Política de Controlos Criptográficos

A Política de Controlos Criptográficos (P18) estabelece os controlos obrigatórios que regem a utilização de mecanismos criptográficos em toda a organização para assegurar a Confidencialidade, Integridade e Disponibilidade (CID) e a autenticidade de toda a informação sensível e dados regulamentados. Reconhecendo que a criptografia é fundamental para comunicações seguras, conformidade regulamentar e proteção de dados, esta política descreve requisitos detalhados alinhados com normas globais de referência e mandatos regulamentares em evolução. O objetivo principal é garantir que métodos criptográficos adequados são aplicados de forma consistente sempre que dados sensíveis são transmitidos, tratados ou armazenados, reforçando a confiança organizacional e suportando operações seguras em todos os domínios de negócio. A política aplica-se a toda a organização, abrangendo todas as funções de negócio, todo o pessoal e prestadores de serviços terceiros relevantes envolvidos em operações criptográficas. A cobertura estende-se por ambientes de produção, desenvolvimento, staging, sistemas de cópia de segurança e ambiente de recuperação em caso de desastre, com referência explícita a sistemas que tratam dados Confidencial, Altamente Confidencial ou dados regulamentados. Os casos de utilização criptográfica incluem cifragem simétrica e assimétrica, assinaturas digitais, hashing seguro e cifragem ao nível de Interfaces de Programação de Aplicações, bem como geração, distribuição e destruição robustas de chaves, incluindo tecnologias como Hardware Security Modules (HSMs), Trusted Platform Modules (TPMs) e Key Management Systems (KMS). É estabelecido um quadro de governação robusto, liderado pelo Gestor de Segurança da Informação ou CISO, que detém a política e assegura a sua conformidade com a ISO/IEC 27001:2022 Anexo A Controlo 8.24, entre outros. O Líder de Operações Criptográficas mantém a Lista de Métodos Criptográficos Aprovados (ACML) e o Registo de Gestão de Chaves, liderando a revisão e integração de novas tecnologias. Superiores hierárquicos diretos, administradores de sistemas, Proprietário do ativo, desenvolvedores e prestadores terceiros recebem responsabilidades claras para aprovação, configuração, aplicação e revisão de controlos criptográficos nas suas áreas. São impostas revisões anuais e Revisões de Conceção Criptográfica (CDRs) para todas as implementações novas ou modificadas, assegurando alinhamento com ameaças atuais e requisitos regulamentares. Os requisitos de implementação da política são abrangentes. Apenas algoritmos e protocolos aprovados pela organização, incluindo AES-256 para cifragem simétrica, RSA 2048+/ECC para assimétrica, SHA-256/SHA-3 para hashing e TLS 1.2+ para transporte, podem ser utilizados. É definido um processo formal e centralmente gerido de gestão de chaves, cobrindo geração, armazenamento, utilização, rotação, revogação, destruição e renovação de certificados, com documentação num registo central. A segregação de funções e a custódia dupla para operações sensíveis asseguram responsabilização e reduzem o risco interno, enquanto a monitorização contínua identifica expiração de certificados, utilização de cifras obsoletas e acesso não autorizado a chaves. O tratamento de risco, exceções e aplicação é rigoroso. O desvio de algoritmos padrão requer um processo de aprovação documentado, incluindo avaliação de riscos e controlos compensatórios. Auditoria anual de controlos criptográficos, escalonamento rigoroso para incumprimento ou comprometimento de chaves e medidas disciplinares ou remédios contratuais formais são procedimentos padrão. A política é revista e atualizada regularmente em resposta a novas vulnerabilidades criptográficas, alteração regulamentar, auditorias operacionais ou atualizações significativas de ferramentas, com comunicação centralizada e controlo de versões através do Registo de Controlo de Documentos do SGSI.