REG SEC CYBER: Da Política de Segurança Cibernética

Política de Segurança Cibernética

• A Política de Segurança Cibernética estabelece condutas e procedimentos para promoção da segurança cibernética e mitigação de riscos das Infraestruturas Críticas de Telecomunicações.

Características da Política de Segurança Cibernética

• Deve ser aderente aos princípios e diretrizes do Regulamento.
• Deve ser compatível com a base de clientes, natureza e complexidade dos produtos, serviços, atividades, processos e sistemas.
• Deve ser disseminada aos profissionais e colaboradores das áreas afetas, com restrição de acesso a informações sensíveis.
• Deve estabelecer estrutura interna responsável pela política, com identificação de pessoas e áreas competentes.
• Deve designar diretor responsável pela política, que pode desempenhar outras funções na empresa, sem conflito de interesses.
• Deve ser aprovada pelo conselho de administração ou órgão de deliberação colegiado equivalente.
• Deve ser periodicamente atualizada e revisada.

Contenido da Política de Segurança Cibernética

• Objetivos de Segurança Cibernética da empresa.
• Normas e padrões, nacionais ou internacionais, e referências de boas práticas em Segurança Cibernética.
• Procedimentos para a disseminação da cultura de Segurança Cibernética e capacitação dentro da empresa.
• Plano de ação com medidas para a conscientização e educação de seus usuários sobre aspectos de Segurança Cibernética.
• Procedimentos relativos ao armazenamento seguro dos dados de seus usuários.
• Procedimentos e controles adotados para a identificação e a análise das vulnerabilidades, das ameaças e dos riscos associados à Segurança Cibernética.
• Mapeamento de possíveis riscos de incidentes e de eventos que possam afetar a segurança do armazenamento dos dados dos usuários.
• Hierarquia das Infraestruturas Críticas de Telecomunicações.
• Procedimentos e controles adotados para mitigar as vulnerabilidades identificadas.
• Avaliação do grau de dependência de fornecedores e a previsão de possíveis impactos operacionais e financeiros.
• Plano de resposta a incidentes, definindo ações, recursos e responsabilidades.
• Procedimentos relativos ao compartilhamento de informações sobre incidentes relevantes e outras informações relativas à Segurança Cibernética.

Publicação e Acompanhamento da Política de Segurança Cibernética

• A empresa deve publicar, em sua página na Internet, extrato da sua Política de Segurança Cibernética contendo as informações não sensíveis.
• A empresa deve, anualmente ou sempre que solicitado, apresentar à Anatel relatório sobre o acompanhamento de execução da Política de Segurança Cibernética.