Art.º 4 · Resolução da Assembleia da República n.º 123/2018 — Conteúdos da política de segurança da informação

1 -A política de segurança da informação da Assembleia da República consiste na proteção da informação produzida, armazenada, processada ou transmitida contra a perda de integridade, autenticidade, disponibilidade e confidencialidade.
2 -A Assembleia da República compromete-se a desenvolver políticas e procedimentos específicos que respeitem as normas internacionais de referência, auditáveis, que definem os requisitos para a implementação de um Sistema de Gestão da Segurança da Informação (SGSI), abrangendo, nomeadamente as áreas previstas nas normas ISO 27001, ISO 27002 e, ainda, no Regulamento Geral de Proteção de Dados Pessoais, no que respeita a:
1. a)Recursos Humanos:
  1. i)Assegurar que todos os utilizadores conhecem, entendem e cumprem as responsabilidades na área da segurança da informação em conformidade com as suas funções;
  2. ii)Assegurar que os interesses da Assembleia da República e dos utilizadores são protegidos como parte do processo de início, mudança ou cessação de funções;
2. b)Gestão da Informação:
  1. i)Identificar a informação da Assembleia da República e definir as responsabilidades pela sua proteção;
  2. ii)Definir a política de classificação de segurança, assegurando que a informação receba um nível adequado de proteção de acordo com o seu valor, sensibilidade, criticidade, requisitos legais e riscos a que possa estar sujeita;
  3. iii)Definir a política de uso aceitável que deve conter regras para a utilização dos recursos da Assembleia da República, ficando o uso destes condicionado à concordância expressa por parte de cada utilizador;
  4. iv)Definir os procedimentos para a gestão dos suportes de armazenamento e salvaguarda da informação;
  5. v)Garantir que a segurança da informação é parte integrante de todo o ciclo de vida dos sistemas de informação;
3. c)Gestão de Acessos:
  1. i)Assegurar a gestão e o controlo dos acessos às instalações da Assembleia da República, ao sistema informático e à informação, responsabilizando os utilizadores pela proteção das suas credenciais de acesso e assegurando a intransferibilidade dos direitos atribuídos;
  2. ii)Gerir a divulgação da informação;
4. d)Segurança Física e Ambiental:
  1. i)Proteger as informações, equipamentos e instalações físicas da Assembleia da República de acesso não autorizado, dano, interferência, perda, furto ou roubo;
  2. ii)Monitorizar e controlar o ambiente das instalações;
  3. iii)Definir procedimentos que assegurem a salvaguarda dos suportes físicos;
5. e)Gestão do Sistema Informático:
  1. i)Garantir a operação e proteção, segura e correta, dos recursos de processamento da informação;
  2. ii)Registar e monitorizar eventos e gerar evidências;
  3. iii)Analisar, controlar, mitigar e eliminar as vulnerabilidades;
  4. iv)Criar mecanismos que permitam controlar e auditar a conformidade das operações com as políticas de segurança da informação;
  5. v)Garantir a segurança da informação transmitida dentro da organização e com quaisquer entidades externas;
  6. vi)Assegurar o uso efetivo e adequado da criptografia para proteger a integridade, autenticidade e integridade da informação;
6. f)Gestão dos Incidentes de Segurança: Definir as responsabilidades e os procedimentos a adotar para reagir de forma apropriada perante as fragilidades e incidentes que coloquem em risco a segurança da informação, garantindo o seu registo e prevendo um processo de melhoria contínua e revisão periódica dos processos de gestão de incidentes;
7. g)Gestão da Continuidade de Negócio:
  1. i)Garantir que, após a ocorrência de desastres ou falhas de segurança (resultantes, por exemplo, de desastres naturais, acidentes, falhas de equipamentos ou ações intencionais), seja possível manter um nível de funcionamento aceitável até se retornar à situação normal;
  2. ii)Prever e implementar um plano de continuidade de negócio;
8. h)Conformidade Legal: Assegurar o cumprimento das obrigações legais, estatutárias, regulamentares e contratuais, bem como de quaisquer requisitos de segurança;
9. i)Proteção de Dados Pessoais:
  1. i)Identificar e localizar a informação que contem dados pessoais, o seu propósito, risco e valor;
  2. ii)Garantir que os procedimentos a estabelecer sejam adequados às obrigações de proteção de dados pessoais decorrentes, nomeadamente, do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, sobre a proteção de dados pessoais, e legislação nacional aplicável.

Artigo 4.º — Conteúdos da política de segurança da informação