Política de Segurança da Informação e Cibernética
1. OBJETIVO
Esta Política de Segurança da Informação e Cibernética (Externa) tem como objetivo estabelecer “Princípios” e “Diretrizes” , capazes de permitir aos nossos colaboradores, parceiros comerciais e prestadores de serviço, seguirem padrões de comportamento desejáveis e aceitáveis, de acordo com a legalidade e boas práticas, com o intuito de garantir a confidencialidade, a integridade e a disponibilidade das informações de propriedade do Banco Luso Brasileiro (“Banco”), ou informações mantidas sob sua guarda e visa reforçar o comprometimento da Alta Administração com a melhoria contínua dos procedimentos relacionados à Segurança da Informação e Cibernética.
2. DOCUMENTOS COMPLEMENTARES
Código de Conduta Ética
3. DOCUMENTOS DE REFERÊNCIA
Resolução CMN nº 4.893|21: Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil.
Lei 13.709/2018: Lei Geral de Proteção de Dados (“LGPD”).
4. DEFINIÇÕES, CONCEITOS E SIGLAS
Alta Administração: Estrutura organizacional compreendida a partir da Diretoria Estatutária e Conselho de Administração;
Ambiente Cibernético: Ambiente virtual no qual o usuário estabelece relações sociais;
Ameaça: Qualquer circunstância ou evento com o potencial de explorar vulnerabilidades e causar danos a sistemas, redes ou dados. Ela pode ser de natureza interna ou externa e pode incluir ações deliberadas, como ataques cibernéticos, ou acidentais, como falhas de sistemas;
ANPD: Agência Nacional de Proteção de Dados;
Ativo: Conjunto de bens e direitos do Banco;
BACEN| Banco Central do Brasil: Autarquia Federal integrante do Sistema Financeiro Nacional;
Colaboradores: Membros estatutários, funcionários, estagiários e menor aprendiz;
Criptografia: Conjunto de técnicas pelas quais a informação pode ser transformada da sua forma original para outra ilegível, de forma que possa ser conhecida apenas por seu destinatário, tornando impraticável a leitura por pessoa não autorizada.
Dados Pessoais: Qualquer informação relacionada a uma pessoa física identificada ou identificável;
Diretrizes: Objetivos e ações necessárias à efetivação e manutenção do direcionamento expresso pelas políticas;
Incidente de Segurança da Informação: Todo evento que fere um ou mais princípios da Segurança da Informação (confidencialidade, integridade, disponibilidade, autenticidade e a Irretratabilidade);
Informações Corporativas: Conjunto de dados organizados que fazem sentido e que geram valor para a organização;
Instrumentos Normativos (IN): Documento que estabelece padrões classificados como Políticas, Diretrizes, Normas e Procedimentos Normativos.
Irretratabilidade: Princípio de segurança da informação por meio do qual é garantido o não repúdio às informações fornecidas;
Hardening: É o processo de reforçar a segurança de sistemas e redes, reduzindo suas vulnerabilidades por meio da remoção de funcionalidades desnecessárias, aplicação de patches, configuração segura de serviços e implementação de controles rigorosos de acesso;
Malware: Termo genérico para descrever qualquer software malicioso que visa infectar, danificar ou obter acesso não autorizado a sistemas, redes ou dispositivos. Exemplos comuns incluem vírus, worms, trojans e ransomware;
Phishing: Técnica de fraude que envolve o uso de comunicações eletrônicas enganosas, como e-mails, mensagens de texto ou sites falsificados, para enganar indivíduos e induzi-los a revelar informações confidenciais, como senhas e dados financeiros;
Política: Direcionamento expresso pela visão, missão e valores do Banco.
Princípios: Preceitos elementares ou requisitos que o Banco deve observar na realização de suas atividades, buscando uma conduta exigida nos relacionamentos, operações e serviços, em seu ambiente interno ou externo.
Proteção da Informação: Qualquer ação que tenha como objetivo preservar o valor que as informações possuem para um indivíduo ou uma organização.
Ransomware: Outro tipo de malware que “sequestra” algum dado sigiloso do usuário ou bloqueia o celular da vítima e, posteriormente, cobra pelo “resgate” dessas informações ou desbloqueio do aparelho.
Responsabilidade: Consiste na obrigação de responder corporativa ou localmente por determinadas atribuições.
Risco: Definido como a quantificação da incerteza, no contexto da segurança da informação pode ser entendido como o potencial associado à exploração de uma ou mais vulnerabilidades de um ativo de informação ou de um conjunto desses ativos, por parte de uma ou mais ameaças, com impacto negativo no negócio da organização.
Risco Cibernético: Exposição a danos e perdas resultantes da ocorrência de incidentes cibernéticos;
Segurança Cibernética: Refere-se ao conjunto de práticas, tecnologias e processos utilizados para proteger redes, dispositivos, programas e dados contra-ataques cibernéticos, danos ou acessos não autorizados. Seu objetivo é garantir os cinco pilares fundamentais da segurança da informação;
Confidencialidade: Garantir que apenas as pessoas autorizadas possam acessar as informações;
Integridade: Assegurar que os dados não sejam alterados indevidamente e se mantenham precisos e confiáveis;
Disponibilidade: Garantir que as informações e sistemas estejam acessíveis quando necessários;
Autenticidade: Verificar a identidade das partes envolvidas no acesso e na manipulação de informações;
Irretratabilidade (não-repúdio): Assegurar que ações ou transações não possam ser negadas pelas partes envolvidas.
Terceiros: Parceiros de negócio, prestadores de serviços e fornecedores;
Vulnerabilidade: Fragilidade ou falha em um sistema, software ou processo que pode ser explorada por uma ameaça para causar danos ou obter acesso não autorizado. As vulnerabilidades podem resultar de falhas de design, implementação ou configuração inadequada;
Vírus: Tipo de malware que infecta outros arquivos, alterando seu conteúdo, de forma que eles passem a ter códigos maliciosos.
Worm: Ao invés de infectar outros arquivos, este tipo de malware procura se espalhar para outros dispositivos, como por exemplo através de e-mail e mensagens via app de mensagens.
5. ABRANGÊNCIA
Estão obrigados a observar, cumprir e fazer cumprir os termos e condições desta política e demais regulamentos correlatos, os colaboradores do Banco em qualquer nível hierárquico, os Parceiros Comerciais, Fornecedores e Prestadores de Serviços contratados, nas suas esferas de competência, zelando pela materialização, realização eficaz das regras e princípios da segurança e proteção da informação, no compromisso com os critérios legais e éticos que envolvam o Banco, aplicando-se as mesmas orientações para terceiros.
6. DETALHAMENTO
6.1. Princípios
6.1.1. Princípios | Gerais
Ética e Legalidade: Atuar em conformidade com a legislação e regulação vigentes, com padrões de ética e conduta.
Transparência: Garantir a lisura do negócio para fortalecer os laços entre as partes interessadas, garantindo que haja boas relações e engajamento.
Melhoria Contínua: Compromisso de aperfeiçoar os padrões de ética e conduta, aplicação de medidas corretivas, adequados níveis de segurança, qualidade dos produtos ofertados e eficiência dos serviços.
6.1.2. Princípios | Segurança da informação
Confidencialidade: Garantir que o acesso às informações seja restrito apenas às pessoas autorizadas, prevenindo o uso indevido de dados sensíveis;
Integridade: Assegurar que as informações não sejam alteradas indevidamente, mantendo sua exatidão e confiabilidade, de modo a evitar a modificação não autorizada de dados;
Disponibilidade: Garantir que as informações e sistemas estejam acessíveis e operacionais sempre que necessário, permitindo que os processos de negócio funcionem sem interrupções;
Autenticidade: Verificar a identidade das partes envolvidas no processo de acesso e manipulação das informações, assegurando que os dados e sistemas sejam acessados apenas por usuários devidamente autenticados;
Irretratabilidade (Não-repúdio): Assegurar que nenhuma das partes envolvidas em uma transação ou comunicação possa negar a autoria de suas ações ou transações realizadas, garantindo rastreabilidade e responsabilidade.
6.2. Diretrizes
A fim de proteger as informações, o Banco estabelece diretrizes a serem seguidas, visando a implementação de controles de segurança que permeiam seu compromisso e responsabilidade com a segurança da informação por todos os níveis hierárquicos, sendo tais diretrizes as seguintes:
a) As informações do Banco, clientes e usuários, colaboradores e terceiros devem ser tratadas de forma ética, sigilosa e legal, evitando-se mau uso e exposição indevida;
b) Classificar os dados e as informações quanto a sua relevância;
c) O controle e o tratamento da informação de acesso restrito ficam limitados às pessoas que tenham necessidade de conhecê-la;
d) Definir parâmetros a serem utilizados para identificar a relevância dos eventos;
e) Utilizar mecanismos de segurança (Banco e terceiros) atualizados e modernos que acompanham a evolução tecnológica do mercado capazes de prestar suporte e proteção correspondentes ao Banco;
f) Utilizar as informações de forma transparente e apenas para a finalidade para a qual foi coletada;
g) Garantir identificação única a cada colaborador sendo pessoal e intransferível, qualificando-o como responsável pelas ações realizadas;
h) Assegurar que senhas de acesso sejam mantidas secretas e atribuídas a cada colaborador, sendo realizado o aculturamento quanto a proibição de seu compartilhamento;
i) Elaborar cenários de incidentes a serem considerados nos planos de contingência de negócios;
j) Definir procedimentos e controles preventivos e de tratamento dos incidentes a serem adotados por empresas terceiras que manuseiem dados ou informações sensíveis, ou relevantes para as atividades operacionais;
k) Implementar ações de capacitação e avaliação periódica;
l) Manter ações informativas aos clientes e usuários quanto a precauções na utilização de produtos e serviços financeiros;
m) Reportar para a área de Segurança da Informação todos os riscos relacionados às informações do Banco e seus clientes, para que sejam analisados, avaliados e tratados de acordo com a situação.
6.3. Governança
O Banco desde a sua concepção, preza pela relevância dos ativos de informação no mercado financeiro, de modo que as informações produzidas ou recebidas devem ser utilizadas com senso de responsabilidade, de modo ético e seguro em benefício exclusivo dos negócios corporativos.
Desse modo, para exercer de forma aprimorada a atividade bancária, o banco se baseia em princípios primordiais de segurança da informação, a fim de preservar, monitorar e tratar a propriedade da informação de maneira eficiente, observando sua confidencialidade, integridade e disponibilidade.
A área de Segurança da Informação deve orientar os processos de levantamento, avaliação e tratamento das vulnerabilidades e das ameaças capazes de deixar os ativos de informação em situação de risco considerada inaceitável pelo Banco Central do Brasil.
Assim, devem ser implementados controles e procedimentos específicos, incluindo aqueles voltados à rastreabilidade da informação, visando prevenir, detectar e reduzir vulnerabilidades técnicas, processuais e jurídicas, minimizando os riscos de incidentes relacionados ao Ambiente Cibernético, de forma a garantir a segurança das informações.
6.4. Abrangência do Conteúdo
O conteúdo desta política deve ser compatível com o porte, o perfil de risco e o modelo de negócio do Banco, a natureza das operações e a complexidade dos produtos, serviços, atividades e processos do Banco, a sensibilidade dos dados e das informações sob sua responsabilidade, observando os princípios e diretrizes definidos pela alta administração para implementação de procedimentos que visem assegurar a confidencialidade, a integridade e a disponibilidade das informações detidas e utilizadas pelo Banco.
6.5. Regras e Procedimentos
6.5.1. Tratamento das Informações
As informações corporativas devem ser classificadas de acordo com seu grau de importância, sigilo e disponibilidade em dados relevantes, dados sensíveis e classificadas por níveis que tratam informações confidenciais, uso interno e pública e deve abranger os serviços de processamento, armazenamento de dados e de computação em nuvens prestados no país ou no exterior, devendo estas serem disponibilizadas somente a pessoas autorizadas, visando a redução/mitigação de riscos como vazamentos e compartilhamentos indevidos.