anexo ao comunicado interno 001/2012-dp …ri.bmfbovespa.com.br/fck_temp/26_2/file/ci...
TRANSCRIPT
Anexo ao Comunicado Interno 001/2012-DP
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
DA BM&FBOVESPA
1. INTRODUÇÃO A informação é um ativo que possui grande valor para a BM&FBOVESPA,
devendo ser adequadamente utilizada e protegida contra ameaças e riscos. A
adoção de políticas e procedimentos que visem garantir a segurança da
informação deve ser prioridade constante da empresa, reduzindo-se os riscos
de falhas, os danos e/ou os prejuízos que possam comprometer a imagem e os
objetivos da instituição.
2. ESCOPO A Política de Segurança da Informação da BM&FBOVESPA é uma
declaração formal da empresa sobre seu compromisso com a proteção das
informações de sua propriedade e/ou sob sua guarda, devendo ser cumprida
por todos os seus funcionários, estagiários e demais colaboradores. Seu
propósito é estabelecer as diretrizes a serem seguidas no que diz respeito à
adoção de procedimentos e mecanismos relacionados à segurança da
informação.
Esta Política aplica-se a todos os funcionários, estagiários e demais
colaboradores da BM&FBOVESPA e das demais controladas da
BM&FBOVESPA (Grupo BM&FBOVESPA, empresas do Grupo ou Grupo).
3. DEFINIÇÕES
Ativos de Informação: conjunto de informações, armazenado de modo
que possa ser identificado, inventariado e reconhecido como valioso para
a empresa.
Colaborador: prestadores de serviços da BM&FBOVESPA ou de
empresas do grupo.
Confidencialidade: somente pessoas devidamente autorizadas pela
empresa devem ter acesso à informação.
Disponibilidade: a informação deve estar disponível para as pessoas
autorizadas sempre que necessário ou demandado.
001/2012-DP .2.
Informação: resultado do processamento, formatação e organização de
dados ou registros de um sistema. Como regra geral, uma informação é
sempre composta por dados, mas um conjunto de dados nem sempre é
considerado informação.
Integridade: somente alterações, supressões e adições autorizadas pela
empresa devem ser realizadas nas informações.
Sistemas de informação: de maneira geral, sistemas computacionais são
utilizados pela empresa para suportar suas operações.
4. ESTRUTURA NORMATIVA
4.1. DEFINIÇÃO
A estrutura normativa da Segurança da Informação da BM&FBOVESPA é
composta por um conjunto de documentos com três níveis hierárquicos
distintos, relacionados a seguir.
Política de Segurança da Informação (Política): constituída neste
documento, define a estrutura, as diretrizes e os papéis referentes à
segurança da informação.
Normas de Segurança da Informação (Normas): estabelecem regras,
definidas de acordo com as diretrizes da Política, a serem seguidas em
diversas situações em que a informação é tratada.
Procedimentos de Segurança da Informação (Procedimentos):
instrumentam as regras dispostas nas Normas, permitindo a direta
aplicação nas atividades da BM&FBOVESPA.
4.2. DIVULGAÇÃO E ACESSO A Política e as Normas de Segurança da Informação devem ser divulgadas a
todos os funcionários, estagiários e demais colaboradores da
BM&FBOVESPA e dispostas de maneira que seu conteúdo possa ser
consultado a qualquer momento.
Os Procedimentos de Segurança da Informação devem ser divulgados às áreas
diretamente relacionadas a sua aplicação.
4.3. APROVAÇÃO E REVISÃO Os documentos integrantes da estrutura normativa da Segurança da
Informação da BM&FBOVESPA deverão ser aprovados e revisados conforme
os seguintes critérios:
001/2012-DP .3.
Política Nível de Aprovação: Diretoria Executiva
Periodicidade de Revisão: anual
Normas Nível de Aprovação: Comitê Gestor de Segurança da Informação
Periodicidade de Revisão: anual
Procedimentos Nível de Aprovação: Diretoria(s) responsável(is) pela(s) área(s)
envolvida(s)
Periodicidade de Revisão: anual
5. DIRETRIZES A seguir, são apresentadas as diretrizes da Política de Segurança da
Informação da BM&FBOVESPA. Tais diretrizes constituem os principais
pilares da Gestão de Segurança da Informação, norteando a elaboração das
Normas e dos Procedimentos.
5.1. ASPECTOS GERAIS Todas as informações contidas nesta Política devem estar disponíveis para
consulta na Intranet corporativa.
Os sistemas, as informações e os ambientes tecnológicos utilizados pelos
usuários são de exclusiva propriedade da BM&FBOVESPA, não podendo
ser interpretados como de uso pessoal.
Todos os funcionários, estagiários e demais colaboradores da
BM&FBOVESPA devem ter ciência de que o uso das informações e dos
sistemas de informação pode ser monitorado, e que os registros assim
obtidos poderão ser utilizados para detecção de violações da Política e das
Normas de Segurança da Informação e, conforme o caso, servir como
evidência em processos administrativos e/ou legais.
As regras relacionadas à Segurança da Informação devem estar
atualizadas e disponíveis, por meio de Normas específicas, a todos os
funcionários, estagiários e demais colaboradores das empresas
componentes da BM&FBOVESPA, com o propósito de garantir o
adequado uso e proteção das informações.
Qualquer tipo de dúvida sobre a Política de Segurança da Informação e
suas Normas deve ser imediatamente esclarecida com a área de Gestão de
Segurança da Informação.
001/2012-DP .4.
5.2. COMPORTAMENTO SEGURO Independentemente do meio ou da forma em que exista, a informação
está presente no trabalho de todos os profissionais. Portanto, é
fundamental para a proteção e salvaguarda das informações que os
profissionais adotem comportamento seguro e consistente com o
objetivo de proteção das informações, com destaque para os seguintes
itens:
Diretores, gerentes, coordenadores, funcionários e prestadores de
serviços devem assumir atitude pró-ativa e engajada no que diz
respeito à proteção das informações da BM&FBOVESPA;
Os funcionários, estagiários e demais colaboradores da
BM&FBOVESPA devem compreender as ameaças externas que
podem afetar a segurança das informações da empresa, tais como
vírus de computador, interceptação de mensagens eletrônicas,
grampos telefônicos etc., bem como fraudes destinadas a roubar
senhas de acesso aos sistemas de informação;
Assuntos confidenciais de trabalho não devem ser discutidos em
ambientes públicos ou em áreas expostas (aviões, transporte
público, restaurantes, encontros sociais etc.) incluindo a emissão de
comentários e opiniões em blogs e redes sociais;
As senhas de usuário são pessoais e intransferíveis, não podendo
ser compartilhadas, divulgadas a terceiros (inclusive funcionários,
estagiários e demais colaboradores da própria empresa), anotadas
em papel ou em sistema visível ou de acesso não protegido.
5.3. CLASSIFICAÇÃO Para assegurar a proteção adequada às informações, deve existir um
método de classificação da informação de acordo com o grau de
confidencialidade e criticidade para o negócio da BM&FBOVESPA;
As informações devem ser atribuídas a um proprietário, formalmente
designado como responsável pela autorização de acesso às informações
sob a sua responsabilidade.
5.4. ACESSO
O acesso às informações e aos ambientes tecnológicos da
BM&FBOVESPA deve ser controlado de acordo com sua classificação,
de forma a garantir acesso apenas às pessoas autorizadas. Esse controle
de acesso deve ser formalizado e contemplar, minimamente, os
seguintes itens:
001/2012-DP .5.
Procedimento formal de concessão de acesso aos sistemas de
informação;
Comprovação da autorização do acesso e verificação se o nível de
acesso concedido é apropriado ao propósito do negócio;
Utilização de identificadores (credencial de acesso)
individualizados, de forma a assegurar a responsabilidade de cada
usuário por suas ações;
Remoção tempestiva de autorizações dadas a usuários afastados ou
desligados da empresa, ou que tenham mudado de função;
Revisão periódica das autorizações concedidas;
Regras de atribuição, manutenção e uso de senhas.
5.5. MONITORAÇÃO
A área de Gestão da Segurança da Informação deve ser monitorada, por
meio de ações contínuas que permitam avaliar a efetividade e a
suficiência das atividades realizadas, considerando suas atribuições.
A área de Gestão de Segurança da Informação deve realizar, de forma
sistemática, a avaliação das vulnerabilidades relacionadas à segurança
da informação da BM&FBOVESPA. O escopo da avaliação pode ser
toda a organização, partes da organização, ou um sistema de
informação ou processo específico.
5.6. PARTES EXTERNAS Os contratos entre a BM&FBOVESPA e empresas prestadoras de
serviços que tiverem acesso às informações, aos sistemas, ou ao
ambiente tecnológico da BM&FBOVESPA devem conter cláusulas que
garantam a confidencialidade entre as partes e, minimamente,
assegurem que os profissionais sob sua responsabilidade:
Cumpram a Política e as Normas de Segurança da Informação da
BM&FBOVESPA;
Cumpram as leis e as normas que regulamentam os aspectos de
propriedade intelectual;
Protejam as informações da BM&FBOVESPA;
Assegurem que as informações, os sistemas e o ambiente
tecnológico a sua disposição sejam utilizados apenas para as
finalidades aprovadas pela BM&FBOVESPA;
Comuniquem imediatamente à área de Gestão de Segurança da
Informação qualquer descumprimento ou violação desta Política
e/ou de suas Normas e Procedimentos.
001/2012-DP .6.
6. PAPÉIS E RESPONSABILIDADES Cabe a todos os funcionários, estagiários e demais colaboradores da
BM&FBOVESPA:
Cumprir fielmente a Política, as Normas e os Procedimentos de
Segurança da Informação da BM&FBOVESPA;
Buscar orientação da área de Gestão de Segurança da Informação em
caso de dúvidas relacionadas à segurança da informação;
Formalizar a ciência e o aceite da Política de Segurança da Informação
por meio da assinatura do Termo de Compromisso previsto no Código de
Conduta da BM&FBOVESPA;
Proteger as informações contra acessos, modificação, destruição ou
divulgação não autorizados pela BM&FBOVESPA;
Assegurar que os recursos tecnológicos a sua disposição sejam utilizados
apenas para as finalidades aprovadas pela BM&FBOVESPA;
Cumprir as leis e as normas que regulamentam os aspectos de
propriedade intelectual;
Comunicar imediatamente à área de Gestão de Segurança da Informação
qualquer descumprimento ou violação desta Política e/ou de suas
Normas e Procedimentos.
Adicionalmente, foram definidas as responsabilidades e as atribuições
específicas relacionadas a seguir.
6.1. DIRETORIA EXECUTIVA Em relação à segurança da informação, cabe à Diretoria Executiva
(Diretor Presidente e Diretores Executivos):
Aprovar a Política de Segurança da Informação e suas revisões;
Quando demandada, tomar as decisões administrativas referentes aos
casos de descumprimento da Política e/ou de suas Normas
encaminhados pelo Comitê Gestor de Segurança da Informação.
6.2 DIRETOR RESPONSÁVEL PELA GESTÃO DA SEGURANÇA
DA INFORMAÇÃO
Cabe ao Diretor formalmente responsável pela Gestão da Segurança da
Informação:
Avaliar a efetividade e a suficiência das atividades realizadas pela área
de Gestão de Segurança da Informação, considerando suas
atribuições;
001/2012-DP .7.
Analisar os casos de violação desta Política e das Normas de
Segurança da Informação, encaminhando-os aos fóruns competentes,
quando for o caso;
Propor o planejamento e a alocação de recursos financeiros, humanos
e de tecnologia, no que tange à Segurança da Informação;
Acompanhar o andamento dos principais projetos e iniciativas
relacionados à Segurança da Informação.
6.3. COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO (CGSI)
Cabe ao Comitê Gestor de Segurança da Informação (CGSI):
Propor ajustes, aprimoramentos e modificações desta Política;
Propor melhorias e aprovar as Normas de Segurança da Informação;
Propor iniciativas relacionadas à melhoria da segurança da informação
da BM&FBOVESPA;
Determinar a elaboração de levantamentos e análises que deem suporte à
gestão de segurança da informação e à tomada de decisão;
Em situações de impasse, sob demanda da área de Gestão de Segurança da
Informação:
Deliberar sobre Registros de Não Conformidade;
Deliberar sobre a nomeação dos Proprietários da Informação.
O CGSI terá como membros:
– Diretor Executivo de Tecnologia e Segurança da Informação;
− Diretor de Projetos, Processos e Segurança da Informação;
– Diretor de Infraestrutura e Produção de TI;
– Diretor de Recursos Humanos;
– Diretor Administrativo;
– Representante da Diretoria Executiva de Operações, Clearings e
Risco, segmento Negociação (Diretor);
– Representante da Diretoria Executiva de Operações, Clearings e
Risco, segmento Pós-Negociação (Diretor);
– Responsável pela área de Gestão de Segurança da Informação.
A coordenação dos trabalhos do CGSI caberá ao responsável pela área
de Gestão de Segurança da Informação, cujas atribuições abrangerão a
convocação das reuniões e a realização de outros atos de suporte às
atividades desenvolvidas.
As reuniões do CGSI:
− Serão realizadas trimestralmente, podendo haver
extraordinariamente deliberações por outros meios, sempre que
necessário;
001/2012-DP .8.
− Serão instaladas com a presença de, no mínimo metade dos
membros do CGSI;
− Deliberará por maioria dos votos presentes;
− Deverão ser registradas em ata.
De acordo com a necessidade, outros profissionais da BM&FBOVESPA e
convidados externos poderão participar das reuniões do CGSI.
6.4. ÁREA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO
Cabe à área de Gestão de Segurança da Informação:
Convocar, coordenar, lavrar atas e prover apoio às reuniões do CGSI;
Prover todas as informações de gestão de Segurança da Informação
solicitadas pelo CGSI ou pelo Diretor Executivo responsável pela
área;
Prover ampla divulgação da Política e das Normas de Segurança da
Informação para todos os funcionários, estagiários e demais
colaboradores da BM&FBOVESPA;
Promover a conscientização sobre a Política de Segurança da
Informação e suas Normas a todos os funcionários, estagiários e
demais colaboradores da BM&FBOVESPA;
Propor projetos e iniciativas relacionados ao aperfeiçoamento da
segurança da informação da BM&FBOVESPA;
Estabelecer procedimentos para a gestão dos sistemas de controle de
acesso da BM&FBOVESPA, incluindo processos de concessão,
manutenção, revisão e suspensão de acessos aos usuários, tendo como
base a Política e as Normas de Segurança da Informação da
BM&FBOVESPA;
Analisar as vulnerabilidades relacionadas à segurança da informação
da BM&FBOVESPA e apresentar relatórios periódicos sobre tais
vulnerabilidades ao Diretor Executivo responsável pela área,
acompanhados de proposta de aperfeiçoamento do ambiente de
controle da Bolsa, quando for o caso;
Definir metodologia para classificação das informações; apoiar os
Proprietários da Informação no processo de classificação das
informações sob sua responsabilidade, quando demandada;
Definir metodologia para segregação de funções em sistemas de
informação; apoiar os Proprietários da Informação na definição das
regras de segregação de funções, quando demandada;
001/2012-DP .9.
Monitorar os acessos aos sistemas de informação e aos ambientes
tecnológicos, tendo como referência a Política e as Normas de
Segurança da Informação;
Realizar trabalhos de análise de segurança da informação, com o
intuito de aferir o nível de segurança dos sistemas de informação ou
dos ambientes tecnológicos em que circulam as informações da
BM&FBOVESPA;
Estabelecer mecanismo de registro e controle de não conformidade a
esta Política e às Normas de Segurança da Informação, comunicando
o CGSI;
Analisar contratos, mediante demanda da Diretoria Jurídica, sob o
ponto de vista da segurança da informação;
Propor a relação de Proprietários da Informação da
BM&FBOVESPA.
6.5. PROPRIETÁRIO DA INFORMAÇÃO
O Proprietário da Informação é um diretor ou um gerente da
BM&FBOVESPA, responsável por concessão, manutenção, revisão e
cancelamento de autorizações de acesso a determinado conjunto de
informações pertencentes à Bolsa ou sob a sua guarda.
Cabe ao Proprietário da Informação:
Elaborar, de acordo com metodologia específica e com o apoio da área
de Gestão de Segurança da Informação, a classificação das
informações sob sua responsabilidade;
Elaborar, de acordo com metodologia específica e com o apoio da área
de Gestão de Segurança da Informação, regras de segregação de
funções para informações sob sua responsabilidade;
Autorizar a liberação de acesso à informação sob sua
responsabilidade, observadas as regras de segregação de funções, a
Política e as Normas de Segurança da Informação da
BM&FBOVESPA;
Reavaliar, sempre que solicitado pela área de Gestão de Segurança da
Informação, os acessos às informações sob sua responsabilidade,
cancelando aquelas que não forem mais necessárias;
Participar da investigação de incidentes de segurança relacionados à
informação sob sua responsabilidade;
Sempre que convocado, participar de reuniões do Comitê de Gestão
de Segurança da Informação, prestando os esclarecimentos
solicitados.
001/2012-DP .10.
6.6. DIRETORIA JURÍDICA Cabe à Diretoria Jurídica:
Manter as áreas da BM&FBOVESPA informadas sobre eventuais
alterações legais e/ou regulatórias que impliquem responsabilidade
e/ou ações envolvendo a gestão de segurança da informação;
Demandar, quando necessário, análise de contratos à área de Gestão
de Segurança da Informação, que poderá propor alterações
relacionadas à segurança da informação, com o objetivo de proteger
os interesses da BM&FBOVESPA;
Avaliar, quando solicitada, as Normas e os Procedimentos de
Segurança da Informação elaborados pela área de Gestão de
Segurança da Informação da BM&FBOVESPA.
6.7. DIRETORIAS, GERÊNCIAS E COORDENADORIAS
Cabe às Diretorias, Gerências e Coordenadorias:
Cumprir e fazer cumprir esta Política, as Normas e os
Procedimentos de Segurança da Informação;
Assegurar que suas equipes possuam acesso e conhecimento desta
Política, das Normas e, quando aplicável, dos Procedimentos de
Segurança da Informação;
Comunicar imediatamente eventuais casos de violação de segurança
da informação à área de Gestão de Segurança da Informação.
6.8. DIRETORIA DE RECURSOS HUMANOS Cabe à Diretoria de Recursos Humanos:
Apoiar os Proprietários da Informação, quando demandada, na
identificação dos papéis dos funcionários e estagiários para o
processo de definição das regras de segregação de funções;
Informar, de maneira imediata, à área de Gestão de Segurança da
Informação todos os desligamentos, afastamentos, licenças, férias e
modificações no quadro funcional da empresa.
7. AÇÕES EM CASOS DE NÃO CONFORMIDADE As regras que estabelecem o controle e o tratamento de situações de não
conformidade ou de exceção relativas à Política e às Normas de Segurança
da Informação da BM&FBOVESPA devem ser descritas em Norma
específica.
001/2012-DP .11.
Nos demais casos, quando houver violação desta Política ou das Normas de
Segurança da Informação, a Diretoria Executiva poderá adotar, com o apoio
das Diretorias Jurídica e de Recursos Humanos, sanções administrativas e/ou
legais, que poderão culminar com o desligamento e eventuais processos
criminais, se aplicáveis.
8. DOCUMENTOS DE REFERÊNCIA
Código de Conduta da BM&FBOVESPA.
9. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Política
1.2 27/12/2010 Inclusão da abrangência da política, atualização das
nomenclaturas das áreas e revisão na aplicação da política.
Inclusão de glossário com os significados dos termos usados na
política
2 08/03/2011 Inclusão dos papéis dos Diretores responsáveis por Segurança
da Informação. Atualização da composição do Comitê Gestor.
Ampliação das diretrizes, substituição de glossário por
definições, remoção de regras da Política.
001/2012-DP .12.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE PROPRIEDADE E CLASSIFICAÇÃO
DA INFORMAÇÃO –
1. OBJETIVO
Esta Norma apresenta as regras para a atribuição de propriedade e a
classificação das informações da BM&FBOVESPA.
2. REGRAS
2.1 PROPRIETÁRIO DA INFORMAÇÃO O Proprietário da Informação é um diretor ou gerente da BM&FBOVESPA,
formalmente indicado pela área de Gestão de Segurança da Informação como
responsável pela autorização de acesso às informações sob a sua
responsabilidade pertencentes ou sob a guarda da BM&FBOVESPA.
O papel de Proprietário da Informação é inerente ao cargo ocupado pelo
funcionário (diretor ou gerente). A substituição do Proprietário pode ocorrer
em dois casos:
Na ocorrência de desligamento ou movimentação funcional deste, seu
substituto herdará o papel; ou
Um diretor que exerça o papel de Proprietário da Informação poderá
delegá-lo a um gerente, em caráter provisório ou definitivo.
Em ambos os casos, cabe ao Diretor responsável pela área Proprietária da
Informação comunicar a mudança à área de Gestão de Segurança da
Informação. Em situações de impasse sobre a propriedade de uma informação,
a área de Gestão de Segurança da Informação encaminhará ao Comitê Gestor
de Segurança da Informação (CGSI) o assunto para deliberação.
2.2. CLASSIFICAÇÃO DA INFORMAÇÃO As informações devem ser classificadas em um dos seguintes níveis:
Confidencial restrita;
Confidencial;
Interna;
Pública.
001/2012-DP .13.
Confidencial Restrita Este nível de classificação corresponde a informações associadas ao interesse
estratégico da empresa e outras informações sujeitas a alto grau de sigilo, em
geral de acesso restrito ao diretor presidente, diretores executivos, diretores e
funcionários cujas funções requeiram conhecê-las. Como sua divulgação pode
resultar em graves consequências à empresa, tais informações exigem medidas
excepcionais de proteção contra acesso, divulgação e alteração não
autorizados.
São exemplos de informação confidencial restrita:
Posições em aberto nas Clearings;
Posições em custódia;
Projetos estratégicos tais como aquisições, fusões etc.;
Informações de processos jurídicos estratégicos;
Informações contábeis e resultados financeiros não divulgados.
Confidencial
Este nível de classificação corresponde a informações que, se divulgadas
indevidamente, podem reduzir vantagens competitivas da empresa, violar a
privacidade de indivíduos, violar acordos de confidencialidade, prejudicar
processos de negociação em andamento, dentre outros.
São exemplos de informação confidencial:
Detalhes técnicos sobre produtos em desenvolvimento;
Contratos assinados com fornecedores;
Informações pessoais de funcionários e estagiários, incluindo valores de
salários e avaliações de desempenho;
Estratégias de marketing em desenvolvimento.
Interna Este nível de classificação corresponde a informações usadas rotineiramente
pelos funcionários, estagiários e demais colaboradores da BM&FBOVESPA
na condução das atividades da empresa, não se destinando, contudo, ao
público externo.
São exemplos de informação interna:
Documentos que descrevem as rotinas operacionais da empresa;
Memorandos internos;
Políticas corporativas, padrões e procedimentos;
Anúncios e campanhas internas.
001/2012-DP .14.
Pública Este nível de classificação corresponde a informações criadas para fins de
distribuição pública, por meio de canais autorizados, que não necessitam
proteção efetiva ou tratamento específico.
São exemplos de informação pública:
Campanha de marketing externo finalizada;
Resultados financeiros após divulgação;
Informação especificamente gerada para consumo público.
2.3 TRATAMENTO DAS INFORMAÇÕES As regras abaixo devem ser observadas no tratamento das informações
classificadas:
CLASSIFICAÇÃO TRATAMENTO
Confidencial Restrita
Exemplos:
• Posições em aberto de
Clearings
• Posições de custódia
• Projetos estratégicos tais
como aquisição, fusões
etc.
Documentos eletrônicos: rótulo de
Confidencial Restrita na capa e nos rodapés
Correio eletrônico: evitar o envio. Quando
indispensável enviar somente a endereços
internos de pessoas autorizadas a acessar a
informação
Armazenamento de arquivos:
• Local (no computador): não permitido
• Diretórios de Rede: pastas com acesso
permitido somente a pessoas autorizadas
Sistemas de informação: controle de acesso e
trilhas de auditoria obrigatórios
Destruição: deve ser feita diretamente pelo
proprietário, utilizando fragmentadora
001/2012-DP .15.
CLASSIFICAÇÃO TRATAMENTO
Confidencial
Exemplos:
• Detalhes técnicos sobre
produtos em
desenvolvimento
• Informações pessoais de
funcionários e
estagiários
• Estratégias de marketing
em desenvolvimento
• Códigos-fontes de
sistemas da Bolsa
Documentos eletrônicos: rótulo de
Confidencial na capa e nos rodapés
Correio eletrônico: evitar o envio. Quando
indispensável enviar somente a endereços
internos de pessoas autorizadas a acessar a
informação
Armazenamento de arquivos:
• Local (no computador): não permitido
• Diretórios de Rede: pastas com acesso
permitido somente a pessoas autorizadas
Sistemas de informação: controle de acesso e
trilhas de auditoria obrigatórios
Destruição: deve ser feita diretamente pelo
proprietário, utilizando fragmentadora
Interna
Exemplos:
• Documentos que
descrevem as rotinas
operacionais da empresa
• Memorandos internos
• Políticas corporativas,
padrões e procedimentos
• Anúncios e campanhas
internas
Documentos eletrônicos: rótulo de Interna na
capa e nos rodapés
Correio eletrônico: enviar somente a
endereços internos de pessoas autorizadas a
acessar a informação
Armazenamento de arquivos:
• Local (no computador): não permitido
• Diretórios de Rede: sem restrição
Sistemas de informação: controle de acesso
obrigatório; trilhas de auditoria mediante
demanda expressa do Proprietário da
Informação
Destruição: deve ser através de fragmentadora
ou depositado nos repositórios indicados para
destruição
001/2012-DP .16.
CLASSIFICAÇÃO TRATAMENTO
Pública
Exemplos:
• Campanha de marketing
para público em geral
após divulgação
• Resultados financeiros
após divulgação
• Informação
especificamente gerada
para consumo público
Documentos eletrônicos: sem necessidade de
rótulo
Correio eletrônico: sem restrições
Armazenamento de arquivos: Sem restrições
Sistemas de informação: controle de acesso e
trilhas de auditoria mediante demanda expressa
do Proprietário da Informação
Destruição: sem restrições
As regras acima não se aplicam aos seguintes casos:
Relatórios formatados pela Bolsa e enviados ou recebidos diretamente
dos participantes (corretoras de valores e mercadorias, agentes de
custódias, investidores);
Recebimento de informações de propriedade dos participantes;
Envio de posições de custódia (extrato do investidor) aos investidores.
3. PAPÉIS E RESPONSABILIDADES NA CLASSIFICAÇÃO DA
INFORMAÇÃO A seguir, são definidas as responsabilidades e as atribuições relacionadas à
classificação da informação.
3.1 PROPRIETÁRIO DA INFORMAÇÃO Cabe ao Proprietário da Informação:
Definir a classificação das informações sob sua responsabilidade, de
acordo com os critérios estabelecidos na presente Norma;
Fornecer à área de Gestão de Segurança da Informação, sempre que
demandado, esclarecimentos sobre as informações sob sua
responsabilidade, com as respectivas classificações;
Manter atualizado, com o apoio da área de Gestão de Segurança da
Informação, inventário de informações confidenciais ou confidenciais
restritas sob sua responsabilidade, com as respectivas classificações.
001/2012-DP .17.
3.2 ÁREA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO Cabe à área de Gestão de Segurança da Informação:
Definir metodologia para classificação das informações e apoiar os
Proprietários da Informação no processo, quando demandado;
Avaliar a classificação das informações e, na ocorrência de não
conformidade com a Política e as Normas de Segurança da Informação,
encaminhá-la ao CGSI para avaliação;
Consolidar os inventários de informações confidenciais e confidenciais
restritas disponibilizados pelos Proprietários da Informação;
Manter atualizado, com o apoio das Diretorias, Gerências e
Coordenadorias de Tecnologia da Informação, o inventário de sistemas
de informação e suas respectivas classificações.
3.3 COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO (CGSI) Cabe ao Comitê Gestor de Segurança da Informação (CGSI):
Avaliar e, sempre que necessário, determinar ajustes na classificação das
informações pertencentes ou sob a guarda da BM&FBOVESPA, com
base no inventário de informações apresentado pela área de Gestão de
Segurança da Informação e nos critérios de classificação constantes de
Norma específica.
3.4 DIRETORIAS, GERÊNCIAS E COORDENADORIAS DE
TECNOLOGIA DA INFORMAÇÃO Cabe às Diretorias, Gerências e Coordenadorias da área de Tecnologia da
Informação:
Fornecer à área de Segurança da Informação, sempre que demandada,
esclarecimentos sobre os sistemas de informação sob sua
responsabilidade.
A área de Gestão de Segurança da Informação é responsável por manter
atualizado o inventário de informações e suas respectivas classificações.
4. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação.
001/2012-DP .18.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Norma
1.2 27/12/2010 Inclusão das regras para tratamento das informações
1.3 27/12/2011 Revisão do escopo, incluindo regras sobre a propriedade
de uma informação; Revisão do papel do Proprietário da
Informação, inclusão do papel de Diretorias, Gerências e
Coordenadorias de TI; Atualização das regras para
tratamento das informações, contemplando a utilização
de controle de acesso e trilhas de auditoria.
001/2012-DP .19.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE GESTÃO DE USUÁRIOS E
ACESSOS A SISTEMAS DE INFORMAÇÃO –
1. OBJETIVO Esta Norma apresenta os requisitos de segurança da informação para a
administração de usuários, incluindo os processos de concessão e
cancelamento de acessos para sistemas de informação tipificados como
sistemas de negócio ou administrativos.
2. DEFINIÇÕES
Credencial de Acesso (Login) Conjunto de caracteres alfanuméricos que identifica a pessoa que tem
acesso a um sistema.
Credencial de Acesso Privilegiado Credencial que identifica a pessoa que tem acesso privilegiado ou irrestrito
aos recursos de um sistema, tais como configurações de parâmetros, gestão
de usuários e acessos e inicialização e interrupção de serviços.
Sistema Administrativo
Sistema utilizado em processos de suporte ao negócio da empresa (por
exemplo, em áreas Administrativas, Recursos Humanos, Jurídico,
Financeiro);
Sistema de Negócio Sistema utilizado diretamente em processos de negócio da Bolsa.
Usuário Funcionário, estagiário ou prestador de serviços que utiliza os recursos
computacionais e/ou sistemas de informação da BM&FBOVESPA.
3. REGRAS
3.1. REGRAS GERAIS
Sistemas de informação classificados como confidenciais ou confidenciais
restritos devem obrigatoriamente possuir controle de acesso.
001/2012-DP .20.
3.2. RASTREABILIDADE INDIVIDUAL Os usuários devem ser identificados individualmente por meio de uma
credencial de acesso (login) e senha. Cada usuário é individualmente
responsável por toda e qualquer atividade realizada sob a sua credencial
de acesso.
Credenciais de acesso compartilhadas ou genéricas não são permitidas,
exceto nos seguintes casos:
− Credencial de acesso utilizada para conexões entre sistemas
(credencial de serviço), devendo adotar-se identificação-padrão em
tais casos;
− Credenciais de acesso utilizadas em processos contínuos de
monitoração (painéis de monitoração compartilhados por diversos
usuários etc.). Nesse caso, os acessos devem permitir somente
consultas, sendo vedada a modificação/inserção de informações;
− Credenciais de acesso destinadas ao uso público (biblioteca, salas
de reunião, recintos abertos) ou cujos usuários não possam ser
identificados antecipadamente (treinamentos, leilões).
Cada credencial de acesso deve ser atribuída univocamente a um
indivíduo ou, no caso de credenciais compartilhadas ou genéricas, ao
gestor da BM&FBOVESPA responsável pela solicitação.
Cada credencial de serviço utilizada na conexão entre sistemas deve ser
específica para o fim ao qual se destina, sendo vedada a sua utilização
em outros processos de conexão ou serviços de TI.
Credenciais de serviço ou utilizadas em processos contínuos de
monitoração não devem ser utilizadas por usuários para acesso
interativo.
3.3. AUTORIZAÇÃO DE ACESSO A SISTEMAS DE INFORMAÇÃO
Os direitos de acesso deverão ser concedidos ao usuário de forma a
permitir somente o acesso mínimo necessário para a execução de suas
funções.
O acesso aos sistemas de informação da BM&FBOVESPA será liberado
de acordo com o seguinte fluxo de autorização:
Usuário que necessita ter acesso a determinado sistema de
informação solicita a liberação de acesso ao seu gerente ou
coordenador (quando se tratar de gerente ou diretor, a solicitação é
feita diretamente pelo próprio);
Gerente ou coordenador avalia o pedido, verificando se o acesso é
necessário para o exercício das funções do usuário;
001/2012-DP .21.
O Proprietário da informação ou do perfil de acesso avalia o pedido,
observando regras de segregação de funções existentes e, conforme o
caso, autoriza a liberação do acesso ao usuário.
Para a operacionalização do fluxo acima descrito, as áreas solicitantes e a
área de Gestão de Segurança da Informação deverão utilizar, como
apoio, os serviços do Service Desk, além de aplicativos de
gerenciamento de fluxo de trabalho (workflow).
A gestão de usuários atribuídos aos participantes da BM&FBOVESPA
deve ser tratada através de Norma e Procedimento específicos.
O processo de autorização deverá ser documentado e registrado por meio
de aplicativo de gerenciamento de fluxo de trabalho (workflow) ou outros
meios, a critério da área de Gestão de Segurança da Informação.
3.4. POLÍTICA DE SENHAS
3.4.1. CONFIDENCIALIDADE Todos os usuários devem zelar pela confidencialidade das senhas
atribuídas às credenciais de acesso sob sua responsabilidade.
Usuários não devem compartilhar suas senhas em hipótese alguma,
inclusive para gestores ou colaboradores de áreas de suporte técnico
da Bolsa.
Usuários não devem escrever suas senhas em papel.
Usuários não devem armazenar suas senhas em arquivos
desprotegidos ou utilizar funcionalidades existentes em sistemas
operacionais ou navegadores para tal fim.
3.4.2. COMPLEXIDADE Com o objetivo de tornar as senhas menos óbvias e, por consequência, mais
efetivas, as seguintes regras devem ser observadas por todos os usuários:
As senhas não devem conter palavras presentes no dicionário,
referência à credencial de acesso utilizada, ao nome do usuário ou de
familiares, fragmentos de nomes de documentos, datas de
aniversário, placas de carro e outros termos de fácil memorização ou
evidência.
São requisitos mínimos para a composição de senhas:
− Tamanho mínimo de oito caracteres;
− Ao menos um número ou caractere especial.
Estes requisitos devem ser obrigatórios para todos os sistemas de
informação.
001/2012-DP .22.
3.4.3. TROCA DE SENHAS Para minimizar a possibilidade de utilização indevida de uma senha, todos
os usuários devem:
Trocar a senha ao primeiro acesso a um sistema.
Trocar as senhas, no mínimo, a cada 180 dias.
Este requisito deve ser obrigatório para todos os sistemas de
informação.
Não utilizar nenhuma das últimas 6 senhas utilizadas.
3.4.4. SISTEMAS DE INFORMAÇÃO O campo disponível para entrada da senha nos sistemas de
informação deve mascarar os caracteres digitados pelo usuário.
As senhas devem ser invalidadas, no máximo, após 10 tentativas de
acesso.
As senhas não devem ser armazenadas em texto claro pelos sistemas
de informação.
3.5. CREDENCIAIS DE ACESSO ESPECIAIS
3.5.1. CREDENCIAIS-PADRÃO Credenciais-padrão – fornecidas pelo fabricante do sistema operacional,
software de terceiro ou de sistemas – devem ser desabilitadas, ou
renomeadas e ter suas senhas alteradas.
3.5.2. CREDENCIAIS DE CONVIDADO (GUEST) Não é permitido o uso de credenciais de convidado ou qualquer outro tipo
que não exija senha. A credencial de acesso de convidado (conta guest) que
acompanha o sistema deve ser excluída.
3.5.3. CREDENCIAIS DE PRESTADORES DE SERVIÇOS As credenciais de acesso atribuídas a prestadores de serviços devem possuir
data de expiração compatível com a necessidade do usuário, devendo essa
data ser novamente autorizada em caso de prorrogação.
3.5.4. CREDENCIAIS DE SERVIÇO Em algumas situações, credenciais de serviço são necessárias para
funcionamento da comunicação entre diferentes sistemas. As credenciais de
serviço devem possuir um responsável definido e, pela natureza da
utilização, a troca periódica da senha é recomendada mas não mandatória.
001/2012-DP .23.
3.5.5 CREDENCIAIS PRIVILEGIADAS O desvio dessas credenciais por atividade acidental ou deliberada pode
causar danos à empresa. Pessoas autorizadas a usar esse tipo de
credencial devem possuir outra credencial para uso nas atividades do dia
a dia que dispensem acesso privilegiado. A credencial privilegiada
deverá ser utilizada somente para a execução de atividades
administrativas que requeiram esse nível de acesso.
3.6. CANCELAMENTO DE ACESSO DE USUÁRIO
O acesso do usuário deverá ser imediatamente cancelado nas seguintes
hipóteses:
− Quando o usuário se desligar da empresa;
− Quando o usuário mudar de função dentro da empresa;
− Quando, por qualquer razão, cessar a necessidade de acesso do
usuário ao sistema de informação.
Para os cancelamentos de acesso acima previstos, a área de Gestão de
Segurança da Informação deverá ser prontamente informada sobre os
desligamentos e as mudanças de função de funcionários, estagiários e
demais colaboradores da BM&FBOVESPA, observando-se o seguinte:
− A Diretoria de Recursos Humanos será responsável por informar
todos os desligamentos de funcionários e todas as modificações
internas do quadro funcional.
− O PMO (Project Management Office) será responsável por
informar todos os desligamentos de prestadores de serviços
(terceiros) contratados pelas áreas da Diretoria Executiva de
Tecnologia e Segurança da Informação.
− As demais diretorias da BM&FBOVESPA serão responsáveis por
informar o desligamento dos prestadores de serviço por elas
contratados.
− As diretorias serão responsáveis por informar as alterações de
função dos funcionários, estagiários e demais colaboradores sob sua
responsabilidade.
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
001/2012-DP .24.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Norma
1.2 27/12/2010 Revisão na aplicação da política, atualização de
parâmetros na política de senhas, detalhamento das
regras de credenciais de acesso, retirada de itens sobre
acesso a servidores e a banco de dados, que são agora
tratados em normas específicas
1.3 27/12/2011 Revisão da política de senhas e das responsabilidades e
simplificação do workflow para autorização de acesso
001/2012-DP .25.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE REVISÃO DE ACESSOS A SISTEMAS DE
INFORMAÇÃO E DE INFRAESTRUTURA
1. OBJETIVO
Esta Norma estabelece os critérios relativos ao processo de revisão de acessos
lógicos ao ambiente tecnológico da BM&FBOVESPA. Tais revisões visam
assegurar a adequação dos acessos concedidos aos requisitos de segurança
estabelecidos.
2. REGRAS
2.1. ESCOPO DAS REVISÕES Devem ser submetidos a processo de revisão periódica:
Acessos concedidos a sistemas de informação;
Acessos concedidos à infraestrutura de TI e segurança da informação;
Acessos concedidos a bancos de dados; e
Acessos concedidos a recursos de rede (servidores de arquivos, acesso à
internet e acesso remoto).
2.2. PERIODICIDADE DA REVISÃO A revisão de acesso a sistemas de informação será feita conforme a
classificação da informação mais crítica contida em cada sistema, ou
outro critério formalizado pelo Comitê Gestor de Segurança da
Informação. O processo de revisão deve ser executado com a seguinte
periodicidade mínima:
Classificação do sistema Periodicidade mínima
Confidencial restrito Semestral
Confidencial Semestral
Interno Anual
As revisões de acessos concedidos à infraestrutura de TI e segurança da
informação, aos banco de dados, aos recursos de rede e acessos remotos
ao ambiente de TI devem ser executadas anualmente.
001/2012-DP .26.
2.3. PROCESSO DE REVISÃO Revisão de acesso a sistemas de informação e a acessos concedidos à
infraestrutura de TI e segurança da informação:
Caberá à área de Gestão de Segurança da Informação coordenar o
processo de revisão de acessos. Esse processo deverá ser composto, pelo
menos, das seguintes atividades:
a) Comparação da lista de acessos concedidos a funcionários com a
lista contendo o quadro funcional atualizado da BM&FBOVESPA;
b) Comparação da lista de acessos concedidos a prestadores de
serviço, inclusive terceiros, com a lista atualizada de prestadores de
serviço, fornecida pelas diretorias responsáveis; e
c) Revalidação formal, pelos Proprietários da Informação, dos acessos
concedidos às informações sob a sua responsabilidade.
O Proprietário da Informação poderá, a qualquer tempo, solicitar à área
de Gestão de Segurança da Informação (DO-GSI) a revisão dos acessos
aos sistemas (informação ou infraestrutura de TI e segurança da
informação) sob sua responsabilidade.
3. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
4. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Norma
1.2 27/12/2010 Revisão na aplicação da política, alteração do escopo de
revisão de acessos, exclusão do item que menciona a
periodicidade de testes de vulnerabilidades, tratado na
nova Norma Sobre Avaliação Técnica de Segurança
001/2012-DP .27.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE UTILIZAÇÃO DE TRILHAS DE AUDITORIA
EM SISTEMAS DE INFORMAÇÃO –
1. OBJETIVO
Esta Norma apresenta os critérios para utilização de trilhas de auditoria (log
de sistema) em sistemas de informação, de forma a permitir o rastreamento de
operações realizadas.
2. DEFINIÇÃO
Trilha de auditoria ou log: composta de linhas com informações referentes
aos eventos ocorridos nos sistemas, é o registro de operações – consultas,
inclusões, exclusões e alterações de dados – que acontecem em sistemas de
informação e sistemas de rede de uma organização.
3. REGRAS
3.1. DEFINIÇÃO DOS REGISTROS
Como regra geral, todas as operações de consulta, inclusão, exclusão e
alteração de informações classificadas como confidenciais restritas ou
como confidenciais devem gerar registro em trilha de auditoria.
As trilhas de auditoria devem apresentar informações que sejam
suficientes para assegurar o rastreamento dos eventos, incluindo:
Identificação do usuário;
Data e horário de ocorrência do evento;
Identificação do evento.
Cabe ao Proprietário da Informação, com o apoio das áreas de TI
responsáveis por Desenvolvimento de Sistemas:
Definir quais eventos de um sistema de informação devem possuir
registro em trilhas de auditoria;
Definir quais informações devem fazer parte deste registro.
3.2. PRAZOS DE RETENÇÃO
Os prazos de armazenamento dos registros devem ser estabelecidos pelo
Proprietário da Informação, a fim de garantir sua adequação aos requisitos
legais e/ou regulatórios vigentes.
001/2012-DP .28.
3.3.PROTEÇÃO É vedado ao administrador de sistema possuir permissão para exclusão ou
desativação das trilhas de auditoria referentes a suas próprias atividades.
As trilhas de auditoria devem possuir mecanismos apropriados de
proteção, de forma a evitar manipulação e/ou exclusão das informações
registradas.
As trilhas de auditoria devem passar por processo de backup que assegure
sua preservação pelo prazo de retenção definido pelo Proprietário da
Informação.
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Norma
1.2 27/12/2010 Exclusão do item sobre registro de trilha de auditoria
para diretórios
1.3 27/12/2011 Papel do Proprietário da Informação na definição do
registro da trilha
001/2012-DP .29.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE UTILIZAÇÃO
DE RECURSOS COMPUTACIONAIS
1. OBJETIVO
Esta Norma apresenta as regras para utilização segura dos recursos
computacionais da BM&FBOVESPA. Tais recursos incluem estações de
trabalho, softwares, correio eletrônico, internet, mídias removíveis,
impressoras e computadores portáteis.
2. REGRAS
2.1. ESTAÇÕES DE TRABALHO
2.1.1. USO GERAL
As estações de trabalho (ou desktops, computadores de mesa que
tem gabinete, teclado, mouse e monitores separados) devem
permanecer bloqueadas por senhas nos períodos de ausência do
usuário. As estações de trabalho devem estar configuradas para o
bloqueio (tela de proteção com senha) após período de inatividade
de, no máximo, 10 minutos, com exceção de estações utilizadas
como painéis de monitoração.
Toda estação de trabalho deve possuir lacre de segurança em seu
gabinete, sendo restrita à área de manutenção técnica –
Coordenadoria de Atendimento ao Cliente e Gestão do Acordo de
Serviço (DO-CGAS) – a função de colocação e/ou de remoção
desses lacres.
2.1.2. ARMAZENAMENTO DE DADOS
É proibido armazenar informações relacionadas às atividades da
BM&FBOVESPA nos discos rígidos das estações de trabalho.
É proibido armazenar informações classificadas como
confidenciais restritas ou como confidenciais em diretórios de rede
que não tenham acesso devidamente controlado. Essas
informações devem ser armazenadas em ambiente privado de rede
e/ou em ambiente compartilhado somente por pessoas autorizadas
a acessá-las.
001/2012-DP .30.
2.1.3. INSTALAÇÃO DE SOFTWARE E CONTROLE DE
LICENÇAS
É responsabilidade da Gerência de Infraestrutura Técnica,
subordinada à Diretoria de Infraestrutura e Produção de TI, (i) o
processo de homologação de softwares; (ii) a manutenção do
inventário de softwares homologados e do controle de instalações;
e (iii) o controle de licenças e de versões de softwares.
É proibida a instalação de softwares ou sistemas nas estações de
trabalho pelos usuários finais. Esse procedimento pode ser
efetuado somente pela área técnica responsável por essa atividade
(Coordenadoria de Atendimento ao Cliente e Gestão do Acordo de
Serviço, DO-CGAS).
São proibidos a instalação e o uso de softwares que não possuam
licença e/ou que não tenham sido homologados pela Gerência de
Infraestrutura Técnica.
2.1.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários ou colaboradores da área técnica
responsável (Coordenadoria de Atendimento ao Cliente e Gestão
do Acordo de Serviço, DO-CGAS) ou fornecedores contratados
para este fim pela Diretoria de Infraestrutura e Produção de TI
podem fazer manutenção, alterar configurações e instalar
dispositivos de hardware nas estações de trabalho.
Equipamentos descartados ou enviados para manutenção em
fornecedores externos devem passar por procedimento específico
(wipe) para destruição dos dados armazenados em discos internos.
2.1.5. DISPOSITIVOS DE ARMAZENAMENTO MÓVEL
É proibida a gravação de informações relacionadas às atividades
da Bolsa em dispositivos móveis de armazenamento de dados,
com exceção dos diretores da BM&FBOVESPA.
Os dispositivos móveis de armazenamento de dados utilizados
pelos diretores devem contar com recursos de segurança indicados
pela área de Gestão de Segurança da Informação.
A área de Gestão de Segurança da Informação é responsável pela
adoção de mecanismo de bloqueio das estações de trabalho, com o
intuito de prevenir a gravação não autorizada de informações em
dispositivos móveis de armazenamento.
Os funcionários e colaboradores da Bolsa que necessitarem gravar
informações em dispositivos móveis de armazenamento deverão
solicitar tal gravação ao respectivo diretor.
001/2012-DP .31.
2.1.6. SOFTWARES DE SEGURANÇA
Todas as estações de trabalho devem possuir:
– Software antivírus atualizado;
– Software de gerenciamento de estações (software que
permite a configuração de regras de bloqueio de arquivos
executáveis, de uso de dispositivos de gravação etc.); e
– Correções de segurança (hotfix, service pack) fornecidas pelo
fabricante aplicadas.
É responsabilidade da área de Gestão de Segurança da Informação
controlar a aplicação da regra prevista no item anterior.
2.1.7. DISPOSITIVOS DE CONEXÃO
As estações de trabalho conectadas à rede interna não devem possuir
placas ou dispositivos fax-modem (telefonia fixa ou móvel), dispositivos
de conexão sem fio (wireless, bluetooth) ou outro que possibilite
estabelecer conexão remota.
2.2. COMPUTADORES PORTÁTEIS
Os usuários de computadores portáteis fornecidos pela
BM&FBOVESPA (notebooks, blackberries, smartphones etc.) são
responsáveis pelo uso adequado de tais equipamentos.
Computadores portáteis (notebooks, blackberries, smartphones etc.)
pessoais ou de terceiros (não fornecidos pela empresa) não podem ser
conectados à rede interna da BM&FBOVESPA.
É proibido o armazenamento de informações classificadas como
confidenciais ou confidencias restritas em computadores portáteis,
exceto em áreas de armazenamento do disco protegidas por criptografia.
O extravio do equipamento deve ser formalizado junto à Coordenadoria
de Segurança Patrimonial (DF-CSEP) e à Coordenadoria de
Atendimento a Cliente e Gestão do Nível Serviço (DO-CGAS). Em caso
de roubo ou furto do equipamento, deve ser também providenciado
Boletim de Ocorrência junto à autoridade policial competente.
Todos os computadores portáteis devem possuir:
Software antivírus atualizado;
Software de gerenciamento de estações (software que permite a
configuração de regras de bloqueio de arquivos executáveis, de uso
de dispositivos de gravação etc.);
Softwares para controle e filtragem de acesso à internet (filtro de
conteúdo web e Firewall);
001/2012-DP .32.
Criptografia de disco; e
Correções de segurança (hotfix, service pack) fornecidas pelo
fabricante aplicadas.
2.3. CORREIO ELETRÔNICO
O sistema de correio eletrônico é destinado a fins profissionais, de forma
individual e discriminada, por intermédio exclusivo de software
homologado pela BM&FBOVESPA.
As correspondências eletrônicas poderão ser monitoradas com o intuito
de bloquear spams, vírus ou outros conteúdos maliciosos ou que violem
a Política de Segurança da Informação, podendo permanecer
temporariamente retidas para análise.
Informações classificadas como confidenciais restritas ou como
confidenciais não devem ser enviadas por mensagens eletrônicas, seja
para endereços internos ou externos, exceto com a utilização de recursos
de segurança indicados pela área de Gestão de Segurança da Informação.
É proibido abrir mensagens ou arquivos anexados a mensagens
eletrônicas com origem desconhecida.
É proibido enviar, com endereço eletrônico da BM&FBOVESPA,
mensagens com anúncios de eventos particulares, propagandas, vídeos,
músicas, mensagens do tipo corrente, campanhas ou promoções.
É proibida a utilização do e-mail corporativo para participação em fóruns
e listas de discussão não relacionados às atividades do usuário na
BM&FBOVESPA.
O uso do correio eletrônico para fins pessoais é aceitável se usado com
moderação, em caso de necessidade e quando:
– Não contrariar as normas aqui descritas;
– Não comprometer o desempenho do correio eletrônico;
– Não for utilizado para ganho ou lucro pessoal em atividades
paralelas;
– Não interferir, negativamente, nas atividades profissionais
individuais ou na de outros usuários; e
– Não interferir, negativamente, na empresa e em sua imagem.
001/2012-DP .33.
2.4. INTERNET O uso da internet destina-se às atividades profissionais do funcionário,
estagiário ou colaborador da BM&FBOVESPA, sendo voltado à
pesquisa e/ou à obtenção de informações necessárias ao exercício de suas
atividades.
Qualquer tipo de material obsceno, pornográfico, ilegal ou ofensivo
nunca deverá ser acessado, transmitido ou armazenado.
É expressamente proibido o acesso a webmails, salas de bate-papo, sites
de atividades consideradas ilegais ou potencialmente perigosas (hackers)
e sistemas de mensagens instantâneas.
Acessos a blogs, sites de relacionamentos, redes sociais, áudios e vídeos
são controlados e, de maneira geral, proibidos. Perfis específicos de
acesso podem ser criados exclusivamente para atendimento das
necessidades da BM&FBOVESPA, devendo ser justificados
formalmente pelo Diretor requisitante e aprovados pelo Comitê Gestor
de Segurança da Informação (CGSI).
Todos os acessos à internet devem ser monitorados automaticamente por
software específico e seus logs armazenados, para eventual análise e
verificação do cumprimento da Política de Segurança da Informação.
O acesso à internet para fins pessoais é aceitável se usado com
moderação e quando:
– Não contrariar as normas aqui descritas;
– Não comprometer o desempenho dos sistemas da Bolsa;
– Não for utilizado para ganho ou lucro pessoal em atividades
paralelas;
– Não interferir, negativamente, na atividade profissional individual
ou na de outros usuários; e
– Não interferir, negativamente, na empresa e em sua imagem.
2.5. USO DE APLICATIVOS DE MICROINFORMÁTICA
(Editores de Texto, Planilhas Eletrônicas, Editores de Apresentação) O uso de aplicativos de microinformática para a geração ou para o tratamento
de informações utilizadas em processos críticos da empresa (por exemplo, uso
de planilhas eletrônicas para cálculo de parâmetros de risco, curvas de preços
referenciais etc.) deve observar as seguintes regras:
Os arquivos devem possuir documentação que descreva a sua finalidade
e o seu funcionamento, e indicação da classificação das informações
contida nos mesmos;
As alterações realizadas nos arquivos devem ser documentadas e estes
devem possuir controle de versão;
Devem ser mantidas cópias das versões antigas dos arquivos;
001/2012-DP .34.
Sempre que forem efetuadas alterações nos arquivos, devem ser
executados testes de validação das mudanças, com registro (produção de
evidências) dos testes realizados;
Os arquivos devem ser armazenados em diretórios de rede seguros, aos
quais somente os funcionários e colaboradores envolvidos com o
processo tenham acesso;
É proibido o desenvolvimento de código (macros, scripts), programas,
sistemas ou bases de dados diretamente pelo usuário de áreas de negócio sem
o expresso consentimento da Diretoria Executiva de Operações e TI.
2.6. IMPRESSORAS
O uso das impressoras destina-se às atividades profissionais do
funcionário, estagiário ou colaborador da BM&FBOVESPA;
A impressão de informações classificadas com confidenciais restritas ou
confidenciais deve ser controlada, e o resultado do trabalho deve ser
supervisionado e imediatamente recolhido pelo usuário que solicitou a
impressão;
Impressoras que possuam memórias do tipo não volátil ou discos
internos devem passar por procedimento específico (wipe) para
destruição dos dados armazenados, quando descartadas ou enviadas para
manutenção em fornecedor externo.
3. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
4. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 16/02/2009 Versão inicial
1.1 10/08/2009 Primeira revisão da Norma
1.2 27/12/2010 Atualização das regras para uso de computadores
portáteis, inclusão de regras específicas para
impressoras, revisão na aplicação da política, inclusão
das novas necessidades de acesso à internet, exclusão
do item que fala sobre conexões remotas, tratado na
nova Norma sobre Acesso Remoto ao
Ambiente de TI
001/2012-DP .35.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE TRATAMENTO DE INCIDENTES DE SEGURANÇA
DA INFORMAÇÃO
1. OBJETIVO Esta norma estabelece os critérios relativos ao processo de tratamento de
incidentes de segurança da informação.
2. DEFINIÇÕES
Atividade crítica
Atividades, ativos e recursos que suportam produtos ou serviços oferecidos
pela BM&FBOVESPA.
Equipe de resposta a incidentes de Segurança da Informação A equipe de resposta a incidentes de Segurança da Informação é composta
pela área de Gestão de Segurança da Informação e por membros
temporários, que serão requisitados de acordo com sua especialidade para
colaboração na resolução de incidentes. Sua missão é minimizar os danos
causados por incidentes de segurança, bem como promover o
aperfeiçoamento dos controles internos da empresa, evitando futuras
repetições dos incidentes.
Incidente de Segurança da Informação
Considera-se incidente de segurança da informação qualquer ação que viole
a Política ou as Normas de Segurança da Informação da BM&FBOVESPA,
bem como qualquer evento que resulte ou possa resultar em perda e/ou
dano aos ativos de informação da empresa, causados por ação relacionada à
segurança da informação.
SOC – Security Operations Center É a equipe da área de Gestão de Segurança da Informação dedicada à
monitoração contínua da segurança tecnológica da BM&FBOVESPA,
atuando em regime 24x7.
3. REGRAS
Uma vez que não é possível prever todas as situações e variáveis que podem
provocar a ocorrência de incidentes de segurança, as orientações aqui
descritas são referência para a condução das ações necessárias ao seu
adequado tratamento. Elas não esgotam os exemplos e as ações a serem
tomadas, cabendo criteriosa análise de cada caso.
001/2012-DP .36.
3.1. IDENTIFICAÇÃO E COMUNICAÇÃO A identificação dos incidentes ocorrerá por monitoração pelo SOC dos
dispositivos de segurança tecnológica, ou por notificação dos diretores,
funcionários ou demais colaboradores da BM&FBOVESPA à área de
Gestão de Segurança da Informação.
Caberá ao SOC determinar se eventual anormalidade no ambiente
tecnológico da BM&FBOVESPA é resultado de problema em algum
sistema ou infraestrutura tecnológica ou de incidente de segurança.
Todo incidente de segurança deverá ser classificado, no mínimo, como
confidencial. Portanto, não deverá ser divulgado, cabendo somente à
equipe de resposta a incidentes o tratamento e a divulgação da
ocorrência.
3.2. CLASSIFICAÇÃO DO INCIDENTE Os incidentes de segurança deverão ser classificados em três categorias
conforme seu risco/impacto para a empresa, a saber:
Alto – Categoria de incidente de segurança que provocou ou pode provocar:
Paralisação de atividades críticas da empresa;
Graves danos à imagem da empresa;
Perda ou alteração não autorizada de informações vitais à empresa; ou
Acessos indevidos a informações confidenciais ou confidenciais restritas
da empresa.
Exemplos: paralisação da negociação, divulgação indevida de informações
confidenciais.
Médio – Categoria de incidente de segurança que provocou ou pode provocar:
A paralisação de atividades não consideradas críticas para a continuidade
dos principais serviços prestados pela empresa; ou
Situação que, se não controlada, possa levar à paralisação de atividades
críticas da empresa.
Exemplos: paralisação da intranet, utilização de softwares não homologados,
alteração da configuração básica da estação de trabalho etc.
Baixo – Categoria de incidente de segurança ocasionado por:
Tentativa de acesso indevido aos sistemas e bancos de dados da Bolsa
automaticamente bloqueada;
Outros, a critério da Gerência de Segurança da Informação.
Exemplos: acesso a um site na internet não permitido, tentativas de ataques
provenientes da internet bloqueados pelos firewalls.
001/2012-DP .37.
3.3. TRATAMENTO DO INCIDENTE
As evidências da ocorrência devem ser preservadas, quando possível, de
forma a subsidiar os trabalhos da Equipe de Resposta a Incidentes de
Segurança.
Os incidentes de segurança deverão ser tratados e documentados
conforme procedimento específico.
As ações para a solução de um incidente de segurança devem ser
orientadas pela Equipe de Resposta a Incidentes de Segurança. Em
situações de indisponibilidade de atividades críticas, as áreas técnicas
competentes devem agir e executar os procedimentos necessários ao
pronto restabelecimento da atividade.
3.4. ENCERRAMENTO DO INCIDENTE A avaliação de todos os aspectos relacionados ao incidente ocorrido deve
indicar os pontos que podem ser melhorados na atividade impactada.
As ocorrências devem ser reportadas periodicamente ao Comitê Gestor
de Segurança da Informação, através de relatório gerencial.
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 10/08/2009 Versão inicial
001/2012-DP .38.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE BACK UP E RESTORE
1. OBJETIVO
Esta Norma apresenta diretrizes para backups, restores e testes periódicos de
restore da organização.
2. REGRAS
2.1. BACKUP
2.1.1. DEFINIÇÃO
O processo de criação de cópias de dados (backup) assegura a existência
da redundância dessas informações para que possam ser recuperadas
quando necessário.
Todo sistema ou informação relevante para a operação dos negócios da
BM&FBOVESPA deve possuir cópia dos seus dados de produção, para
que, em eventual indisponibilidade dos dados, seja possível recuperar ou
minimizar os impactos nas operações da empresa.
2.1.2. ESPECIFICAÇÃO DE BACKUP As especificações do backup devem conter: qual sistema ou informação
deve possuir cópias, a frequência que as cópias devem ser realizadas e o
tempo mínimo de retenção de cada cópia, de acordo com requisitos
legais e de negócio.
A definição da especificação de um backup de dados de um sistema ou
informação deve partir do Proprietário da Informação, em conjunto com
as áreas de TI responsáveis pelo sistema ou informação.
2.1.3. SOLICITAÇÃO DE BACKUP A solicitação de um backup de dados de um sistema ou informação deve
partir das áreas de TI responsáveis, com base na Especificação de
Backup elaborada em conjunto com o Proprietário da Informação.
A Gerência de Produção e Co-location (DO-GPC) deve analisar as
solicitações e verificar a existência das especificações mínimas de
backup. A implantação e a operacionalização da solicitação de backup só
poderão ocorrer após as devidas verificações.
001/2012-DP .39.
2.1.4. ALTERAÇÃO DE BACKUP O Proprietário da Informação deve comunicar imediatamente a Gerência
de Produção e Co-location (DO-GPC) eventual alteração das
especificações de backup previamente já definidas.
2.1.5. EXPIRAÇÃO DE BACKUP Ao término do período de retenção de uma cópia, seus dados serão
eliminados e sua mídia de armazenamento poderá ser utilizada para
outros fins.
2.1.6. REGISTROS DE IMPLANTAÇÃO DE BACKUP
Toda implantação de novo backup ou alteração de especificação, deve
ser devidamente registrada. Esses registros devem ser armazenados de
maneira segura para prevenir alterações e devem ser mantidos para fins
de auditoria e gestão de mudança.
2.1.7. SEGURANÇA DE BACKUP Toda infraestrutura de suporte aos processos de backup e restore deve
possuir controles de segurança para prevenção contra acessos não
autorizados, bem como mecanismos que assegurem seu correto
funcionamento.
2.1.8. IDENTIFICAÇÃO E INVENTÁRIO DE MÍDIAS DE
BACKUP
Todas as mídias de backup utilizadas por sistemas automatizados devem
estar devidamente identificadas. O controle do inventário de mídias de
backup deve ser realizado pela Gerência de Produção e Co-location (DO-
GPC).
2.1.9. EXISTÊNCIA DE BACKUP OFF-SITE
Para cada backup de dados com período de retenção superior a seis
meses, deverá ocorrer a movimentação para um local diferente (off-site)
e distante do prédio onde os backups são realizados e armazenados (on-
site).
No local de armazenamento de backup off-site, devem existir controles
de acesso físico implementados para assegurar que somente pessoas
previamente autorizadas tenham acesso.
001/2012-DP .40.
2.1.10. TRANSPORTE DE MÍDIAS DE BACKUP Para evitar acessos não autorizados, mau uso ou alteração durante o
transporte e manuseio de mídias de backup, devem ser adotados
controles que garantam a inviolabilidade e a integridade das informações
armazenadas.
O processo de transporte de mídias off-site deve seguir a periodicidade
indicada na Especificação de Backup.
2.1.11. MANUTENÇÃO DE EQUIPAMENTOS Todos os equipamentos de backup devem ter a manutenção correta para
garantir a continuidade de sua disponibilidade e sua integridade, bem
como das informações por eles tratadas.
2.1.12. DESCARTE DE MÍDIAS DE BACKUP Ao fim do ciclo de vida útil de uma mídia de backup, esta deve ser
devidamente descartada de forma controlada, segura e protegida.
2.2. RESTORE
2.2.1. DEFINIÇÃO Eventualmente, há a necessidade da recuperação de dados de algum
sistema da Bolsa. O processo de restore visa suprir essa necessidade,
para a qual houve solicitação e implantação de backup de dados.
2.2.2. SOLICITAÇÃO DE RESTORE A recuperação somente pode ser solicitada pelo Proprietário da
Informação ou por equipes de TI que suportem o sistema. Após a análise
da solicitação de restore pela Gerência de Produção e Co-location (DO-
GPC), o solicitante da recuperação deverá realizar a devida validação
dos dados recuperados.
2.2.3. LOCAL DE RESTAURAÇÃO DOS DADOS O local na qual a cópia de restauração será disponibilizada e o prazo de
recuperação deve ser acordado entre a Gerência de Produção e Co-
location (DO-GPC) e o solicitante do restore.
2.2.4. INDISPONIBILIDADE DE RESTORE Não será possível recuperar dados cujo período de retenção, definido na
Especificação de Backup, tenha expirado.
001/2012-DP .41.
2.3. TESTES PERIÓDICOS A Gerência de Produção e Co-location (DO-GPC) deve preparar anualmente
um plano para execução de testes de restauração de dados, que deve ter
escopo definido em conjunto com as áreas de negócio.
Todos os testes planejados devem ser devidamente registrados.
3. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação.
4. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 10/08/2009 Versão inicial
001/2012-DP .42.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE REGISTRO DE
NÃO CONFORMIDADE
1. OBJETIVO
Esta Norma estabelece critérios para o registro e o tratamento de ações que, se
executadas, resultarão em situações de não conformidade ou de exceção
relativas à Política e às Normas de Segurança da Informação da
BM&FBOVESPA.
2. REGRAS
2.1. REGISTRO O objetivo do processo de Registro de Não Conformidade (RNC) é prover as
informações necessárias para a adequada gestão dos riscos de segurança da
informação decorrentes de não conformidade.
2.2. CLASSIFICAÇÃO DO RISCO O risco de uma situação de não conformidade será classificado pela área de
Gestão de Segurança da Informação, levando em consideração a combinação
da probabilidade de materialização do risco e o respectivo impacto sobre o
negócio.
Os resultados das combinações dos níveis da probabilidade e do impacto da
materialização do risco são os diferentes níveis de risco, apresentados na
tabela denominada Matriz de Risco.
Matriz de Risco
Impacto
Irrelevante Baixo Médio Alto Extremo
Pro
bab
ilid
ad
e
Quase Certa Médio Alto Muito
Alto Extremo Extremo
Provável Médio Médio Alto Muito
Alto Extremo
Moderada Baixo Médio Médio Alto Muito
Alto
Improvável Baixo Baixo Médio Médio Alto
Rara Baixo Baixo Baixo Médio Médio
001/2012-DP .43.
A classificação resultante determinará o nível de aprovação requerido para
registro, mitigação ou aceitação da situação de não conformidade:
Extremo ou Muito Alto: aprovação de dois Diretores Executivos, sendo
um deles o Diretor Executivo do solicitante;
Alto ou Médio: aprovação do Diretor Executivo do solicitante.
Baixo: aprovação dos Diretores diretamente envolvidos na situação de
não conformidade.
Se o solicitante não possuir um Diretor Executivo, a aprovação do Diretor
Executivo do solicitante deverá ser substituída pela aprovação do Diretor
Executivo responsável pela área de Gestão de Segurança da Informação.
2.3 MITIGAÇÃO OU ACEITE DO RISCO O registro deverá possuir um plano de ação que contemple a redução, a
eliminação dos riscos de segurança da informação decorrentes da situação de
não conformidade, ou a aceitação do risco, de acordo com o valor residual,
conforme a matriz de classificação.
Todo plano de ação será avaliado pela área de Gestão de Segurança da
Informação, que poderá, sempre que necessário, demandar alterações.
2.4. VALIDADE DO REGISTRO Todo registro deverá possuir prazo de validade, não superior a um ano.
O prazo de validade de um registro somente será prorrogado mediante
reavaliação e aprovação por todos os envolvidos no processo.
3. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação.
4. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 10/08/2009 Versão inicial
1.1 15/01/2010 Inclusão do conceito de aceite do risco e de mudanças
nas alçadas de aprovação
001/2012-DP .44.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE GESTÃO DE ACESSOS A BANCOS DE DADOS
1. OBJETIVO
Esta norma apresenta os critérios para gestão dos diversos tipos de Bancos de
Dados da BM&FBOVESPA gerenciados pelo Microsoft SQL, Oracle e
Adabas.
2. DEFINIÇÕES
Sistema de Gerenciamento de Banco de Dados (SGBD)
É o conjunto de programas de computador (softwares) responsável pelo
gerenciamento de uma base de dados.
Sistemas de Informação Sistemas utilizados pelas as áreas de negócio para suportar os processos da
empresa.
Sistemas de Infraestrutura de TI Sistemas utilizados pelas áreas de TI para suportar o ambiente tecnológico
da empresa.
SRM (Service Request Manager) Ferramenta de fluxo de trabalho (workflow)
3. REGRAS
3.1. BANCO DE DADOS DO AMBINTE DE PRODUÇÃO
O acesso de usuários a Banco de Dados de Produção deve ser feito por
meio de Sistemas de Informação e não de forma direta, com exceção:
Da área responsável pela administração, suporte e manutenção dos
sistemas de gerenciamento de banco de dados – Coordenadoria de
Infra para Banco de Dados (DO-CIBD), Coordenadoria de Gestão de
Incidentes (DO-CGIN) e Coordenadoria de Gestão de Mudanças e
Implementação (DO-CGMI) que podem possuir o perfil de
administração de SGBD;
Não é permitido a liberação de acesso direto a Banco de Dados de
Produção para analistas desenvolvedores. O acesso para fins de
suporte deverá ser feito pela Coordenadoria de Gestão de Incidentes
(DO-CGIN).
Os usuários devem ser identificados individualmente por meio de uma
credencial de acesso (login) e senha. Cada usuário é individualmente
responsável por toda e qualquer atividade realizada sob sua credencial de
acesso;
001/2012-DP .45.
O processo de solicitação/autorização deve ser documentado e registrado
através do Service Request Manager (SRM).
3.2. SENHA DE CREDENCIAL DE ACESSO A BANCO DE DADOS DE
PRODUÇÃO
Deve ser exigido que o usuário altere a sua senha no primeiro acesso da
credencial;
São requisitos mínimos para a composição de senhas:
Tamanho mínimo de oito caracteres;
Existência de ao menos um caractere pertencente aos seguintes grupos
de caracteres: letras maiúsculas, letras minúsculas e números; e
Proibição de utilização de qualquer uma dentre as últimas 12 senhas
utilizadas.
As senhas devem ser trocadas, no mínimo, a cada 90 dias, exceto para
credenciais de acesso utilizadas para conexões entre sistemas (credencial
de serviço).
As senhas devem ser invalidadas, no máximo, após cinco tentativas de
acesso.
3.3. CREDENCIAIS DE ACESSO ESPECIAIS
3.3.1. CREDENCIAIS-PADRÃO Credenciais-padrão, fornecidas pelo fabricante do Sistema de
Gerenciamento de Banco de Dados (SGBD) devem ser desabilitados
ou ter suas senhas alteradas.
3.3.2. CREDENCIAIS DE CONVIDADO (GUEST) Não é permitido o uso de credenciais de convidado ou qualquer outro
tipo de credencial que não exija senha.
3.4. CANCELAMENTO DE ACESSO A BANCO DE DADOS O acesso do usuário deve ser imediatamente cancelado nas seguintes
hipóteses:
Quando o usuário se desligar da empresa;
Quando o usuário mudar de função dentro da empresa; e
Quando, por qualquer razão, cessar a necessidade de acesso do usuário
ao sistema de informação.
Para os cancelamentos de acesso acima previstos, a área de Gestão de
Segurança da Informação deve ser prontamente informada acerca dos
desligamentos e das mudanças de função dos funcionários, estagiários e
demais colaboradores da BM&FBOVESPA, observando-se o seguinte:
001/2012-DP .46.
A Diretoria de Recursos Humanos será responsável por informar
todos os desligamentos de funcionários e todas as modificações
internas do quadro funcional.
O PMO (Project Management Office) será responsável por informar
todos os desligamentos de prestadores de serviços (terceiros)
contratados pelas áreas de TI.
As demais diretorias da BM&FBOVESPA serão responsáveis por
informar o desligamento dos prestadores de serviço por elas
contratados.
As gerências serão responsáveis por informar as alterações de função
e as movimentações internas dos funcionários, estagiários e demais
colaboradores sob sua responsabilidade.
A área de Gestão de Segurança da Informação irá demandar a exclusão
da credencial de acesso para a Coordenadoria de Infra para Banco de
Dados (DO-CIBD).
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 25/09/2010 Versão inicial
1.1 27/12/2010 Atualização de parâmetros para política de senhas, em
linha com as alterações realizadas na Norma sobre
Gestão de Usuários e Acessos a Sistemas de
Informação
001/2012-DP .47.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE SEGURANÇA EM REDES E SERVIDORES
1. OBJETIVO Esta Norma apresenta as regras para utilização segura dos recursos de
infraestrutura de Tecnologia da Informação da BM&FBOVESPA. Tais recursos
incluem (i) servidores, (ii) áreas de armazenamento de dados em rede (SAN –
Storage Area Network) e (iii) elementos de rede (roteadores, switches e
firewalls).
2. DEFINIÇÕES
Elemento de rede Dispositivos responsáveis pela transmissão de ativos de informação através
de meios eletrônicos.
Firewall Dispositivo que tem por objetivo aplicar uma regra de acesso a um
determinado ponto de controle da rede. Sua função consiste em regular o
tráfego de dados entre redes distintas e impedir a transmissão e/ou recepção
de acessos nocivos ou não autorizados de uma rede para outra.
Storage Area Network (área de armazenamento em rede)
Rede projetada para agrupar dispositivos de armazenamento de dados.
Roteador
Equipamento usado para prover comunicação entre diferentes redes de
computadores.
Switch
Equipamento usado para prover comunicação entre elementos de uma
mesma rede de computadores.
3. REGRAS
3.1 REGRAS GERAIS
3.1.1. RASTREABILIDADE INDIVIDUAL
Credenciais de acesso compartilhadas ou genéricas não são permitidas,
exceto quando utilizada para execução de sistemas ou serviços (credencial
de serviço), devendo adotar-se identificação padrão em tais casos.
Credenciais padrão, fornecidas pelo fabricante do sistema operacional ou
do equipamento, devem ser desabilitadas ou renomeadas e ter suas
senhas alteradas.
001/2012-DP .48.
Não é permitido o uso de credenciais de convidado ou qualquer outro
tipo que não exija senha. A credencial de acesso de convidado (conta
guest) que acompanha o sistema deve ser excluída.
Cada credencial de acesso deve ser atribuída a um indivíduo ou, no caso de
credenciais padrão ou de serviço, ao gestor da BM&FBOVESPA
responsável pelo recurso de infraestrutura de TI.
Cada credencial de serviço deve ser específica para o fim ao qual se
destina, sendo vedada a sua utilização em outros processos de conexão ou
serviços de TI.
Credenciais de serviço não devem ser utilizadas em hipótese alguma por
usuários para acesso interativo ou para autenticação em sistemas, exceto
naqueles para os quais foram criadas.
3.1.2. POLÍTICA DE SENHAS Deve-se exigir mudança da senha quando ocorrer o primeiro acesso do usuário
ao recurso de infraestrutura de TI.
As senhas deverão ser complexas, ou seja, não devem constituir palavras
presentes no dicionário, fragmentos de nomes de documentos, datas de
aniversário, nomes de familiares, placas de carro e outros termos de fácil
memorização ou evidência.
As senhas deverão ser trocadas, no mínimo, a cada 90 dias.
São requisitos mínimos para a composição de senhas:
− Tamanho mínimo de oito caracteres;
− Existência de caracteres pertencentes a, pelo menos, três dos seguintes
grupos de caracteres: letras maiúsculas, letras minúsculas, números e
caracteres especiais; e
− Proibição de utilização de qualquer uma dentre as últimas 12 senhas
utilizadas.
As senhas deverão ser invalidadas, no máximo, após cinco tentativas de
acesso.
3.1.3. CANCELAMENTO DE ACESSO DE USUÁRIO
O acesso do usuário deverá ser imediatamente cancelado nas seguintes
hipóteses:
− Quando o usuário se desligar da empresa;
− Quando o usuário mudar de função dentro da empresa; e
− Quando, por qualquer razão, cessar a necessidade de acesso do usuário
ao sistema de informação.
001/2012-DP .49.
Para os cancelamentos de acesso acima previstos, a área de Gestão de
Segurança da Informação deverá ser prontamente informada acerca dos
desligamentos e das mudanças de função dos funcionários, estagiários e
demais colaboradores da BM&FBOVESPA, observando-se o seguinte:
− A Diretoria de Recursos Humanos será responsável por informar todos
os desligamentos de funcionários e todas as modificações internas do
quadro funcional.
− O PMO (Project Management Office) será responsável por informar
todos os desligamentos de prestadores de serviços (terceiros)
contratados pelas áreas de TI.
− As gerências de TI serão responsáveis por informar as alterações de
função e as movimentações internas dos funcionários, estagiários e
demais colaboradores sob sua responsabilidade.
3.2 SERVIDORES
3.2.1. UTILIZAÇÃO
Os servidores devem permanecer bloqueados por senha, exceto durante
manutenções e implementações. Os servidores devem estar configurados para
o bloqueio após período de inatividade de, no máximo, 10 minutos.
O acesso aos servidores deve ser realizado sempre por credenciais de acesso
identificadas e individuais. O acesso interativo através de credenciais de
serviço ou administrativas padrão do sistema operacional (root ou
administrator) não são permitidos.
Os acessos lógicos aos servidores de produção devem ser autorizados pelos
respectivos gerentes e avaliados pela Coordenadoria de Infraestrutura de
Segurança Tecnológica (DO-CIST). Essas autorizações somente serão
permitidas para usuários das seguintes áreas: Gerência de Produção e Co-
location (DO-GPC) e Gerência de Infraestrutura Técnica (DO-GIT).
O acesso interativo ao servidor só poderá ser realizado por meio dos seguintes
métodos:
− Acesso local (console); ou
− Emulação de terminal através de conexão criptografada, autenticada e
rastreável.
Não é permitida a instalação de servidores em redes de escritório, destinados
às estações de trabalho.
3.2.2. ARMAZENAMENTO E DISPONIBILIZAÇÃO DE DADOS É proibido armazenar informações classificadas como confidenciais restritas
ou confidenciais da BM&FBOVESPA nos discos rígidos em diretórios que
não tenham acesso devidamente controlado.
001/2012-DP .50.
É proibida a utilização de compartilhamento de arquivos (shares) em
servidores, exceto para:
− Servidores exclusivamente dedicados ao armazenamento e
compartilhamento de arquivos, tanto para utilização dos usuários como
para comunicação entre sistemas; e
− Temporariamente, durante diagnóstico de problema em sistemas ou
infraestrutura de TI, devendo o acesso ser limitado às equipes de TI
envolvidas no processo de suporte.
3.2.3. INSTALAÇÃO DE SOFTWARE E CONTROLE DE LICENÇAS É responsabilidade da Gerência de Infraestrutura Técnica (DO-GIT),
subordinada à Diretoria de Infraestrutura e Produção de TI: (i) o processo de
homologação de softwares; (ii) a manutenção do inventário de softwares
homologados e do controle de instalações; e (iii) o controle de licenças e de
versões de softwares.
A instalação de softwares ou sistemas e a implementação e alteração de
configurações nos servidores é de responsabilidade da Gerência de Produção e
Co-Location (DO-GPC), e deve sempre seguir as etapas do processo de
Gestão de Mudanças da BM&FBOVESPA.
São proibidos a instalação e o uso de softwares que não possuam licença e/ou
que não tenham sido homologados pela Gerência de Infraestrutura Técnica
(DO-GIT).
3.2.4. CONFIGURAÇÕES DE REDE
As configurações de rede (endereço IP, máscara de rede, default gateway) de
servidores são de responsabilidade da Gerência de Produção e Co-Location
(DO-GPC). Quaisquer mudanças nessas configurações devem sempre ser
informadas antecipadamente à Coordenadoria de Implementação e Suporte a
Rede (DO-CISR) e à Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST), para avaliação de impactos.
3.2.5. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável (DO-
GPC) ou fornecedores contratados para esse fim pela Diretoria de
Infraestrutura e Produção de TI podem fazer manutenção e instalar ou
substituir dispositivos de hardware nos servidores.
Equipamentos descartados, substituídos ou enviados para manutenção devem
passar por procedimento específico (wipe) para destruição dos dados
armazenados em discos internos.
001/2012-DP .51.
3.2.6. SOFTWARES DE SEGURANÇA Todo servidor deve possuir:
– Software antivírus atualizado, no caso de servidores com Microsoft
Windows;
– Políticas de Segurança implementadas para bloqueio do uso de
dispositivos de gravação de mídias removíveis;
– Correções de segurança (hotfix, service pack) fornecidas pelo fabricante
aplicadas.
É responsabilidade da Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST) controlar a aplicação da regra prevista no item
anterior.
3.2.7. DISPOSITIVOS DE CONEXÃO
Os servidores não devem possuir placas ou dispositivos fax-modem (telefonia
fixa ou móvel), dispositivos de conexão sem fio (wireless, bluetooth) ou outro
que possibilite estabelecer conexão remota.
3.3 ÁREAS DE ARMAZENAMENTO DE DADOS EM REDE (SAN)
3.3.1. UTILIZAÇÃO
O acesso às áreas de armazenamento de dados (storages) em rede deve ser
realizado sempre por credenciais de acesso identificadas e individuais. O
acesso interativo através de credenciais de serviço ou administrativas padrão
(administrator) não é permitido.
Os acessos lógicos às áreas de armazenamento de dados (storages) devem ser
autorizados pelos respectivos gerentes e avaliados pela Coordenadoria de
Infraestrutura de Segurança Tecnológica (DO-CIST). Essas autorizações
somente serão permitidas para funcionários e colaboradores das seguintes
áreas: Gerência de Produção e Co-location (DO-GPC) e Gerência de
Infraestrutura Técnica (DO-GIT).
O acesso interativo à área de armazenamento de dados (storage) só poderá ser
realizado por meio dos seguintes métodos:
− Acesso local (console); ou
− Emulação de terminal através de conexão criptografada, autenticada e
rastreável.
3.3.2. ARMAZENAMENTO E DISPONIBILIZAÇÃO DE DADOS É proibido armazenar informações classificadas como confidenciais restritas
ou confidenciais da BM&FBOVESPA em áreas de armazenamento que não
tenham acesso devidamente controlado.
001/2012-DP .52.
3.3.3. CONFIGURAÇÕES DE REDE As configurações de rede (endereço IP, máscara de rede, default gateway) são
de responsabilidade da Gerência de Produção e Co-Location (DO-GPC) e da
Gerência de Infraestrutura Técnica (DO-GIT). Quaisquer mudanças nessas
configurações devem sempre ser informadas antecipadamente à
Coordenadoria de Implementação e Suporte a Rede (DO-CISR) e à
Coordenadoria de Infraestrutura de Segurança Tecnológica (DO-CIST), para
avaliação de impactos.
3.3.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável (DO-
GPC) ou fornecedores contratados para esse fim pela Diretoria de
Infraestrutura e Produção de TI podem fazer manutenção e instalar ou
substituir dispositivos de hardware nos storages.
Discos descartados, substituídos ou enviados para manutenção devem passar
por procedimento específico (wipe) para destruição dos dados armazenados.
3.3.5. DISPOSITIVOS DE CONEXÃO
Os equipamentos de storage não devem possuir placas ou dispositivos fax-
modem (telefonia fixa ou móvel), dispositivos de conexão sem fio (wireless,
bluetooth) ou outro que possibilite estabelecer conexão remota.
3.4 ELEMENTOS DE REDE
3.4.1. USO GERAL Os elementos de rede devem permanecer protegidos por senha, exceto durante
manutenções e implementações. Os elementos devem estar configurados para
término de sessão após período de inatividade de, no máximo, 10 minutos.
O acesso aos elementos de rede deve ser realizado sempre por credenciais de
acesso identificadas e individuais. O acesso interativo através de credenciais
administrativas (enable, admin) não são permitidos.
Os acessos aos elementos de rede devem ser autorizados pelos respectivos
gerentes e avaliados pela Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST). Essas autorizações somente serão permitidas para
usuários das seguintes áreas: Gerência de Produção e Co-location (DO-GPC) e
Coordenadoria de Implementação e Suporte a Rede (DO-CISR).
O acesso interativo ao elemento de rede só poderá ser realizado por meio dos
seguintes métodos:
− Acesso local (console); e
− Emulação de terminal ou cliente específico de configuração do
elemento, através de conexão criptografada, autenticada e rastreável.
001/2012-DP .53.
3.4.2. CONTROLE DE ACESSO É proibido criar contas locais no dispositivo, com exceção daquelas
necessárias para processo de contingência.
É responsabilidade da Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST) a definição do método de autenticação e
autorização de acesso aos elementos de rede, cabendo à Coordenadoria de
Implementação e Suporte a Rede (DO-CISR) a aplicação desse controle.
3.4.3. CONFIGURAÇÕES DE ELEMENTOS DE REDE
As configurações de elementos de rede (endereço IP, máscara de rede,
default gateway, rotas, configurações de monitoramento etc.) são de
responsabilidade da Coordenadoria de Implementação e Suporte a Rede
(DO-CISR), exceto configurações de segurança (regras de acesso, gestão de
usuários e parâmetros de segurança), que estão sob responsabilidade da
Coordenadoria de Infraestrutura de Segurança Tecnológica (DO-CIST).
Todo elemento de rede deve possuir:
– Políticas de segurança implementadas; e
– Correções de segurança (hotfix, service pack) fornecidas pelo fabricante
aplicadas.
3.4.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável
(DO-CISR) ou fornecedores contratados para esse fim pela Diretoria de
Infraestrutura e Produção de TI podem fazer manutenção e instalar ou
substituir dispositivos de hardware nos elementos de rede.
3.4.5. MONITORAÇÃO DA REDE
Somente os funcionários e colaboradores das áreas técnicas responsáveis
por redes (Coordenadoria de Implementação e Suporte a Rede – DO-CISR,
Coordenadoria de Projetos de Rede – DO-CPRE e Coordenadoria de
Projetos de Monitoração e Gestão – DO-CPMG) e monitoração de
segurança (Coordenadoria de Infraestrutura de Segurança Tecnológica –
DO-CIST) podem realizar atividades de monitoração e de análise de tráfego
de rede utilizando, para tal fim, equipamentos e sistemas especializados
para redes (analisadores de pacotes) e para segurança tecnológica (sensores
de detecção de invasão e afins).
001/2012-DP .54.
3.5. SEGREGAÇÃO DE AMBIENTES Os ambientes de TI devem ser adequadamente segregados, de modo a
limitar a exposição e a visibilidade dos diversos segmentos, servidores e
elementos de rede entre si, garantindo, deste modo, o acesso mínimo
necessário para o correto funcionamento do ambiente.
A definição dos critérios de Segurança da Informação para segregação dos
ambientes, bem como dos mecanismos de controle e monitoração destes, é
responsabilidade da Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST).
4. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 27/12/2010 Versão inicial
001/2012-DP .55.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE SEGURANÇA PARA SISTEMAS DE INFORMAÇÃO
1. OBJETIVO Esta Norma estabelece as regras para o desenvolvimento, aquisição e
operação de sistemas de informação na BM&FBOVESPA.
2. DEFINIÇÕES
Controles de Segurança da Informação Mecanismos utilizados para reduzir a probabilidade de danos aos sistemas
de informação, ou ainda minimizar a extensão dos danos caso algum
incidente ocorra.
Vulnerabilidades
Uma vulnerabilidade é uma falha de software, hardware ou procedimento,
que pode prover a um usuário mal-intencionado, a porta aberta que ele
busca para invadir computador, rede ou ambiente e ter acesso não
autorizado a informações.
3. REGRAS
3.1. DESENVOLVIMENTO DE SISTEMAS DE INFORMAÇÃO O desenvolvimento de novos sistemas de informação, bem como eventuais
alterações nos sistemas de informação já em produção na BM&FBOVESPA
devem ser avaliados, sob a ótica da Segurança da Informação, pela
Coordenadoria de Segurança para Sistemas de Informação (DO-CSSI).
O Processo de Desenvolvimento BM&FBOVESPA (PDBB) deve prever
análises de segurança da informação no desenvolvimento de um sistema de
informação ou na alteração de um sistema já existente, com o propósito de
(i) identificar necessidades de segurança da informação e (ii) definir
requisitos e controles necessários para garantir a integridade,
disponibilidade e confidencialidade dos sistemas de informação e dos dados
por eles processados.
É responsabilidade da Coordenadoria de Segurança para Sistemas de
Informação (DO-CSSI) a definição das avaliações de segurança que devem
ser executadas durante o Processo de Desenvolvimento BM&FBOVESPA.
001/2012-DP .56.
É vedado o desenvolvimento de sistemas de informação por áreas
administrativas ou de negócio da BM&FBOVESPA. Toda necessidade das
áreas administrativas ou de negócio referentes a sistemas de informação
deve ser endereçada às áreas competentes da Diretoria de Tecnologia da
Informação.
3.2. AQUISIÇÃO DE PACOTE DE SOFTWARE DE TERCEIROS Toda aquisição de pacotes de software de terceiros para utilização no
ambiente computacional da BM&FBOVESPA deve ser avaliada, sob a ótica
da Segurança da Informação, pela Coordenadoria de Segurança para Sistemas
de Informação (DO-CSSI).
O processo de aquisição de pacotes de software de terceiros para utilização
na BM&FBOVESPA deve prever análises de segurança da informação,
com o propósito de (i) identificar necessidades de segurança da informação
e (ii) definir requisitos e controles necessários para garantir integridade,
disponibilidade e confidencialidade dos sistemas de informação e dos dados
por eles processados.
É vedada a aquisição de pacotes de software de terceiros por áreas
administrativas ou de negócio da BM&FBOVESPA. Toda necessidade das
áreas administrativas ou de negócio referentes a pacotes de software deve
ser endereçada às áreas competentes da Diretoria de Tecnologia da
Informação.
É responsabilidade da Coordenadoria de Segurança para Sistemas de
Informação (DO-CSSI) a definição das avaliações de segurança que devem
ser executadas durante o processo de aquisição de pacotes de software.
3.3. OPERAÇÃO DE SISTEMAS DE INFORMAÇÃO
Todo sistema de informação ou pacote de software de terceiros em produção
no ambiente computacional da BM&FBOVESPA deve seguir a Política e as
Normas de Segurança da Informação da BM&FBOVESPA.
Os sistemas de informação ou pacotes de software de terceiros para
utilização na BM&FBOVESPA devem passar por avaliação técnica de
segurança periódica, com o propósito de aferir o nível de efetividade dos
controles de segurança dos sistemas de informação ou pacotes de softwares
de terceiros em que circulam as informações da BM&FBOVESPA.
É responsabilidade da Coordenadoria de Segurança para Sistemas de
Informação (DO-CSSI) indicar quais controles de segurança devem ser
implementados para sanar ou mitigar os riscos decorrentes de uma
vulnerabilidade identificada durante a avaliação técnica de segurança.
001/2012-DP .57.
3.4. DOCUMENTAÇÃO Todo sistema de informação ou pacote de software de terceiros em produção no
ambiente computacional da BM&FBOVESPA deve ter arquitetura, configuração
e processo de operação adequadamente documentados.
É responsabilidade de cada Gerência das Diretorias de TI (Desenvolvimento
de Sistemas e Sistemas Externos) a manutenção adequada da documentação
dos sistemas de informação ou pacotes de software de terceiros sob sua
responsabilidade, incluindo o controle de versionamento, a correta
classificação das informações e a proteção contra acessos ou alterações
indevidas.
Os códigos-fontes dos sistemas de informação de propriedade da
BM&FBOVESPA devem ser adequadamente mantidos, incluindo o
controle de versionamento, a correta classificação das informações e a
proteção contra acessos ou alterações indevidas.
3.5. SEGREGAÇÃO DE AMBIENTES
Devem ser mantidos ambientes segregados para desenvolvimento, testes,
certificação e produção de sistemas de informação ou pacotes de softwares
de terceiros, de modo a limitar a exposição e a visibilidade dos diversos
segmentos entre si, garantindo, deste modo, o acesso mínimo necessário para
o correto funcionamento do ambiente.
A definição dos critérios de Segurança da Informação para segregação dos
ambientes, bem como dos mecanismos de controle e monitoração destes, é
responsabilidade da Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST).
4. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação
Norma sobre Gestão de Acessos a Bancos de Dados
Norma sobre Gestão de Usuários e Acessos a Sistemas de Informação
Norma sobre Classificação da Informação
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 27/12/2010 Versão inicial
001/2012-DP .58.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE AVALIAÇÃO TÉCNICA DE SEGURANÇA
1. OBJETIVO Esta Norma estabelece os critérios relativos ao processo de Avaliação Técnica de
Segurança da Informação no ambiente da BM&FBOVESPA. Tais avaliações
visam aferir o nível de efetividade dos controles de segurança dos sistemas e da
infraestrutura tecnológica em que circulam as informações da
BM&FBOVESPA.
2. DEFINIÇÕES
Análise de Vulnerabilidades É a análise dos serviços fornecidos por uma infraestrutura tecnológica e/ou
por um sistema, a fim de evidenciar pontos fracos de caráter técnico do alvo
da análise, bem como a efetividade dos controles de segurança adotados.
Teste de Invasão É a pesquisa e a exploração da uma ou mais vulnerabilidades de segurança
para obter o controle de um sistema e/ou infraestrutura tecnológica. A
atividade se baseia nas informações obtidas por meio de uma Análise de
Vulnerabilidades e se completa com verificações manuais e outras técnicas
específicas.
3. REGRAS
3.1. ESCOPO DAS AVALIAÇÕES O escopo de cada avaliação será determinado entre a área de Gestão de
Segurança da Informação e os gestores responsáveis pela infraestrutura e/ou
sistema de informação nas Diretorias de TI.
Deverá ser realizado, anualmente, por meio de contratação de consultoria
especializada, teste de invasão da infraestrutura de tecnologia da
BM&FBOVESPA. Os resultados dos testes deverão ser apresentados ao
CGSI.
001/2012-DP .59.
3.2. DESCRIÇÃO DO PROCESSO
3.2.1. ANÁLISE DE VULNERABILIDADES
A finalidade da Análise de Vulnerabilidade é enumerar e classificar
tecnicamente as vulnerabilidade associadas aos ativos tecnológicos
utilizados em um sistema e/ou infraestrutura.
Os passos abaixo deverão ser seguidos:
– coleta de informação;
– enumeração das vulnerabilidades;
– análise das vulnerabilidades;
– resultado da análise e elaboração relatório.
3.3.1. TESTE DE INVASÃO EXTERNO A finalidade do Teste de Invasão Externo é verificar a situação do ambiente
que se encontra exposto para a Internet.
Os passos abaixo deverão ser seguidos:
– análise das vulnerabilidades (conforme item 3.2.1);
– exploração das vulnerabilidades; e
– resultado do teste e elaboração relatório.
3.3.2. TESTE DE INVASÃO INTERNO A finalidade do Teste de Invasão Interno é verificar as possíveis
vulnerabilidades da infraestrutura e/ou sistema, atuando na exploração
destas falhas sob a ótica de usuários mal intencionados com acesso a rede
interna.
Os passos abaixo deverão ser seguidos:
– análise das vulnerabilidades (conforme item 3.2.1);
– exploração das vulnerabilidades; e
– resultado do teste e elaboração relatório.
4. DOCUMENTOS DE REFERÊNCIA
Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 27/12/2010 Versão inicial
001/2012-DP .60.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE GESTÃO DE PERFIS DE ACESSOS A SISTEMAS DE
INFORMAÇÃO
1. OBJETIVO Esta Norma apresenta os requisitos de segurança da informação para a gestão
de perfis de acesso a sistemas de informação da BM&FBOVESPA.
2. DEFINIÇÕES
Usuário Funcionário, estagiário ou prestador de serviços que utiliza os recursos
computacionais e/ou sistemas de informação da BM&FBOVESPA.
Perfil de acesso Conjunto de funcionalidades e/ou privilégios necessários para um
determinado fim, de acordo com o modelo de negócios ou necessidade
profissional.
SRM (Service Request Manager)
Ferramenta de fluxo de trabalho (workflow).
Sistemas de Informação Sistemas utilizados pelas as áreas de negócio para suportar os processos da
empresa.
3. REGRAS
3.1. DEFINIÇÃO Nos sistemas com modelo de autorização de acesso baseados em perfis, as
funcionalidades e/ou privilégios devem ser concedidos sempre através dos
perfis de acesso, nunca diretamente ao usuário.
Um perfil de acesso deve ser criado de acordo com as diferentes
necessidades de negócio da empresa, observando também os diferentes
cargos, funções, responsabilidades e qualificações.
3.2. ESPECIFICAÇÃO DE PERFIL
Um perfil de acesso deve conter o conjunto das funcionalidades e
permissões nele atribuídas.
A todo perfil de acesso deve ser atribuído um proprietário, que tem como
responsabilidades:
definir as funcionalidades e/ou privilégios do perfil;
analisar e aprovar solicitações de atribuições de usuários ao perfil.
001/2012-DP .61.
O Proprietário do Perfil de acesso deve ser formalmente aprovado pelo(s)
Proprietário(s) da(s) Informação(ões) acessadas e/ou manipuladas através
do Sistema de Informação para o qual o perfil é atribuído.
Os perfis devem ser segregados em comuns e privilegiados, de acordo com
as atribuições e funcionalidades atribuídas ao perfil.
3.3. TIPOS DE PERFIL DE ACESSO
Comum Perfil com permissões básicas de acesso ao sistema, não sendo possível
alterar parâmetros do sistema ou conceder acesso;
Privilegiado Perfil com permissões atribuídas que possibilitam a alteração de parâmetros
do sistema e realização de transações definidas como críticas pelo
proprietário da informação;
Administrativo
Perfil com permissão de administração de usuários, como concessão,
alteração e exclusão de acesso etc.
3.4. CRIAÇÃO E/OU ALTERAÇÃO DE PERFIL DE ACESSO A criação e/ou alteração de um novo perfil deverá seguir o fluxo abaixo:
O usuário que necessita de acesso a uma determinada funcionalidade de
um sistema de informação, a qual não está atribuída a um perfil definido
ou compatível, deve solicitar a criação do perfil de acesso a
Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA);
A Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA)
verifica se não haverá conflitos com a matriz de segregação de função
previamente definida pelo Proprietário da Informação e de posse dessas
informações, solicita a aprovação do Proprietário do Perfil para a
inclusão da funcionalidade em um perfil já existente ou se é necessário
criar um novo perfil;
O Proprietário do Perfil avalia o pedido e, conforme o caso, autoriza a
Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA) a alterar
um perfil existente ou a criar um novo.
Após a autorização do Proprietário do Perfil, a Coordenadoria de Gestão
de Identidades e Acessos (DO-CGIA) faz a alteração e/ou a criação de
um novo perfil e notifica o usuário. Quando a funcionalidade desejada
for atribuída a um novo perfil ou a um perfil não atribuído ao usuário, o
mesmo deve solicitar o acesso conforme processo definido na Norma
sobre Gestão de Usuários e Acessos a Sistemas de Informação.
O processo de solicitação deve ser documentado, aprovado e registrado
através do Service Request Manager (SRM).
001/2012-DP .62.
3.5. CANCELAMENTO DE PERFIL DE ACESSO O cancelamento de um perfil de acesso deverá seguir o fluxo abaixo:
O proprietário do perfil deverá solicitar o cancelamento de um perfil ou
retirada de funcionalidades de um perfil já existente à Coordenadoria de
Gestão de Identidades e Acessos (DO-CGIA);
A Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA)
executa a exclusão do perfil ou das funcionalidades de um perfil já
existente e informa o proprietário do perfil
O processo de cancelamento deve ser documentado, aprovado e registrado
através do Service Request Manager (SRM).
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
Norma sobre Gestão de usuários e Acessos a Sistemas de Informação
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO 1 27/12/2010 Versão inicial
001/2012-DP .63.
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA
– NORMA SOBRE GESTÃO DE ACESSO REMOTO
AO AMBIENTE DE TI
1. OBJETIVO Esta Norma apresenta as regras para utilização segura do acesso remoto ao
ambiente de Tecnologia da Informação da BM&FBOVESPA.
2. DEFINIÇÕES
Credencial de Acesso (Login) É um conjunto de caracteres alfanuméricos que identifica a pessoa que tem
acesso a um recurso computacional.
Usuário Funcionário, estagiário ou prestador de serviços que utiliza os recursos
computacionais e/ou sistemas de informação da BM&FBOVESPA.
3. REGRAS
3.1 REGRAS GERAIS É responsabilidade da Coordenadoria de Infraestrutura de Segurança
Tecnológica (DO-CIST) a definição do método de acesso, bem como dos
modelos de autenticação e autorização de acesso remoto ao ambiente de TI
da BM&FBOVESPA.
Apenas coordenadores, especialistas, gerentes e diretores da
BM&FBOVESPA são elegíveis ao acesso remoto, com exceção de:
Funcionários que utilizem computadores portáteis (notebooks) da
BM&FBOVESPA no exercício da função, fora das dependências da
Bolsa (ex.: auditoria de participantes);
Funcionários e demais colaboradores que prestem suporte tecnológico
remoto a ambiente, sistemas ou processos críticos para a Bolsa; e
Funcionários em viagens, condicionado a existência de data de
expiração do acesso não superior a 30 dias.
3.2. RASTREABILIDADE INDIVIDUAL Os usuários devem ser identificados individualmente por meio de uma
credencial de acesso (login) e senha. Cada usuário é individualmente
responsável por toda e qualquer atividade realizada sob a sua credencial de
acesso.
Credenciais de acesso compartilhadas ou genéricas não são permitidas.
Cada credencial de acesso deve ser atribuída a um indivíduo.
001/2012-DP .64.
3.3. AUTORIZAÇÃO DE ACESSO REMOTO O acesso remoto ao ambiente de TI da BM&FBOVESPA será liberado de
acordo com o seguinte fluxo de solicitação/autorização:
Usuário solicita a liberação de acesso ao seu diretor (quando se tratar de
diretor, a solicitação é feita diretamente pelo próprio), formalizando o
motivo da requisição;
Diretor avalia o pedido verificando se o acesso é necessário para o
exercício das funções do usuário e, conforme o caso, autoriza o acesso;
Usuário encaminha a solicitação à área de Gestão de Segurança da
Informação;
A área de Gestão de Segurança da Informação avalia o pedido e,
conforme o caso e os critérios de elegibilidade dispostos nesta Norma,
libera o acesso e informa ao usuário.
Para a operacionalização do fluxo acima descrito, a área de Gestão de
Segurança da Informação deve utilizar, como apoio, os serviços do Service
Desk, além de aplicativos de gerenciamento de fluxo de trabalho
(workflow).
O processo de solicitação/autorização deverá ser documentado e registrado
por meio de aplicativo de gerenciamento de fluxo de trabalho (workflow)
ou outros meios, a critério da área de Gestão de Segurança da Informação.
O perfil de acesso remoto deve ser concedido ao usuário de forma a
permitir somente o acesso mínimo necessário para a execução de suas
funções.
4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.
5. HISTÓRICO DAS REVISÕES
REV. DATA DESCRIÇÃO
1 27/12/2010 Versão inicial
2 01/03/2011 Inclusão de critérios de elegibilidade