Derek Azambuja Freire
1 Política de Segurança da Informação 29 de janeiro 2014 Define, em nível estratégico, diretivas do Programa de Gestão de Segurança da Informação.
2 ÍNDICE 1 OBJETIVO PÚBLICO ALVO RESPONSABILIDADES DOS ENVOLVIDOS Modelo de Governança Responsabilidades do Conselho de Administração Responsabilidades do Diretor Presidente e dos Diretores Executivos Responsabilidades do Comitê Executivo Responsabilidades das Diretorias de Tecnologia da Informação Responsabilidades da Gerência de Compliance e Segurança da Informação Responsabilidades da Auditoria Interna Responsabilidades de Todos os Colaboradores REGRAS E PRINCÍPIOS NORTEADORES DAS ATIVIDADES Diagrama de interações em segurança da informação Gestão da Segurança Gestão de Ativos Classificação e Controles da Informação Segurança em Recursos Humanos Segurança Física e Ambiental Segurança de Operações e Comunicações Controle de Acesso Aquisição e Desenvolvimento Seguro de Sistemas Compliance Tratamento de não conformidades DOCUMENTOS RELACIONADOS GLOSSÁRIO Informação de uso interno da Cetip S.A. Página 2
3 1 Objetivo O objetivo desta política é definir, em nível estratégico, as diretrizes do Programa de Segurança da Informação da Cetip. O documento expressa o posicionamento da Cetip em relação à proteção das suas informações, objetivando prover orientação e apoio ao tema segurança da informação de acordo com os requisitos do negócio, leis e regulamentações vigentes. A informação, seus processos e sistemas de suporte estão entre os principais ativos da Cetip, devendo ser tratados e geridos como recursos valiosos, para que a empresa mantenha a imagem de integridade e seriedade perante o mercado. 2 Público Alvo A presente política tem como público alvo todos os colaboradores da Cetip, incluindo o Diretor Presidente e a Diretoria Executiva. Além disso, esta política e suas respectivas diretrizes devem ser aplicadas a todos os prestadores de serviço e/ ou partes interessadas que tenham envolvimento com os processos de negócio da empresa. 3 Responsabilidades dos Envolvidos 3.1 Modelo de Governança O objetivo deste modelo de governança é determinar quem toma as decisões e quem exerce a responsabilidade no Programa de Gestão de Segurança da Informação. Os procedimentos e controles estabelecidos garantirão a transparência dos resultados à diretoria executiva, ao Diretor Presidente, aos participantes, reguladores e investidores, mostrando o comprometimento da empresa com seu papel no mercado financeiro e na sociedade. No âmbito do Programa de Gestão de Segurança da Informação da Cetip, podemos de forma sumarizada representar graficamente o seu modelo de governança através da figura apresentada a seguir: Informação de uso interno da Cetip S.A. Página 3
4 Conselho de Administração Diretoria Presidência Diretoria Executiva da Unidade de Financiamentos e Novos Negócios Diretoria Executiva de Tecnologia e Operações Diretoria Executiva de Tecnologia Gerência Sr. de Tecnologia e Serviços Gerência de Compliance e Segurança da Informação Gerência de Processo e Informação Gerência de Segurança e Telecomunicações Gerência de Qualidade, Segurança e Produção 3.2 Responsabilidades do Conselho de Administração Aprovar a Política de Segurança da Informação e apoiar sua aplicação; 3.3 Responsabilidades do Diretor Presidente e dos Diretores Executivos O Diretor Presidente e os Diretores Executivos são responsáveis por assegurar, de forma integral, o estabelecimento da presente política, sua divulgação e comprovação do uso pelos colaboradores e partes externas comercialmente relacionadas à Cetip. Dentre suas atividades, destacam-se: Informação de uso interno da Cetip S.A. Página 4
5 Promover a Segurança Organizacional; Desenvolver e monitorar os processos; Gerenciar riscos; Promover e aperfeiçoar o modelo de governança; Aprovar a política de segurança; e Avaliar planos de segurança e seu alinhamento com o negócio. 3.4 Responsabilidades do Comitê Executivo O Comitê Executivo deve definir e aprovar estratégias de segurança e os mecanismos de implantação e métricas de avaliação desta política, proporcionando sua melhoria contínua. Dentre suas atividades, destacam-se: Aprovar as normas de segurança, designar os papéis na gestão de segurança, bem como assegurar a implantação do Programa de Gestão de Segurança da Informação. Aprovar o Plano Estratégico de Segurança da Informação que dão suporte às estratégias do negócio; Aprovar a proposta da política de segurança antes de submetê-la ao Conselho de Administração; Aprovar o programa de gestão de segurança da informação; Aprovar as iniciativas internas para aperfeiçoar a segurança da informação; Acompanhar os incidentes de segurança críticos ocorridos ou as tentativas; Monitorar as mudanças significativas na exposição de ativos às suas principais ameaças; Promover a gestão de riscos. 3.5 Responsabilidades das Diretorias de Tecnologia da Informação As principais responsabilidades da Diretoria Executiva de Tecnologia em segurança da informação são: Definir e implantar controles e tecnologias objetivando prover segurança adequada para Infraestrutura, Redes e Comunicações; Definir e implantar controles e tecnologias objetivando prover segurança adequada para aplicações, incluindo mas não se limitando ao controle de acesso lógico; Estabelecer a segurança física para o ambiente de Data Center; Revisar, monitorar e responder imediatamente aos incidentes de segurança da informação relacionados à TI; Reportar os incidentes de tecnologia da informação e/ou incidentes de segurança da informação críticos, incluindo tentativas de ataques à infraestrutura e sistemas aplicativos para a Gerência Executiva de Auditoria e Compliance e ao Comitê Executivo; Promover segurança no Ciclo de Vida de Sistemas e de informações; Identificar e gerenciar vulnerabilidades de infraestrutura e nos sistemas de informação; Informação de uso interno da Cetip S.A. Página 5
6 Avaliar a segurança no ambiente de TI através de análises de vulnerabilidade ou testes de intrusão independentes, realizados periodicamente incluindo o estabelecimento de planos de ação corretivos; Auxiliar a implantação de definições estabelecidas pelo Comitê Executivo; 3.6 Responsabilidades da Gerência de Compliance e Segurança da Informação Coordenar a implantação e manutenção do programa de gestão de segurança da informação e promover a segurança na prática. Dentre as atividades do gestor de segurança, incluem-se: Propor as estratégias de Segurança da Informação; Propor os mecanismos de métricas de avaliação dessa política e normas associadas; Elaborar e implantar políticas e normas de segurança da informação; Reportar os status dos planos de ação, medidas, tecnologias e processos que objetivem corrigir vulnerabilidades associadas à segurança da informação na infraestrutura e/ou sistema aplicativos críticos de negócio; Estabelecer as diretrizes da segurança física corporativa; Identificar requerimentos de segurança junto com os gestores das áreas; Revisar, acompanhar e reportar incidentes críticos de TI e/ou de segurança da informação; Identificar vulnerabilidades de processos e relacionadas à gestão de riscos de segurança da informação e ativos Implantar e monitorar métricas para avaliar a segurança da informação corporativa; Manter e garantir o treinamento e conscientização dos colaboradores quanto ao tema segurança da informação; Subsidiar e promover reuniões periódicas com as Equipes de Segurança em TI; Promover e implantar teste de conformidade para verificar a aderência normativa e legal. 3.7 Responsabilidades da Auditoria Interna A Auditoria Interna deve avaliar em suas auditorias periódicas a aderência da empresa à política, bem como reportar os eventuais descumprimentos ao Diretor Presidente e assegurar que ações corretivas sejam definidas, assim como os responsáveis pela sua execução. 3.8 Responsabilidades de Todos os Colaboradores As principais responsabilidades de todos os colaboradores são: Cumprir esta política, seu conjunto de documentos derivados e relatar qualquer comportamento que seja contrário às políticas estabelecidas ao Diretor Executivo de Tecnologia e à Gerência Executiva de Auditoria e Compliance. Administrar de forma adequada, a segurança das informações custodiadas e/ou pertencentes à Cetip. Informação de uso interno da Cetip S.A. Página 6
7 Conhecer o tema de segurança da informação, objetivando inibir ou coibir ações de natureza fraudulenta ou ser vítima destes. 4 Regras e princípios norteadores das atividades 4.1 Diagrama de interações em segurança da informação 4.2 Gestão da Segurança A Gerência de Compliance e Segurança da Informação é a estrutura interna responsável por coordenar e validar a implantação do Programa de Gestão de Segurança da Informação da Cetip, bem como realizar atividades de conscientização e qualificação profissional em temas de segurança, estimulando abordagens multidisciplinares e sustentáveis. Os níveis de segurança estabelecidos não deverão ser reduzidos pela introdução de serviços ou produtos de terceiros e, todo acesso às informações corporativas deverá ser controlado e monitorado. As decisões devem ser baseadas na gestão dos riscos, avaliando as implicações de segurança e os controles a serem adotados. As avaliações de riscos devem identificar, quantificar e priorizar os riscos contra os objetivos do negócio, bem como definir medidas para tratá-los através de mitigação, aceitação e/ou transferência dos riscos. Informação de uso interno da Cetip S.A. Página 7
8 A política de segurança deverá ser implantada com o auxílio de documentos subordinados: normas e procedimentos. 4.3 Gestão de Ativos Todos os Ativos da Cetip, independentemente de sua natureza, devem ser categorizados, inventariados e gerenciados durante todo o ciclo de vida até seu descarte, que deve ser feito de modo a preservar a confidencialidade as informações de negócios da Cetip e minimizando possíveis impactos ambientais. 4.4 Classificação e Controles da Informação As informações, que compõe processos de negócios e sistemas associados deverão ser classificadas utilizando-se de critérios para aferir sua quanto a sua importância, criticidade e que possibilitem atribuir os níveis adequados de confidencialidade, integridade e disponibilidade. As expectativas de proteção devem ser definidas com base no resultado dessa classificação, quanto maior a importância, criticidade confidencialidade, integridade e disponibilidade, maiores serão os requerimentos de proteção. Informações críticas devem ser identificadas, registradas e armazenadas com o objetivo de possibilitar auditoria auditabilidade e análise dos dados. Documentos resultantes que sejam criados, enviados, recebidos ou armazenados em sistemas da informação alugados, administrados, sob custódia ou de propriedade da Cetip S.A. são, a priori, considerados propriedade da empresa. Tais documentos não poderão ser utilizados de forma particular ou pessoal e toda informação estará sujeita a monitoração, sem a necessidade de aviso prévio aos usuários. 4.5 Segurança em Recursos Humanos Funcionários e demais colaboradores devem entender e cumprir suas responsabilidades para a manutenção da segurança da informação, contribuindo para a redução de risco, roubo, fraude, ou uso indevido de recursos. Todos devem estar cientes, de maneira formal, dessas responsabilidades. Devem participar das atividades de conscientização e qualificação profissional em temas de segurança. Deve garantir que todos os colaboradores (funcionários e terceiros) assinem o Termo de Confidencialidade e Segurança da Informação. Devem ser adotadas medidas adequadas para a contratação e o desligamento de colaboradores, reduzindo riscos sobre as informações corporativas e seus sistemas de suporte. Informação de uso interno da Cetip S.A. Página 8
9 4.6 Segurança Física e Ambiental Devem ser estabelecidos controles físicos para prevenir o acesso não autorizado aos ambientes da empresa, sendo utilizados locais adequados para o armazenamento e manipulação de informações. Os ativos devem ser protegidos de forma a prevenir seu dano, perda, roubo ou a interrupção das atividades da empresa. 4.7 Segurança de Operações e Comunicações Devem ser estabelecidos controles para proteger e garantir o correto funcionamento das operações de manipulação e processamento das informações. Devem ser estabelecidas medidas para a prevenção e resposta aos incidentes operacionais críticos e de segurança, além de procedimentos formais de registro, reporte e escalação dos incidentes operacionais críticos e de segurança. Deve ser aplicado o mesmo nível de confidencialidade, integridade e disponibilidade em todas as etapas do ciclo de vida de uma informação, podendo ser aplicados controles de monitoramento, minimização de falhas, redundância, cópias de segurança, contra o uso indevido, dentre outros. As redes de comunicações devem contar com a estrutura adequada de proteção, de modo a prevenir o vazamento, a modificação, remoção ou destruição de ativos e a interrupção das atividades do negócio. As mídias devem ser protegidas de forma física e lógica, e seu descarte deve garantir que informações sensíveis ou confidenciais estejam devidamente protegidas. Devem ser realizados análise e/ou testes periódicos independentes, que objetivem a identificação de eventuais vulnerabilidades técnicas ou processuais que por ventura venham a apresentar risco às informações e sistemas críticos de negócios da Cetip. 4.8 Controle de Acesso O acesso às informações e seus sistemas de suporte deve ser controlado de acordo com sua classificação, sendo necessários controles contra o acesso não autorizado, roubo, alteração indevida ou vazamento dessas. Devem ser adotados mecanismos formais para conceder tais acessos aos usuários. Informações críticas e/ou confidenciais devem possuir controle de acesso adequado. Atividades externas, incluindo trabalho remoto, devem contar com medidas que mantenham as informações com o mesmo nível de proteção em todos os momentos de sua utilização. Informação de uso interno da Cetip S.A. Página 9
10 4.9 Aquisição e Desenvolvimento Seguro de Sistemas Sistemas da informação desenvolvidos ou adquiridos devem contar com atributos e funcionalidades de segurança que protejam adequadamente as informações. Os requerimentos devem ser identificados e documentados na fase de concepção do sistema, para assegurar que as demandas de segurança sejam atendidas. Devem haver controles que previnam erros de operação, perda, ou vazamento de informações. Todo sistema deve ser documentado, tornando sua implantação e operação independente de conhecimentos informais. Devem ser estabelecidos controles criptográficos para proteger a confidencialidade, autenticidade ou integridade das informações. Faz-se necessária a documentação do uso de chaves, quando necessário. Sistemas devem ser protegidos contra alteração indevida, evitando a exposição de dados sensíveis. Devem ser estabelecidos controles para monitorar e corrigir as vulnerabilidades e falhas desses Compliance Na análise e na elaboração de contratos, sempre que necessário, devem ser inseridas cláusulas específicas relacionadas à segurança da informação, como proteção dos nossos interesses. Devem ser observadas as definições corporativas, obrigações contratuais, leis e normas, para estabelecer controles que as atendam na utilização das informações. Devem ser estabelecidos e aplicados testes de conformidade para assegurar a aderência com os preceitos legais e regulatórios, e às práticas de segurança da informação Tratamento de não conformidades A violação dos termos desta política ou de seus documentos subordinados estará sujeita a ações disciplinares, que podem incluir, por exemplo, a suspensão ou a interrupção da relação entre a Cetip e as partes envolvidas. Exceções a esta política deverão ser registradas de maneira formal e avaliadas pelo Comitê Executivo. 5 Documentos Relacionados ISO Capítulo Proteção das informações dos registros (Log) ISO Capítulo Registros (Log) de administrador e operador Política de Risco Operacional e Compliance Política de Continuidade de Negócios Informação de uso interno da Cetip S.A. Página 10
11 Norma de Risco Operacional e Compliance Norma de Classificação de Informações Norma de Controles da Informação Norma de Controle de Acesso Lógico Norma de Controle de Acesso Físico Norma de Backup Norma de Gestão de Ativos Norma de Trilhas de Auditoria Norma de Aspectos de Segurança em Contratos Norma de Requisitos de Segurança no Desenvolvimento e Aquisição de Sistemas Norma de Gestão de Incidentes de Segurança Norma de Segurança em Operações e Telecomunicações Norma de Fornecimento de Informações para Terceiros 6 Glossário Ciclo de vida da informação: conjunto de fases (em ordem cronológica: Geração, Manuseio, Armazenamento, Transporte e Descarte) as quais uma informação é submetida. Ativo: todo e qualquer bem tangível ou intangível pertencente, custodiado, administrado ou de responsabilidade da Cetip. Confidencialidade: controle que garante o acesso à informação seja obtido somente por pessoas autorizadas. Integridade: salvaguarda da exatidão e da completeza da informação. Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes, quando necessário. Ativos: Qualquer coisa que tenha valor para a organização. Podem ser divididos em Ativos Físicos, Ativos de Tecnologia da Informação, Ativos Físicos de Informação e Ativos Lógicos de Informação. Ativos Físicos: São Ativos fisicamente tangíveis, não relacionados à Tecnologia da Informação como mesas, cadeiras, armários e etc. Ativos de Tecnologia da Informação: São Ativos Físicos de processamento de dados, infraestrutura, telecomunicações e mobilidade como Servidores, Computadores, Roteadores, Notebooks, Smartphones, Tablets e etc. Informação de uso interno da Cetip S.A. Página 11
12 Ativos Lógicos de Informação: São informações digitais como arquivos de dados, bancos de dados, tabelas de bancos de dados e sistemas desenvolvidos internamente ou adquiridos como pacotes de software. Ativos Físicos de Informação: São Ativos fisicamente tangíveis de informações como relatórios em papel, memorandos, cartas, documentos originais ou cópias impressas. Não são objeto da presente norma, sendo abordados nas Normas de Classificação e de Controles da Informação. Sistemas críticos: Sistemas que fazem parte dos negócios da Cetip e que por sua vez suportam as operações de negócio, a rede corporativa e Sistemas considerados não críticos ao negócio, mas que contenham informações confidenciais ou confidenciais restritas. Transações críticas: transações que em caso de mau uso podem causar dano, fraude, prejuízo financeiro ou de imagem à Cetip, ou transações pertencentes a Sistemas críticos. Incidentes críticos de TI: Ocorrências ou incidentes no ambiente de tecnologia e sistemas críticos de negócios que: a) Obriguem o acionamento do site ou de planos de contingência ou recuperação de desastres; b) Impliquem em descumprimento regulatório ou legal; c) Gerem impacto negativo nas janelas de liquidação (necessidade de extensão da grade ou que impeçam alguma liquidação); d) Gerem indisponibilidade total ou parcial de sistemas para Participantes, clientes ou áreas de Operações; e) Realizem perda ou risco de perda financeira para a Cetip. Gerência de Compliance e Segurança da Informação Informação de uso interno da Cetip S.A. Página 12
Política de Segurança da Informação 14 de fevereiro 2017 Define as diretrizes e regras de Segurança da Informação da Cetip. Versão da Política: Data de criação: Próxima atualização: Área Responsável: 2ª