Eric Maranhão Canejo
1 Segurança da Informação BM&FBOVESPA Última revisão: maio de 2014 Uso interno
2 Índice 1. OBJETIVO ABRANGÊNCIA CONCEITOS ESTRUTURA NORMATIVA DIRETRIZES RESPONSABILIDADES AÇÕES EM CASOS DE NÃO CONFORMIDADE DEFINIÇÕES DOCUMENTOS DE REFERÊNCIA INFORMAÇÕES DE CONTROLE... 7 Página 2
3 1. OBJETIVO Estabelecer os conceitos e diretrizes de segurança da informação, visando proteger as informações da organização, dos clientes e do público em geral. 2. ABRANGÊNCIA Esta Política aplica-se a todos os funcionários, estagiários, prestadores de serviços e das demais controladas da BM&FBOVESPA (Grupo BM&FBOVESPA, empresas do Grupo ou Grupo). 3. CONCEITOS A segurança da informação é aqui caracterizada pela preservação dos seguintes conceitos: Confidencialidade: Garante que a informação seja acessível somente pelas pessoas autorizadas, pelo período necessário; Disponibilidade: Garante que a informação esteja disponível para as pessoas autorizadas sempre que se fizer necessária; Integridade: Garante que a informação esteja completa e íntegra e que não tenha sido modificada ou destruída de maneira não autorizada ou acidental durante o seu ciclo de vida. 4. ESTRUTURA NORMATIVA A estrutura normativa da da BM&FBOVESPA é composta por um conjunto de documentos, relacionados a seguir. Política: define a estrutura, as diretrizes e os papéis referentes à segurança da informação; Normas: estabelecem regras, definidas de acordo com as diretrizes da Política, a serem seguidas em diversas situações em que a informação é tratada; Procedimentos: instrumentam as regras dispostas nas Normas, permitindo a direta aplicação nas atividades da BM&FBOVESPA. Página 3
4 5. DIRETRIZES A seguir, são apresentadas as diretrizes da Política de da BM&FBOVESPA. Tais diretrizes devem nortear a elaboração das Normas e dos Procedimentos. I. ASPECTOS GERAIS As informações (em formato físico ou lógico) e os ambientes tecnológicos utilizados pelos usuários são de exclusiva propriedade da BM&FBOVESPA, não podendo ser interpretados como de uso pessoal; Todos os funcionários, estagiários e prestadores de serviços devem ter ciência de que o uso das informações e dos sistemas de informação pode ser monitorado, e que os registros assim obtidos poderão ser utilizados para detecção de violações da Política e das Normas de, podendo estas servir de evidência para a aplicação de medidas disciplinares, processos administrativos e/ou legais; Todo processo, sempre que possível, durante seu ciclo de vida, deve garantir a segregação de funções, por meio da participação de mais de uma pessoa ou equipe. II. TRATAMENTO DA INFORMAÇÃO Para assegurar a proteção adequada às informações, deve existir um método de classificação da informação de acordo com o grau de confidencialidade e criticidade para o negócio da BM&FBOVESPA; As informações devem ser atribuídas a um proprietário, formalmente designado como responsável pela autorização de acesso às informações sob a sua responsabilidade; Todas as informações devem estar adequadamente protegidas em observância às diretrizes de segurança da informação da BM&FBOVESPA em todo o seu ciclo de vida, que compreende: geração, manuseio, armazenamento, transporte e descarte; A informação deve ser utilizada de forma transparente e apenas para a finalidade para a qual foi coletada. III. GESTÃO DE ACESSOS E IDENTIDADES O acesso às informações e aos ambientes tecnológicos da BM&FBOVESPA deve ser controlado de acordo com sua classificação, de forma a garantir acesso apenas às pessoas autorizadas, mediante aprovação formal; Os acessos aos funcionários, estagiários e prestadores de serviços devem ser solicitados e aprovados somente às informações necessárias ao desempenho de suas atividades. IV. GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO Em casos de violação desta Política e Normas de, o Comitê Gestor de (CGSI) realizará deliberações somente nos incidentes classificados com alta criticidade. Os demais casos serão tratados pelo fluxo normal de resposta a incidentes. Após deliberações, o CGSI recomendará ao Diretor Executivo uma ação disciplinar a ser tomada. Página 4
5 V. PARTES EXTERNAS Os contratos entre a BM&FBOVESPA e empresas prestadoras de serviços com acesso às informações, aos sistemas e/ou ao ambiente tecnológico da BM&FBOVESPA devem conter cláusulas que garantam a confidencialidade entre as partes e que assegurem minimamente que os profissionais sob sua responsabilidade cumpram a Política e as Normas de. 6. RESPONSABILIDADES De forma geral, cabe a todos os funcionários, estagiários e prestadores de serviços: Cumprir fielmente a Política, as Normas e os Procedimentos de da BM&FBOVESPA; Proteger as informações contra acessos, modificação, destruição ou divulgação não autorizados pela BM&FBOVESPA; Assegurar que os recursos tecnológicos, as informações e sistemas a sua disposição sejam utilizados apenas para as finalidades aprovadas pela BM&FBOVESPA; Cumprir as leis e as normas que regulamentam a propriedade intelectual; Não discutir assuntos confidenciais de trabalho em ambientes públicos ou em áreas expostas (aviões, transporte, restaurantes, encontros sociais etc.) incluindo a emissão de comentários e opiniões em blogs e redes sociais; Não compartilhar informações confidenciais de qualquer tipo; Comunicar imediatamente à área de Gestão de qualquer descumprimento ou violação desta Política e/ou de suas Normas e Procedimentos. I. ÁREA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO Cabe à área de Gestão de : Prover todas as informações de gestão de solicitadas pelo CGSI ou pela Diretoria Executiva; Prover ampla divulgação da Política e das Normas de para todos os funcionários, estagiários e prestadores de serviços; Promover ações de conscientização sobre para os funcionários, estagiários e prestadores de serviços; Propor projetos e iniciativas relacionados ao aperfeiçoamento da segurança da informação da BM&FBOVESPA; Estabelecer procedimentos relacionados à instrumentação da segurança da informação da BM&FBOVESPA. Página 5
6 7. AÇÕES EM CASOS DE NÃO CONFORMIDADE As regras que estabelecem o controle e o tratamento de situações de não conformidade relativas à Política e às Normas de da BM&FBOVESPA devem ser tratadas conforme a Política de Gestão de Riscos Corporativos vigente. Na ocorrência de violação desta Política ou das Normas de, a Diretoria Executiva poderá adotar, com o apoio das Diretorias Jurídica e de Recursos Humanos, sanções administrativas e/ou legais, que poderão culminar com o desligamento e eventuais processos criminais, se aplicáveis. 8. DEFINIÇÕES Ativos de Informação: conjunto de informações, armazenado de modo que possa ser identificado e reconhecido como valioso para a empresa. Informação: resultado do processamento e organização de dados (eletrônicos ou físicos) ou registros de um sistema. É composta por dados, mas um conjunto de dados não necessariamente é considerado uma informação. Sistemas de informação: de maneira geral, são sistemas computacionais utilizados pela empresa para suportar suas operações. Segregação de funções: consiste na separação entre as funções de autorização, aprovação de operações, execução, controle e contabilização, de tal maneira que nenhum funcionário, estagiário ou prestador de serviço detenha poderes e atribuições em desacordo com este princípio. Comitê Gestor de : grupo multidisciplinar composto por membros das diretorias executivas da BM&FBOVESPA com o objetivo de avaliar a estratégia e diretrizes de segurança da informação seguidas pela empresa. 9. DOCUMENTOS DE REFERÊNCIA Código de Conduta da BM&FBOVESPA. Política de Gestão de Riscos Corporativos. Série ISO Página 6
7 10. INFORMAÇÕES DE CONTROLE Vigência: 01 ano Versão: 4 Responsáveis pelo documento: Responsável Nome Área Elaboração Revisão Cristiano Adjuto e Campos e Simone Sunaga Ricardo Redenschi e Eduardo Lopes Farias Gerência de Segurança da Informação Diretoria de Projetos e Governança de TI; Diretoria de Controles Internos, Compliance e Risco Corporativo Aprovação Não aplicável Reunião da Diretoria Executiva (RDE); Comitê Gestor de Segurança da Informação Registro de alterações: Versão Data Modificação 1 16/02/2009 Versão inicial /08/2009 Primeira revisão da Política /12/ /03/ /05/ /05/2014 Inclusão da abrangência da Política, atualização das nomenclaturas das áreas e revisão na aplicação da Política. Ampliação das diretrizes, substituição de glossário por definições, remoção de regras da Política. Revisão geral, foco nas diretrizes corporativas para a Segurança da Informação. Inclusão dos conceitos e gestão de incidentes, simplificação das diretrizes e responsabilidades. Página 7
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO Porto Alegre, abril de 2015 Versão 4.0 POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DAS EMPRESAS PERTENCENTES AO GRUPO HOSPITALAR CONCEIÇÃO 1. INTRODUÇÃO A informação é o dado
Anexo ao Comunicado Interno 001/2012-DP POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
Anexo ao Comunicado Interno 001/2012-DP POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA 1. INTRODUÇÃO A informação é um ativo que possui grande valor para a BM&FBOVESPA, devendo ser adequadamente utilizada
SERVIÇO PÚBLICO FEDERAL MEC - INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DO TRIÂNGULO MINEIRO RESOLUÇÃO Nº 27/2013, DE 29 DE AGOSTO DE 2013
SERVIÇO PÚBLICO FEDERAL MEC - INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DO TRIÂNGULO MINEIRO RESOLUÇÃO Nº 27/2013, DE 29 DE AGOSTO DE 2013 Dispõe sobre a Política de Segurança da Informação e
POLÍTICA DA SEGURANÇA DA INFORMAÇÃO. Hospital das Clínicas da Universidade Federal de Minas Gerais
POLÍTICA DA SEGURANÇA DA INFORMAÇÃO Hospital das Clínicas da Universidade Federal de Minas Gerais Belo Horizonte 2011 1.1. POLÍTICA DA SEGURANÇA DA INFORMAÇÃO DO HC/UFMG 1.1.1. Apresentação A informação