A presente Política reúne as normas, obrigações e boas práticas que devem ser conhecidas e respeitadas por todas as pessoas que tenham acesso aos sistemas, dados, instalações ou informações da organização, independentemente da sua relação contratual (funcionários, estagiários, contratados, prestadores de serviços ou colaboradores externos). Deve estar à disposição de todo o pessoal, que poderá aceder à mesma a qualquer momento, devendo zelar pelo seu cumprimento no exercício das suas funções.
O incumprimento das diretrizes aqui estabelecidas poderá implicar responsabilidades disciplinares, civis e/ou penais, nos termos da legislação em vigor.
A Direção é responsável por aprovar esta política, dotá-la de recursos e garantir o seu cumprimento. Nomeia o Responsável pela Segurança como ponto de contacto interno.
Gere os incidentes de segurança, mantém o presente manual atualizado, ministra formação e esclarece as dúvidas do pessoal.
Todas as pessoas que tenham acesso à informação e aos sistemas da organização serão responsáveis pelo cumprimento integral das disposições constantes do presente manual, bem como por agir de acordo com as políticas e procedimentos internos estabelecidos em matéria de segurança e proteção de dados.
Além disso, todos os equipamentos, dispositivos, aplicações e sistemas da empresa devem ser utilizados com a máxima diligência, responsabilidade e confidencialidade, sendo proibida a sua utilização para fins que não estejam estritamente relacionados com a atividade laboral ou profissional autorizada pela organização.
Com o objetivo de garantir a segurança, a integridade, a disponibilidade e a confidencialidade dos dados pessoais tratados pela organização, consideram-se recursos protegidos todos os ativos, elementos, sistemas e ambientes que intervenham, direta ou indiretamente, no tratamento desses dados.
A seguir, enumeram-se os principais recursos protegidos:
Os princípios que regem o tratamento de dados pessoais estão previstos no artigo 5.º do RGPD e nos artigos 4.º e seguintes da LOPDGDD. Constituem o pilar fundamental sobre o qual deve assentar qualquer operação de tratamento realizada na entidade e, por conseguinte, devem ser conhecidos e aplicados por todos os colaboradores que, no exercício das suas funções, tratem dados pessoais de colaboradores, clientes, fornecedores ou qualquer outra pessoa singular.
A seguir, apresenta-se uma visão geral dos seis princípios do artigo 5.º do RGPD, bem como do princípio da responsabilidade proativa (accountability), que são desenvolvidos em pormenor nas secções seguintes:
BASE JURÍDICA | PRINCÍPIO | DESCRIÇÃO RESUMIDA |
Art. 5.1.a) do RGPD | Legalidade, lealdade e transparência | O tratamento deve ter uma base jurídica válida e o titular dos dados deve ser informado. |
Art. 5.1.b) do RGPD | Limitação da finalidade | Os dados serão utilizados apenas para os fins indicados no momento da sua recolha. |
Art. 5.1.c) do RGPD | Minimização | Apenas serão recolhidos os dados estritamente necessários. |
Art. 5.1.d) do RGPD | Precisão | Os dados serão mantidos atualizados e corrigidos sem demora. |
Art. 5.1.e) do RGPD | Limitação do prazo de conservação | Os dados não serão conservados por mais tempo do que o necessário. |
Art. 5.1.f) do RGPD | Integridade e confidencialidade | Serão aplicadas medidas técnicas e organizativas para proteger os dados. |
Art. 5.2 do RGPD | Responsabilidade proativa | O responsável deve poder demonstrar o cumprimento dos princípios. |
Previsto no artigo 5.º, n.º 1, alínea a), do RGPD, este princípio exige que todo o tratamento de dados pessoais cumpra simultaneamente três requisitos:
Para que um tratamento seja lícito, deve basear-se em, pelo menos, um dos seguintes fundamentos:
Apartado | Base jurídica | Conteúdo |
Art. 6.1.a) | Consentimento | O interessado deu o seu consentimento para uma ou várias finalidades específicas. |
Art. 6.1.b) | Execução do contrato | O tratamento é necessário para a execução de um contrato ou para medidas pré-contratuais. |
Art. 6.1.c) | Obrigação legal | O tratamento é necessário para o cumprimento de uma obrigação legal do responsável pelo tratamento. |
Art. 6.1.d) | Interesses vitais | O tratamento é necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa. |
Art. 6.1.e) | Interesse público | O tratamento é necessário para o cumprimento de uma missão de interesse público ou para o exercício de poderes públicos. |
Art. 6.1.f) | Interesse legítimo | O tratamento é necessário para satisfazer os interesses legítimos do responsável pelo tratamento ou de um terceiro, salvo se os direitos fundamentais do titular dos dados prevalecerem. |
| A base jurídica deve ser determinada antes do início do tratamento e ficar registada no Registo de Atividades de Tratamento (art. 30.º do RGPD). Não é admissível uma seleção retroativa da base jurídica. |
Sempre que a LOPDGDD for aplicável, a informação poderá ser prestada em duas fases, de modo a facilitar a sua compreensão por parte do titular dos dados. Nos restantes casos, deverá cumprir-se diretamente o disposto nos artigos 13.º ou 14.º do RGPD, consoante os dados tenham sido fornecidos pelo próprio titular dos dados ou por um terceiro.
Primeiro nível (Art. 11.º da LOPDGDD) | • Identidade do responsável pelo tratamento e do seu representante (se for o caso). • Finalidade do tratamento. • Possibilidade de exercer os direitos reconhecidos nos artigos 15.º e seguintes do RGPD. • Existência de perfilagem, se for o caso. • [Se os dados não forem fornecidos pelo próprio titular] Categorias de dados e fontes de origem. |
Segunda camada (artigos 13.º e 14.º do RGPD) | • Identificação completa e dados de contacto do responsável e do seu representante. • Dados de contacto do Encarregado da Proteção de Dados (DPO), se for o caso. • Finalidades do tratamento e base jurídica. • Interesses legítimos do responsável pelo tratamento ou de terceiros (se a base for o artigo 6.º, n.º 1, alínea f)). • Destinatários ou categorias de destinatários. • Transferências internacionais de dados, se for o caso. • Prazos de conservação. • Direitos do titular dos dados (artigos 15.º a 22.º do RGPD) e direito de retirar o consentimento. • Direito de apresentar uma reclamação junto da AEPD. • Existência de cedências a terceiros e de decisões automatizadas ou de criação de perfis. • [Se os dados forem provenientes de terceiros] Categorias de dados e fonte de origem. |
Prazos para a prestação de informações (art. 14.º do RGPD): quando os dados não forem obtidos diretamente junto do titular dos dados, a informação deverá ser prestada no prazo máximo de um mês a contar da sua obtenção. Se os dados forem utilizados para contactar o titular dos dados, a informação deverá ser prestada nesse mesmo momento. Se os dados forem comunicados a terceiros, a informação deverá ser prestada antes dessa comunicação.
| A informação deve ser apresentada de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples. Pode ser fornecida por meios eletrónicos quando a complexidade tecnológica do tratamento assim o aconselhar (considerando 58 do RGPD). |
Previsto no artigo 5.º, n.º 1, alínea b), do RGPD, este princípio impede que os dados pessoais sejam tratados para fins distintos ou incompatíveis com aqueles para os quais foram inicialmente recolhidos.
Na prática, este princípio impõe as seguintes obrigações:
| Para avaliar se uma nova finalidade é compatível com a original, o artigo 6.º, n.º 4, do RGPD estabelece que devem ser tidos em conta, entre outros fatores: a relação entre as finalidades, o contexto em que os dados foram recolhidos, a sua natureza e as possíveis consequências para o titular dos dados. |
O artigo 5.º, n.º 1, alínea c), do RGPD exige que os dados tratados sejam adequados, pertinentes e limitados ao estritamente necessário em relação às finalidades do tratamento.
Este princípio obriga a:
| Antes de conceber qualquer formulário ou processo de recolha de dados, deve ser realizada uma análise das necessidades: este dado é indispensável para cumprir a finalidade? Se a resposta não for um «sim» claro, o dado não deve ser recolhido. |
Previsto no artigo 5.º, n.º 1, alínea d), do RGPD, este princípio obriga o responsável pelo tratamento — e, se for caso disso, o subcontratante — a adotar todas as medidas razoáveis para garantir que os dados pessoais sejam exatos e estejam atualizados.
As principais obrigações decorrentes deste princípio são:
Este princípio é concretizado através de dois direitos reconhecidos pelo RGPD:
Direito de retificação Art. 16.º do RGPD | Direito de solicitar a retificação ou o preenchimento dos dados pessoais, quando estes estiverem errados ou incompletos para os fins do tratamento. |
Direito de supressão Art. 17.º do RGPD | Direito à supressão dos dados sem demora injustificada, sempre que se verifique uma das seguintes situações: • Retirada do consentimento concedido para o tratamento. • Exercício do direito de oposição sem que existam motivos legítimos prevalecentes. • Tratamento ilícito de dados. • Obrigação legal de supressão. • Dados obtidos no âmbito dos serviços da sociedade da informação. |
O artigo 5.º, n.º 1, alínea e), do RGPD estabelece que os dados pessoais não devem ser conservados por um período superior ao necessário para a realização das finalidades para as quais foram recolhidos.
Este princípio impõe as seguintes obrigações:
| O próprio artigo 5.º, n.º 1, alínea e), do RGPD prevê que os dados recolhidos para fins de arquivo de interesse público, investigação científica ou histórica, ou para fins estatísticos, possam ser conservados por períodos mais longos, desde que sejam aplicadas as garantias técnicas e organizativas adequadas (artigo 89.º do RGPD). |
| A entidade deve manter um quadro de retenção de documentos que indique, para cada atividade de tratamento, o prazo de conservação aplicável, a legislação em que se baseia e o procedimento de destruição segura a aplicar no termo do prazo. |
Previsto no artigo 5.º, n.º 1, alínea f), do RGPD, este princípio exige que os dados pessoais sejam tratados de forma a garantir a sua segurança através da aplicação de medidas técnicas e organizativas adequadas.
O artigo 32.º, n.º 1, do RGPD especifica as obrigações em matéria de segurança do tratamento:
Ao contrário da regulamentação anterior, o RGPD adota uma abordagem baseada no risco e na privacidade desde a conceção e por defeito (artigos 25.º e 32.º do RGPD): não estabelece um catálogo exaustivo de medidas, mas obriga o responsável pelo tratamento a avaliar os riscos do tratamento e a implementar medidas proporcionais ao nível de risco identificado, tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento.
| As medidas de segurança devem ser adotadas antes do início do tratamento, e não a posteriori. A sua eficácia deve ser revista e atualizada periodicamente. O incumprimento das obrigações de segurança pode dar origem à notificação de uma violação de segurança à AEPD (art. 33.º do RGPD) e aos próprios titulares dos dados (art. 34.º do RGPD). |
O artigo 5.º, n.º 2, do RGPD acrescenta um sétimo princípio transversal: o responsável pelo tratamento não só deve cumprir os princípios anteriores, como também deve estar em condições de o demonstrar a qualquer momento.
As principais ferramentas de responsabilização são:
| O princípio da responsabilização transforma o cumprimento numa processo contínuo e documentado. Não basta cumprir pontualmente; a entidade deve poder comprovar, a qualquer momento — perante a AEPD ou perante qualquer interessado — que os seus tratamentos estão em conformidade com a regulamentação. |
A organização trata diferentes tipos e categorias de dados pessoais, consoante a atividade desenvolvida.
Para efeitos da presente Política, entende-se por «dados pessoais» toda a informação relativa a uma pessoa singular identificada ou identificável. Considerar-se-á identificável qualquer pessoa cuja identidade possa ser determinada, direta ou indiretamente, através de um identificador, dado ou conjunto de dados, tais como nome e apelidos, documento de identificação, endereço postal ou eletrónico, número de telefone, endereço IP, dados de localização, identificadores online, imagens, gravações de voz, assinatura, características físicas, económicas, culturais ou sociais, bem como qualquer outra informação que permita a sua identificação.
Os dados pessoais tratados pela organização podem incluir, entre outros, as seguintes categorias:
O tratamento de cada categoria e tipo de dados pessoais implicará a aplicação de medidas técnicas e organizativas específicas, tendo em conta a natureza da informação, o nível de risco associado e as obrigações legais aplicáveis em cada caso.
Consequentemente, todos os utilizadores, funcionários, colaboradores ou terceiros autorizados que intervenham em qualquer uma das atividades de tratamento devem cumprir as obrigações e medidas de segurança estabelecidas na presente política e na legislação em vigor em matéria de proteção de dados, ao longo de todo o ciclo de vida dos dados pessoais, desde a sua recolha ou acesso até à sua conservação, bloqueio e eliminação definitiva.
Além disso, os dados pessoais só poderão ser tratados para as finalidades expressamente autorizadas, garantindo, em todos os momentos, os princípios da licitude, lealdade, transparência, minimização de dados, exatidão, limitação da finalidade, integridade, confidencialidade e responsabilidade proativa.
Caso seja necessário efetuar transferências internacionais de dados, será verificado o nível de proteção do país de destino e serão adotadas as garantias exigidas pela regulamentação. Em primeiro lugar, verificará-se se existe uma decisão de adequação aprovada pela Comissão. Na ausência dessa decisão, será escolhido qualquer um dos mecanismos previstos no artigo 46.º do RGPD, sendo preferível a celebração de cláusulas contratuais-tipo. Apenas em casos excecionais será invocada uma das exceções previstas no artigo 49.º do RGPD. Em qualquer caso, nada disto será aplicável quando a transferência for necessária no âmbito de um processo de cooperação internacional com organismos de países terceiros e não seja aplicável qualquer tratado ou convenção internacional, bem como a Diretiva (UE) 2016/680 e os artigos 43.º a 47.º da Lei Orgânica n.º 7/2021, de 26 de maio, relativa à proteção de dados pessoais tratados para fins de prevenção, deteção, investigação e julgamento de infrações penais e de execução de sanções penais.
Em conformidade com o disposto no artigo 30.º do RGPD, deve ser mantido um registo das atividades realizadas sob a responsabilidade da organização, devendo este ser atualizado à medida que se verificarem alterações. Esse registo deve conter todas as informações a seguir indicadas:
Além disso, quando se atuar na qualidade de subcontratante, deverá igualmente ser mantido um registo de todas as categorias de atividades de tratamento realizadas por conta de um responsável pelo tratamento, que inclua:
Esses registos serão mantidos por escrito, incluindo em formato eletrónico.
A legislação em matéria de proteção de dados permite que os titulares dos dados exerçam, perante o responsável pelo tratamento, os direitos de acesso, retificação, oposição, apagamento («direito ao esquecimento»), limitação do tratamento, portabilidade e de não serem objeto de decisões individualizadas.
Para o efeito, a entidade disponibilizou os canais a seguir indicados, para que os interessados possam enviar os respetivos pedidos de exercício de direitos, dirigindo-se à organização através de correio eletrónico, endereço postal ou qualquer outro canal interno disponibilizado e comunicado ao pessoal.
Além disso, com o objetivo de regulamentar e definir de forma pormenorizada o protocolo de atuação face ao exercício dos direitos, a entidade elaborou esse protocolo de resposta.
O referido protocolo de atuação informa sobre o procedimento estabelecido para garantir os direitos dos titulares dos dados e é aplicável tanto aos colaboradores autorizados a tratar os pedidos de direitos apresentados pelos titulares dos dados e ao pessoal sob a sua responsabilidade, como a outros terceiros com acesso aos dados e aos responsáveis pelo tratamento da organização, incluindo o pessoal sob a sua responsabilidade, ficando todos eles sujeitos ao disposto no referido protocolo, devendo agir em todos os momentos de acordo com as instruções estabelecidas.
O controlo de acesso através de palavras-passe constitui uma das principais medidas de segurança para proteger os sistemas e as informações da organização. A utilização de palavras-passe robustas e seguras é essencial, uma vez que uma palavra-passe fraca ou comprometida pode pôr em risco a confidencialidade, a integridade e a disponibilidade dos dados tratados.
O acesso aos dados pessoais e às informações confidenciais da organização será limitado em função das responsabilidades e funções atribuídas a cada colaborador. Para tal, serão estabelecidas autorizações e perfis de acesso associados a cada cargo ou função, garantindo que cada utilizador só possa aceder às informações estritamente necessárias ao desempenho das suas funções.
Cada utilizador disporá de credenciais de acesso únicas, pessoais e intransferíveis. É expressamente proibido partilhar palavras-passe ou permitir que terceiros utilizem as suas credenciais.
As palavras-passe devem cumprir os critérios de segurança estabelecidos pela organização e ser mantidas em estrita confidencialidade.
Todas as palavras-passe devem cumprir TODOS os critérios seguintes: • Mínimo de 10 caracteres. • Combinar letras maiúsculas, minúsculas, números e símbolos (!@#$%) • Validade máxima de 3 meses. • Única por serviço: nunca reutilizar em plataformas diferentes. • Não reutilize as últimas 5 palavras-passe anteriores. |
✓ FAZER | ✗ NÃO FAZER |
Utilizar uma palavra-passe diferente para cada sistema ou aplicação | Anotar palavras-passe em post-its, papéis ou ficheiros não encriptados |
Alterar a palavra-passe a cada 3 meses ou imediatamente, caso se suspeite de uma violação | Partilhar palavras-passe com colegas, nem mesmo com a equipa de TI |
Utilizar um gestor de palavras-passe encriptado com autenticação de dois fatores (2FA) | Utilizar dados pessoais: nome, data de nascimento, número de identificação, nome do animal de estimação |
Ativar a autenticação de dois fatores (2FA) em todos os serviços que o permitam | Utilizar padrões de teclado: qwerty, 123456, asdf, etc. |
Notifique imediatamente o Responsável pela Segurança se suspeitar que a sua palavra-passe foi comprometida | Ativar a opção «Lembrar palavra-passe» nos navegadores de computadores partilhados |
O local de trabalho deve ser mantido organizado para evitar o acesso não autorizado a documentos ou dispositivos.
✓ FAZER | ✗ NÃO FAZER |
Retirar imediatamente os documentos impressos da impressora | Deixar documentos confidenciais à vista sobre a mesa quando se ausenta |
Guardar os documentos físicos confidenciais debaixo de chave no final do dia de trabalho | Colocar bebidas sem tampa hermética junto a equipamentos ou documentos |
Guardar os dispositivos móveis da empresa (computadores portáteis, telemóveis, tablets) num local seguro | Deixar pen drives ou discos externos ligados e sem supervisão |
Destruir documentos obsoletos com uma trituradora de papel | Deitar documentos com dados no caixote do lixo normal sem os destruir |
O ecrã do equipamento pode expor informações confidenciais a pessoas não autorizadas. É obrigatório aplicar as seguintes medidas:
Todos os dispositivos eletrónicos, equipamento informático e outros recursos da empresa colocados à disposição do colaborador devem ser utilizados em conformidade com as medidas mínimas de segurança estabelecidas pela organização, entre as quais se incluem, a título não exaustivo, as seguintes:
✓ FAZER | ✗ NÃO FAZER |
Caso o colaborador pretenda utilizar o dispositivo para fins pessoais, deverá obter autorização prévia e por escrito da organização | Utilizar esses dispositivos para fins alheios à atividade profissional. |
Os dispositivos devem ter instalados os patches e as atualizações mais recentes do sistema operativo, de acordo com as atualizações periódicas previstas pelo desenvolvedor do sistema. | Não utilizar outros dispositivos que não sejam os fornecidos pela organização para fins profissionais. |
As configurações de segurança devem ser definidas por predefinição pelo responsável informático da empresa. | Qualquer dispositivo que contenha informações críticas, confidenciais ou categorias especiais de dados, nos termos do RGPD, deve dispor de medidas de proteção adequadas que garantam a segurança da informação e impeçam o acesso não autorizado. |
Em caso de extravio, roubo, furto ou acesso não autorizado ao dispositivo, o pessoal deverá comunicar imediatamente o ocorrido ao responsável pela segurança. | Não ligue os dispositivos da empresa à Internet através de redes Wi-Fi públicas sem utilizar o acesso VPN da empresa. |
Comunicar qualquer incidente de segurança que tenha ocorrido. | Não guardar quaisquer dados ou informações confidenciais da organização em suportes removíveis. |
Trabalhar exclusivamente com as ferramentas, aplicações e sistemas empresariais autorizados e disponibilizados pela organização para o desempenho das funções laborais. | Não instalar, utilizar nem armazenar localmente software, aplicações ou ferramentas não autorizadas pela organização, nem recorrer a alternativas não permitidas para o tratamento de informação corporativa ou de caráter pessoal. |
O e-mail empresarial é uma ferramenta de trabalho. A sua utilização inadequada constitui uma das principais vias de entrada de ameaças (phishing, malware) e de fuga de informação.
✓ FAZER | ✗ NÃO FAZER |
Verifique sempre o remetente antes de abrir anexos ou links | Utilizar o e-mail da empresa para fins pessoais ou privados |
Encriptar os e-mails que contenham dados pessoais ou informações confidenciais | Enviar bases de dados, dados pessoais ou informações confidenciais sem encriptação |
Utilizar o CCO (cópia oculta) ao enviar e-mails para vários destinatários | Abrir anexos ou clicar em links de remetentes desconhecidos |
Comunicar e-mails suspeitos ao Responsável pela Segurança | Reencaminhar e-mails em cadeia ou com conteúdo comercial não autorizado |
Sair da conta de e-mail ao utilizar computadores partilhados ou públicos | Configurar o e-mail corporativo em dispositivos não autorizados |
ALERTA: Phishing Se receber um e-mail a solicitar credenciais, dados bancários ou ações urgentes, NÃO clique nem responda. Notifique imediatamente o Responsável pela Segurança. |
✓ FAZER | ✗ NÃO FAZER |
Navegar apenas em sites necessários para o desempenho das funções profissionais | Ligar-se a redes Wi-Fi públicas sem utilizar a VPN da empresa |
Utilizar a VPN da empresa ao ligar-se a partir de redes externas ou públicas | Descarregar software, música, filmes ou outros conteúdos sem autorização |
Comunicar qualquer comportamento anómalo da rede ou do equipamento | Analisar portas, testar vulnerabilidades ou realizar ataques internos/externos |
Desligar imediatamente os dispositivos USB não autorizados | Aceder à rede de convidados com equipamentos da empresa |
Instalar extensões não autorizadas do navegador | |
Realizar qualquer atividade que comprometa a disponibilidade ou a integridade da rede |
A instalação de software não autorizado pode introduzir malware, vulnerabilidades ou problemas de licença, com graves consequências legais e técnicas.
✓ FAZER | ✗ NÃO FAZER |
Solicitar por escrito autorização prévia antes de instalar qualquer software. | Instalar software, aplicações ou extensões sem autorização por escrito |
Verifique se o software possui uma licença válida antes de o instalar. | Utilizar versões piratas ou sem licença de qualquer programa |
Manter sempre atualizados o sistema operativo e as aplicações. | Desativar o antivírus ou as atualizações automáticas do sistema |
Verificar a compatibilidade do software com o sistema da empresa. | Realizar testes ou desenvolvimentos com dados pessoais reais sem autorização |
A utilização de sistemas de IA generativa (chatbots, assistentes, geradores de conteúdo, etc.) requer especial cautela para proteger a confidencialidade da informação empresarial e pessoal.
✓ FAZER | ✗ NÃO FAZER |
Solicitar autorização prévia à Direção ou ao departamento responsável para utilizar ferramentas de IA | Introduzir dados pessoais de clientes, colaboradores ou terceiros em sistemas de IA |
Utilizar a IA exclusivamente para tarefas profissionais autorizadas | Partilhar informações confidenciais, segredos empresariais ou propriedade intelectual com ferramentas de IA externas |
Abordar os resultados gerados pela IA com espírito crítico e verificá-los | Publicar ou distribuir conteúdos gerados por IA sem revisão e autorização prévia |
Utilizar ferramentas de IA não autorizadas para tomar decisões que afetem pessoas |
Lembra-te: O que introduz numa ferramenta de IA externa pode ser processado e armazenado por terceiros. Nunca introduza informações que não publicaria num canal público. |
Os dispositivos removíveis (USB, discos externos, cartões SD) constituem uma via comum de fuga de informação e de introdução de malware.
✓ FAZER | ✗ NÃO FAZER |
Solicitar autorização para retirar qualquer suporte com dados das instalações | Retirar suportes de dados que contenham informações pessoais ou confidenciais sem autorização |
Encriptar sempre o conteúdo dos suportes removíveis que contenham dados sensíveis | Ligar dispositivos USB de origem desconhecida a equipamentos da empresa |
Registar a atribuição e a devolução de suportes removíveis | Deitar fora ou descartar discos rígidos, pen drives ou outros suportes sem os destruir de forma segura |
Entregar ao Responsável pela Segurança os suportes que devam ser eliminados |
O simples facto de premir a tecla «Supr» ou de arrastar para a lixeira NÃO elimina a informação de forma segura. Apenas elimina a referência ao ficheiro, mas o conteúdo permanece no disco.
Um incidente de segurança é qualquer acontecimento que comprometa ou possa comprometer a confidencialidade, a integridade ou a disponibilidade da informação.
Exemplos de incidentes que DEVEM ser comunicados ao Responsável pela Segurança: • Perda ou roubo de dispositivos ou documentos que contenham informações • Acesso não autorizado a sistemas ou dados • Recebeu um e-mail de phishing ou acedeu a um link malicioso • Vírus ou malware detetado no computador • Envio acidental de dados pessoais a um destinatário errado. Palavra-passe exposta ou comprometida |
As cópias de segurança garantem que a organização possa recuperar as suas informações em caso de incidente. É da responsabilidade de todos assegurar o seu bom funcionamento.
Versão | Data | Descrição |
V.1.0 | 2026 | Versão inicial |
Nota
Forma
Compatibilidade
Aplicação prática
Exceção