Política de Mascaramento e Pseudonimização de Dados

A Política de Mascaramento e Pseudonimização de Dados (P16) articula um quadro abrangente para salvaguardar dados pessoais, confidenciais e sensíveis, minimizando riscos de exposição e de identificabilidade. Concebida como um pilar fundamental para tecnologias de reforço da privacidade (PETs), esta política estabelece a abordagem da organização à implementação de mascaramento de dados estático e dinâmico, bem como pseudonimização, em conformidade com requisitos legais, regulamentares e operacionais rigorosos. Estruturada para se aplicar a todo o pessoal, contratados, terceiros e fornecedores que tratem dados sensíveis, o âmbito da política estende-se a todos os ambientes de dados, sejam de ambiente de produção, desenvolvimento, teste ou sistemas alojados na nuvem. Determina que quaisquer dados usados em ambientes não produtivos devem ser mascarados ou pseudonimizados, proibindo a utilização de dados reais, salvo se explicitamente autorizada através de avaliação de riscos formal e aprovação executiva. A política destaca a necessidade de integridade referencial e de transformações que preservem o formato, assegurando a usabilidade para análises e reporte sem comprometer a privacidade ou a conformidade. Esta política delimita responsabilidades claras entre papéis organizacionais: a Alta direção fornece supervisão e governação; o Diretor de Segurança da Informação (CISO) e o Gestor do SGSI asseguram a implementação contínua, monitorização e alinhamento com normas (nomeadamente com ISO/IEC 27001, cláusulas 6.1 e 8.1); enquanto o Encarregado de Proteção de Dados (DPO) assegura a conformidade com leis de privacidade como o GDPR. Os proprietários de dados são responsáveis pela identificação de conjuntos de dados e pela classificação de dados adequada, enquanto as equipas de TI e os desenvolvedores de aplicações são responsáveis por empregar métodos aprovados e manter a integridade dos dados transformados. Prestadores de serviços e fornecedores ficam vinculados contratualmente a manter normas de salvaguarda equivalentes. Os requisitos de governação incluem manter um inventário de ativos de dados atualizado, realizar avaliações baseadas no risco dos processos de transformação de dados e assegurar que todas as técnicas de mascaramento e pseudonimização selecionadas estão alinhadas com expectativas regulamentares e necessidades operacionais. A aprovação de ferramentas é estritamente controlada; apenas são permitidas ferramentas avaliadas, normalizadas e auditáveis, e o seu desempenho deve ser validado através de avaliação técnica com foco em registo de auditoria, integrações e resistência à evasão. A política impõe monitorização robusta, exigindo registo de auditoria abrangente de eventos, auditorias regulares da eficácia do mascaramento e a retenção e revisão de registos de acordo com a Política de Retenção de Dados e Eliminação (P14). As medidas de tratamento de riscos são claramente estipuladas; se o mascaramento ou a pseudonimização não forem viáveis, são exigidos controlos compensatórios, e quaisquer exceções devem passar por avaliação rigorosa, aprovação e revisão periódica. A política também prescreve medidas disciplinares e medidas contratuais para violações, e exige formação obrigatória, revisões e atualizações regulares para assegurar que a política evolui com alterações tecnológicas e regulamentares. O alinhamento com quadros internacionais, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, NIS2, DORA e COBIT 2019 reforça a base da política em melhores práticas reconhecidas e mandatos regulamentares.