Autor/es: Margarita Gluszek

Validado por: Comitê de Segurança e Privacidade

Aprovado por: Órgão de Administração

Projeto: Sistema de Gestão Integrado (SGI)

Classificação: Pública

Política de Proteção de Dados Pessoais e Segurança da Informação – Versão 7.0 – Classificação: Pública

A presente Política estabelece as diretrizes e linhas de atuação em matéria de Segurança da Informação que regem o modo como a NWorld gerencia e protege suas informações e seus serviços, bem como a comunicação com seus clientes e outros grupos de interesse.

1. Missão e Compromisso da Direção

A segurança da informação faz parte do DNA da NWorld, sendo esta sua atividade de serviços principal, devendo, portanto, fazer parte de todas as atividades que se desenvolvam tanto em nível interno como, muito especialmente, naquelas operações que façam parte do serviço ao cliente, considerando que a informação é o ativo mais crítico da companhia.

O objetivo principal da NWorld é proteger os ativos de informação e os serviços, garantindo a Confidencialidade, Integridade, Disponibilidade, Autenticidade e Rastreabilidade da informação gerenciada. Este compromisso se materializa através da implantação e manutenção de um Sistema de Gestão da Segurança da Informação que cumpre os requisitos do Esquema Nacional de Segurança (ENS) (Real Decreto 311/2022) e as normas ISO/IEC 27001, ISO/IEC 27017 (Segurança em serviços Cloud) e ISO/IEC 27018 (Proteção de PII em Cloud pública)

2. Marco Regulatório e Legal Aplicável

A Organização se compromete ao cumprimento estrito do seguinte marco legal e normativo, entre outros:

Esquema Nacional de Segurança (ENS): Real Decreto 311/2022, de 3 de maio. Adotam-se os princípios básicos do Capítulo II e os requisitos mínimos de segurança.

• • • Proteção de Dados Pessoais: Regulamento (UE) 2016/679 (RGPD) e a Lei Orgânica 3/2018 (LOPDGDD)
    • Regime Jurídico e Procedimento Administrativo: Lei 39/2015 e Lei 40/2015, no que diz respeito ao uso de meios eletrônicos nas relações com as Administrações Públicas.
    • Serviços Eletrônicos de Confiança: Regulamento (UE) n.º 910/2014 (Regulamento eIDAS) e Lei 6/2020.
    • Propriedade Intelectual: Lei de Propriedade Intelectual, garantindo o uso legal do software e do licenciamento.

3. Princípios Fundamentais

Com o propósito de propiciar e manter as propriedades descritas, a NWorld realiza suas atividades e estimula seus negócios mediante os seguintes princípios fundamentais:

• • • Compromisso com o cumprimento dos requisitos do marco legal e regulatório no qual se desenvolverão suas atividades, bem como as indicações de segurança da informação que o INCIBE e o CCN recomendam.
    • Estabelecer os papéis ou funções de segurança, definindo para cada um os deveres e responsabilidades do cargo, bem como o procedimento para sua designação e renovação.
    • Priorizar a governança da gestão do risco e a segurança da informação como elemento fundamental para a continuidade dos serviços, estabelecendo a estrutura do comitê ou dos comitês para a gestão e coordenação da segurança, detalhando seu âmbito de responsabilidade, as pessoas integrantes e a relação com outros elementos da organização.
    • Proteger o ativo da informação frente a ameaças de acordo com os critérios internos de aceitação do risco, conforme as diretrizes para a estruturação da documentação de segurança do sistema, sua gestão e acesso.
    • Aplicar o conceito de melhoria contínua, envolvendo toda a organização, seus aliados e os grupos de interesse, para a consecução dos objetivos.

4. Objetivos

• • • Tratar os dados pessoais com licitude, lealdade e transparência, perseguindo a limitação da finalidade, minimização de dados, exatidão, integridade, confidencialidade, limitação do prazo de conservação e responsabilidade proativa.
    • Tratar e custodiar a informação própria e a dos clientes preservando sua confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade em todos os momentos de seu processo.
    • Adaptar seus sistemas a ambientes em transformação, gerenciando os novos riscos, adequando as capacidades da infraestrutura e fomentando o trabalho em equipe e sua coesão dentro da organização.

5. Compromisso e Liderança

Todas as pessoas que integram a NWorld compreendem e são responsáveis por cumprir estes princípios, bem como todas as sistemáticas de segurança da informação aprovadas que os desenvolvem.

O Órgão de Administração da NWorld se compromete a facilitar e proporcionar os recursos necessários para o estabelecimento, implantação, manutenção e melhoria do SGSI/ENS da entidade, assim como a demonstrar liderança e compromisso respeito a este, mediante a constituição do Comitê de Segurança da Informação, que terá a responsabilidade de:

• • • Assegurar o estabelecimento da presente política e dos objetivos de segurança da informação, compatíveis com a estratégia da NWorld.
    • Assegurar a integração e o cumprimento dos requisitos aplicáveis do SGSI/ENS nos serviços e processos da entidade.
    • Assegurar que os recursos necessários para o SGSI/ENS estejam disponíveis.
    • Comunicar a importância de uma gestão da segurança eficaz e conforme aos requisitos do SGSI/ENS.
    • Assegurar que o SGSI/ENS consegue os resultados previstos.
    • Dirigir e apoiar as pessoas para contribuir à eficácia do SGSI/ENS.
    • Promover a melhoria contínua.
    • Apoiar outros papéis pertinentes do Órgão de Administração, liderando suas áreas de responsabilidade em segurança da informação; o detalhe de funções se descreve na ata de constituição.

6. Funções e responsabilidades de segurança da informação

O Comitê de Segurança e Privacidade da Informação procederá a revisar e a propor a aprovação desta Política ao Órgão de Administração da NWorld e será o Responsável da Informação e dos Serviços.

Além disso, o Comitê de Segurança e Privacidade da Informação centralizará os mecanismos de coordenação e resolução de conflitos entre os responsáveis que se indicam a seguir, que serão tratados mediante debate durante as reuniões dos membros de dito comitê e que serão moderados pela Direção Geral:

• • • O Comitê de Segurança e Privacidade da Informação, em representação do Órgão de Administração da NWorld, será o órgão encarregado de aprovar a política e será o responsável pela autorização de suas modificações, bem como de toda a informação documentada do SGSI/ENS da entidade.
    • O Responsável de Segurança da Informação será o encarregado de notificar a presente política ao pessoal da entidade e das mudanças que nela se produzam, bem como de coordenar as ações de implantação, manutenção e melhoria do SGSI/ENS da entidade (incluindo a assinatura da Declaração de Aplicabilidade que formaliza a relação de medidas de segurança aplicáveis derivadas da Análise de Riscos), e de suas auditorias, junto com o Administrador do Sistema que se encarregará de gerenciar os requisitos técnicos de segurança dos sistemas de informação.
    • O Responsável do Sistema é a figura designada com a máxima responsabilidade sobre a operação e a segurança dos sistemas de informação da NWorld, atuando como garante do cumprimento técnico das medidas do Esquema Nacional de Segurança (ENS). Assegura a correta implementação e manutenção da configuração segura dos sistemas e a aplicação efetiva dos controles de continuidade e recuperação, tal como se definem no Plano de Continuidade da NWorld. Além disso, se encarrega de autorizar as mudanças técnicas que possam impactar a segurança, mantendo atualizada a documentação e colaborando estreitamente com o Responsável de Segurança da Informação (RSI) na gestão de incidentes.
    • O Responsável de cada informação e/ou serviço afetado pela análise e gestão de riscos se indicará no Mapa de Riscos do SGSI/ENS da NWorld que recogerá os critérios que determinarão o nível de segurança requerido, dentro do marco estabelecido no artigo 40 e os critérios gerais prescritos no Anexo I do Real Decreto do ENS.
    • O Delegado de Proteção de Dados Pessoais será o encarregado de garantir que os dados pessoais se tratam e se protegem conforme ao Regulamento Geral de Proteção de Dados (RGPD UE 2016/679), por o que trabalhará em coordenação com o Responsável de Segurança da Informação e com o Responsável de TI.
    • Todo o pessoal da organização, tanto interno quanto externo, será responsável por cumprir com a presente Política de Proteção de Dados Pessoais e Segurança da Informação dentro de sua área de trabalho, bem como de aplicar toda a informação documentada dos controles e medidas de segurança do SGSI/ENS da NWorld em suas atividades laborais que afetam seu desempenho em segurança da informação.

7. Uso e classificação da informação

Se comunicará a informação documentada dos controles de segurança ao pessoal que trabalha na entidade (pessoal interno e externo) que terá a obrigação de aplicá-la na realização de suas atividades laborais.

A informação documentada será classificada em: pública, interna, restrita e confidencial, dando o uso apropriado de acordo com dita classificação e segundo o critério que se estabeleça no Procedimento de Classificação e Etiquetagem da Informação.

8. Auditorias do sistema

Se realizarão auditorias que revizem e verifiquem o cumprimento do SGSI/ENS da NWorld com os requisitos da Norma ISO/IEC 27001 para o SGSI e com o Real Decreto 311/2022, que regula o Esquema Nacional de Segurança, por o que o pessoal afetado pelo alcance de ditas auditorias deverá ser colaborativo para a eficácia das mesmas, assim como na aplicação das ações corretivas que se derivem para a melhoria contínua.

9. Revisão da Política de Proteção de Dados Pessoais e Segurança da Informação

A presente Política de Proteção de Dados Pessoais e Segurança da Informação será examinada nas revisões do sistema pelo Órgão de Administração, através do Comitê de Segurança e Privacidade da Informação, sempre que se produzam mudanças significativas, como mínimo, uma vez ao ano.

10. Aprovação, Difusão e Aplicação da Política de Proteção de Dados Pessoais e Segurança da Informação

A presente Política de Proteção de Dados Pessoais e Segurança da Informação será aprovada pelo Órgão de Administração da NWorld mediante assinatura e difundida aos grupos de interesse da NWorld.

Igualmente, o Órgão de Administração da NWorld dotará dos recursos necessários para a aplicação efetiva desta política, e para seu bom desenvolvimento, tanto nas atividades de implantação como em seu posterior manutenção e melhoria de todo o SGSI/ENS da entidade.