Política de Segurança da Informação

1. Objetivo

A presente Política de Boas Práticas de Segurança da Informação da Openbanx estabelece diretrizes, responsabilidades e requisitos mínimos para garantir a proteção dos ativos de informação, assegurar a continuidade das operações, preservar a confidencialidade, integridade e disponibilidade dos dados e manter conformidade com normas regulatórias e legais, incluindo:

• ISO/IEC 27001:2022;
• ISO/IEC 27701:2025;
• Lei Geral de Proteção de Dados – LGPD;
• Resolução CMN nº 4.893/21;
• Resolução CMN nº 4.968/21 (Open Finance);
• normativos e padrões técnicos do Banco Central do Brasil;
• padrões FAPI, MTLS, OAuth2 e consentimento no Open Finance Brasil.

Esta Política orienta todos os colaboradores, parceiros e terceiros da organização quanto ao comportamento esperado e às práticas exigidas para manter um ambiente seguro e confiável.

2. Escopo

Esta Política aplica-se a:

• todos os colaboradores, estagiários, prestadores de serviços, terceiros e parceiros;
• todos os sistemas, APIs, ferramentas, dispositivos, redes e ambientes tecnológicos da Openbanx;
• todas as informações manipuladas, armazenadas, transmitidas e processadas pela empresa, incluindo dados pessoais, sensíveis, financeiros, operacionais e informações de clientes;
• todos os ambientes: desenvolvimento, homologação, QA, produção, governança e infraestrutura.

3. Definições

• Segurança da Informação: conjunto de práticas e controles destinados a proteger a confidencialidade, integridade e disponibilidade da informação.
• Dados Pessoais: qualquer informação relativa a pessoa natural identificada ou identificável (LGPD, art. 5º).
• MFA (Autenticação Multifator): processo que utiliza dois ou mais mecanismos de verificação distintos para autenticar um usuário.
• Privilégio Mínimo: concessão de apenas o conjunto essencial de permissões necessário para execução de determinada atividade.
• Zero Trust: modelo que assume que nenhuma identidade, dispositivo, rede ou aplicação é confiável sem verificação constante.
• PAM (Privileged Access Management): conjunto de práticas e tecnologias voltadas ao controle e à gravação de acessos privilegiados.
• SIEM/UEBA/SOAR: soluções de monitoramento, correlação, resposta automatizada e análise comportamental aplicadas à segurança.

4. Diretrizes gerais de boas práticas de segurança

4.1. Princípios fundamentais

Todos os usuários da Openbanx devem observar, obrigatoriamente:

• Confidencialidade, Integridade e Disponibilidade (CIA);
• Privilégio Mínimo e Necessidade de Saber;
• Segurança e Privacidade by Design;
• Minimização de Dados;
• Rastreabilidade e Auditoria Completa;
• Segregação de Funções;
• conformidade regulatória (LGPD + Bacen + Open Finance).

5. Diretrizes de uso e proteção da informação

5.1. Uso adequado dos sistemas

É proibido:

• compartilhar senhas, tokens ou chaves;
• transferir arquivos corporativos para dispositivos pessoais;
• utilizar canais não autorizados (e-mail pessoal, WhatsApp pessoal);
• instalar softwares não homologados;
• desabilitar controles de segurança.

Todos os acessos devem ser realizados mediante MFA.

5.2. Proteção de dispositivos e ambientes

Todos os dispositivos devem:

• ter senha ou biometria ativa;
• ser bloqueados ao afastar-se da estação de trabalho;
• manter sistema operacional e aplicações atualizados;
• utilizar antivírus e firewall habilitados;
• estar conectados unicamente à VPN corporativa quando acessarem sistemas internos.

5.3. Boas práticas para tratamento de dados

Todos os colaboradores devem:

• evitar coleta excessiva de dados pessoais;
• utilizar anonimização, cifragem ou pseudonimização sempre que possível;
• armazenar dados exclusivamente em repositórios autorizados;
• excluir dados após o término da finalidade;
• seguir rigorosamente o consentimento no Open Finance.

É proibido utilizar dados reais em ambientes de desenvolvimento, teste ou homologação.

6. Diretrizes para desenvolvedores e equipes técnicas (DevSecOps)

6.1. Ciclo de desenvolvimento seguro (SDLC)

O desenvolvimento deve observar:

• análise estática e dinâmica (SAST/DAST);
• verificação de dependências vulneráveis (SCA);
• revisão de código por pares;
• modelagem de ameaças;
• testes de segurança antes do deploy;
• deploy seguro em pipelines aprovados.

6.2. Segregação de ambientes

Os ambientes devem ser isolados:

• Desenvolvimento;
• Homologação;
• QA;
• Produção.

É proibido portar dados ou credenciais entre ambientes.

6.3. Proteção de segredos

É proibido armazenar:

• senhas em código;
• chaves em repositórios;
• credenciais em arquivos de texto.

Segredos devem ser armazenados exclusivamente em:

• Secret Manager;
• HSM/KMS corporativo;
• PAM, para credenciais privilegiadas.

7. Diretrizes de infraestrutura e operações

7.1. Criptografia

É obrigatório:

• TLS 1.3 ou mTLS para comunicação;
• AES-256 para dados em repouso;
• rotação periódica de chaves;
• armazenamento seguro de chaves.

7.2. Monitoramento e logs

Todos os ambientes devem possuir:

• SIEM com análise de eventos;
• UEBA para detecção comportamental;
• logs imutáveis (WORM);
• trilhas completas das ações;
• retenção mínima de 5 anos para dados regulatórios.

7.3. Resiliência e continuidade

A Openbanx deve manter:

• Planos de Continuidade (BCP);
• Planos de Recuperação de Desastres (DRP);
• backups criptografados e testados;
• failover automático;
• testes periódicos de contingência.

8. Diretrizes de privacidade e conformidade

8.1. Boas práticas de privacidade (LGPD + ISO 27701)

Todos devem:

• minimizar os dados pessoais tratados;
• respeitar os limites de finalidade;
• registrar o tratamento no PIMS;
• reportar incidentes imediatamente ao DPO;
• consultar o DPO antes de novos tratamentos.

8.2. Open Finance

É obrigatório:

• verificar escopo e vigência do consentimento;
• registrar cada acesso com o ID de consentimento;
• restringir consultas ao que está autorizado;
• manter trilhas completas para o Bacen;
• não utilizar dados do OFB fora do propósito autorizado.

9. Diretrizes para terceiros e fornecedores

Todos os terceiros devem:

• assinar NDA e cláusulas de confidencialidade;
• receber treinamento básico de segurança;
• utilizar acessos restritos, temporários e segregados;
• ter sessões monitoradas e registradas;
• ser revogados imediatamente ao término do contrato.

10. Responsabilidades

• Diretoria: aprovar políticas e prover recursos.
• Comitê de Segurança e Privacidade: supervisionar a execução.
• Segurança da Informação: implementar controles técnicos.
• IAM/PAM: gerenciar identidades e acessos.
• Gestores: aprovar e revisar acessos.
• DPO: supervisionar privacidade e LGPD.
• Colaboradores: cumprir integralmente esta Política.

11. Penalidades

Descumprimentos podem resultar em:

• advertência formal;
• suspensão de acessos;
• medidas disciplinares internas;
• rompimento contratual (terceiros);
• responsabilização administrativa, cível e penal.

12. Vigência e revisão

Esta Política deve ser revisada:

• anualmente; ou
• a qualquer tempo, em caso de alteração normativa, estrutural ou tecnológica.

Responsável pela revisão: Comitê de Segurança e Privacidade – CSP.