Política de Proteção de Dados e Infraestrutura

1. Introdução

1.1. Propósito

Esta Política de Proteção de Dados e Infraestrutura (“Política”) define as diretrizes, controles e requisitos mínimos para garantir a segurança, integridade, confidencialidade e disponibilidade dos dados pessoais, dados sensíveis, dados financeiros e demais informações processadas pela Openbanx, bem como a proteção da infraestrutura tecnológica que suporta as operações da empresa.

O objetivo é assegurar conformidade com:

• ISO/IEC 27001:2022 (seções de Segurança Física, Redes, Criptografia, Continuidade e Operações);
• ISO/IEC 27701:2025 (controles de privacidade aplicáveis);
• LGPD – arts. 46 a 50;
• Resoluções CMN nº 4.893/21 e nº 4.968/21 (segurança cibernética e Open Finance);
• especificações técnicas e regulatórias do Open Finance Brasil;
• normas aplicáveis do Bacen para instituições participantes e iniciadoras.

1.2. Escopo

Esta Política aplica-se a:

• toda a infraestrutura física e lógica da Openbanx (nuvem, redes, servidores, APIs, microsserviços);
• todos os dados tratados pela empresa, incluindo dados pessoais, sensíveis e financeiros;
• todos os colaboradores, estagiários, fornecedores, prestadores de serviço e parceiros;
• sistemas, plataformas, aplicações, serviços em nuvem e integrações Open Finance.

1.3. Princípios fundamentais

A proteção de dados e infraestrutura observará:

1. Confidencialidade, Integridade e Disponibilidade (CIA);
2. Minimização de Dados;
3. Privacidade e Segurança by Design e by Default;
4. segregação de ambientes e redes;
5. criptografia de ponta a ponta;
6. resiliência operacional e continuidade;
7. rastreabilidade e auditoria completa.

2. Papéis e responsabilidades

2.1. Segurança da Informação (SecOps, AppSec, DevSecOps)

• Implementar e manter controles de proteção de dados e infraestrutura.
• Monitorar alertas, incidentes e eventos de segurança.
• Aplicar hardening, patches e atualizações.

2.2. Engenharia / DevOps

• Manter a infraestrutura em nuvem segura e padronizada.
• Aplicar controles de firewall, IAM, segurança de rede e segregação.
• Criar pipelines com validações automatizadas de segurança.

2.3. DPO (Encarregado)

• Garantir o compliance com a LGPD e a proteção de dados pessoais.
• Avaliar riscos e impactos sobre dados pessoais em seu ciclo de vida.

2.4. Comitê de Segurança e Privacidade (CSP)

• Avaliar conformidade, riscos, auditorias e revisões desta Política.
• Aprovar decisões estratégicas relacionadas à infraestrutura e aos dados.

2.5. Fornecedores e terceiros críticos

• Cumprir requisitos contratuais e regulatórios do Bacen, da LGPD e das normas ISO.
• Manter ambientes seguros e compatíveis com os padrões da Openbanx.

3. Proteção de dados

3.1. Classificação e inventário de dados

1. Todos os dados devem ser classificados conforme criticidade, sensibilidade e regulamentação.
2. Dados do Open Finance devem ser rotulados como Dados Financeiros de Alto Risco.
3. Inventários de dados devem ser mantidos atualizados (ISO 27701 – mapeamento).

3.2. Minimização e retenção

1. Apenas o mínimo necessário de dados deve ser coletado.
2. A retenção deve seguir normas específicas:
   • dados financeiros: prazos regulatórios do Bacen;
   • dados pessoais: princípios da LGPD;
   • logs: mínimo de 5 anos para dados regulatórios.
3. A eliminação e o descarte seguro devem ser realizados conforme a ISO 27001 (A.8 e A.11).

3.3. Criptografia e proteções criptográficas

1. Dados sensíveis e financeiros devem ser criptografados:
   • em repouso (AES-256 ou equivalente);
   • em trânsito (TLS 1.2+ obrigatório; recomendável TLS 1.3).
2. As chaves devem ser armazenadas em:
   • HSM (Hardware Security Module); ou
   • serviços KMS autorizados e compatíveis.
3. Nunca deve haver armazenamento de chaves em texto plano ou em código-fonte.

3.4. Controle de acesso a dados

1. Princípio do menor privilégio em todos os ambientes.
2. O acesso a dados de produção deve ser estritamente controlado e registrado.
3. Dados pessoais reais não podem ser usados em ambientes de homologação ou desenvolvimento.

4. Proteção da infraestrutura

4.1. Infraestrutura em nuvem

1. Toda a infraestrutura deve seguir padrões de segurança zero trust.
2. Os recursos em nuvem devem possuir:
   • controle de identidade e acesso granular (IAM);
   • redes isoladas (VPC);
   • grupos de segurança aplicados por camada;
   • hardening de sistemas operacionais;
   • backups criptografados e testados periodicamente.

4.2. Segurança de rede

1. A segmentação de rede é obrigatória (produção, homologação, desenvolvimento).
2. Firewalls e WAF devem proteger APIs e front-ends.
3. A comunicação entre microsserviços deve ser autenticada e criptografada.
4. As conexões à infraestrutura devem ser feitas via VPN ou túnel seguro.

4.3. Continuidade e resiliência

1. Devem existir planos formais de:
   • Continuidade de Negócios (BCP);
   • Recuperação de Desastres (DRP);
   • redundância geográfica, quando aplicável.
2. Testes anuais são obrigatórios.
3. Os backups devem ser realizados conforme política e testados regularmente.

4.4. Monitoramento e auditoria

1. Os logs de segurança devem registrar:
   • autenticações;
   • acessos;
   • transações;
   • erros e eventos;
   • interações com APIs Open Finance.
2. Os logs devem ser:
   • criptografados;
   • imutáveis;
   • armazenados em serviço centralizado (SIEM);
   • mantidos conforme prazos regulatórios.
3. Os alertas devem contemplar:
   • anomalias;
   • falhas de autenticação;
   • acesso fora do padrão;
   • tentativas de invasão.

5. Gestão de vulnerabilidades e atualizações

5.1. Correções e patches

1. Vulnerabilidades críticas: correção imediata (≤ 24h).
2. Vulnerabilidades altas: correção em até 3 dias úteis.
3. Todos os sistemas devem passar por atualizações periódicas.

5.2. Scans e avaliações

1. Scans automatizados de infraestrutura e APIs devem ocorrer continuamente.
2. Pentests devem ser realizados, no mínimo:
   • anualmente; e
   • após grandes mudanças.
3. As APIs do Open Finance devem seguir requisitos de conformidade técnica revisados.

6. Revisão e vigência

Esta Política será revisada pelo CSP:

• anualmente; ou
• sempre que houver mudanças regulatórias do Bacen, ANPD, CMN, Open Finance Brasil ou evolução tecnológica que impacte a proteção de dados e a infraestrutura.

7. Referências

1. ISO/IEC 27001:2022 – Seções A.8 a A.13.
2. ISO/IEC 27701:2025 – Controles de privacidade aplicáveis.
3. LGPD – Lei nº 13.709/2018.
4. Resolução CMN nº 4.893/2021 – Segurança cibernética e Open Finance.
5. Resolução CMN nº 4.968/2021 – Compartilhamento de dados no Open Finance.
6. Normas técnicas e manuais do Open Finance Brasil.
7. NIST Cybersecurity Framework (CSF).
8. Cloud Security Alliance – Cloud Controls Matrix (CCM).