Política de segurança de informação
A Vip District S.L.U., uma empresa que faz parte do Epassi Group OY (doravante “Epassi”) adotou os compromissos de segurança da Epassi como seus, subscrevendo na íntegra a seguinte Política:
A segurança da informação é um aspeto importante do sistema de segurança porque a informação é um elemento fundamental nas operações diárias da Epassi. A Epassi criou e desenvolveu o seu Sistema de Gestão da Segurança da Informação com base em normas relevantes e nas melhores práticas. A Epassi está certificada de acordo com a norma ISO/IEC 27001:2022 que abrange as empresas do grupo.
Esta política descreve os requisitos mínimos estabelecidos para a segurança da informação na Epassi. Todo o planeamento e implementação relacionados com a segurança da informação devem estar alinhados com esta política. Podem ser criadas políticas e procedimentos adicionais para apoiar a sua implementação.
O objetivo desta política é descrever e estabelecer diretrizes para garantir um processamento seguro e conforme da informação e para assegurar a proteção dos recursos e bens vitais da Epassi.
Esta política aplica-se e deve ser comunicada a todos os funcionários da Epassi. As violações desta política podem resultar em ações disciplinares.
Divulgação
Esta política aplica-se a toda a organização da Epassi e das empresas do seu grupo.
Objetivos
Os principais objetivos desta política são:
- Garantir a confidencialidade, integridade e disponibilidade de toda a informação processada e propriedade da Epassi.
- Reduzir os riscos de segurança da informação e garanta a continuidade do negócio.
- Assegurar de que todos os funcionários estão conscientes do seu papel em relação à segurança da informação na Epassi.
- Assegurar o cumprimento das leis, regulamentos e normas relevantes que afetam a segurança da informação na Epassi.
- Continue a prestar serviços num ambiente seguro.
Funções e responsabilidades
O Diretor Executivo é o principal responsável pela segurança da informação na Epassi. O CEO, juntamente com a equipa de gestão, revê e aprova esta política.
A Equipa de Liderança Alargada apoia o trabalho de segurança da informação na Epassi e garante que a organização tem uma segurança da informação funcional. Fornece os recursos necessários para atingir os objetivos declarados e comunica a importância deste documento a todos os funcionários. Aprova esta política juntamente com o Diretor Executivo.
Os gestores de área asseguram que as práticas de segurança são implementadas diariamente pelos funcionários nas suas respetivas áreas.
O Responsável pela Conformidade é responsável por questões relacionadas com a privacidade, tais como o tratamento de dados pessoais em conformidade com as leis e regulamentos aplicáveis.
A Organização de Segurança define os requisitos, princípios e normas de segurança da informação. É apoiada por peritos em segurança, quando necessário. O Diretor de TI é responsável pela segurança da informação. O responsável pela segurança é responsável pela definição e manutenção das normas e práticas de segurança descritas na presente política. Ambos são responsáveis pela melhoria contínua da segurança da informação.
Todos os funcionários estão comprometidos com esta política e com outras políticas e procedimentos que a apoiam. Cada funcionário é obrigado a informar os gestores relevantes caso identifique deficiências, riscos e/ou abusos relacionados com a segurança da informação da Epassi e a participar na formação anual sobre segurança da informação.
Operações de segurança da informação
Gestão do risco
Os riscos de segurança da informação são avaliados regularmente na Epassi, de acordo com uma política de gestão de riscos documentada e com instruções que apoiam o processo. Para além das avaliações regulares, os riscos são também analisados sempre que necessário. A política é revista anualmente e atualizada de acordo com os resultados da revisão.
Classificação e tratamento da informação
A Epassi classifica toda a informação que processa e possui de acordo com os requisitos legais e regulamentares, bem como a sua criticidade e valor para as operações. Os controlos de segurança específicos para o processamento da informação são concebidos de acordo com esta classificação.
Gestão dos direitos de acesso
A gestão do acesso segue um processo documentado. O princípio fundamental é que qualquer acesso criado ou existente deve basear-se numa necessidade avaliada e verificada. Os acessos são revistos regularmente.
Formação e sensibilização
Através da formação, a Epassi garante que os funcionários compreendem e se comprometem com as políticas de segurança da informação e conhecem os processos acordados. A formação em segurança é organizada pelo menos uma vez por ano e é obrigatória para todos os funcionários. O nível de conclusão da formação é monitorizado.
Para além da formação anual, a Epassi organiza, sempre que necessário, ações de formação específicas para grupos específicos.
Desenvolvimento contínuo
A segurança da informação é revista regularmente, tanto a nível interno como externo. As revisões internas baseiam-se em processos planeados, como o calendário anual e as métricas. As análises externas incluem auditorias anuais em conformidade com a norma ISO/IEC 27001:2022. Além disso, são efetuadas auditorias e testes adicionais para abranger todo o sistema de gestão da segurança da informação.
Todos os funcionários têm a obrigação de comunicar quaisquer deficiências e/ou abusos detetados.
Continuidade do negócio e resposta a incidentes
A Epassi tem planos documentados para assegurar a continuidade e a resposta rápida a incidentes. O Plano de Continuidade do Negócio orienta as medidas necessárias para recuperar ou restaurar funções após um evento perturbador. O Plano de Resposta a Incidentes orienta o processo rápido desde a identificação até à gestão do incidente.
Aprovação e revisão
A presente política de segurança da informação foi aprovada pela equipa de gestão em 11.2.2025.
Esta política deve ser revista anualmente, bem como em caso de alterações relevantes que afetem as suas orientações. A versão revista e atualizada deve ser aprovada pela equipa de gestão.
Histórico da versão
| Versão | Data | Descrição |
| 1.0 | 9.4.2021 | Primeira versão aprovada. |
| 1.01 | 24.2.2022 | Conteúdo atualizado para o estado atual. Revisto e aprovado pela equipa de gestão. |
| 1.02 | 13.2.2023 | Conteúdo revisto, linguagem atualizada. |
| 1.03 | 21.5.2024 | Conteúdo revisto. |
| 1.04 | 17.9.2024 | Atualizações de acordo com a norma ISO 27001:2022. |
| 1.1 | 15.1.2025 | Atualização do estado da certificação. |
| 2.0 | 11.2.2025 | Aprovado pela Equipa de Liderança Alargada. |
