Política de Segurança

1. Objetivo

O objetivo da presente política é estabelecer as diretrizes gerais e o compromisso da Direção para que a empresa faça uma gestão adequada da segurança da informação que trata.

Esta política constitui o quadro de referência do Sistema de Gestão da Segurança da Informação (SGSI), baseado na norma ISO 27001, existente na PLENIT, tendo em consideração os requisitos do Esquema Nacional de Segurança (ENS), do Código da Saúde Pública Francês, bem como do Código de Conduta da CISPE (Cloud Infrastructure Services Providers in Europe).

2. Âmbito e obrigações do pessoal

Esta política aplica-se a todos os sistemas de TI da PLENIT e a todos os membros da organização, sem exceção.

Todos os membros têm a obrigação de conhecer e cumprir esta Política de Segurança da Informação e a Regulamentação de Segurança associada.

3. Missão da PLENIT

A PLENIT é uma plataforma de serviços cloud cuja missão é simplificar o cloud computing, tornando-o acessível e economicamente viável para empresas de TI e, em última instância, para as pequenas e médias empresas (PME). O seu principal objetivo é melhorar a competitividade das empresas tecnológicas, permitindo-lhes disponibilizar serviços cloud de forma simples e rentável.

A filosofia da PLENIT assenta em três princípios fundamentais:

Simplicidade: Desenvolver produtos fáceis de implementar, gerir e manter, minimizando a complexidade da cloud.
Acessibilidade: Criar soluções acessíveis para empresas de todas as dimensões, assegurando que a cloud não seja exclusiva das grandes empresas.
Rentabilidade: Otimizar os produtos para que as empresas de TI possam integrar a cloud como uma componente essencial e rentável do seu negócio.

Além disso, a PLENIT procura tornar-se a melhor plataforma cloud para o canal de TI, disponibilizando serviços cloud que as empresas de informática podem comercializar sob a sua própria marca e com os seus próprios preços.

Neste contexto, a segurança é fundamental para a PLENIT devido ao seu compromisso com a proteção dos dados e a continuidade do negócio dos seus clientes, o que exige elevados padrões de segurança para garantir a confiança dos seus utilizadores.

4.Declaração da Política de Segurança da Informação

A Política de Segurança estabelece as diretrizes e os princípios definidos pela Plenit Technology S.L. (doravante designada por PLENIT) para garantir a proteção da informação, bem como o cumprimento dos objetivos de segurança definidos, assegurando assim a confidencialidade, a integridade e a disponibilidade dos sistemas de informação e, naturalmente, o cumprimento de todas as obrigações legais aplicáveis.

A Direção da PLENIT, consciente da importância da segurança da informação no contexto da atividade profissional, assume e estabelece os seguintes compromissos relativamente ao Sistema de Gestão da Segurança da Informação (SGSI):

a) Assegurar que são definidos objetivos de segurança da informação, sempre alinhados com a estratégia da empresa.
b) Assegurar que os requisitos de segurança são integrados nos processos da organização.
c) Assegurar os recursos necessários para o sistema de gestão.
d) Comunicar a importância de uma gestão eficaz da segurança da informação e em conformidade com os requisitos do sistema de gestão da segurança da informação.
e) Assegurar que o sistema de gestão da segurança da informação alcança os resultados previstos.
f) Dirigir e apoiar as pessoas, contribuindo para a eficácia do sistema de gestão da segurança da informação.
g) Promover a melhoria contínua do sistema de gestão.
h) Apoiar as funções relevantes para que demonstrem a sua liderança nas respetivas áreas de responsabilidade.

Para esse efeito, a Direção assegurará que o pessoal da PLENIT cumpre a regulamentação, as políticas, os procedimentos e as instruções relativas à segurança da informação.

5. Objetivos de Segurança

Através do desenvolvimento do seu Sistema de Gestão da Segurança da Informação, a PLENIT pretende garantir os seguintes objetivos de segurança:

Assegurar a confidencialidade, a integridade, a disponibilidade, a rastreabilidade e a autenticidade da informação.
Assegurar que a segurança faz parte integrante de cada etapa do ciclo de vida dos sistemas, desde a sua conceção até à sua retirada de serviço.
Cumprir todos os requisitos legais aplicáveis.
Aplicar as medidas mínimas de segurança exigidas pelo Esquema Nacional de Segurança (ENS).
Dispor de um plano de continuidade que permita recuperar os processos e as atividades na sequência de um incidente, no menor tempo possível.
Gerir os riscos suscetíveis de impactar a organização, estabelecendo os mecanismos necessários para o seu controlo e melhoria.
Formar e sensibilizar todos os colaboradores em matéria de segurança da informação.
Satisfazer as expectativas e necessidades em matéria de segurança dos clientes, colaboradores, fornecedores, Direção e restantes partes interessadas.
Todos os colaboradores serão informados das suas funções e obrigações em matéria de segurança e são responsáveis pelo seu cumprimento.
Assegurar que os departamentos estejam preparados para prevenir, detetar, responder e recuperar de incidentes.
Gerir adequadamente todos os incidentes ocorridos.
Melhorar continuamente o SGSI e, consequentemente, a segurança da informação da organização.

6. Objetivos de Segurança HDS

Em particular, no âmbito da certificação HDS (Hébergeur de Données de Santé), relativamente aos dados de saúde que possam ser alojados pelos nossos parceiros, são estabelecidos os seguintes objetivos específicos:

Garantir a confidencialidade dos dados de saúde alojados nos serviços HDS, nomeadamente através da implementação de métodos, processos e políticas adequados para:

Regular o acesso aos dados pessoais de saúde alojados e aos recursos HDS onde esses dados são armazenados.
Prevenir, identificar e corrigir vulnerabilidades, bem como limitar o risco de acesso não autorizado aos dados de saúde e aos recursos HDS.
Apagar ou eliminar os dados de saúde no termo dos serviços (antes da reafetação dos recursos a outro cliente) e no final da vida útil da infraestrutura de hardware.

Garantir a disponibilidade e a integridade dos dados de saúde alojados nos serviços, nomeadamente através de:

Definir e partilhar com os clientes objetivos adequados de nível de serviço (nomeadamente a disponibilidade dos serviços, o tempo de resposta aos pedidos dos clientes e o tempo necessário para tratar os incidentes identificados que afetem a disponibilidade dos serviços HDS).
Implementar a organização e os procedimentos necessários, em especial no âmbito das equipas de Suporte e de Produto, para cumprir os objetivos de nível de serviço.
Implementar e testar um plano de continuidade dos serviços adequado para corrigir qualquer falha na prestação do serviço.
Garantir a disponibilidade das chaves de cifragem quando a PLENIT disponibilizar funcionalidades de cifragem de dados de saúde ao cliente.
Garantir a disponibilidade e a integridade das cópias de segurança quando a PLENIT disponibilizar serviços de backup de dados de saúde aos clientes.

Permitir que os clientes utilizem os serviços de forma adequada e segura, nomeadamente através de:

Disponibilizar documentação clara e acessível sobre os serviços, bem como os respetivos termos e condições de utilização, apresentando as características dos serviços, as especificações técnicas e a distribuição das tarefas e responsabilidades entre a PLENIT e os clientes.
Assegurar que a equipa de Suporte da PLENIT conhece os processos e as condições específicas dos serviços HDS.

7. Organização da Segurança

Comité de Segurança

Para assegurar o correto funcionamento do Sistema de Gestão e o cumprimento dos objetivos e requisitos estabelecidos, a Direção da PLENIT designou um Responsável pelo SGSI e um Comité de Segurança, que zelará pelo cumprimento das diretrizes definidas na presente política.

O Comité tem as seguintes funções:

Aprovar e verificar o cumprimento das políticas de segurança da informação.
Conhecer e rever os resultados das auditorias ao sistema, bem como os incidentes relevantes de segurança da informação.
Proceder à atribuição dos papéis específicos e dos responsáveis pelo Sistema de Segurança da Informação, bem como comunicar-lhes as respetivas funções.
Adotar as medidas necessárias para garantir que o pessoal conhece os procedimentos de segurança que afetam o desempenho das suas funções e as consequências decorrentes do seu incumprimento.
Assegurar que as necessidades de segurança da informação foram identificadas e adequadamente integradas nos processos relevantes da organização.
Aprovar os objetivos de segurança, assegurando que são mensuráveis e que dispõem de responsabilidades, recursos e prazos definidos.
Disponibilizar todos os recursos necessários para a implementação da Segurança da Informação.
Proporcionar uma base estratégica e coerente para a tomada de decisões que reduzam ou mitiguem os riscos para níveis aceitáveis para a empresa, os seus clientes e os seus investidores.
Garantir o acompanhamento e o tratamento adequados dos riscos identificados, em conformidade com o processo de gestão de riscos.

8. Papéis: Funções e Responsabilidades

Função	Responsabilidades	Responsável na PLENIT
Direção	É o responsável máximo pela implementação do Esquema Nacional de Segurança (ENS).	Direção
Responsável pela Informação	É responsável pela proteção da informação e determina os requisitos de segurança da informação tratada.	Comité de Segurança
Responsável pelo Serviço	Determina os requisitos de segurança dos serviços prestados, de acordo com os parâmetros do Anexo I do ENS. Deve incluir as especificações de segurança no ciclo de vida dos serviços e dos sistemas, acompanhadas dos respetivos procedimentos de controlo.	Comité de Segurança
Responsável pela Segurança	Determina as decisões de segurança necessárias para satisfazer os requisitos estabelecidos pelos responsáveis pela informação e pelos serviços. Analisa os relatórios de autoavaliação e/ou de auditoria e apresenta as conclusões ao Responsável pelo Sistema para que este adote as medidas corretivas adequadas.	Head of Security
Responsável pelo Sistema	É responsável pela operação do sistema de informação, de acordo com as medidas de segurança definidas pelo Responsável pela Segurança. Adota as medidas corretivas adequadas na sequência dos relatórios de autoavaliação ou de auditoria apresentados pelo Responsável pela Segurança, com o apoio dos responsáveis de Engenharia e Infraestruturas.	Head of Operations

Dados de caráter pessoal

A PLENIT trata dados de caráter pessoal, que se encontram registados no Registo das Atividades de Tratamento (RAT), juntamente com os respetivos responsáveis. Todos os sistemas de informação deverão cumprir os níveis de segurança exigidos pela regulamentação aplicável à natureza e à finalidade dos dados de caráter pessoal recolhidos.

Função	Funções	Responsável na PLENIT
Responsável pelo Tratamento	Pessoa singular ou coletiva, autoridade pública, serviço ou outro organismo que, individualmente ou em conjunto com outros, determina as finalidades e os meios do tratamento.	Conforme indicado no RAT
Subcontratante do Tratamento	Pessoa singular ou coletiva, autoridade pública, serviço ou outro organismo que trata dados pessoais por conta do Responsável pelo Tratamento.	Conforme indicado no RAT
Encarregado da Proteção de Dados (EPD)	Garante o cumprimento da regulamentação em matéria de proteção de dados e atua como ponto de contacto junto das autoridades de controlo.	EPD

Os conflitos entre as diferentes pessoas, unidades ou órgãos responsáveis que compõem a estrutura organizacional da política de segurança da informação serão resolvidos pelo superior hierárquico comum, que poderá submeter previamente a questão ao Comité de Segurança da Informação. Em caso de conflito, prevalecerão as decisões do Comité de Segurança da Informação.‍

9. Procedimento de designação

O cargo de Responsável pela Segurança da Informação será desempenhado pelo CISO / Head of Security ou, caso o cargo fique vago, será designado mediante proposta do Comité de Segurança.

O cargo de Responsável pelo Sistema será desempenhado pelo Head of Operations ou, caso o cargo fique vago, será designado mediante proposta do Comité de Segurança, de entre os departamentos de Engenharia / Operações ou Infraestruturas..

10. Enquadramento normativo

Regulamento Geral sobre a Proteção de Dados (RGPD) – Regulamento (UE) 2016/679, relativo à proteção dos dados pessoais e à livre circulação desses dados.
Lei Orgânica de Proteção de Dados e Garantia dos Direitos Digitais (LOPDGDD) – Lei Orgânica 3/2018, alinhada com o RGPD e com a regulamentação europeia em matéria de proteção de dados.
Diretiva (UE) 2022/2555 (NIS2) – Diretiva europeia relativa à cibersegurança, pendente de transposição para a legislação nacional, no âmbito do Anteprojeto de Lei de Coordenação e Governação da Cibersegurança.
Real Decreto 311/2022, de 3 de maio, que regula o Esquema Nacional de Segurança (ENS).
Lei da Propriedade Intelectual – Real Decreto Legislativo 1/1996, que protege os direitos relativos aos programas de computador e regula a sua exploração.
Lei dos Serviços da Sociedade da Informação e do Comércio Eletrónico (LSSI-CE) – Lei 34/2002, que regula o comércio eletrónico e os serviços digitais.
Lei de Prevenção dos Riscos Laborais (PRL) – Lei 31/1995, aplicável em matéria de segurança e saúde no trabalho.
Leis da Propriedade Industrial – Regulamentação relativa aos desenhos industriais, marcas, patentes e modelos de utilidade (Lei 17/2001, Lei 24/2015 e Lei 3/1991).
Regulamento eIDAS – Regulamento (UE) 910/2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas.
Lei da Proteção Jurídica dos Programas de Computador – Lei 16/1993, que protege o software e combate a pirataria informática.
Código da Saúde Pública Francês – Quadro legislativo que regula a organização do sistema de saúde, a segurança sanitária e a proteção dos dados de saúde em França, no âmbito da certificação HDS.
O Código de Conduta da CISPE reforça a proteção de dados no contexto dos serviços cloud na Europa.
Regulamento Europeu da Inteligência Artificial (AI Act), aprovado pelo Parlamento Europeu em 13 de março de 2024 e pelo Conselho da União Europeia em 21 de maio de 2024.

Este enquadramento normativo será revisto pelo menos uma vez por ano em conjunto com o departamento jurídico ou sempre que seja publicada qualquer alteração significativa no BOE, nos boletins oficiais das Comunidades Autónomas, em páginas oficiais da Administração Pública ou sempre que existam alertas relevantes.

11. Gestão de Riscos

Todos os sistemas abrangidos pela presente Política deverão realizar uma análise de riscos, avaliando as ameaças e os riscos a que estão expostos. Esta análise será repetida:

regularmente, pelo menos uma vez por ano, quando a informação tratada sofrer alterações;
quando os serviços prestados forem alterados;
quando ocorrer um incidente grave de segurança;
quando forem comunicadas vulnerabilidades graves.

Para harmonizar as análises de riscos, estabelece-se uma avaliação de referência para os diferentes tipos de informação tratada e para os diferentes serviços prestados. O Comité de Segurança promoverá a disponibilização dos recursos necessários para responder às necessidades de segurança dos diferentes sistemas, incentivando investimentos de caráter transversal.

12. Estrutura da documentação de segurança

A Política de Segurança da Informação está estruturada nos seguintes níveis hierárquicos:

‍Primeiro nível: Política de Segurança da Informação, constante do presente documento, revista e aprovada pelo Comité de Segurança e assinada pelo CEO.
Segundo nível: Regulamentação de Segurança da Informação, igualmente revista e aprovada pelo Comité de Segurança e assinada pelo CEO.
Terceiro nível: Procedimentos e Instruções Técnicas de Segurança da Informação. Documentos técnicos e controlos destinados a tratar tarefas relacionadas com a segurança dos sistemas, enquadrados pelo SGSI.
Quarto nível: Relatórios, registos e evidências eletrónicas de natureza técnica, publicados nos nossos sistemas de informação documental.

13. Revisão da Política de Segurança da Informação

A presente Política de Segurança da Informação será revista pelo menos uma vez por ano, ou sempre que ocorram alterações significativas na organização, nos sistemas de informação, na legislação aplicável ou no contexto de riscos que possam afetar a segurança da informação.

As revisões serão realizadas pelo Comité de Segurança, que avaliará a necessidade de atualizar o conteúdo da política para garantir que esta continua adequada, suficiente e eficaz.

Qualquer modificação deverá ser aprovada pelo Comité de Segurança e formalmente autorizada pela Direção.

14. Comunicação da Política de Segurança da Informação

A presente Política de Segurança da Informação será comunicada a todo o pessoal da organização e estará disponível para consulta.

Todos os colaboradores devem conhecer o seu conteúdo e cumprir as disposições nela estabelecidas, bem como a regulamentação, os procedimentos e as instruções de segurança que dela decorram.

A organização promoverá ações de formação e sensibilização para assegurar que todo o pessoal compreende as suas responsabilidades em matéria de segurança da informação.

A Política de Segurança da Informação também poderá ser disponibilizada às partes interessadas que o requeiram ou quando seja necessário demonstrar o compromisso da organização com a segurança da informação.

15. Regulamentação e aspetos específicos da Segurança da Informação

A presente Política de Segurança da Informação é desenvolvida através da regulamentação, dos procedimentos e das instruções técnicas que compõem o Sistema de Gestão da Segurança da Informação (SGSI).

Todos os colaboradores, fornecedores e terceiros que tenham acesso aos sistemas de informação da PLENIT deverão cumprir as normas de segurança estabelecidas.

A organização compromete-se a:

Proteger os ativos de informação contra ameaças internas e externas.
Garantir a utilização adequada dos recursos tecnológicos.
Aplicar o princípio da melhoria contínua ao Sistema de Gestão da Segurança da Informação.
Assegurar o cumprimento dos requisitos legais, regulamentares e contratuais aplicáveis.
Avaliar regularmente a eficácia das medidas de segurança implementadas.
Gerir os incidentes de segurança da informação de forma eficaz, minimizando o seu impacto e promovendo a aprendizagem contínua.
Assegurar que qualquer incumprimento da presente política seja tratado em conformidade com os procedimentos internos da organização.