POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E SEGURANÇA CIBERNÉTICA

SUMÁRIO

A. ESCOPO DESSA POLÍTICA
B. PRINCÍPIOS
C. DIRETRIZES GERAIS
D. PROCESSO DE SEGURANÇA DA INFORMAÇÃO E CIBERNÉTICA
E. DECLARAÇÃO DE RESPONSABILIDADE
F. DISPOSIÇÕES GERAIS

A. ESCOPO DESSA POLÍTICA

1. Objetivo

Esta Política de Segurança da Informação e Segurança Cibernética (“Política”) tem o objetivo de estabelecer diretrizes que permitem ao BANKOSO INSTITUIÇÃO DE PAGAMENTO LTDA. (“BANKOSO”) preservar e proteger as informações de seus clientes, funcionários, prestadores de serviços, partes interessadas e da própria instituição contra ameaças e riscos relacionados à segurança da informação e cibernética, a fim de reduzir a vulnerabilidade do BANKOSO a incidentes.

O BANKOSO deve implementar e manter esta Política formulada com base em princípios e diretrizes que busquem assegurar a confidencialidade, a integridade, a autenticidade e a disponibilidade dos dados e dos sistemas de informação utilizados.

Esta Política será compatível com:

O porte, o perfil de risco e o modelo de negócio do BANKOSO;
A natureza das atividades do BANKOSO e a complexidade dos produtos e serviços oferecidos; e
A sensibilidade dos dados e das informações sob responsabilidade do BANKOSO.

2. Abrangência

Esta Política se aplica a todos os diretores, funcionários e empresas prestadoras de serviço¹ do BANKOSO (coletivamente, “Colaboradores”) cujas atividades sejam desempenhadas visando o desenvolvimento das operações atinentes a esta Política.

¹ Quaisquer terceiros que atuem em nome do BANKOSO, tais como Auditoria Externa, Tecnologia da Informação, Infraestrutura de TI, dentre outras.

3. Responsabilidades

São deveres e responsabilidades de implementação, execução e manutenção desta Política:

3.1. Área de Compliance: responsável, em conjunto com o diretor responsável pela segurança cibernética, pela atualização e processo de aprovação periódica da Política;

3.2. Diretor responsável pela execução e manutenção desta Política: responsável pela implementação, execução e manutenção da política, pelo plano de ação e resposta a incidentes do BANKOSO, bem como, pela convocação das reuniões periódicas do comitê de segurança da informação e segurança cibernética;

3.3. Comitê de Segurança da Informação e Segurança Cibernética: comitê formado por Colaboradores indicados aprovados pela Alta Administração, com o objetivo de deliberar a respeito de assuntos relacionados à Segurança da Informação e Segurança Cibernética;

3.4. Usuários: Alta Administração e Colaboradores do BANKOSO, que direta ou indiretamente utilizam ou suportam os sistemas, a infraestrutura ou as informações da instituição, e que devem, no que couber: (i) cumprir as normas e procedimentos relacionados ao uso de informações e sistemas associados, em conformidade com o estabelecido nesta Política; (ii) informar, imediatamente, às áreas responsáveis, qualquer falha em dispositivo, serviço ou processo relacionado à Segurança da Informação e Segurança Cibernética, para que sejam tomadas ações de forma tempestiva; (iii) utilizar as informações relacionadas à esta Política, como patrimônio do BANKOSO e mantê-las seguras, íntegras e disponíveis, conforme sua classificação e necessidade.

4. Normas Aplicáveis

Resolução BCB n . 85/2021: Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem.

5. Aprovação e Revisão

Esta Política foi elaborada e revisada pelo Diretor responsável pela segurança da informação e cibernética, aprovada pela Alta Administração e será revisada com a periodicidade mínima anual.

A Política também poderá ser alterada, a qualquer momento, para contemplar quaisquer alterações regulatórias e outras obrigações legais.

6. Definições

Ativos: todas as formas de tratamento de informações. Os Ativos podem ser documentos impressos, sistemas, softwares, banco de dados, arquivos digitais, dispositivos móveis, etc.
Alta Administração: diretores do BANKOSO.
Bacen: Banco Central do Brasil.
Clientes: aqueles que contratam e utilizam produtos e/ou serviços do BANKOSO.
Colaboradores: funcionários, prestadores de serviços sem vínculo empregatício, trainees e estagiários do BANKOSO.
Gestão de Ativos: são as boas práticas utilizadas pelo BANKOSO em seu processo de controle de ativos tangíveis e intangíveis (equipamentos, contratos, marcas, ferramentas e materiais, know-how), que buscam alcançar um resultado desejado e sustentável para a operação.
Informações Sensíveis: que tem valor estratégico para o desenvolvimento dos negócios e das operações do BANKOSO, ganhando tangibilidade por meio de transações, processamentos, bancos de dados, entre outras formas, e que serão tratados com base no legítimo interesse do BANKOSO, estritamente necessários para a finalidade pretendida nos termos desta Política e da legislação em vigor.
Instituição de Pagamento: para fins desta Política, é o BANKOSO que participa do arranjo de pagamentos instantâneos instituído pelo Banco Central do Brasil, na forma e nos termos da regulamentação própria.
Log: registro de eventos de um sistema.
Segurança da Informação: conjunto de conceitos, mecanismos e estratégias que visam proteger os Ativos do BANKOSO.
Segurança Cibernética: conjunto de tecnologias e processos desenvolvidos para proteger os sistemas internos, computadores, redes e dados do BANKOSO contra-ataques, danos, ameaças ou acesso não autorizado.
Transação: para fins desta Política, consiste: (i) nas movimentações realizadas pelo Cliente de sua conta de pagamento, mediante o aporte, a transferência ou o resgate de recursos financeiros.

B. PRINCÍPIOS

O BANKOSO tem o compromisso de garantir a segurança e o tratamento adequado das informações. Para tanto, adota atividades que se baseiam nos seguintes princípios:

Autenticidade: garantia de identificar e autenticar usuários, entidades, sistemas ou processos com acesso à informação;
Confidencialidade: garantia de que somente pessoas autorizadas terão acessos às informações e apenas quando houver necessidade;
Disponibilidade: garantia de que a informação estará disponível às pessoas autorizadas sempre que for necessário;
Integridade: garantia de que as informações permanecerão exatas e completas e não serão modificadas indevidamente.

C. DIRETRIZES GERAIS

Com o objetivo de garantir os objetivos desta Política, os procedimentos de Segurança da Informação e Segurança Cibernética seguirão as seguintes diretrizes:

Assegurar que não haja acessos indevidos, modificações, destruições ou divulgações não autorizadas das informações. Para tanto, o acesso do Colaborador deve ser pessoal, intransferível e restrito aos recursos necessários para realizar suas atribuições no BANKOSO.
Cada Colaborador, quando aplicável, receberá uma senha pessoal de acesso e ficará responsável por manter sua senha em sigilo para evitar acesso indevido às informações que estão sob sua responsabilidade. O BANKOSO adotará mecanismos que visam a assegurar a utilização segura de senhas.
Qualquer risco à informação deverá ser imediatamente reportado pelo Colaborador por meio dos canais e procedimentos indicados pelo BANKOSO.
Assegurar que todas as informações sejam tratadas de maneira ética e sigilosa e que sejam adotadas medidas capazes de evitar ou, ao menos, registrar acessos indevidos, modificações, destruições ou divulgações não autorizadas.
Assegurar que as informações sejam utilizadas somente para a finalidade para a qual foram coletadas e que o acesso esteja condicionado à autorização.
Assegurar o cumprimento dos procedimentos e controles adotados para reduzir a vulnerabilidade a incidentes e atender aos demais objetivos de Segurança Cibernética, tais como, a autenticação, a criptografia, a prevenção e a detecção de intrusão, a prevenção de vazamento de informações, a realização periódica de testes e varreduras para detecção de vulnerabilidades, a proteção contra softwares maliciosos, o estabelecimento de mecanismos de rastreabilidade, os controles de acesso e de segmentação da rede de computadores e a manutenção de cópias de segurança dos dados e das informações.
Assegurar que os controles específicos, incluindo os voltados para a rastreabilidade da informação, garantam, no melhor nível possível, a segurança das informações sensíveis.
Assegurar o registro, análise da causa e o impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades do BANKOSO.
Assegurar a elaboração de cenários de incidentes considerados nos testes de continuidade dos serviços de pagamento prestados.
Definir os procedimentos e controles voltados à prevenção e ao tratamento dos incidentes que devem ser adotados pelos prestadores de serviços e terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais do BANKOSO.
Classificar os dados e as informações quanto à relevância.
Definir os parâmetros a serem utilizados na avaliação da relevância dos incidentes.
Assegurar os mecanismos para disseminação da cultura de segurança cibernética, incluindo:
- A implementação de programas de capacitação e de avaliação periódica de pessoal;
- A prestação de informações a usuários finais sobre precauções na utilização de produtos e serviços oferecidos.
Estimular iniciativas para compartilhamento de informações sobre incidentes relevantes, com Instituições de Pagamento, instituições financeiras e demais instituições autorizadas a funcionar pelo Bacen.
Manter o registro, análise da causa e do impacto, bem como o controle dos efeitos de incidentes de informações recebidas de empresas prestadoras de serviços a terceiros.
Atender o nível de complexidade, abrangência e precisão compatíveis com as atividades e responsabilidades do BANKOSO.

D. PROCESSO DE SEGURANÇA DA INFORMAÇÃO E CIBERNÉTICA

A fim de assegurar que todas as diretrizes acima sejam cumpridas e que os princípios de Segurança da Informação e de Segurança Cibernética sejam devidamente seguidos, o BANKOSO adotará políticas e procedimentos para os processos elencados a seguir.

I. Gestão de Ativos

Os Ativos devem ser inventariados e protegidos de acessos indevidos ou ameaças que possam comprometer o negócio. Para tanto, o acesso às salas com armazenagem de documentos físicos deve ser restrito e limitado, por meio de mecanismos de autenticação e autorização de acesso, destinados a impedir o acesso de indivíduos não autorizados.

Os Ativos devem ser utilizados tão somente para a finalidade devidamente autorizada. O BANKOSO deve assegurar proteção aos Ativos durante todo o seu ciclo de vida, a fim de garantir que os princípios da autenticidade, confidencialidade, disponibilidade e integridade sejam cumpridos integralmente.

II. Autenticação

O BANKOSO adotará mecanismos para garantir que o acesso às informações e ambientes tecnológicos seja permitido apenas aos indivíduos autorizados, para, de forma consequente, prever os respectivos processos de autorização levando em consideração o princípio do menor privilégio, a segregação de funções e a classificação da informação.

III. Segmentação de rede

O BANKOSO deve adotar mecanismos internos para a segmentação de rede para proteger seus dados de ataques cibernéticos e determinar que todos os computadores conectados à rede corporativa não estejam acessíveis diretamente pela Internet.

Caso o Colaborador queira criar, alterar ou excluir regras nos firewalls e Ativos de rede deverá enviar uma requisição ao departamento de tecnologia da informação, que fará análise e aprovação.

IV. Classificação da Informação

As informações devem ser classificadas segundo sua criticidade e sensibilidade para o negócio e seus Clientes. Portanto, o BANKOSO deve adotar a seguinte classificação:

Informação Pública: aquela que pode ser acessada por todos, sem restrição. São exemplos de Informação Pública: dados divulgados ao mercado e dados promocionais;
Informação Interna: aquela que pode ser acessada somente por Colaboradores do BANKOSO. São exemplos de Informação Interna: normas, procedimentos e formulários;
Informação Restrita: aquela que pode ser acessada somente por Colaboradores que precisam dela para desempenhar suas atribuições. São exemplos de Informação Restrita: contratos e documentos estratégicos.
Informação Confidencial: aquela que pode ser acessada somente por Colaboradores que tenham permissão de acesso ou que necessitem dela para um propósito específico. São exemplos de Informação Confidencial: plano estratégico e informações de clientes.

V. Controle de acesso

O BANKOSO deve adotar controles de acesso em toda infraestrutura para evitar que indivíduos não autorizados tenham acesso aos ambientes segregados, aos sistemas internos e as informações que não sejam de livre acesso e sem permissão prévia. Desta forma, o BANKOSO deve implementar mecanismos para a autenticação de usuários, manutenção de segregação de funções, rastreabilidade de acesso e aprovação de acesso, quando aplicável, de forma a garantir procedimentos internos adequados e consistentes.

VI. Gestão de riscos e falhas de segurança

O BANKOSO possui processo para análise de vulnerabilidades, ameaças e impactos sobre os Ativos de informação para, diante de um incidente, adotar as medidas adequadas para minimizar os danos causados.

Os processos de gestão de riscos englobam os controles de mudanças no ambiente de tecnologia do BANKOSO, que são estruturados e aplicados através de um conjunto de processos que vão atuar em todas as áreas potencialmente impactadas, bem como a capacitação e o engajamento dos Colaboradores diretamente envolvidos nas ações mitigatórias dentro do BANKOSO, com o objetivo da preparação para essas situações.

Neste processo, será levado em conta: (i) o levantamento dos impactos organizacionais; (ii) a priorização das ações de mudanças no ambiente de tecnologia do BANKOSO; (iii) o planejamento; (iv) os testes; (v) a mobilização; (vi) a comunicação; e (vii) os treinamentos contínuos para a devida capacitação das pessoas diretamente envolvidas no processo de gestão de riscos e controle dos respectivos ambientes de tecnologia do BANKOSO, da seguinte forma:

O levantamento dos impactos organizacionais irá detalhar quais áreas do BANKOSO podem vir a ser impactadas direta e/ou indiretamente;
A priorização das ações de mudanças no ambiente de tecnologia irá avaliar e elencar todas as mudanças que precisam ser implementadas, definindo quais demandas serão tratadas com prioridade e quais poderão ser mitigadas;
O planejamento irá definir os planos de implementação, impactos e correções, visando maximizar a segurança e integridade dos ambientes de tecnologia, e minimizar ao máximo riscos de ações ineficientes e ineficazes;
Os testes irão monitorar todo o processo e se certificar que tudo está acontecendo conforme o planejamento realizado. Através dos testes serão elaborados relatórios, os quais serão revisados pelo Diretor responsável pela execução e manutenção desta Política, que descreverá os resultados, funcionalidades e correções;
A mobilização irá, através do Diretor responsável por esta Política de segurança cibernética e pela execução do plano de ação e de resposta a incidentes, em conjunto com o Comitê de Segurança da Informação e Segurança Cibernética e a Área de Compliance, direcionar o BANKOSO e todos os Colaboradores ao encontro do objetivo deste processo da gestão de riscos e de controles de mudanças no ambiente de tecnologia;
A comunicação irá informar e detalhar os objetivos da mudança através dos canais de comunicação e do desenvolvimento do plano de comunicação, para que todos os Colaboradores do BANKOSO tenham conhecimento da relevância e da necessidade do engajamento para o alcance de todas as medidas adequadas e mitigatórias, para neutralizar ou minimizar os eventuais ou potenciais danos;
O treinamento contínuo irá garantir a transferência e o nivelamento de conhecimentos relacionados ao trabalho desenvolvido no processo da gestão de riscos e de controles de mudanças no ambiente de tecnologia do BANKOSO.

VII. Gestão de fornecedores

O BANKOSO verifica o grau de comprometimento com relação a controles de Segurança da Informação e Segurança Cibernética de todos os seus prestadores de serviços, fornecedores, provedores e parceiros que processam e armazenam dados do BANKOSO, com a finalidade de verificar o nível de maturidade dos controles de segurança e o plano de tratamento de incidentes adotados.

O BANKOSO deve disponibilizar um canal para que seus prestadores de serviços, fornecedores, provedores e parceiros comuniquem incidentes de Segurança da Informação e Segurança Cibernética que estejam relacionados às informações do BANKOSO.

VIII. Segurança física do ambiente

O BANKOSO deve implementar sistema para controle de acesso dos Colaboradores, prestadores de serviços, fornecedores, provedores e parceiros aos locais restritos. Os equipamentos e instalações de processamento de informação crítica ou sensível devem ser mantidos em áreas seguras, com níveis de controle de acesso apropriados, incluindo proteção contra ameaças físicas e ambientais.

IX. Backup e gravação de LOG

O BANKOSO deve adotar uma rotina de backup e restauração de dados para assegurar a disponibilidade das informações relevantes para o pleno funcionamento de suas atividades.

O BANKOSO também deve realizar gravação de logs de dados que permitam a rastreabilidade do acesso e a identificação do criador, data, meios de acesos e informações acessadas. As informações dos logs devem ser protegidas contra alterações e acessos não autorizados.

X. Proteção contra vírus, arquivos e softwares maliciosos

O BANKOSO deve adotar mecanismos para prevenir que vírus e outros tipos de software e condutas maliciosas (e.g., phishing, spam etc.) se propaguem nos computadores, sistemas e servidores internos ou exponham o BANKOSO a vulnerabilidades. Para tanto, os softwares de segurança, como o antivírus, devem estar instalados e atualizados em toda a rede interna do BANKOSO.

XI. Testes de varredura para detecção de vulnerabilidade

O BANKOSO se preocupa em identificar e eliminar as vulnerabilidades de seus sistemas e servidores para assegurar a integridade do ambiente dos processos de negócio. Para tanto, deve promover monitoramento constante e condução de testes e varredura para detecção de vulnerabilidades, avaliação de riscos e determinação de medidas de correção adequadas.

O BANKOSO adota processo de atualização periódica de segurança no parque tecnológico, de forma a prevenir vulnerabilidades que possam ocasionar brechas de segurança para ataque de vírus e outros tipos de software, que se propaguem nos computadores, sistemas e servidores do BANKOSO.

XII. Criptografia

Os Ativos de informação do BANKOSO devem possuir criptografia adequada, conforme a classificação da informação, em todo tráfego que ocorrer em rede pública, a fim de se garantir proteção em todo o ciclo de vida da informação, em conformidade com os padrões de segurança dos órgãos reguladores.

XIII. Plano de continuidade

O BANKOSO realiza plano de continuidade dos serviços prestados a partir da adoção de um conjunto preventivo de estratégias e planos de ação para garantir que os serviços essenciais do BANKOSO sejam devidamente identificados e preservados após a ocorrência de uma contingência.

Para tanto, o BANKOSO realizará o mapeamento de processos críticos, análise de impacto nos negócios e inventário dos cenários de crises cibernéticas relacionados aos incidentes de segurança.

Devem ser aplicados testes de continuidade de serviços de pagamento e realização testes periódicos para garantir a eficácia e segurança dos processos. O teste deve ser conduzido em um ambiente controlado que permita que o BANKOSO certifique a conformidade dos planos desenvolvidos com os objetivos da instituição, requisitos regulatórios e requisitos legais.

XIV. Incidentes de segurança

A. Classificação de relevância dos incidentes

O BANKOSO classifica os incidentes de segurança segundo sua relevância e conforme a classificação das informações envolvidas e o impacto na continuidade dos negócios do BANKOSO.

B. Gestão de incidentes

Todos os incidentes ou suspeitas de incidentes identificados por um Colaborador, Cliente, prestador de serviços, fornecedor, provedor ou parceiro devem ser imediatamente comunicados à área responsável. A comunicação deverá ser feita por meio dos canais indicados pelo BANKOSO através do e-mail relacionamento@bankoso.com.

Os incidentes reportados serão classificados segundo o risco que representam para o BANKOSO e o impacto na continuidade dos negócios. Além disso, devem ser devidamente registrados, tratados e comunicados.

O BANKOSO adotará procedimentos para mitigar os efeitos dos incidentes relevantes e a interrupção dos serviços relevantes de processamento, armazenamento de dados e de computação em nuvem contratados.

C. Plano de compartilhamento de incidentes

Sem prejuízo do dever de sigilo e da livre concorrência, o BANKOSO deve adotar iniciativas para o compartilhamento de informações sobre incidentes relevantes com as demais instituições autorizadas a funcionar pelo Bacen, por meio dos canais adotados pelas instituições.

As informações compartilhadas também estarão disponíveis ao Bacen.

Caso haja incidentes relevantes ou interrupção dos serviços relevantes, o BANKOSO comunicará o Bacen e adotará medidas necessárias para que as suas atividades sejam reiniciadas, informando o prazo para reinício ou normalização das suas atividades ou dos serviços relevantes interrompidos, estabelecendo e documentando os critérios que configuraram a situação de crise.

D. Plano de ação e resposta a incidentes

O BANKOSO deve estabelecer plano de ação e de resposta a incidentes visando à implementação desta Política, que abrange, minimamente:

As ações a serem desenvolvidas para adequar as estruturas organizacional e operacional às diretrizes desta Política;
As rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenção e na resposta a incidentes.

E. Relatório anual de incidentes

O BANKOSO deve elaborar relatório anual sobre a implementação do plano de ação e de resposta a incidentes, com data-base de 31 de dezembro. O relatório abordará:

A efetividade da implementação das ações de adequação suas estruturas organizacional e operacional;
O resumo dos resultados obtidos na implementação das rotinas, dos procedimentos, dos controles e das tecnologias a serem utilizados na prevenção e na resposta a incidentes, em conformidade com as diretrizes desta Política;
Os incidentes relevantes relacionados com o ambiente cibernético ocorridos no período;
Os resultados dos testes de continuidade dos serviços de pagamento prestados, considerando cenários de indisponibilidade ocasionada por incidentes.

O relatório anual de incidentes deve ser apresentado à Alta Administração do BANKOSO até 31 de março do ano seguinte ao da data-base.

XV. Mecanismos de rastreabilidade

O BANKOSO deve adotar controles específicos para promover a rastreabilidade da informação, principalmente que busquem garantir a segurança das informações sensíveis.

Para as operações em dispositivos autorizados a realizar transações na plataforma do BANKOSO, o controle e a gestão das informações sensíveis terão tratamento específico para assegurar a segurança e integridade das informações de identidade do dispositivo. Caso um dispositivo diferente daquele autorizado a realizar transações na plataforma vier a tentar acessar os sistemas do BANKOSO, será enviado por e-mail ou outro meio, um token para verificação de segurança, validando que as informações sensíveis estão sendo preservadas e protegidas.

XVI. Registro de impacto

O BANKOSO deve realizar registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades da instituição, que devem abranger inclusive informações recebidas de empresas prestadoras de serviços a terceiros.

XVII. Treinamentos e conscientização

O BANKOSO preza por uma cultura de Segurança da Informação e Segurança Cibernética. Dessa forma, devem ser adotados políticas e procedimentos para a difusão dos princípios e diretrizes integrantes desta Política, garantindo-se a capacitação e conscientização para toda a Alta Administração e todos os seus Colaboradores.

O BANKOSO promoverá a ampla divulgação desta Política a todos os seus Colaboradores e o público em geral, bem como às empresas prestadoras de serviços a terceiros, no que couber, mediante linguagem clara, acessível e em nível de detalhamento compatível com as funções desempenhadas e com a sensibilidade das informações, incluindo a prestação de informações aos usuários finais sobre medidas de precaução para a utilização dos produtos e serviços oferecidos.

Além disto, a Alta Administração do BANKOSO deverá difundir a cultura de Segurança da Informação e Segurança Cibernética para promover melhorias contínuas em seus processos internos, a fim de evitar quaisquer incidentes relacionados à Segurança da Informação e Segurança Cibernética.

XVIII. Contratação de serviços de processamento e armazenamento de dados e computação em nuvem

A. Seleção de terceiros

O processamento e armazenamento de dados e computação em nuvem será realizado por meio de terceiros localizados no Brasil ou no exterior. A contratação de terceiros deve ser realizada por meio da aferição da capacidade do prestador de serviço para realizar as atividades em cumprimento com a legislação e regulamentação aplicável. Desta forma, o BANKOSO deve adotar procedimentos para verificação da capacidade do potencial prestador de serviço de forma a assegurar:

O cumprimento da legislação e da regulamentação em vigor;
O acesso do BANKOSO aos dados e às informações a serem processados ou armazenados pelo prestador de serviço;
A confidencialidade, a integridade, a disponibilidade e a recuperação dos dados e das informações processados ou armazenados pelo prestador de serviço;
A aderência do prestador de serviço a certificações exigidas pelo BANKOSO para a prestação do serviço a ser contratado;
O acesso do BANKOSO aos relatórios elaborados por empresa de auditoria especializada independente contratada pelo prestador de serviço, relativos aos procedimentos e aos controles utilizados na prestação dos serviços a serem contratados;
O provimento de informações e de recursos de gestão adequados ao monitoramento dos serviços a serem prestados;
A identificação e a segregação dos dados dos usuários finais do BANKOSO por meio de controles físicos ou lógicos;
A qualidade dos controles de acesso voltados à proteção dos dados e das informações dos usuários finais do BANKOSO.

Na avaliação da relevância do serviço a ser contratado, o BANKOSO também deve considerar a criticidade do serviço e a sensibilidade dos dados e das informações a serem processados, armazenados e gerenciados pelo contratado. Todos os procedimentos devem ser documentados.

Ademais, O BANKOSO deve adotar recursos e medidas necessários para a adequada gestão dos serviços a serem contratados, inclusive para análise de informações e uso dos recursos providos pelo potencial prestador de serviços.

B. Execução de aplicativos pela internet

No caso da execução de aplicativos por meio da internet, o BANKOSO deve assegurar que o potencial prestador dos serviços adote controles que mitiguem os efeitos de eventuais vulnerabilidades na liberação de novas versões do aplicativo.

C. Serviços de computação em nuvem

Os serviços de computação em nuvem disponibilizados ao BANKOSO, sob demanda e de maneira virtual, deverão incluir um ou mais serviços conforme descritos abaixo:

Processamento de dados, armazenamento de dados, infraestrutura de redes e outros recursos computacionais que permitam ao BANKOSO implantar ou executar softwares, que podem incluir sistemas operacionais e aplicativos desenvolvidos pelo BANKOSO ou por ela adquiridos;
Implantação ou execução de aplicativos desenvolvidos pelo BANKOSO, ou por ela adquiridos, utilizando recursos computacionais do prestador de serviços;
Execução, por meio da internet, dos aplicativos implantados ou desenvolvidos pelo prestador de serviço, com a utilização de recursos computacionais do próprio prestador de serviços.

O BANKOSO é responsável, em conjunto com o prestador de serviços, pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos serviços contratados, bem como pelo cumprimento da legislação e da regulamentação em vigor.

A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem deve ser comunicada pelo BANKOSO ao Bacen.

D. Contratação de serviços de computação em nuvem no exterior

Em caso de contratação de serviços de processamento, armazenamento de dados e de computação em nuvem no exterior, o BANKOSO deverá observar os seguintes requisitos:

Existência de convênio para troca de informações entre o Bacen e as autoridades supervisoras dos países onde os serviços serão prestados;
Verificação de que a prestação dos serviços não causará prejuízos ao seu regular funcionamento nem embaraço à atuação do Bacen;
Definição dos países e regiões em cada país em que os serviços serão prestados e os dados armazenados, processados e gerenciados. Essa definição deverá ocorrer antes da contratação dos serviços;
Previsão de alternativas para a continuidade dos serviços de pagamento prestados, no caso de impossibilidade de manutenção ou extinção do contrato de prestação de serviços.

Caso não haja convênio para troca de informações entre o Bacen e as autoridades supervisoras dos países em que os serviços serão prestados, o BANKOSO solicitará autorização do Bacen para a contratação do serviço. O prazo para solicitar autorização é de 60 dias anteriores à contratação. Caso haja alterações contratuais que impliquem em modificação das informações, o BANKOSO deverá solicitar autorização 60 dias antes da alteração contratual.

O BANKOSO deve assegurar que a legislação e a regulamentação nos países em que os serviços serão prestados não restrinjam ou impeçam o acesso do BANKOSO e do Bacen aos dados e às informações. A comprovação do atendimento aos requisitos e o cumprimento desta exigência deverão ser documentados.

E. Contrato de prestação de serviços

O BANKOSO deve assegurar que os contratos de prestação de serviços de processamento, armazenamento de dados e computação em nuvem prevejam:

A indicação dos países e da região em cada país em que os serviços serão prestados e os dados armazenados, processados e gerenciados;
A adoção de medidas de segurança para a transmissão e armazenamento dos dados;
A manutenção, enquanto o contrato estiver vigente, da segregação dos dados e dos controles de acesso para proteção das informações dos usuários finais;
Em caso de extinção do contrato, a obrigatoriedade de transferência dos dados ao novo prestador de serviços ou ao BANKOSO, bem como a exclusão dos dados pela empresa contratada substituída, após a transferência dos dados e a confirmação da integridade e da disponibilidade dos dados recebidos.
O acesso do BANKOSO às informações fornecidas pela empresa contratada; bem como as informações relativas às certificações e aos relatórios de auditoria especializada e informações e recursos de gestão adequados ao monitoramento dos serviços a serem prestados;
A obrigação da empresa contratada notificar o BANKOSO sobre a subcontratação de serviços relevantes para o BANKOSO;
A permissão de acesso do Bacen aos contratos e acordos firmados para a prestação de serviços, documentação e informações referentes aos serviços prestados, dados armazenados e informações sobre seus processamentos, cópias de segurança dos dados e das informações, bem como códigos de acesso aos dados e informações;
A adoção de medidas pelo BANKOSO, em decorrência de determinação do Bacen;
A obrigação de a empresa contratada manter o BANKOSO permanentemente informado sobre eventuais limitações que possam afetar a prestação dos serviços ou o cumprimento da legislação e da regulamentação em vigor.

Em caso de decretação de regime de resolução do BANKOSO pelo Bacen, o contrato de prestação de serviços deve prever:

A obrigação de a empresa contratada conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, acordos, documentação e informações referentes aos serviços prestados, dados armazenados e informações sobre seus processamentos, cópias de segurança dos dados e das informações, bem como códigos de acesso, que estejam em poder da empresa contratada;
A obrigação de notificação prévia do responsável pelo regime de resolução sobre a intenção de a empresa contratada interromper a prestação de serviços. A notificação deverá ocorrer com 30 dias de antecedência da data prevista para a interrupção dos serviços prestados e deverá determinar que:
- A empresa contratada se obriga a aceitar eventual pedido de prazo adicional de 30 dias para a interrupção do serviço, feito pelo responsável pelo regime de resolução;
- A notificação prévia deverá ocorrer também na situação em que a interrupção for motivada por inadimplência do BANKOSO.

F. Comunicação ao Bacen

A comunicação ao Bacen, referente a contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem, deve conter as seguintes informações:

O nome da empresa a ser contratada;
Os serviços relevantes a serem contratados;
No caso de contratação no exterior, indicação dos locais onde os serviços serão prestados e os dados armazenados, processados e gerenciados.

O prazo para comunicação é de 10 dias, contados a partir da contratação dos serviços. Caso haja alterações contratuais que impliquem em modificação das informações, a comunicação ao Bacen deverá ocorrer em 10 dias contados da alteração contratual, salvo na hipótese prevista no item 18 “d”.

XIX. Continuidade dos serviços de pagamento

No tocante à continuidade dos serviços de pagamento prestados, o BANKOSO deve assegurar:

O tratamento dos incidentes relevantes relacionados com o ambiente cibernético;
Os procedimentos a serem seguidos no caso de interrupção de serviços de processamento e armazenamento de dados e de computação em nuvem contratados, abrangendo cenários que considerem a substituição da empresa contratada e o reestabelecimento da operação normal do BANKOSO;
Os cenários de incidentes considerados nos testes de continuidade de serviços de pagamento prestados.
O tratamento para mitigar os efeitos dos incidentes relevantes da interrupção dos serviços de processamento, armazenamento de dados e de computação em nuvem contratados;
O prazo estipulado para reinício ou normalização das suas atividades ou dos serviços relevantes interrompidos;
A comunicação tempestiva ao Bacen das ocorrências de incidentes relevantes e das interrupções dos serviços, que configurem uma situação de crise pelo BANKOSO, bem como das providências para o reinício das suas atividades;
Estabelecer e documentar os critérios que configurem a situação de crise.

O BANKOSO deve instituir mecanismos de acompanhamento e de controle visando a assegurar a implementação e a efetividade desta Política, do plano de ação e de resposta a incidentes e dos requisitos para contratação de serviços de processamento e armazenamento de dados e de computação em nuvem.

Os mecanismos de acompanhamento e controle devem incluir a definição de processos, testes e trilhas de auditoria, bem como a definição de métricas e indicadores adequados e a identificação e a correção de eventuais deficiências.

XX. Arquivamento de informações

O BANKOSO armazena em meio digital, pelo prazo de 5 anos, as seguintes informações:

O documento relativo à política de Segurança Cibernética;
A ata de reunião da Diretoria do BANKOSO aprovando a Política e o plano de ação de resposta a incidentes;
O documento relativo ao plano de ação e de resposta a incidentes;
O relatório anual;
A documentação sobre os procedimentos desta Política;
A documentação no caso de serviços prestados no exterior;
Os contratos de prestação de serviços;
Os dados, os registros e as informações relativas aos mecanismos de acompanhamento e controle, a partir da implementação dos mecanismos mencionados.

E. DECLARAÇÃO DE RESPONSABILIDADE

Os Colaboradores do BANKOSO devem aderir formalmente e se comprometem a agir de acordo com esta Política.

Os contratos celebrados com terceiros pelo BANKOSO e que tratem de Ativos de informação referentes a esta Política devem possuir cláusula que assegure a segurança das informações.

F. DISPOSIÇÕES GERAIS

Esta Política está disponível em local acessível a todos os colaboradores, em linguagem clara e acessível. É possível acessá-la no site www.bankoso.com.