Política de Segurança da Informação

Aprovação e entrada em vigor

A presente Política de Segurança da Informação produz efeitos a partir da data da assinatura até ser substituída por uma nova Política.

Missão da organização

A missão da DyCare é melhorar a vida das pessoas através da utilização de novas tecnologias com base científica. O seu objetivo é tornar-se líder mundial em reabilitação digital.

Para o alcançar, a DyCare concentra-se no desenvolvimento de soluções digitais inovadoras, como a sua plataforma ReHub, que permite criar exercícios personalizados, acompanhar os pacientes e gerar relatórios terapêuticos abrangentes de forma simples. Estas soluções foram concebidas para facilitar e melhorar o processo de reabilitação dos pacientes com patologias musculoesqueléticas, combinando novas tecnologias com a ciência médica para responder às necessidades individuais dos pacientes e melhorar a sua qualidade de vida.

Os valores essenciais que orientam a DyCare na sua missão incluem a evidência científica, o impacto social positivo, a inovação contínua e a paixão por melhorar os cuidados de saúde.

Em síntese, a DyCare está empenhada em transformar a reabilitação digital através do desenvolvimento de soluções tecnológicas baseadas na evidência científica, com o objetivo de melhorar a qualidade de vida das pessoas e tornar-se uma referência global no domínio da reabilitação digital.

Âmbito

Esta política aplica-se a todos os sistemas TIC da entidade e a todos os membros da organização envolvidos em Serviços e Projetos destinados ao setor público que exijam a aplicação do ENS (Enquadramento Nacional de Segurança), sem exceção.

Objetivos

Face ao exposto, a Direção estabelece os seguintes objetivos de segurança da informação:

Fornecer um quadro para aumentar a capacidade de resistência ou resiliência, a fim de assegurar uma resposta eficaz.
Garantir a recuperação rápida e eficiente dos serviços perante qualquer desastre físico ou contingência que possa ocorrer e que possa comprometer a continuidade das operações.
Prevenir incidentes de segurança da informação, na medida em que tal seja tecnicamente e economicamente viável, e mitigar os riscos de segurança da informação gerados pelas nossas atividades.
Garantir a confidencialidade, a integridade, a disponibilidade, a autenticidade e a rastreabilidade da informação.

Quadro regulamentar

Um dos objetivos deve ser o cumprimento dos requisitos legais aplicáveis e de quaisquer outros requisitos a que aderimos, bem como dos compromissos assumidos perante os clientes, juntamente com a sua atualização contínua. Para o efeito, o quadro legal e regulamentar no âmbito do qual desenvolvemos a nossa atividade é o seguinte:

Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (Lei Orgânica espanhola 3/2018, de 5 de dezembro, sobre a Proteção de Dados Pessoais e a Garantia dos Direitos Digitais).
Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual (Decreto Legislativo espanhol 1/1996, de 12 de abril, que aprova o texto consolidado da Lei da Propriedade Intelectual).
Ley 2/2019, de 1 de marzo (Lei espanhola 2/2019, de 1 de março), que altera o texto consolidado da Lei da Propriedade Intelectual aprovado pelo Decreto Legislativo 1/1996, de 12 de abril, e transpõe para o direito espanhol a Diretiva 2014/26/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, e a Diretiva (UE) 2017/1564 do Parlamento Europeu e do Conselho, de 13 de setembro de 2017.
Real Decreto 311/2022, de 3 de mayo (Decreto-Lei espanhol 311/2022, de 3 de maio), que regula o Enquadramento Nacional de Segurança (Esquema Nacional de Seguridad).
Ley 34/2002, de 11 de julio (Lei espanhola 34/2002, de 11 de julho), sobre os Serviços da Sociedade da Informação e o Comércio Eletrónico (LSSI).
Ley 39/2015, de 1 de octubre (Lei espanhola 39/2015, de 1 de outubro), sobre o Procedimento Administrativo Comum das Administrações Públicas.
Ley 40/2015, de 1 de octubre (Lei espanhola 40/2015, de 1 de outubro), sobre o Regime Jurídico do Setor Público.

Desenvolvimento

Para alcançar estes objetivos, é necessário:

Melhorar continuamente o nosso sistema de segurança da informação.
Identificar potenciais ameaças, bem como o impacto nas operações do negócio que essas ameaças, caso se concretizem, possam causar.
Preservar os interesses das principais partes interessadas (clientes, acionistas, colaboradores e fornecedores), a reputação, a marca e as atividades de criação de valor.
Trabalhar em conjunto com os nossos fornecedores e subcontratados a fim de melhorar a prestação de serviços de TI, a continuidade dos serviços e a segurança da informação, contribuindo para uma maior eficiência da nossa atividade.
Avaliar e assegurar a competência técnica do pessoal, bem como garantir a sua adequada motivação para participar na melhoria contínua dos nossos processos, proporcionando a formação e a comunicação interna necessárias para que desenvolva as boas práticas definidas no sistema.
Garantir o adequado estado das instalações e equipamentos apropriados, de modo a corresponderem à atividade, aos objetivos e às metas da empresa.
Assegurar uma análise contínua de todos os processos relevantes, estabelecendo as melhorias adequadas em cada caso, com base nos resultados obtidos e nos objetivos definidos.
Estruturar o nosso sistema de gestão de forma que seja fácil de compreender.

A gestão do nosso sistema está confiada ao Responsável dos Sistemas de TI, e o sistema estará disponível no nosso sistema de informação num repositório, ao qual se pode aceder de acordo com os perfis de acesso concedidos ao abrigo do nosso atual procedimento de gestão de acessos.

A documentação relativa à segurança do sistema está organizada em pastas dentro do Google Drive da empresa, divididas em subpastas denominadas de acordo com os pontos da norma e dos quadros operacionais, contendo os vários procedimentos, registos e evidências, com acesso restrito ao pessoal da empresa; o pessoal externo não autorizado não pode aceder a ela.

A documentação de segurança está estruturada da seguinte forma:

Regulamentos de segurança: documentos que descrevem a utilização de equipamentos, serviços e instalações. Descrevem o que se considera uma utilização indevida, a responsabilidade do pessoal quanto ao cumprimento ou violação dos regulamentos, os direitos, os deveres e as medidas disciplinares em conformidade com a legislação aplicável.
Documentos específicos: documentação de segurança elaborada em conformidade com os guias CCN-STIC aplicáveis.
Procedimentos de segurança: documentos que detalham o modo de funcionamento dos elementos do sistema.

A presente política é complementada pelas restantes políticas, procedimentos e documentos em vigor para o desenvolvimento do nosso sistema de gestão.

Organização da segurança

A responsabilidade essencial recai sobre a Direção Geral da organização, uma vez que esta é responsável por organizar funções e responsabilidades e por disponibilizar recursos adequados para alcançar os objetivos do ENS. Os gestores são também responsáveis por dar o exemplo, cumprindo as normas de segurança estabelecidas.

Estes princípios são adotados pela Direção, que disponibiliza os meios necessários e dota os seus colaboradores de recursos suficientes para o cumprimento das normas, tornando-os públicos através da presente Política de Sistemas de Gestão Integrados.

Esta definição de funções e responsabilidades é complementada nos perfis de funções e nos documentos do sistema Registo de Responsáveis, Funções e Responsabilidades.

Resolução de conflitos

Quaisquer divergências de critérios que possam dar origem a um conflito serão tratadas no âmbito do Comité de Segurança, prevalecendo em todos os casos o critério da Direção Geral.

Comité de Segurança

O procedimento para a sua nomeação e renovação será a ratificação pelo Comité de Segurança.

O comité responsável pela gestão e coordenação da segurança é o órgão com maior responsabilidade dentro do sistema de gestão da segurança da informação, de tal forma que todas as decisões mais importantes relacionadas com a segurança são acordadas por este comité.

Os membros do comité de segurança da informação são:

Responsável pela Segurança: Silvia Raga
Responsável pelo Sistema: Xavier Robert
Responsável pelo Serviço: Ricardo Jauregui
Responsável pela Informação: Ricardo Jauregui

Estes membros são nomeados pelo comité, único órgão que pode nomeá-los, renová-los e destituí-los.

O Comité de Segurança é um órgão autónomo e executivo, com autonomia para a tomada de decisões, não estando obrigado a subordinar a sua atividade a nenhum outro elemento da nossa empresa.

A organização da Segurança da Informação é desenvolvida no documento complementar à presente Política, a Política de Organização da Segurança.

A presente política é complementada pelas restantes políticas, procedimentos e documentos em vigor para o desenvolvimento do nosso sistema de gestão.

Gestão de riscos

Todos os sistemas sujeitos à presente Política devem ser submetidos a uma análise de risco, avaliando as ameaças e os riscos a que estão expostos. Esta análise é revista periodicamente:

Pelo menos uma vez por ano;
Quando a informação tratada se altera;
Quando os serviços prestados se alteram;
Quando ocorre um incidente de segurança grave;
Quando são comunicadas vulnerabilidades graves.

Para harmonizar as análises de risco, o Comité de Segurança TIC estabelecerá uma avaliação de referência para os diferentes tipos de informação tratada e os diferentes serviços prestados. O Comité de Segurança TIC promoverá a disponibilidade de recursos para satisfazer as necessidades de segurança dos diferentes sistemas, fomentando investimentos transversais.

A análise de risco terá em conta a metodologia de análise de risco desenvolvida no procedimento de Análise de Risco.

Gestão de pessoal

Todos os membros da DYCARE têm a obrigação de conhecer e cumprir a presente Política de Segurança da Informação e os Regulamentos de Segurança, cabendo ao Comité de Segurança TIC disponibilizar os meios necessários para que a informação chegue aos interessados.

Todos os membros da DYCARE participarão numa sessão de sensibilização para a segurança TIC pelo menos uma vez por ano. Será estabelecido um programa contínuo de sensibilização destinado a todos os membros da DYCARE, em particular aos novos colaboradores.

As pessoas com responsabilidades na utilização, funcionamento ou administração dos sistemas TIC receberão formação para a utilização segura dos sistemas, na medida em que dela necessitem para o desempenho das suas funções. A formação será obrigatória antes de assumir uma responsabilidade, quer se trate da primeira função quer de uma mudança de cargo ou de responsabilidades dentro do mesmo.

Profissionalismo e segurança dos recursos humanos

A presente Política aplica-se a todo o pessoal da DYCARE e ao pessoal externo que desempenhe funções dentro da empresa. Os Recursos Humanos incluirão as funções de segurança da informação nas descrições de funções, informarão todos os novos colaboradores das suas obrigações relativamente ao cumprimento da Política de Segurança da Informação, gerirão os Acordos de Confidencialidade com o pessoal e coordenarão as ações de formação dos utilizadores relativamente à presente Política.

O Responsável pela Gestão da Segurança (RGS) é responsável por monitorizar, documentar e analisar os incidentes de segurança comunicados, bem como por comunicar com o Comité de Segurança da Informação e com os proprietários da informação.

O Comité de Segurança da Informação será responsável por implementar os meios e canais necessários para que o Responsável pela Gestão da Segurança (RGS) possa tratar as comunicações de incidentes e anomalias do sistema. O Comité manter-se-á igualmente informado, supervisionará as investigações, acompanhará a evolução da informação e promoverá a resolução dos incidentes de segurança da informação.

O Responsável pela Gestão da Segurança (RGS) participará na elaboração do Acordo de Confidencialidade a assinar pelos colaboradores e por terceiros que desempenhem funções na DYCARE, no aconselhamento sobre as sanções a aplicar em caso de incumprimento da presente Política e no tratamento dos incidentes de segurança da informação.

Todo o pessoal da DYCARE é responsável por comunicar atempadamente as fragilidades e os incidentes de segurança da informação detetados.

Profissionalismo dos recursos humanos:

Determinar a competência exigida ao pessoal para realizar trabalhos que afetem a Segurança da Informação.
Assegurar que as pessoas são competentes com base em formação académica, formação profissional ou experiência adequadas.
Demonstrar, através da informação documentada necessária, a competência do pessoal em matéria de Segurança da Informação.

Os objetivos do controlo da segurança do pessoal são:

Reduzir os riscos de erro humano, o início de irregularidades, a utilização indevida de instalações e recursos e o tratamento não autorizado de informação.
Explicar as responsabilidades de segurança na fase de recrutamento do pessoal e incluí-las nos acordos a assinar, verificando o seu cumprimento durante o exercício das funções do colaborador.
Assegurar que os utilizadores estão cientes das ameaças e preocupações relativas à segurança da informação e que estão formados para apoiar a Política de Segurança da Informação da organização no exercício das suas funções habituais.
Estabelecer compromissos de confidencialidade com todo o pessoal e utilizadores fora das instalações de tratamento de informação.
Estabelecer as ferramentas e os mecanismos necessários para promover a comunicação de fragilidades de segurança existentes, bem como de incidentes, a fim de minimizar os seus efeitos e evitar a sua repetição.

Autorização e controlo de acesso aos sistemas de informação

O objetivo do controlo de acesso aos sistemas de informação é:

Impedir o acesso não autorizado aos sistemas de informação, bases de dados e serviços de informação.
Implementar a segurança no acesso dos utilizadores através de técnicas de autenticação e autorização.
Controlar a segurança na ligação entre a rede da DYCARE e outras redes públicas ou privadas.
Rever os eventos críticos e as atividades realizadas pelos utilizadores nos sistemas.
Sensibilizar os utilizadores para a sua responsabilidade na utilização de palavras-passe e equipamentos.
Garantir a segurança da informação quando computadores portáteis e computadores pessoais são utilizados para trabalho remoto.

Proteção das instalações

Os objetivos desta política relativamente à proteção das instalações são:

Prevenir o acesso não autorizado, os danos e as interferências nas instalações, equipamentos e informação da DYCARE.
Proteger os equipamentos críticos de processamento de informação da DYCARE, colocando-os em áreas protegidas e resguardando-os com um perímetro de segurança definido, com medidas de segurança e controlos de acesso adequados. Isto inclui também a proteção desses equipamentos durante o transporte e enquanto permanecem fora das áreas protegidas para manutenção ou outros motivos.
Controlar os fatores ambientais que possam prejudicar o correto funcionamento dos equipamentos informáticos que alojam a informação da DYCARE.
Implementar medidas para proteger a informação tratada pelo pessoal nos escritórios, no âmbito normal das suas funções habituais.
Proporcionar uma proteção proporcional aos riscos identificados.

A presente Política aplica-se a todos os recursos físicos relacionados com os sistemas de informação da DYCARE: instalações, equipamentos, cablagem, arquivos, suportes de armazenamento, etc.

O Responsável pela Gestão da Segurança (RGS), em conjunto com os Proprietários da Informação, conforme aplicável, definirá as medidas de segurança física e ambiental para a proteção dos ativos críticos, com base numa análise de risco, e supervisionará a sua implementação. Verificará ainda o cumprimento das disposições de segurança física e ambiental.

Os responsáveis dos diversos departamentos definirão os níveis de acesso físico do pessoal da DYCARE às áreas restritas sob a sua responsabilidade. Os Proprietários da Informação autorizarão formalmente o trabalho fora das instalações que envolva a sua informação de negócio por parte dos colaboradores da DYCARE, quando o considerem adequado.

Todo o pessoal da DYCARE é responsável por cumprir a política de ecrã limpo e secretária limpa, para a proteção da informação relacionada com o trabalho diário nos escritórios.

Aquisição de produtos

Os diversos departamentos devem assegurar que a segurança TIC é parte integrante de todas as fases do ciclo de vida do sistema, desde a sua conceção até ao seu desmantelamento, incluindo as decisões de desenvolvimento ou aquisição e as atividades operacionais. Os requisitos de segurança e as necessidades de financiamento devem ser identificados e incluídos no planeamento, nos pedidos de proposta e nos cadernos de encargos dos concursos para projetos TIC.

Além disso, a segurança da informação será tida em conta na aquisição e manutenção de sistemas de informação, limitando e gerindo a mudança.

A política de desenvolvimento e aquisição de sistemas de informação está definida no documento: Política de Aquisição, Desenvolvimento e Manutenção de Sistemas.

Segurança por defeito

A DYCARE considera estratégico que os processos da entidade integrem a segurança da informação como parte do seu ciclo de vida. Os sistemas e serviços de informação devem incluir a segurança por defeito desde a sua criação até ao seu desmantelamento, incluindo a segurança nas decisões de desenvolvimento e/ou aquisição e em todas as atividades operacionais, estabelecendo a segurança como um processo integral e transversal.

Integridade e atualização do sistema

A DYCARE compromete-se a garantir a integridade do sistema através de um processo de gestão de alterações que permita controlar a atualização dos elementos físicos ou lógicos mediante autorização prévia antes da sua instalação no sistema. Esta avaliação será realizada principalmente pelo departamento de sistemas, que avaliará o impacto na segurança do sistema antes de efetuar alterações e documentará e controlará as alterações consideradas significativas ou com implicações para a segurança dos sistemas.

Através de revisões periódicas de segurança, será avaliado o estado de segurança dos sistemas relativamente às especificações dos fabricantes, às vulnerabilidades e às atualizações que os afetam, reagindo com diligência para gerir o risco face ao seu estado de segurança.

Proteção da informação armazenada e em trânsito

A DYCARE estabelece medidas de proteção da Segurança da Informação para a informação armazenada ou em trânsito em ambientes inseguros. Serão considerados ambientes inseguros os computadores portáteis, os assistentes digitais pessoais (PDA), os dispositivos periféricos, os suportes de armazenamento de informação e as comunicações em redes abertas ou com encriptação fraca.

Dados pessoais

Isto diz respeito aos dados pessoais, aos quais apenas as pessoas autorizadas terão acesso; abrange os ficheiros afetados e os respetivos responsáveis pelo tratamento. Todos os sistemas de informação serão ajustados aos níveis de segurança exigidos pela regulamentação, em função da natureza e da finalidade dos dados pessoais recolhidos, conforme estabelecido no já referido Documento de Segurança.

Terceiros

Ao prestar serviços a outras organizações ou ao tratar informação pertencente a outras organizações, estas serão informadas da presente Política de Segurança da Informação; serão estabelecidos canais para a comunicação e coordenação com os respetivos Comités de Segurança TIC, e serão estabelecidos procedimentos de atuação para responder a incidentes de segurança. Sempre que sejam utilizados serviços de terceiros ou seja transferida informação para terceiros, estes serão informados da presente Política de Segurança e dos Regulamentos de Segurança aplicáveis a esses serviços ou informação. Esse terceiro ficará sujeito às obrigações estabelecidas nesses regulamentos, podendo desenvolver os seus próprios procedimentos operacionais para o seu cumprimento. Serão estabelecidos procedimentos específicos para a comunicação e resolução de incidentes. Será assegurado que o pessoal de terceiros está devidamente sensibilizado em matéria de segurança, pelo menos ao mesmo nível estabelecido na presente Política. Sempre que algum aspeto da Política não possa ser cumprido por um terceiro nos termos exigidos nos parágrafos anteriores, será exigido um relatório do Responsável pela Segurança que especifique os riscos incorridos e a forma como serão tratados. Será necessária a aprovação desse relatório pelos responsáveis pela informação e pelos serviços afetados antes de se prosseguir.

Prevenção de sistemas de informação interligados

A DYCARE estabelece medidas de proteção da Segurança da Informação, em especial para proteger o perímetro, particularmente se ligado a redes públicas, sobretudo se utilizadas total ou principalmente para a prestação de serviços de comunicações eletrónicas disponíveis ao público.

Em todos os casos, serão analisados os riscos decorrentes da interligação do sistema, através de redes, com outros sistemas, e será controlado o respetivo ponto de ligação.

Registos de atividade

A DYCARE registará as atividades dos utilizadores, conservando a informação necessária para monitorizar, analisar, investigar e documentar atividades indevidas ou não autorizadas, permitindo identificar em todos os momentos a pessoa que realizou a ação.

Os principais objetivos da Gestão de Incidentes são:

Estabelecer um sistema para a deteção e reação a código malicioso.
Dispor de procedimentos para a gestão de incidentes de segurança e de fragilidades detetadas nos elementos do sistema de informação. Estes procedimentos abrangerão os mecanismos de deteção, os critérios de classificação, os procedimentos de análise e resolução, bem como os canais de comunicação às partes interessadas e o registo das ações realizadas. Este registo é utilizado para a melhoria contínua da segurança do sistema.
Assegurar que os serviços de TI regressam a um desempenho ótimo.
Reduzir os possíveis riscos e impactos que um incidente possa causar.
Salvaguardar a integridade dos sistemas em caso de incidente de segurança.
Comunicar o impacto de um incidente assim que este for detetado, a fim de dar o alerta, e implementar um plano de comunicação empresarial adequado.
Promover a eficiência empresarial.

Continuidade do negócio

A DYCARE, com o objetivo de garantir a continuidade do negócio, estabelece medidas para que os sistemas disponham de cópias de segurança e estabelece os mecanismos necessários para assegurar a continuidade das operações em caso de perda dos recursos de trabalho habituais.

Melhoria contínua do processo de segurança

A DYCARE estabelece um processo de melhoria contínua da segurança da informação, aplicando os critérios e a metodologia estabelecidos em normas internacionais como a ISO 27001.

Este documento está publicamente disponível e pode ser livremente partilhado. Não contém informação sensível ou confidencial.