O objetivo deste Anexo é especificar os requisitos de segurança da informação a cumprir pela FINSOLUTIA S.A., de ora em diante designada como a “Prestadora”.
A Prestadora deverá assegurar, em matéria de segurança da informação, o cumprimento das obrigações legais e das melhores práticas, incluindo as que constam dos referenciais ISO/IEC 27001 e ISO/IEC 27701, para proteção da informação e do hardware e software utilizados para criar, registar, recolher, processar, usar, armazenar, publicar, comunicar, transmitir, transferir, transportar, proteger, recuperar ou eliminar informação.
REQUISITOS
Com a finalidade de assegurar a confidencialidade, integridade e disponibilidade da informação e dos sistemas de informação, no âmbito do licenciamento e utilização da Plataforma Habic, a Prestadora deverá:
Cumprir as obrigações de segurança decorrentes da legislação e regulamentação aplicáveis, designadamente provenientes das entidades reguladoras;
Vincular todos os seus colaboradores afetos ao presente Contrato, independentemente do vínculo que mantenham com a Prestadora, às obrigações de segurança da informação decorrentes do mesmo;
Assegurar a formação dos seus colaboradores nos temas relacionados com segurança da informação;
Indicar ao Cliente, quais os interlocutores e respetivas competências e responsabilidades, por referência à matéria de segurança da informação;
Adotar as melhores práticas internacionais consagradas atualmente na ISO/IEC 27001, nomeadamente requisitos de controlo e de segurança da informação;
Adotar os controlos de segurança necessários, exigíveis e adequados, que garantam o cumprimento das obrigações de confidencialidade, integridade e disponibilidade da informação;
Garantir que trata e manuseia a informação do Cliente de acordo com as seguintes regras:
Não transporta nem armazena informação, sem a autorização prévia do Cliente, designadamente cópias em papel e dispositivos amovíveis;
Não transfere nem armazena informação do Cliente em sistemas não autorizados previamente e que não possuam controlos de acesso restritos, de acordo com os requisitos do Cliente;
Toda a informação posta a circular pela Prestadora, no âmbito do presente Contrato, deverá ser previamente autorizada pelo Cliente, deverá ser cifrada antes de ser enviada e deverá ser protegida através de protocolos criptográficos seguros (ex. TLS, SFTP, SSH, IPSec, SMTP/TLS);
O armazenamento de informação pela Prestadora, no âmbito dos Serviços, deverá ser previamente autorizado pelo Cliente, devendo ser aplicados controlos criptográficos para proteger a confidencialidade e integridade da informação;
Aplicará as medidas técnicas e organizativas adequadas para assegurar um nível de segurança alinhado com o risco, incluindo, se apropriado, a pseudonimização e a cifragem dos dados de forma a garantir a proteção dos Dados Pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados ou qualquer outra forma de tratamento ilícito.
Cumprir os procedimentos básicos na proteção da informação do Cliente, designadamente:
Triturar os documentos antes do seu envio para reciclagem;
Não deixar documentos com informação do Cliente em secretárias, mesas de reuniões ou impressoras (Clean Desk);
Fechar ou bloquear o acesso ao posto de trabalho sempre que alguém se ausentar do mesmo;
Não efetuar cópias de dados e documentos do Cliente para equipamentos e suportes amovíveis.
Reportar diligentemente ao Cliente, qualquer ameaça, incidente ou vulnerabilidade de segurança da informação de que tome conhecimento, e que envolva a informação do Cliente. O reporte deve ser efetuado prontamente, de forma a garantir o cumprimento de obrigações legais, bem como garantir as obrigações de reporte às entidades supervisoras;
Cooperar com o Cliente, disponibilizando os recursos solicitados e garantindo que são criadas todas as condições necessárias para apoiar e responder a auditorias de segurança da informação, de controlo interno e de compliance, realizadas pelo Cliente.
REQUISITOS ESPECÍFICOS PARA ADMINISTRAÇÃO DE SISTEMAS DE INFORMAÇÃO NAS INFRAESTRUTURAS DA PRESTADORA
Com a finalidade de assegurar a confidencialidade, integridade e disponibilidade da informação e dos sistemas de informação, no âmbito da execução do presente Contrato, a Prestadora, na administração de sistemas de informação nas infraestruturas da Prestadora, deverá:
Garantir todas as atualizações e configurações de segurança, imperativas ou recomendadas pelos fornecedores de software e de hardware, nos ativos a serem geridos pela Prestadora;
Garantir e comunicar a correção tempestiva das vulnerabilidades na Plataforma e no hardware, que venham a ser identificadas pelos respetivos fornecedores, aos ativos afetos à Plataforma e/ou aos Serviços;
Operar e administrar os sistemas e todo o software e hardware em conformidade com as especificações de segurança indicadas pelos respetivos fornecedores;
Garantir a segregação de funções dos colaboradores que possam gerar conflitos ao nível da utilização, operação e manutenção dos sistemas no âmbito da execução do presente Contrato, de forma a reduzir oportunidades de acessos não autorizados, alterações não autorizadas ou uso indevido de ativos;
Garantir que nos sistemas, geridos pela Prestadora no âmbito da execução do presente Contrato, estão atribuídos aos colaboradores perfis de acesso restritos, com os acessos mínimos necessários para o desempenho das suas funções;
Garantir que os colaboradores se identificam e autenticam de forma adequada nos sistemas da Prestadora através de credenciais de segurança robustas e estritamente confidenciais;
Garantir que estão instalados e não são desativados ou removidos dos ativos afetos à execução do presente Contrato e geridos pela Prestadora, os mecanismos de deteção, prevenção e controlo de software malicioso (ex.: antivírus e sistema de prevenção de intrusões);
Garantir que são produzidos e mantidos registos de eventos de segurança (log’s para auditing) da atividade nos sistemas geridos pela Prestadora, para efeitos de rastreabilidade e auditorias;
Reportar e tratar prontamente, como incidentes de segurança da informação, todas as situações que envolvam os sistemas geridos pela Prestadora e que possam colocar em causa, direta ou indiretamente, a proteção da informação do Cliente;
Cumprir as regras de codificação segura e as boas práticas no desenvolvimento de código para automatização da execução de tarefas (por exemplo, scripts), designadamente não guardando credenciais após utilização, não criando logs contendo informação confidencial e utilizando métodos de encriptação;
Notificar imediatamente o Cliente dos riscos de segurança expectáveis, associados a qualquer alteração a efetuar aos sistemas, no âmbito da execução do presente Contrato;
Cooperar com o Cliente na identificação de potenciais riscos de segurança da informação e respetivos controlos para mitigação do risco identificado;
Realizar testes de intrusão e de vulnerabilidades aos ativos afetos à execução do presente Contrato e geridos pela Prestadora, de modo a detetar falhas ou insuficiências ao nível da segurança dos sistemas e efetuar a posterior implementação de medidas de controlo para colmatar as falhas identificadas;
