«Apêndice VIII

Requisitos relativos à gestão da segurança da informação e à gestão da continuidade de negócio

Gestão da segurança da informação

Estes requisitos são aplicáveis a cada participante, salvo se o participante demonstrar que um determinado requisito não lhe é aplicável. Na definição do âmbito de aplicação destes requisitos no interior da própria infraestrutura, o participante deve identificar os elementos que fazem parte da cadeia de operações de pagamento (Payment Transaction Chain/PTC). Mais precisamente, a cadeia de operações de pagamento começa num ponto de entrada (Point of Entry/PoE), ou seja um sistema que participa na criação das operações (por exemplo, um posto de trabalho, uma aplicação de balcão de atendimento ou de backoffice, ou uma aplicação de middleware, e termina no sistema responsável pelo envio da mensagem à SWIFT (por exemplo a SWIFT VPN box) ou à Internet (aplicando-se este último em caso de acesso por Internet).

Requisito 1.1: Política da segurança da informação

A direção deve definir uma orientação política clara, em consonância com os objetivos da atividade, e demonstrar apoio e empenho na segurança da informação através da emissão, aprovação e manutenção de uma política da segurança da informação destinada a gerir a segurança da informação e a ciber-resiliência em toda a organização em termos de identificação, avaliação e tratamento dos riscos em matéria de segurança da informação e de ciber-resiliência. A política deve conter, no mínimo, as seguintes secções: objetivos, âmbito de aplicação (incluindo domínios como a organização, os recursos humanos, a gestão de ativos, etc.), princípios e atribuição de responsabilidades.

Requisito 1.2: Organização interna

É estabelecido um regime de segurança da informação para implementar a política de segurança da informação no seio da organização. A direção deve coordenar e rever a criação do quadro de segurança da informação para assegurar a implementação da política de segurança da informação (nos termos do requisito 1.1) em toda a organização, incluindo a afetação de recursos suficientes e a atribuição de responsabilidades em matéria de segurança para o efeito.

Requisito 1.3: Partes externas

A segurança da informação da organização e das respetivas instalações de tratamento da informação não deve ser comprometida pelo recurso a uma ou mais partes externas ou a produtos/serviços por elas fornecidos ou pela dependência das mesmas ou dos seus produtos/serviços. Qualquer acesso às instalações de tratamento da informação da organização por partes externas deve ser objeto de controlo. Sempre que partes externas ou produtos/serviços de partes externas devam ter acesso a instalações de tratamento da informação da organização, deve ser levada a cabo uma avaliação dos riscos para determinar as implicações para a segurança e os requisitos de controlo. Os controlos devem ser acordados e definidos num acordo com cada parte externa em causa.

Requisito 1.4: Gestão de ativos

Todos os ativos de informação, processos operacionais e sistemas de informação subjacentes, tais como sistemas operativos, infraestruturas, aplicações operacionais, produtos standard, serviços e aplicações desenvolvidas pelos utilizadores, abrangidos pela cadeia de operações de pagamento devem ser contabilizados e ter um proprietário designado (“nominated owner”). Deve ser atribuída responsabilidade pela manutenção e pelo funcionamento de controlos adequados dos processos operacionais e das respetivas componentes informáticas com vista à proteção dos ativos de informação. Observação: o proprietário pode, caso necessário, delegar a implementação de controlos específicos, mas permanece responsável pela proteção adequada dos ativos.

Requisito 1.5: Classificação dos ativos de informação

Os ativos de informação devem ser classificados de acordo com a respetiva importância crítica para a prestação adequada do serviço pelo participante. A classificação deve indicar a necessidade, as prioridades e o grau de proteção exigido no tratamento do ativo de informação nos processos operacionais em causa e deve igualmente ter em conta as componentes informáticas subjacentes. Deve ser utilizado um sistema de classificação de ativos de informação aprovado pela direção para definir um conjunto adequado de controlos de proteção ao longo de todo o ciclo de vida dos ativos de informação (incluindo a remoção e a destruição de ativos de informação) e para comunicar a necessidade de medidas de tratamento específicas.

Requisito 1.6: Segurança dos recursos humanos

As responsabilidades em matéria de segurança devem ser definidas antes do recrutamento, através da descrição adequada dos postos de trabalho e nas condições de emprego. Todos os candidatos a emprego, contratantes e utilizadores terceiros devem ser objeto de um controlo adequado, em especial no que diz respeito a postos de trabalho sensíveis. Os empregados, os contratantes e os terceiros utilizadores de instalações de tratamento da informação devem subscrever um acordo sobre as respetivas funções e responsabilidades em matéria de segurança. Deve ser garantido um nível adequado de sensibilização de todos os trabalhadores, contratantes e utilizadores terceiros, e assegurados o ensino e a formação em matéria de procedimentos de segurança e de utilização correta das instalações de tratamento da informação para minimização dos possíveis riscos de segurança. Deve ser instituído um processo disciplinar formal para o tratamento das violações da segurança pelos trabalhadores. Devem ser definidas responsabilidades para assegurar a gestão da saída da organização ou da transferência no seio da mesma de um empregado, contratante ou utilizador terceiro, bem como a devolução de todo o equipamento e a supressão de todos os direitos de acesso.

Requisito 1.7: Segurança física e ambiental

As instalações de tratamento da informação crítica ou sensível devem ser situadas em zonas seguras, protegidas por perímetros de segurança definidos, com barreiras e controlos de entrada adequados. Devem estar fisicamente protegidas contra o acesso não autorizado e a produção de danos e interferências. O acesso é exclusivamente concedido às pessoas abrangidas pelo requisito 1.6. São estabelecidos procedimentos e normas para proteger os suportes físicos que contenham ativos de informação durante o seu transporte.

Os equipamentos são protegidos contra as ameaças físicas e ambientais. A proteção do equipamento (incluindo o equipamento utilizado fora do local) e a proteção contra a remoção de bens é necessária para reduzir o risco do acesso não autorizado à informação e para proteger contra perdas ou danos do equipamento ou da informação. Podem ser necessárias medidas especiais de salvaguarda e proteção contra ameaças físicas das instalações de apoio, tais como a alimentação elétrica e a infraestrutura de cablagem.

Requisito 1.8: Gestão das operações

Devem ser estabelecidos responsabilidades e procedimentos para a gestão e o funcionamento das instalações de tratamento da informação que abranjam todos os sistemas subjacentes da cadeia de operações de pagamento, de um extremo ao outro.

Relativamente aos procedimentos operacionais, incluindo a administração técnica dos sistemas informáticos, deve implementar-se, sempre que necessário, a separação de funções, a fim de reduzir o risco de utilização abusiva intencional ou negligente do sistema. Caso a separação de funções não possa ser implementada por razões objetivas documentadas, devem ser introduzidos controlos compensatórios na sequência de uma análise do risco formal. Devem ser estabelecidos controlos para prevenir e detetar a introdução de códigos maliciosos nos sistemas da cadeia de operações de pagamento. Também devem ser estabelecidos controlos (incluindo a sensibilização dos utilizadores) para prevenir, detetar e remover códigos maliciosos. Só devem ser utilizados códigos móveis de fontes de confiança (por exemplo, componentes COM assinados da Microsoft e Java Applets). A configuração do programa de navegação (por exemplo, a utilização de extensões e plug-ins) deve ser rigorosamente controlada.

A direção deve implementar políticas de salvaguarda e de recuperação de dados; tais políticas de recuperação de dados devem incluir um plano do processo de restauração que deve ser objeto de testes com uma frequência no mínimo anual.

Os sistemas críticos para a segurança dos pagamentos devem ser monitorizados e os eventos relevantes para a segurança da informação devem ser registados. Devem ser utilizados registos do funcionamento (operator logs) para garantir a identificação de problemas do sistema informático. Os registos do funcionamento devem ser examinados regularmente por amostragem, tendo em conta a importância crítica das operações. A monitorização do sistema deve ser utilizada para verificar a eficácia dos controlos identificados como críticos para a segurança dos pagamentos e para verificar a conformidade com um modelo de política de acesso.

Os intercâmbios de informações entre organizações devem basear-se numa política formal de intercâmbio, executada em conformidade com os acordos de intercâmbio celebrados entre as partes envolvidas, e respeitar toda a legislação pertinente. As componentes de software de terceiros utilizadas no intercâmbio de informação com o TARGET2 (como o software recebido de um service bureau no cenário 2 da secção relativa ao âmbito de aplicação do documento sobre o acordo de autocertificação do TARGET2) devem ser utilizadas ao abrigo de um acordo formal com o terceiro.

Requisito 1.9: Controlo do acesso

O acesso aos ativos de informação deve ser justificado com base em necessidades operacionais (necessidade de conhecer (1)) e de acordo com o quadro de políticas da empresa estabelecido (incluindo a política de segurança da informação). Devem ser definidas regras claras de controlo do acesso com base no princípio do menor privilégio (2), a fim de refletir fielmente as necessidades dos processos operacionais e informáticos correspondentes. Caso aplicável (por exemplo, em relação à gestão das cópias de segurança), o controlo do acesso lógico deve ser coerente com o controlo do acesso físico, salvo se existirem controlos compensatórios adequados (por ex., encriptação e anonimização dos dados pessoais).

Devem existir procedimentos formais e documentados para controlar a atribuição de direitos de acesso a sistemas e serviços informáticos abrangidos pelo âmbito de aplicação da cadeia de operações de pagamento. Os procedimentos devem abranger todas as fases do ciclo de vida do acesso do utilizador, desde o registo inicial de novos utilizadores até ao cancelamento final do registo dos utilizadores que já não necessitam de acesso.

Deve ser dada especial atenção, sempre que aplicável, à atribuição de direitos de acesso de uma tal importância crítica que o seu abuso possa ter repercussões negativas graves nas operações do participante (por exemplo, direitos de acesso que permitam a administração do sistema, a neutralização dos controlos do sistema ou o acesso direto aos dados operacionais).

Devem ser adotados controlos adequados para identificar, autenticar e autorizar os utilizadores em pontos específicos da rede da organização, por exemplo, em relação ao acesso local e remoto aos sistemas da cadeia de operações de pagamento. As contas pessoais não são partilhadas a fim de assegurar a responsabilização.

Em relação às palavras-passe, devem ser estabelecidas e aplicadas regras através de controlos específicos para garantir que estas não possam ser facilmente deduzidas, por exemplo, regras relativas à sua complexidade e validade temporal limitada. Deve ser estabelecido um protocolo seguro de recuperação e/ou de reinicialização da palavra-passe.

Deve ser desenvolvida e implementada uma política relativa à utilização de controlos criptográficos para proteger a confidencialidade, a autenticidade e a integridade da informação. Deve ser estabelecida uma política de gestão das chaves em apoio da utilização de controlos criptográficos.

Deve existir uma política sobre a visualização de informações confidenciais no ecrã ou em papel, por exemplo, uma política de ecrã vazio (clear screen) ou de secretária vazia (clear desk), a fim de reduzir o risco de acesso não autorizado.

Em relação ao trabalho à distância, devem ser tidos em conta os riscos de trabalhar num ambiente não protegido e devem ser aplicados controlos técnicos e organizativos adequados.

Requisito 1.10: Aquisição, desenvolvimento e manutenção de sistemas informáticos

Os requisitos de segurança devem ser identificados e acordados antes do desenvolvimento e/ou da implementação dos sistemas informáticos.

Devem ser incorporados controlos adequados nas aplicações, incluindo as aplicações desenvolvidas pelos utilizadores, a fim de garantir um tratamento correto. Estes controlos devem incluir a validação dos dados de entrada, do tratamento interno e dos dados de saída. Podem ser necessários controlos adicionais para os sistemas que tratam ou tenham impacto em informações sensíveis, valiosas ou críticas. Tais controlos serão determinados com base nos requisitos de segurança e na avaliação dos riscos de acordo com as políticas estabelecidas (por exemplo, política de segurança da informação, política de controlo criptográfico).

Os requisitos operacionais dos novos sistemas devem ser estabelecidos, documentados e testados antes da sua aceitação e utilização. No que diz respeito à segurança da rede, devem ser implementados controlos adequados, incluindo a segmentação e a gestão segura, com base na importância crítica dos fluxos de dados e no nível de risco das áreas de rede da organização. Devem existir controlos específicos para proteger a informação sigilosa que circula nas redes públicas.

O acesso aos ficheiros do sistema e ao código-fonte do programa deve ser controlado e os projetos informáticos e as atividades de apoio devem ser realizados de forma segura. Deve-se evitar a exposição de dados sensíveis em ambientes de teste. Os ambientes de projeto e de apoio devem ser rigorosamente controlados. A introdução de alterações na produção deve ser rigorosamente controlada. Deve ser efetuada uma avaliação dos riscos das alterações importantes a introduzir na produção.

As atividades regulares de teste da segurança dos sistemas de produção devem também ser realizadas de acordo com um plano predefinido baseado nos resultados de uma avaliação de risco, e os testes de segurança devem incluir, pelo menos, avaliações da vulnerabilidade. Todas as deficiências evidenciadas durante as atividades de teste da segurança devem ser avaliadas e devem ser elaborados planos de ação para colmatar as eventuais lacunas identificadas aos quais deve ser dado seguimento de forma tempestiva.

Requisito 1.11: Segurança da informação nas relações com os fornecedores (3)

A fim de assegurar a proteção dos sistemas informáticos internos do participante acessíveis aos fornecedores, os requisitos de segurança da informação para atenuar os riscos associados ao acesso do fornecedor devem ser documentados e formalmente acordados com o fornecedor.

Requisito 1.12: Gestão dos incidentes de segurança da informação e das melhorias a esse respeito

A fim de assegurar uma abordagem coerente e eficaz da gestão dos incidentes de segurança da informação, incluindo a comunicação de ocorrências e de fragilidades em matéria de segurança, as funções, responsabilidades e procedimentos devem ser estabelecidos e testados, a nível operacional e técnico, a fim de assegurar a recuperação rápida, efetiva, ordenada e segura na sequência de incidentes de segurança da informação, incluindo cenários relativos a uma causa cibernética (por exemplo, fraude cometida por um agressor externo ou por um detentor de informação privilegiada). O pessoal envolvido nestes procedimentos deve receber formação adequada.

Requisito 1.13: Verificação da conformidade técnica

Os sistemas informáticos internos de um participante (por exemplo, sistemas de back office, redes internas e conectividade da rede externa) devem ser regularmente avaliados quanto à conformidade com o quadro de políticas adotado pela organização (por exemplo, política de segurança da informação, política de controlo criptográfico).

Requisito 1.14: Virtualização

As máquinas virtuais hóspedes devem cumprir todos os controlos de segurança estabelecidos para o hardware físico e para os sistemas físicos (por exemplo, hardening e logging). Os controlos relativos a hipervisores devem incluir: hardening do hipervisor e do sistema operativo hospedeiro, aplicação regular de patches, separação rigorosa dos diferentes ambientes (por exemplo, produção e desenvolvimento). A gestão centralizada, o logging e a monitorização, assim como a gestão dos direitos de acesso, em especial das contas privilegiadas, devem ser implementados com base numa avaliação dos riscos. As máquinas virtuais hóspedes geridas pelo mesmo hipervisor devem ter um perfil de risco semelhante.

Requisito 1.15: Computação em nuvem

A utilização de soluções de computação em nuvem públicas e/ou híbridas na cadeia de operações de pagamento deve basear-se numa avaliação formal dos riscos, tendo em conta os controlos técnicos e as cláusulas contratuais relativas à solução da computação em nuvem.

Se forem utilizadas soluções de computação em nuvem híbridas, entende-se que o nível de criticidade do sistema global é o mais elevado dos sistemas ligados. Todas as componentes das soluções híbridas nas instalações devem ser separadas dos outros sistemas existentes nas instalações.

Gestão da continuidade de negócio (aplicável apenas a participantes críticos)

Os seguintes requisitos (2.1 a 2.6) dizem respeito à gestão da continuidade de negócio. Cada participante no TARGET2 classificado pelo Eurosistema como crítico para o bom funcionamento do sistema TARGET2 deve dispor de uma estratégia de continuidade de negócio que inclua os seguintes elementos.