Deliberação

Deliberação n.º 940/2022

Aprova o Regulamento Interno do Comité de Risco e Segurança da Informação

Capítulo I - Disposições gerais

Objeto

O presente regulamento estabelece as regras de atuação e de funcionamento do Comité de Risco e Segurança da Informação do Instituto Nacional de Emergência Médica, I. P., adiante designado por CRSI do INEM.

Artigo 2.º

Definição

1 -O CRSI do INEM, é um órgão colegial, responsável pela gestão da Estratégia de Risco e Segurança da Informação do Instituto, tendo como principal incumbência, o desenvolvimento e implementação de estratégias, metodologias, iniciativas, medidas e procedimentos em termos de avaliação da cibersegurança em consonância com segurança dos ecossistemas de informação.
2 -O CRSI rege-se pelo presente regulamento e pela legislação aplicável, em matéria de avaliação da gestão de risco da segurança de informação no INEM.

Artigo 3.º

Aplicabilidade

As deliberações do CRSI aplicam-se a todos os dirigentes, trabalhadores e colaboradores do INEM (independentemente da sua direção, função, posição hierárquica e vínculo contratual), fornecedores, prestadores de serviços e parceiros, e quaisquer outras pessoas que tenham acesso a postos de trabalho ou local onde se encontre informação ou sistemas de informação do INEM.

Capítulo II - Funções, composição e competência

Artigo 4.º

Funções do CRSI

1 -Ao Comité de Risco e Segurança da Informação do INEM são atribuídas as seguintes funções e responsabilidades:
1. a)Exercer atividade enquanto órgão consultivo do Conselho Diretivo (CD) na área de Risco e Segurança da Informação;
2. b)Apreciar e delinear, a estratégia do Risco e da Segurança da Informação determinada pelo Gabinete de Sistemas e Tecnologias de Informação (GSTI) do INEM, assegurando os melhores níveis de resultados;
3. c)Conhecer as comunicações relativas ao risco de segurança da informação e de cibersegurança, enviadas ao Encarregado de Proteção de Dados (EPD) e ao Responsável de Segurança (CISO), bem como as medidas implementadas;
4. d)Definir sob informação do GSTI o nível de aceitação do Risco no INEM;
5. e)Garantir de forma eficaz e consistente a aplicação de Boas Práticas de Segurança da Informação e Cibersegurança pelos profissionais do INEM, num quadro de conformidade, e de responsabilização das mesmas.
2 -Devem ter em consideração os quatro pilares estratégicos da Segurança da Informação no INEM, no que respeita:
1. a)Segurança: Garantir a Segurança da Informação, infraestrutura e aplicações;
2. b)Disponibilidade: Garantir a disponibilidade, fiabilidade e utilidade da informação de suporte à tomada de decisão;
3. c)Risco: Garantir a gestão dos riscos relacionados com informação e tecnologias;
4. d)Conformidade: Garantir a conformidade da informação, tecnologias e suporte da atividade operacional com os requisitos legais e normativos.

Artigo 5.º

Composição do CRSI

1 -De forma a assegurar a excelência operacional e a qualidade dos serviços prestados, e a promover uma cultura de risco, de segurança da informação e cibersegurança no instituto, estão representadas no CRSI as diversas áreas com influência na gestão do INEM. Neste sentido, na constituição são considerados membros permanentes e membros não permanentes ou opcionais, estes últimos a convocar de acordo com a necessidade, em representação das áreas de negócio.
2 -Nos termos do disposto no número anterior, a constituição do CRSI é designada por deliberação do Conselho Diretivo, de forma nominal devendo ser objeto de divulgação a todos os profissionais do INEM pelos canais adequados e habituais.

Artigo 6.º

Competências do CRSI

Enquanto órgão de governação e gestão da Estratégia de Risco e Segurança da Informação do INEM, é da competência do CRSI, nomeadamente:

a)Definir a estratégia de risco e segurança da informação de acordo com a missão do INEM e da sua área da atividade na prestação de cuidados de saúde, na área da emergência médica, estabelecendo e acompanhando as principais orientações que contribuam para atingir os objetivos;
b)Planear, e estabelecer diretrizes de implementação, melhoria e acompanhamento das boas práticas de risco, segurança da informação e cibersegurança, preconizando a descentralização das responsabilidades desta área de gestão pelas várias áreas do INEM;
c)Aprovar e promover políticas técnicas, procedimentos, mecanismos de monitorização e controlos que incluam a verificação da eficácia dos controlos de segurança da informação, das medidas de segurança da informação, através de revisões periódicas, da análise de indicadores, das avaliações do risco e da melhoria continua, que sejam auditadas e promovidas em matéria de segurança da informação e cibersegurança;
d)Analisar e colocar em discussão temáticas que sejam sinalizadas, nomeadamente riscos e questões que impactam transversalmente toda a segurança da informação e cibersegurança do INEM;
e)Manifestar necessidades ao Conselho Diretivo relativamente a recursos que permitem dar cumprimento às atividades delineadas na Estratégia de Risco e Segurança da Informação;
f)Aconselhar o Conselho Diretivo com vista à implementação e manutenção das medidas de segurança da informação e cibersegurança;
g)Promover a adoção de comportamentos que contribuam para elevar a cultura de análise de risco e de segurança no INEM;
h)Elaborar, anualmente, ou sempre que necessário, relatório de avaliação da execução de atividades de risco, segurança da informação e cibersegurança no INEM;
i)Responder a solicitações por parte do Conselho Diretivo, no âmbito da temática do Risco e Segurança da Informação;
j)Exercer as demais competências que lhe sejam cometidas pelo Conselho Diretivo do INEM.

Artigo 7.º

Presidente do CRSI

1 -Compete ao Presidente do CRSI:
1. a)Representar o CRSI ou fazer-se representar, nos fóruns e outros eventos internos ou externos, apropriados;
2. b)Agendar, convocar e presidir às reuniões, ordinárias e extraordinárias do CRSI, e fazer cumprir a ordem de trabalhos;
3. c)Procurar o consenso na discussão, podendo recorrer à votação quando assim não for possível;
4. d)Exercer o voto de qualidade em caso de empate nas votações;
5. e)Exercer as demais competências que lhe forem delegadas pela Comissão;
6. f)Garantir o cumprimento da legalidade.
2 -O Presidente é substituído nas suas ausências e impedimentos por outro membro do Conselho Diretivo.

Artigo 8.º

Apoio técnico do CRSI

1 -O CRSI é secretariado pelo Responsável de Segurança (CISO).
2 -Cabe ao secretário executar os procedimentos técnico-administrativos relacionados com o CRSI, designadamente:
1. a)Apoiar o Presidente do CRSI na preparação da ordem de trabalhos;
2. b)Secretariar as reuniões e elaborar as respetivas atas;
3. c)Organizar o expediente e arquivo do CRSI;
4. d)Controlar a implementação das medidas formalizadas nas atas do Comité;
5. e)Proceder ao compêndio da informação pertinente para o funcionamento das reuniões.
3 -Sempre que se justifique, deverá ser dado apoio administrativo ao secretário do CSRI, por outro membro designado pelo Comité.

Capítulo III - Funcionamento

Artigo 9.º

Reuniões

1 -O CRSI reúne ordinariamente, de forma mensal, e extraordinariamente sempre que for convocado pelo seu Presidente ou por proposta de um terço dos seus membros permanentes, devendo neste caso ser indicado na ordem de trabalhos, o assunto que merece a atenção de uma reunião extraordinária.
2 -A convocatória de cada reunião é remetida com a antecedência mínima de 48 horas sobre a data da reunião, com indicação do dia, do local, da hora e da ordem de trabalhados, incluindo ainda toda a documentação de suporte sobre cada assunto dela constante.
3 -O CRSI reúne ordinariamente, de forma presencial ou remota, conforme informado na convocatória, na primeira segunda-feira do mês nas instalações do INEM.
4 -Podem participar nas reuniões, sem direito a voto, quaisquer pessoas cuja presença seja considerada necessária para esclarecimento dos assuntos em apreciação, por convocação do seu Presidente.

Artigo 10.º

Deliberações

1 -Cada membro do CRSI tem direito a um (1) voto;
2 -O quórum necessário para a adoção de decisões atinge-se com a presença, local ou remota, de pelo menos 2/3 do número total dos membros convocados para a reunião.
3 -As deliberações são aprovadas por votação nominal e por maioria de votos dos membros presentes.
4 -Em caso de empate, o Presidente tem voto de qualidade.
5 -Em caso de impossibilidade de obtenção de maioria na reunião, a decisão será tomada pelo Presidente do CRSI.

Artigo 11.º

Ata da reunião

1 -De cada reunião será lavrada ata, que conterá um resumo de tudo o que nela tiver ocorrido, indicando, designadamente, a data e o local da reunião, os membros presentes, as justificações de ausência recebidas, os assuntos apreciados, os documentos sujeitos a deliberação, as deliberações tomadas, a forma e o resultado das respetivas votações.
2 -As atas são lavradas pelo secretário que as dará a conhecer a todos os participantes, sendo submetidas à conferência e aprovação de todos os membros da CRSI, na reunião subsequente.
3 -As atas e todos os arquivos serão armazenados em formato digital após aprovação, devendo este repositório ser acedido apenas pelo Presidente e secretário, ou mediante decisão do Presidente da CRSI que o autorize, quando seja solicitado o acesso por terceiro, devendo este ser informado pelo responsável pelo acesso à informação sobre a legitimidade do acesso.

Artigo 12.º

Sigilo e Confidencialidade

Os membros do CRSI do INEM, I. P., assim como todos os profissionais que com esta colaborem, estão sujeitos ao dever de sigilo, de confidencialidade e de proteção dos dados pessoais, relativamente aos assuntos submetidos à sua apreciação ou dos que tomem conhecimento no exercício das suas funções, mesmo após o seu termo.

Capítulo IV - Disposições finais

Artigo 13.º

Omissões

Em tudo o que o presente regulamento for omisso, vigoram os princípios e regras gerais de Direito, e, sempre que aplicável, com as necessárias adaptações, o disposto no Código do Procedimento Administrativo.

Artigo 14.º

Publicação

O presente regulamento interno de funcionamento do CRSI, depois de homologado pelo Conselho Diretivo, é publicado no Diário da República e divulgado na área da respetiva comissão no site do INEM.

Artigo 15.º

Entrada em vigor

O presente regulamento entra imediatamente em vigor no dia seguinte ao da sua publicação.

17 de agosto de 2022. - O Vogal do Conselho Diretivo, Pedro Henrique Pires Lavinha.

315621096

Artigo 6.º

Competências do CRSI

Enquanto órgão de governação e gestão da Estratégia de Risco e Segurança da Informação do INEM, é da competência do CRSI, nomeadamente:

a)Definir a estratégia de risco e segurança da informação de acordo com a missão do INEM e da sua área da atividade na prestação de cuidados de saúde, na área da emergência médica, estabelecendo e acompanhando as principais orientações que contribuam para atingir os objetivos;
b)Planear, e estabelecer diretrizes de implementação, melhoria e acompanhamento das boas práticas de risco, segurança da informação e cibersegurança, preconizando a descentralização das responsabilidades desta área de gestão pelas várias áreas do INEM;
c)Aprovar e promover políticas técnicas, procedimentos, mecanismos de monitorização e controlos que incluam a verificação da eficácia dos controlos de segurança da informação, das medidas de segurança da informação, através de revisões periódicas, da análise de indicadores, das avaliações do risco e da melhoria continua, que sejam auditadas e promovidas em matéria de segurança da informação e cibersegurança;
d)Analisar e colocar em discussão temáticas que sejam sinalizadas, nomeadamente riscos e questões que impactam transversalmente toda a segurança da informação e cibersegurança do INEM;
e)Manifestar necessidades ao Conselho Diretivo relativamente a recursos que permitem dar cumprimento às atividades delineadas na Estratégia de Risco e Segurança da Informação;
f)Aconselhar o Conselho Diretivo com vista à implementação e manutenção das medidas de segurança da informação e cibersegurança;
g)Promover a adoção de comportamentos que contribuam para elevar a cultura de análise de risco e de segurança no INEM;
h)Elaborar, anualmente, ou sempre que necessário, relatório de avaliação da execução de atividades de risco, segurança da informação e cibersegurança no INEM;
i)Responder a solicitações por parte do Conselho Diretivo, no âmbito da temática do Risco e Segurança da Informação;
j)Exercer as demais competências que lhe sejam cometidas pelo Conselho Diretivo do INEM.