POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E SEGURANÇA CIBERNÉTICA

---

1. DISPOSIÇÕES PRELIMINARES

A presente Política de Segurança da Informação e Segurança Cibernética estabelece, de maneira exaustiva, mandatória e corporativamente vinculante, as diretrizes estratégicas, os controles lógicos, os procedimentos operacionais de salvaguarda e as responsabilidades administrativas destinados à proteção integral e permanente de todos os ativos de informação, infraestruturas de rede e sistemas de processamento de dados pertencentes ou sob a custódia da Banerj Digital Serviços Financeiros LTDA. Este instrumento foi concebido como o pilar mestre de blindagem cibernética da organização financeira.

O desenho técnico deste normativo observa rigorosamente as exigências regulatórias impositivas aplicáveis ao setor bancário nacional, com especial ênfase nas resoluções vigentes emanadas pelo Banco Central do Brasil (BACEN), as diretrizes da Lei Geral de Proteção de Dados (LGPD), bem como os frameworks globais e as melhores práticas internacionais de segurança computacional, tais como as normas da família ISO/IEC 27001 e ISO/IEC 27002, e os padrões do National Institute of Standards and Technology (NIST). Sua aplicação é obrigatória em todas as esferas e divisões logísticas da instituição.

Este documento consolida, sob um único instrumento normativo, orientações que anteriormente encontravam-se pulverizadas em normativos setoriais esparsos, promovendo a harmonização, a padronização terminológica e a coerência decisória entre as diversas diretorias, superintendências, gerências e unidades operacionais da instituição, de modo a eliminar lacunas interpretativas, sobreposições regulatórias e eventuais conflitos normativos internos.

A presente Política deve ser lida em conjunto com os demais normativos complementares, manuais operacionais, procedimentos técnicos e instruções de trabalho eventualmente editados pelas áreas de Segurança da Informação, Tecnologia, Compliance, Riscos e Jurídico, os quais detalham, em nível operacional, as diretrizes aqui fixadas em nível estratégico, sem prejuízo da prevalência hierárquica deste instrumento em caso de eventual antinomia normativa.

2. OBJETIVOS DA POLÍTICA

Constituem objetivos centrais deste normativo:

• Preservar a confidencialidade, a integridade e a disponibilidade dos ativos de informação da instituição;
• Reduzir a exposição a riscos cibernéticos por meio de controles preventivos, detectivos e corretivos;
• Assegurar a conformidade com a regulamentação do BACEN, a LGPD e os padrões internacionais adotados;
• Fomentar uma cultura organizacional de segurança da informação em todos os níveis hierárquicos;
• Garantir a continuidade das operações financeiras críticas diante de incidentes ou desastres;
• Estabelecer papéis, responsabilidades e mecanismos de governança claros para a gestão da segurança.

Adicionalmente, este normativo busca instituir uma linguagem comum entre as áreas de negócio e as áreas técnicas, de modo a viabilizar a tomada de decisão informada sobre riscos cibernéticos em todos os níveis da organização, inclusive no âmbito da alta administração e do conselho de administração, quando aplicável, promovendo o alinhamento entre os objetivos estratégicos do negócio e a postura de segurança adotada.

Busca-se, ainda, mitigar perdas financeiras, reputacionais, regulatórias e operacionais decorrentes de eventos de segurança, bem como assegurar a confiança de clientes, parceiros, reguladores e demais partes interessadas (stakeholders) na capacidade da instituição de proteger adequadamente os dados e recursos sob sua responsabilidade, em linha com as melhores práticas de mercado do setor financeiro.

3. DEFINIÇÕES

Para os fins desta Política, aplicam-se as seguintes definições:

• Ativo de Informação: todo dado, sistema, dispositivo ou processo que possua valor para a instituição;
• Confidencialidade, Integridade e Disponibilidade (CID): pilares fundamentais da segurança da informação;
• Incidente de Segurança: evento que comprometa ou ameace comprometer a CID de um ativo;
• Vulnerabilidade: fragilidade em um ativo passível de exploração por uma ameaça;
• Ameaça: agente ou evento capaz de explorar uma vulnerabilidade;
• Risco: combinação da probabilidade de um evento e de suas consequências;
• Controle: medida técnica, administrativa ou física destinada a reduzir um risco identificado;
• MFA: autenticação multifator, combinação de dois ou mais fatores de verificação de identidade;
• SOC/CSIRT: Centro de Operações de Segurança e Equipe de Resposta a Incidentes, respectivamente;
• Malware: software malicioso projetado para danificar, interromper ou obter acesso não autorizado a sistemas;
• Phishing: técnica fraudulenta de obtenção de dados sensíveis mediante engano ou falsificação de identidade;
• Engenharia Social: conjunto de técnicas de manipulação psicológica utilizadas para obter acesso indevido a informações.

As definições acima não são exaustivas, podendo ser complementadas por glossário técnico específico, mantido e atualizado pela área de Segurança da Informação, o qual passa a integrar este normativo para todos os efeitos, inclusive interpretativos, sempre que houver referência expressa a termos técnicos não definidos diretamente neste documento.

4. PRINCÍPIOS DE SEGURANÇA DA INFORMAÇÃO

A instituição adota como princípios norteadores a confidencialidade, a integridade, a disponibilidade, a autenticidade e o não repúdio das informações. Complementam esses pilares o princípio do menor privilégio, segundo o qual nenhum usuário ou sistema deve possuir permissões além do estritamente necessário ao exercício de suas funções, o princípio da necessidade de conhecer (need-to-know), e o princípio da defesa em profundidade, que impõe a adoção de múltiplas camadas de controle independentes e complementares.

Somam-se a esses fundamentos os princípios da segurança desde a concepção (security by design) e da privacidade desde a concepção (privacy by design), segundo os quais requisitos de segurança e de proteção de dados devem ser incorporados desde as fases iniciais de qualquer projeto, sistema ou processo, e não tratados como camada adicional posterior à sua implementação.

Aplica-se, igualmente, o princípio da proporcionalidade, segundo o qual a intensidade dos controles implementados deve ser proporcional à criticidade do ativo protegido e ao risco a ele associado, evitando-se tanto a subproteção de ativos críticos quanto a sobreposição desnecessária de controles em ativos de baixa relevância, em observância à eficiência operacional e ao adequado uso dos recursos institucionais.

5. ESTRUTURA DE GOVERNANÇA DE SEGURANÇA

A governança de segurança da informação é exercida por meio de um Comitê de Segurança da Informação, presidido pelo Chief Information Security Officer (CISO), responsável pela definição estratégica, aprovação normativa e supervisão dos controles. Reportam-se a essa estrutura o Centro de Operações de Segurança (SOC), a Equipe de Resposta a Incidentes (CSIRT) e os gestores de segurança designados em cada área de negócio, cabendo a cada colaborador a responsabilidade individual pela observância desta Política no exercício de suas atividades.

Compete ao Comitê de Segurança da Informação reunir-se com periodicidade mínima definida em regimento interno próprio, deliberar sobre a aprovação, revisão e revogação de normativos correlatos, avaliar indicadores de risco e desempenho de segurança, homologar planos de resposta a incidentes de grande impacto e reportar-se, sempre que necessário, à Diretoria Executiva e ao Conselho de Administração da instituição.

O CISO responde diretamente pela execução estratégica desta Política, pela articulação entre as diversas áreas técnicas e de negócio, pela representação institucional perante órgãos reguladores em matérias de segurança cibernética, e pela manutenção de canal de comunicação permanente com a alta administração acerca da postura de risco cibernético da instituição, garantindo a independência funcional necessária ao pleno exercício de suas atribuições.

6. CLASSIFICAÇÃO DA INFORMAÇÃO

Toda informação produzida, tratada ou armazenada pela instituição deve ser classificada em um dos seguintes níveis, com controles de manuseio, armazenamento, transmissão e descarte proporcionais à sua sensibilidade:

• Pública: informação de livre divulgação, sem risco em caso de exposição;
• Interna: informação de uso restrito aos colaboradores, sem impacto relevante se exposta;
• Confidencial: informação cuja exposição pode causar dano à instituição, clientes ou parceiros;
• Restrita/Sigilosa: informação crítica cujo acesso é limitado a pessoas expressamente autorizadas.

A classificação deve ser atribuída pelo proprietário da informação (data owner) no momento de sua criação ou recebimento, e revisada periodicamente ou sempre que houver alteração relevante em seu conteúdo, contexto de uso ou finalidade, sendo vedada a manutenção de informações sem classificação formal em qualquer repositório institucional, físico ou digital.

Cada nível de classificação corresponde a um conjunto específico de requisitos mínimos de rotulagem, controle de acesso, criptografia, retenção e descarte seguro, os quais são detalhados em normativo complementar de gestão da informação, cabendo às áreas gestoras de sistemas e repositórios assegurar a efetiva aplicação desses requisitos em todos os ambientes sob sua responsabilidade.

7. CONTROLE DE ACESSO

O acesso a sistemas, redes e dados é concedido segundo o princípio do menor privilégio e o modelo de controle de acesso baseado em papéis (RBAC). Toda concessão de acesso deve ser formalmente solicitada, aprovada pelo gestor responsável e registrada, sendo submetida a revisões periódicas de recertificação e imediatamente revogada em caso de desligamento, mudança de função ou inatividade prolongada.

Perfis de acesso privilegiado, incluindo contas administrativas, contas de serviço e credenciais de acesso a ambientes de produção, são objeto de controles adicionais, incluindo aprovação em dupla instância, registro pormenorizado de sessões (session recording) quando tecnicamente viável, e revisão trimestral obrigatória por parte da área de Segurança da Informação em conjunto com os gestores das áreas afetadas.

É expressamente vedada a concessão de acessos genéricos, compartilhados ou anônimos a sistemas críticos, bem como a manutenção de acessos residuais decorrentes de mudanças de função não formalmente comunicadas à área responsável pela gestão de identidades, sendo tais situações tratadas como não conformidade sujeita às penalidades previstas nesta Política.

8. GESTÃO DE IDENTIDADES

Cada usuário, sistema ou serviço deve possuir identificador único e intransferível, vedado o compartilhamento de credenciais. O ciclo de vida da identidade compreende o provisionamento no momento da admissão, a manutenção durante o vínculo, e o desprovisionamento imediato ao término do vínculo contratual ou funcional, com trilha de auditoria preservada.

O processo de gestão de identidades e acessos (IAM) é suportado por solução tecnológica centralizada, que integra os sistemas de recursos humanos, os diretórios corporativos e os sistemas transacionais, de modo a assegurar que eventos de admissão, movimentação e desligamento sejam automaticamente refletidos nos perfis de acesso associados a cada identidade, minimizando a intervenção manual e o risco de erro humano.

Contas de identidade inativas por período superior ao definido em normativo complementar são automaticamente suspensas e, posteriormente, excluídas, salvo justificativa formal registrada pelo gestor responsável, sendo todo o histórico de criação, alteração e exclusão de identidades mantido em log de auditoria pelo prazo mínimo exigido pela regulamentação aplicável.

9. AUTENTICAÇÃO MULTIFATOR (MFA)

É obrigatória a utilização de autenticação multifator para acessos remotos, acessos privilegiados, sistemas críticos e transações financeiras sensíveis, combinando ao menos dois dos seguintes fatores: algo que o usuário sabe, algo que o usuário possui e algo que o usuário é (biometria).

A instituição prioriza o uso de fatores de autenticação resistentes a phishing, tais como aplicativos autenticadores baseados em tempo (TOTP), chaves físicas de segurança (tokens FIDO2/U2F) e biometria, em detrimento de métodos considerados menos seguros, como o envio de códigos por mensagem de texto (SMS), os quais somente são admitidos em caráter excepcional e mediante avaliação de risco específica.

A ausência de configuração de MFA em contas elegíveis constitui não conformidade grave, sujeita a bloqueio preventivo de acesso até a devida regularização, cabendo à área de Segurança da Informação monitorar continuamente a taxa de adesão ao MFA em toda a base de usuários e reportar eventuais desvios ao Comitê de Segurança da Informação.

10. GESTÃO DE SENHAS

As senhas devem observar requisitos mínimos de complexidade, comprimento e histórico de reutilização, sendo trocadas periodicamente e imediatamente em caso de suspeita de comprometimento. É vedado o compartilhamento, anotação em locais visíveis ou reutilização entre sistemas distintos, recomendando-se o uso de gerenciadores de senhas corporativos homologados.

As políticas técnicas de senha, incluindo comprimento mínimo, uso combinado de caracteres alfanuméricos e especiais, bloqueio temporário após tentativas malsucedidas consecutivas e vedação ao uso de senhas presentes em listas públicas de credenciais comprometidas, são parametrizadas centralizadamente nos sistemas de gestão de identidades, não sendo permitida a configuração de exceções locais sem aprovação formal da área de Segurança da Informação.

Senhas padrão (default) de fábrica presentes em equipamentos, sistemas ou aplicações recém-adquiridos devem ser obrigatoriamente alteradas antes da entrada em produção, sendo vedada, em qualquer hipótese, a manutenção de credenciais padrão em ambientes de rede corporativa.

11. SEGURANÇA DE DISPOSITIVOS

Todos os dispositivos corporativos devem possuir criptografia de disco, solução de proteção de endpoint (antivírus/EDR), atualização automática de patches e inventário centralizado. Dispositivos não homologados ou fora de conformidade têm o acesso à rede corporativa automaticamente bloqueado.

A instituição mantém inventário atualizado de todos os ativos de hardware e software em uso, com identificação individual de cada dispositivo, responsável designado, localização e status de conformidade, permitindo o rastreamento e a resposta ágil em caso de perda, furto ou comprometimento.

Dispositivos de armazenamento removível (pen drives, discos externos e mídias óticas) têm seu uso restrito e condicionado à autorização prévia da área de Segurança da Informação, sendo obrigatória a criptografia de qualquer mídia removível utilizada para o transporte de informações classificadas como confidenciais ou restritas.

12. SEGURANÇA DE REDES

A infraestrutura de rede é protegida por firewalls perimetrais e internos, segmentação por zonas de confiança, sistemas de detecção e prevenção de intrusão (IDS/IPS), e conexões remotas exclusivamente por VPN corporativa com autenticação forte. Redes sem fio corporativas utilizam protocolos de criptografia atualizados e isolamento de convidados.

A segmentação de rede observa o princípio da separação entre ambientes de diferentes níveis de criticidade, isolando redes de produção, homologação, desenvolvimento, administração e convidados por meio de controles de firewall específicos, de modo a limitar a superfície de propagação de eventuais incidentes de segurança.

O tráfego de rede é objeto de inspeção contínua por soluções de análise comportamental, sendo qualquer tentativa de acesso não autorizado, varredura de portas ou tráfego anômalo automaticamente sinalizada ao SOC para triagem e, se necessário, bloqueio automatizado da origem identificada como maliciosa.

13. CRIPTOGRAFIA

Dados classificados como confidenciais ou restritos devem ser criptografados tanto em repouso quanto em trânsito, utilizando algoritmos e padrões reconhecidos pelo mercado (como AES-256 e TLS 1.2 ou superior). A gestão de chaves criptográficas segue processo formal de geração, armazenamento, rotação e revogação, sob custódia de área designada.

É vedada a utilização de algoritmos criptográficos obsoletos ou considerados vulneráveis, cabendo à área de Segurança da Informação manter lista atualizada de algoritmos, protocolos e tamanhos mínimos de chave homologados, a qual deve ser observada por todas as áreas de desenvolvimento, infraestrutura e operações no desenho de novos sistemas e integrações.

Chaves criptográficas de alta criticidade são armazenadas em módulos de segurança de hardware (HSM) ou solução equivalente, com segregação de funções entre os responsáveis pela geração, custódia e utilização das chaves, de modo a impedir que um único indivíduo detenha controle integral sobre o processo criptográfico.

14. SEGURANÇA EM AMBIENTES EM NUVEM

A contratação e utilização de serviços em nuvem observa o modelo de responsabilidade compartilhada, exigindo-se do provedor certificações de segurança reconhecidas, criptografia nativa, controles de acesso granulares e monitoramento contínuo de configurações, de modo a prevenir exposições decorrentes de configurações inadequadas (misconfiguration).

Toda contratação de serviço em nuvem é precedida de avaliação formal de risco, contemplando aspectos de localização geográfica do armazenamento de dados, conformidade regulatória, portabilidade e reversibilidade dos dados ao término do contrato, e capacidade do fornecedor de atender a solicitações de auditoria por parte da instituição ou de órgãos reguladores.

Ambientes em nuvem são monitorados por ferramentas de gestão de postura de segurança (CSPM), que identificam automaticamente desvios de configuração em relação às linhas de base de segurança estabelecidas, permitindo a correção tempestiva de exposições antes que possam ser exploradas por agentes maliciosos.

15. MONITORAMENTO E REGISTRO DE EVENTOS

Todos os sistemas críticos geram registros de eventos (logs) de acesso, alteração e uso, centralizados em solução de gestão de eventos e informações de segurança (SIEM), com retenção mínima definida em normativo complementar e correlação automatizada para identificação de padrões anômalos.

Os registros de eventos devem conter, no mínimo, identificação do usuário ou sistema envolvido, data e hora precisas, ação realizada e resultado obtido, sendo protegidos contra alteração ou exclusão não autorizada por meio de controles de integridade específicos, de forma a preservar sua validade probatória em eventuais processos de investigação.

A correlação de eventos é realizada por meio de regras e algoritmos de análise comportamental capazes de identificar indícios de comprometimento, tais como tentativas repetidas de autenticação malsucedida, acessos em horários incomuns, movimentação lateral na rede e exfiltração de grandes volumes de dados, gerando alertas automáticos para triagem pelo SOC.

16. CENTRO DE OPERAÇÕES DE SEGURANÇA (SOC)

O SOC opera em regime de monitoramento contínuo (24×7), responsável pela detecção, triagem e escalonamento de eventos de segurança, atuando em articulação direta com o CSIRT nos casos que evoluam para incidentes confirmados.

Compete ao SOC a análise contínua de alertas gerados pelas ferramentas de segurança em operação, a classificação preliminar de severidade de cada evento, a execução de procedimentos operacionais padronizados (playbooks) de contenção inicial, e a manutenção de registro pormenorizado de todas as ocorrências tratadas, para fins de indicadores de desempenho e auditoria.

O SOC mantém canal de comunicação direto e permanente com as demais áreas de tecnologia e negócio, de modo a viabilizar a rápida escalada de eventos que demandem ação coordenada, bem como interface formal com o CISO para reporte periódico de indicadores de ameaças, tendências e postura geral de segurança da instituição.

17. GESTÃO DE VULNERABILIDADES

São realizadas varreduras periódicas de vulnerabilidades em toda a infraestrutura e aplicações, com priorização baseada em criticidade e exposição do ativo. A remediação obedece a prazos (SLAs) definidos conforme a severidade identificada, sendo objeto de acompanhamento formal até o fechamento.

A priorização de remediação considera não apenas a pontuação técnica de severidade (como CVSS), mas também fatores contextuais, tais como a exploração ativa da vulnerabilidade em ambiente real, a exposição do ativo à internet, e a criticidade do processo de negócio suportado pelo ativo vulnerável.

Vulnerabilidades cuja remediação não seja tecnicamente viável dentro do prazo estabelecido devem ser objeto de plano de mitigação compensatória formalmente aprovado pela área de Segurança da Informação, com prazo definido para resolução definitiva e acompanhamento periódico até seu efetivo encerramento.

18. TESTES DE SEGURANÇA E PENTESTS

Testes de intrusão (pentests) e exercícios de red team são conduzidos periodicamente, por equipes internas ou fornecedores homologados, mediante escopo e autorização formal previamente definidos, com os resultados tratados como informação restrita e os achados incorporados ao processo de gestão de vulnerabilidades.

Todo teste de segurança ofensivo deve ser precedido de autorização formal por escrito (rules of engagement), delimitando escopo, janela de execução, técnicas permitidas e vedadas, e pontos de contato para escalonamento imediato em caso de impacto inesperado em ambiente de produção.

Além dos testes técnicos de intrusão, a instituição realiza avaliações periódicas de arquitetura de segurança e revisões de configuração de ambientes críticos, cujos resultados são consolidados em relatório único, apresentado ao Comitê de Segurança da Informação, com plano de ação corretivo associado a cada achado relevante.

19. GESTÃO DE CORREÇÕES E ATUALIZAÇÕES

A aplicação de correções (patches) de segurança segue processo formal de gestão de mudanças, com prazos diferenciados conforme a criticidade da vulnerabilidade corrigida, priorizando-se sistemas expostos e de missão crítica, sem prejuízo de testes prévios em ambiente controlado.

Sistemas operacionais, aplicações e componentes de infraestrutura que atinjam o fim de vida útil (end-of-life) declarado pelo fabricante, sem disponibilidade de correções de segurança, devem ser objeto de plano formal de descontinuação ou substituição, sendo vedada sua manutenção em ambiente de produção sem controles compensatórios expressamente aprovados.

A área de infraestrutura mantém calendário regular de janelas de manutenção para aplicação de correções, articulado com as áreas de negócio de modo a minimizar o impacto operacional, sem prejuízo da aplicação emergencial de correções críticas fora do calendário regular, quando o risco identificado assim o exigir.

20. SEGURANÇA DE APLICAÇÕES

As aplicações corporativas e voltadas ao cliente são protegidas por firewall de aplicação web (WAF), submetidas a revisões de código e testes que mitiguem as vulnerabilidades listadas no OWASP Top 10, com validação rigorosa de entradas e saídas de dados.

Toda aplicação que processe dados de clientes ou realize transações financeiras é submetida a avaliação de segurança antes de sua entrada em produção, contemplando testes estáticos (SAST), testes dinâmicos (DAST) e análise de composição de software (SCA), cujos resultados são condição obrigatória para a liberação do sistema.

Interfaces de programação de aplicações (APIs) expostas interna ou externamente observam controles específicos de autenticação, autorização, limitação de taxa de requisições (rate limiting) e validação de esquema de dados, de modo a prevenir abusos, negação de serviço e vazamento de informações por meio de tais interfaces.

21. SEGURANÇA DO DESENVOLVIMENTO DE SOFTWARE

O ciclo de vida de desenvolvimento seguro (SSDLC) incorpora requisitos de segurança desde a concepção (security by design), segregação entre ambientes de desenvolvimento, homologação e produção, revisão de código por pares e varredura automatizada de dependências e componentes de terceiros.

Nenhum código-fonte é promovido para ambiente de produção sem a devida aprovação formal, registrada em ferramenta de controle de versão e workflow, contemplando, no mínimo, revisão de código por profissional distinto do autor original e execução bem-sucedida de todos os testes automatizados de segurança configurados no pipeline de integração e entrega contínua (CI/CD).

Desenvolvedores e demais profissionais envolvidos no ciclo de desenvolvimento de software recebem capacitação periódica em práticas de codificação segura, sendo a adesão a tais práticas objeto de indicadores específicos de desempenho, acompanhados pela área de Segurança da Informação em conjunto com a liderança técnica de desenvolvimento.

22. PROTEÇÃO CONTRA MALWARE

Todos os endpoints e servidores contam com solução de proteção contra códigos maliciosos (antivírus/EDR) com atualização automática de assinaturas, complementada por sandboxing de arquivos suspeitos e filtragem de conteúdo malicioso no tráfego de rede, web e correio eletrônico.

As soluções de proteção contra malware são centralmente gerenciadas, com relatórios consolidados de status de proteção de todos os dispositivos corporativos disponibilizados ao SOC em tempo real, sendo qualquer dispositivo identificado como desprotegido ou com assinaturas desatualizadas automaticamente isolado da rede corporativa até sua regularização.

Incidentes envolvendo códigos maliciosos avançados, incluindo ransomware, são tratados com prioridade máxima pelo CSIRT, com ativação imediata de procedimentos de contenção e isolamento de rede, de modo a minimizar a propagação lateral e o impacto operacional decorrente de tais eventos.

23. PREVENÇÃO A ATAQUES CIBERNÉTICOS

A instituição adota mecanismos de proteção contra ataques distribuídos de negação de serviço (DDoS), consome e correlaciona fontes de inteligência de ameaças (threat intelligence) e avança progressivamente para um modelo de confiança zero (zero trust), no qual nenhum acesso é considerado confiável por padrão.

Fontes de inteligência de ameaças, incluindo indicadores de comprometimento (IoCs), táticas, técnicas e procedimentos (TTPs) de agentes maliciosos e informações setoriais compartilhadas por entidades do sistema financeiro, são continuamente incorporadas às ferramentas de defesa perimetral e de endpoint, de modo a antecipar e prevenir ataques direcionados ao setor bancário.

A adoção do modelo de confiança zero pressupõe a verificação contínua de identidade, dispositivo e contexto para cada solicitação de acesso, independentemente de sua origem estar dentro ou fora do perímetro tradicional de rede, sendo esse modelo progressivamente estendido a todos os sistemas críticos da instituição conforme cronograma de maturidade tecnológica.

24. PROTEÇÃO CONTRA ENGENHARIA SOCIAL

São realizadas simulações periódicas de phishing e demais campanhas de conscientização, aliadas a procedimentos formais de verificação de identidade para solicitações sensíveis (como alterações cadastrais ou transferências), reduzindo a exposição a fraudes baseadas em manipulação psicológica.

Colaboradores que reiteradamente falhem em simulações de phishing são direcionados a treinamento reforçado obrigatório, sendo os resultados agregados das campanhas utilizados como indicador de maturidade de segurança da instituição, sem caráter punitivo individual, mas com acompanhamento pela liderança direta em casos de reincidência relevante.

Solicitações recebidas por telefone, correio eletrônico ou mensagens instantâneas que envolvam alteração de dados cadastrais, autorização de pagamentos ou fornecimento de credenciais são obrigatoriamente submetidas a procedimento de verificação por canal alternativo previamente conhecido, sendo vedado o atendimento de tais solicitações com base exclusivamente nas informações fornecidas pelo solicitante.

25. SEGURANÇA DO CORREIO ELETRÔNICO

O correio eletrônico corporativo conta com filtros antispam e antiphishing, mecanismos de autenticação de domínio (SPF, DKIM e DMARC) e varredura automática de anexos e links, sendo vedado o uso de contas corporativas para fins pessoais ou o encaminhamento de informações sigilosas a contas externas não autorizadas.

Mensagens contendo anexos executáveis ou links para domínios não classificados são automaticamente colocadas em quarentena para análise pela área de Segurança da Informação, sendo liberadas somente após confirmação de sua legitimidade, sem prejuízo da comunicação ao remetente e ao destinatário sobre o bloqueio realizado.

O envio de informações classificadas como confidenciais ou restritas por correio eletrônico externo é condicionado à utilização de mecanismos de criptografia ou de plataformas seguras de compartilhamento de arquivos homologadas pela instituição, sendo vedado o envio de tais informações em texto claro para domínios externos.

26. SEGURANÇA DE DISPOSITIVOS MÓVEIS

Dispositivos móveis corporativos e pessoais utilizados em regime BYOD são geridos por solução de gerenciamento de dispositivos móveis (MDM), com aplicação de políticas de senha, criptografia, segregação de dados corporativos e capacidade de apagamento remoto (remote wipe) em caso de perda, furto ou desligamento.

Aplicativos corporativos instalados em dispositivos móveis operam em contêiner segregado (containerização), impedindo o compartilhamento de dados entre o ambiente corporativo e o ambiente pessoal do dispositivo, sendo vedada a instalação de aplicativos corporativos em dispositivos que não atendam aos requisitos mínimos de segurança estabelecidos pela solução de MDM.

A perda ou o furto de dispositivo móvel corporativo, ou de dispositivo pessoal com acesso a dados corporativos, deve ser imediatamente comunicado à área de Segurança da Informação, que procederá ao bloqueio e à limpeza remota das informações institucionais nele contidas, no menor prazo tecnicamente possível.

27. USO ACEITÁVEL DOS RECURSOS TECNOLÓGICOS

Os recursos tecnológicos disponibilizados pela instituição destinam-se exclusivamente ao desempenho das atividades profissionais, sendo vedados o uso para fins ilícitos, a instalação de software não homologado, o acesso a conteúdo impróprio e qualquer prática que comprometa a segurança ou a reputação institucional.

O uso incidental e moderado dos recursos tecnológicos para fins pessoais é tolerado, desde que não interfira no desempenho das atividades profissionais, não gere custos adicionais à instituição, não exponha a rede corporativa a riscos de segurança e não viole quaisquer outras disposições desta Política ou da legislação vigente.

A instituição reserva-se o direito de monitorar, registrar e auditar a utilização de seus recursos tecnológicos, nos limites da legislação aplicável, cientificando os colaboradores de que não há expectativa de privacidade quanto ao conteúdo trafegado, armazenado ou processado em ativos de propriedade institucional.

28. BACKUP E RECUPERAÇÃO

Os dados críticos são submetidos a rotinas de backup periódicas, observando-se a regra 3-2-1 (três cópias, em duas mídias distintas, com uma cópia externa), com testes regulares de restauração para assegurar a efetiva recuperabilidade das informações.

As cópias de segurança são armazenadas em ambiente logicamente e, quando aplicável, fisicamente segregado do ambiente de produção, com controles de acesso e criptografia equivalentes aos aplicados aos dados originais, de modo a impedir que um mesmo evento de comprometimento afete simultaneamente os dados de produção e suas respectivas cópias de backup.

A periodicidade e a retenção das rotinas de backup são definidas em função da criticidade de cada sistema e do respectivo objetivo de ponto de recuperação (RPO), sendo tais parâmetros formalmente documentados e revisados sempre que houver alteração relevante na criticidade do sistema envolvido.

29. CONTINUIDADE DE NEGÓCIOS

O Plano de Continuidade de Negócios (BCP) mapeia os processos críticos da instituição, define objetivos de tempo de recuperação (RTO) e de ponto de recuperação (RPO), e estabelece estratégias alternativas de operação diante de eventos disruptivos, sendo testado periodicamente por meio de exercícios simulados.

A análise de impacto nos negócios (BIA), que fundamenta o BCP, é revisada periodicamente em conjunto com as áreas de negócio, de modo a refletir alterações relevantes na estrutura organizacional, nos processos críticos e nas dependências tecnológicas identificadas, garantindo que as estratégias de continuidade permaneçam aderentes à realidade operacional da instituição.

Os exercícios de teste do BCP contemplam cenários variados, incluindo indisponibilidade de instalações físicas, de sistemas críticos e de pessoal-chave, sendo os resultados formalmente documentados e utilizados como insumo para a melhoria contínua das estratégias e procedimentos de continuidade estabelecidos.

30. PLANO DE RECUPERAÇÃO DE DESASTRES

O Plano de Recuperação de Desastres (DRP) contempla sítios alternativos de processamento, procedimentos de failover para sistemas críticos e cronogramas de restabelecimento, sendo submetido a testes periódicos que validem sua efetividade em cenários realistas de indisponibilidade.

Os sítios alternativos de processamento observam distância geográfica mínima em relação ao sítio principal, de modo a reduzir a probabilidade de que um mesmo evento físico afete simultaneamente ambas as localidades, contando com infraestrutura tecnológica e de conectividade compatível com a operação dos sistemas críticos da instituição.

Os testes de recuperação de desastres são conduzidos com periodicidade mínima definida em normativo complementar, contemplando tanto testes parciais de componentes específicos quanto exercícios integrais de failover completo, cujos resultados são reportados ao Comitê de Segurança da Informação juntamente com eventuais planos de ação corretivos.

31. GESTÃO DE INCIDENTES DE SEGURANÇA

Incidentes de segurança são classificados quanto à severidade e ao impacto, seguindo ciclo formal de identificação, registro, análise, contenção, erradicação, recuperação e encerramento, com documentação integral de cada etapa para fins de auditoria e melhoria contínua.

A classificação de severidade considera fatores como o volume e a sensibilidade dos dados envolvidos, o número de sistemas ou usuários afetados, a existência de exploração ativa por agentes maliciosos e o potencial impacto financeiro, regulatório e reputacional do evento, orientando a alocação de recursos e a urgência do tratamento a ser dispensado.

Todo incidente de segurança confirmado é registrado em ferramenta específica de gestão de incidentes, com atribuição de responsável, prazos de tratamento e histórico integral de ações realizadas, de modo a assegurar rastreabilidade completa do evento desde sua detecção até seu efetivo encerramento.

32. RESPOSTA A INCIDENTES

A Equipe de Resposta a Incidentes de Segurança (CSIRT) atua conforme plano formal de resposta, com papéis e responsabilidades pré-definidos, priorizando a contenção do incidente, a eliminação de sua causa raiz, a recuperação dos serviços afetados e a condução de análise de lições aprendidas (post-mortem).

O plano de resposta a incidentes estabelece critérios objetivos de acionamento do CSIRT, fluxos de escalonamento para a alta administração em incidentes de severidade elevada, e procedimentos específicos de comunicação interna e externa, incluindo, quando aplicável, a comunicação a órgãos reguladores, autoridades competentes e clientes afetados.

Ao término do tratamento de cada incidente relevante, é obrigatória a elaboração de relatório de lições aprendidas, contemplando causa raiz identificada, eficácia das medidas de contenção adotadas e recomendações de melhoria, as quais são formalmente acompanhadas até sua efetiva implementação pelas áreas responsáveis.

33. TRATAMENTO DE VAZAMENTOS DE DADOS

Em caso de incidente envolvendo dados pessoais, a instituição observa os prazos e procedimentos da LGPD, incluindo a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados quando aplicável, além da realização de análise forense para apuração de causas e extensão do incidente.

A avaliação de risco aos titulares de dados pessoais afetados por eventual incidente é conduzida em conjunto pelas áreas de Segurança da Informação, Jurídico e Proteção de Dados (Encarregado/DPO), considerando a natureza, a sensibilidade e o volume dos dados envolvidos, para fins de definição sobre a necessidade e a forma de comunicação aos titulares e à ANPD.

Toda a cadeia de custódia de evidências digitais coletadas no âmbito da resposta a incidentes envolvendo vazamento de dados é preservada conforme procedimentos forenses reconhecidos, de modo a assegurar sua validade probatória perante autoridades reguladoras, investigativas ou judiciais, quando aplicável.

34. GESTÃO DE TERCEIROS

Fornecedores e parceiros com acesso a ativos de informação da instituição são submetidos a avaliação prévia de risco de segurança, cláusulas contratuais específicas de proteção de dados e confidencialidade, e auditorias periódicas de conformidade, proporcionais à criticidade do serviço prestado.

Contratos firmados com terceiros que envolvam o processamento, armazenamento ou acesso a dados da instituição ou de seus clientes contemplam, obrigatoriamente, cláusulas de segurança da informação, notificação obrigatória em caso de incidente, direito de auditoria pela instituição e obrigação de devolução ou eliminação segura dos dados ao término da relação contratual.

Fornecedores classificados como críticos, em razão da natureza ou do volume de dados tratados, são submetidos a processo de due diligence de segurança mais aprofundado previamente à contratação, incluindo, quando aplicável, avaliação de certificações de segurança, testes de penetração e análise de sua cadeia de subcontratação.

35. SEGURANÇA FÍSICA

O acesso às instalações e centros de processamento de dados é controlado por meio de crachás, biometria e circuito fechado de televisão (CCTV), com registro de entradas e saídas, sendo as áreas críticas segregadas e restritas a pessoal expressamente autorizado.

Visitantes, prestadores de serviço eventuais e demais pessoas não pertencentes ao quadro funcional permanente somente têm acesso às instalações mediante identificação, registro formal de entrada e saída, e acompanhamento por colaborador autorizado durante toda a permanência em áreas restritas.

Centros de processamento de dados e salas de equipamentos contam com controles ambientais específicos, incluindo sistemas de detecção e combate a incêndio, controle de temperatura e umidade, e sistemas de energia ininterrupta (nobreaks) e geradores, de modo a assegurar a disponibilidade contínua dos serviços críticos hospedados em tais ambientes.

36. CONSCIENTIZAÇÃO E TREINAMENTO

Todos os colaboradores participam de programa obrigatório de treinamento em segurança da informação no momento da admissão e em reciclagens anuais, complementado por campanhas periódicas de conscientização e simulações práticas, como as de phishing.

O programa de conscientização contempla trilhas de capacitação diferenciadas conforme o perfil de risco de cada função, sendo colaboradores com acesso privilegiado, desenvolvedores e integrantes de áreas críticas submetidos a conteúdos técnicos adicionais e específicos, alinhados às responsabilidades particulares de seus cargos.

A efetividade do programa de conscientização é mensurada por meio de indicadores objetivos, tais como taxa de conclusão dos treinamentos, resultados de avaliações de conhecimento e taxa de suscetibilidade em simulações de phishing, sendo tais indicadores reportados periodicamente ao Comitê de Segurança da Informação.

37. AUDITORIA E CONFORMIDADE

A efetividade dos controles previstos nesta Política é verificada por meio de auditorias internas e externas periódicas, que avaliam a conformidade com as exigências do BACEN, da LGPD e dos padrões internacionais adotados, sendo os achados formalmente reportados ao Comitê de Segurança da Informação.

As auditorias de segurança da informação abrangem a verificação documental dos normativos vigentes, a avaliação da efetiva implementação dos controles técnicos e administrativos previstos, e a análise de evidências de execução dos processos correlatos, sendo conduzidas por profissionais com independência funcional em relação às áreas auditadas.

Toda não conformidade identificada em processo de auditoria é objeto de plano de ação corretivo, com responsável e prazo formalmente definidos, sendo seu cumprimento acompanhado até o efetivo encerramento, cabendo à área de Auditoria Interna reportar periodicamente o status de tais planos aos órgãos de governança competentes.

38. PENALIDADES E MEDIDAS DISCIPLINARES

O descumprimento desta Política sujeita o infrator a medidas disciplinares proporcionais à gravidade da falta, que podem incluir advertência formal, suspensão, rescisão do vínculo contratual e adoção das medidas cíveis e criminais cabíveis, sem prejuízo de outras sanções previstas em normativo interno.

A gradação das penalidades observa critérios objetivos, tais como a reincidência da conduta, a existência de dolo ou culpa, a extensão do dano causado à instituição, a clientes ou a terceiros, e o grau de cooperação do colaborador na apuração dos fatos, sendo assegurado, em todos os casos, o direito ao contraditório e à ampla defesa nos termos da legislação e dos normativos internos aplicáveis.

Para terceiros, fornecedores e parceiros comerciais, o descumprimento das obrigações de segurança previstas nesta Política e nos respectivos instrumentos contratuais pode ensejar, adicionalmente às penalidades contratuais específicas, a suspensão ou o encerramento da relação comercial, sem prejuízo da responsabilização civil pelos danos eventualmente causados.

39. ATUALIZAÇÕES DA POLÍTICA

Esta Política é revisada, no mínimo, anualmente, ou sempre que alterações regulatórias, tecnológicas ou de risco assim o exigirem, submetendo-se toda alteração ao processo formal de gestão de mudanças e à aprovação do Comitê de Segurança da Informação, com controle de versionamento.

Todas as versões anteriores desta Política são mantidas em repositório histórico controlado, com registro das alterações promovidas em cada revisão, respectiva justificativa e identificação dos responsáveis pela aprovação, de modo a assegurar rastreabilidade completa da evolução normativa ao longo do tempo.

Alterações relevantes desta Política são comunicadas formalmente a todos os colaboradores, administradores e terceiros abrangidos por seu escopo de aplicação, sendo eventualmente exigida nova manifestação de ciência e concordância, a critério do Comitê de Segurança da Informação, quando a natureza da alteração assim o justificar.

40. DISPOSIÇÕES FINAIS

Esta Política entra em vigor na data de sua publicação, aplicando-se a todos os colaboradores, administradores, parceiros e terceiros que atuem em nome da Banerj Digital Serviços Financeiros LTDA. Os casos omissos serão dirimidos pelo Comitê de Segurança da Informação, prevalecendo, em qualquer hipótese, a legislação vigente aplicável ao setor financeiro nacional.

Eventuais dúvidas quanto à interpretação ou à aplicação desta Política devem ser formalmente encaminhadas à área de Segurança da Informação, que emitirá parecer técnico conclusivo, submetido, quando necessário, à deliberação do Comitê de Segurança da Informação para fins de uniformização de entendimento em toda a organização.

A eventual invalidade ou ineficácia de qualquer disposição específica desta Política, por força de decisão judicial, administrativa ou regulatória superveniente, não afeta a validade e a eficácia das demais disposições, as quais permanecem em pleno vigor, cabendo ao Comitê de Segurança da Informação deliberar sobre a necessidade de revisão pontual do dispositivo afetado.