Política de Segurança Cibernética

2.1 Principais Diretrizes Disciplinadoras

Dentre as principais normas disciplinadoras do mercado financeiro no que tange à Segurança da Informação e Segurança Cibernética, destacam-se os seguintes dispositivos regulatórios:

3.1 Conceitos e Terminologias

Para fins desta Política, são considerados os seguintes conceitos, termos e definições para a correta interpretação do escopo de Segurança Cibernética:

4.1 Compromisso com a Segurança e Tratamento adequado

A INFRAPAY está comprometida em garantir a segurança e o tratamento adequado das informações. Para isso, adota práticas fundamentadas nos seguintes princípios fundamentais:

Para garantir os objetivos desta Política de Segurança Cibernética, os procedimentos operacionais e administrativos da instituição seguirão as diretrizes detalhadas abaixo:

(i) Cultura de Segurança Cibernética

A INFRAPAY implementa mecanismos contínuos para disseminar a cultura de Segurança Cibernética em toda a organização, incluindo:

• •
  Programas regulares de capacitação: treinamentos periódicos para Colaboradores sobre boas práticas e riscos relacionados à Segurança Cibernética.
• •
  Avaliação periódica de pessoal: monitoramento contínuo para garantir que todos compreendam e apliquem as diretrizes de Segurança Cibernética.
• •
  Sensibilização organizacional: campanhas de conscientização para fortalecer o compromisso com a proteção de informações.
• •
  Transparência: informações e orientações aos Usuários Finais sobre precauções no uso de produtos e serviços oferecidos pela INFRAPAY.

(ii) Controles de Acesso e Confidencialidade

• • Garantir tratamento ético e sigiloso das informações, evitando acessos indevidos, modificações, destruições ou divulgações não autorizadas.
• • Assegurar que o acesso dos Colaboradores seja pessoal, intransferível e limitado estritamente aos recursos necessários ao exercício de suas funções específicas.
• • Implementar mecanismos robustos de gerenciamento de senhas e uso seguro de credenciais corporativas.

(iii) Classificação de Dados

Os dados e informações institucionais são classificados de acordo com sua relevância, criticidade e sensibilidade, estabelecendo-se controles de proteção proporcionais ao nível de risco mapeado para cada categoria.

(iv) Procedimentos de Segurança

A INFRAPAY implementa e mantém controles tecnológicos avançados para reduzir vulnerabilidades em seus ecossistemas, abrangendo:

• •Autenticação forte e criptografia em todos os canais de acesso e tráfego de dados;
• •Sistemas de prevenção e detecção de intrusão em tempo real;
• •Ferramentas de prevenção de vazamento de informações (DLP);
• •Testes periódicos de intrusão (Pentests) e varreduras constantes de vulnerabilidades;
• •Proteção centralizada contra softwares maliciosos por meio de soluções de antimalware e EDR;
• •Rastreabilidade completa de informações e controle granular de permissões de acesso;
• •Segmentação lógica e física da rede interna de computadores;
• •Manutenção rigorosa de backups de dados com rotinas regulares e testes práticos de restauração.

(v) Gerenciamento Integrado de Incidentes

• •Registrar detalhadamente e analisar as causas raiz e impactos de todos os incidentes;
• •Estabelecer parâmetros objetivos para a avaliação da relevância e implicações corporativas de cada ocorrência;
• •Mitigar e controlar de forma ágil os efeitos de incidentes, incluindo aqueles reportados por terceiros;
• •
  Canal de Alerta: Reportar imediatamente qualquer risco ou anomalia identificada diretamente ao canal dedicado contato@infrapay.tech.

(vi) Continuidade de Negócios

A INFRAPAY elabora, atualiza e testa cenários simulados de incidentes graves para garantir a resiliência e a continuidade dos serviços de pagamento prestados, incluindo explicitamente hipóteses de indisponibilidade prolongada de fornecedores críticos e ataques cibernéticos de larga escala.

(vii) Fornecedores e Parceiros

A instituição define procedimentos rigorosos e controles de prevenção e tratamento de incidentes voltados a Fornecedores e Parceiros que manuseiem dados ou Informações Sensíveis, exigindo a total conformidade com as diretrizes desta Política por meio de cláusulas contratuais impositivas.

(viii) Serviço de Nuvem

• • A utilização de hospedagem externa e computação em nuvem depende do nível de sensibilidade dos dados, sendo sempre precedida por uma análise técnica de risco;
• • Os serviços em nuvem (SaaS, IaaS, PaaS) devem possuir acesso protegido por interfaces HTTPS, métodos de autenticação segura e ambientes logicamente segregados;
• • Os acessos são controlados por credenciais individuais adequadas à atividade de cada colaborador, mantendo registros imutáveis em trilhas de auditoria.

(ix) Propriedade Intelectual

• • A INFRAPAY é a legítima proprietária ou custodiante responsável por toda informação criada, armazenada, transmitida ou processada por seus recursos internos ou contratados em nuvem;
• • É estritamente vetada aos Colaboradores a violação da propriedade intelectual da Instituição ou de terceiros, seja pelo uso indevido de imagens, textos, marcas, softwares ou cópias não autorizadas.

(x) Divulgação desta Política

(xi) Gerenciamento desta Política

• •Monitoramento contínuo e irrestrito do cumprimento das diretrizes estabelecidas;
• •Implementação imediata de melhorias nos processos e arquiteturas de segurança identificados;
• •Atualização anual obrigatória e revisões extraordinárias acionadas pela evolução das ameaças ou alterações regulatórias do mercado financeiro.

6.1 A fim de assegurar que todas as diretrizes sejam cumpridas e que os princípios de Segurança Cibernética sejam devidamente seguidos, a INFRAPAY adota políticas e procedimentos rigorosos para os processos descritos a seguir.

6.2 A INFRAPAY estabelece processos estruturados para a identificação, tratamento e registro de incidentes de segurança, visando mitigar riscos e preservar a integridade, confidencialidade e disponibilidade das informações.

Os incidentes são classificados pelo nível de risco e impacto nos negócios, sendo registrados, tratados e comunicados adequadamente às instâncias responsáveis.

6.3 Classificação de Relevância dos Incidentes

A INFRAPAY classifica os incidentes de segurança segundo sua relevância, a classificação das informações envolvidas e o impacto gerado na continuidade dos negócios, conforme detalhado em manuais específicos. Essa classificação orienta a prioridade de resposta técnica e determina os níveis de escalada gerencial.

6.4 Plano de Ação e Resposta a Incidentes

O Plano de Ação e Resposta a Incidentes contempla os seguintes elementos fundamentais:

• •Ações estruturadas para adequar as estruturas organizacional e operacional conforme esta Política;
• •Rotinas, procedimentos, controles e tecnologias avançadas para prevenção e mitigação de incidentes;
• •Definição clara da área responsável pelo registro, acompanhamento e controle dos efeitos de incidentes relevantes;
• •Designação expressa do Diretor responsável pela presente Política e pela execução integral deste Plano.

O Plano de Ação é formalmente aprovado pelos Administradores, documentado e revisado anualmente.

6.5 Relatório Anual de Resposta a Incidentes

O Relatório Anual de Resposta a Incidentes é elaborado com data-base de 31 de dezembro de cada exercício e cumpre os seguintes ritos:

• •Submissão direta ao Comitê de Segurança Cibernética (quando constituído) ou diretamente aos Administradores na sua inexistência;
• •Apresentação formal aos Administradores até o dia 31 de março do ano subsequente, em estrita conformidade com o art. 8º, parágrafo 2º, inciso II, da Resolução CMN nº 4.893/2021;
• •Revisão anual analítica, com a incorporação prática de todas as lições aprendidas no período.

6.6 Mecanismos de Rastreabilidade e Controle

A INFRAPAY adota mecanismos rigorosos de rastreabilidade e controles específicos para blindar e auditar o fluxo de Informações Sensíveis, compreendendo:

• •Controles de rastreabilidade para a totalidade das operações e transações efetuadas na plataforma de pagamentos;
• •Gerenciamento restritivo de Informações Sensíveis armazenadas ou tratadas em dispositivos previamente autorizados;
• •Controles de privacidade e tratamento de dados alinhados integralmente à LGPD (Lei nº 13.709/2018);
• •Registro automatizado e monitoramento contínuo de quaisquer acessos ou modificações em bases de dados sensíveis;
• •Trilhas de auditoria (logs) para operações críticas, que permitem identificar a origem exata, o dispositivo, a alteração efetuada e o colaborador responsável.

6.7 Registro e Análise de Incidentes

A instituição mantém um ecossistema estruturado para a documentação técnica e análise forense de incidentes, englobando:

• •Registro minucioso de incidentes relevantes (contendo data, hora, sistemas impactados e escopo do evento);
• •Análise de causa raiz e mapeamento de impactos reais ou potenciais sobre as verticais de negócio;
• •Avaliação e monitoramento ativo das ações de mitigação, correção e prevenção;
• •Centralização e tratamento unificado de incidentes reportados pela cadeia de Fornecedores e Parceiros;
• •Métricas claras de impacto operacional e financeiro, gerando relatórios de lições aprendidas para blindagem futura.

6.8 Treinamentos e Conscientização em Segurança

O programa abrangente de capacitação e cultura em cibersegurança mantido pela INFRAPAY é composto por:

• •Treinamentos regulatórios obrigatórios e periódicos para 100% dos Colaboradores internos e externos;
• •Campanhas práticas de simulação de ameaças em tempo real (como ataques de engenharia social e phishing simulado);
• •Métricas de avaliação de efetividade dos treinamentos e absorção de conhecimento das equipes;
• •Desenvolvimento e distribuição de cartilhas e guias práticos de segurança digital direcionados aos Usuários Finais.

Os Administradores da instituição lideram pelo exemplo, estimulando a adoção de posturas seguras e a evolução contínua dos processos.

6.9 Segurança em Novos Produtos e Serviços

A INFRAPAY avalia preventivamente os riscos cibernéticos antes do lançamento de qualquer novo produto, funcionalidade ou canal de serviço, bem como diante de mudanças estruturais em processos vigentes ou implementação de novas tecnologias em sistemas críticos. Cada alteração passa obrigatoriamente por uma revisão técnica de segurança (security review) e homologação em ambiente de testes antes do deploy definitivo.

6.10 Contratação de Serviços de Processamento e Computação em Nuvem

6.11 Plano de Continuidade de Negócios (PCN)

No escopo do Plano de Continuidade de Negócios, a INFRAPAY assegura a arquitetura operacional necessária para enfrentar crises severas, estabelecendo:

• •Rotinas operacionais de contingência para interrupções parciais ou totais nos provedores críticos de nuvem;
• •Execução periódica de testes práticos de simulação de desastres, documentando métricas e falhas encontradas;
• •Definição precisa de janelas de tempo toleráveis para o reinício seguro ou normalização total de serviços críticos interrompidos (RTO / RPO);
• •Critérios claros, objetivos e documentados para a declaração formal de um estado de crise ou acionamento de comitês emergenciais.

6.12 Mecanismos de Acompanhamento e Controle

A instituição implementa rotinas permanentes de auditoria para monitorar e validar a eficácia desta Política e das diretrizes de segurança correlatas. Isso envolve a parametrização de indicadores-chave de desempenho (KPIs de Cibersegurança), inspeção contínua de contratos de fornecedores e a imediata remediação de lacunas técnicas mapeadas no ecossistema.

6.13 Arquivamento das Informações

A INFRAPAY armazena em ambiente digital e/ou físico seguro, pelo prazo mínimo e impositivo de 5 (cinco) anos, todo o acervo probatório e documental associado às suas rotinas de segurança cibernética, incluindo:

Para garantir a governança e a eficácia desta Política de Segurança Cibernética, as atribuições e responsabilidades das diferentes esferas e áreas da INFRAPAY ficam assim distribuídas:

8.1 As violações desta Política, incluindo omissões ou tentativas não consumadas que exponham a INFRAPAY a riscos com repercussões reputacionais, sociais, políticas ou econômicas, estarão sujeitas às penalidades descritas no quadro abaixo:

8.2 No caso de Colaboradores temporários ou terceiros, os Administradores analisarão detalhadamente a ocorrência e deliberarão sobre as sanções e punições aplicáveis, em estrita conformidade com os termos previstos no respectivo instrumento contratual.

9.1 Os Colaboradores da INFRAPAY devem aderir formalmente a esta Política por meio do Termo de Adesão constante no Anexo I, comprometendo-se formalmente a agir em total conformidade com suas diretrizes e boas práticas.

9.2 Os contratos firmados pela INFRAPAY com Fornecedores que envolvam o manuseio, processamento ou custódia de Ativos de Informação regulados por esta Política devem conter, obrigatoriamente, cláusula expressa que assegure a proteção e a segurança das informações corporativas, com previsão explícita de responsabilidade solidária em caso de incidentes cibernéticos.

10.1 Esta Política é revisada anualmente, e seus efeitos operacionais e jurídicos só terão validade após formal aprovação pelos Administradores da INFRAPAY.

10.2 A Política de Segurança Cibernética é documentada e revisada no mínimo anualmente ou sempre que ocorrerem mudanças regulatórias relevantes por parte do Banco Central do Brasil, incidentes de grande impacto ou alterações significativas no modelo de negócios ou na arquitetura tecnológica da Instituição.

11.1 Esta Política será integralmente divulgada a todos os Colaboradores da INFRAPAY e empresas terceirizadas desde o início do respectivo relacionamento contratual, sendo as atualizações subsequentes obrigatoriamente compartilhadas de forma anual por meio do e-mail corporativo.

11.2 A INFRAPAY disponibilizará em seu site institucional (www.infrapay.tech) um resumo executivo direcionado ao público geral contendo as diretrizes principais desta Política de Segurança Cibernética, estruturado em linguagem clara, direta e acessível.