Política de Seguridad de la Información

Objetivo y alcance

La Política de Seguridad de la Información establece una cultura organizacional orientada a la protección de la información, para que todas las actividades de Swapo sigan buenas prácticas de seguridad y las exigencias de la LGPD (Ley General de Protección de Datos de Brasil).

La política busca asegurar la confidencialidad, la integridad y la disponibilidad de la información bajo responsabilidad de Swapo, incluidos los datos de clientes, socios comerciales y proveedores.

Se aplica a todos los usuarios de activos e información de Swapo: colaboradores, prestadores de servicios y otras personas u organizaciones autorizadas, cualquiera que sea el vínculo. Todo proyecto interno, independientemente de su complejidad, debe considerar las directrices de la política y los riesgos involucrados.

Principios y directrices

La política adopta como pilares la confidencialidad, la integridad y la disponibilidad de la información perteneciente a Swapo o bajo su responsabilidad, con el objetivo de mitigar riesgos y la probabilidad de daños. También establece:

• uso ético y transparente de la información y de las herramientas de tecnología, con respeto a los principios de confidencialidad y de finalidad;
• segregación de funciones, con niveles de autorización documentados y definidos;
• medidas de seguridad proporcionales a los riesgos del tratamiento de datos personales;
• consideración de las directrices de seguridad en todo proyecto interno;
• actualización continua de las técnicas de seguridad, con propuestas de mejora preventivas y proactivas.

Clasificación de la información

La política determina que la información se clasifique según su importancia, con controles y tratamientos definidos para cada nivel. El propietario de la información es responsable de clasificarla. La clasificación debe prever:

• niveles de información, como confidencial, restringida, interna y pública;
• controles de protección asociados a cada nivel;
• plazo de clasificación;
• grado de riesgo en caso de exposición;
• responsable del acceso a la información.

La política prevé además prácticas de escritorio limpio y pantalla limpia para evitar la exposición de información.

Control de acceso y comunicaciones

El control de acceso gestiona y restringe el acceso de las personas a los entornos físicos y lógicos de Swapo. La política prevé:

• identificación individual, personal y exclusiva de cada usuario, con perfiles de acceso definidos por cargo y área y justificación para cada perfil asignado;
• segregación de funciones y niveles de aprobación documentados;
• autenticación multifactor en los sistemas críticos y en las cuentas administrativas;
• registro de accesos y pistas de auditoría en todos los sistemas críticos;
• restricción del uso de dispositivos externos no homologados;
• control de acceso físico a las instalaciones, con registro de visitantes, prestadores y proveedores, y monitoreo y detección de intrusión.

Para las comunicaciones y la transferencia de información, la política prevé controles de confidencialidad e integridad, uso de cifrado, restricción y segregación de redes, mecanismos de registro, monitoreo y detección, y controles de trazabilidad de la información.

Gestión de riesgos e incidentes

El área de Tecnología de la Información (TI) responde por la gestión de riesgos e incidentes relacionados con los activos. El objetivo es prevenir la indisponibilidad de las actividades y, en caso de interrupción, restablecer la normalidad lo más rápido posible, reduciendo los perjuicios.

Swapo debe mantener una estructura de identificación de riesgos y un entorno de controles internos que reduzca la probabilidad de eventos que materialicen esos riesgos.

Quien identifique un incidente debe comunicarlo de inmediato al área de TI. El área de TI debe informar sin demora al delegado de protección de datos, al Jurídico y a Cumplimiento, que evalúan los riesgos jurídicos y las medidas necesarias.

La política prevé un Plan de Continuidad de Negocios con acciones de gestión de riesgos y de incidentes, incluidos procedimientos para filtración o pérdida de información e intrusión en servidores, objetivos de tiempo y de punto de recuperación y la relación de las autoridades que deben ser comunicadas en tiempo oportuno.

También prevé un procedimiento de gestión de vulnerabilidades técnicas, con inventario de los activos que manejan información, control y restricción de la instalación de software, responsables técnicos definidos y copias de seguridad adecuadas.

Terceros, nube y transferencia internacional

El área de TI debe monitorear la contratación y el mantenimiento de terceros y de software de terceros que puedan representar riesgo de filtración o de tratamiento irregular de datos personales.

La contratación de servicios que usan servidores en otros países puede implicar una transferencia internacional de datos. Por eso, cada caso debe ser evaluado previamente por el área de TI, con la lectura de los términos de uso y de los contratos relativos a la parte técnica y al almacenamiento de datos.

La transferencia internacional de datos personales solo debe ocurrir hacia países con un nivel de protección igual o superior al exigido por la LGPD o mediante salvaguardas técnicas y jurídicas definidas en instrumentos propios. La política exige cláusula contractual estándar, mecanismos técnicos adecuados y el compromiso del destinatario con las obligaciones de la LGPD.

Protección de datos personales

La política integra la protección de datos personales a la seguridad de la información. Están previstos:

• privacidad por defecto (privacy by default): evaluación de las prácticas de recolección y retención para evitar un tratamiento excesivo de datos;
• privacidad desde el diseño (privacy by design): controles de privacidad y protección de datos en la implementación de nuevas tecnologías;
• evaluación de la protección de datos en los sistemas siempre que cambien las prácticas de gestión y protección de datos;
• apoyo del área de TI al delegado de protección de datos en la implementación de mecanismos que garanticen los derechos de los titulares de los datos;
• análisis de violaciones y filtraciones de datos personales, con recolección de evidencias técnicas y derivación al Jurídico cuando sea necesario.

Cultura y capacitación

La Directorio Ejecutivo debe establecer normas, procedimientos y actividades de capacitación y concientización que incentiven el cumplimiento de la política.

El área de TI debe ofrecer capacitaciones específicas para evitar errores humanos, con orientaciones sobre spam, phishing, intercambio de contraseñas y otras prácticas que puedan generar vulnerabilidades.

Los gestores deben tener una conducta ejemplar y divulgar las directrices a sus equipos, dejando claro, desde la contratación, qué activos y actividades de seguridad corresponden a cada usuario.

Los usuarios deben leer, comprender y seguir íntegramente la política y las normas relacionadas. La política prevé un compromiso con las reglas de seguridad, que deben firmar los usuarios.

Responsabilidades, sanciones y revisión

• Directorio Ejecutivo: establecer normas, procedimientos y acciones de concientización y colaborar en la difusión y la revisión de los documentos.
• Área de Tecnología de la Información: proveer un entorno y una infraestructura seguros, identificar y divulgar alertas sobre nuevas amenazas, definir directrices de inventario de activos, acompañar los proyectos internos, mantener y colaborar en la actualización de las políticas y reportar al delegado de protección de datos las cuestiones de seguridad de la información.
• Gestores y demás áreas: divulgar y cumplir la política y aplicar la segregación de funciones.
• Usuarios: conocer y seguir la política y las normas relacionadas.

El incumplimiento de la política puede dar lugar a sanciones administrativas o contractuales, conforme a los procedimientos disciplinarios vigentes.

La política está fechada el 21/09/2026. La Directorio Ejecutivo participa en su revisión, y el área de TI colabora en su actualización.

Base normativa

• Ley n.º 13.709/2018 (Ley General de Protección de Datos Personales).
• Resolución BCB n.º 85/2021, norma aplicable a la divulgación del resumen de las líneas generales de la política de seguridad cibernética (no citada en el documento presentado).

Sobre esta versión

Versión pública del documento “Política de Seguridad de la Información”, del 21/09/2026, que forma parte de la solicitud de autorización presentada al Banco Central de Brasil. La autorización aún no ha sido concedida.

El texto resume el documento interno. Se omitieron datos personales (LGPD), parámetros de monitoreo y detalles técnicos cuya divulgación perjudicaría la seguridad, la prevención de fraudes y la prevención del lavado de dinero, además de condiciones sujetas a confidencialidad comercial (Resolución BCB n.º 520/2025, art. 52, § 2). Esta versión no sustituye el contrato de prestación de servicios ni la regulación aplicable.

Todas las políticas · Centro de Transparencia