Política de Cibersegurança
A Gauss Control considera que a informação e os sistemas associados são ativos críticos que devem ser protegidos para assegurar o correto funcionamento da empresa. A Política de Cibersegurança visa gerir de forma eficaz a segurança da informação tratada pelos sistemas informáticos, bem como dos ativos envolvidos nos respetivos processos.
Esta Política tem como objetivo garantir a confidencialidade, integridade, disponibilidade e privacidade da informação, bem como o cumprimento das leis e regulamentações em vigor em cada momento, mantendo um equilíbrio entre os níveis de risco e a utilização eficiente dos recursos, de acordo com critérios de proporcionalidade. Esta Política de Cibersegurança aplica-se a todos os colaboradores, dirigentes e administradores de todas as sociedades que integram a empresa, incluindo as sociedades participadas sobre as quais exerça controlo efetivo, dentro dos limites previstos na legislação aplicável. Para o efeito, estabelecemos os seguintes princípios:
- Garantir que os Sistemas de Informação e Telecomunicações de que a Gauss Control dispõe possuam um nível adequado de cibersegurança e resiliência.
- Sensibilizar todos os colaboradores, prestadores de serviços e parceiros para os riscos de cibersegurança e garantir que dispõem dos conhecimentos, competências, experiência e capacidades tecnológicas necessárias para apoiar os objetivos de cibersegurança do Grupo.
- Reforçar as capacidades de prevenção, deteção, reação, análise, recuperação, resposta, investigação e coordenação perante novas ameaças.
Promover a existência de mecanismos adequados de cibersegurança e resiliência nos sistemas e operações geridos por terceiros que prestem serviços à Gauss Control. - Dispõe de procedimentos e ferramentas que permitem uma adaptação ágil às condições em constante mudança do ambiente tecnológico e às novas ameaças.
- Colabora com os organismos e agências governamentais relevantes para melhorar a cibersegurança da empresa, garantir o cumprimento da legislação em vigor e contribuir para a melhoria da cibersegurança a nível internacional.
De seguida, apresentam-se os controlos necessários a implementar nas diferentes etapas e áreas da empresa:
1. Prevenção
1.1 Gestão de Acessos
- Estabelecer políticas de controlo de acesso baseadas em funções.
- Implementar autenticação multifator para utilizadores com acesso à plataforma.
- Regular a revisão e revogação dos privilégios de acesso de acordo com as funções profissionais.
1.2 Proteção contra Ataques de Força Bruta
- Limitar o número de tentativas de início de sessão.
- Implementar medidas de bloqueio automático em caso de tentativas falhadas.
- Monitorizar e registar as tentativas de acesso não autorizado.
1.3. Segurança da Rede
- Utilizar firewalls para controlar o tráfego de rede.
- Encriptar a comunicação entre os utilizadores e a plataforma.
- Estabelecer zonas de confiança e restrições de acesso com base em endereços IP.
1.4. Atualizações e Patches
- Manter todos os sistemas e aplicações atualizados.
- Realizar testes de vulnerabilidade após cada atualização.
- Estabelecer um processo para aplicar patches críticos de segurança com caráter de urgência.
1.5. Política de utilização de dispositivos pessoais
- Exigir antivírus, encriptação de dados e bloqueio de ecrã nos dispositivos pessoais.
- Proibir jailbreak/rooting em dispositivos móveis.
- Definir requisitos para aceder a informação corporativa.
1.6. Política de classificação e tratamento da informação
- Estabelecer níveis de classificação de acordo com a criticidade da informação.
- Definir orientações para o correto tratamento e armazenamento da informação.
1.7. Segurança física e ambiental
- Implementar controlos de acesso físico a áreas críticas.
- Considerar ameaças ambientais e implementar planos de continuidade.
2. Deteção
A deteção centra-se na implementação de mecanismos para identificar atividades maliciosas e anomalias nos sistemas e redes. Algumas das ferramentas utilizadas incluem sistemas de deteção de intrusões (IDS), análise de registos, monitorização do tráfego de rede e análises de vulnerabilidades, entre outras. Permite identificar indicadores precoces de comprometimento.
2.1. Monitorização Contínua
- Implementar ferramentas de monitorização de segurança em tempo real.
- Configurar alertas para detetar padrões de tráfego invulgares.
- Realizar análises regulares dos registos para identificar possíveis ameaças.
2.2. Análise Comportamental
- Utilizar soluções de análise comportamental para detetar atividades anómalas.
- Estabelecer limiares de comportamento e alertas para possíveis desvios.
2.3. Análises de Segurança e Auditorias
- Realizar análises de segurança periódicas na plataforma.
- Realizar auditorias de segurança para identificar possíveis vulnerabilidades.
- Programar análises de segurança após alterações significativas.
3. Resolução
3.1. Plano de Resposta a Incidentes
- Desenvolver e manter um plano detalhado de resposta a incidentes.
- Definir funções e responsabilidades em caso de ameaça à disponibilidade.
- Realizar simulações regulares para garantir a eficácia do plano.
3.2. Recuperação de Desastres
- Estabelecer procedimentos de cópia de segurança e recuperação para minimizar o tempo de indisponibilidade.
- Armazenar cópias de segurança em locais seguros e acessíveis.
3.3. Colaboração com Autoridades e Especialistas Externos
- Colaborar com as autoridades competentes em caso de incidente grave.
- Manter contacto com especialistas externos em cibersegurança.
3.4. Melhoria Contínua
- Avaliar e rever regularmente a eficácia das medidas de segurança.
- Atualizar a política e os procedimentos de acordo com as lições aprendidas.
3.5. Formação e sensibilização
- Implementar campanhas regulares para formar os colaboradores sobre políticas e boas práticas de segurança.
- Realizar simulações de phishing e ações de formação.
3.6. Gestão de vulnerabilidades
- Estabelecer processos para identificar, priorizar e corrigir vulnerabilidades de forma contínua.
- Realizar avaliações de segurança e testes de ethical hacking periodicamente.
3.7. Segurança na cadeia de fornecimento
- Definir requisitos de segurança para fornecedores e parceiros.
- Avaliar os riscos de terceiros e realizar auditorias regulares.
3.8. Plano de comunicação de incidentes
- Definir canais e responsáveis para comunicar incidentes internamente.
- Estabelecer critérios para escalar e comunicar incidentes graves.
