POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E SEGURANÇA CIBERNÉTICA

---

1. DISPOSIÇÕES PRELIMINARES

A presente Política de Segurança da Informação e Segurança Cibernética (doravante “PSI”) estabelece, de maneira exaustiva, mandatória e corporativamente vinculante, as diretrizes estratégicas, os controles lógicos, os procedimentos operacionais de salvaguarda e as responsabilidades administrativas destinados à proteção integral e permanente de todos os ativos de informação, infraestruturas de rede e sistemas de processamento de dados pertencentes ou sob a custódia da Banerj Digital Serviços Financeiros LTDA.

Este instrumento foi concebido como o pilar mestre de blindagem cibernética da organização financeira, observando rigorosamente as exigências regulatórias impositivas aplicáveis ao setor bancário nacional, com especial ênfase nas Resoluções CMN nº 4.893/2021 e BCB nº 85/2021, na Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), nas normas da família ISO/IEC 27001 e ISO/IEC 27002, e nos frameworks do National Institute of Standards and Technology (NIST Cybersecurity Framework).

A PSI se aplica, sem exceção, a todos os colaboradores efetivos, diretores, conselheiros, estagiários, prestadores de serviços, parceiros comerciais e quaisquer terceiros que utilizem, operem ou acessem sistemas, dados, redes, instalações físicas ou recursos tecnológicos da Banerj Digital, independentemente do vínculo jurídico, do local de trabalho ou da modalidade de acesso. O descumprimento das disposições desta política sujeitará o infrator às penalidades previstas no Capítulo 38, podendo incluir rescisão contratual imediata, responsabilização civil e notificação às autoridades competentes.

---

2. OBJETIVOS DA POLÍTICA

A PSI da Banerj Digital tem como objetivos primários e interdependentes proteger de forma abrangente todos os ativos de informação que sustentam as operações financeiras da instituição, assegurando a continuidade dos negócios e a confiança de clientes, parceiros e reguladores. São objetivos específicos desta política:

• Garantir a confidencialidade das informações, assegurando que o acesso seja restrito exclusivamente às pessoas e sistemas devidamente autorizados, impedindo a divulgação não autorizada de dados sensíveis;
• Assegurar a integridade dos dados, prevenindo alterações não autorizadas, acidentais ou maliciosas ao longo de todo o ciclo de vida da informação;
• Manter a disponibilidade dos sistemas e serviços críticos, garantindo o funcionamento contínuo das operações financeiras dentro dos parâmetros de SLA estabelecidos;
• Garantir a autenticidade e rastreabilidade de todas as operações realizadas nos sistemas da instituição, assegurando a não-repudiação de ações;
• Assegurar a conformidade regulatória permanente com as normas do Banco Central do Brasil, da ANPD, da LGPD e demais legislações pertinentes ao setor financeiro;
• Proteger a reputação institucional e a confiança dos clientes, parceiros e do mercado financeiro brasileiro;
• Estabelecer uma cultura organizacional de segurança que permeie todos os níveis hierárquicos e funcionais da organização;
• Minimizar os riscos cibernéticos por meio de controles preventivos, detectivos e corretivos eficazes e proporcionais à criticidade dos ativos;
• Garantir a continuidade dos negócios mesmo em cenários de incidentes graves, desastres naturais ou ataques cibernéticos;
• Promover a melhoria contínua do programa de segurança por meio de revisões periódicas, métricas de desempenho e aprendizado sistemático com incidentes.

---

3. DEFINIÇÕES

Para os fins desta política, os termos abaixo têm os seguintes significados, sendo sua correta compreensão essencial para a aplicação adequada das diretrizes aqui estabelecidas:

• Ativo de Informação: Qualquer dado, sistema, software, hardware, rede, processo ou conhecimento que tenha valor para a organização e que necessite de proteção adequada ao seu nível de criticidade.
• Incidente de Segurança: Evento ou série de eventos indesejados que comprometem ou possam comprometer a confidencialidade, integridade ou disponibilidade das informações, ou que violem as políticas de segurança estabelecidas.
• Vulnerabilidade: Fraqueza, falha ou lacuna em um ativo, controle ou processo que pode ser explorada por uma ameaça para causar dano ou comprometimento.
• Risco Cibernético: Probabilidade de ocorrência de um incidente de segurança multiplicada pelo impacto potencial resultante sobre os ativos, processos e reputação da organização.
• MFA (Autenticação Multifator): Mecanismo de autenticação que exige dois ou mais fatores independentes de verificação de identidade antes de conceder acesso a um sistema ou recurso.
• SOC (Security Operations Center): Centro de Operações de Segurança — estrutura organizacional e tecnológica responsável pelo monitoramento contínuo, detecção e triagem de eventos e alertas de segurança.
• CSIRT (Computer Security Incident Response Team): Equipe especializada e dedicada à coordenação, contenção e remediação de incidentes de segurança confirmados.
• Pentest (Teste de Penetração): Simulação controlada e autorizada de ataques cibernéticos com o objetivo de identificar vulnerabilidades exploráveis antes que agentes maliciosos o façam.
• DLP (Data Loss Prevention): Conjunto de ferramentas, políticas e processos implementados para prevenir a perda, vazamento ou exfiltração não autorizada de dados sensíveis.
• SIEM (Security Information and Event Management): Plataforma centralizada de coleta, correlação e análise de eventos de segurança provenientes de múltiplas fontes da infraestrutura.
• RTO (Recovery Time Objective): Tempo máximo tolerável para restauração de um serviço ou sistema após uma interrupção, definido com base no impacto ao negócio.
• RPO (Recovery Point Objective): Quantidade máxima de dados que podem ser perdidos em caso de desastre, expressa em termos de intervalo de tempo desde o último backup válido.
• Engenharia Social: Conjunto de técnicas de manipulação psicológica utilizadas para induzir indivíduos a revelar informações sigilosas, executar ações indevidas ou conceder acessos não autorizados.
• Zero Trust: Modelo de segurança baseado no princípio de que nenhuma entidade — interna ou externa — deve ser automaticamente confiável, exigindo verificação contínua de identidade e autorização.
• EDR (Endpoint Detection and Response): Solução de segurança para endpoints que monitora comportamentos, detecta ameaças avançadas e fornece capacidade de resposta e contenção em tempo real.

---

4. PRINCÍPIOS DE SEGURANÇA DA INFORMAÇÃO

A segurança da informação na Banerj Digital é norteada por princípios fundamentais que orientam todas as decisões, investimentos e controles implementados pela organização. Esses princípios devem ser observados por todos os colaboradores e parceiros no exercício de suas atividades.

4.1 Tríade CIA — Confidencialidade, Integridade e Disponibilidade

• Confidencialidade: As informações devem ser acessadas exclusivamente por pessoas, sistemas e processos explicitamente autorizados, sendo vedado qualquer acesso, divulgação ou compartilhamento fora dos canais e autorizações formalmente estabelecidos.
• Integridade: As informações devem ser completas, precisas e protegidas contra quaisquer modificações não autorizadas ao longo de todo o seu ciclo de vida, desde a criação até o descarte definitivo.
• Disponibilidade: Os sistemas, serviços e informações devem estar acessíveis sempre que necessário para os usuários e processos autorizados, dentro dos parâmetros de SLA estabelecidos para cada ativo.

4.2 Princípios Complementares Obrigatórios

• Menor Privilégio: Cada usuário, sistema ou processo deve possuir apenas os acessos e permissões estritamente necessários para o desempenho de suas funções, sem excessos que ampliem desnecessariamente a superfície de ataque.
• Necessidade de Conhecer: O acesso à informação deve ser concedido somente a quem dela necessita para executar suas atividades profissionais específicas, independentemente de cargo ou hierarquia.
• Segregação de Funções: Atividades críticas devem ser divididas entre diferentes responsáveis para evitar que uma única pessoa concentre poder suficiente para cometer fraudes ou erros não detectados.
• Defesa em Profundidade: Múltiplas camadas de controles de segurança devem ser implementadas de forma sobreposta, de modo que a falha ou comprometimento de uma camada não resulte na exposição imediata dos ativos protegidos.
• Responsabilização (Accountability): Todas as ações realizadas nos sistemas devem ser atribuíveis a um indivíduo identificado e auditável, garantindo rastreabilidade completa para fins de investigação e conformidade.
• Privacy by Design: A proteção de dados pessoais deve ser incorporada desde a concepção de sistemas, processos e produtos, e não como camada adicionada posteriormente.
• Resiliência: Os sistemas e processos críticos devem ser projetados para resistir, absorver e se recuperar rapidamente de incidentes e falhas, minimizando impactos operacionais e financeiros.

---

5. ESTRUTURA DE GOVERNANÇA DE SEGURANÇA

A gestão de segurança da informação da Banerj Digital é estruturada em três linhas de defesa interdependentes, garantindo cobertura organizacional abrangente, clara definição de responsabilidades e accountability em todos os níveis hierárquicos.

5.1 Primeira Linha — Operações

Gestores de área, líderes de equipe e colaboradores que executam os controles de segurança no dia a dia das operações. São responsáveis pela aplicação imediata das políticas, pelo reporte de incidentes e pela manutenção dos controles sob sua custódia.

5.2 Segunda Linha — Supervisão e Controle

• Chief Information Security Officer (CISO): Responsável máximo pela estratégia de segurança da informação, reportando diretamente à Diretoria Executiva e ao Conselho de Administração. Possui autoridade para determinar a implementação imediata de controles em situações de risco elevado.
• Comitê de Segurança da Informação (CSI): Órgão colegiado composto por representantes das áreas de Tecnologia, Compliance, Jurídico, Riscos, Operações e Negócios. Realiza reuniões mensais ordinárias e pode ser convocado em caráter extraordinário em situações de crise.
• DPO (Data Protection Officer): Responsável pela conformidade com a LGPD e pela interface com a Autoridade Nacional de Proteção de Dados (ANPD), devendo ser notificado em todos os incidentes que envolvam dados pessoais.
• Equipe de Segurança da Informação: Analistas, especialistas e engenheiros de segurança subordinados ao CISO, responsáveis pela operação do SOC, CSIRT, gestão de vulnerabilidades e implementação técnica dos controles.

5.3 Terceira Linha — Auditoria Independente

Auditoria Interna e auditores externos independentes que avaliam periodicamente a eficácia, a suficiência e a conformidade dos controles implantados, reportando seus achados diretamente ao Comitê de Auditoria e ao Conselho de Administração, sem subordinação à gestão executiva.

---

6. CLASSIFICAÇÃO DA INFORMAÇÃO

Toda informação gerida, produzida, recebida ou custodiada pela Banerj Digital deve ser classificada segundo os critérios estabelecidos nesta seção, de modo que os controles de proteção aplicados sejam adequados e proporcionais ao nível de sensibilidade e criticidade de cada ativo.

6.1 Níveis de Classificação

• Estritamente Confidencial: Informações cuja divulgação não autorizada causaria dano irreparável à instituição, aos clientes ou ao sistema financeiro nacional. Exemplos: chaves criptográficas, credenciais de sistemas críticos, planos estratégicos de negócio, dados de investigações internas e informações sob sigilo regulatório. Exigem criptografia obrigatória, acesso nominal restrito ao mínimo necessário e log completo de todos os acessos.
• Confidencial: Informações sensíveis de circulação interna com impacto significativo caso expostas. Exemplos: dados cadastrais e financeiros de clientes, contratos comerciais, relatórios financeiros internos, resultados de pentests, planos de continuidade de negócios. Exigem criptografia em trânsito e armazenamento, com controle de acesso por função.
• Interna: Informações de circulação restrita ao ambiente organizacional, cuja divulgação externa causaria constrangimento ou prejuízo moderado. Exemplos: procedimentos operacionais, comunicados internos, políticas internas, organogramas. Acesso restrito a colaboradores autenticados com necessidade de conhecer.
• Pública: Informações aprovadas formalmente para divulgação externa, sem restrições de distribuição. Exemplos: releases de imprensa, site institucional, produtos e serviços disponíveis ao público, relatórios regulatórios publicados. Devem passar por revisão e aprovação antes da publicação.

6.2 Responsabilidades de Classificação

O responsável pelo dado (Data Owner), definido como o gestor da área que detém a informação, é obrigado a classificar toda informação sob sua custódia no momento de sua criação ou recepção, revisando a classificação sempre que ocorrer mudança relevante no contexto de uso ou no nível de sensibilidade. A ausência de classificação não exime o responsável das obrigações de proteção aplicáveis à categoria mais restritiva compatível com o conteúdo.

---

7. CONTROLE DE ACESSO

O controle de acesso na Banerj Digital segue o modelo Role-Based Access Control (RBAC), complementado por controles baseados em atributos (ABAC) para sistemas de alta criticidade. Todo acesso a sistemas, dados e instalações da instituição deve ser formalmente autorizado, registrado e periodicamente revisado.

7.1 Regras Gerais de Concessão de Acesso

• Todo acesso a sistemas e dados deve ser formalmente solicitado pelo colaborador, aprovado pelo gestor imediato responsável e registrado no sistema corporativo de gestão de identidades antes da efetiva liberação;
• Aplicação estrita e inegociável do princípio do menor privilégio em todos os sistemas, sem exceções baseadas em cargo, antiguidade ou conveniência operacional;
• Acessos privilegiados — administradores de sistemas, DBAs, usuários root — devem ser individualmente nominados e justificados. Contas genéricas, compartilhadas ou sem dono identificado são absolutamente vedadas;
• Acessos concedidos em caráter de emergência (break-glass) devem ser documentados, notificados imediatamente ao CISO e revogados em até 24 horas após o encerramento da situação emergencial;
• É vedado o acesso de um colaborador a informações ou sistemas de clientes que não sejam de sua responsabilidade direta, mesmo que tecnicamente possível.

7.2 Revisão Periódica de Acessos (Access Recertification)

• Acessos privilegiados: revisão obrigatória a cada 90 dias com validação formal do gestor e do CISO;
• Acessos a sistemas de alta criticidade: revisão semestral com justificativa documental;
• Demais acessos: revisão anual pelo gestor responsável da área;
• Revogação imediata em caso de desligamento, mudança de função ou qualquer suspeita de comprometimento de credenciais.

7.3 Onboarding e Offboarding

O provisionamento de acesso de novos colaboradores deve ocorrer em até 24 horas após a confirmação formal do ingresso pela área de Recursos Humanos. O desprovisionamento completo de todos os acessos deve ser concluído em até 4 horas após a comunicação formal de desligamento, sendo o acesso à rede e ao e-mail revogado imediatamente na comunicação do desligamento.

---

8. GESTÃO DE IDENTIDADES

A Banerj Digital adota uma plataforma centralizada de Identity and Access Management (IAM) que cobre todos os sistemas, aplicações e infraestruturas da instituição, integrando-se ao diretório corporativo e ao provedor de identidade SSO (Single Sign-On), garantindo visibilidade completa e controle centralizado sobre todas as identidades digitais.

8.1 Diretrizes de Identidade

• Cada colaborador, prestador ou parceiro deve possuir uma identidade digital única e não compartilhável, vinculada ao seu CPF ou documento fiscal oficial e ao vínculo contratual formal;
• Contas de serviço (service accounts) devem ser criadas com escopo mínimo de permissão, devidamente documentadas no inventário de ativos, com responsável designado e senhas rotacionadas automaticamente a cada 90 dias por cofre de senhas gerenciado;
• Contas dormentes por mais de 60 dias consecutivos são desabilitadas automaticamente pelo sistema IAM, com notificação ao gestor responsável. Após 180 dias sem uso justificado, são excluídas definitivamente do diretório;
• O ciclo de vida completo de identidades — criação, modificação, suspensão e exclusão — deve ser integralmente auditado, rastreável e retido pelo prazo regulatório aplicável;
• Integrações com sistemas externos devem utilizar protocolos modernos e seguros (OAuth 2.0, OpenID Connect, SAML 2.0 ou certificados de cliente), sendo vedado o uso de credenciais estáticas embutidas em código-fonte, scripts ou arquivos de configuração.

8.2 Contas Privilegiadas (PAM)

Todas as contas com privilégios administrativos devem ser gerenciadas por solução de Privileged Access Management (PAM), com gravação obrigatória de sessões, aprovação just-in-time para acessos a sistemas críticos e rotação automática de credenciais após cada uso ou ao término da sessão privilegiada.

---

9. AUTENTICAÇÃO MULTIFATOR (MFA)

A Autenticação Multifator é obrigatória e inegociável para todos os acessos aos sistemas da Banerj Digital, sem qualquer exceção, conforme os requisitos regulatórios do Banco Central do Brasil e as melhores práticas internacionais de segurança para o setor financeiro.

9.1 Aplicação Obrigatória

• Acesso a todos os sistemas internos, intranet e ferramentas de colaboração corporativa, independentemente da localização do usuário;
• Acesso remoto via VPN ou qualquer meio externo à rede corporativa física;
• Acesso a consoles de gestão de ambientes de nuvem (AWS, Azure, GCP) e painéis de administração;
• Acesso a sistemas financeiros, plataformas de pagamento, ambientes de produção e bancos de dados;
• Acesso privilegiado por administradores, DBAs e equipes de infraestrutura e segurança;
• Acesso ao portal do cliente e aplicativo mobile da instituição.

9.2 Métodos Aceitos e Vedados

• Preferencial e obrigatório para acessos privilegiados: Chaves de segurança físicas com padrão FIDO2/WebAuthn (ex.: YubiKey), resistentes a phishing por design;
• Aceito para demais acessos: Aplicativos autenticadores TOTP homologados (Google Authenticator, Microsoft Authenticator, Authy corporativo);
• Aceito com restrição: SMS/ligação telefônica — exclusivamente para sistemas de baixa criticidade e mediante aprovação formal do CISO, dado o risco de SIM swapping;
• Absolutamente vedado: Perguntas de segurança como segundo fator de autenticação; recuperação por e-mail sem segundo fator adicional; desativação de MFA por qualquer colaborador sem autorização expressa do CISO.

9.3 Gestão de Dispositivos MFA

A perda, roubo ou comprometimento de qualquer dispositivo utilizado como fator de autenticação deve ser reportada imediatamente ao SOC pelo canal de emergência 24×7, que providenciará a revogação imediata do fator comprometido e a emissão de um novo dispositivo ou credencial, com registro completo do incidente.

---

10. GESTÃO DE SENHAS

As senhas constituem uma das principais linhas de defesa de acesso aos sistemas da Banerj Digital e devem ser gerenciadas com rigor e disciplina por todos os usuários. Os requisitos abaixo são mandatórios e tecnicamente aplicados pelos sistemas da instituição.

10.1 Requisitos de Complexidade

• Comprimento mínimo de 12 caracteres para contas padrão e 16 caracteres para contas privilegiadas de administração;
• Combinação obrigatória de letras maiúsculas, letras minúsculas, algarismos numéricos e caracteres especiais (símbolos);
• Proibida a reutilização das últimas 12 senhas cadastradas no sistema;
• Proibido o uso de informações pessoais identificáveis como componente de senha — nome, data de nascimento, CPF, número de matrícula, nome de cônjuges ou filhos;
• Proibido o uso de senhas presentes em listas de senhas comprometidas publicamente conhecidas — verificação obrigatória via integração com serviços especializados no momento da criação ou alteração.

10.2 Validade, Armazenamento e Gestão

• Senhas de contas padrão expiram a cada 90 dias, exigindo troca obrigatória pelo usuário;
• Senhas de contas privilegiadas expiram a cada 60 dias ou são rotacionadas automaticamente pelo cofre de senhas corporativo (PAM) a cada uso;
• Senhas temporárias emitidas no primeiro acesso ou após redefinição expiram em 24 horas, exigindo troca imediata;
• O armazenamento de senhas nos sistemas deve utilizar exclusivamente algoritmos de hashing com sal criptográfico (Argon2id, bcrypt com fator de custo mínimo 12, ou scrypt). É absolutamente vedado o armazenamento de senhas em texto claro ou com hashing reversível;
• O uso de gerenciador de senhas corporativo homologado é obrigatório para o armazenamento e gestão de credenciais de contas privilegiadas. É vedada a anotação de senhas em papel, planilhas, e-mails ou sistemas não homologados.

---

11. SEGURANÇA DE DISPOSITIVOS

Todos os dispositivos utilizados para acessar sistemas, redes ou dados da Banerj Digital — sejam eles de propriedade da instituição ou do colaborador (BYOD) — devem atender obrigatoriamente aos requisitos mínimos de segurança estabelecidos nesta seção antes de qualquer autorização de acesso.

11.1 Requisitos Mínimos Obrigatórios

• Registro e inventário no sistema de MDM (Mobile Device Management) corporativo como pré-condição para autorização de qualquer acesso a recursos da instituição;
• Sistema operacional e todos os aplicativos instalados mantidos sempre na versão mais recente com patches de segurança aplicados dentro dos prazos estabelecidos nesta política;
• Solução de EDR (Endpoint Detection and Response) corporativa instalada, ativa e com definições de ameaças atualizadas, com agente de monitoramento em execução contínua;
• Criptografia de disco completo obrigatória e ativa em todos os dispositivos: BitLocker no Windows, FileVault no macOS, e criptografia nativa no Linux;
• Bloqueio automático de tela configurado com tempo máximo de inatividade de 5 minutos em estações de trabalho e 2 minutos em dispositivos móveis, com reautenticação obrigatória;
• Firewall local habilitado e configurado conforme baseline de segurança corporativo distribuído pelo MDM;
• É absolutamente vedado o uso de dispositivos com sistema operacional modificado (jailbreak no iOS, root não gerenciado no Android) para acesso a qualquer recurso corporativo.

11.2 Política BYOD

O uso de dispositivos pessoais para acesso a sistemas ou dados corporativos é permitido exclusivamente mediante aprovação prévia e formal do CISO, inscrição no programa BYOD da instituição, instalação do perfil de gerenciamento MDM corporativo, aceite formal das condições de uso e ciência da possibilidade de wipe remoto do perfil corporativo em caso de perda ou desligamento.

---

12. SEGURANÇA DE REDES

A infraestrutura de redes da Banerj Digital é projetada segundo os princípios de segmentação, menor privilégio e defesa em profundidade, adotando o modelo Zero Trust como referência arquitetural para todos os novos projetos e modernizações.

12.1 Segmentação e Arquitetura

• A rede corporativa é segmentada em zonas de segurança fisicamente ou logicamente distintas: DMZ (serviços expostos à internet), rede de produção, rede de desenvolvimento e homologação, rede de gestão (OOB), rede corporativa de usuários e rede de visitantes/convidados;
• O tráfego entre zonas é controlado exclusivamente por firewalls de próxima geração (NGFW) com inspeção profunda de pacotes (DPI), sendo negado por padrão e permitido apenas quando explicitamente justificado e aprovado;
• Comunicações entre ambientes de produção e ambientes de desenvolvimento ou homologação são estritamente proibidas, sem qualquer exceção;
• A rede de visitantes (Wi-Fi Guest) é fisicamente segregada da rede corporativa, sem qualquer visibilidade de recursos internos, com isolamento de clientes e filtragem de conteúdo ativa;
• Adoção progressiva do modelo Zero Trust Network Access (ZTNA) para todos os acessos remotos, eliminando a confiança implícita baseada em localização de rede.

12.2 Controles Técnicos Obrigatórios

• Sistemas de Detecção e Prevenção de Intrusão (IDS/IPS) ativos em todos os segmentos de rede críticos, com regras e assinaturas atualizadas diariamente;
• Solução de Network Access Control (NAC) com varredura automática de dispositivos não autorizados e quarentena imediata de endpoints não conformes;
• Bloqueio automático e permanente de protocolos legados inseguros: Telnet, FTP, RDP sem MFA, SNMPv1/v2, SSLv3, TLS 1.0 e TLS 1.1;
• Sincronização de todos os dispositivos de rede com servidores NTP confiáveis para garantia de correlação precisa de eventos de segurança;
• Monitoramento de fluxo de rede (NetFlow/sFlow) em pontos estratégicos para detecção de anomalias de tráfego e movimentação lateral suspeita.

---

13. CRIPTOGRAFIA

A criptografia constitui controle mandatório e insubstituível para a proteção de dados sensíveis da Banerj Digital, sendo aplicada obrigatoriamente tanto em dados em repouso quanto em dados em trânsito, em todos os sistemas e infraestruturas sob gestão da instituição.

13.1 Padrões Criptográficos Obrigatórios

• Dados em repouso: AES-256-GCM para criptografia simétrica de volumes, bancos de dados e arquivos;
• Comunicações TLS: Exclusivamente TLS 1.2 ou superior, com preferência obrigatória por TLS 1.3 em todos os novos sistemas;
• Assinaturas digitais: RSA-SHA256 com chave mínima de 2048 bits, ou ECDSA com curva P-256 ou superior;
• Hashing de senhas: Argon2id ou bcrypt com fator de custo mínimo 12 — vedado o uso de MD5, SHA-1 ou SHA-256 puro para hashing de senhas;
• Hashing de integridade: SHA-256 como mínimo, com preferência por SHA-384 ou SHA-512 para dados críticos;
• Troca de chaves: ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) para garantia de Perfect Forward Secrecy em todas as comunicações TLS.

13.2 Gestão de Chaves Criptográficas

• Todas as chaves criptográficas utilizadas em sistemas de produção devem ser gerenciadas em HSM (Hardware Security Module) certificado FIPS 140-2 Nível 3 ou superior, nunca armazenadas em software;
• Rotação obrigatória de chaves simétricas de dados a cada 12 meses ou imediatamente após suspeita fundada de comprometimento;
• Backups de chaves críticas devem ser armazenados em localidade geográfica distinta, com acesso controlado por cerimônia de chaves envolvendo ao mínimo dois responsáveis autorizados (controle dual);
• É absolutamente vedado o armazenamento de chaves privadas ou segredos criptográficos em código-fonte, repositórios Git, arquivos de configuração não criptografados, e-mails ou qualquer sistema não homologado pelo CISO para esse fim.

---

14. SEGURANÇA EM AMBIENTES EM NUVEM

A utilização de serviços de computação em nuvem pela Banerj Digital segue o modelo de responsabilidade compartilhada, cabendo à instituição a proteção integral de seus dados, identidades, aplicações e configurações, independentemente do modelo de serviço contratado (IaaS, PaaS ou SaaS) ou do provedor utilizado.

14.1 Diretrizes de Homologação e Contratação

• Todos os provedores e serviços de nuvem devem ser previamente homologados pelo CISO e pela área de Riscos, com análise formal de conformidade (SOC 2 Type II, ISO 27001, FedRAMP ou equivalente) e revisão jurídica de cláusulas contratuais de segurança e proteção de dados;
• Dados classificados como Estritamente Confidenciais não devem residir em nuvem pública sem criptografia gerenciada exclusivamente pela Banerj Digital (BYOK — Bring Your Own Key ou HYOK — Hold Your Own Key);
• Proibição absoluta de armazenar dados reais de clientes ou de produção em ambientes de desenvolvimento, homologação ou sandbox na nuvem.

14.2 Controles Operacionais em Nuvem

• Habilitação obrigatória de Cloud Security Posture Management (CSPM) para monitoramento contínuo e automatizado de configurações incorretas ou não conformes em todos os ambientes de nuvem;
• Revisão mensal das políticas de IAM em nuvem, com eliminação de permissões excessivamente amplas (wildcards), contas não utilizadas e acessos não justificados;
• Todos os buckets, containers e repositórios de armazenamento em nuvem devem ter acesso público explicitamente bloqueado por padrão, sendo qualquer exceção objeto de aprovação formal documentada;
• Ativação de logs de auditoria (CloudTrail, Azure Monitor, GCP Audit Logs) em todos os serviços contratados, com retenção mínima de 1 ano e integração ao SIEM corporativo.

---

15. MONITORAMENTO E REGISTRO DE EVENTOS

O monitoramento contínuo e o registro sistemático de eventos de segurança são controles fundamentais e insubstituíveis para a detecção precoce de ameaças, investigação forense de incidentes e demonstração de conformidade regulatória perante auditores e órgãos reguladores.

15.1 Eventos de Registro Obrigatório

• Autenticações bem-sucedidas e falhas de login, incluindo data, hora, origem de IP, dispositivo e sistema acessado;
• Criação, modificação, suspensão e exclusão de contas de usuário, grupos e perfis de acesso;
• Alterações em configurações de sistemas, políticas de segurança e permissões de acesso;
• Acessos a dados classificados como Confidenciais ou Estritamente Confidenciais, com identificação do usuário e do ativo acessado;
• Execução de comandos privilegiados em servidores, equipamentos de rede e sistemas críticos;
• Transferências de dados acima de limiares predefinidos, especialmente para destinos externos à organização (triggers de DLP);
• Alertas e detecções gerados por antivírus, EDR, IDS/IPS, WAF e demais ferramentas de segurança;
• Mudanças em configurações de rede, firewalls e regras de acesso;
• Operações de backup, restauração e acesso a cofres de chaves criptográficas.

15.2 Retenção, Proteção e Integridade de Logs

• Logs de sistemas financeiros e de acesso a dados de clientes: retenção mínima de 5 anos, conforme exigência do BACEN e da LGPD;
• Logs de eventos de segurança gerais: 1 ano em armazenamento de acesso rápido (hot storage) e 4 anos adicionais em armazenamento arquivístico;
• Todos os logs devem ser enviados em tempo real ao SIEM corporativo e protegidos contra adulteração por mecanismos de imutabilidade (storage WORM — Write Once Read Many);
• O acesso aos logs de segurança é restrito à equipe do SOC, CSIRT e auditores autorizados. Qualquer acesso fora desses grupos deve ser justificado e aprovado pelo CISO.

---

16. CENTRO DE OPERAÇÕES DE SEGURANÇA (SOC)

O SOC da Banerj Digital opera em regime ininterrupto de 24 horas por dia, 7 dias por semana, 365 dias por ano, sendo responsável pelo monitoramento contínuo de toda a infraestrutura tecnológica da instituição, pela correlação centralizada de eventos de segurança e pela coordenação inicial da resposta a incidentes.

16.1 Responsabilidades do SOC

• Monitoramento em tempo real de todos os alertas gerados pelo SIEM, plataformas de EDR, IDS/IPS, WAF, CSPM e demais ferramentas integradas ao ecossistema de segurança;
• Triagem, classificação e priorização de eventos e alertas de segurança conforme os níveis de severidade definidos nesta política;
• Comunicação imediata ao CSIRT e ao CISO em caso de detecção de incidentes de alta criticidade (P1 e P2), dentro dos SLAs estabelecidos;
• Geração e distribuição de relatórios diários, semanais e mensais de eventos, métricas de segurança e tendências de ameaças para a liderança e stakeholders relevantes;
• Manutenção e ajuste contínuo das regras de correlação, cases e alertas do SIEM para redução de falsos positivos e melhoria da taxa de detecção;
• Realização de threat hunting proativo e periódico para identificação de ameaças persistentes avançadas (APT) que possam ter evadido os controles automatizados;
• Integração com feeds de inteligência de ameaças (Threat Intelligence) para antecipação de ataques direcionados ao setor financeiro nacional.

16.2 Métricas de Desempenho do SOC (KPIs)

• Tempo Médio de Detecção (MTTD): meta máxima de 15 minutos para alertas de severidade crítica e alta;
• Tempo Médio para Resposta (MTTR): meta máxima de 30 minutos para início da contenção de incidentes críticos;
• Taxa de falsos positivos: meta máxima de 10% do total de alertas processados mensalmente;
• Cobertura de monitoramento: meta de 100% dos ativos críticos com telemetria ativa no SIEM.

---

17. GESTÃO DE VULNERABILIDADES

A Banerj Digital mantém um programa estruturado, contínuo e formalizado de gestão de vulnerabilidades, abrangendo a identificação sistemática, avaliação criteriosa, priorização baseada em risco e remediação tempestiva de fraquezas em todos os ativos tecnológicos sob sua gestão.

17.1 Processo de Identificação

• Varreduras automatizadas de vulnerabilidades realizadas por ferramentas homologadas em todas as classes de ativos: diariamente em ativos de produção críticos, semanalmente nos demais ativos gerenciados;
• Monitoramento contínuo de boletins de segurança emitidos pelos fabricantes, pelo CISA (EUA), pelo NVD e por fontes de inteligência de ameaças setoriais;
• Revisão de configurações de segurança (hardening assessment) e análise de exposição de superfície de ataque trimestralmente.

17.2 Priorização e Prazos de Remediação

• Severidade Crítica (CVSS 9.0–10.0): Remediação ou mitigação em até 24 horas após confirmação. Escalada imediata ao CISO e à Diretoria;
• Severidade Alta (CVSS 7.0–8.9): Remediação em até 7 dias corridos. Escalada ao CISO e notificação ao gestor de TI;
• Severidade Média (CVSS 4.0–6.9): Remediação em até 30 dias corridos, podendo ser incluída no ciclo de manutenção mensal programada;
• Severidade Baixa (CVSS 0.1–3.9): Remediação em até 90 dias corridos, conforme priorização do gestor de TI.

Casos em que a remediação técnica não for viável dentro dos prazos estabelecidos devem ser documentados com plano de mitigação compensatória aprovado pelo CISO, com data definida para resolução definitiva.

---

18. TESTES DE SEGURANÇA E PENTESTS

A Banerj Digital realiza testes de segurança periódicos, sistemáticos e documentados em toda a sua infraestrutura e aplicações, com o objetivo de identificar vulnerabilidades não detectadas por ferramentas automatizadas, avaliar a eficácia real dos controles implantados e simular o comportamento de adversários reais.

18.1 Modalidades de Testes

• Pentest de Infraestrutura (caixa cinza): Realizado semestralmente, cobrindo redes internas, DMZ, sistemas expostos à internet e ambientes de nuvem, com validação de controles de acesso, segmentação e monitoramento;
• Pentest de Aplicações Web e Mobile: Obrigatório a cada release maior de aplicativo de alto impacto e, no mínimo, anualmente para todos os sistemas com acesso externo;
• Exercício de Red Team: Anual, simulando um adversário persistente com objetivos de comprometimento de sistemas críticos, com equipe externa certificada e escopo definido pelo CISO;
• Teste de Engenharia Social: Semestral, incluindo campanhas de phishing simulado, testes de vishing e tentativas controladas de acesso físico não autorizado;
• Exercícios Purple Team: Semestrais, com colaboração ativa entre equipes ofensivas (Red) e defensivas (Blue), focados na melhoria da capacidade de detecção e resposta do SOC.

18.2 Requisitos e Gestão dos Resultados

• Todos os pentests externos devem ser conduzidos por empresas especializadas e profissionais com certificações reconhecidas (OSCP, CREST, GPEN ou equivalente);
• Escopo, metodologia, regras de engajamento e autorização formal devem ser documentados e assinados pelo CISO antes do início de qualquer teste;
• Relatórios de pentest são classificados como Estritamente Confidenciais e têm acesso restrito ao CISO, à equipe de Segurança e à Auditoria Interna;
• Todos os achados de severidade Crítica e Alta devem ser remediados antes do próximo ciclo de testes, com evidências de correção documentadas.

---

19. GESTÃO DE CORREÇÕES E ATUALIZAÇÕES

A aplicação sistemática e tempestiva de correções de segurança (patches) é controle mandatório para todos os sistemas, softwares, firmwares e componentes tecnológicos sob gestão da Banerj Digital, constituindo uma das principais medidas preventivas contra a exploração de vulnerabilidades conhecidas.

19.1 Processo de Patching

• Inventário automatizado, atualizado e abrangente de todos os ativos — hardware, sistemas operacionais, middlewares e aplicações — é pré-requisito obrigatório para o processo de patching eficaz;
• Monitoramento contínuo de boletins de segurança dos fabricantes e alertas de vulnerabilidades críticas emitidos pelo CISA e por organismos de referência do setor;
• Patches de severidade Crítica e zero-days confirmados: Aplicação em regime de emergência em até 24 horas, com comunicação prévia às áreas impactadas e rollback planejado;
• Patches de alta severidade: Aplicação em até 7 dias após homologação em ambiente de testes idêntico ao de produção;
• Patches de severidade média e baixa: Integrados ao ciclo mensal de manutenção programada;
• Sistemas legados sem suporte ativo do fabricante devem ser imediatamente isolados da rede de produção, operados apenas com controles compensatórios aprovados pelo CISO e submetidos a plano formal e datado de descontinuação ou substituição.

19.2 Janelas de Manutenção

Todas as atualizações em sistemas de produção devem ser executadas durante janelas de manutenção previamente aprovadas, com comunicação formal às áreas de negócio impactadas, plano de rollback documentado e testado, e verificação de integridade pós-aplicação antes da reativação do serviço.

---

20. SEGURANÇA DE APLICAÇÕES

Todas as aplicações da Banerj Digital que processam dados de clientes, realizam operações financeiras ou integram sistemas críticos devem atender aos requisitos de segurança estabelecidos pelo OWASP Application Security Verification Standard (ASVS) Nível 2, e Nível 3 para aplicações de mais alta criticidade, como plataformas de pagamento e internet banking.

20.1 Controles Técnicos Obrigatórios

• Web Application Firewall (WAF) posicionado à frente de todas as aplicações expostas à internet, com regras atualizadas e modo de bloqueio ativo;
• Proteção implementada e verificada contra todos os riscos do OWASP Top 10 (injeção, autenticação quebrada, XSS, IDOR, misconfiguration, entre outros), com validação em cada release;
• Sanitização e validação rigorosa de todas as entradas do usuário no lado do servidor — nunca exclusivamente no cliente;
• Implementação obrigatória de headers de segurança HTTP: Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Frame-Options, X-Content-Type-Options e Referrer-Policy;
• Proteção anti-CSRF com tokens únicos por sessão em todos os formulários e endpoints que alteram estado no sistema;
• Rate limiting e proteção contra ataques de credential stuffing e brute force em todos os endpoints de autenticação;
• Tokens de sessão gerados com entropia mínima de 128 bits, transmitidos exclusivamente via HTTPS com atributos HttpOnly, Secure e SameSite=Strict;
• Timeout de sessão configurado para no máximo 15 minutos de inatividade em aplicações financeiras e 30 minutos nas demais.

---

21. SEGURANÇA DO DESENVOLVIMENTO DE SOFTWARE

A Banerj Digital adota o paradigma DevSecOps como modelo padrão de desenvolvimento, integrando controles e verificações de segurança em todas as etapas do ciclo de vida de desenvolvimento de software (SDLC), desde a concepção até a operação e eventual descontinuação.

21.1 Etapas e Controles por Fase

• Requisitos: Levantamento formal de requisitos de segurança e privacidade como parte integrante do backlog, com modelagem de ameaças (metodologia STRIDE) para funcionalidades novas de alto impacto;
• Design: Revisão de arquitetura de segurança obrigatória pelo Arquiteto de Segurança antes do início do desenvolvimento de qualquer componente crítico;
• Codificação: Análise estática de código (SAST) automatizada no pipeline CI/CD com falha de build em caso de vulnerabilidades críticas; revisão obrigatória de código por segundo desenvolvedor (code review) para toda funcionalidade que acesse dados sensíveis ou implemente lógica de autenticação e autorização;
• Build: Verificação automatizada de dependências de terceiros (SCA — Software Composition Analysis) e geração de SBOM (Software Bill of Materials) para rastreabilidade da cadeia de suprimentos de software;
• Teste: Análise dinâmica (DAST) em ambiente de homologação com configuração idêntica à de produção; testes de segurança manuais para funcionalidades de alta criticidade;
• Deploy: Aprovação formal de segurança obrigatória como gate para qualquer promoção ao ambiente de produção; verificação de configurações de segurança antes da ativação;
• Operação: Monitoramento de runtime (RASP) e coleta de telemetria de segurança integrada ao SOC; revisão periódica conforme ciclo de pentests.

Regra inegociável: Segredos, tokens, chaves de API, senhas e credenciais nunca devem ser incluídos em código-fonte, commits Git ou arquivos de configuração. O uso de cofre de secrets homologado (HashiCorp Vault, AWS Secrets Manager ou equivalente) é obrigatório para gestão de todas as credenciais de sistemas.

---

22. PROTEÇÃO CONTRA MALWARE

A Banerj Digital implementa múltiplas camadas sobrepostas de proteção contra software malicioso — vírus, ransomware, trojans, spyware, rootkits e demais categorias — abrangendo endpoints, servidores, redes, e-mail e aplicações, conforme o princípio da defesa em profundidade.

22.1 Controles Implementados

• Solução EDR (Endpoint Detection and Response) com capacidade de detecção baseada em comportamento, isolamento automático de host comprometido e resposta remota, instalada em 100% dos endpoints gerenciados e monitorada pelo SOC;
• Antimalware com análise em sandbox de anexos suspeitos nos gateways de e-mail, com bloqueio automático de arquivos executáveis e scripts em mensagens recebidas;
• Filtragem de conteúdo web com bloqueio de categorias de risco e domínios maliciosos conhecidos via DNS seguro (DNS-over-HTTPS) integrado a feeds de threat intelligence atualizados em tempo real;
• Application whitelisting em servidores críticos de produção, permitindo a execução apenas de binários assinados e previamente autorizados pelo time de Segurança;
• Bloqueio de execução de macros em documentos Office originados da internet ou recebidos por e-mail, conforme política de grupo aplicada via MDM;
• Monitoramento comportamental de acesso anômalo a arquivos (honeytokens e honeypots internos) para detecção precoce de ransomware ou exfiltração em curso.

22.2 Procedimento em Caso de Infecção Confirmada

Qualquer endpoint com confirmação ou forte suspeita de infecção por malware deve ser imediatamente isolado da rede corporativa pelo analista do SOC ou pelo próprio colaborador se orientado, preservado para análise forense sem desligamento abrupto quando possível, e reportado ao SOC para abertura de incidente P1 ou P2 conforme impacto identificado.

---

23. PREVENÇÃO A ATAQUES CIBERNÉTICOS

A Banerj Digital adota controles preventivos, detectivos e de resposta contra as principais categorias de ataques cibernéticos direcionados ao setor financeiro, reconhecendo que a eficácia dessas proteções depende da combinação entre controles técnicos robustos, processos bem definidos e conscientização humana.

23.1 Proteção contra DDoS

• Serviço de mitigação de DDoS de camadas 3, 4 e 7 contratado com provedor especializado e geograficamente distribuído (scrubbing center), com capacidade de absorção acima da banda máxima contratada de uplink;
• Plano de mitigação documentado com procedimentos de ativação em até 15 minutos após confirmação do ataque pelo SOC;
• Rate limiting e proteção de volumetria configurados em todos os pontos de entrada de tráfego externo.

23.2 Proteção contra Ransomware

• Backups imutáveis e testados periodicamente como última linha de defesa para recuperação sem pagamento de resgate (ver Seção 28);
• Segmentação rigorosa de rede para limitar propagação lateral em caso de comprometimento inicial de um endpoint;
• Bloqueio de ferramentas de administração remota não autorizadas que possam ser utilizadas como vetor de movimentação lateral por adversários.

23.3 Proteção contra Ataques à Cadeia de Suprimentos

• Verificação de integridade de dependências de software por checksums e assinaturas digitais em todos os builds;
• Análise SCA (Software Composition Analysis) obrigatória de todas as dependências de terceiros integradas ao pipeline CI/CD;
• Due diligence aprofundada de segurança para todos os fornecedores de software, bibliotecas e componentes de infraestrutura crítica.

---

24. PROTEÇÃO CONTRA ENGENHARIA SOCIAL

Ataques de engenharia social representam consistentemente uma das principais ameaças ao setor financeiro mundial, explorando o fator humano como vetor de entrada. A Banerj Digital adota controles técnicos e comportamentais para mitigar esse risco em todas as suas modalidades.

24.1 Modalidades e Controles Específicos

• Phishing por e-mail: Filtragem anti-phishing avançada em gateway de e-mail com análise de reputação e sandboxing; autenticação de remetentes com DMARC (política p=reject), DKIM e SPF; treinamentos periódicos com simulações reais (ver Seção 36);
• Spear Phishing: Monitoramento ativo de menção a executivos e marcas da instituição em fontes abertas (OSINT) para antecipação de campanhas direcionadas;
• Vishing (telefone): Procedimento formal obrigatório de verificação de identidade antes de qualquer ação baseada em solicitação telefônica, especialmente para reset de credenciais e mudanças de conta. Nenhuma credencial ou dado sensível pode ser fornecido por telefone, sem exceções;
• Pretexting: Treinamento específico para reconhecimento de solicitações urgentes, incomuns ou que contornem os processos estabelecidos, especialmente em contextos de suposta autoridade;
• Baiting físico (USB drops e mídias maliciosas): Bloqueio técnico de execução automática em todos os endpoints; proibição de conexão de mídias removíveis desconhecidas; honeypots físicos em áreas de acesso controlado.

Todo colaborador que suspeite de uma tentativa de engenharia social — mesmo que não tenha cedido a qualquer informação — deve reportar imediatamente ao SOC pelo canal oficial, contribuindo para a inteligência coletiva de ameaças da instituição.

---

25. SEGURANÇA DO CORREIO ELETRÔNICO

O correio eletrônico corporativo constitui o principal vetor de entrada de ataques cibernéticos e deve ser utilizado com plena consciência dos riscos associados. Controles técnicos e procedimentais complementares são aplicados para reduzir a superfície de ataque e proteger a comunicação institucional.

25.1 Controles Técnicos de E-mail

• Autenticação de remetentes com SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC com política p=reject para o domínio corporativo, prevenindo spoofing e falsificação de identidade;
• Gateway de e-mail seguro (SEG) com sandboxing de anexos suspeitos, análise de URLs em tempo real e reescrita de links para verificação antes do clique do usuário;
• Bloqueio automático de tipos de arquivo executáveis e de alto risco em anexos de e-mail (.exe, .bat, .cmd, .ps1, .vbs, .js, .jar, .msi e similares);
• Criptografia obrigatória para e-mails contendo dados classificados como Confidenciais ou Estritamente Confidenciais, utilizando S/MIME ou PGP com certificados corporativos;
• Marcação visual automática e proeminente de e-mails externos com banner de alerta, diferenciando-os visualmente de comunicações internas;
• Proteção avançada contra BEC (Business Email Compromise) com análise comportamental e alertas para tentativas de impersonação de executivos.

25.2 Regras de Uso do E-mail Corporativo

• É vedado o encaminhamento automático ou manual de e-mails corporativos para contas de e-mail pessoais externas à organização;
• Dados pessoais ou financeiros de clientes não devem ser transmitidos por e-mail sem criptografia adequada e aprovação prévia do gestor responsável;
• Links recebidos por e-mail, mesmo de remetentes conhecidos, devem ser verificados antes do clique, especialmente mensagens que transmitam urgência ou solicitem ações incomuns.

---

26. SEGURANÇA DE DISPOSITIVOS MÓVEIS

Dispositivos móveis — smartphones, tablets e laptops de uso mobile — representam uma superfície de ataque crescente e devem ser gerenciados com o mesmo rigor aplicado a estações de trabalho fixas. Esta seção aplica-se tanto a dispositivos corporativos quanto a dispositivos pessoais utilizados no contexto BYOD.

26.1 Controles Obrigatórios para Dispositivos Móveis

• Inscrição no sistema de MDM (Mobile Device Management) corporativo como pré-condição indispensável para autorização de acesso a qualquer recurso, dado, sistema ou rede interna da instituição;
• Criptografia de armazenamento local habilitada e verificada pelo MDM em todos os dispositivos gerenciados;
• Bloqueio de tela com autenticação biométrica ou PIN alfanumérico de ao menos 6 dígitos, com bloqueio automático após no máximo 2 minutos de inatividade;
• Capacidade de wipe remoto ativada e testada periodicamente — em caso de perda ou roubo, o colaborador deve reportar ao SOC em até 2 horas para acionamento imediato do apagamento remoto do perfil corporativo;
• Proibição de instalação de aplicativos de fontes não oficiais (sideloading) em dispositivos com acesso a recursos corporativos;
• Separação técnica obrigatória entre perfis corporativo e pessoal (Android Work Profile ou equivalente em iOS com MDM) para isolamento de dados corporativos.

26.2 Aplicativos Móveis da Instituição

Aplicativos desenvolvidos pela Banerj Digital para plataformas móveis (iOS e Android) devem ser submetidos a pentest de acordo com o padrão OWASP Mobile Application Security Verification Standard (MASVS) antes de cada publicação nas lojas oficiais, e devem implementar certificate pinning, detecção de root/jailbreak e proteção contra análise dinâmica (anti-tampering).

---

27. USO ACEITÁVEL DOS RECURSOS TECNOLÓGICOS

Os recursos tecnológicos da Banerj Digital — incluindo computadores, servidores, redes, sistemas, e-mail, acesso à internet e dispositivos móveis corporativos — são fornecidos primariamente para o desempenho das atividades profissionais e devem ser utilizados de forma responsável, ética, produtiva e em conformidade com esta política e com a legislação brasileira aplicável.

27.1 Usos Permitidos

• Acesso a sistemas, ferramentas e bases de dados necessários ao desempenho das funções profissionais atribuídas;
• Comunicação profissional por e-mail corporativo, telefone institucional e ferramentas de colaboração homologadas;
• Pesquisa, consulta e acesso a conteúdo legítimo diretamente relacionado às atividades laborais;
• Uso pessoal razoável e ocasional dos recursos de comunicação, desde que não interfira com as atividades profissionais, não consuma recursos de rede de forma excessiva e não viole nenhuma outra disposição desta política.

27.2 Usos Expressamente Proibidos

• Acessar, armazenar, transmitir, produzir ou compartilhar conteúdo ilegal, ofensivo, discriminatório, de assédio, pornográfico ou que viole direitos de terceiros;
• Instalar, executar ou distribuir softwares não homologados pela área de TI sem autorização formal prévia;
• Utilizar recursos computacionais corporativos para mineração de criptomoedas, jogos eletrônicos, streaming de entretenimento em alta resolução ou quaisquer atividades com fins lucrativos pessoais;
• Compartilhar credenciais de acesso, tokens de autenticação ou chaves privadas com qualquer terceiro, incluindo colegas de trabalho, independentemente do motivo;
• Conectar dispositivos de armazenamento pessoais não autorizados, roteadores, hubs, switches ou qualquer equipamento de rede à infraestrutura corporativa sem aprovação da TI;
• Contornar, desabilitar, modificar ou tentar subverter controles de segurança, proxies, filtros de conteúdo, firewalls ou sistemas de monitoramento.

---

28. BACKUP E RECUPERAÇÃO

A Banerj Digital mantém estratégia robusta, testada e documentada de backup baseada na regra 3-2-1-1: três cópias dos dados, em dois tipos de mídia ou tecnologia diferentes, com uma cópia armazenada em localidade offsite geograficamente separada e uma cópia imutável (armazenamento WORM ou airgapped), protegendo a instituição contra ransomware, falhas de hardware e desastres físicos.

28.1 Requisitos de Backup por Categoria

• Dados de clientes e sistemas financeiros: Backup completo diário, incremental a cada hora, retenção mínima de 7 anos conforme exigência regulatória do BACEN;
• Dados operacionais críticos: Backup completo diário, retenção mínima de 1 ano em storage de rápida recuperação;
• Configurações de sistemas, infraestrutura e segurança: Backup automático a cada mudança registrada e backup completo diário, retenção mínima de 6 meses;
• Todos os backups devem ser criptografados com AES-256, com chaves gerenciadas de forma completamente separada dos dados de backup em HSM dedicado;
• Dados de backup devem residir em pelo menos duas regiões geográficas distintas, uma delas sendo datacenter próprio ou colocation sob controle direto da instituição.

28.2 Testes de Restauração

• Testes de restauração de dados críticos: obrigatórios mensalmente, com validação de integridade e funcionalidade dos dados restaurados;
• Testes de restauração completa de sistemas críticos: obrigatórios trimestralmente, medindo o tempo efetivo de recuperação contra o RTO estabelecido;
• Resultados de todos os testes de restauração devem ser documentados formalmente, com assinatura do responsável de TI e ciência do CISO, compondo evidência de conformidade para auditorias.

---

29. CONTINUIDADE DE NEGÓCIOS

O Plano de Continuidade de Negócios (PCN) da Banerj Digital assegura que as funções críticas da organização possam ser mantidas em nível mínimo aceitável ou rapidamente retomadas após qualquer interrupção relevante — seja por incidente técnico, ataque cibernético, falha de fornecedor crítico, desastre natural, pandemia ou qualquer outra causa de força maior.

29.1 Componentes do Plano de Continuidade

• Análise de Impacto nos Negócios (BIA — Business Impact Analysis): Identificação, priorização e caracterização de todos os processos de negócio críticos, com definição dos objetivos de recuperação (RTO e RPO), dependências tecnológicas e humanas, e impactos financeiros e regulatórios por hora de indisponibilidade;
• Estratégias de Continuidade: Definição e documentação de alternativas operacionais viáveis para cada processo crítico — trabalho remoto em massa, ativação de site alternativo, utilização de sistemas de contingência ou processos manuais temporários com formulários físicos;
• Plano de Comunicação em Crise: Árvore de comunicação atualizada semestralmente com contatos primários e secundários de todos os stakeholders internos e externos relevantes, incluindo reguladores, parceiros e clientes estratégicos;
• Estrutura de Gestão de Crise: Definição de papéis, responsabilidades e autoridades durante crises, com designação de Gerente de Crise e equipe de suporte multidisciplinar.

29.2 Manutenção e Exercícios de Continuidade

• O PCN deve ser formalmente revisado e atualizado anualmente ou imediatamente após qualquer incidente significativo, mudança organizacional relevante ou alteração substancial na infraestrutura tecnológica;
• Exercícios de simulação de mesa (tabletop exercises) realizados semestralmente com participação de representantes de todas as áreas críticas;
• Simulação completa de interrupção com ativação real do site de contingência realizada anualmente, com medição efetiva dos tempos de recuperação;
• Resultados e lições aprendidas de todos os exercícios devem ser documentados e reportados ao Comitê de Segurança e ao Conselho de Administração.

---

30. PLANO DE RECUPERAÇÃO DE DESASTRES

O Plano de Recuperação de Desastres (DRP — Disaster Recovery Plan) define os procedimentos técnicos detalhados, as responsabilidades específicas e os recursos necessários para a restauração dos sistemas de tecnologia da informação após um desastre ou interrupção grave que torne o ambiente principal de TI indisponível por período superior ao tolerável.

30.1 Objetivos de Recuperação por Sistemas

• Plataforma de pagamentos, PIX e TED: RTO de 1 hora / RPO de 15 minutos — Criticidade Máxima;
• Internet Banking e Aplicativo Mobile: RTO de 2 horas / RPO de 30 minutos — Alta Criticidade;
• Core Banking e sistemas de conta corrente: RTO de 4 horas / RPO de 1 hora — Alta Criticidade;
• E-mail corporativo e ferramentas de colaboração: RTO de 8 horas / RPO de 4 horas — Média Criticidade;
• Sistemas administrativos e de backoffice: RTO de 24 horas / RPO de 8 horas — Criticidade Normal.

30.2 Infraestrutura de Contingência

• Site de contingência (hot standby) em localidade geograficamente distante do datacenter principal, com replicação de dados em tempo real para sistemas de Criticidade Máxima e Alta;
• Failover automático e testado para sistemas de Criticidade Máxima, com failover manual documentado e praticado para as demais categorias;
• Capacidade de operação em modo degradado garantida, com funcionalidades essenciais disponíveis mesmo que alguns sistemas secundários permaneçam indisponíveis durante a recuperação;
• Testes de failover reais realizados semestralmente, com documentação dos resultados e ajustes nos procedimentos conforme necessário.

---

31. GESTÃO DE INCIDENTES DE SEGURANÇA

A Banerj Digital mantém um processo estruturado, documentado e continuamente aprimorado para a gestão de incidentes de segurança, fundamentado nas melhores práticas do NIST SP 800-61, nas diretrizes do BACEN e nos requisitos da LGPD, assegurando resposta coordenada, eficaz e dentro dos prazos regulatórios aplicáveis.

31.1 Classificação de Incidentes por Severidade

• P1 — Crítico: Interrupção confirmada de serviço crítico ao cliente, vazamento confirmado de dados pessoais ou financeiros, comprometimento sistêmico de infraestrutura de produção, ou ataque em andamento com impacto financeiro ou regulatório imediato. Resposta imediata e escalada ao CISO, Diretoria e Conselho em até 15 minutos;
• P2 — Alto: Impacto significativo a sistemas ou dados, acesso não autorizado confirmado a dados sensíveis, ameaça ativa identificada em fase de progressão, interrupção parcial de serviço crítico. Resposta em até 1 hora;
• P3 — Médio: Impacto limitado e contido, tentativa de ataque sem sucesso confirmado, violação de política sem dano imediato identificável. Resposta em até 4 horas;
• P4 — Baixo: Evento suspeito isolado, anomalia de comportamento sem confirmação de comprometimento, violação de política procedimental sem impacto técnico. Atendimento no próximo dia útil.

31.2 Canal Oficial de Reporte

Todos os colaboradores devem reportar incidentes e suspeitas de incidentes de segurança exclusivamente pelos canais oficiais disponíveis 24×7: ramal dedicado do SOC, e-mail seguro de incidentes ou portal interno de reporte. Nunca por canais informais como WhatsApp pessoal, ligação direta para colegas ou e-mail pessoal. A omissão no reporte de incidentes suspeitos é considerada infração a esta política.

---

32. RESPOSTA A INCIDENTES

O CSIRT da Banerj Digital conduz a resposta a incidentes de segurança confirmados seguindo as seis fases estabelecidas pelo NIST SP 800-61, garantindo tratamento coordenado, minimização de danos e aprendizado organizacional estruturado.

32.1 Fases da Resposta a Incidentes

• 1. Preparação: Manutenção contínua de ferramentas, playbooks documentados por tipo de incidente, treinamentos regulares da equipe, canais de comunicação de crise testados e acordos de cooperação com CERTs e organismos de segurança do setor financeiro;
• 2. Identificação e Análise: Confirmação e classificação do incidente, coleta e preservação de evidências forenses com cadeia de custódia documentada, identificação dos sistemas e dados afetados, estimativa preliminar de impacto e ativação do CSIRT;
• 3. Contenção: Isolamento dos sistemas comprometidos, bloqueio de acessos e comunicações maliciosas, implementação de controles compensatórios e preservação da cadeia de evidências para eventual investigação legal;
• 4. Erradicação: Remoção completa e verificada da causa raiz do incidente — malware, acesso indevido, configuração vulnerável ou backdoor implantado. Verificação da integridade de todos os sistemas afetados antes da restauração;
• 5. Recuperação: Restauração controlada e gradual dos sistemas a partir de backups íntegros e verificados, monitoramento intensificado pós-restauração por período mínimo de 72 horas e retorno gradual à operação normal com aprovação do CISO;
• 6. Pós-Incidente (Lições Aprendidas): Relatório completo com análise de causa raiz, timeline detalhado, escopo do impacto, ações de contenção e remediação adotadas, e plano de melhorias preventivas — entregue ao CISO, à Diretoria e ao Comitê de Segurança em até 15 dias úteis para incidentes P1 e P2.

32.2 Comunicações Regulatórias

O CISO é responsável por coordenar a comunicação de incidentes críticos ao Banco Central do Brasil, à ANPD e a demais autoridades competentes dentro dos prazos regulatórios específicos de cada órgão, com apoio das áreas de Compliance e Jurídico.

---

33. TRATAMENTO DE VAZAMENTOS DE DADOS

O vazamento — acidental ou intencional — de dados pessoais ou financeiros de clientes, colaboradores ou parceiros constitui evento de máxima gravidade, sujeitando a instituição a obrigações legais imediatas e impostergáveis perante a ANPD (conforme a LGPD) e o Banco Central do Brasil, além de potenciais danos reputacionais irreversíveis.

33.1 Procedimento Imediato de Resposta

• Ativação imediata do CSIRT com classificação P1 e notificação simultânea ao CISO e ao DPO (Data Protection Officer) tão logo o incidente seja confirmado ou fortemente suspeito;
• Contenção urgente do vazamento: isolamento de sistemas comprometidos, revogação de acessos utilizados no incidente, bloqueio de canais de exfiltração identificados;
• Avaliação forense do escopo completo: quais dados foram expostos, de quantos titulares, com que nível de sensibilidade, por qual período e por qual vetor técnico ou humano;
• Notificação obrigatória à ANPD em até 72 horas da confirmação do incidente que apresente risco relevante ou alto aos direitos e liberdades dos titulares de dados pessoais;
• Comunicação individual e direta aos titulares afetados quando o incidente apresentar risco elevado — comunicação clara, em linguagem acessível, sobre o que ocorreu e as medidas tomadas;
• Notificação ao BACEN conforme os prazos e formatos estabelecidos pela Resolução BCB nº 85/2021 e demais normativos aplicáveis.

33.2 Documentação e Evidências

Toda a cadeia de custódia de evidências, as decisões tomadas em cada etapa da resposta, as comunicações realizadas com reguladores e titulares, e as medidas de remediação implementadas devem ser registradas em sistema de controle de incidentes com controles de imutabilidade, para fins de prestação de contas regulatória e eventual processo judicial.

---

34. GESTÃO DE TERCEIROS

O risco introduzido por fornecedores, parceiros comerciais, prestadores de serviços de tecnologia e demais terceiros com acesso a sistemas, dados ou instalações da Banerj Digital constitui vetor crítico de ameaça e deve ser gerenciado com rigor equivalente ao aplicado à cadeia interna de controles.

34.1 Due Diligence de Segurança

• Avaliação formal de segurança obrigatória antes da contratação de qualquer fornecedor ou parceiro com acesso — direto ou indireto — a sistemas, dados pessoais, informações financeiras ou instalações da Banerj Digital;
• Todos os contratos com terceiros relevantes devem incluir cláusulas mandatórias de segurança da informação, confidencialidade, obrigações de notificação de incidentes em até 24 horas, exigências de conformidade com a LGPD e direito contratual de auditoria;
• Fornecedores críticos — aqueles que processam dados de clientes ou operam sistemas essenciais — devem apresentar anualmente certificação ISO 27001 vigente ou relatório SOC 2 Type II recente;
• Revisão anual obrigatória da postura de segurança de todos os fornecedores críticos, por meio de questionários padronizados, entrevistas técnicas ou auditorias in loco.

34.2 Controles de Acesso para Terceiros

• Acesso de terceiros a sistemas de produção deve ser realizado por conta de acesso temporário, nominada ao indivíduo específico, com MFA obrigatório, janela de acesso definida e revogação automática ao término;
• Sessões de acesso privilegiado de terceiros a sistemas críticos devem ser gravadas e monitoradas em tempo real pelo SOC, com arquivo das gravações pelo prazo mínimo de 1 ano;
• Acesso remoto de terceiros deve ser realizado exclusivamente via solução de acesso remoto seguro corporativa (VPN ou ZTNA dedicado), sendo vedado o uso de ferramentas de acesso remoto não controladas pela instituição.

---

35. SEGURANÇA FÍSICA

A segurança física é parte integrante e indissociável do programa de segurança da Banerj Digital, protegendo pessoas, equipamentos, instalações e informações físicas contra acesso não autorizado, danos, furtos e interferências que possam comprometer a continuidade operacional ou a confidencialidade de dados.

35.1 Zonas de Segurança Física e Controles de Acesso

• Zona Pública: Áreas de atendimento ao público e recepção, com monitoramento por câmeras e vigilância presencial durante o horário de funcionamento;
• Zona Interna Controlada: Escritórios e áreas de trabalho, com acesso controlado por cartão de proximidade ou biometria, restrito a colaboradores e visitantes acompanhados;
• Zona Restrita: Datacenters, salas de servidores, cofres de chaves e áreas de operações críticas. Acesso restrito ao mínimo de pessoal com necessidade estritamente justificada, com dupla autenticação obrigatória (cartão + biometria), câmeras de segurança com gravação mínima de 90 dias, registro eletrônico de cada entrada e saída, e monitoramento 24×7;
• Visitantes em Zonas Internas e Restritas devem ser identificados, registrados e acompanhados por colaborador autorizado durante toda a permanência nas instalações.

35.2 Proteção de Equipamentos e Informações Físicas

• Política de Mesa Limpa (Clean Desk Policy): documentos físicos, mídias de armazenamento e anotações com dados sensíveis devem ser guardados em local seguro ao término de cada expediente e sempre que o colaborador se ausentar do posto por período prolongado;
• Política de Tela Limpa: telas de computador devem ser bloqueadas sempre que o colaborador se ausentar do posto de trabalho, mesmo que por curto período;
• Impressão de documentos Confidenciais e Estritamente Confidenciais deve ser realizada exclusivamente em impressoras seguras com autenticação por cartão ou PIN antes da liberação da impressão;
• Descarte de documentos físicos e mídias de armazenamento deve ser realizado por trituração de papel com nível de segurança DIN 66399 P-4 ou superior e desmagnetização certificada ou destruição física de mídias, com certificado de descarte seguro quando aplicável.

---

36. CONSCIENTIZAÇÃO E TREINAMENTO

A construção e manutenção de uma cultura organizacional de segurança robusta depende do engajamento contínuo, genuíno e informado de todos os colaboradores. A Banerj Digital investe permanentemente em um programa estruturado de conscientização e capacitação em segurança da informação, reconhecendo que o fator humano é simultaneamente o principal vetor de risco e a mais eficaz linha de defesa.

36.1 Treinamentos Obrigatórios

• Treinamento de Integração (Onboarding): Obrigatório nos primeiros 5 dias úteis de ingresso de qualquer colaborador, estagiário ou prestador de serviço com acesso a sistemas. Inclui apresentação desta PSI, responsabilidades individuais, procedimentos de reporte e uso seguro dos recursos tecnológicos;
• Treinamento Anual de Reciclagem: Obrigatório para todos os colaboradores, com avaliação de conhecimento, registro de conclusão e atualização de conteúdo para refletir o cenário atual de ameaças e mudanças regulatórias;
• Treinamento Especializado por Função: Capacitação técnica aprofundada para equipes de TI, Desenvolvimento, Segurança e Compliance, conforme as responsabilidades específicas de cada função, com carga horária mínima definida pelo CISO;
• Campanhas Periódicas de Phishing Simulado: Exercícios trimestrais com cenários realistas e atualizados de phishing, spear phishing e smishing. Colaboradores que interagem com os simulados são encaminhados para módulo de treinamento remediativo de conclusão obrigatória.

36.2 Métricas do Programa de Conscientização

• Taxa de conclusão dos treinamentos obrigatórios: meta de 100% dentro dos prazos estabelecidos;
• Taxa de cliques em campanhas de phishing simulado: meta de redução progressiva abaixo de 5% ao final de cada ciclo anual;
• Taxa de reporte de e-mails suspeitos pelos colaboradores: indicador de cultura de segurança, com meta de crescimento trimestral.

---

37. AUDITORIA E CONFORMIDADE

A Banerj Digital submete seu programa de segurança da informação a avaliações regulares, sistemáticas e independentes, internas e externas, assegurando a conformidade contínua com os requisitos regulatórios, contratuais e com os padrões de melhores práticas adotados como referência pela instituição.

37.1 Auditorias Internas de Segurança

• A área de Auditoria Interna realiza avaliações semestrais dos controles de segurança da informação, com escopo definido conjuntamente pelo Comitê de Auditoria e pelo CISO, baseado em análise de risco;
• Achados de auditoria devem ser formalmente classificados por criticidade, com responsável designado para cada item, prazo de remediação estabelecido e plano de ação documentado;
• Acompanhamento mensal pelo CISO da evolução e fechamento das recomendações de auditoria em aberto, com escalada ao Comitê em caso de atrasos.

37.2 Auditorias Externas e Conformidade Regulatória

• Auditoria externa anual de segurança da informação por empresa independente e especializada, sem conflito de interesses com a gestão;
• Avaliação de conformidade com as Resoluções CMN 4.893/2021 e BCB 85/2021 realizada anualmente, com elaboração do Relatório de Avaliação de Segurança Cibernética entregue ao BACEN nos prazos regulamentares;
• Avaliação de conformidade com a LGPD conduzida pelo DPO anualmente, com relatório ao Comitê de Segurança e à Diretoria.

37.3 Indicadores de Conformidade (KPIs Regulatórios)

• Percentual de patches críticos aplicados dentro do prazo: meta mínima de 98%;
• Percentual de colaboradores com treinamento de segurança em dia: meta de 100%;
• Revisões de acesso privilegiado concluídas no prazo: meta de 100%;
• Achados críticos de auditoria com remediação concluída dentro do prazo acordado: meta de 100%;
• Incidentes notificados ao BACEN e à ANPD dentro dos prazos regulatórios: meta de 100%.

---

38. PENALIDADES E MEDIDAS DISCIPLINARES

O descumprimento das disposições desta Política de Segurança da Informação e Segurança Cibernética sujeitará o infrator a medidas disciplinares proporcionais à gravidade da infração, ao grau de dolo ou culpa, ao impacto efetivo ou potencial causado à instituição, aos clientes ou ao sistema financeiro, e ao histórico individual de infrações anteriores.

38.1 Enquadramento das Infrações e Penalidades Aplicáveis

• Infrações Leves: Não bloqueio de tela ao se ausentar, descumprimento pontual de procedimentos de uso aceitável sem impacto identificado, não conclusão de treinamento dentro do prazo. Penalidades: advertência verbal registrada em prontuário e encaminhamento para treinamento remediativo de conclusão obrigatória.
• Infrações Moderadas: Compartilhamento não autorizado de credenciais, acesso a dados de colegas sem justificativa de negócio, instalação de software não homologado, descumprimento recorrente de políticas de segurança. Penalidades: advertência escrita formal, suspensão temporária de acessos não essenciais, treinamento obrigatório e acompanhamento pelo gestor.
• Infrações Graves: Exfiltração de dados corporativos ou de clientes, sabotagem de controles de segurança, acesso não autorizado a dados sigilosos de clientes, negação de cooperação em investigação de incidente. Penalidades: suspensão imediata de todos os acessos, demissão por justa causa com aplicação dos dispositivos da CLT, responsabilização civil e notificação às autoridades competentes.
• Infrações Gravíssimas: Comercialização ou entrega de dados a terceiros não autorizados, cumplicidade ativa em ataques cibernéticos contra a instituição, comprometimento deliberado de sistemas críticos. Penalidades: rescisão imediata do vínculo, ação judicial cível e criminal, comunicação ao Banco Central do Brasil, à ANPD e às autoridades policiais competentes.

38.2 Terceiros

Para prestadores de serviço, parceiros e fornecedores, as infrações a esta política implicam rescisão contratual imediata sem ônus para a Banerj Digital, acionamento das cláusulas de indenização previstas contratualmente, comunicação às autoridades regulatórias pertinentes e inclusão em lista de restrição de relacionamento, conforme a gravidade apurada.

---

39. ATUALIZAÇÕES DA POLÍTICA

A presente Política de Segurança da Informação e Segurança Cibernética é um documento dinâmico e vivo, que deve evoluir continuamente em consonância com o cenário de ameaças cibernéticas, mudanças regulatórias, transformações no ambiente tecnológico e nas estratégias de negócio da Banerj Digital, e com as lições aprendidas a partir de incidentes e exercícios.

39.1 Ciclo de Revisão

• Revisão Ordinária Anual: Conduzida pelo CISO com participação ativa do Comitê de Segurança da Informação, envolvendo avaliação de adequação de todos os controles, atualização de referências regulatórias e alinhamento com o estado da arte em segurança cibernética no setor financeiro;
• Revisão Extraordinária: Obrigatória sempre que ocorrer incidente de segurança de grande impacto, publicação de nova regulamentação relevante do BACEN ou da ANPD, mudança substancial na arquitetura tecnológica, fusão ou aquisição, ou identificação de lacunas materiais nos controles existentes.

39.2 Processo de Aprovação de Alterações

• Identificação e proposta de alterações pelo CISO e equipe de Segurança da Informação, com fundamentação técnica e regulatória documentada;
• Revisão jurídica de conformidade das alterações propostas com a legislação e regulamentação vigentes;
• Aprovação pelo Comitê de Segurança da Informação em reunião devidamente registrada em ata;
• Homologação final pela Diretoria Executiva, com ciência do Conselho de Administração para alterações materiais;
• Publicação na intranet corporativa, comunicação formal a todos os colaboradores com prazo para leitura e aceite, e arquivamento da versão anterior com controle de versões.

O controle de versões deve registrar obrigatoriamente: data de publicação, número de versão, resumo das principais alterações realizadas e identificação dos responsáveis pela aprovação. Versões anteriores devem ser preservadas pelo prazo mínimo de 5 anos para fins de auditoria e conformidade.

---

40. DISPOSIÇÕES FINAIS

A presente Política de Segurança da Informação e Segurança Cibernética entra em vigor imediatamente após sua aprovação formal pela Diretoria Executiva da Banerj Digital Serviços Financeiros LTDA, revogando expressamente qualquer normativo interno anterior que trate sobre a mesma matéria, independentemente de sua denominação ou abrangência.

Os casos omissos — situações não expressamente previstas por esta política ou que apresentem ambiguidade de interpretação — devem ser submetidos ao CISO, que emitirá orientação formal por escrito com validade até a próxima revisão ordinária do documento, podendo determinar a convocação extraordinária do Comitê de Segurança da Informação para casos de maior complexidade.

A Banerj Digital compromete-se a disponibilizar esta política em formato acessível e de fácil consulta a todos os colaboradores por meio do portal interno de compliance e políticas corporativas, a manter sua linguagem clara e orientada à compreensão prática, e a comunicar de forma proativa, tempestiva e abrangente quaisquer alterações relevantes que afetem as responsabilidades dos destinatários.

O exercício pleno das responsabilidades atribuídas nesta política a cada colaborador, parceiro ou terceiro não exime nenhuma das partes do cumprimento integral e permanente da legislação brasileira aplicável, incluindo, mas não se limitando, ao Marco Civil da Internet (Lei nº 12.965/2014), à Lei Geral de Proteção de Dados (Lei nº 13.709/2018), às normas do Banco Central do Brasil, à Lei nº 12.737/2012 (Lei Carolina Dieckmann) e às demais disposições do Código Penal no que se refere a crimes cibernéticos, fraudes e violações de sigilo.

Para esclarecimentos de dúvidas, reporte de incidentes, solicitação de exceções ou qualquer comunicação relacionada a esta política, os destinatários devem utilizar os canais oficiais indicados na intranet corporativa, na seção de contatos da área de Segurança da Informação e Compliance.