Política de Segurança da Informação

Objetivo e abrangência

A Política de Segurança da Informação estabelece uma cultura organizacional voltada à proteção da informação, para que todas as atividades da Swapo sigam boas práticas de segurança e as exigências da Lei Geral de Proteção de Dados Pessoais (LGPD).

A política busca assegurar a confidencialidade, a integridade e a disponibilidade das informações sob responsabilidade da Swapo, incluindo dados de clientes, parceiros comerciais e fornecedores.

Ela se aplica a todos os usuários de ativos e informações da Swapo: colaboradores, prestadores de serviço e outras pessoas ou organizações autorizadas, qualquer que seja o vínculo. Todo projeto interno, independentemente da complexidade, deve considerar as diretrizes da política e os riscos envolvidos.

Princípios e diretrizes

A política adota como pilares a confidencialidade, a integridade e a disponibilidade das informações pertencentes à Swapo ou sob sua responsabilidade, com o objetivo de mitigar riscos e a probabilidade de danos. Também estabelece:

• uso ético e transparente das informações e das ferramentas de tecnologia, em respeito aos princípios da confidencialidade e da finalidade;
• segregação de funções, com níveis de autorização documentados e definidos;
• medidas de segurança proporcionais aos riscos do tratamento de dados pessoais;
• consideração das diretrizes de segurança em todo projeto interno;
• atualização contínua das técnicas de segurança, com propostas de melhoria preventivas e proativas.

Classificação da informação

A política determina que as informações sejam classificadas conforme sua importância, com controles e tratamentos definidos para cada nível. O proprietário da informação é responsável por classificá-la. A classificação deve prever:

• níveis de informação, como confidencial, restrita, interna e pública;
• controles de proteção associados a cada nível;
• prazo de classificação;
• grau de risco em caso de exposição;
• responsável pelo acesso à informação.

A política prevê ainda práticas de mesa limpa e tela limpa para evitar a exposição de informações.

Controle de acesso e comunicações

O controle de acesso gerencia e restringe o acesso de pessoas aos ambientes físicos e lógicos da Swapo. A política prevê:

• identificação individual, pessoal e exclusiva de cada usuário, com perfis de acesso definidos por cargo e área e justificativa para cada perfil atribuído;
• segregação de funções e alçadas de aprovação documentadas;
• autenticação multifator nos sistemas críticos e nas contas administrativas;
• registro de acessos e trilhas de auditoria em todos os sistemas críticos;
• restrição ao uso de dispositivos externos não homologados;
• controle de acesso físico às dependências, com registro de visitantes, prestadores e fornecedores, e monitoramento e detecção de intrusão.

Para as comunicações e a transferência de informações, a política prevê controles de confidencialidade e integridade, uso de criptografia, restrição e segregação de redes, mecanismos de registro, monitoramento e detecção e controles de rastreabilidade das informações.

Gestão de riscos e incidentes

A área de Tecnologia da Informação (TI) responde pela gestão de riscos e incidentes relacionados aos ativos. O objetivo é prevenir a indisponibilidade das atividades e, em caso de interrupção, restabelecer a normalidade o mais rápido possível, reduzindo os prejuízos.

A Swapo deve manter estrutura de identificação de riscos e um ambiente de controles internos que reduza a probabilidade de eventos que materializem esses riscos.

Quem identificar um incidente deve comunicá-lo imediatamente à área de TI. A área de TI deve informar prontamente o encarregado de dados, o Jurídico e o Compliance, que avaliam os riscos jurídicos e as medidas necessárias.

A política prevê um Plano de Continuidade de Negócios com ações de gestão de riscos e de incidentes, incluindo procedimentos para vazamento ou perda de informações e invasão de servidores, objetivos de tempo e de ponto de recuperação e a relação das autoridades que devem ser comunicadas em tempo hábil.

Também prevê um procedimento de gestão de vulnerabilidades técnicas, com inventário dos ativos que lidam com informações, controle e restrição da instalação de softwares, responsáveis técnicos definidos e backups adequados.

Terceiros, nuvem e transferência internacional

A área de TI deve monitorar a contratação e a manutenção de terceiros e de softwares de terceiros que possam representar risco de vazamento ou de tratamento irregular de dados pessoais.

A contratação de serviços que usam servidores em outros países pode implicar transferência internacional de dados. Por isso, cada caso deve ser avaliado previamente pela área de TI, com a leitura dos termos de uso e dos contratos relativos à parte técnica e ao armazenamento de dados.

A transferência internacional de dados pessoais só deve ocorrer para países com nível de proteção igual ou superior ao exigido pela LGPD ou mediante salvaguardas técnicas e jurídicas definidas em instrumentos próprios. A política exige cláusula contratual padrão, mecanismos técnicos adequados e o compromisso do destinatário com as obrigações da LGPD.

Proteção de dados pessoais

A política integra a proteção de dados pessoais à segurança da informação. Estão previstos:

• privacidade por padrão (privacy by default): avaliação das práticas de coleta e retenção para evitar tratamento excessivo de dados;
• privacidade desde a concepção (privacy by design): controles de privacidade e proteção de dados na implementação de novas tecnologias;
• avaliação da proteção de dados nos sistemas sempre que mudarem as práticas de gerenciamento e proteção de dados;
• apoio da área de TI ao encarregado de dados na implementação de mecanismos que garantam os direitos dos titulares;
• análise de violações e vazamentos de dados pessoais, com coleta de evidências técnicas e encaminhamento ao Jurídico quando necessário.

Cultura e treinamento

A Diretoria Executiva deve estabelecer normas, procedimentos e atividades de treinamento e conscientização que incentivem o cumprimento da política.

A área de TI deve oferecer treinamentos específicos para evitar erros humanos, com orientações sobre spam, phishing, compartilhamento de senhas e outras práticas que possam gerar vulnerabilidades.

Os gestores devem ter postura exemplar e divulgar as diretrizes às suas equipes, deixando claro, desde a contratação, quais ativos e atividades de segurança cabem a cada usuário.

Os usuários devem ler, compreender e seguir integralmente a política e as normas relacionadas. A política prevê termo de compromisso com as regras de segurança, a ser assinado pelos usuários.

Responsabilidades, sanções e revisão

• Diretoria Executiva: estabelecer normas, procedimentos e ações de conscientização e auxiliar na disseminação e na revisão dos documentos.
• Área de Tecnologia da Informação: prover ambiente e infraestrutura seguros, identificar e divulgar alertas sobre novas ameaças, definir diretrizes de inventário de ativos, acompanhar os projetos internos, manter e auxiliar na atualização das políticas e reportar ao encarregado de dados as questões de segurança da informação.
• Gestores e demais áreas: divulgar e cumprir a política e aplicar a segregação de funções.
• Usuários: conhecer e seguir a política e as normas relacionadas.

O descumprimento da política pode levar à aplicação de sanções administrativas ou contratuais, conforme os procedimentos disciplinares vigentes.

A política é datada de 21/09/2026. A Diretoria Executiva participa da sua revisão, e a área de TI auxilia na sua atualização.

Base normativa

• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais).
• Resolução BCB nº 85/2021, norma aplicável à divulgação do resumo das linhas gerais da política de segurança cibernética (não citada no documento protocolado).

Sobre esta versão

Versão pública do documento “Política de Segurança da Informação”, de 21/09/2026, que integra o pedido de autorização apresentado ao Banco Central do Brasil. A autorização ainda não foi concedida.

O texto resume o documento interno. Foram omitidos dados pessoais (LGPD), parâmetros de monitoramento e detalhes técnicos cuja divulgação prejudicaria a segurança, a prevenção a fraudes e a prevenção à lavagem de dinheiro, além de condições sujeitas a sigilo negocial (Resolução BCB nº 520/2025, art. 52, § 2º). Esta versão não substitui o contrato de prestação de serviços nem a regulamentação aplicável.

Todas as políticas · Central de Transparência