpram os requisitos de segurança, e os sistemas que envolvam segredos de trabalho devem também cumprir os regulamentos de gestão de confidencialidade relevantes.
A construção de um sistema de responsabilidades é outro ponto central. O guia, de acordo com o princípio de "quem constrói é responsável, quem participa é responsável", detalha as responsabilidades de gestão de segurança no desenvolvimento para três tipos de entidades principais: entidade contratante, entidade projetista e entidade construtora, construindo um sistema de responsabilidade de segurança de desenvolvimento de sistemas de informação governamental colaborativo e eficiente. A entidade contratante assume a responsabilidade principal pela segurança da rede e dos dados do sistema de informação governamental, enquanto as entidades projetista e construtora assumem as suas respetivas responsabilidades de segurança.
Os requisitos de segurança na fase de planeamento e design foram sistematicamente detalhados no guia. A entidade contratante precisa de coordenar a supervisão de segurança do desenvolvimento, articulando-se com múltiplos departamentos como criptografia, confidencialidade, administração do ciberespaço e segurança pública, para garantir a implementação síncrona dos requisitos de proteção de nível de segurança, criptografia e segurança de dados. No que respeita à proteção de nível de segurança de redes, é necessário determinar o nível de proteção de segurança com base nos guias de classificação relevantes e planear medidas de proteção de acordo com os requisitos básicos correspondentes, procedendo ao registo; na aplicação de criptografia, é necessário apresentar requisitos de proteção de conformidade claros, e o plano de aplicação de criptografia comercial deve ser aprovado através de uma avaliação de segurança da aplicação de criptografia comercial para poder servir de base à construção.
A proteção de dados, o controlo de identidade e a gestão de registos constituem as três linhas de defesa da governação de segurança diária. O guia exige a classificação e categorização de dados e o estabelecimento de um sistema de proteção de segurança que cubra todo o ciclo de vida dos dados; no controlo de identidade, é proibido o uso de dados de produção reais ou palavras-passe fracas em ambientes de desenvolvimento e teste; na gestão de registos, o sistema deve ter capacidade de recolha automática de registos, cobrindo todas as operações do utilizador e o estado de funcionamento do sistema, com um período de conservação de registos não inferior a seis meses.
As ações de segurança nas fases de teste e entrada em funcionamento também foram clarificadas uma a uma. Antes da entrada em funcionamento, é necessário contratar uma entidade terceira para realizar testes de segurança, detetando defeitos de segurança de aplicações, riscos de segurança na cadeia de fornecimento de software e configurações inseguras; completar simultaneamente a avaliação de segurança da aplicação de criptografia comercial e a avaliação de proteção de nível de segurança de redes, sendo que as infraestruturas de informação críticas necessitam ainda de passar por testes e avaliações de segurança. Na entrada em funcionamento, é necessário controlar os privilégios do pessoal de implementação e gerir rigorosamente as versões, garantindo a consistência entre o ambiente de implementação e o ambiente de operação real, prevenindo alterações não autorizadas.
Do ponto de vista da evolução política, o guia foi submetido a consulta pública no final de novembro de 2025 e, após quase cinco meses de revisão e aperfeiçoamento, foi oficialmente publicado, mostrando que a Província de Henan passou da orientação macro para uma fase de normas operacionais refinadas no domínio da governação da segurança dos sistemas de informação governamental. O guia mapeia as disposições abstratas de várias leis e regulamentos superiores, como a Lei de Cibersegurança da República Popular da China, a Lei de Segurança de Dados da República Popular da China, a Lei de Proteção de Informações Pessoais da República Popular da China, o Regulamento de Proteção de Segurança de Infraestruturas de Informação Críticas e o Regulamento de Gestão de Segurança de Aplicações Governamentais na Internet, em itens de verificação de segurança e atribuições de responsabilidade específicos, reduzindo a barreira de conformidade de segurança para as entidades construtoras na linha da frente e fornecendo uma base de avaliação comparável para entidades terceiras de testes de segurança e entidades de avaliação.
A publicação do guia ocorre precisamente quando a construção do governo digital na China entra num período de integração profunda. Os sistemas governamentais a nível distrital e municipal estão a migrar aceleradamente para as plataformas de nuvem provinciais, e a escala das chamadas de API e troca de dados entre sistemas continua a expandir-se, com a superfície de risco de segurança a aumentar rapidamente. A Província de Henan toma a dianteira ao estabelecer, sob a forma de documento normativo provincial, um arranjo institucionalizado de processo completo para a segurança do desenvolvimento de sistemas de informação governamental, colmatando a lacuna estrutural de longa data no domínio da segurança dos sistemas de informação governamental, caracterizada por "ênfase na construção, negligência da segurança" e "ênfase na operação e manutenção, negligência do desenvolvimento".
Este texto foi elaborado por Wedoany. Qualquer citação por IA deve indicar a fonte “Wedoany”. Em caso de infração ou outros problemas, informe-nos prontamente, por favor. O conteúdo será corrigido ou removido. E-mail: news@wedoany.com
