- 1 -No desenvolvimento da sua atividade, as empresas gestoras implementam um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001.
- 2 -Para efeitos do disposto no número anterior, as empresas gestoras fornecem ao GNS documentação comprovativa, nomeadamente:
- a)Da realização de uma avaliação exaustiva dos riscos que identifique o âmbito de aplicação do sistema e assinale o impacto na atividade em caso de violação da garantia da informação;
- b)Da identificação das ameaças e vulnerabilidades da plataforma eletrónica, e a produção de um documento de análise de riscos onde se enumerem igualmente contramedidas para evitar tais ameaças, e as medidas corretivas a tomar caso a ameaça se concretize, bem como a apresentação de uma lista hierarquizada de melhorias a introduzir;
- c)Da identificação dos riscos residuais por escrito.
- 3 -As empresas gestoras selecionam os controlos de segurança adequados com base na análise de riscos prevista na alínea a) do número anterior, e na norma ISO/IEC 27002, nas seguintes áreas da segurança:
- a)Avaliação de risco, adotando-se para o efeito a norma ISO/IEC 27005 ou outra metodologia de avaliação de riscos equivalente;
- b)Segurança física e ambiental;
- c)Segurança dos recursos humanos;
- d)Gestão de comunicações e operações;
- e)Medidas normalizadas de controlo do acesso;
- f)Aquisição, desenvolvimento e manutenção dos sistemas de informação;
- g)Gestão de incidentes no domínio da segurança das informações;
- h)Medidas para corrigir e mitigar violações dos sistemas de informação suscetíveis de causar a destruição, a perda acidental, a alteração, ou a divulgação ou acesso não autorizados dos dados pessoais a tratar;
- i)Conformidade;
- j)Segurança de redes informáticas, recomendando-se para o efeito a norma ISO/IEC 27033.
- 4 -A aplicação destas normas pode cingir-se apenas às partes da organização que são relevantes para a atividade das plataformas eletrónicas.
Artigo 39.º — Implementação e gestão da segurança
Vigente desde: 17/08/2015
Histórico de Alterações
Original
Versão 1Versão em vigor
Em vigor desde 17/08/2015