A decisão da ANACOM de 12 de dezembro de 2013 é revogada a partir do termo do prazo de um ano a contar da data de entrada em vigor do presente regulamento.
ANEXO
Objetivos e medidas de segurança
(a que se refere o n.º 1 do artigo 7.º)
- 1 -Política de segurança
Estabelecer e manter uma política de segurança das redes e serviços adequada.
(ver documento original)
- 2 -Governação e gestão dos riscos
Estabelecer e manter um quadro adequado de governação e gestão dos riscos com vista a identificar, prevenir, gerir e reduzir os riscos para a segurança das redes e serviços.
(ver documento original)
- 3 -Funções e responsabilidades no domínio da segurança
Estabelecer e manter uma estrutura adequada de funções e responsabilidades no domínio da segurança das redes e serviços.
(ver documento original)
- 4 -Segurança nos contratos com terceiros
Estabelecer e manter uma política de segurança para os contratos com terceiros, com vista a garantir que as dependências de terceiros não afetem negativamente a segurança das redes e serviços.
(ver documento original)
- 5 -Verificação de credenciais e de referências
Assegurar uma adequada verificação de credenciais e de referências dos colaboradores envolvidos, na medida necessária para as suas funções e responsabilidades.
(ver documento original)
- 6 -Conhecimento, formação e treino em matéria de segurança
Assegurar que os colaboradores dispõem de conhecimentos suficientes e recebem formação e treino regulares em matéria de segurança das redes e serviços.
(ver documento original)
- 7 -Mudança de colaboradores
Estabelecer e manter um procedimento adequado de gestão das mudanças de colaboradores ou das mudanças de funções e responsabilidades.
(ver documento original)
- 8 -Tratamento de violações
Estabelecer e manter um procedimento disciplinar para os colaboradores em caso de violação de políticas de segurança das redes e serviços ou estabelecer um procedimento mais abrangente que inclua incidentes de segurança causados por violações de políticas de segurança das redes e serviços por parte dos colaboradores.
(ver documento original)
- 9 -Segurança física e ambiental
Estabelecer e manter a segurança física e ambiental adequada dos ativos.
(ver documento original)
- 10 -Segurança dos fornecimentos
Estabelecer e manter uma segurança adequada dos fornecimentos (incluindo, entre outros, infraestruturas de alojamento, circuitos alugados, energia elétrica e combustível).
(ver documento original)
- 11 -Controlo de acesso aos ativos
Estabelecer e manter controlos de acesso físico e lógico adequados aos ativos.
(ver documento original)
- 12 -Integridade dos ativos
Estabelecer e manter a integridade dos ativos e protegê-los contra vírus, códigos maliciosos e outro software malicioso que alterem ou possam alterar a sua segurança e funcionalidade.
(ver documento original)
- 13 -Procedimentos operacionais
Estabelecer e manter procedimentos para a operação dos ativos classificados nas classes A ou B pelos colaboradores.
(ver documento original)
- 14 -Gestão de alterações
Estabelecer procedimentos de gestão de alterações aos ativos classificados nas classes A ou B com vista a minimizar a probabilidade de incidentes de segurança.
(ver documento original)
- 15 -Gestão dos ativos
Estabelecer e manter procedimentos de gestão dos ativos e de controlo de configurações de modo a gerir a disponibilidade e a configuração dos ativos classificados nas classes A ou B.
(ver documento original)
- 16 -Procedimentos de gestão de incidentes de segurança
Estabelecer e manter procedimentos de gestão de incidentes de segurança e de reencaminhamento para os colaboradores adequados.
(ver documento original)
- 17 -Capacidade de deteção de incidentes de segurança
Estabelecer e manter uma capacidade de deteção de incidentes de segurança, com vista a assegurar uma resposta célere, eficaz e ordenada aos incidentes de segurança.
(ver documento original)
- 18 -Notificação e comunicação de incidentes de segurança
Estabelecer e manter procedimentos adequados de notificação e comunicação de incidentes de segurança, tendo em consideração o disposto na lei.
(ver documento original)
- 19 -Estratégia de continuidade e planos de contingência
Estabelecer e manter planos de contingência e uma estratégia de continuidade do funcionamento das redes e serviços.
(ver documento original)
- 20 -Capacidades de recuperação de desastres
Estabelecer e manter capacidades adequadas de recuperação de desastres para o restauro das redes e serviços no caso de desastres naturais ou de grandes proporções e outros fenómenos extremos, tendo em consideração, nomeadamente, a evolução das condições climáticas e as situações extraordinárias previstas na alínea b) do n.º 1 do artigo 3.º
(ver documento original)
- 21 -Políticas de monitorização e registo de eventos
Estabelecer e manter sistemas e funções de monitorização e de registo de eventos relativos aos ativos classificados nas classes A ou B.
(ver documento original)
- 22 -Exercícios de planos de contingência
Estabelecer e manter políticas de teste e de exercício de planos de contingência e de redundância, sempre que necessário em colaboração com terceiros.
(ver documento original)
- 23 -Teste dos ativos
Estabelecer e manter políticas para testar os ativos, nomeadamente em caso de ligação a novos ativos.
(ver documento original)
- 24 -Avaliações de segurança
Estabelecer e manter uma política adequada para a realização de avaliações de segurança das redes serviços.
(ver documento original)
- 25 -Monitorização da conformidade
Estabelecer e manter uma política relativa à monitorização da conformidade com os requisitos legais e regulamentares.
(ver documento original)
14 de março de 2019. - O Presidente do Conselho de Administração, João António Cadete de Matos.
312145734