1.     INTRODUÇÃO

Sendo a informação uma das variáveis determinantes na composição da oferta de produtos e serviços destinada aos seus clientes e colaboradores, através da Política de Segurança da Informação a ANY-PAY está comprometida em proteger a integridade, confidencialidade e disponibilidade dos seus sistemas de informação, das informações que estes sistemas manuseiam, a privacidade dos seus clientes e colaboradores, bem como no cumprimento de requisitos legais vigentes enquanto fornece de uma maneira eficiente e efectiva a gestão desta informação e do negócio. Com efeito, a Política de Segurança da Informação rege-se pela regulamentação e melhores práticas sobre a matéria.

 

2.     ÂMBITO E APLICABILIDADE

1. O presente normativo estabelece a Política de Segurança de Informação definida e adoptada pela ANY-PAY. Enquanto orientador, este documento serve como base para a implementação de Regras e Normas que permitem protecção dos dados e informação nos sistemas sobre a Instituição, seus clientes, nas transacções financeiras, registo e pagamento do pessoal, processos e balanços
2. A Política de Segurança de Informação está subordinada à Política de Gestão de Risco da ANY-PAY.
3. Esta Política aplica-se a todos os colaboradores e demais intervenientes nos Sistemas de Informação da ANY-PAY.

 

3.     ENQUADRAMENTO REGULAMENTAR

Na elaboração da presente política, foram consideradas a legislação, regulamentação, códigos de conduta e outras boas práticas nacionais e internacionais reconhecidas ao nível dos sectores de actuação da ANY-PAY, como, por exemplo:

• Aviso 08/2020 da ANY-PAY Nacional de Angola – Política de Segurança Cibernética e adoção de computação emnuvem
• Instrutivo 10/2020 da ANY-PAY Nacional de Angola – Reporte de Incidentes de Segurança Cibernética
• Lei nº 7/2017 – Lei de Proteção das redes e dos sistemas Informáticos
• Lei 22/11 de 17 de Junho – Lei da Protecção de Dados (Angola)
• ISO/IEC 27001:2013 – Information Security Management
• ISO/IEC 27002:2022 – Code of Practice for Information Security Controls
• Regulamento Geral da Protecção de Dados da União Europeia – Directiva 95/46/CE
• CIS Controls V8
• SWIFT CSP

 

4.     OBJECTIVO

A presente Política tem como objectivo:

1. Assegurar que a ANY-PAY dispõe e promove processos adequados na protecção dos dados e informação nos sistemasde acordo com o previsto na regulamentação acima, que permitam o cumprimento das suas obrigações perante terceiros, incluindo as obrigações de reporte às autoridades de supervisão;
2. Garantir o acompanhamento e a avaliação regular da eficácia dos procedimentos adoptados para a sua

 

 

5.     RESPONSABILIDADES

1. A segurança da informação deve ser garantida pelos vários órgãos de estrutura da ANY-PAY no âmbito das suas atribuições descritas nos respectivos Manuais de Estrutura e NSI em As responsabilidades pela Gestão da Segurança da Informação e Cibersegurança são asseguradas pela Direcção de Tecnologias e Operações (DTO).
2. Compete à Assembleia Geral, a definição do nível de tolerância aos riscos de segurança das informaçãoes os princípios orientadores relativamente a segurança da informação.
3. Compete à Gerência, enquanto proprietário da informação, indicar as áreas responsáveis pela gestão da informação de acordo com as necessidades do negócio e da gestão da infra-estrutura IT de
4. Nesse sentido, apresenta-se de seguida as atribuições dos principais responsáveis pela estrutura de gestão de segurança de informação definida:
   1. Gerência
      1. Aprovar as NSI, estratégias, normas de gestão de risco relacionadas (os planos e processos relacionados podem ser aprovados apenas pelo Coordenador Técnico e de Operações);
      2. Definir o nível de tolerância aos riscos de segurança da informação e os princípios orientadores relativamente à segurança da informação;

• Assegurar que a monitorização das NSI é efectuada de forma independente e sujeita a revisões periódicas;

1. Delegar responsabilidades específicas na gestão da segurança da informação e assegurar que essas funções têm a autoridade, o conhecimento e os recursos materiais e humanos necessários para assegurar o cumprimento das NSI;
2. Avaliar periodicamente a eficácia das NSI, através de análises independentes, recorrendo ao apoio especializado Esta análise tem por objectivo identificar desvios em relação às NSI e normas de segurança da informação aprovados, devendo a ANY-PAY adoptar, posteriormente, as acções correctivas necessárias;
3. Decidir sobre as propostas de melhoria e necessidades de mudança nas NSI;

• Tomar as decisões sobre a administração de medidas disciplinares referentes aos casos de incumprimento das NSI, normas e/ou de procedimentos de segurança da informação; e
• Autorizar a divulgação da PSI a todos os colaboradores e entidades relacionadas com o ANY-PAY, assim como qualquer uma das demais NSI, normas e procedimentos complementares, de acordo com o seu perfil de

1. Direcção Técnica e de Operações (DTO): Órgão colegial da ANY-PAY responsável, no âmbito das suas atribuições, por assegurar que as políticas e procedimentos de governação das TSI estão implementadas e alinhadas com a visão e objectivos gerais corporativos, bem como deliberar sobre decisões relevantes, nomeadamente, as que tenham impacto na Arquitectura e Segurança das TSI nos termos estabelecidos no respectivo regulamento.

 

6.     PRINCÍPIOS

1. Por forma a assegurar que as Normas de Segurança da Informação (NSI) se encontram devidamente alinhadas e suportam, na sua totalidade, os objectivos para a segurança da informação definidos pela ANY-PAY, são

 

2. No que respeita à protecção da informação e SI associados:
   1. A informação, os sistemas e os serviços utilizados pelos colaboradores são de exclusiva propriedade da ANY- PAY, não podendo ser interpretados como de uso pessoal;
   2. Toda a informação da ANY-PAY deve ser protegida de riscos e ameaças que possam comprometer a sua

confidencialidade, integridade e disponibilidade. Para tal, deve assegurar-se:

1. O nível de confidencialidade adequado para a informação, garantindo que a mesma apenas está acessível a quem esteja autorizado. Para mais informações, consultar a Norma de Classificação de Informação e a Política de Controlo de Acessos e Gestão de Utilizadores;
2. A integridade da informação, na sua totalidade e exactidão, procurando que a mesma seja mantida quer na forma como foi criada pelo seu autor, quer no conteúdo e que não existem alterações indevidas, intencionais ou acidentais; e

• A disponibilidade da informação sempre que necessária, por quem está autorizado (e de acordo com o perfil de acesso).

1. Está proibida a divulgação, duplicação, modificação, destruição, uso inadequado, roubo e acesso não autorizado à informação pertencente à ANY-PAY, a clientes e outras entidades que lhe tenham confiado informação;
2. Toda a informação da ANY-PAY, independentemente da forma, deve ser utilizada unicamente para a

finalidade para que foi criada e devidamente autorizada;

1. Todo o acesso à informação e aos SI associados deve ser previamente autorizado, efectuado de forma controlada e devidamente monitorizada, respeitando os princípios do privilégio mínimo e necessidade de saber (ver a Norma de Controlo de Acessos e Gestão de Utilizadores); e
2. O envolvimento e responsabilização de todos os órgãos e Direcções da estrutura da ANY-PAY deve ser assegurado relativamente à protecção da informação.

3. No que respeita à gestão da segurança da informação:
   1. O ANY-PAY deve ter uma organização interna de gestão da segurança da informação e um sistema de gestão de riscos, adequados à dimensão e à complexidade do seu negócio, que garanta uma gestão efectiva da segurança da informação. Nesse sentido, deve seguir uma abordagem que integre:
      1. O planeamento da segurança da informação, o controlo da implementação, o tratamento de incidentes e o cumprimento sistemático das NSI;
      2. O alinhamento dos Planos e Processos da ANY-PAY com as directrizes das NSI; e

• A monitorização e avaliação da eficácia da aplicação das NSI deverá ser realizada de forma independente, e enquadrada num processo de melhoria contínua.

1. Os controlos de segurança implementados com vista ao cumprimento dos princípios previstos nas NSI são definidos com base num processo de análise do risco.

4. No que respeita à definição e cumprimento das NSI:
   1. A ANY-PAY deve seguir as boas práticas de segurança da informação previstas nas normas ISO/IEC 27001:2013e ISO/IEC 27002:2022, CIS Controls e SWIFT CSP devidamente adaptadas ao seu negócio e dimensão;
   2. A ANY-PAY deverá cumprir com as regras de formalização do Sistema de Controlo Interno que compreendem todas as políticas desenvolvidas no âmbito da segurança da informação;
   3. A ANY-PAY deve comunicar as NSI a todos os colaboradores e entidades que acedem e utilizam a sua

 

1. As consequências e penalidades provenientes do incumprimento ou violação das NSI devem ser definidas e devidamente comunicadas pelo ANY-PAY.

• Gestão da Segurança da Informação
  1. A gestão da segurança da informação da ANY-PAY assenta numa abordagem de acordo com o modelo PDCA (plan, do, check, act) previsto na norma ISO/IEC 27002:2022 e compreende quatro fases:
     1. Planeamento da segurança da informação – Tem por objectivo identificar periodicamente o risco de SI e planear as medidas de mitigação, de acordo com as orientações da Norma de Gestão de Risco de Sistemas de Informação;
     2. Implementação – Tem por objectivo adequar e aplicar a NSI aos processos da ANY-PAY, implementar as medidas de mitigação do risco e tratar os incidentes de segurança da informação;
     3. Controlo – Tem por objectivo assegurar que a política de segurança e que os processos e controlos definidos são aplicados; e
     4. Acompanhamento – Tem por objectivo acompanhar de forma sistemática a adequação e a eficácia das
  2. De seguida, apresenta-se o esquema geral da gestão integrada da segurança da informação:

 

• Monitorização e Controlo
  1. A utilização da informação e dos SI da ANY-PAY deve ser monitorizada e registada para detecção de incumprimentos das NSI, normas e procedimentos de segurança da informação e, consoante o caso, servir como evidência em processos administrativos, disciplinares e/ou legais;
  2. A análise/avaliação de riscos de segurança da informação pode ser aplicada à totalidade da ANY-PAY, partes da ANY-PAY, um SI específico, ou apenas componentes de um sistema específico, entre outros;
  3. A análise dos riscos deve constituir ferramenta de orientação, nomeadamente:
     1. Na identificação dos riscos em função do potencial impacto e probabilidade;
     2. Na identificação de medidas de mitigação dos riscos aos quais a informação está exposta; e

 

controlos, regras, procedimentos e reformulação de sistemas, entre outros.

4. A autorização de acesso à informação deve ser determinada com base na necessidade de saber e do privilégio mínimo, associada às funções do colaborador ou entidade, assim como esta deve ser objecto de aprovação e controlo;
5. Os acessos aos SI devem ser definidos segundo uma lógica de segregação de funções (evitando acumulação de funções potencialmente conflituosas), ao nível da utilização, operação, manutenção e outras actividades envolvendo a informação, em conformidade com a Matriz de Acessos em vigor;
6. Em caso de necessidade de acesso por terceiros aos SI da ANY-PAY, deve ser analisado o respectivo risco e este deve ser sujeito a aprovação prévia e a controlo;
7. O acesso e utilização da informação deve ser feito com recurso a um identificador único de utilizador, de forma a permitir que este seja controlado e auditado, assegurando a responsabilização inequívoca de cada utilizador pelas suas acções;
8. A concessão e revogação de autorização de acesso aos SI devem ser efectuadas de acordo com os procedimentos de segurança em vigor;
9. Devem ser removidas, imediatamente, autorizações dadas a colaboradores demitidos ou suspensos;
10. As autorizações dos colaboradores que tenham mudado de função devem ser revistas e alteradas em conformidade;
11. As autorizações concedidas bem como as regras de atribuição, manutenção e uso de palavra-passe devem ser revistas, pelo menos, anualmente; e
12. A informação e os SI devem ter a sua exposição, a ameaças naturais e outros riscos físicos relevantes, mitigada por intermédio de controlos de acessos físicos, vigilância dos espaços (e.g. meios humanos ou sistemas de vídeo vigilância), monitorização e controlo de condições climatização, falhas e estabilização de energia, detecção e supressão de incêndios e inundações.

 

7.     INCUMPRIMENTO

1. O incumprimento do estabelecido na presente Política constitui violação grave dos deveres de conduta e, em consequência, susceptível de aplicação de medidas disciplinares, sanções contratuais ou eventual responsabilidade criminal;
2. A necessidade do incumprimento dos limites definidos na presente Política requer a aprovação prévia da Gerência.

 

8.     APROVAÇÃO E ENTRADA EM VIGOR

A presente Política foi aprovada pela Assembleia Geral em 14 de Setembro de 2022, entrando emvigor a partir da data da sua publicação, podendo ser alterada por deliberação deste órgão ou pela Gerência.

 

9.     DIVULGAÇÃO, REVISÃO E ACTUALIZAÇÃO DA POLÍTICA

1. A presente Política encontra-se disponível para consulta no sítio de Intranet da ANY-PAY e Internet;
2. Esta Política deve ser revista anualmente ou sempre que se verifiquem alterações que justifiquem a sua revisão.