Política de Utilização Aceitável

A Política de Utilização Aceitável (AUP) estabelece as normas para a utilização responsável, segura e lícita dos sistemas de informação, recursos tecnológicos e ativos de dados de uma organização. O objetivo geral é definir atividades aceitáveis e proibidas ao interagir com a infraestrutura de computação da empresa, incluindo estações de trabalho, dispositivos móveis, servidores, serviços em nuvem e redes. Esta política garante que todos os utilizadores — desde trabalhadores e prestadores de serviços até fornecedores terceiros — estão cientes das suas responsabilidades na defesa da Confidencialidade, Integridade e Disponibilidade dos ativos de informação da organização. De acordo com a política, o âmbito é abrangente, abrangendo cada indivíduo e entidade a quem seja concedido acesso, bem como todas as formas de tecnologia e dados corporativos. Aplica-se de forma equivalente em escritórios corporativos, configurações de trabalho remoto e localizações no terreno. Não só os utilizadores tradicionais de TI devem cumprir, como também qualquer pessoa que opere ao abrigo de acordos de Traga o Seu Próprio Dispositivo (BYOD) ou através de ambientes híbridos. Cada utilizador é obrigado a efetuar a tomada de conhecimento da política como condição prévia para o acesso a sistemas e dados, e essa tomada de conhecimento é mantida para auditoria e conformidade. Os objetivos da política sublinham a importância de estabelecer limites claros para ações permitidas e proibidas. Impõe a prevenção de acesso não autorizado ou violação de dados através de ameaças orientadas pelo comportamento, como utilização negligente, instalação de software não autorizado ou evasão de controlos de segurança. Para salvaguardar a conformidade, são delineados papéis e responsabilidades para a Alta Direção (aprovação e supervisão da política), Equipas de TI e de Segurança da Informação (aplicação técnica, monitorização, investigação), gestores (supervisão local, tratamento de violações menores), Recursos Humanos e Jurídico (medidas disciplinares, legalidade da política) e todos os utilizadores (utilização ética, notificação de incidentes, proteção de credenciais de autenticação). As medidas de governação e aplicação são concebidas de forma estruturada. Os utilizadores devem realizar confirmações formais e formação recorrente, reforçando a sensibilização e o comportamento ético. As Equipas de TI e de Segurança da Informação implementam sistemas de filtragem Web e de correio eletrónico, segurança de endpoints e sistemas de monitorização para aplicar tecnicamente as regras, enquanto revisões periódicas asseguram que os controlos permanecem eficazes. As atividades proibidas são listadas explicitamente, abrangendo acesso não autorizado, implementação de malware, uso para proveito pessoal, utilização excessiva de recursos e tentativas de contornar mecanismos de segurança. Existe também um tratamento rigoroso da utilização de BYOD, cifragem e práticas de trabalho remoto, com requisitos técnicos e processuais para a segurança de dispositivos e dados. Os mecanismos de resposta a incidentes exigem que os utilizadores comuniquem eventos de segurança, acesso não autorizado ou perda de dispositivos de forma célere através de canais oficiais. As violações são tratadas com medidas disciplinares proporcionais — desde retreino e suspensão de acesso até cessação ou ação judicial —, tudo documentado para fins legais e de auditoria. Importa salientar que a política protege o anonimato do mecanismo de denúncia e proíbe retaliação, promovendo uma cultura de responsabilização. Alinhada com normas internacionais reconhecidas, como ISO/IEC 27001:2022 (Cláusula 5.10 e controlos selecionados do Anexo A), NIST SP 800-53, RGPD da UE, NIS2, DORA da UE e COBIT 2019, a AUP é construída para resistir ao escrutínio de conformidade, jurídico e auditoria. É regida por ciclos de revisão prescritos, controlo de versões e requisitos de gestão documental para garantir a sua relevância à medida que os riscos evoluem e o ambiente regulamentar muda. Além disso, a política estabelece ligações explícitas a políticas-chave relacionadas, como a Política de controlo de acesso, o Quadro de gestão de riscos e a Política de trabalho remoto, assegurando uma abordagem holística e em camadas à governação do risco cibernético organizacional.