RESOLUÇÃO Nº 21, DE 6 DE FEVEREIRO DE 2025 (parte 2 de 2)

ANEXO I
ESPECIFICAÇÕES TÉCNICAS DO SERVIÇO BIOMÉTRICO FEDERAL
Motor Biométrico
1. O Serviço Biométrico Federal contará com motor biométrico capaz de realizar
identificações 1:n (um registro biométrico comparado com todos os registros biométricos
armazenados) e verificações 1:1 (um registro biométrico comparado com um registro
biométrico armazenado) do mesmo registro previamente cadastrado.
1.1. A solução do motor biométrico deverá observar, no mínimo, os seguintes
requisitos:
1.1.1. Padrões Técnicos Biométricos:
1.1.1.1 Os dados da impressão digital devem atender aos padrões NIST
Fingerprint Image Quality (NFIQ) 2, de acordo com a ISO/IEC 29794-4;
1.1.1.2. Os dados da face serão submetidos ao padrão estabelecido pelo
Documento 9303, da International Civil Aviation Organization (ICAO), de acordo com a
ISO/IEC 29794- 5; e
1.1.1.3. O algoritmo do motor biométrico deverá seguir os padrões e testes
mais recentes do NIST, especificamente o Face Recognition Technology Evaluation (FRTE)
1:N para face e o MINEX III para impressões digitais; e
1.1.2. Acurácia:
1.1.2.1. quanto às impressões digitais, de acordo com o teste FpVTE (Fingerprint
Vendor Technology Evaluation) (NIST.IR.8034), seu substituto FRIF TE E1N (Friction Ridges
Image and Features Technology Evaluation Exemplar One-to-Many), ou posterior:
1.1.2.1.1. o resultado da FNIR (False Negative Identification Rate) a um FPIR (False
Positive Identification Rate) fixo de 0,001 deve ser 0,02 ou menos para o teste com indicador
esquerdo ou direito contra uma base de no mínimo 100.000 candidatos, compatível com o
teste Classe A de "Left Index" ou "Right Index", do FpVTE 2012 (tabelas 7 e 8).
1.1.2.1.2. o resultado da FNIR a um FPIR fixo de 0,001 deve ser 0,002 ou menos
para o teste com impressões batidas, na distribuição 4-4-2, contra uma base de no mínimo
3.000.000 de candidatos, compatível com o teste "Identification Flats" Classe B, do FpVTE
2012 (tabela 13).
1.1.2.1.3. o resultado da FNIR a um FPIR fixo de 0,001 deve ser 0,001 ou menos
para o teste com decadatilar rolada contra roladas em uma base de no mínimo 5.000.000
de candidados, compatível com o teste "Ten-Finger Rolled-to-Rolled " Classe do teste
FpVTE (tabela 15).
1.1.2.2. quanto às imagens faciais, de acordo com o teste do NIST FRTE 1:N
Identification, ou posterior:
1.1.2.2.1. o resultado da FNIR a um FPIR fixo de 0,001 deve ser 0,0085 ou
menos para o teste "Immigration visa-border", realizado sobre um tamanho de banco de
dados de 1.600.000.
Serviço de prova de vivacidade facial
2. O Serviço de Biometria Federal poderá prover serviço de prova de vivacidade
facial (facial liveness detection).
2.1. O processo de vivacidade (liveness) tem como objetivo garantir que a
característica biométrica capturada é proveniente de um ser humano vivo e não de uma
falsificação ou apresentação de uma característica biométrica artificial e deve observar, no
mínimo, os seguintes requisitos abaixo:
2.1.1. para transações de baixo risco: Face liveness passivo, em conformidade
com padrão ISO 30107-3 Level 1, apto para receber a certificação iBeta Level 1; e
2.1.2 para transações de médio a alto risco: Face liveness passivo em conformidade
com os padrões ISO 30107-3 Level 1, ISO 30107-3 Level 2, apto para receber a certificação iBeta
Level 1 e 2;
Parágrafo único. A Secretaria-Executiva da CEFIC regulamentará os tipos de
transações de baixo, médio e alto risco, em conformidade com o Decreto n. 12.069/24 que
institui a Infraestrutura Pública Digital de Identificação Civil.
Requisitos de infraestrutura e de solução tecnológica
3. O Serviço Biométrico Federal deverá contar, no mínimo, com os seguintes
requisitos de infraestrutura e de solução tecnológica:
3.1. estar hospedado em território nacional;
3.2. ter, preferencialmente, mais de um fornecedor dos algoritmos do motor
biométrico, integrados por meio de um sistema que permita a interoperabilidade entre
diferentes tecnologias;
3.3. possuir, no mínimo, dois sítios operacionais em diferentes localizações,
com capacidade de resiliência operacional e certificação Tier III;
3.4. implementar um Disaster Recovery Layer -DRL de contingência aos sítios;
3.5. implementar sistema de gestão da segurança da informação e privacidade
associado aos serviços de operação, manutenção e monitoramento da solução, devidamente
certificado, englobando monitoramento de todos os componentes do sistema, sua
infraestrutura, bem como auditoria de segurança, gerenciamento de incidentes, inclusive
testes de intrusão periódicos, após disponibilização integral da solução, em até doze meses,
contados da publicação desse ato, conforme a ISO/IEC 27001 e a ISO/IEC 27701;
3.6. possuir um console, com acesso seguro e limitado para apuração dos CPF
e dos resultados dos requerentes da CIN;
3.7. ter os dados armazenados de forma segura, com processos criptográficos
reconhecidos e aprovados internacionalmente;
3.8. possuir planos de auditoria, testes, continuidade do negócio e recuperação
de desastres, com testes regulares e simulações de falhas no mínimo anuais;
3.9. implantar um sistema de gestão e monitoramento do Serviço Biométrico
Federal, com capacidade de monitoramento 24/7, inclusive com testes e auditoria de
segurança periódicos de todo o sistema.
3.10. ter um serviço de suporte integral para o Serviço Biométrico Federal;
3.11. gerar relatórios de gestão de segurança periódicos ou sob demanda da
Secretaria-Executiva da CEFIC, contemplando, dentre outros, indicadores de monitoramento e
eficácia dos controles implementados (logs de eventos, vulnerabilidades e revisão de acessões
e permissões), conformidade legal e regulamentar, privacidade, relatório de incidentes de
segurança, indicadores de desempenho da solução, gestão de riscos e de auditoria interna;
3.12. arquivar os relatórios de gestão de segurança por um período mínimo de
cinco anos;
3.13. contar com medidas de segurança física rigorosas, como controle de acesso
biométrico, vigilância 24/7 com gravação contínua, e sistemas redundantes de energia
(geradores, UPS) e refrigeração, garantindo um ambiente seguro e protegido contra acessos
não autorizados e falhas técnicas;
3.14. implementar, quando aplicável, técnicas de anonimização ou pseudo-
anonimazação para proteger os dados biométricos durante o armazenamento;
3.15.no prazo transitório até as certificações listadas no item 3.5, deve manter
sistemas de backup e redundância que asseguram a disponibilidade e a integridade dos
dados biométricos em caso de falhas do sistema ou desastres;
3.16. garantir a segmentação em múltiplos níveis de acesso físico de acordo
com a criticidade dos ativos e sistemas presentes em cada área, observando as premissas
de detecção, atraso e resposta; e
3.17. assegurar o acesso a cada nível apenas ao pessoal autorizado, com
mecanismos robustos de controle e monitoramento. 1_PR_13_001