Anexo ao Comunicado Interno 001/2012-DP …ri.bmfbovespa.com.br/fck_temp/26_2/file/CI 001_2012-DP...001/2012-DP .2. Informação: resultado do processamento, formatação e organização

Anexo ao Comunicado Interno 001/2012-DP

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

DA BM&FBOVESPA

1. INTRODUÇÃO A informação é um ativo que possui grande valor para a BM&FBOVESPA,

devendo ser adequadamente utilizada e protegida contra ameaças e riscos. A

adoção de políticas e procedimentos que visem garantir a segurança da

informação deve ser prioridade constante da empresa, reduzindo-se os riscos

de falhas, os danos e/ou os prejuízos que possam comprometer a imagem e os

objetivos da instituição.

2. ESCOPO A Política de Segurança da Informação da BM&FBOVESPA é uma

declaração formal da empresa sobre seu compromisso com a proteção das

informações de sua propriedade e/ou sob sua guarda, devendo ser cumprida

por todos os seus funcionários, estagiários e demais colaboradores. Seu

propósito é estabelecer as diretrizes a serem seguidas no que diz respeito à

adoção de procedimentos e mecanismos relacionados à segurança da

informação.

Esta Política aplica-se a todos os funcionários, estagiários e demais

colaboradores da BM&FBOVESPA e das demais controladas da

BM&FBOVESPA (Grupo BM&FBOVESPA, empresas do Grupo ou Grupo).

3. DEFINIÇÕES

Ativos de Informação: conjunto de informações, armazenado de modo

que possa ser identificado, inventariado e reconhecido como valioso para

a empresa.

Colaborador: prestadores de serviços da BM&FBOVESPA ou de

empresas do grupo.

Confidencialidade: somente pessoas devidamente autorizadas pela

empresa devem ter acesso à informação.

Disponibilidade: a informação deve estar disponível para as pessoas

autorizadas sempre que necessário ou demandado.

001/2012-DP .2.

Informação: resultado do processamento, formatação e organização de

dados ou registros de um sistema. Como regra geral, uma informação é

sempre composta por dados, mas um conjunto de dados nem sempre é

considerado informação.

Integridade: somente alterações, supressões e adições autorizadas pela

empresa devem ser realizadas nas informações.

Sistemas de informação: de maneira geral, sistemas computacionais são

utilizados pela empresa para suportar suas operações.

4. ESTRUTURA NORMATIVA

4.1. DEFINIÇÃO

A estrutura normativa da Segurança da Informação da BM&FBOVESPA é

composta por um conjunto de documentos com três níveis hierárquicos

distintos, relacionados a seguir.

Política de Segurança da Informação (Política): constituída neste

documento, define a estrutura, as diretrizes e os papéis referentes à

segurança da informação.

Normas de Segurança da Informação (Normas): estabelecem regras,

definidas de acordo com as diretrizes da Política, a serem seguidas em

diversas situações em que a informação é tratada.

Procedimentos de Segurança da Informação (Procedimentos):

instrumentam as regras dispostas nas Normas, permitindo a direta

aplicação nas atividades da BM&FBOVESPA.

4.2. DIVULGAÇÃO E ACESSO A Política e as Normas de Segurança da Informação devem ser divulgadas a

todos os funcionários, estagiários e demais colaboradores da

BM&FBOVESPA e dispostas de maneira que seu conteúdo possa ser

consultado a qualquer momento.

Os Procedimentos de Segurança da Informação devem ser divulgados às áreas

diretamente relacionadas a sua aplicação.

4.3. APROVAÇÃO E REVISÃO Os documentos integrantes da estrutura normativa da Segurança da

Informação da BM&FBOVESPA deverão ser aprovados e revisados conforme

os seguintes critérios:

001/2012-DP .3.

Política Nível de Aprovação: Diretoria Executiva

Periodicidade de Revisão: anual

Normas Nível de Aprovação: Comitê Gestor de Segurança da Informação


Procedimentos Nível de Aprovação: Diretoria(s) responsável(is) pela(s) área(s)

envolvida(s)


5. DIRETRIZES A seguir, são apresentadas as diretrizes da Política de Segurança da

Informação da BM&FBOVESPA. Tais diretrizes constituem os principais

pilares da Gestão de Segurança da Informação, norteando a elaboração das

Normas e dos Procedimentos.

5.1. ASPECTOS GERAIS Todas as informações contidas nesta Política devem estar disponíveis para

consulta na Intranet corporativa.

Os sistemas, as informações e os ambientes tecnológicos utilizados pelos

usuários são de exclusiva propriedade da BM&FBOVESPA, não podendo

ser interpretados como de uso pessoal.

Todos os funcionários, estagiários e demais colaboradores da

BM&FBOVESPA devem ter ciência de que o uso das informações e dos

sistemas de informação pode ser monitorado, e que os registros assim

obtidos poderão ser utilizados para detecção de violações da Política e das

Normas de Segurança da Informação e, conforme o caso, servir como

evidência em processos administrativos e/ou legais.

As regras relacionadas à Segurança da Informação devem estar

atualizadas e disponíveis, por meio de Normas específicas, a todos os

funcionários, estagiários e demais colaboradores das empresas

componentes da BM&FBOVESPA, com o propósito de garantir o

adequado uso e proteção das informações.

Qualquer tipo de dúvida sobre a Política de Segurança da Informação e

suas Normas deve ser imediatamente esclarecida com a área de Gestão de

Segurança da Informação.

001/2012-DP .4.

5.2. COMPORTAMENTO SEGURO Independentemente do meio ou da forma em que exista, a informação

está presente no trabalho de todos os profissionais. Portanto, é

fundamental para a proteção e salvaguarda das informações que os

profissionais adotem comportamento seguro e consistente com o

objetivo de proteção das informações, com destaque para os seguintes

itens:

Diretores, gerentes, coordenadores, funcionários e prestadores de

serviços devem assumir atitude pró-ativa e engajada no que diz

respeito à proteção das informações da BM&FBOVESPA;

Os funcionários, estagiários e demais colaboradores da

BM&FBOVESPA devem compreender as ameaças externas que

podem afetar a segurança das informações da empresa, tais como

vírus de computador, interceptação de mensagens eletrônicas,

grampos telefônicos etc., bem como fraudes destinadas a roubar

senhas de acesso aos sistemas de informação;

Assuntos confidenciais de trabalho não devem ser discutidos em

ambientes públicos ou em áreas expostas (aviões, transporte

público, restaurantes, encontros sociais etc.) incluindo a emissão de

comentários e opiniões em blogs e redes sociais;

As senhas de usuário são pessoais e intransferíveis, não podendo

ser compartilhadas, divulgadas a terceiros (inclusive funcionários,

estagiários e demais colaboradores da própria empresa), anotadas

em papel ou em sistema visível ou de acesso não protegido.

5.3. CLASSIFICAÇÃO Para assegurar a proteção adequada às informações, deve existir um

método de classificação da informação de acordo com o grau de

confidencialidade e criticidade para o negócio da BM&FBOVESPA;

As informações devem ser atribuídas a um proprietário, formalmente

designado como responsável pela autorização de acesso às informações

sob a sua responsabilidade.

5.4. ACESSO

O acesso às informações e aos ambientes tecnológicos da

BM&FBOVESPA deve ser controlado de acordo com sua classificação,

de forma a garantir acesso apenas às pessoas autorizadas. Esse controle

de acesso deve ser formalizado e contemplar, minimamente, os

seguintes itens:

001/2012-DP .5.

Procedimento formal de concessão de acesso aos sistemas de

informação;

Comprovação da autorização do acesso e verificação se o nível de

acesso concedido é apropriado ao propósito do negócio;

Utilização de identificadores (credencial de acesso)

individualizados, de forma a assegurar a responsabilidade de cada

usuário por suas ações;

Remoção tempestiva de autorizações dadas a usuários afastados ou

desligados da empresa, ou que tenham mudado de função;

Revisão periódica das autorizações concedidas;

Regras de atribuição, manutenção e uso de senhas.

5.5. MONITORAÇÃO

A área de Gestão da Segurança da Informação deve ser monitorada, por

meio de ações contínuas que permitam avaliar a efetividade e a

suficiência das atividades realizadas, considerando suas atribuições.

A área de Gestão de Segurança da Informação deve realizar, de forma

sistemática, a avaliação das vulnerabilidades relacionadas à segurança

da informação da BM&FBOVESPA. O escopo da avaliação pode ser

toda a organização, partes da organização, ou um sistema de

informação ou processo específico.

5.6. PARTES EXTERNAS Os contratos entre a BM&FBOVESPA e empresas prestadoras de

serviços que tiverem acesso às informações, aos sistemas, ou ao

ambiente tecnológico da BM&FBOVESPA devem conter cláusulas que

garantam a confidencialidade entre as partes e, minimamente,

assegurem que os profissionais sob sua responsabilidade:

Cumpram a Política e as Normas de Segurança da Informação da

BM&FBOVESPA;

Cumpram as leis e as normas que regulamentam os aspectos de

propriedade intelectual;

Protejam as informações da BM&FBOVESPA;

Assegurem que as informações, os sistemas e o ambiente

tecnológico a sua disposição sejam utilizados apenas para as

finalidades aprovadas pela BM&FBOVESPA;

Comuniquem imediatamente à área de Gestão de Segurança da

Informação qualquer descumprimento ou violação desta Política

e/ou de suas Normas e Procedimentos.

001/2012-DP .6.

6. PAPÉIS E RESPONSABILIDADES Cabe a todos os funcionários, estagiários e demais colaboradores da

BM&FBOVESPA:

Cumprir fielmente a Política, as Normas e os Procedimentos de

Segurança da Informação da BM&FBOVESPA;

Buscar orientação da área de Gestão de Segurança da Informação em

caso de dúvidas relacionadas à segurança da informação;

Formalizar a ciência e o aceite da Política de Segurança da Informação

por meio da assinatura do Termo de Compromisso previsto no Código de

Conduta da BM&FBOVESPA;

Proteger as informações contra acessos, modificação, destruição ou

divulgação não autorizados pela BM&FBOVESPA;

Assegurar que os recursos tecnológicos a sua disposição sejam utilizados

apenas para as finalidades aprovadas pela BM&FBOVESPA;

Cumprir as leis e as normas que regulamentam os aspectos de

propriedade intelectual;

Comunicar imediatamente à área de Gestão de Segurança da Informação

qualquer descumprimento ou violação desta Política e/ou de suas

Normas e Procedimentos.

Adicionalmente, foram definidas as responsabilidades e as atribuições

específicas relacionadas a seguir.

6.1. DIRETORIA EXECUTIVA Em relação à segurança da informação, cabe à Diretoria Executiva

(Diretor Presidente e Diretores Executivos):

Aprovar a Política de Segurança da Informação e suas revisões;

Quando demandada, tomar as decisões administrativas referentes aos

casos de descumprimento da Política e/ou de suas Normas

encaminhados pelo Comitê Gestor de Segurança da Informação.

6.2 DIRETOR RESPONSÁVEL PELA GESTÃO DA SEGURANÇA

DA INFORMAÇÃO

Cabe ao Diretor formalmente responsável pela Gestão da Segurança da

Informação:

Avaliar a efetividade e a suficiência das atividades realizadas pela área

de Gestão de Segurança da Informação, considerando suas

atribuições;

001/2012-DP .7.

Analisar os casos de violação desta Política e das Normas de

Segurança da Informação, encaminhando-os aos fóruns competentes,

quando for o caso;

Propor o planejamento e a alocação de recursos financeiros, humanos

e de tecnologia, no que tange à Segurança da Informação;

Acompanhar o andamento dos principais projetos e iniciativas

relacionados à Segurança da Informação.

6.3. COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO (CGSI)

Cabe ao Comitê Gestor de Segurança da Informação (CGSI):

Propor ajustes, aprimoramentos e modificações desta Política;

Propor melhorias e aprovar as Normas de Segurança da Informação;

Propor iniciativas relacionadas à melhoria da segurança da informação

da BM&FBOVESPA;

Determinar a elaboração de levantamentos e análises que deem suporte à

gestão de segurança da informação e à tomada de decisão;

Em situações de impasse, sob demanda da área de Gestão de Segurança da

Informação:

Deliberar sobre Registros de Não Conformidade;

Deliberar sobre a nomeação dos Proprietários da Informação.

O CGSI terá como membros:

– Diretor Executivo de Tecnologia e Segurança da Informação;

− Diretor de Projetos, Processos e Segurança da Informação;

– Diretor de Infraestrutura e Produção de TI;

– Diretor de Recursos Humanos;

– Diretor Administrativo;

– Representante da Diretoria Executiva de Operações, Clearings e

Risco, segmento Negociação (Diretor);

– Representante da Diretoria Executiva de Operações, Clearings e

Risco, segmento Pós-Negociação (Diretor);

– Responsável pela área de Gestão de Segurança da Informação.

A coordenação dos trabalhos do CGSI caberá ao responsável pela área

de Gestão de Segurança da Informação, cujas atribuições abrangerão a

convocação das reuniões e a realização de outros atos de suporte às

atividades desenvolvidas.

As reuniões do CGSI:

− Serão realizadas trimestralmente, podendo haver

extraordinariamente deliberações por outros meios, sempre que

necessário;

001/2012-DP .8.

− Serão instaladas com a presença de, no mínimo metade dos

membros do CGSI;

− Deliberará por maioria dos votos presentes;

− Deverão ser registradas em ata.

De acordo com a necessidade, outros profissionais da BM&FBOVESPA e

convidados externos poderão participar das reuniões do CGSI.

6.4. ÁREA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO

Cabe à área de Gestão de Segurança da Informação:

Convocar, coordenar, lavrar atas e prover apoio às reuniões do CGSI;

Prover todas as informações de gestão de Segurança da Informação

solicitadas pelo CGSI ou pelo Diretor Executivo responsável pela

área;

Prover ampla divulgação da Política e das Normas de Segurança da

Informação para todos os funcionários, estagiários e demais

colaboradores da BM&FBOVESPA;

Promover a conscientização sobre a Política de Segurança da

Informação e suas Normas a todos os funcionários, estagiários e

demais colaboradores da BM&FBOVESPA;

Propor projetos e iniciativas relacionados ao aperfeiçoamento da

segurança da informação da BM&FBOVESPA;

Estabelecer procedimentos para a gestão dos sistemas de controle de

acesso da BM&FBOVESPA, incluindo processos de concessão,

manutenção, revisão e suspensão de acessos aos usuários, tendo como

base a Política e as Normas de Segurança da Informação da

BM&FBOVESPA;

Analisar as vulnerabilidades relacionadas à segurança da informação

da BM&FBOVESPA e apresentar relatórios periódicos sobre tais

vulnerabilidades ao Diretor Executivo responsável pela área,

acompanhados de proposta de aperfeiçoamento do ambiente de

controle da Bolsa, quando for o caso;

Definir metodologia para classificação das informações; apoiar os

Proprietários da Informação no processo de classificação das

informações sob sua responsabilidade, quando demandada;

Definir metodologia para segregação de funções em sistemas de

informação; apoiar os Proprietários da Informação na definição das

regras de segregação de funções, quando demandada;

001/2012-DP .9.

Monitorar os acessos aos sistemas de informação e aos ambientes

tecnológicos, tendo como referência a Política e as Normas de

Segurança da Informação;

Realizar trabalhos de análise de segurança da informação, com o

intuito de aferir o nível de segurança dos sistemas de informação ou

dos ambientes tecnológicos em que circulam as informações da

BM&FBOVESPA;

Estabelecer mecanismo de registro e controle de não conformidade a

esta Política e às Normas de Segurança da Informação, comunicando

o CGSI;

Analisar contratos, mediante demanda da Diretoria Jurídica, sob o

ponto de vista da segurança da informação;

Propor a relação de Proprietários da Informação da

BM&FBOVESPA.

6.5. PROPRIETÁRIO DA INFORMAÇÃO

O Proprietário da Informação é um diretor ou um gerente da

BM&FBOVESPA, responsável por concessão, manutenção, revisão e

cancelamento de autorizações de acesso a determinado conjunto de

informações pertencentes à Bolsa ou sob a sua guarda.

Cabe ao Proprietário da Informação:

Elaborar, de acordo com metodologia específica e com o apoio da área

de Gestão de Segurança da Informação, a classificação das

informações sob sua responsabilidade;

Elaborar, de acordo com metodologia específica e com o apoio da área

de Gestão de Segurança da Informação, regras de segregação de

funções para informações sob sua responsabilidade;

Autorizar a liberação de acesso à informação sob sua

responsabilidade, observadas as regras de segregação de funções, a

Política e as Normas de Segurança da Informação da

BM&FBOVESPA;

Reavaliar, sempre que solicitado pela área de Gestão de Segurança da

Informação, os acessos às informações sob sua responsabilidade,

cancelando aquelas que não forem mais necessárias;

Participar da investigação de incidentes de segurança relacionados à

informação sob sua responsabilidade;

Sempre que convocado, participar de reuniões do Comitê de Gestão

de Segurança da Informação, prestando os esclarecimentos

solicitados.

001/2012-DP .10.

6.6. DIRETORIA JURÍDICA Cabe à Diretoria Jurídica:

Manter as áreas da BM&FBOVESPA informadas sobre eventuais

alterações legais e/ou regulatórias que impliquem responsabilidade

e/ou ações envolvendo a gestão de segurança da informação;

Demandar, quando necessário, análise de contratos à área de Gestão

de Segurança da Informação, que poderá propor alterações

relacionadas à segurança da informação, com o objetivo de proteger

os interesses da BM&FBOVESPA;

Avaliar, quando solicitada, as Normas e os Procedimentos de

Segurança da Informação elaborados pela área de Gestão de

Segurança da Informação da BM&FBOVESPA.

6.7. DIRETORIAS, GERÊNCIAS E COORDENADORIAS

Cabe às Diretorias, Gerências e Coordenadorias:

Cumprir e fazer cumprir esta Política, as Normas e os

Procedimentos de Segurança da Informação;

Assegurar que suas equipes possuam acesso e conhecimento desta

Política, das Normas e, quando aplicável, dos Procedimentos de

Segurança da Informação;

Comunicar imediatamente eventuais casos de violação de segurança

da informação à área de Gestão de Segurança da Informação.

6.8. DIRETORIA DE RECURSOS HUMANOS Cabe à Diretoria de Recursos Humanos:

Apoiar os Proprietários da Informação, quando demandada, na

identificação dos papéis dos funcionários e estagiários para o

processo de definição das regras de segregação de funções;

Informar, de maneira imediata, à área de Gestão de Segurança da

Informação todos os desligamentos, afastamentos, licenças, férias e

modificações no quadro funcional da empresa.

7. AÇÕES EM CASOS DE NÃO CONFORMIDADE As regras que estabelecem o controle e o tratamento de situações de não

conformidade ou de exceção relativas à Política e às Normas de Segurança

da Informação da BM&FBOVESPA devem ser descritas em Norma

específica.

001/2012-DP .11.

Nos demais casos, quando houver violação desta Política ou das Normas de

Segurança da Informação, a Diretoria Executiva poderá adotar, com o apoio

das Diretorias Jurídica e de Recursos Humanos, sanções administrativas e/ou

legais, que poderão culminar com o desligamento e eventuais processos

criminais, se aplicáveis.

8. DOCUMENTOS DE REFERÊNCIA

Código de Conduta da BM&FBOVESPA.

9. HISTÓRICO DAS REVISÕES

REV. DATA DESCRIÇÃO

1 16/02/2009 Versão inicial

1.1 10/08/2009 Primeira revisão da Política

1.2 27/12/2010 Inclusão da abrangência da política, atualização das

nomenclaturas das áreas e revisão na aplicação da política.

Inclusão de glossário com os significados dos termos usados na

política

2 08/03/2011 Inclusão dos papéis dos Diretores responsáveis por Segurança

da Informação. Atualização da composição do Comitê Gestor.

Ampliação das diretrizes, substituição de glossário por

definições, remoção de regras da Política.

001/2012-DP .12.

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA BM&FBOVESPA

– NORMA SOBRE PROPRIEDADE E CLASSIFICAÇÃO

DA INFORMAÇÃO –

1. OBJETIVO

Esta Norma apresenta as regras para a atribuição de propriedade e a

classificação das informações da BM&FBOVESPA.

2. REGRAS

2.1 PROPRIETÁRIO DA INFORMAÇÃO O Proprietário da Informação é um diretor ou gerente da BM&FBOVESPA,

formalmente indicado pela área de Gestão de Segurança da Informação como

responsável pela autorização de acesso às informações sob a sua

responsabilidade pertencentes ou sob a guarda da BM&FBOVESPA.

O papel de Proprietário da Informação é inerente ao cargo ocupado pelo

funcionário (diretor ou gerente). A substituição do Proprietário pode ocorrer

em dois casos:

Na ocorrência de desligamento ou movimentação funcional deste, seu

substituto herdará o papel; ou

Um diretor que exerça o papel de Proprietário da Informação poderá

delegá-lo a um gerente, em caráter provisório ou definitivo.

Em ambos os casos, cabe ao Diretor responsável pela área Proprietária da

Informação comunicar a mudança à área de Gestão de Segurança da

Informação. Em situações de impasse sobre a propriedade de uma informação,

a área de Gestão de Segurança da Informação encaminhará ao Comitê Gestor

de Segurança da Informação (CGSI) o assunto para deliberação.

2.2. CLASSIFICAÇÃO DA INFORMAÇÃO As informações devem ser classificadas em um dos seguintes níveis:

Confidencial restrita;

Confidencial;

Interna;

Pública.

001/2012-DP .13.

Confidencial Restrita Este nível de classificação corresponde a informações associadas ao interesse

estratégico da empresa e outras informações sujeitas a alto grau de sigilo, em

geral de acesso restrito ao diretor presidente, diretores executivos, diretores e

funcionários cujas funções requeiram conhecê-las. Como sua divulgação pode

resultar em graves consequências à empresa, tais informações exigem medidas

excepcionais de proteção contra acesso, divulgação e alteração não

autorizados.

São exemplos de informação confidencial restrita:

Posições em aberto nas Clearings;

Posições em custódia;

Projetos estratégicos tais como aquisições, fusões etc.;

Informações de processos jurídicos estratégicos;

Informações contábeis e resultados financeiros não divulgados.

Confidencial

Este nível de classificação corresponde a informações que, se divulgadas

indevidamente, podem reduzir vantagens competitivas da empresa, violar a

privacidade de indivíduos, violar acordos de confidencialidade, prejudicar

processos de negociação em andamento, dentre outros.

São exemplos de informação confidencial:

Detalhes técnicos sobre produtos em desenvolvimento;

Contratos assinados com fornecedores;

Informações pessoais de funcionários e estagiários, incluindo valores de

salários e avaliações de desempenho;

Estratégias de marketing em desenvolvimento.

Interna Este nível de classificação corresponde a informações usadas rotineiramente

pelos funcionários, estagiários e demais colaboradores da BM&FBOVESPA

na condução das atividades da empresa, não se destinando, contudo, ao

público externo.

São exemplos de informação interna:

Documentos que descrevem as rotinas operacionais da empresa;

Memorandos internos;

Políticas corporativas, padrões e procedimentos;

Anúncios e campanhas internas.

001/2012-DP .14.

Pública Este nível de classificação corresponde a informações criadas para fins de

distribuição pública, por meio de canais autorizados, que não necessitam

proteção efetiva ou tratamento específico.

São exemplos de informação pública:

Campanha de marketing externo finalizada;

Resultados financeiros após divulgação;

Informação especificamente gerada para consumo público.

2.3 TRATAMENTO DAS INFORMAÇÕES As regras abaixo devem ser observadas no tratamento das informações

classificadas:

CLASSIFICAÇÃO TRATAMENTO

Confidencial Restrita

Exemplos:

• Posições em aberto de

Clearings

• Posições de custódia

• Projetos estratégicos tais

como aquisição, fusões

etc.

Documentos eletrônicos: rótulo de

Confidencial Restrita na capa e nos rodapés

Correio eletrônico: evitar o envio. Quando

indispensável enviar somente a endereços

internos de pessoas autorizadas a acessar a

informação

Armazenamento de arquivos:

• Local (no computador): não permitido

• Diretórios de Rede: pastas com acesso

permitido somente a pessoas autorizadas

Sistemas de informação: controle de acesso e

trilhas de auditoria obrigatórios

Destruição: deve ser feita diretamente pelo

proprietário, utilizando fragmentadora

001/2012-DP .15.


Confidencial

Exemplos:

• Detalhes técnicos sobre

produtos em

desenvolvimento

• Informações pessoais de

funcionários e

estagiários

• Estratégias de marketing

em desenvolvimento

• Códigos-fontes de

sistemas da Bolsa

Documentos eletrônicos: rótulo de

Confidencial na capa e nos rodapés

Correio eletrônico: evitar o envio. Quando

indispensável enviar somente a endereços

internos de pessoas autorizadas a acessar a

informação



• Diretórios de Rede: pastas com acesso

permitido somente a pessoas autorizadas


trilhas de auditoria obrigatórios

Destruição: deve ser feita diretamente pelo

proprietário, utilizando fragmentadora

Interna

Exemplos:

• Documentos que

descrevem as rotinas

operacionais da empresa

• Memorandos internos

• Políticas corporativas,

padrões e procedimentos

• Anúncios e campanhas

internas

Documentos eletrônicos: rótulo de Interna na

capa e nos rodapés

Correio eletrônico: enviar somente a

endereços internos de pessoas autorizadas a

acessar a informação



• Diretórios de Rede: sem restrição

Sistemas de informação: controle de acesso

obrigatório; trilhas de auditoria mediante

demanda expressa do Proprietário da

Informação

Destruição: deve ser através de fragmentadora

ou depositado nos repositórios indicados para

destruição

001/2012-DP .16.


Pública

Exemplos:

• Campanha de marketing

para público em geral

após divulgação

• Resultados financeiros

após divulgação

• Informação

especificamente gerada

para consumo público

Documentos eletrônicos: sem necessidade de

rótulo

Correio eletrônico: sem restrições

Armazenamento de arquivos: Sem restrições


trilhas de auditoria mediante demanda expressa

do Proprietário da Informação

Destruição: sem restrições

As regras acima não se aplicam aos seguintes casos:

Relatórios formatados pela Bolsa e enviados ou recebidos diretamente

dos participantes (corretoras de valores e mercadorias, agentes de

custódias, investidores);

Recebimento de informações de propriedade dos participantes;

Envio de posições de custódia (extrato do investidor) aos investidores.

3. PAPÉIS E RESPONSABILIDADES NA CLASSIFICAÇÃO DA

INFORMAÇÃO A seguir, são definidas as responsabilidades e as atribuições relacionadas à

classificação da informação.

3.1 PROPRIETÁRIO DA INFORMAÇÃO Cabe ao Proprietário da Informação:

Definir a classificação das informações sob sua responsabilidade, de

acordo com os critérios estabelecidos na presente Norma;

Fornecer à área de Gestão de Segurança da Informação, sempre que

demandado, esclarecimentos sobre as informações sob sua

responsabilidade, com as respectivas classificações;

Manter atualizado, com o apoio da área de Gestão de Segurança da

Informação, inventário de informações confidenciais ou confidenciais

restritas sob sua responsabilidade, com as respectivas classificações.

001/2012-DP .17.

3.2 ÁREA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO Cabe à área de Gestão de Segurança da Informação:

Definir metodologia para classificação das informações e apoiar os

Proprietários da Informação no processo, quando demandado;

Avaliar a classificação das informações e, na ocorrência de não

conformidade com a Política e as Normas de Segurança da Informação,

encaminhá-la ao CGSI para avaliação;

Consolidar os inventários de informações confidenciais e confidenciais

restritas disponibilizados pelos Proprietários da Informação;

Manter atualizado, com o apoio das Diretorias, Gerências e

Coordenadorias de Tecnologia da Informação, o inventário de sistemas

de informação e suas respectivas classificações.

3.3 COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO (CGSI) Cabe ao Comitê Gestor de Segurança da Informação (CGSI):

Avaliar e, sempre que necessário, determinar ajustes na classificação das

informações pertencentes ou sob a guarda da BM&FBOVESPA, com

base no inventário de informações apresentado pela área de Gestão de

Segurança da Informação e nos critérios de classificação constantes de

Norma específica.

3.4 DIRETORIAS, GERÊNCIAS E COORDENADORIAS DE

TECNOLOGIA DA INFORMAÇÃO Cabe às Diretorias, Gerências e Coordenadorias da área de Tecnologia da

Informação:

Fornecer à área de Segurança da Informação, sempre que demandada,

esclarecimentos sobre os sistemas de informação sob sua

responsabilidade.

A área de Gestão de Segurança da Informação é responsável por manter

atualizado o inventário de informações e suas respectivas classificações.


Política de Segurança da Informação.

001/2012-DP .18.




1.1 10/08/2009 Primeira revisão da Norma

1.2 27/12/2010 Inclusão das regras para tratamento das informações

1.3 27/12/2011 Revisão do escopo, incluindo regras sobre a propriedade

de uma informação; Revisão do papel do Proprietário da

Informação, inclusão do papel de Diretorias, Gerências e

Coordenadorias de TI; Atualização das regras para

tratamento das informações, contemplando a utilização

de controle de acesso e trilhas de auditoria.

001/2012-DP .19.


– NORMA SOBRE GESTÃO DE USUÁRIOS E

ACESSOS A SISTEMAS DE INFORMAÇÃO –

1. OBJETIVO Esta Norma apresenta os requisitos de segurança da informação para a

administração de usuários, incluindo os processos de concessão e

cancelamento de acessos para sistemas de informação tipificados como

sistemas de negócio ou administrativos.

2. DEFINIÇÕES

Credencial de Acesso (Login) Conjunto de caracteres alfanuméricos que identifica a pessoa que tem

acesso a um sistema.

Credencial de Acesso Privilegiado Credencial que identifica a pessoa que tem acesso privilegiado ou irrestrito

aos recursos de um sistema, tais como configurações de parâmetros, gestão

de usuários e acessos e inicialização e interrupção de serviços.

Sistema Administrativo

Sistema utilizado em processos de suporte ao negócio da empresa (por

exemplo, em áreas Administrativas, Recursos Humanos, Jurídico,

Financeiro);

Sistema de Negócio Sistema utilizado diretamente em processos de negócio da Bolsa.

Usuário Funcionário, estagiário ou prestador de serviços que utiliza os recursos

computacionais e/ou sistemas de informação da BM&FBOVESPA.

3. REGRAS

3.1. REGRAS GERAIS

Sistemas de informação classificados como confidenciais ou confidenciais

restritos devem obrigatoriamente possuir controle de acesso.

001/2012-DP .20.

3.2. RASTREABILIDADE INDIVIDUAL Os usuários devem ser identificados individualmente por meio de uma

credencial de acesso (login) e senha. Cada usuário é individualmente

responsável por toda e qualquer atividade realizada sob a sua credencial

de acesso.

Credenciais de acesso compartilhadas ou genéricas não são permitidas,

exceto nos seguintes casos:

− Credencial de acesso utilizada para conexões entre sistemas

(credencial de serviço), devendo adotar-se identificação-padrão em

tais casos;

− Credenciais de acesso utilizadas em processos contínuos de

monitoração (painéis de monitoração compartilhados por diversos

usuários etc.). Nesse caso, os acessos devem permitir somente

consultas, sendo vedada a modificação/inserção de informações;

− Credenciais de acesso destinadas ao uso público (biblioteca, salas

de reunião, recintos abertos) ou cujos usuários não possam ser

identificados antecipadamente (treinamentos, leilões).

Cada credencial de acesso deve ser atribuída univocamente a um

indivíduo ou, no caso de credenciais compartilhadas ou genéricas, ao

gestor da BM&FBOVESPA responsável pela solicitação.

Cada credencial de serviço utilizada na conexão entre sistemas deve ser

específica para o fim ao qual se destina, sendo vedada a sua utilização

em outros processos de conexão ou serviços de TI.

Credenciais de serviço ou utilizadas em processos contínuos de

monitoração não devem ser utilizadas por usuários para acesso

interativo.

3.3. AUTORIZAÇÃO DE ACESSO A SISTEMAS DE INFORMAÇÃO

Os direitos de acesso deverão ser concedidos ao usuário de forma a

permitir somente o acesso mínimo necessário para a execução de suas

funções.

O acesso aos sistemas de informação da BM&FBOVESPA será liberado

de acordo com o seguinte fluxo de autorização:

Usuário que necessita ter acesso a determinado sistema de

informação solicita a liberação de acesso ao seu gerente ou

coordenador (quando se tratar de gerente ou diretor, a solicitação é

feita diretamente pelo próprio);

Gerente ou coordenador avalia o pedido, verificando se o acesso é

necessário para o exercício das funções do usuário;

001/2012-DP .21.

O Proprietário da informação ou do perfil de acesso avalia o pedido,

observando regras de segregação de funções existentes e, conforme o

caso, autoriza a liberação do acesso ao usuário.

Para a operacionalização do fluxo acima descrito, as áreas solicitantes e a

área de Gestão de Segurança da Informação deverão utilizar, como

apoio, os serviços do Service Desk, além de aplicativos de

gerenciamento de fluxo de trabalho (workflow).

A gestão de usuários atribuídos aos participantes da BM&FBOVESPA

deve ser tratada através de Norma e Procedimento específicos.

O processo de autorização deverá ser documentado e registrado por meio

de aplicativo de gerenciamento de fluxo de trabalho (workflow) ou outros

meios, a critério da área de Gestão de Segurança da Informação.

3.4. POLÍTICA DE SENHAS

3.4.1. CONFIDENCIALIDADE Todos os usuários devem zelar pela confidencialidade das senhas

atribuídas às credenciais de acesso sob sua responsabilidade.

Usuários não devem compartilhar suas senhas em hipótese alguma,

inclusive para gestores ou colaboradores de áreas de suporte técnico

da Bolsa.

Usuários não devem escrever suas senhas em papel.

Usuários não devem armazenar suas senhas em arquivos

desprotegidos ou utilizar funcionalidades existentes em sistemas

operacionais ou navegadores para tal fim.

3.4.2. COMPLEXIDADE Com o objetivo de tornar as senhas menos óbvias e, por consequência, mais

efetivas, as seguintes regras devem ser observadas por todos os usuários:

As senhas não devem conter palavras presentes no dicionário,

referência à credencial de acesso utilizada, ao nome do usuário ou de

familiares, fragmentos de nomes de documentos, datas de

aniversário, placas de carro e outros termos de fácil memorização ou

evidência.

São requisitos mínimos para a composição de senhas:

− Tamanho mínimo de oito caracteres;

− Ao menos um número ou caractere especial.

Estes requisitos devem ser obrigatórios para todos os sistemas de

informação.

001/2012-DP .22.

3.4.3. TROCA DE SENHAS Para minimizar a possibilidade de utilização indevida de uma senha, todos

os usuários devem:

Trocar a senha ao primeiro acesso a um sistema.

Trocar as senhas, no mínimo, a cada 180 dias.

Este requisito deve ser obrigatório para todos os sistemas de

informação.

Não utilizar nenhuma das últimas 6 senhas utilizadas.

3.4.4. SISTEMAS DE INFORMAÇÃO O campo disponível para entrada da senha nos sistemas de

informação deve mascarar os caracteres digitados pelo usuário.

As senhas devem ser invalidadas, no máximo, após 10 tentativas de

acesso.

As senhas não devem ser armazenadas em texto claro pelos sistemas

de informação.

3.5. CREDENCIAIS DE ACESSO ESPECIAIS

3.5.1. CREDENCIAIS-PADRÃO Credenciais-padrão – fornecidas pelo fabricante do sistema operacional,

software de terceiro ou de sistemas – devem ser desabilitadas, ou

renomeadas e ter suas senhas alteradas.

3.5.2. CREDENCIAIS DE CONVIDADO (GUEST) Não é permitido o uso de credenciais de convidado ou qualquer outro tipo

que não exija senha. A credencial de acesso de convidado (conta guest) que

acompanha o sistema deve ser excluída.

3.5.3. CREDENCIAIS DE PRESTADORES DE SERVIÇOS As credenciais de acesso atribuídas a prestadores de serviços devem possuir

data de expiração compatível com a necessidade do usuário, devendo essa

data ser novamente autorizada em caso de prorrogação.

3.5.4. CREDENCIAIS DE SERVIÇO Em algumas situações, credenciais de serviço são necessárias para

funcionamento da comunicação entre diferentes sistemas. As credenciais de

serviço devem possuir um responsável definido e, pela natureza da

utilização, a troca periódica da senha é recomendada mas não mandatória.

001/2012-DP .23.

3.5.5 CREDENCIAIS PRIVILEGIADAS O desvio dessas credenciais por atividade acidental ou deliberada pode

causar danos à empresa. Pessoas autorizadas a usar esse tipo de

credencial devem possuir outra credencial para uso nas atividades do dia

a dia que dispensem acesso privilegiado. A credencial privilegiada

deverá ser utilizada somente para a execução de atividades

administrativas que requeiram esse nível de acesso.

3.6. CANCELAMENTO DE ACESSO DE USUÁRIO

O acesso do usuário deverá ser imediatamente cancelado nas seguintes

hipóteses:

− Quando o usuário se desligar da empresa;

− Quando o usuário mudar de função dentro da empresa;

− Quando, por qualquer razão, cessar a necessidade de acesso do

usuário ao sistema de informação.

Para os cancelamentos de acesso acima previstos, a área de Gestão de

Segurança da Informação deverá ser prontamente informada sobre os

desligamentos e as mudanças de função de funcionários, estagiários e

demais colaboradores da BM&FBOVESPA, observando-se o seguinte:

− A Diretoria de Recursos Humanos será responsável por informar

todos os desligamentos de funcionários e todas as modificações

internas do quadro funcional.

− O PMO (Project Management Office) será responsável por

informar todos os desligamentos de prestadores de serviços

(terceiros) contratados pelas áreas da Diretoria Executiva de

Tecnologia e Segurança da Informação.

− As demais diretorias da BM&FBOVESPA serão responsáveis por

informar o desligamento dos prestadores de serviço por elas

contratados.

− As diretorias serão responsáveis por informar as alterações de

função dos funcionários, estagiários e demais colaboradores sob sua

responsabilidade.

4. DOCUMENTOS DE REFERÊNCIA Política de Segurança da Informação.

001/2012-DP .24.





1.2 27/12/2010 Revisão na aplicação da política, atualização de

parâmetros na política de senhas, detalhamento das

regras de credenciais de acesso, retirada de itens sobre

acesso a servidores e a banco de dados, que são agora

tratados em normas específicas

1.3 27/12/2011 Revisão da política de senhas e das responsabilidades e

simplificação do workflow para autorização de acesso

001/2012-DP .25.


– NORMA SOBRE REVISÃO DE ACESSOS A SISTEMAS DE

INFORMAÇÃO E DE INFRAESTRUTURA

1. OBJETIVO

Esta Norma estabelece os critérios relativos ao processo de revisão de acessos

lógicos ao ambiente tecnológico da BM&FBOVESPA. Tais revisões visam

assegurar a adequação dos acessos concedidos aos requisitos de segurança

estabelecidos.

2. REGRAS

2.1. ESCOPO DAS REVISÕES Devem ser submetidos a processo de revisão periódica:

Acessos concedidos a sistemas de informação;

Acessos concedidos à infraestrutura de TI e segurança da informação;

Acessos concedidos a bancos de dados; e

Acessos concedidos a recursos de rede (servidores de arquivos, acesso à

internet e acesso remoto).

2.2. PERIODICIDADE DA REVISÃO A revisão de acesso a sistemas de informação será feita conforme a

classificação da informação mais crítica contida em cada sistema, ou

outro critério formalizado pelo Comitê Gestor de Segurança da

Informação. O processo de revisão deve ser executado com a seguinte

periodicidade mínima:

Classificação do sistema Periodicidade mínima

Confidencial restrito Semestral

Confidencial Semestral

Interno Anual

As revisões de acessos concedidos à infraestrutura de TI e segurança da

informação, aos banco de dados, aos recursos de rede e acessos remotos

ao ambiente de TI devem ser executadas anualmente.

001/2012-DP .26.

2.3. PROCESSO DE REVISÃO Revisão de acesso a sistemas de informação e a acessos concedidos à

infraestrutura de TI e segurança da informação:

Caberá à área de Gestão de Segurança da Informação coordenar o

processo de revisão de acessos. Esse processo deverá ser composto, pelo

menos, das seguintes atividades:

a) Comparação da lista de acessos concedidos a funcionários com a

lista contendo o quadro funcional atualizado da BM&FBOVESPA;

b) Comparação da lista de acessos concedidos a prestadores de

serviço, inclusive terceiros, com a lista atualizada de prestadores de

serviço, fornecida pelas diretorias responsáveis; e

c) Revalidação formal, pelos Proprietários da Informação, dos acessos

concedidos às informações sob a sua responsabilidade.

O Proprietário da Informação poderá, a qualquer tempo, solicitar à área

de Gestão de Segurança da Informação (DO-GSI) a revisão dos acessos

aos sistemas (informação ou infraestrutura de TI e segurança da

informação) sob sua responsabilidade.






1.2 27/12/2010 Revisão na aplicação da política, alteração do escopo de

revisão de acessos, exclusão do item que menciona a

periodicidade de testes de vulnerabilidades, tratado na

nova Norma Sobre Avaliação Técnica de Segurança

001/2012-DP .27.


– NORMA SOBRE UTILIZAÇÃO DE TRILHAS DE AUDITORIA

EM SISTEMAS DE INFORMAÇÃO –

1. OBJETIVO

Esta Norma apresenta os critérios para utilização de trilhas de auditoria (log

de sistema) em sistemas de informação, de forma a permitir o rastreamento de

operações realizadas.

2. DEFINIÇÃO

Trilha de auditoria ou log: composta de linhas com informações referentes

aos eventos ocorridos nos sistemas, é o registro de operações – consultas,

inclusões, exclusões e alterações de dados – que acontecem em sistemas de

informação e sistemas de rede de uma organização.

3. REGRAS

3.1. DEFINIÇÃO DOS REGISTROS

Como regra geral, todas as operações de consulta, inclusão, exclusão e

alteração de informações classificadas como confidenciais restritas ou

como confidenciais devem gerar registro em trilha de auditoria.

As trilhas de auditoria devem apresentar informações que sejam

suficientes para assegurar o rastreamento dos eventos, incluindo:

Identificação do usuário;

Data e horário de ocorrência do evento;

Identificação do evento.

Cabe ao Proprietário da Informação, com o apoio das áreas de TI

responsáveis por Desenvolvimento de Sistemas:

Definir quais eventos de um sistema de informação devem possuir

registro em trilhas de auditoria;

Definir quais informações devem fazer parte deste registro.

3.2. PRAZOS DE RETENÇÃO

Os prazos de armazenamento dos registros devem ser estabelecidos pelo

Proprietário da Informação, a fim de garantir sua adequação aos requisitos

legais e/ou regulatórios vigentes.

001/2012-DP .28.

3.3.PROTEÇÃO É vedado ao administrador de sistema possuir permissão para exclusão ou

desativação das trilhas de auditoria referentes a suas próprias atividades.

As trilhas de auditoria devem possuir mecanismos apropriados de

proteção, de forma a evitar manipulação e/ou exclusão das informações

registradas.

As trilhas de auditoria devem passar por processo de backup que assegure

sua preservação pelo prazo de retenção definido pelo Proprietário da

Informação.






1.2 27/12/2010 Exclusão do item sobre registro de trilha de auditoria

para diretórios

1.3 27/12/2011 Papel do Proprietário da Informação na definição do

registro da trilha

001/2012-DP .29.


– NORMA SOBRE UTILIZAÇÃO

DE RECURSOS COMPUTACIONAIS

1. OBJETIVO

Esta Norma apresenta as regras para utilização segura dos recursos

computacionais da BM&FBOVESPA. Tais recursos incluem estações de

trabalho, softwares, correio eletrônico, internet, mídias removíveis,

impressoras e computadores portáteis.

2. REGRAS

2.1. ESTAÇÕES DE TRABALHO

2.1.1. USO GERAL

As estações de trabalho (ou desktops, computadores de mesa que

tem gabinete, teclado, mouse e monitores separados) devem

permanecer bloqueadas por senhas nos períodos de ausência do

usuário. As estações de trabalho devem estar configuradas para o

bloqueio (tela de proteção com senha) após período de inatividade

de, no máximo, 10 minutos, com exceção de estações utilizadas

como painéis de monitoração.

Toda estação de trabalho deve possuir lacre de segurança em seu

gabinete, sendo restrita à área de manutenção técnica –

Coordenadoria de Atendimento ao Cliente e Gestão do Acordo de

Serviço (DO-CGAS) – a função de colocação e/ou de remoção

desses lacres.

2.1.2. ARMAZENAMENTO DE DADOS

É proibido armazenar informações relacionadas às atividades da

BM&FBOVESPA nos discos rígidos das estações de trabalho.

É proibido armazenar informações classificadas como

confidenciais restritas ou como confidenciais em diretórios de rede

que não tenham acesso devidamente controlado. Essas

informações devem ser armazenadas em ambiente privado de rede

e/ou em ambiente compartilhado somente por pessoas autorizadas

a acessá-las.

001/2012-DP .30.

2.1.3. INSTALAÇÃO DE SOFTWARE E CONTROLE DE

LICENÇAS

É responsabilidade da Gerência de Infraestrutura Técnica,

subordinada à Diretoria de Infraestrutura e Produção de TI, (i) o

processo de homologação de softwares; (ii) a manutenção do

inventário de softwares homologados e do controle de instalações;

e (iii) o controle de licenças e de versões de softwares.

É proibida a instalação de softwares ou sistemas nas estações de

trabalho pelos usuários finais. Esse procedimento pode ser

efetuado somente pela área técnica responsável por essa atividade

(Coordenadoria de Atendimento ao Cliente e Gestão do Acordo de

Serviço, DO-CGAS).

São proibidos a instalação e o uso de softwares que não possuam

licença e/ou que não tenham sido homologados pela Gerência de

Infraestrutura Técnica.

2.1.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários ou colaboradores da área técnica

responsável (Coordenadoria de Atendimento ao Cliente e Gestão

do Acordo de Serviço, DO-CGAS) ou fornecedores contratados

para este fim pela Diretoria de Infraestrutura e Produção de TI

podem fazer manutenção, alterar configurações e instalar

dispositivos de hardware nas estações de trabalho.

Equipamentos descartados ou enviados para manutenção em

fornecedores externos devem passar por procedimento específico

(wipe) para destruição dos dados armazenados em discos internos.

2.1.5. DISPOSITIVOS DE ARMAZENAMENTO MÓVEL

É proibida a gravação de informações relacionadas às atividades

da Bolsa em dispositivos móveis de armazenamento de dados,

com exceção dos diretores da BM&FBOVESPA.

Os dispositivos móveis de armazenamento de dados utilizados

pelos diretores devem contar com recursos de segurança indicados

pela área de Gestão de Segurança da Informação.

A área de Gestão de Segurança da Informação é responsável pela

adoção de mecanismo de bloqueio das estações de trabalho, com o

intuito de prevenir a gravação não autorizada de informações em

dispositivos móveis de armazenamento.

Os funcionários e colaboradores da Bolsa que necessitarem gravar

informações em dispositivos móveis de armazenamento deverão

solicitar tal gravação ao respectivo diretor.

001/2012-DP .31.

2.1.6. SOFTWARES DE SEGURANÇA

Todas as estações de trabalho devem possuir:

– Software antivírus atualizado;

– Software de gerenciamento de estações (software que

permite a configuração de regras de bloqueio de arquivos

executáveis, de uso de dispositivos de gravação etc.); e

– Correções de segurança (hotfix, service pack) fornecidas pelo

fabricante aplicadas.

É responsabilidade da área de Gestão de Segurança da Informação

controlar a aplicação da regra prevista no item anterior.

2.1.7. DISPOSITIVOS DE CONEXÃO

As estações de trabalho conectadas à rede interna não devem possuir

placas ou dispositivos fax-modem (telefonia fixa ou móvel), dispositivos

de conexão sem fio (wireless, bluetooth) ou outro que possibilite

estabelecer conexão remota.

2.2. COMPUTADORES PORTÁTEIS

Os usuários de computadores portáteis fornecidos pela

BM&FBOVESPA (notebooks, blackberries, smartphones etc.) são

responsáveis pelo uso adequado de tais equipamentos.

Computadores portáteis (notebooks, blackberries, smartphones etc.)

pessoais ou de terceiros (não fornecidos pela empresa) não podem ser

conectados à rede interna da BM&FBOVESPA.

É proibido o armazenamento de informações classificadas como

confidenciais ou confidencias restritas em computadores portáteis,

exceto em áreas de armazenamento do disco protegidas por criptografia.

O extravio do equipamento deve ser formalizado junto à Coordenadoria

de Segurança Patrimonial (DF-CSEP) e à Coordenadoria de

Atendimento a Cliente e Gestão do Nível Serviço (DO-CGAS). Em caso

de roubo ou furto do equipamento, deve ser também providenciado

Boletim de Ocorrência junto à autoridade policial competente.

Todos os computadores portáteis devem possuir:

Software antivírus atualizado;

Software de gerenciamento de estações (software que permite a

configuração de regras de bloqueio de arquivos executáveis, de uso

de dispositivos de gravação etc.);

Softwares para controle e filtragem de acesso à internet (filtro de

conteúdo web e Firewall);

001/2012-DP .32.

Criptografia de disco; e

Correções de segurança (hotfix, service pack) fornecidas pelo

fabricante aplicadas.

2.3. CORREIO ELETRÔNICO

O sistema de correio eletrônico é destinado a fins profissionais, de forma

individual e discriminada, por intermédio exclusivo de software

homologado pela BM&FBOVESPA.

As correspondências eletrônicas poderão ser monitoradas com o intuito

de bloquear spams, vírus ou outros conteúdos maliciosos ou que violem

a Política de Segurança da Informação, podendo permanecer

temporariamente retidas para análise.

Informações classificadas como confidenciais restritas ou como

confidenciais não devem ser enviadas por mensagens eletrônicas, seja

para endereços internos ou externos, exceto com a utilização de recursos

de segurança indicados pela área de Gestão de Segurança da Informação.

É proibido abrir mensagens ou arquivos anexados a mensagens

eletrônicas com origem desconhecida.

É proibido enviar, com endereço eletrônico da BM&FBOVESPA,

mensagens com anúncios de eventos particulares, propagandas, vídeos,

músicas, mensagens do tipo corrente, campanhas ou promoções.

É proibida a utilização do e-mail corporativo para participação em fóruns

e listas de discussão não relacionados às atividades do usuário na

BM&FBOVESPA.

O uso do correio eletrônico para fins pessoais é aceitável se usado com

moderação, em caso de necessidade e quando:

– Não contrariar as normas aqui descritas;

– Não comprometer o desempenho do correio eletrônico;

– Não for utilizado para ganho ou lucro pessoal em atividades

paralelas;

– Não interferir, negativamente, nas atividades profissionais

individuais ou na de outros usuários; e

– Não interferir, negativamente, na empresa e em sua imagem.

001/2012-DP .33.

2.4. INTERNET O uso da internet destina-se às atividades profissionais do funcionário,

estagiário ou colaborador da BM&FBOVESPA, sendo voltado à

pesquisa e/ou à obtenção de informações necessárias ao exercício de suas

atividades.

Qualquer tipo de material obsceno, pornográfico, ilegal ou ofensivo

nunca deverá ser acessado, transmitido ou armazenado.

É expressamente proibido o acesso a webmails, salas de bate-papo, sites

de atividades consideradas ilegais ou potencialmente perigosas (hackers)

e sistemas de mensagens instantâneas.

Acessos a blogs, sites de relacionamentos, redes sociais, áudios e vídeos

são controlados e, de maneira geral, proibidos. Perfis específicos de

acesso podem ser criados exclusivamente para atendimento das

necessidades da BM&FBOVESPA, devendo ser justificados

formalmente pelo Diretor requisitante e aprovados pelo Comitê Gestor

de Segurança da Informação (CGSI).

Todos os acessos à internet devem ser monitorados automaticamente por

software específico e seus logs armazenados, para eventual análise e

verificação do cumprimento da Política de Segurança da Informação.

O acesso à internet para fins pessoais é aceitável se usado com

moderação e quando:

– Não contrariar as normas aqui descritas;

– Não comprometer o desempenho dos sistemas da Bolsa;

– Não for utilizado para ganho ou lucro pessoal em atividades

paralelas;

– Não interferir, negativamente, na atividade profissional individual

ou na de outros usuários; e

– Não interferir, negativamente, na empresa e em sua imagem.

2.5. USO DE APLICATIVOS DE MICROINFORMÁTICA

(Editores de Texto, Planilhas Eletrônicas, Editores de Apresentação) O uso de aplicativos de microinformática para a geração ou para o tratamento

de informações utilizadas em processos críticos da empresa (por exemplo, uso

de planilhas eletrônicas para cálculo de parâmetros de risco, curvas de preços

referenciais etc.) deve observar as seguintes regras:

Os arquivos devem possuir documentação que descreva a sua finalidade

e o seu funcionamento, e indicação da classificação das informações

contida nos mesmos;

As alterações realizadas nos arquivos devem ser documentadas e estes

devem possuir controle de versão;

Devem ser mantidas cópias das versões antigas dos arquivos;

001/2012-DP .34.

Sempre que forem efetuadas alterações nos arquivos, devem ser

executados testes de validação das mudanças, com registro (produção de

evidências) dos testes realizados;

Os arquivos devem ser armazenados em diretórios de rede seguros, aos

quais somente os funcionários e colaboradores envolvidos com o

processo tenham acesso;

É proibido o desenvolvimento de código (macros, scripts), programas,

sistemas ou bases de dados diretamente pelo usuário de áreas de negócio sem

o expresso consentimento da Diretoria Executiva de Operações e TI.

2.6. IMPRESSORAS

O uso das impressoras destina-se às atividades profissionais do

funcionário, estagiário ou colaborador da BM&FBOVESPA;

A impressão de informações classificadas com confidenciais restritas ou

confidenciais deve ser controlada, e o resultado do trabalho deve ser

supervisionado e imediatamente recolhido pelo usuário que solicitou a

impressão;

Impressoras que possuam memórias do tipo não volátil ou discos

internos devem passar por procedimento específico (wipe) para

destruição dos dados armazenados, quando descartadas ou enviadas para

manutenção em fornecedor externo.






1.2 27/12/2010 Atualização das regras para uso de computadores

portáteis, inclusão de regras específicas para

impressoras, revisão na aplicação da política, inclusão

das novas necessidades de acesso à internet, exclusão

do item que fala sobre conexões remotas, tratado na

nova Norma sobre Acesso Remoto ao

Ambiente de TI

001/2012-DP .35.


– NORMA SOBRE TRATAMENTO DE INCIDENTES DE SEGURANÇA

DA INFORMAÇÃO

1. OBJETIVO Esta norma estabelece os critérios relativos ao processo de tratamento de

incidentes de segurança da informação.

2. DEFINIÇÕES

Atividade crítica

Atividades, ativos e recursos que suportam produtos ou serviços oferecidos

pela BM&FBOVESPA.

Equipe de resposta a incidentes de Segurança da Informação A equipe de resposta a incidentes de Segurança da Informação é composta

pela área de Gestão de Segurança da Informação e por membros

temporários, que serão requisitados de acordo com sua especialidade para

colaboração na resolução de incidentes. Sua missão é minimizar os danos

causados por incidentes de segurança, bem como promover o

aperfeiçoamento dos controles internos da empresa, evitando futuras

repetições dos incidentes.

Incidente de Segurança da Informação

Considera-se incidente de segurança da informação qualquer ação que viole

a Política ou as Normas de Segurança da Informação da BM&FBOVESPA,

bem como qualquer evento que resulte ou possa resultar em perda e/ou

dano aos ativos de informação da empresa, causados por ação relacionada à

segurança da informação.

SOC – Security Operations Center É a equipe da área de Gestão de Segurança da Informação dedicada à

monitoração contínua da segurança tecnológica da BM&FBOVESPA,

atuando em regime 24x7.

3. REGRAS

Uma vez que não é possível prever todas as situações e variáveis que podem

provocar a ocorrência de incidentes de segurança, as orientações aqui

descritas são referência para a condução das ações necessárias ao seu

adequado tratamento. Elas não esgotam os exemplos e as ações a serem

tomadas, cabendo criteriosa análise de cada caso.

001/2012-DP .36.

3.1. IDENTIFICAÇÃO E COMUNICAÇÃO A identificação dos incidentes ocorrerá por monitoração pelo SOC dos

dispositivos de segurança tecnológica, ou por notificação dos diretores,

funcionários ou demais colaboradores da BM&FBOVESPA à área de

Gestão de Segurança da Informação.

Caberá ao SOC determinar se eventual anormalidade no ambiente

tecnológico da BM&FBOVESPA é resultado de problema em algum

sistema ou infraestrutura tecnológica ou de incidente de segurança.

Todo incidente de segurança deverá ser classificado, no mínimo, como

confidencial. Portanto, não deverá ser divulgado, cabendo somente à

equipe de resposta a incidentes o tratamento e a divulgação da

ocorrência.

3.2. CLASSIFICAÇÃO DO INCIDENTE Os incidentes de segurança deverão ser classificados em três categorias

conforme seu risco/impacto para a empresa, a saber:

Alto – Categoria de incidente de segurança que provocou ou pode provocar:

Paralisação de atividades críticas da empresa;

Graves danos à imagem da empresa;

Perda ou alteração não autorizada de informações vitais à empresa; ou

Acessos indevidos a informações confidenciais ou confidenciais restritas

da empresa.

Exemplos: paralisação da negociação, divulgação indevida de informações

confidenciais.

Médio – Categoria de incidente de segurança que provocou ou pode provocar:

A paralisação de atividades não consideradas críticas para a continuidade

dos principais serviços prestados pela empresa; ou

Situação que, se não controlada, possa levar à paralisação de atividades

críticas da empresa.

Exemplos: paralisação da intranet, utilização de softwares não homologados,

alteração da configuração básica da estação de trabalho etc.

Baixo – Categoria de incidente de segurança ocasionado por:

Tentativa de acesso indevido aos sistemas e bancos de dados da Bolsa

automaticamente bloqueada;

Outros, a critério da Gerência de Segurança da Informação.

Exemplos: acesso a um site na internet não permitido, tentativas de ataques

provenientes da internet bloqueados pelos firewalls.

001/2012-DP .37.

3.3. TRATAMENTO DO INCIDENTE

As evidências da ocorrência devem ser preservadas, quando possível, de

forma a subsidiar os trabalhos da Equipe de Resposta a Incidentes de

Segurança.

Os incidentes de segurança deverão ser tratados e documentados

conforme procedimento específico.

As ações para a solução de um incidente de segurança devem ser

orientadas pela Equipe de Resposta a Incidentes de Segurança. Em

situações de indisponibilidade de atividades críticas, as áreas técnicas

competentes devem agir e executar os procedimentos necessários ao

pronto restabelecimento da atividade.

3.4. ENCERRAMENTO DO INCIDENTE A avaliação de todos os aspectos relacionados ao incidente ocorrido deve

indicar os pontos que podem ser melhorados na atividade impactada.

As ocorrências devem ser reportadas periodicamente ao Comitê Gestor

de Segurança da Informação, através de relatório gerencial.





001/2012-DP .38.


– NORMA SOBRE BACK UP E RESTORE

1. OBJETIVO

Esta Norma apresenta diretrizes para backups, restores e testes periódicos de

restore da organização.

2. REGRAS

2.1. BACKUP

2.1.1. DEFINIÇÃO

O processo de criação de cópias de dados (backup) assegura a existência

da redundância dessas informações para que possam ser recuperadas

quando necessário.

Todo sistema ou informação relevante para a operação dos negócios da

BM&FBOVESPA deve possuir cópia dos seus dados de produção, para

que, em eventual indisponibilidade dos dados, seja possível recuperar ou

minimizar os impactos nas operações da empresa.

2.1.2. ESPECIFICAÇÃO DE BACKUP As especificações do backup devem conter: qual sistema ou informação

deve possuir cópias, a frequência que as cópias devem ser realizadas e o

tempo mínimo de retenção de cada cópia, de acordo com requisitos

legais e de negócio.

A definição da especificação de um backup de dados de um sistema ou

informação deve partir do Proprietário da Informação, em conjunto com

as áreas de TI responsáveis pelo sistema ou informação.

2.1.3. SOLICITAÇÃO DE BACKUP A solicitação de um backup de dados de um sistema ou informação deve

partir das áreas de TI responsáveis, com base na Especificação de

Backup elaborada em conjunto com o Proprietário da Informação.

A Gerência de Produção e Co-location (DO-GPC) deve analisar as

solicitações e verificar a existência das especificações mínimas de

backup. A implantação e a operacionalização da solicitação de backup só

poderão ocorrer após as devidas verificações.

001/2012-DP .39.

2.1.4. ALTERAÇÃO DE BACKUP O Proprietário da Informação deve comunicar imediatamente a Gerência

de Produção e Co-location (DO-GPC) eventual alteração das

especificações de backup previamente já definidas.

2.1.5. EXPIRAÇÃO DE BACKUP Ao término do período de retenção de uma cópia, seus dados serão

eliminados e sua mídia de armazenamento poderá ser utilizada para

outros fins.

2.1.6. REGISTROS DE IMPLANTAÇÃO DE BACKUP

Toda implantação de novo backup ou alteração de especificação, deve

ser devidamente registrada. Esses registros devem ser armazenados de

maneira segura para prevenir alterações e devem ser mantidos para fins

de auditoria e gestão de mudança.

2.1.7. SEGURANÇA DE BACKUP Toda infraestrutura de suporte aos processos de backup e restore deve

possuir controles de segurança para prevenção contra acessos não

autorizados, bem como mecanismos que assegurem seu correto

funcionamento.

2.1.8. IDENTIFICAÇÃO E INVENTÁRIO DE MÍDIAS DE

BACKUP

Todas as mídias de backup utilizadas por sistemas automatizados devem

estar devidamente identificadas. O controle do inventário de mídias de

backup deve ser realizado pela Gerência de Produção e Co-location (DO-

GPC).

2.1.9. EXISTÊNCIA DE BACKUP OFF-SITE

Para cada backup de dados com período de retenção superior a seis

meses, deverá ocorrer a movimentação para um local diferente (off-site)

e distante do prédio onde os backups são realizados e armazenados (on-

site).

No local de armazenamento de backup off-site, devem existir controles

de acesso físico implementados para assegurar que somente pessoas

previamente autorizadas tenham acesso.

001/2012-DP .40.

2.1.10. TRANSPORTE DE MÍDIAS DE BACKUP Para evitar acessos não autorizados, mau uso ou alteração durante o

transporte e manuseio de mídias de backup, devem ser adotados

controles que garantam a inviolabilidade e a integridade das informações

armazenadas.

O processo de transporte de mídias off-site deve seguir a periodicidade

indicada na Especificação de Backup.

2.1.11. MANUTENÇÃO DE EQUIPAMENTOS Todos os equipamentos de backup devem ter a manutenção correta para

garantir a continuidade de sua disponibilidade e sua integridade, bem

como das informações por eles tratadas.

2.1.12. DESCARTE DE MÍDIAS DE BACKUP Ao fim do ciclo de vida útil de uma mídia de backup, esta deve ser

devidamente descartada de forma controlada, segura e protegida.

2.2. RESTORE

2.2.1. DEFINIÇÃO Eventualmente, há a necessidade da recuperação de dados de algum

sistema da Bolsa. O processo de restore visa suprir essa necessidade,

para a qual houve solicitação e implantação de backup de dados.

2.2.2. SOLICITAÇÃO DE RESTORE A recuperação somente pode ser solicitada pelo Proprietário da

Informação ou por equipes de TI que suportem o sistema. Após a análise

da solicitação de restore pela Gerência de Produção e Co-location (DO-

GPC), o solicitante da recuperação deverá realizar a devida validação

dos dados recuperados.

2.2.3. LOCAL DE RESTAURAÇÃO DOS DADOS O local na qual a cópia de restauração será disponibilizada e o prazo de

recuperação deve ser acordado entre a Gerência de Produção e Co-

location (DO-GPC) e o solicitante do restore.

2.2.4. INDISPONIBILIDADE DE RESTORE Não será possível recuperar dados cujo período de retenção, definido na

Especificação de Backup, tenha expirado.

001/2012-DP .41.

2.3. TESTES PERIÓDICOS A Gerência de Produção e Co-location (DO-GPC) deve preparar anualmente

um plano para execução de testes de restauração de dados, que deve ter

escopo definido em conjunto com as áreas de negócio.

Todos os testes planejados devem ser devidamente registrados.






001/2012-DP .42.


– NORMA SOBRE REGISTRO DE

NÃO CONFORMIDADE

1. OBJETIVO

Esta Norma estabelece critérios para o registro e o tratamento de ações que, se

executadas, resultarão em situações de não conformidade ou de exceção

relativas à Política e às Normas de Segurança da Informação da

BM&FBOVESPA.

2. REGRAS

2.1. REGISTRO O objetivo do processo de Registro de Não Conformidade (RNC) é prover as

informações necessárias para a adequada gestão dos riscos de segurança da

informação decorrentes de não conformidade.

2.2. CLASSIFICAÇÃO DO RISCO O risco de uma situação de não conformidade será classificado pela área de

Gestão de Segurança da Informação, levando em consideração a combinação

da probabilidade de materialização do risco e o respectivo impacto sobre o

negócio.

Os resultados das combinações dos níveis da probabilidade e do impacto da

materialização do risco são os diferentes níveis de risco, apresentados na

tabela denominada Matriz de Risco.

Matriz de Risco

Impacto

Irrelevante Baixo Médio Alto Extremo

Pro

bab

ilid

ad

e

Quase Certa Médio Alto Muito

Alto Extremo Extremo

Provável Médio Médio Alto Muito

Alto Extremo

Moderada Baixo Médio Médio Alto Muito

Alto

Improvável Baixo Baixo Médio Médio Alto

Rara Baixo Baixo Baixo Médio Médio

001/2012-DP .43.

A classificação resultante determinará o nível de aprovação requerido para

registro, mitigação ou aceitação da situação de não conformidade:

Extremo ou Muito Alto: aprovação de dois Diretores Executivos, sendo

um deles o Diretor Executivo do solicitante;

Alto ou Médio: aprovação do Diretor Executivo do solicitante.

Baixo: aprovação dos Diretores diretamente envolvidos na situação de

não conformidade.

Se o solicitante não possuir um Diretor Executivo, a aprovação do Diretor

Executivo do solicitante deverá ser substituída pela aprovação do Diretor

Executivo responsável pela área de Gestão de Segurança da Informação.

2.3 MITIGAÇÃO OU ACEITE DO RISCO O registro deverá possuir um plano de ação que contemple a redução, a

eliminação dos riscos de segurança da informação decorrentes da situação de

não conformidade, ou a aceitação do risco, de acordo com o valor residual,

conforme a matriz de classificação.

Todo plano de ação será avaliado pela área de Gestão de Segurança da

Informação, que poderá, sempre que necessário, demandar alterações.

2.4. VALIDADE DO REGISTRO Todo registro deverá possuir prazo de validade, não superior a um ano.

O prazo de validade de um registro somente será prorrogado mediante

reavaliação e aprovação por todos os envolvidos no processo.






1.1 15/01/2010 Inclusão do conceito de aceite do risco e de mudanças

nas alçadas de aprovação

001/2012-DP .44.


– NORMA SOBRE GESTÃO DE ACESSOS A BANCOS DE DADOS

1. OBJETIVO

Esta norma apresenta os critérios para gestão dos diversos tipos de Bancos de

Dados da BM&FBOVESPA gerenciados pelo Microsoft SQL, Oracle e

Adabas.

2. DEFINIÇÕES

Sistema de Gerenciamento de Banco de Dados (SGBD)

É o conjunto de programas de computador (softwares) responsável pelo

gerenciamento de uma base de dados.

Sistemas de Informação Sistemas utilizados pelas as áreas de negócio para suportar os processos da

empresa.

Sistemas de Infraestrutura de TI Sistemas utilizados pelas áreas de TI para suportar o ambiente tecnológico

da empresa.

SRM (Service Request Manager) Ferramenta de fluxo de trabalho (workflow)

3. REGRAS

3.1. BANCO DE DADOS DO AMBINTE DE PRODUÇÃO

O acesso de usuários a Banco de Dados de Produção deve ser feito por

meio de Sistemas de Informação e não de forma direta, com exceção:

Da área responsável pela administração, suporte e manutenção dos

sistemas de gerenciamento de banco de dados – Coordenadoria de

Infra para Banco de Dados (DO-CIBD), Coordenadoria de Gestão de

Incidentes (DO-CGIN) e Coordenadoria de Gestão de Mudanças e

Implementação (DO-CGMI) que podem possuir o perfil de

administração de SGBD;

Não é permitido a liberação de acesso direto a Banco de Dados de

Produção para analistas desenvolvedores. O acesso para fins de

suporte deverá ser feito pela Coordenadoria de Gestão de Incidentes

(DO-CGIN).

Os usuários devem ser identificados individualmente por meio de uma


responsável por toda e qualquer atividade realizada sob sua credencial de

acesso;

001/2012-DP .45.

O processo de solicitação/autorização deve ser documentado e registrado

através do Service Request Manager (SRM).

3.2. SENHA DE CREDENCIAL DE ACESSO A BANCO DE DADOS DE

PRODUÇÃO

Deve ser exigido que o usuário altere a sua senha no primeiro acesso da

credencial;


Tamanho mínimo de oito caracteres;

Existência de ao menos um caractere pertencente aos seguintes grupos

de caracteres: letras maiúsculas, letras minúsculas e números; e

Proibição de utilização de qualquer uma dentre as últimas 12 senhas

utilizadas.

As senhas devem ser trocadas, no mínimo, a cada 90 dias, exceto para

credenciais de acesso utilizadas para conexões entre sistemas (credencial

de serviço).

As senhas devem ser invalidadas, no máximo, após cinco tentativas de

acesso.

3.3. CREDENCIAIS DE ACESSO ESPECIAIS

3.3.1. CREDENCIAIS-PADRÃO Credenciais-padrão, fornecidas pelo fabricante do Sistema de

Gerenciamento de Banco de Dados (SGBD) devem ser desabilitados

ou ter suas senhas alteradas.

3.3.2. CREDENCIAIS DE CONVIDADO (GUEST) Não é permitido o uso de credenciais de convidado ou qualquer outro

tipo de credencial que não exija senha.

3.4. CANCELAMENTO DE ACESSO A BANCO DE DADOS O acesso do usuário deve ser imediatamente cancelado nas seguintes

hipóteses:

Quando o usuário se desligar da empresa;

Quando o usuário mudar de função dentro da empresa; e

Quando, por qualquer razão, cessar a necessidade de acesso do usuário

ao sistema de informação.


Segurança da Informação deve ser prontamente informada acerca dos

desligamentos e das mudanças de função dos funcionários, estagiários e


001/2012-DP .46.

A Diretoria de Recursos Humanos será responsável por informar

todos os desligamentos de funcionários e todas as modificações

internas do quadro funcional.

O PMO (Project Management Office) será responsável por informar

todos os desligamentos de prestadores de serviços (terceiros)

contratados pelas áreas de TI.

As demais diretorias da BM&FBOVESPA serão responsáveis por

informar o desligamento dos prestadores de serviço por elas

contratados.

As gerências serão responsáveis por informar as alterações de função

e as movimentações internas dos funcionários, estagiários e demais

colaboradores sob sua responsabilidade.

A área de Gestão de Segurança da Informação irá demandar a exclusão

da credencial de acesso para a Coordenadoria de Infra para Banco de

Dados (DO-CIBD).





1.1 27/12/2010 Atualização de parâmetros para política de senhas, em

linha com as alterações realizadas na Norma sobre

Gestão de Usuários e Acessos a Sistemas de

Informação

001/2012-DP .47.


– NORMA SOBRE SEGURANÇA EM REDES E SERVIDORES

1. OBJETIVO Esta Norma apresenta as regras para utilização segura dos recursos de

infraestrutura de Tecnologia da Informação da BM&FBOVESPA. Tais recursos

incluem (i) servidores, (ii) áreas de armazenamento de dados em rede (SAN –

Storage Area Network) e (iii) elementos de rede (roteadores, switches e

firewalls).

2. DEFINIÇÕES

Elemento de rede Dispositivos responsáveis pela transmissão de ativos de informação através

de meios eletrônicos.

Firewall Dispositivo que tem por objetivo aplicar uma regra de acesso a um

determinado ponto de controle da rede. Sua função consiste em regular o

tráfego de dados entre redes distintas e impedir a transmissão e/ou recepção

de acessos nocivos ou não autorizados de uma rede para outra.

Storage Area Network (área de armazenamento em rede)

Rede projetada para agrupar dispositivos de armazenamento de dados.

Roteador

Equipamento usado para prover comunicação entre diferentes redes de

computadores.

Switch

Equipamento usado para prover comunicação entre elementos de uma

mesma rede de computadores.

3. REGRAS

3.1 REGRAS GERAIS

3.1.1. RASTREABILIDADE INDIVIDUAL

Credenciais de acesso compartilhadas ou genéricas não são permitidas,

exceto quando utilizada para execução de sistemas ou serviços (credencial

de serviço), devendo adotar-se identificação padrão em tais casos.

Credenciais padrão, fornecidas pelo fabricante do sistema operacional ou

do equipamento, devem ser desabilitadas ou renomeadas e ter suas

senhas alteradas.

http://pt.wikipedia.org/wiki/Rede_de_computadores



001/2012-DP .48.

Não é permitido o uso de credenciais de convidado ou qualquer outro

tipo que não exija senha. A credencial de acesso de convidado (conta

guest) que acompanha o sistema deve ser excluída.

Cada credencial de acesso deve ser atribuída a um indivíduo ou, no caso de

credenciais padrão ou de serviço, ao gestor da BM&FBOVESPA

responsável pelo recurso de infraestrutura de TI.

Cada credencial de serviço deve ser específica para o fim ao qual se

destina, sendo vedada a sua utilização em outros processos de conexão ou

serviços de TI.

Credenciais de serviço não devem ser utilizadas em hipótese alguma por

usuários para acesso interativo ou para autenticação em sistemas, exceto

naqueles para os quais foram criadas.

3.1.2. POLÍTICA DE SENHAS Deve-se exigir mudança da senha quando ocorrer o primeiro acesso do usuário

ao recurso de infraestrutura de TI.

As senhas deverão ser complexas, ou seja, não devem constituir palavras

presentes no dicionário, fragmentos de nomes de documentos, datas de

aniversário, nomes de familiares, placas de carro e outros termos de fácil

memorização ou evidência.

As senhas deverão ser trocadas, no mínimo, a cada 90 dias.


− Tamanho mínimo de oito caracteres;

− Existência de caracteres pertencentes a, pelo menos, três dos seguintes

grupos de caracteres: letras maiúsculas, letras minúsculas, números e

caracteres especiais; e

− Proibição de utilização de qualquer uma dentre as últimas 12 senhas

utilizadas.

As senhas deverão ser invalidadas, no máximo, após cinco tentativas de

acesso.

3.1.3. CANCELAMENTO DE ACESSO DE USUÁRIO

O acesso do usuário deverá ser imediatamente cancelado nas seguintes

hipóteses:

− Quando o usuário se desligar da empresa;

− Quando o usuário mudar de função dentro da empresa; e

− Quando, por qualquer razão, cessar a necessidade de acesso do usuário

ao sistema de informação.

001/2012-DP .49.


Segurança da Informação deverá ser prontamente informada acerca dos

desligamentos e das mudanças de função dos funcionários, estagiários e


− A Diretoria de Recursos Humanos será responsável por informar todos

os desligamentos de funcionários e todas as modificações internas do

quadro funcional.

− O PMO (Project Management Office) será responsável por informar

todos os desligamentos de prestadores de serviços (terceiros)

contratados pelas áreas de TI.

− As gerências de TI serão responsáveis por informar as alterações de

função e as movimentações internas dos funcionários, estagiários e

demais colaboradores sob sua responsabilidade.

3.2 SERVIDORES

3.2.1. UTILIZAÇÃO

Os servidores devem permanecer bloqueados por senha, exceto durante

manutenções e implementações. Os servidores devem estar configurados para

o bloqueio após período de inatividade de, no máximo, 10 minutos.

O acesso aos servidores deve ser realizado sempre por credenciais de acesso

identificadas e individuais. O acesso interativo através de credenciais de

serviço ou administrativas padrão do sistema operacional (root ou

administrator) não são permitidos.

Os acessos lógicos aos servidores de produção devem ser autorizados pelos

respectivos gerentes e avaliados pela Coordenadoria de Infraestrutura de

Segurança Tecnológica (DO-CIST). Essas autorizações somente serão

permitidas para usuários das seguintes áreas: Gerência de Produção e Co-

location (DO-GPC) e Gerência de Infraestrutura Técnica (DO-GIT).

O acesso interativo ao servidor só poderá ser realizado por meio dos seguintes

métodos:

− Acesso local (console); ou

− Emulação de terminal através de conexão criptografada, autenticada e

rastreável.

Não é permitida a instalação de servidores em redes de escritório, destinados

às estações de trabalho.

3.2.2. ARMAZENAMENTO E DISPONIBILIZAÇÃO DE DADOS É proibido armazenar informações classificadas como confidenciais restritas

ou confidenciais da BM&FBOVESPA nos discos rígidos em diretórios que

não tenham acesso devidamente controlado.

001/2012-DP .50.

É proibida a utilização de compartilhamento de arquivos (shares) em

servidores, exceto para:

− Servidores exclusivamente dedicados ao armazenamento e

compartilhamento de arquivos, tanto para utilização dos usuários como

para comunicação entre sistemas; e

− Temporariamente, durante diagnóstico de problema em sistemas ou

infraestrutura de TI, devendo o acesso ser limitado às equipes de TI

envolvidas no processo de suporte.

3.2.3. INSTALAÇÃO DE SOFTWARE E CONTROLE DE LICENÇAS É responsabilidade da Gerência de Infraestrutura Técnica (DO-GIT),

subordinada à Diretoria de Infraestrutura e Produção de TI: (i) o processo de

homologação de softwares; (ii) a manutenção do inventário de softwares

homologados e do controle de instalações; e (iii) o controle de licenças e de

versões de softwares.

A instalação de softwares ou sistemas e a implementação e alteração de

configurações nos servidores é de responsabilidade da Gerência de Produção e

Co-Location (DO-GPC), e deve sempre seguir as etapas do processo de

Gestão de Mudanças da BM&FBOVESPA.

São proibidos a instalação e o uso de softwares que não possuam licença e/ou

que não tenham sido homologados pela Gerência de Infraestrutura Técnica

(DO-GIT).

3.2.4. CONFIGURAÇÕES DE REDE

As configurações de rede (endereço IP, máscara de rede, default gateway) de

servidores são de responsabilidade da Gerência de Produção e Co-Location

(DO-GPC). Quaisquer mudanças nessas configurações devem sempre ser

informadas antecipadamente à Coordenadoria de Implementação e Suporte a

Rede (DO-CISR) e à Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST), para avaliação de impactos.

3.2.5. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável (DO-

GPC) ou fornecedores contratados para esse fim pela Diretoria de

Infraestrutura e Produção de TI podem fazer manutenção e instalar ou

substituir dispositivos de hardware nos servidores.

Equipamentos descartados, substituídos ou enviados para manutenção devem

passar por procedimento específico (wipe) para destruição dos dados

armazenados em discos internos.

001/2012-DP .51.

3.2.6. SOFTWARES DE SEGURANÇA Todo servidor deve possuir:

– Software antivírus atualizado, no caso de servidores com Microsoft

Windows;

– Políticas de Segurança implementadas para bloqueio do uso de

dispositivos de gravação de mídias removíveis;

– Correções de segurança (hotfix, service pack) fornecidas pelo fabricante

aplicadas.

É responsabilidade da Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST) controlar a aplicação da regra prevista no item

anterior.


Os servidores não devem possuir placas ou dispositivos fax-modem (telefonia

fixa ou móvel), dispositivos de conexão sem fio (wireless, bluetooth) ou outro

que possibilite estabelecer conexão remota.

3.3 ÁREAS DE ARMAZENAMENTO DE DADOS EM REDE (SAN)

3.3.1. UTILIZAÇÃO

O acesso às áreas de armazenamento de dados (storages) em rede deve ser

realizado sempre por credenciais de acesso identificadas e individuais. O

acesso interativo através de credenciais de serviço ou administrativas padrão

(administrator) não é permitido.

Os acessos lógicos às áreas de armazenamento de dados (storages) devem ser

autorizados pelos respectivos gerentes e avaliados pela Coordenadoria de

Infraestrutura de Segurança Tecnológica (DO-CIST). Essas autorizações

somente serão permitidas para funcionários e colaboradores das seguintes

áreas: Gerência de Produção e Co-location (DO-GPC) e Gerência de

Infraestrutura Técnica (DO-GIT).

O acesso interativo à área de armazenamento de dados (storage) só poderá ser

realizado por meio dos seguintes métodos:

− Acesso local (console); ou

− Emulação de terminal através de conexão criptografada, autenticada e

rastreável.

3.3.2. ARMAZENAMENTO E DISPONIBILIZAÇÃO DE DADOS É proibido armazenar informações classificadas como confidenciais restritas

ou confidenciais da BM&FBOVESPA em áreas de armazenamento que não

tenham acesso devidamente controlado.

001/2012-DP .52.

3.3.3. CONFIGURAÇÕES DE REDE As configurações de rede (endereço IP, máscara de rede, default gateway) são

de responsabilidade da Gerência de Produção e Co-Location (DO-GPC) e da

Gerência de Infraestrutura Técnica (DO-GIT). Quaisquer mudanças nessas

configurações devem sempre ser informadas antecipadamente à

Coordenadoria de Implementação e Suporte a Rede (DO-CISR) e à

Coordenadoria de Infraestrutura de Segurança Tecnológica (DO-CIST), para

avaliação de impactos.

3.3.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável (DO-

GPC) ou fornecedores contratados para esse fim pela Diretoria de


substituir dispositivos de hardware nos storages.

Discos descartados, substituídos ou enviados para manutenção devem passar

por procedimento específico (wipe) para destruição dos dados armazenados.


Os equipamentos de storage não devem possuir placas ou dispositivos fax-

modem (telefonia fixa ou móvel), dispositivos de conexão sem fio (wireless,

bluetooth) ou outro que possibilite estabelecer conexão remota.

3.4 ELEMENTOS DE REDE

3.4.1. USO GERAL Os elementos de rede devem permanecer protegidos por senha, exceto durante

manutenções e implementações. Os elementos devem estar configurados para

término de sessão após período de inatividade de, no máximo, 10 minutos.

O acesso aos elementos de rede deve ser realizado sempre por credenciais de

acesso identificadas e individuais. O acesso interativo através de credenciais

administrativas (enable, admin) não são permitidos.

Os acessos aos elementos de rede devem ser autorizados pelos respectivos

gerentes e avaliados pela Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST). Essas autorizações somente serão permitidas para

usuários das seguintes áreas: Gerência de Produção e Co-location (DO-GPC) e

Coordenadoria de Implementação e Suporte a Rede (DO-CISR).

O acesso interativo ao elemento de rede só poderá ser realizado por meio dos

seguintes métodos:

− Acesso local (console); e

− Emulação de terminal ou cliente específico de configuração do

elemento, através de conexão criptografada, autenticada e rastreável.

001/2012-DP .53.

3.4.2. CONTROLE DE ACESSO É proibido criar contas locais no dispositivo, com exceção daquelas

necessárias para processo de contingência.

É responsabilidade da Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST) a definição do método de autenticação e

autorização de acesso aos elementos de rede, cabendo à Coordenadoria de

Implementação e Suporte a Rede (DO-CISR) a aplicação desse controle.

3.4.3. CONFIGURAÇÕES DE ELEMENTOS DE REDE

As configurações de elementos de rede (endereço IP, máscara de rede,

default gateway, rotas, configurações de monitoramento etc.) são de

responsabilidade da Coordenadoria de Implementação e Suporte a Rede

(DO-CISR), exceto configurações de segurança (regras de acesso, gestão de

usuários e parâmetros de segurança), que estão sob responsabilidade da

Coordenadoria de Infraestrutura de Segurança Tecnológica (DO-CIST).

Todo elemento de rede deve possuir:

– Políticas de segurança implementadas; e

– Correções de segurança (hotfix, service pack) fornecidas pelo fabricante

aplicadas.

3.4.4. MANUTENÇÃO DE EQUIPAMENTOS Somente os funcionários e colaboradores da área técnica responsável

(DO-CISR) ou fornecedores contratados para esse fim pela Diretoria de


substituir dispositivos de hardware nos elementos de rede.

3.4.5. MONITORAÇÃO DA REDE

Somente os funcionários e colaboradores das áreas técnicas responsáveis

por redes (Coordenadoria de Implementação e Suporte a Rede – DO-CISR,

Coordenadoria de Projetos de Rede – DO-CPRE e Coordenadoria de

Projetos de Monitoração e Gestão – DO-CPMG) e monitoração de

segurança (Coordenadoria de Infraestrutura de Segurança Tecnológica –

DO-CIST) podem realizar atividades de monitoração e de análise de tráfego

de rede utilizando, para tal fim, equipamentos e sistemas especializados

para redes (analisadores de pacotes) e para segurança tecnológica (sensores

de detecção de invasão e afins).

001/2012-DP .54.

3.5. SEGREGAÇÃO DE AMBIENTES Os ambientes de TI devem ser adequadamente segregados, de modo a

limitar a exposição e a visibilidade dos diversos segmentos, servidores e

elementos de rede entre si, garantindo, deste modo, o acesso mínimo

necessário para o correto funcionamento do ambiente.

A definição dos critérios de Segurança da Informação para segregação dos

ambientes, bem como dos mecanismos de controle e monitoração destes, é

responsabilidade da Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST).






001/2012-DP .55.


– NORMA SOBRE SEGURANÇA PARA SISTEMAS DE INFORMAÇÃO

1. OBJETIVO Esta Norma estabelece as regras para o desenvolvimento, aquisição e

operação de sistemas de informação na BM&FBOVESPA.

2. DEFINIÇÕES

Controles de Segurança da Informação Mecanismos utilizados para reduzir a probabilidade de danos aos sistemas

de informação, ou ainda minimizar a extensão dos danos caso algum

incidente ocorra.

Vulnerabilidades

Uma vulnerabilidade é uma falha de software, hardware ou procedimento,

que pode prover a um usuário mal-intencionado, a porta aberta que ele

busca para invadir computador, rede ou ambiente e ter acesso não

autorizado a informações.

3. REGRAS

3.1. DESENVOLVIMENTO DE SISTEMAS DE INFORMAÇÃO O desenvolvimento de novos sistemas de informação, bem como eventuais

alterações nos sistemas de informação já em produção na BM&FBOVESPA

devem ser avaliados, sob a ótica da Segurança da Informação, pela

Coordenadoria de Segurança para Sistemas de Informação (DO-CSSI).

O Processo de Desenvolvimento BM&FBOVESPA (PDBB) deve prever

análises de segurança da informação no desenvolvimento de um sistema de

informação ou na alteração de um sistema já existente, com o propósito de

(i) identificar necessidades de segurança da informação e (ii) definir

requisitos e controles necessários para garantir a integridade,

disponibilidade e confidencialidade dos sistemas de informação e dos dados

por eles processados.

É responsabilidade da Coordenadoria de Segurança para Sistemas de

Informação (DO-CSSI) a definição das avaliações de segurança que devem

ser executadas durante o Processo de Desenvolvimento BM&FBOVESPA.

001/2012-DP .56.

É vedado o desenvolvimento de sistemas de informação por áreas

administrativas ou de negócio da BM&FBOVESPA. Toda necessidade das

áreas administrativas ou de negócio referentes a sistemas de informação

deve ser endereçada às áreas competentes da Diretoria de Tecnologia da

Informação.

3.2. AQUISIÇÃO DE PACOTE DE SOFTWARE DE TERCEIROS Toda aquisição de pacotes de software de terceiros para utilização no

ambiente computacional da BM&FBOVESPA deve ser avaliada, sob a ótica

da Segurança da Informação, pela Coordenadoria de Segurança para Sistemas

de Informação (DO-CSSI).

O processo de aquisição de pacotes de software de terceiros para utilização

na BM&FBOVESPA deve prever análises de segurança da informação,

com o propósito de (i) identificar necessidades de segurança da informação

e (ii) definir requisitos e controles necessários para garantir integridade,

disponibilidade e confidencialidade dos sistemas de informação e dos dados

por eles processados.

É vedada a aquisição de pacotes de software de terceiros por áreas

administrativas ou de negócio da BM&FBOVESPA. Toda necessidade das

áreas administrativas ou de negócio referentes a pacotes de software deve

ser endereçada às áreas competentes da Diretoria de Tecnologia da

Informação.


Informação (DO-CSSI) a definição das avaliações de segurança que devem

ser executadas durante o processo de aquisição de pacotes de software.

3.3. OPERAÇÃO DE SISTEMAS DE INFORMAÇÃO

Todo sistema de informação ou pacote de software de terceiros em produção

no ambiente computacional da BM&FBOVESPA deve seguir a Política e as

Normas de Segurança da Informação da BM&FBOVESPA.

Os sistemas de informação ou pacotes de software de terceiros para

utilização na BM&FBOVESPA devem passar por avaliação técnica de

segurança periódica, com o propósito de aferir o nível de efetividade dos

controles de segurança dos sistemas de informação ou pacotes de softwares

de terceiros em que circulam as informações da BM&FBOVESPA.


Informação (DO-CSSI) indicar quais controles de segurança devem ser

implementados para sanar ou mitigar os riscos decorrentes de uma

vulnerabilidade identificada durante a avaliação técnica de segurança.

001/2012-DP .57.

3.4. DOCUMENTAÇÃO Todo sistema de informação ou pacote de software de terceiros em produção no

ambiente computacional da BM&FBOVESPA deve ter arquitetura, configuração

e processo de operação adequadamente documentados.

É responsabilidade de cada Gerência das Diretorias de TI (Desenvolvimento

de Sistemas e Sistemas Externos) a manutenção adequada da documentação

dos sistemas de informação ou pacotes de software de terceiros sob sua

responsabilidade, incluindo o controle de versionamento, a correta

classificação das informações e a proteção contra acessos ou alterações

indevidas.

Os códigos-fontes dos sistemas de informação de propriedade da

BM&FBOVESPA devem ser adequadamente mantidos, incluindo o

controle de versionamento, a correta classificação das informações e a

proteção contra acessos ou alterações indevidas.

3.5. SEGREGAÇÃO DE AMBIENTES

Devem ser mantidos ambientes segregados para desenvolvimento, testes,

certificação e produção de sistemas de informação ou pacotes de softwares

de terceiros, de modo a limitar a exposição e a visibilidade dos diversos

segmentos entre si, garantindo, deste modo, o acesso mínimo necessário para

o correto funcionamento do ambiente.

A definição dos critérios de Segurança da Informação para segregação dos

ambientes, bem como dos mecanismos de controle e monitoração destes, é

responsabilidade da Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST).


Política de Segurança da Informação

Norma sobre Gestão de Acessos a Bancos de Dados

Norma sobre Gestão de Usuários e Acessos a Sistemas de Informação

Norma sobre Classificação da Informação




001/2012-DP .58.


– NORMA SOBRE AVALIAÇÃO TÉCNICA DE SEGURANÇA

1. OBJETIVO Esta Norma estabelece os critérios relativos ao processo de Avaliação Técnica de

Segurança da Informação no ambiente da BM&FBOVESPA. Tais avaliações

visam aferir o nível de efetividade dos controles de segurança dos sistemas e da

infraestrutura tecnológica em que circulam as informações da

BM&FBOVESPA.

2. DEFINIÇÕES

Análise de Vulnerabilidades É a análise dos serviços fornecidos por uma infraestrutura tecnológica e/ou

por um sistema, a fim de evidenciar pontos fracos de caráter técnico do alvo

da análise, bem como a efetividade dos controles de segurança adotados.

Teste de Invasão É a pesquisa e a exploração da uma ou mais vulnerabilidades de segurança

para obter o controle de um sistema e/ou infraestrutura tecnológica. A

atividade se baseia nas informações obtidas por meio de uma Análise de

Vulnerabilidades e se completa com verificações manuais e outras técnicas

específicas.

3. REGRAS

3.1. ESCOPO DAS AVALIAÇÕES O escopo de cada avaliação será determinado entre a área de Gestão de

Segurança da Informação e os gestores responsáveis pela infraestrutura e/ou

sistema de informação nas Diretorias de TI.

Deverá ser realizado, anualmente, por meio de contratação de consultoria

especializada, teste de invasão da infraestrutura de tecnologia da

BM&FBOVESPA. Os resultados dos testes deverão ser apresentados ao

CGSI.

001/2012-DP .59.

3.2. DESCRIÇÃO DO PROCESSO

3.2.1. ANÁLISE DE VULNERABILIDADES

A finalidade da Análise de Vulnerabilidade é enumerar e classificar

tecnicamente as vulnerabilidade associadas aos ativos tecnológicos

utilizados em um sistema e/ou infraestrutura.

Os passos abaixo deverão ser seguidos:

– coleta de informação;

– enumeração das vulnerabilidades;

– análise das vulnerabilidades;

– resultado da análise e elaboração relatório.

3.3.1. TESTE DE INVASÃO EXTERNO A finalidade do Teste de Invasão Externo é verificar a situação do ambiente

que se encontra exposto para a Internet.


– análise das vulnerabilidades (conforme item 3.2.1);

– exploração das vulnerabilidades; e

– resultado do teste e elaboração relatório.

3.3.2. TESTE DE INVASÃO INTERNO A finalidade do Teste de Invasão Interno é verificar as possíveis

vulnerabilidades da infraestrutura e/ou sistema, atuando na exploração

destas falhas sob a ótica de usuários mal intencionados com acesso a rede

interna.


– análise das vulnerabilidades (conforme item 3.2.1);

– exploração das vulnerabilidades; e

– resultado do teste e elaboração relatório.






001/2012-DP .60.


– NORMA SOBRE GESTÃO DE PERFIS DE ACESSOS A SISTEMAS DE

INFORMAÇÃO

1. OBJETIVO Esta Norma apresenta os requisitos de segurança da informação para a gestão

de perfis de acesso a sistemas de informação da BM&FBOVESPA.

2. DEFINIÇÕES



Perfil de acesso Conjunto de funcionalidades e/ou privilégios necessários para um

determinado fim, de acordo com o modelo de negócios ou necessidade

profissional.

SRM (Service Request Manager)

Ferramenta de fluxo de trabalho (workflow).

Sistemas de Informação Sistemas utilizados pelas as áreas de negócio para suportar os processos da

empresa.

3. REGRAS

3.1. DEFINIÇÃO Nos sistemas com modelo de autorização de acesso baseados em perfis, as

funcionalidades e/ou privilégios devem ser concedidos sempre através dos

perfis de acesso, nunca diretamente ao usuário.

Um perfil de acesso deve ser criado de acordo com as diferentes

necessidades de negócio da empresa, observando também os diferentes

cargos, funções, responsabilidades e qualificações.

3.2. ESPECIFICAÇÃO DE PERFIL

Um perfil de acesso deve conter o conjunto das funcionalidades e

permissões nele atribuídas.

A todo perfil de acesso deve ser atribuído um proprietário, que tem como

responsabilidades:

definir as funcionalidades e/ou privilégios do perfil;

analisar e aprovar solicitações de atribuições de usuários ao perfil.

001/2012-DP .61.

O Proprietário do Perfil de acesso deve ser formalmente aprovado pelo(s)

Proprietário(s) da(s) Informação(ões) acessadas e/ou manipuladas através

do Sistema de Informação para o qual o perfil é atribuído.

Os perfis devem ser segregados em comuns e privilegiados, de acordo com

as atribuições e funcionalidades atribuídas ao perfil.

3.3. TIPOS DE PERFIL DE ACESSO

Comum Perfil com permissões básicas de acesso ao sistema, não sendo possível

alterar parâmetros do sistema ou conceder acesso;

Privilegiado Perfil com permissões atribuídas que possibilitam a alteração de parâmetros

do sistema e realização de transações definidas como críticas pelo

proprietário da informação;

Administrativo

Perfil com permissão de administração de usuários, como concessão,

alteração e exclusão de acesso etc.

3.4. CRIAÇÃO E/OU ALTERAÇÃO DE PERFIL DE ACESSO A criação e/ou alteração de um novo perfil deverá seguir o fluxo abaixo:

O usuário que necessita de acesso a uma determinada funcionalidade de

um sistema de informação, a qual não está atribuída a um perfil definido

ou compatível, deve solicitar a criação do perfil de acesso a

Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA);

A Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA)

verifica se não haverá conflitos com a matriz de segregação de função

previamente definida pelo Proprietário da Informação e de posse dessas

informações, solicita a aprovação do Proprietário do Perfil para a

inclusão da funcionalidade em um perfil já existente ou se é necessário

criar um novo perfil;

O Proprietário do Perfil avalia o pedido e, conforme o caso, autoriza a

Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA) a alterar

um perfil existente ou a criar um novo.

Após a autorização do Proprietário do Perfil, a Coordenadoria de Gestão

de Identidades e Acessos (DO-CGIA) faz a alteração e/ou a criação de

um novo perfil e notifica o usuário. Quando a funcionalidade desejada

for atribuída a um novo perfil ou a um perfil não atribuído ao usuário, o

mesmo deve solicitar o acesso conforme processo definido na Norma

sobre Gestão de Usuários e Acessos a Sistemas de Informação.

O processo de solicitação deve ser documentado, aprovado e registrado


001/2012-DP .62.

3.5. CANCELAMENTO DE PERFIL DE ACESSO O cancelamento de um perfil de acesso deverá seguir o fluxo abaixo:

O proprietário do perfil deverá solicitar o cancelamento de um perfil ou

retirada de funcionalidades de um perfil já existente à Coordenadoria de

Gestão de Identidades e Acessos (DO-CGIA);

A Coordenadoria de Gestão de Identidades e Acessos (DO-CGIA)

executa a exclusão do perfil ou das funcionalidades de um perfil já

existente e informa o proprietário do perfil

O processo de cancelamento deve ser documentado, aprovado e registrado



Norma sobre Gestão de usuários e Acessos a Sistemas de Informação


REV. DATA DESCRIÇÃO 1 27/12/2010 Versão inicial

001/2012-DP .63.


– NORMA SOBRE GESTÃO DE ACESSO REMOTO

AO AMBIENTE DE TI

1. OBJETIVO Esta Norma apresenta as regras para utilização segura do acesso remoto ao

ambiente de Tecnologia da Informação da BM&FBOVESPA.

2. DEFINIÇÕES

Credencial de Acesso (Login) É um conjunto de caracteres alfanuméricos que identifica a pessoa que tem

acesso a um recurso computacional.



3. REGRAS

3.1 REGRAS GERAIS É responsabilidade da Coordenadoria de Infraestrutura de Segurança

Tecnológica (DO-CIST) a definição do método de acesso, bem como dos

modelos de autenticação e autorização de acesso remoto ao ambiente de TI

da BM&FBOVESPA.

Apenas coordenadores, especialistas, gerentes e diretores da

BM&FBOVESPA são elegíveis ao acesso remoto, com exceção de:

Funcionários que utilizem computadores portáteis (notebooks) da

BM&FBOVESPA no exercício da função, fora das dependências da

Bolsa (ex.: auditoria de participantes);

Funcionários e demais colaboradores que prestem suporte tecnológico

remoto a ambiente, sistemas ou processos críticos para a Bolsa; e

Funcionários em viagens, condicionado a existência de data de

expiração do acesso não superior a 30 dias.

3.2. RASTREABILIDADE INDIVIDUAL Os usuários devem ser identificados individualmente por meio de uma


responsável por toda e qualquer atividade realizada sob a sua credencial de

acesso.

Credenciais de acesso compartilhadas ou genéricas não são permitidas.

Cada credencial de acesso deve ser atribuída a um indivíduo.

001/2012-DP .64.

3.3. AUTORIZAÇÃO DE ACESSO REMOTO O acesso remoto ao ambiente de TI da BM&FBOVESPA será liberado de

acordo com o seguinte fluxo de solicitação/autorização:

Usuário solicita a liberação de acesso ao seu diretor (quando se tratar de

diretor, a solicitação é feita diretamente pelo próprio), formalizando o

motivo da requisição;

Diretor avalia o pedido verificando se o acesso é necessário para o

exercício das funções do usuário e, conforme o caso, autoriza o acesso;

Usuário encaminha a solicitação à área de Gestão de Segurança da

Informação;

A área de Gestão de Segurança da Informação avalia o pedido e,

conforme o caso e os critérios de elegibilidade dispostos nesta Norma,

libera o acesso e informa ao usuário.

Para a operacionalização do fluxo acima descrito, a área de Gestão de

Segurança da Informação deve utilizar, como apoio, os serviços do Service

Desk, além de aplicativos de gerenciamento de fluxo de trabalho

(workflow).

O processo de solicitação/autorização deverá ser documentado e registrado

por meio de aplicativo de gerenciamento de fluxo de trabalho (workflow)

ou outros meios, a critério da área de Gestão de Segurança da Informação.

O perfil de acesso remoto deve ser concedido ao usuário de forma a

permitir somente o acesso mínimo necessário para a execução de suas

funções.





2 01/03/2011 Inclusão de critérios de elegibilidade

Documents

Anexo ao Comunicado Interno 001/2012-DP …ri.bmfbovespa.com.br/fck_temp/26_2/file/CI 001_2012-DP...001/2012-DP .2. Informação: resultado do processamento, formatação e organização