A política de segurança da informação é o documento, aprovado pela alta direção, que estabelece as diretrizes da empresa para proteger suas informações: o que é obrigatório, o que é proibido, quem responde pelo quê e o que acontece em caso de descumprimento. É a base sobre a qual as demais regras de segurança se apoiam.
Quase toda empresa tem uma política, mas poucas têm uma que os colaboradores conhecem. O motivo costuma ser um documento longo, em linguagem jurídica, escrito para a auditoria e guardado numa pasta da intranet.
Política, normas e procedimentos
Uma estrutura que funciona tem três níveis. A política responde o quê e por quê, é aprovada pela alta direção e muda raramente. As normas trazem as regras de cada tema, são aprovadas pelo comitê ou pela área responsável e mudam quando o tema muda. Os procedimentos descrevem como fazer, passo a passo, e acompanham o processo da área que executa.
A política também não se confunde com o plano diretor. A política define como as pessoas devem agir; o plano diretor de segurança da informação define onde a empresa vai investir.
O que a política precisa conter
Os temas centrais são:
- Objetivo e escopo: a quem se aplica, incluindo terceiros e prestadores.
- Papéis e responsabilidades: alta direção, área de segurança, gestores, colaboradores e terceiros.
- Classificação da informação: pública, interna, confidencial e restrita, com o que cada nível exige.
- Controle de acesso: menor privilégio e revisão periódica.
- Uso aceitável: equipamentos, e-mail, internet, dispositivos pessoais e ferramentas de IA.
- Incidentes: como reportar, a quem e em quanto tempo.
- Continuidade e terceiros: existência de planos testados e exigências para fornecedores com acesso a dados ou sistemas.
- Proteção de dados pessoais: a ligação com o programa de adequação à LGPD.
- Sanções e revisão: consequências do descumprimento, periodicidade e responsável pela revisão.
Para instituições autorizadas pelo Banco Central, a política de segurança cibernética passou a ter requisitos mínimos mais detalhados, como explica o artigo sobre a Resolução BCB 538.
Como escrever uma política aplicável
A política cabe em poucas páginas, e o detalhe vai para as normas. A linguagem deve ser a de quem vai cumpri-la. A aprovação pela direção dá autoridade para exigir o cumprimento e aplicar sanções, e a comunicação precisa continuar depois do termo assinado na contratação.
A política também precisa acompanhar a operação. Um documento de 2019 provavelmente não trata de trabalho remoto em escala nem de IA generativa. E regras escritas sem a participação de quem opera tendem a virar exceções permanentes.
Em setores regulados, a política é exigência formal. No setor elétrico, a Resolução Normativa ANEEL nº 964/2021 obriga os agentes a manter uma política de segurança cibernética aprovada pelo conselho de administração, com responsável designado e revisão periódica.
Exemplo fictício: a regra que não existia
Um escritório de serviços jurídicos tem política aprovada em 2019. Um advogado cola a minuta de um contrato de cliente num assistente de IA público para revisar a redação. Meses depois, a empresa descobre que nenhuma regra foi violada: a política não menciona ferramentas de IA, e a norma de uso aceitável trata apenas de e-mail e internet.
A correção inclui uma norma específica de uso de IA, com as ferramentas aprovadas e os dados que podem passar por elas, como discute o artigo sobre segurança de IA generativa, e um ciclo de revisão anual.
Processos e políticas na Vultus
A Vultus revisa o conjunto de processos e políticas com política enxuta no topo, normas por tema em linguagem clara e ciclo de revisão alinhado às mudanças da operação e da regulação. Conheça os processos e políticas de segurança da Vultus e leia sobre gestão de riscos de terceiros.
