A presente Política de Segurança da Informação e Cibersegurança estabelece as diretrizes que orientam a proteção das informações, dos sistemas e dos ambientes tecnológicos utilizados pela AuthPay no desenvolvimento de suas atividades.
A política tem como finalidade preservar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações, bem como fortalecer a capacidade da instituição de prevenir, detectar, responder e mitigar incidentes de segurança da informação e cibernéticos, assegurando a continuidade de suas operações e a confiabilidade de seus serviços.
São objetivos da política de segurança cibernética da AuthPay:
I – proteger informações institucionais, operacionais e de clientes;
II – reduzir a exposição a incidentes de segurança da informação e cibernéticos;
III – assegurar a continuidade dos serviços e das operações essenciais;
IV – mitigar riscos tecnológicos, operacionais, regulatórios e reputacionais;
V – atender às exigências legais, regulamentares e contratuais aplicáveis.
Esta Política aplica-se a todos os administradores, diretores, colaboradores, parceiros, prestadores de serviços e terceiros que tenham acesso a informações, dados, sistemas, redes ou ativos tecnológicos da AuthPay, inclusive aqueles envolvidos na prestação de serviços de processamento, armazenamento de dados ou computação em nuvem.
Esta Política foi elaborada em conformidade com a legislação e a regulamentação aplicáveis às Instituições de Pagamento, em especial:
Resolução BCB no 85, de 8 de abril de 2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem;
Resolução BCB no 260, de 22 de novembro de 2022, que dispõe sobre os sistemas de controles internos;
Lei no 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).
Esta Política observa, ainda, as alterações vigentes, bem como demais normas, circulares, comunicados e orientações expedidos pelo Banco Central do Brasil aplicáveis à segurança da informação e à segurança cibernética.
Para fins desta Política, aplicam-se as seguintes definições:
I – Segurança da Informação
Conjunto de princípios, diretrizes, procedimentos e controles destinados a proteger informações contra acessos não autorizados, perdas, alterações indevidas ou indisponibilidade.
II – Segurança Cibernética
Conjunto de práticas e medidas voltadas à proteção de sistemas, redes e ambientes digitais contra ameaças e incidentes no ambiente cibernético.
III – Incidente Cibernético
Evento que comprometa ou possa comprometer a confidencialidade, a integridade, a disponibilidade ou a autenticidade das informações ou dos sistemas utilizados pela instituição.
IV – Informações Sensíveis
Dados ou informações que, em caso de acesso, divulgação, alteração ou destruição não
autorizada, possam causar impactos operacionais, regulatórios, financeiros ou reputacionais à instituição, a seus clientes ou a terceiros.
V – Serviços Relevantes de Tecnologia
Serviços tecnológicos cuja falha, indisponibilidade ou comprometimento possa impactar significativamente as operações, os clientes ou a continuidade dos serviços da AuthPay.
VI – Prestadores de Serviços a Terceiros
Pessoas físicas ou jurídicas contratadas para a execução de atividades ou a prestação de serviços que envolvam acesso a informações, dados, sistemas ou ativos tecnológicos da instituição.
VII – Testes de Intrusão
Procedimentos técnicos destinados a identificar vulnerabilidades em sistemas, redes ou aplicações, por meio da simulação controlada de tentativas de exploração de falhas de segurança.
Compete à Diretoria da AuthPay:
I – aprovar esta Política e suas revisões;
II – assegurar a implementação e a observância das diretrizes estabelecidas;
III – supervisionar a efetividade dos controles de segurança da informação e de segurança cibernética;
IV – deliberar sobre incidentes cibernéticos relevantes e sobre as medidas corretivas e preventivas a serem adotadas;
V – assegurar a existência e a manutenção do plano de ação e de resposta a incidentes;
VI – acompanhar os resultados do monitoramento, dos testes e das avaliações de segurança;
VII – assegurar a disponibilização de recursos necessários à execução desta Política.
Compete às áreas operacionais, aos colaboradores, parceiros e prestadores de serviços:
I – cumprir as diretrizes desta Política e demais normas internas aplicáveis;
II – utilizar informações, dados e sistemas exclusivamente para fins
autorizados;
III – adotar práticas adequadas de proteção das informações e dos ativos tecnológicos sob sua responsabilidade;
IV – comunicar de forma imediata à Diretoria qualquer incidente, suspeita de incidente ou falha de segurança;
V – cooperar com as ações de prevenção, mitigação e tratamento de incidentes;
VI – observar as obrigações legais, regulatórias e contratuais relacionadas à segurança da informação e à proteção de dados.
A segurança da informação e a segurança cibernética da AuthPay são orientadas por princípios que sustentam a proteção das informações e a confiabilidade dos sistemas, incluindo:
proteção da confidencialidade, integridade, disponibilidade e autenticidade das informações;
responsabilização pelo uso adequado de dados e sistemas;
adoção de controles voltados à prevenção e à resposta a incidentes;
rastreabilidade das informações e operações relevantes;
alinhamento entre segurança da informação, objetivos do negócio e requisitos regulatórios.
A AuthPay estabelece e mantém procedimentos e controles de segurança da informação e de segurança cibernética destinados à proteção de seus dados, sistemas e ambientes tecnológicos.
Os controles adotados têm como finalidade:
prevenir acessos não autorizados e uso indevido de informações;
proteger informações sensíveis e ativos tecnológicos;
reduzir a exposição a incidentes cibernéticos;
assegurar a confiabilidade e a disponibilidade dos sistemas utilizados nas operações.
Os procedimentos e controles são avaliados e aprimorados sempre que identificadas deficiências, alterações relevantes nos riscos ou mudanças no ambiente tecnológico.
A AuthPay adota mecanismos que possibilitam a rastreabilidade das informações, transações e operações relevantes realizadas em seus sistemas. A rastreabilidade tem como finalidade apoiar análises, apurações, auditorias e respostas a incidentes, bem como atender às exigências legais, regulatórias e de supervisão.
Para esse fim, são mantidos registros, logs e trilhas de auditoria adequados, protegidos contra acessos não autorizados e mantidos por prazos compatíveis com a natureza das informações e dos processos envolvidos.
A AuthPay mantém diretrizes para a gestão de incidentes de segurança da informação e cibernéticos, abrangendo sua identificação, registro, análise, tratamento e mitigação.
A gestão de incidentes compreende, no mínimo:
registro e classificação dos incidentes;
análise das causas e dos impactos;
adoção de medidas de contenção e correção;
comunicação interna tempestiva e reporte à Diretoria, quando aplicável;
tratamento de incidentes reportados por prestadores de serviços.
A instituição mantém plano de ação e de resposta a incidentes integrado às medidas de continuidade das operações, com o objetivo de reduzir impactos decorrentes de eventos que afetem seus sistemas ou informações.
As diretrizes relacionadas à continuidade de negócios em decorrência de incidentes de segurança da informação e cibernéticos complementam e não substituem a Política de Continuidade de Negócios da AuthPay, que disciplina de forma abrangente a gestão da continuidade operacional da instituição.
A contratação de serviços de tecnologia, incluindo processamento e armazenamento de dados e computação em nuvem, é realizada de forma estruturada e alinhada às diretrizes de segurança da informação e de gestão de riscos da AuthPay.
Antes da contratação, são avaliados aspectos relacionados à criticidade do serviço, à sensibilidade das informações envolvidas e à capacidade do prestador em assegurar a proteção e a continuidade dos serviços.
Os contratos devem conter cláusulas que assegurem a confidencialidade das informações, a segurança dos dados, a continuidade dos serviços, o acesso do Banco Central do Brasil, bem como regras sobre subcontratação e rescisão contratual.
A AuthPay mantém mecanismos de monitoramento e acompanhamento voltados à verificação da efetividade desta Política, dos controles de segurança adotados e do plano de resposta a incidentes.
Esses mecanismos incluem:
acompanhamento de eventos e ocorrências relevantes;
realização de testes e avaliações de segurança, incluindo testes de intrusão;
identificação e tratamento de deficiências e vulnerabilidades;
registro e acompanhamento das ações corretivas adotadas.
A instituição poderá compartilhar informações sobre incidentes cibernéticos relevantes com outras instituições autorizadas a funcionar pelo Banco Central do Brasil, observados os
deveres de sigilo e a legislação aplicável, mantendo tais informações disponíveis à autoridade supervisora quando requerido.
Esta Política, o plano de ação e resposta a incidentes e os mecanismos de monitoramento são aprovados pela Diretoria da AuthPay e revisados, no mínimo, anualmente ou sempre que ocorrerem alterações relevantes no ambiente tecnológico, nos riscos de segurança ou na regulamentação aplicável.
Devem permanecer à disposição do Banco Central do Brasil, pelo prazo mínimo de cinco anos, os documentos, registros e evidências relacionados a esta Política, aos planos, aos testes, às contratações de serviços de tecnologia e aos mecanismos de acompanhamento e controle.
