Política de segurança

Aprovação e entrada em vigor

A presente Política de Segurança da Informação entra em vigor a partir da data de assinatura e até ser substituída por uma nova Política.

Missão APTENT

Para atingir os seus objetivos, a APTENT assume o seu compromisso com a segurança da informação, comprometendo-se com a sua gestão adequada, de forma a oferecer a todos os seus grupos de interesse as maiores garantias relativamente à segurança da informação utilizada.

Estes sistemas devem ser geridos de forma diligente, tomando as medidas adequadas para os proteger contra danos acidentais ou deliberados que possam afetar a disponibilidade, integridade ou confidencialidade da informação processada ou dos serviços prestados.

O objetivo da segurança da informação é garantir a qualidade da informação e a prestação continuada de serviços, atuando de forma preventiva, supervisionando a atividade diária e reagindo rapidamente aos incidentes.

Os sistemas TIC devem ser protegidos contra ameaças em rápida evolução, com potencial para afectar a confidencialidade, a integridade, a disponibilidade, a utilização pretendida e o valor da informação e dos serviços. A defesa contra estas ameaças requer uma estratégia que se adapte às alterações das condições ambientais para garantir a prestação contínua de serviços. Isto implica que os departamentos devem aplicar as medidas mínimas de segurança exigidas pelo Esquema de Segurança Nacional, bem como monitorizar continuamente os níveis de prestação de serviços, acompanhar e analisar as vulnerabilidades reportadas e preparar uma resposta eficaz aos incidentes para garantir a continuidade dos serviços prestados.

Os diferentes departamentos devem garantir que a segurança das TIC é parte integrante de cada fase do ciclo de vida do sistema, desde a sua concepção até ao seu desmantelamento, através de decisões de desenvolvimento ou aquisição e actividades de exploração. Devem ser identificados os requisitos de segurança e as necessidades de financiamento, tanto para os produtos que desenvolve e os seus serviços associados, como para o software base adquirido a terceiros.

Os departamentos devem estar preparados para prevenir, detetar, reagir e recuperar de incidentes, nos termos do artigo 8.º da ENS (artigo 8.º Prevenção, deteção, resposta e conservação).

A política de segurança da informação é o conjunto de orientações que regem a forma como uma organização gere e protege a informação que processa e os serviços que presta. Para o efeito, o instrumento que aprova a referida política de segurança deve incluir, no mínimo, os seguintes pontos:

a) Os objetivos ou a missão da organização.

b) O quadro regulamentar no qual as atividades serão realizadas.

c) Os cargos ou funções de segurança, definindo para cada um os seus deveres e responsabilidades, bem como o procedimento para a sua nomeação e renovação.

d) A estrutura e composição do comité ou comités de gestão e coordenação do segurança, detalhando o seu âmbito de responsabilidade e a relação com outros elementos da organização.

e) As orientações para a estruturação da documentação de segurança do sistema, a sua gestão e acesso.

f) Os riscos decorrentes do tratamento de dados pessoais.

A política de segurança foi estabelecida de acordo com os princípios básicos indicados no capítulo II e será desenvolvida aplicando os seguintes requisitos mínimos:

a) Organização e implementação do processo de segurança.

b) Análise e gestão de riscos.

c) Gestão de pessoal.

d) Profissionalismo.

e) Autorização e controlo de acessos.

f) Protecção de instalações.

g) Aquisição de produtos de segurança e contratação de serviços de segurança.

h) Privilégio mínimo.

i) Integridade e atualização do sistema.

j) Proteção da informação armazenada e em trânsito.

k) Prevenção contra outros sistemas de informação interligados.

l) Registo de atividades e deteção de código prejudicial.

m) Incidentes de segurança.

n) Continuidade da atividade.

ñ) Melhoria contínua do processo de segurança.

Escopo

Os sistemas de informação que suportam o desenvolvimento, implementação, consultoria realizada pelo departamento de acessibilidade de acordo com a categorização atual.

Objetivos

Por tudo o que precede, a Administração estabelece os seguintes objetivos de segurança da informação:

• Fornecer uma estrutura para aumentar a resiliência e fornecer uma resposta eficaz.
• Garantir a recuperação rápida e eficiente dos serviços, face a qualquer desastre físico ou contingência que possa ocorrer e colocar em risco a continuidade das operações.
• Prevenir incidentes de segurança da informação na medida em que seja técnica e economicamente viável, bem como mitigar os riscos de segurança da informação gerados pelas nossas atividades.
• Garantir a confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade da informação.

Quadro regulatório

Um dos objetivos deverá ser o cumprimento dos requisitos legais aplicáveis e de quaisquer outros requisitos que subscrevamos para além dos compromissos adquiridos com os clientes, bem como a sua atualização contínua. Para tal, o quadro legal e regulamentar em que desenvolvemos as nossas atividades é:

• REGULAMENTO (UE) 2016/679 DO PARLAMENTO EUROPEU E DO CONSELHO de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
• Lei Orgânica 3/2018, de 5 de dezembro, sobre a Proteção de Dados Pessoais e a garantia dos direitos digitais.
• Real Decreto Legislativo 1/1996, de 12 de Abril, Lei da Propriedade Intelectual.
• Lei 2/2019, de 1 de março, que altera o texto consolidado da Lei da Propriedade Intelectual, aprovada pelo Real Decreto Legislativo 1/1996, de 12 de abril, e pela qual a Diretiva 2014/26/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, e a Diretiva (UE) são incorporadas no ordenamento jurídico espanhol. 2017/1564 do Parlamento Europeu e do Conselho, de 13 de setembro de 2017.
• Real Decreto 311/2022, de 3 de maio, que regulamenta o Sistema de Segurança Nacional.
• Lei 34/2002, de 11 de julho, sobre Serviços da Sociedade da Informação e Comércio Eletrónico (LSSI).
• Lei n.º 40/2015, de 1 de outubro, sobre o Regime Jurídico do Setor Público.
• Lei n.º 39/2015, de 1 de outubro, sobre o Procedimento Administrativo Comum das Administrações Públicas.

Desenvolvimento

Para atingir estes objetivos é necessário:

• Melhorar continuamente o nosso sistema de segurança da informação.
• Identifique potenciais ameaças, bem como o impacto nas operações comerciais que essas ameaças, caso se materializem, podem causar.
• Preservar os interesses dos seus principais stakeholders (clientes, acionistas, colaboradores e fornecedores), reputação, marca e atividades de criação de valor.
• Trabalhar em conjunto com os nossos fornecedores e subcontratantes no sentido de melhorar a prestação de serviços informáticos, a continuidade dos serviços e a segurança da informação, o que resulta numa maior eficiência da nossa atividade.
• Avaliar e garantir a competência técnica dos colaboradores, bem como garantir a sua motivação adequada para a sua participação na melhoria contínua dos nossos processos, proporcionando formação adequada e comunicação interna para que desenvolvam as boas práticas definidas no sistema.
• Garantir o correto estado das instalações e dos equipamentos adequados, para que estejam de acordo com a atividade, objetivos e metas da empresa.
• Garantir uma análise contínua de todos os processos relevantes, estabelecendo as melhorias relevantes em cada caso, com base nos resultados obtidos e nos objetivos estabelecidos.
• Estruture o nosso sistema de gestão de forma a que seja de fácil compreensão. O nosso sistema de gestão tem a seguinte estrutura:

A gestão do nosso sistema está a cargo do GERENTE DE SISTEMAS e o sistema ficará disponível no nosso sistema de informação num repositório, que poderá ser acedido de acordo com os perfis de acesso concedidos de acordo com o nosso procedimento de gestão de acessos atual.

Organização de segurança

A responsabilidade essencial recai sobre a Direção Geral do APTENT, uma vez que é responsável pela organização das funções e responsabilidades e pela disponibilização dos recursos adequados para atingir os objetivos da ENS. Os gestores são também responsáveis ​​por dar um bom exemplo, seguindo as normas de segurança estabelecidas.

Estes princípios são assumidos pela Administração, que disponibiliza os meios necessários e dota os seus colaboradores dos recursos suficientes para o seu cumprimento, expressando-os e divulgando-os publicamente através destas Políticas de Segurança.

As funções ou direitos de segurança definidos são:

Esta definição de deveres e responsabilidades está completada nos perfis de cargos e nos documentos do sistema Registo de Gestores, Cargos e Responsabilidades.

Resolução de Conflitos

As diferenças de critérios que possam conduzir a um conflito serão tratadas no âmbito do Comité de Segurança e os critérios da Direcção-Geral prevalecerão em todos os casos.

Comité de Segurança

O procedimento para a sua nomeação e renovação será a ratificação pelo comité de segurança.

A comissão de gestão e coordenação de segurança é o órgão com maior responsabilidade dentro do sistema de gestão de segurança da informação, para que todas as decisões mais importantes relacionadas com a segurança sejam acordadas por esta comissão.

Os membros do Comité de Segurança da Informação são:

• Gestor de Informações
• Responsável pelos Serviços
• Gestor de Segurança
• Gestor do Sistema
• Endereço da empresa 

Estes membros são nomeados pela comissão, o único órgão que os pode nomear, renovar e destituir. 

A comissão de segurança é um órgão executivo autónomo, com autonomia para a tomada de decisões e que não tem de subordinar a sua atividade a qualquer outro elemento da nossa empresa. 

APTENT Segurança da Informação é desenvolvida no documento complementar a esta Política de Organização de Segurança.

Esta política é complementada pelas restantes políticas, procedimentos e documentos em vigor para desenvolver o nosso sistema de gestão.

Gestão de Risco

Todos os sistemas sujeitos à presente Política deverão realizar uma análise de risco, avaliando as ameaças e riscos a que estão expostos. Esta análise é revista regularmente:

• pelo menos uma vez por ano;
• quando as informações tratadas se alteram;
• quando os serviços prestados se alteram;
• quando ocorre um incidente de segurança grave;
• quando são reportadas vulnerabilidades graves.

Para harmonizar as análises de risco, o Comité de Segurança das TIC estabelecerá uma avaliação de referência para os diferentes tipos de informação tratada e os diferentes serviços prestados. O Comité de Segurança das TIC aumentará a disponibilidade de recursos para responder às necessidades de segurança dos diferentes sistemas, promovendo investimentos horizontais.

Para realizar a análise de risco será tida em conta a metodologia de análise de risco desenvolvida no procedimento de Análise de Risco.

Gestão de Pessoal

Todos os membros da APTENT têm a obrigação de conhecer e cumprir esta Política de Segurança da Informação e o Regulamento de Segurança, sendo da responsabilidade do Comité de Segurança TIC fornecer os meios necessários para que a informação chegue aos afetados.

Todos os membros do APTENT participarão numa sessão de sensibilização para a segurança das TIC, pelo menos uma vez por ano. Será estabelecido um programa de sensibilização contínuo para atender todos os membros do APTENT, especialmente os novos membros.

As pessoas responsáveis pela utilização, operação ou administração de sistemas TIC receberão formação no manuseamento seguro dos sistemas, na medida em que necessitem para realizar o seu trabalho. A formação será obrigatória antes de assumir uma responsabilidade, seja a sua primeira missão ou uma mudança de emprego ou de responsabilidades.

Profissionalismo e Segurança de RH

Esta Política aplica-se a todo o pessoal APTENT e pessoal externo que executa tarefas dentro da empresa.

O RH incluirá funções de segurança da informação nas descrições de funções dos colaboradores, informará todo o pessoal contratado sobre as suas obrigações em relação ao cumprimento da Política de Segurança da Informação, gerirá os Compromissos de Confidencialidade com o pessoal e coordenará a formação dos utilizadores em relação a esta Política.

• O Gestor de Gestão de Segurança (RGS) é responsável por monitorizar, documentar e analisar os incidentes de segurança reportados, bem como comunicar ao Comité de Segurança da Informação e aos proprietários da informação.
• O Comité de Segurança da Informação será responsável por implementar os meios e canais necessários para que o Gestor de Gestão de Segurança (RGS) possa lidar com relatos de incidentes e anomalias de sistemas. O Comité estará também atento, supervisionará a investigação, acompanhará a evolução da informação e promoverá a resolução de incidentes de segurança da informação.
• O Gestor de Gestão de Segurança (RGS) participará na elaboração do Compromisso de Confidencialidade a assinar pelos colaboradores e terceiros que exerçam funções na APTENT, no aconselhamento sobre as sanções que serão aplicadas pelo incumprimento da presente Política e no tratamento de incidentes de segurança da informação.
• Toda a equipa do APTENT é responsável por comunicar falhas e incidentes de segurança da informação detetados em tempo útil.
•  Profissionalismo dos recursos humanos:
• Determinar a competência necessária do pessoal para realizar trabalhos que afetem a Segurança da Informação.
• Garantir que as pessoas são competentes com base na educação, formação ou experiência adequadas.
• Demonstrar através de informação documentada que é necessária a competência do pessoal em matéria de Segurança da Informação.

Os objetivos do controlo da segurança do pessoal são:

• Reduzir os riscos de erro humano, implementação de irregularidades, utilização indevida de instalações e recursos e manipulação não autorizada de informação.
• Explicar as responsabilidades de segurança na fase de recrutamento de pessoal e incluí-las nos acordos a assinar e verificar o cumprimento durante a execução das tarefas. tarefas dos colaboradores.
• Certifique-se de que os utilizadores estão cientes das ameaças e preocupações de segurança da informação e são formados para apoiar a Política de Segurança da Informação APTENT no desempenho das suas funções normais.
• Estabeleça compromissos de confidencialidade com todos os colaboradores e utilizadores fora das instalações de processamento de informação.
• Estabelecer as ferramentas e mecanismos necessários para promover a comunicação das fragilidades de segurança existentes, bem como dos incidentes, de forma a minimizar os seus efeitos e prevenir a sua recorrência.

Autorização e Controlo de Acessos a Sistemas de Informação

O controlo do acesso aos sistemas de informação visa:

• Impedir o acesso não autorizado a sistemas de informação, bases de dados e serviços de informação.
• Implementar a segurança no acesso dos utilizadores através de técnicas de autenticação e autorização.
• Controle a segurança da ligação entre a rede APTENT e outras redes públicas ou privadas.
• Reveja eventos e atividades críticas realizadas pelos utilizadores nos sistemas.
• Consciencializar para a sua responsabilidade no uso de senhas e equipamentos.
• Garanta a segurança da informação ao utilizar computadores portáteis e computadores pessoais para trabalho remoto.

Proteção de Instalações

Os objectivos desta política relativamente à protecção das instalações são:

Impedir o acesso não autorizado, danos e interferências na sede, instalações e informações do APTENT

• Proteja os equipamentos críticos de processamento de informação APTENT, colocando-os em áreas protegidas e protegidas por um perímetro de segurança definido, com medidas de segurança e controlos de acesso adequados. Da mesma forma, considere a sua proteção durante a sua transferência e permaneça fora das áreas protegidas, para manutenção ou outros motivos.
• Controlar os fatores ambientais que possam prejudicar o bom funcionamento dos equipamentos informáticos que albergam a informação APTENT.
• Implementar medidas de proteção da informação tratada pelos colaboradores nos escritórios, no âmbito normal das suas tarefas habituais.
• Proporcionar proteção proporcional aos riscos identificados.

Esta Política aplica-se a todos os recursos físicos relacionados com os sistemas de informação APTENT, instalações, equipamentos, cablagem, ficheiros, suportes de armazenamento, etc.

De salientar que no caso do APTENT, todos os ambientes de desenvolvimento, qualidade, etc. estão localizados externamente em alojamento seguro, pelo que apenas os computadores portáteis e periféricos devem ser protegidos localmente.

O Responsável pela Gestão da Segurança (RGS), em conjunto com os Titulares da Informação, consoante o caso, definirá as medidas de segurança física e ambiental para a proteção dos ativos críticos, com base numa análise de risco, e supervisionará a sua aplicação. Verificará também o cumprimento das disposições de segurança física e ambiental.

Os responsáveis dos diferentes departamentos definirão os níveis de acesso físico do pessoal do APTENT às áreas restritas sob a sua responsabilidade. Os Proprietários da Informação autorizarão formalmente o trabalho externo com informações sobre os seus negócios aos colaboradores da APTENT quando considerarem apropriado.

Todos os colaboradores do APTENT são responsáveis pelo cumprimento da política de limpeza do ecrã e do ambiente de trabalho, pela proteção da informação relacionada com o trabalho diário nos escritórios.

Aquisição de produtos

Os diferentes departamentos devem garantir que a segurança das TIC é parte integrante de cada fase do ciclo de vida do sistema, desde a sua concepção até ao seu desmantelamento, através de decisões de desenvolvimento ou aquisição e actividades de exploração. Os requisitos de segurança e as necessidades de financiamento devem ser identificados e incluídos no planeamento, nos pedidos de ofertas e nos documentos de concurso para projectos de TIC.

Por outro lado, a segurança da informação será tida em conta na aquisição e manutenção de sistemas de informação, limitando e gerindo a mudança.

Segurança padrão

APTENT considera estratégico para a entidade que os processos integrem a segurança da informação como parte do seu ciclo de vida. Os sistemas e serviços de informação devem incluir a segurança por defeito desde a sua criação até à sua retirada, incluindo a segurança nas decisões de desenvolvimento e/ou aquisição e em todas as atividades em funcionamento, estabelecendo a segurança como um processo integral e transversal.

Integridade e atualização do sistema

APTENT compromete-se a garantir a integridade do sistema através de um processo de gestão de alterações que permite o controlo da actualização de elementos físicos ou lógicos através de autorização prévia à sua instalação no sistema. A referida avaliação será realizada principalmente pela direção técnica que avaliará o impacto na segurança do sistema antes de efetuar as alterações e controlará de forma documentada as alterações que forem avaliadas como importantes ou com implicações na segurança dos sistemas.

Através de revisões periódicas de segurança, o estado de segurança dos sistemas será avaliado em relação às especificações dos fabricantes, vulnerabilidades e atualizações que os afetam, reagindo de forma diligente para gerir o risco face ao seu estado de segurança.

Proteção da informação armazenada e em trânsito

APTENT estabelece medidas de proteção para a Segurança da Informação armazenada ou em trânsito por ambientes inseguros. Equipamentos portáteis, dispositivos periféricos, meios de informação e comunicação em redes abertas ou com encriptação fraca serão considerados ambientes inseguros.

Prevenção de sistemas de informação interligados

APTENT, estabelece medidas de proteção de Segurança da Informação especialmente para proteger o perímetro, em particular, se estiver ligado a redes públicas, especialmente se forem utilizadas no todo ou principalmente, para a prestação de serviços de comunicações eletrónicas disponíveis ao público.

Em qualquer caso, serão analisados os riscos derivados da interligação do sistema, através de redes, com outros sistemas, e controlado o seu ponto de ligação. Ligações eletrónicas disponíveis ao público.

Registos de atividades

O APTENT registará as atividades do utilizador, retendo a informação necessária para monitorizar, analisar, investigar e documentar atividades impróprias ou não autorizadas, permitindo que a pessoa que age seja sempre identificada.

Os principais objetivos da Gestão de Incidentes são:

• Estabeleça um sistema de deteção e reação contra códigos nocivos.
• Dispor de procedimentos de gestão de incidentes de segurança e de fragilidades detectadas nos elementos do sistema de informação.
• Estes procedimentos abrangerão mecanismos de detecção, critérios de classificação, procedimentos de análise e resolução, bem como canais de comunicação aos interessados e registo de acções.
• Este registo é utilizado para melhoria contínua da segurança do sistema.
• Garanta que os serviços de TI regressam ao desempenho ideal.
• Reduzir os possíveis riscos e impactos que o incidente pode causar.
•  Garantir a integridade dos sistemas em caso de incidente de segurança.
• Comunicar o impacto de um incidente assim que este seja detetado para ativar o alarme; e implementar um plano de comunicação empresarial apropriado.
• Promover a eficiência empresarial.

Continuidade da atividade

APTENT, com o objetivo de garantir a continuidade das atividades, estabelece medidas para que os sistemas possuam cópias de segurança e estabelece mecanismos necessários para garantir a continuidade das operações, em caso de perda dos meios habituais de trabalho.

Melhoria contínua do processo de segurança

O APTENT estabelece um processo de melhoria contínua da segurança da informação através da aplicação dos critérios e metodologia estabelecidos no Esquema de Segurança Nacional.

Em Leganés, a 17 de janeiro de 2025