Política de Utilização da Nuvem

A Política de Utilização da Nuvem (P27) fornece uma norma unificada e obrigatória para adotar, gerir e governar serviços de computação em nuvem, abrangendo os modelos Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) e Software-as-a-Service (SaaS). O seu objetivo é assegurar que toda a utilização organizacional de plataformas de nuvem é segura, está em conformidade com as obrigações regulamentares relevantes e suporta a eficiência operacional e a inovação, protegendo a confidencialidade, integridade e disponibilidade dos ativos de informação. O âmbito da política é abrangente, aplicando-se a todos os trabalhadores e prestadores de serviços, fornecedores terceiros e consultores envolvidos em qualquer provisionamento de acessos, configuração, administração ou utilização de serviços de nuvem. Este alcance estende-se a implementações de nuvem pública, privada, híbrida e comunitária, abrange todas as classificações de dados e inclui explicitamente tanto ambientes internos como ambientes alojados por fornecedores, bem como a prevenção de shadow IT e a utilização de nuvem pessoal para fins de negócio. Os principais objetivos da política incluem: definir orientações e linhas de base claras para a adoção de nuvem, minimizar riscos operacionais e regulamentares (como configurações incorretas, violação de dados e acesso não autorizado) e impor controlos robustos de segurança e privacidade através de obrigações contratuais, avaliação contínua e direitos de auditoria para todos os fornecedores de nuvem. A política exige a manutenção central de um Registo de Serviços de Nuvem, supervisionado pelo Diretor de Segurança da Informação (CISO), que cataloga fornecedores aprovados, tipos de serviço, classificações de risco, proprietários de negócio e atributos contratuais, suportando uma gestão rigorosa do ciclo de vida e monitorização contínua da conformidade. Os papéis e responsabilidades são delineados com precisão, atribuindo funções de gestão e supervisão à alta direção, ao Diretor de Segurança da Informação (CISO), ao Arquiteto de Segurança de Nuvem, às Operações de TI, à aquisição, ao Jurídico e Conformidade, aos Proprietários dos ativos de informação e aos utilizadores finais. A política aplica controlos técnicos e procedimentais rigorosos: gestão de identidades e acessos baseada em identidade (com controlo de acesso baseado em funções (RBAC) e autenticação multifator obrigatórios para contas administrativas), configurações de segurança de referência, cifragem (utilizando normas aprovadas pelo NIST), requisitos de registo de auditoria e integração de serviços de nuvem com sistemas de Security Information and Event Management (SIEM). Os contratos com fornecedores de nuvem devem abordar direitos de auditoria, prazos de notificação de violações notificáveis, devolução/eliminação de dados e monitorização contínua da conformidade. Os dados só podem ser transferidos para a nuvem após classificação de dados, e as transferências transfronteiriças devem cumprir regulamentos estabelecidos como o GDPR. A gestão de riscos é central: quaisquer desvios exigem exceções documentadas, planos de tratamento de riscos detalhados, aprovação pelo Diretor de Segurança da Informação (CISO) ou pelo Arquiteto de Segurança de Nuvem e revisão multinível para cenários de alto risco. A governação contínua é assegurada através de monitorização contínua da conformidade regular, integração com resposta a incidentes (escalonada através da Política de Resposta a Incidentes (P30)), revisões anuais e atualizações intercalares motivadas por resultados de incidentes, migração de sistemas ou alterações às políticas. Violações das disposições da política, como a utilização de contas de nuvem não autorizadas ou a negligência de controlos exigidos, desencadeiam um conjunto de consequências, desde formação até ação jurídica ou cessação. A Política de Utilização da Nuvem interliga-se com políticas relacionadas de segurança da informação, gestão de alterações, classificação e tratamento da informação, controlos criptográficos, registo e monitorização, resposta a incidentes e auditoria, reforçando ainda mais o seu papel como a base autoritativa de governação de nuvem.