Política de segurança da informação e segurança cibernética

Toda informação gerada ou processada pelo Grupo Financeiro Bmg, e que possua consenso das partes envolvidas, será considerada propriedade e ativo importante para o negócio, sendo de sua responsabilidade implementar controles que garantam níveis adequados de proteção

As ações de segurança são planejadas e aplicadas de acordo com a identificação, avaliação e tratamento dos riscos para o negócio Do Grupo Financeiro BMG, associadas com a perda de confidencialidade, integridade e disponibilidade da informação seguindo as diretrizes da organização, produzindo resultados comparáveis, válidos e consistentes.

A disponibilidade, uso, acesso e proteção das informações e seus recursos devem ocorrer sempre de forma a preservar a continuidade e a competitividade do negócio do Grupo Financeiro BMG.

Quando do ingresso de colaborador ou terceiro no Grupo Financeiro BMG, deverá ser atestado por meio do Termo de Compromisso o aceite quanto ao cumprimento ao disposto nessa política, demais normas complementares e o conhecimento dos controles de Segurança da Informação de acordo com Acordo de Sigilo e Responsabilidade (NDA), o qual está alinhado com as diretrizes gerais desta política.

Partindo do Princípio do menor privilégio, ao Colaborador será concedido acesso aos recursos e ativos necessários à realização de suas funções na organização, sendo ele responsável pelo uso consciente de suas autorizações e sigilo de sua senha.

O gestor da informação, também conhecido como proprietário da informação, é o responsável por autorizar e revisar periodicamente o acesso aos sistemas relacionados à sua área, garantindo assim a aplicabilidade da política de Gestão de Acessos.

• As informações devem ser devidamente classificadas, independentemente de seu formato, meio de armazenamento, processamento ou transmissão/transporte.

• Os colaboradores, prestadores de serviço e fornecedores devem identificar, classificar, rotular e tratar de forma adequada as informações, de forma a manter o sigilo de acordo com classificação, impedindo quaisquer tipos de acesso, alteração, cópia e destruição não autorizada, assim como qualquer forma de descarte inadequado.

• Deve-se obter prévia autorização para o uso e saída de documentos em meios físicos ou eletrônicos, bem como notebooks ou qualquer outro equipamento eletrônico que contenham informações críticas do Grupo Financeiro BMG. O Grupo Financeiro BMG deve aplicar controles voltados para a rastreabilidade da informação e prevenção de perda de dados, podendo citar soluções como o DLP (Data Loss Prevention).

• O colaborador, terceiro e fornecedores terão acesso somente aos ativos de informação para desenvolvimento do seu trabalho, seguindo o princípio de menor privilégio.

O Grupo Financeiro BMG entende que um dos pontos mais importantes para proteção da Informação é a disseminação da cultura de Segurança da Informação e por esse motivo implementa um programa de capacitação e avaliação, divulgando as políticas de Segurança da Informação e segurança cibernética a todos os seus Colaboradores e para o público em geral.

O objetivo desse programa é fornecer aos colaboradores e prestadores de serviço do Banco BMG o conhecimento necessário para proteger os ativos de tecnologia e as suas informações, além de criar engajamento quanto a Cultura de Segurança da Informação. O engajamento somente é possível por utilizarmos vários mecanismos para conscientização, podendo destacar:

Fast Tips (Newsletter): Material de conscientização produzido por imagens e com poucas palavras, contendo chamadas impactantes para um tema em específico;

Infográfico de Conscientização: Mesmas características dos fast tips mas abordam conteúdos mais extensos e interativos;

Video de Conscientização +Quiz: Video de conscientização com duração de 45seg à 3 min, com locução e legendas, seguindo de um quis sobre o tema;

Cyber Talk: Sessões sobre temas específicos junto a especialistas de cyber, com duração de 30min e com público geral;

Treinamento Obrigatório: Treinamentos com duração de 3 a 6 min, com locução e legenda, seguido de um quis sobre o tema, renovados anualmente;

Pishing: Campanhas de conscientização através de e-mail pishing, acompanhados de vídeo de conscientização e quiz.

Todos os fornecedores, provedores e parceiros que processam e armazenam dados do Grupo Financeiro Bmg são submetidos à avaliação de controles de Segurança da Informação e de Segurança Cibernética para que seja possível identificar sua maturidade quanto às diretrizes desta política e também definir suas responsabilidades e papéis dentro dos processos relacionados ao serviço que será prestado.

O Grupo financeiro BMG possui normas e procedimentos específicos para tratar das ações relacionadas ao tratamento de incidentes e violações de segurança, incluindo, mas não se restringindo à:

• Identificar incidentes e violações de Segurança da Informação;

• Registrar e classificar o incidente de acordo com sua relevância: baixa, média ou alta;

• Análise de impacto, relevância da informação e análise de impacto;

• Definir planos de ação para controle, resposta, monitoramento, comunicação e prevenção a incidentes;

• Todos os procedimentos e controles abrangem todo o ciclo de vida da informação (recebidas, processadas, armazenadas ou manipuladas) para prestadores de serviço e colaboradores do Grupo Financeiro BMG;

• Elaboração de cenários que simulem os incidentes de segurança da informação e segurança cibernética, além de testes de continuidade do negócio.

Para qualquer incidente constatador a área responsável deve classificá-lo de acordo com sua relevância para o negócio e efetuar seu registro, tratamento e comunicação. Maiores informações podem ser encontradas no Plano de Resposta a Incidentes.

O Grupo Financeiro BMG também possui mecanismos para detecção de possíveis riscos cibernéticos através de soluções de SOC (Centro de Operações de Segurança) e Serviços de Threat Intelligence (Monitoramento de Riscos Cibernéticos) , além de implementar iniciativas para compartilhamento de informações com as demais instituições quanto a incidentes relevantes identificados.

O Grupo Financeiro BMG possui em seu ambiente controles e procedimentos de segurança da informação e segurança cibernética de forma a reduzir as vulnerabilidades e o impacto de ameaças, além de manter um monitoramento, registro e rastreabilidade quanto às atividades relacionadas ao tema. Também é adotado tecnologias compatíveis com o grau de risco e criticidade das informações, além de ações relacionadas a proteção de todo o ambiente tecnológico e cibernético, sempre com o objetivo de proporcionar maior proteção para seus clientes, colaboradores ou prestadores de serviço.

Dentre os controles adotados, destaca-se, mas não se limitando à:

• Proteção e Prevenção a perda de dados: soluções de prevenção como DLP, proteção quanto a banco de dados (DBF) e monitoramento (DAM) além de mecanismos de proteção como criptografia e classificação de informação;

• Controle de acesso e autenticação: soluções de firewall de banco de dados (DBF), gestão de identidades (IAM) e implementação de duplo fator de autenticação;

• Proteção de perímetros: soluções de prevenção e detecção de instrução (IPS/IDS), proteção de tráfego (Firewall), proteção de aplicações (WAF), DDoS, CASB e Proxy;

• Monitoramento de ambiente: Soluções com foco em Threat Intelligence, SOC e NOC;

• Proteção de ativos: soluções de proteção contra softwares maliciosos (AV), proteção contra mensagens maliciosas (ANTISPAM), proteção avançada (ATP/EDR);

• Gestão de vulnerabilidades: é adotado tecnologias para varredura de vulnerabilidades de forma a tratá-las antes que sejam exploradas por ameaças. Os processos relacionados a esse tema são periódicos e sistêmicos.

O Grupo Financeiro BMG adota processos para garantir a continuidade do negócio de acordo com as melhores práticas de mercado, incluindo em seu escopo processos e parceiros do negócio.

O Grupo Financeiro BMG faz a elaboração e gestão do plano de continuidade de negócios, bem como seus procedimentos operacionais, de acordo com a sua necessidade, com foco em reduzir os impactos decorrentes da interrupção de serviços devido a desastres, crises, indisponibilidades ou falhas da segurança.