Aprovação e entrada em vigor

Esta política de segurança da informação é efetiva a partir da data de assinatura e até que seja substituída por uma nova política.

Missão da Organização

A missão da empresa Dycare é melhorar a vida das pessoas usando novas tecnologias baseadas na ciência. Seu objetivo é se tornar o líder mundial em reabilitação digital.

Para conseguir isso, a DyCare se concentra no desenvolvimento de soluções digitais inovadoras, como a plataforma ReHub, que permite a criação de exercícios personalizados, monitoramento do paciente e geração de relatórios completos da terapia de maneira simples. Essas soluções visam facilitar e melhorar o processo de reabilitação de pacientes com problemas músculo-esqueléticos, combinando novas tecnologias com ciências médicas para tratar as necessidades individuais dos pacientes e melhorar sua qualidade de vida.

Os valores fundamentais que orientam a DyCare em sua missão incluem evidências científicas, impacto social positivo, inovação contínua e paixão por melhorar a saúde.

Em resumo, a DyCare se dedica a transformar a reabilitação digital por meio do desenvolvimento de soluções tecnológicas baseadas em evidências científicas, com o objetivo de melhorar a qualidade de vida das pessoas e se tornar uma referência mundial na área de reabilitação digital.

Âmbito

Esta política se aplica a todos os sistemas de TIC da entidade e a todos os membros da organização, envolvidos em serviços e projetos destinados ao setor público, que exigem a aplicação do ENS, sem exceções.

Objetivos

Para todos os itens acima, a Direção estabelece os seguintes objetivos de segurança da informação:

Forneça uma estrutura para aumentar a capacidade de resistência ou resiliência para dar uma resposta eficaz.

Garantir a recuperação rápida e eficiente dos serviços, contra qualquer desastre físico ou contingência que possa ocorrer e que coloque em risco a continuidade das operações.

Prevenir os incidentes de segurança da informação na medida em que seja técnica e economicamente viável, bem como mitigar os riscos de segurança das informações geradas por nossas atividades.

Garantir a confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade das informações.

Estrutura regulatória

Um dos objetivos deve ser cumprir os requisitos legais aplicáveis e quaisquer outros requisitos que subscrevemos, além dos compromissos adquiridos com os clientes, bem como sua atualização contínua. Para isso, o marco legal e regulatório em que realizamos nossas atividades é:

Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 sobre a proteção das pessoas físicas no que diz respeito ao processamento de dados pessoais e ao livre fluxo desses dados.

Lei Orgânica 3/2018, de 5 de dezembro, sobre a proteção de dados pessoais e garantia de direitos digitais.

Decreto Legislativo Real 1/1996, de 12 de abril, Direito de Propriedade Intelectual.

Lei 2/2019, de 1º de março, que modifica o texto consolidado da Lei de Propriedade Intelectual, aprovado pelo Decreto Legislativo Real 1/1996, de 12 de abril, e pelo qual a diretiva é incorporada ao sistema jurídico espanhol 2014/26/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, e da Directiva (UE) 2017/1564 do Parlamento Europeu e do Conselho, de 13 de setembro de 2017.

Decreto Real 311/2022, de 3 de maio, que regula o regime de segurança nacional.

Lei 34/2002 de 11 de julho sobre serviços da Sociedade da Informação e Comércio Eletrônico (LSSI).

Lei 39/2015, de 1º de outubro, do Procedimento Administrativo Comum das Administrações Públicas.

Lei 40/2015, de 1º de outubro, sobre o regime jurídico do setor público.

Desenvolvimento

Para atingir esses objetivos, é necessário:

Melhore continuamente nosso sistema de segurança da informação.

Identifique as ameaças potenciais, bem como o impacto nas operações de negócios que tais ameaças, se se materializarem, podem causar.

Preservar os interesses de seus principais stakeholders (clientes, acionistas, funcionários e fornecedores), reputação, marca e atividades de criação de valor.

Trabalhamos em conjunto com nossos fornecedores e subcontratados, a fim de melhorar a prestação de serviços de TI, a continuidade dos serviços e a segurança das informações, que impactam na maior eficiência de nossa atividade.

Avaliar e garantir a competência técnica do pessoal, bem como garantir a motivação adequada deste último para sua participação na melhoria contínua de nossos processos, proporcionando treinamento e comunicação interna adequados para que desenvolvam boas práticas definidas no sistema.

Garantir as condições corretas das instalações e do equipamento adequado, de forma que estejam em correspondência com a atividade, objetivos e metas da empresa.

Garantir uma análise contínua de todos os processos relevantes, estabelecendo as melhorias relevantes em cada caso, com base nos resultados obtidos e nos objetivos estabelecidos.

Estruture nosso sistema de gerenciamento para que seja fácil de entender. Nosso sistema de gestão possui a seguinte estrutura:

A gestão do nosso sistema é confiada ao chefe de sistemas informáticos e o sistema estará disponível em nosso sistema de informação em um repositório, que pode ser acessado de acordo com os perfis de acesso concedidos de acordo com nosso procedimento de gerenciamento de acesso atual.

A documentação relacionada à segurança do sistema está estruturada em pastas dentro do Google Drive da empresa, divididas em subpastas nomeadas por pontos padrão e estruturas operacionais, que coletam os diferentes procedimentos, registros e evidências, com acesso restrito para o pessoal da empresa, sem poder acessar externos não autorizados Pessoal.

A documentação de segurança está estruturada em:

Política de segurança.

Regulamentos de segurança: documentos que descrevem o uso de equipamentos, serviços e instalações. Eles descrevem o que é considerado um uso impróprio, a responsabilidade da equipe no que diz respeito ao cumprimento ou violação dos regulamentos, direitos, deveres e medidas disciplinares de acordo com a legislação vigente.

Documentos específicos: documentação de segurança desenvolvida de acordo com os guias CCN-STIC que são aplicáveis.

Procedimentos de segurança: documentos detalhando como operar os elementos do sistema.

Esta política é complementada pelo restante das políticas, procedimentos e documentos em vigor para desenvolver nosso sistema de gerenciamento.

Organização de segurança

A responsabilidade essencial recai sobre a direção geral da organização, pois é responsável por organizar as funções e responsabilidades e fornecer recursos adequados para atingir os objetivos do ENS. Os gerentes também são responsáveis por dar um bom exemplo seguindo os regulamentos de segurança estabelecidos.

Esses princípios são assumidos pela Direção, que possui os meios necessários e fornece aos seus funcionários recursos suficientes para sua conformidade, plasma e colocação de conhecimentos públicos por meio desta política do Sistema Integrado de Gestão.

As funções ou funções de segurança definidas são:

Esta definição de deveres e responsabilidades é concluída nos perfis de trabalho e nos documentos do Registro de Responsável, Funções e Sistema de Responsabilidades.

Resolução de conflitos

As diferenças de critérios que podem levar a um conflito serão tratadas no Comitê de Segurança e os critérios da Diretoria Geral prevalecerão em qualquer caso.

Comitê de Segurança

O procedimento para sua designação e renovação será a ratificação no Comitê de Segurança.

O Comitê de Coordenação e Gerenciamento de Segurança é o órgão de maior responsabilidade dentro do Sistema de Gerenciamento de Segurança da Informação, de modo que todas as decisões mais importantes relacionadas à segurança sejam acordadas por este comitê.

Os membros do Comitê de Segurança da Informação são:
Gerente de segurança: Silvia Raga
Gerente de sistema: Xavier Robert
Responsável pelo serviço: Ricardo Jauregui
Gerente de Informações: Ricardo Jauregui

Esses membros são nomeados pelo comitê, o único órgão que pode nomeá-los, renová-los e demiti-los.

O Comitê de Segurança é um órgão executivo autônomo com autonomia para a tomada de decisões e que não tem que subordinar sua atividade a nenhum outro elemento de nossa empresa.

A Organização de Segurança da Informação é desenvolvida no documento complementar a esta política da organização de segurança

Esta política é complementada pelo restante das políticas, procedimentos e documentos em vigor para desenvolver nosso sistema de gerenciamento.

Gerenciamento de riscos

Todos os sistemas sujeitos a esta política devem realizar uma análise de risco, avaliando as ameaças e os riscos aos quais estão expostos. Esta análise é revisada regularmente: pelo menos uma vez por ano; Quando as informações tratadas mudam; quando os serviços prestados mudam; Quando ocorre um grave incidente de segurança; Quando as vulnerabilidades graves são relatadas.

Para a harmonização da análise de risco, o Comitê de Segurança de TIC estabelecerá uma avaliação de referência para os diferentes tipos de informações tratadas e os diferentes serviços prestados. O Comitê de Segurança de TIC energizará a disponibilidade de recursos para atender às necessidades de segurança dos diferentes sistemas, promovendo investimentos de natureza horizontal.

Para realizar a análise de risco, será considerada a metodologia de análise de risco desenvolvida no procedimento de análise de risco.

Gestão pessoal

Todos os membros do DyCare são obrigados a conhecer e cumprir esta Política de Segurança da Informação e Regulamentos de Segurança, e o Comitê de Segurança de TIC é de responsabilidade do Comitê de Segurança de TIC para fornecer os meios necessários para que as informações cheguem aos afetados.

Todos os membros do DyCare participarão de uma sessão de conscientização sobre segurança de TIC pelo menos uma vez por ano. Um programa de conscientização contínua será estabelecido para atender a todos os membros do DyCare, em particular os de nova incorporação.

Pessoas responsáveis pelo uso, operação ou administração de sistemas de TIC receberão treinamento para o gerenciamento seguro dos sistemas na medida em que precisam para realizar seu trabalho. O treinamento será obrigatório antes de assumir uma responsabilidade, seja sua primeira tarefa ou se é uma mudança de emprego ou responsabilidades nela.

Profissionalismo e segurança dos recursos humanos 

Esta política se aplica a todo o pessoal da DyCare e à equipe externa que executa tarefas dentro da empresa. O RH incluirá funções de segurança da informação nas descrições de cargos dos funcionários, informará a todos os funcionários que contratarem suas obrigações em relação à política de segurança da informação, gerenciarão os compromissos de confidencialidade com o pessoal e coordenarão as tarefas de treinamento dos usuários em relação a essa política.

O responsável pelo gerenciamento de segurança (RGS) é responsável por monitorar, documentar e analisar os incidentes de segurança relatados, bem como comunicar ao Comitê de Segurança da Informação e aos proprietários das informações.

O Comitê de Segurança da Informação será responsável por implementar os meios e canais necessários para o Gerenciador de Gerenciamento de Segurança (RGS) gerenciar relatórios de anomalias de incidentes e sistemas. O comitê também estará ciente, supervisionará a investigação, monitorará a evolução das informações e promoverá a resolução de incidentes de segurança da informação.

O Gerente de Gerenciamento de Segurança (RGS) participará na preparação do Compromisso de Confidencialidade que será assinado por funcionários e terceiros que exercem funções na DyCare, nos conselhos sobre as sanções que serão aplicadas por não conformidade com esta política e no tratamento de incidentes de segurança da informação.

Todos os funcionários da DyCare são responsáveis por relatar as fraquezas e incidentes de segurança da informação detectados em tempo hábil.

Profissionalismo de Recursos Humanos:

Determine a competência necessária do pessoal para realizar o trabalho que afeta a segurança das informações.

Garantir que as pessoas sejam competentes com base em educação, treinamento ou experiência adequadas.

Demonstre por meio das informações documentadas que a competência do pessoal em termos de segurança da informação é necessária.

Os objetivos de controlar a segurança do pessoal são:

Reduza os riscos de erro humano, implementação de irregularidades, uso indevido de instalações e recursos e manuseio não autorizado de informações. 

Explique as responsabilidades de segurança na fase de recrutamento de pessoal e inclua-as nos contratos a serem assinados e verifique sua conformidade durante o desempenho das tarefas do funcionário.

Certifique-se de que os usuários estejam cientes das ameaças e preocupações da segurança da informação e sejam treinados para apoiar a política de segurança da informação da organização no curso de suas tarefas normais.

Estabeleça compromissos de confidencialidade com todos os funcionários e usuários fora das instalações de processamento de informações.

Estabeleça as ferramentas e os mecanismos necessários para promover a comunicação das fraquezas de segurança existentes, bem como incidentes, a fim de minimizar seus efeitos e prevenir sua reincidência.

Autorização e controle de acesso a sistemas de informação

O controle do acesso aos sistemas de informação visa:

Evite o acesso não autorizado a sistemas de informação, bancos de dados e serviços de informação.

Implemente a segurança no acesso do usuário por meio de técnicas de autenticação e autorização.

Controle a segurança da conexão entre a rede DyCare e outras redes públicas ou privadas.

Revise os eventos críticos e as atividades realizadas pelos usuários nos sistemas.

Conscientize-se sobre sua responsabilidade pelo uso de senhas e equipamentos.

Garanta a segurança da informação ao usar laptops e computadores pessoais para trabalhos remotos.

Proteção de instalações

Os objetivos desta política de proteção das instalações são:

Evite acessos, danos e interferências não autorizados à sede, instalações e informações da DyCare.

Proteja o equipamento crítico de processamento de informações da DyCare, colocando-o em áreas protegidas e protegida por um perímetro de segurança definido, com medidas de segurança adequadas e controles de acesso. Da mesma forma, contemple sua proteção em sua transferência e permaneça fora das áreas protegidas, por motivos de manutenção ou de outros motivos.

Controle os fatores ambientais que podem prejudicar o funcionamento adequado dos equipamentos de informática que abrigam as informações do DyCare

Implemente medidas para proteger as informações administradas pelos funcionários nos escritórios, dentro da estrutura normal de suas tarefas usuais.

Fornecer proteção proporcional aos riscos identificados.

Esta política se aplica a todos os recursos físicos relacionados aos sistemas de informação DyCare: instalações, equipamentos, fiação, arquivos, mídia de armazenamento, etc.

O Chefe de Gerenciamento de Segurança (RGS), juntamente com os detentores de informações, conforme apropriado, definirá as medidas de segurança física e ambiental para a proteção de ativos críticos, com base em uma análise de risco, e monitorará sua aplicação. Também verificará o cumprimento das disposições de segurança física e ambiental.

Os responsáveis pelos diferentes departamentos definirão os níveis de acesso físico do pessoal da DyCare às áreas restritas sob sua responsabilidade. Os proprietários de informações autorizarão formalmente o trabalho externo com informações sobre seus negócios para os funcionários da DyCare quando considerarem apropriado.

Todos os funcionários da DyCare são responsáveis pelo cumprimento da política de tela limpa e da área de trabalho, pela proteção das informações relacionadas ao trabalho diário nos escritórios.

Compra de produtos

Os diferentes departamentos devem garantir que a segurança das TIC seja parte integrante de cada etapa do ciclo de vida do sistema, desde sua concepção até a retirada do serviço, por meio de decisões de desenvolvimento ou aquisição e atividades de exploração. Os requisitos de segurança e as necessidades de financiamento devem ser identificados e incluídos no planejamento, solicitação de ofertas e especificações de licitação para projetos de TIC.

Por outro lado, a segurança da informação será levada em consideração na aquisição e manutenção de sistemas de informação, limitando e gerenciando a mudança.

A política de desenvolvimento e aquisição de sistemas de informação é desenvolvida no documento: política de aquisição, desenvolvimento e manutenção de sistemas.

Segurança padrão

A DyCare considera que é estratégico para a entidade que os processos integram a segurança da informação como parte de seu ciclo de vida. Os sistemas e serviços de informação devem incluir, por padrão, a segurança desde sua criação até sua retirada, incluindo segurança nas decisões de desenvolvimento e/ou aquisição e em todas as atividades operacionais, estabelecendo a segurança como um processo integral e transversal.

Integridade e atualização do sistema

A DyCare tem o compromisso de garantir a integridade do sistema por meio de um processo de gerenciamento de mudanças que permite o controle da atualização dos elementos físicos ou lógicos por meio da autorização antes de sua instalação no sistema. A referida avaliação será realizada principalmente pelo gerenciamento de sistemas que avaliará o impacto na segurança do sistema antes de fazer as alterações e controlará de forma documentada aquelas mudanças avaliadas como importantes ou com implicações para a segurança dos sistemas.

Por meio de verificações periódicas de segurança, o status de segurança dos sistemas será avaliado em relação às especificações dos fabricantes, às vulnerabilidades e às atualizações que os afetam, reagindo com diligência para gerenciar o risco em vista de seu status de segurança.

Proteção das informações armazenadas e em trânsito

A DyCare estabelece medidas de proteção para a segurança das informações armazenadas ou em trânsito em ambientes inseguros. Laptops, assistentes pessoais (PDAs), dispositivos periféricos, suportes de informações e comunicações em redes abertas ou com criptografia fraca serão considerados ambientes inseguros.

Informação pessoal

São dados pessoais. Aquele, ao qual somente pessoas autorizadas terão acesso, coleta os arquivos afetados e os responsáveis. Todos os sistemas de informação serão ajustados aos níveis de segurança exigidos pelos regulamentos para a natureza e propósito dos dados pessoais coletados no documento de segurança mencionado acima.

Terceiros

Quando você presta serviços a outras agências ou gerencia informações de outras agências, elas serão integradas nesta Política de Segurança da Informação, serão estabelecidos canais para relatar e coordenar os respectivos comitês de segurança de TIC e procedimentos de ação serão estabelecidos para a reação a incidentes de segurança. Ao usar serviços de terceiros ou atribuir informações a terceiros, você será parte desta política de segurança e dos regulamentos de segurança que dizem respeito a esses serviços ou informações. O referido terceiro estará sujeito às obrigações estabelecidas nos referidos regulamentos, podendo desenvolver seus próprios procedimentos operacionais para satisfazê-lo. Serão estabelecidos relatórios específicos de incidentes e procedimentos de resolução. Será assegurado que o pessoal de terceiros esteja adequadamente ciente da segurança, pelo menos no mesmo nível que o estabelecido nesta política. Quando qualquer aspecto da política não puder ser satisfeito por terceiros, conforme exigido nos parágrafos anteriores, será necessário um relatório do oficial de segurança que especifica os riscos incorridos e como tratá-los. A aprovação deste relatório será exigida pelos responsáveis pelas informações e serviços afetados antes de prosseguir.

Prevenção de sistemas de informação interconectados

A DYCARE estabelece medidas de proteção para a segurança das informações, principalmente para proteger o perímetro, em particular, se estiverem conectadas às redes públicas, principalmente se forem usadas no todo ou principalmente, para a prestação de serviços de comunicação eletrônica disponíveis ao público.

De qualquer forma, os riscos decorrentes da interconexão do sistema serão analisados, por meio de redes, com outros sistemas, e seu ponto de união será controlado. Conexões eletrônicas disponíveis ao público.

Registros de atividades

A DyCare, registrará as atividades dos usuários, retendo as informações necessárias para monitorar, analisar, investigar e documentar atividades impróprias ou não autorizadas, permitindo que a pessoa atue a se identificar em todos os momentos.

Os principais objetivos do gerenciamento de incidentes são:

Estabeleça um sistema de detecção e reação contra códigos nocivos.

Tenha procedimentos para o gerenciamento de incidentes e pontos fracos de segurança detectados nos elementos do sistema de informação.

Esses procedimentos abrangerão os mecanismos de detecção, os critérios de classificação, os procedimentos de análise e resolução, bem como os canais de comunicação com os interessados e o registro das ações.

Este registro é usado para a melhoria contínua da segurança do sistema.

Certifique-se de que os serviços de TI retornem ao desempenho ideal.

Reduza os riscos e os impactos potenciais que o incidente pode causar.

Garanta a integridade dos sistemas em caso de incidente de segurança.

Comunique o impacto de um incidente assim que for detectado para ativar o alarme; e implementar um plano de comunicação de negócios adequado.

Promova a eficiência do negócio.

Continuidade da atividade

A DyCare, com o objetivo de garantir a continuidade das atividades, estabelece medidas para que os sistemas tenham cópias de segurança e estabeleçam mecanismos necessários para garantir a continuidade das operações, em caso de perda dos meios usuais de trabalho.

Melhoria contínua do processo de segurança

A DyCare estabelece um processo de melhoria contínua da segurança da informação, aplicando os critérios e a metodologia estabelecidas em padrões internacionais, como ISO 27001