Política de Mascaramento e Pseudonimização de Dados - PME

A Política de Mascaramento e Pseudonimização de Dados P16S define requisitos robustos e aplicáveis para proteger dados sensíveis, dados pessoais e dados confidenciais em pequenas e médias empresas (PMEs). O seu objetivo central é garantir que dados reais nunca são expostos em cenários de não produção, analítica ou prestadores de serviços terceiros, salvo quando absolutamente necessário. Ao impor a utilização de técnicas de mascaramento de dados e pseudonimização sempre que identificadores reais não sejam necessários, esta política serve para reduzir os riscos de exposição, uso indevido ou violação acidental. Esta é uma política para PMEs, indicada pelo seu código documental (P16S) e pela atribuição explícita do Diretor-Geral (DG) como proprietário e aplicador da política. A política é cuidadosamente adaptada a organizações sem centros de operações de segurança (SOC) dedicados ou CISO. Em vez disso, são estabelecidas funções claras para o Diretor-Geral, prestadores de suporte de TI (internos ou externos), líderes departamentais e todo o pessoal. O DG é responsável por deter a política, supervisionar a conformidade em todos os departamentos e terceiros, rever exceções e registos de transformação e coordenar respostas a incidentes conforme necessário. O suporte de TI tem a responsabilidade de selecionar ferramentas aprovadas, documentar transformações, manter registos e assegurar que o mascaramento é aplicado de forma consistente antes de qualquer transferência de dados ou análise fora de ambientes de produção. Abrangendo dados estruturados e dados não estruturados, a política aplica-se a quaisquer dados classificados como dados pessoais, confidenciais ou sensíveis, independentemente de onde estejam armazenados: nas instalações, na nuvem ou em dispositivos do pessoal. A sua cobertura estende-se a todas as ferramentas e métodos para mascaramento de dados, tokenização ou pseudonimização, sejam open-source, comerciais ou proprietários. Cenários típicos incluem a preparação de conjuntos de dados de teste ou desenvolvimento, exportações de dados para analítica, acesso de fornecedores a sistemas operacionais e a aplicação de proteção e minimização de dados para redução do risco. Uma governação rigorosa é mantida através de processos rastreáveis e auditáveis. Apenas podem ser utilizados métodos de transformação aprovados pela TI; todas as atividades devem ser registadas e revistas trimestralmente. A política formaliza o mascaramento (com dados fictícios, aleatórios ou ofuscados) quando apenas são necessários valores de teste, e a pseudonimização (com chaves de mapeamento mantidas de forma segura e registadas) quando é necessária ligação de dados sem revelar identidades. São exigidas técnicas de preservação de formato quando a compatibilidade é necessária, e a tokenização é imposta com registo centralizado e controlos rigorosos sobre a reversibilidade do token. Avaliações de riscos periódicas pelo DG e um processo estruturado de exceções, com justificação de negócio, revisão de risco e expiração, oferecem flexibilidade sem comprometer a segurança. A política proíbe estritamente a utilização de dados reais em ambientes com menor segurança, mascaramento manual ou inconsistente, reidentificação antiética ou acesso não autorizado a chaves de mapeamento. Os requisitos de conformidade, monitorização e revisão são um pilar central. A política impõe revisões trimestrais e anuais, canais detalhados de auditoria e reporte e sanções claras para violações, alinhando as operações com a ISO/IEC 27001:2022, 27002:2022, GDPR, NIS2, DORA, COBIT 2019 e normas NIST. Esta abordagem assegura não só a conformidade regulamentar e o apoio à certificação, mas também uma proteção de dados prática e aplicável no contexto de PMEs.