Política de Segurança da Informação (PSI)

1. Introdução e Objetivo

A presente Política de Segurança da Informação (PSI) da EPHRA é um documento fundamental que estabelece as diretrizes, normas e padrões de segurança a serem seguidos por todos os colaboradores, prestadores de serviço, parceiros e qualquer entidade que interaja com os ativos de informação da empresa. No contexto do mercado de pagamentos brasileiro, a EPHRA, como subadquirente, desempenha um papel crucial na facilitação de transações financeiras, o que a coloca sob a égide de rigorosas regulamentações. Este documento visa garantir a conformidade com as exigências do Banco Central do Brasil (BACEN), em particular a Resolução BCB nº 85/2021, que dispõe sobre a política de segurança cibernética e os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem.

O principal objetivo desta PSI é salvaguardar os ativos de informação da EPHRA, assegurando a Confidencialidade, Integridade e Disponibilidade (CID) dos dados e sistemas. Isso implica em prevenir o acesso não autorizado, a alteração indevida ou a destruição de informações, bem como garantir que os sistemas e dados estejam acessíveis e operacionais quando necessário. A implementação e a adesão a esta política são essenciais para proteger a reputação da EPHRA, mitigar riscos financeiros e operacionais, e manter a confiança de seus clientes e parceiros no ecossistema de pagamentos.

2. Escopo e Aplicabilidade

Esta Política de Segurança da Informação abrange todos os ativos de informação da EPHRA, independentemente de sua forma (física ou digital), localização ou meio de armazenamento. Isso inclui, mas não se limita a:

• Sistemas de Informação: Plataformas de processamento de pagamentos, sistemas de gestão de clientes (CRM), sistemas de gestão financeira, sistemas de monitoramento de fraude, e quaisquer outras aplicações utilizadas nas operações da EPHRA.

• Dados: Informações de clientes (dados pessoais, dados de transação), dados de cartões (quando aplicável e em conformidade com PCI-DSS), dados financeiros, dados estratégicos e operacionais da empresa.

• Infraestrutura Tecnológica: Servidores (físicos e virtuais), equipamentos de rede (roteadores, switches, firewalls), dispositivos de armazenamento, estações de trabalho, dispositivos móveis e infraestrutura de nuvem.

• Recursos Humanos: Todos os funcionários, diretores, estagiários, consultores, prestadores de serviços terceirizados e parceiros comerciais que, de alguma forma, interajam com os ativos de informação da EPHRA.

A observância desta PSI é obrigatória para todos, sem exceção, e o desconhecimento de suas disposições não exime de responsabilidade.

3. Governança e Responsabilidades

A estrutura de governança da segurança da informação na EPHRA é projetada para garantir que as responsabilidades sejam claramente definidas e que a PSI seja efetivamente implementada e mantida. A alta administração está comprometida com a segurança da informação, fornecendo o suporte e os recursos necessários.

3.1. Papéis e Responsabilidades

3.2. Gestão de Riscos de Segurança da Informação

A EPHRA adota uma abordagem proativa para a gestão de riscos de segurança da informação, que inclui:

• Identificação de Riscos: Mapeamento contínuo de ameaças e vulnerabilidades aos ativos de informação.

• Análise e Avaliação de Riscos: Determinação da probabilidade e impacto dos riscos identificados.

• Tratamento de Riscos: Implementação de controles para mitigar, transferir, aceitar ou evitar riscos.

• Monitoramento e Revisão de Riscos: Acompanhamento da eficácia dos controles e reavaliação periódica do cenário de riscos.

4. Classificação da Informação

A correta classificação da informação é crucial para aplicar os controles de segurança adequados, garantindo que os dados sejam protegidos de acordo com sua sensibilidade e criticidade. A EPHRA adota um sistema de classificação em quatro níveis, conforme detalhado abaixo:

Todos os colaboradores são responsáveis por classificar as informações com as quais trabalham e por aplicar os controles de segurança correspondentes ao nível de classificação.

5. Controle de Acesso e Identidade

O controle de acesso é um pilar fundamental da segurança da informação na EPHRA, garantindo que apenas indivíduos e sistemas autorizados possam acessar os ativos de informação. A política de controle de acesso é baseada nos princípios de Privilégio Mínimo e Necessidade de Conhecer, assegurando que cada entidade (usuário ou sistema) possua apenas as permissões estritamente necessárias para o desempenho de suas funções.

5.1. Gestão de Identidades e Credenciais

• Identidade Única: Cada colaborador, prestador de serviço ou sistema terá uma identidade única e intransferível nos sistemas da EPHRA. O compartilhamento de credenciais é estritamente proibido e será tratado como uma violação grave desta política.

• Padrões de Senhas Fortes: As senhas devem atender a requisitos mínimos de complexidade, incluindo:

  • Mínimo de 12 caracteres.

  • Combinação de letras maiúsculas e minúsculas, números e caracteres especiais.

  • Proibição de senhas facilmente adivinháveis ou baseadas em informações pessoais.

  • Troca obrigatória a cada 90 dias, com histórico que impeça o reuso das últimas 5 senhas.

• Múltiplo Fator de Autenticação (MFA): A utilização de MFA é compulsória para todos os acessos remotos (VPN), acessos a consoles de administração de infraestrutura (nuvem e on-premise), sistemas que processam dados financeiros ou pessoais sensíveis, e qualquer outro sistema considerado crítico pela equipe de segurança.

• Gestão de Chaves e Certificados: Chaves criptográficas e certificados digitais devem ser gerados, armazenados e gerenciados de forma segura, com controle de acesso restrito e rotação periódica.

5.2. Controle de Acesso Lógico

• Segregação de Funções (SoD): As responsabilidades e privilégios de acesso são segregados para evitar que um único indivíduo possa executar uma transação completa ou ter controle total sobre um processo crítico, reduzindo o risco de fraude e erro.

• Controle de Acesso Baseado em Papéis (RBAC): O acesso aos sistemas e dados é concedido com base nos papéis e responsabilidades dos usuários, garantindo consistência e facilidade de gerenciamento.

• Revisão Periódica de Acessos: As permissões de acesso são revisadas e validadas pelos gestores de área trimestralmente. Acessos indevidos ou obsoletos devem ser removidos imediatamente.

5.3. Revogação de Acessos

• Desligamento de Colaboradores: Em caso de desligamento, transferência ou término de contrato, todos os acessos do indivíduo aos sistemas e ativos da EPHRA devem ser revogados ou ajustados em até 2 horas após a comunicação oficial do Departamento de Recursos Humanos.

• Contas Inativas: Contas de usuários que permanecerem inativas por um período superior a 90 dias serão desativadas ou removidas após aprovação do gestor da área e da equipe de segurança.

6. Segurança em Meios de Pagamento e PCI-DSS

Como subadquirente, a EPHRA reconhece sua posição crítica na cadeia de pagamentos e o dever de proteger as informações sensíveis dos portadores de cartões. Embora a EPHRA possa não armazenar dados de cartões diretamente em sua infraestrutura local, ela adere estritamente aos requisitos do Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS), garantindo a conformidade em todas as etapas do processamento de transações.

6.1. Proteção de Dados do Portador de Cartão

• Criptografia Robusta: Todos os dados de cartões, tanto em trânsito quanto em repouso, devem ser protegidos por criptografia forte, utilizando algoritmos reconhecidos e aprovados pela indústria (ex: AES-256 para dados em repouso, TLS 1.2 ou superior para dados em trânsito).

• Tokenização e Mascaramento: A EPHRA implementa e promove o uso de tokenização para substituir o Número da Conta Primária (PAN) por um token único, reduzindo o escopo de dados sensíveis. O mascaramento do PAN é aplicado em todas as exibições, exceto quando estritamente necessário para funções de negócio autorizadas e com justificativa documentada.

• Proibição de Armazenamento de Dados Sensíveis de Autenticação: É terminantemente proibido o armazenamento de dados sensíveis de autenticação, como o Código de Verificação de Cartão (CVV/CVC), dados da trilha magnética completa ou PINs, após a autorização da transação.

• Controle de Acesso a Dados de Cartão: O acesso a qualquer dado de cartão, mesmo que tokenizado ou mascarado, é restrito ao mínimo necessário para a função do colaborador, com monitoramento e auditoria rigorosos.

6.2. Conformidade PCI-DSS

A EPHRA se compromete a manter a conformidade contínua com o PCI-DSS, o que inclui:

• Avaliações Periódicas: Realização de avaliações anuais de conformidade, que podem incluir Questionários de Autoavaliação (SAQ) ou Auditorias no Local (On-site Assessments) por um Avaliador de Segurança Qualificado (QSA), conforme o nível de envolvimento com dados de cartões.

• Varreduras de Vulnerabilidade: Execução de varreduras de vulnerabilidade trimestrais por um Fornecedor de Varredura Aprovado (ASV) em todos os sistemas voltados para a internet.

• Testes de Penetração: Realização de testes de penetração anuais ou após mudanças significativas na infraestrutura, para identificar e remediar vulnerabilidades.

• Políticas e Procedimentos Documentados: Manutenção de políticas e procedimentos de segurança detalhados, que são revisados e atualizados regularmente para refletir as melhores práticas e os requisitos do PCI-DSS.

7. Desenvolvimento Seguro de Software (DevSecOps)

A EPHRA adota a metodologia DevSecOps, integrando a segurança em todas as fases do ciclo de vida de desenvolvimento de software (SDLC), desde a concepção até a operação. O objetivo é construir sistemas seguros por design, minimizando vulnerabilidades e garantindo a resiliência das aplicações.

7.1. Princípios de Desenvolvimento Seguro

• Segurança por Design: A segurança é um requisito não funcional prioritário, incorporado desde a fase de planejamento e arquitetura de novos sistemas e funcionalidades.

• Revisão de Código: Todo código-fonte passa por revisão por pares e/ou ferramentas automatizadas (SAST - Static Application Security Testing) para identificar e corrigir vulnerabilidades antes da implantação.

• Testes de Segurança: Além dos testes funcionais, são realizados testes de segurança, incluindo:

  • DAST (Dynamic Application Security Testing): Testes em tempo de execução para identificar vulnerabilidades em aplicações web.

  • Testes de Penetração (PenTest): Realizados por equipes internas ou externas para simular ataques e identificar falhas de segurança.

  • Análise de Componentes de Terceiros (SCA - Software Composition Analysis): Para identificar vulnerabilidades em bibliotecas e frameworks de código aberto utilizados.

7.2. Gestão de Vulnerabilidades em Aplicações

• Priorização e Correção: Vulnerabilidades identificadas são classificadas por criticidade e corrigidas de acordo com prazos estabelecidos:

  • Crítica: 48 horas.

  • Alta: 15 dias.

  • Média: 30 dias.

  • Baixa: 90 dias.

• Ambientes Segregados: Os ambientes de Desenvolvimento, Homologação (QA) e Produção são logicamente e fisicamente segregados. Dados reais de clientes são estritamente proibidos em ambientes de desenvolvimento e homologação, sendo utilizados dados anonimizados ou sintéticos.

• Controle de Versão: Todo o código-fonte é gerenciado em sistemas de controle de versão seguros, com controle de acesso e trilha de auditoria.

8. Gestão de Incidentes e Resposta a Ameaças

A EPHRA estabelece e mantém um robusto programa de gestão de incidentes de segurança cibernética, com o objetivo de detectar, analisar, conter, erradicar e recuperar-se de eventos adversos de segurança de forma eficiente, minimizando o impacto nas operações e na reputação. Este programa está em conformidade com as melhores práticas da indústria e com as exigências regulatórias do BACEN.

8.1. Detecção e Monitoramento Contínuo

• Sistemas de Monitoramento: A EPHRA emprega sistemas de monitoramento de segurança 24/7, incluindo:

  • SIEM (Security Information and Event Management): Para coleta, correlação e análise de logs de segurança de todos os sistemas e aplicações críticas, permitindo a detecção proativa de ameaças.

  • IDS/IPS (Intrusion Detection/Prevention Systems): Para monitorar o tráfego de rede em busca de atividades maliciosas e prevenir ataques.

  • Antivírus e Antimalware: Implementados em todos os endpoints e servidores para proteção contra softwares maliciosos.

• Logging Centralizado: Todos os eventos de segurança relevantes, incluindo tentativas de acesso, alterações de configuração, atividades de usuários privilegiados e transações, são registrados em um sistema de log centralizado e protegido contra adulterações. Os logs são retidos por um período mínimo de 5 anos, conforme exigência regulatória, e são periodicamente revisados.

8.2. Plano de Resposta a Incidentes (PRI)

O PRI da EPHRA é um documento detalhado que orienta a equipe de segurança e outras partes interessadas na resposta a incidentes. Ele contempla as seguintes fases:

1. Preparação: Inclui a manutenção de uma equipe de resposta a incidentes treinada, ferramentas e tecnologias adequadas, e a realização de exercícios simulados de incidentes (tabletop exercises).

2. Identificação: Processo de determinar se um evento de segurança é de fato um incidente, avaliando sua natureza, escopo e impacto potencial.

3. Contenção: Ações imediatas para limitar a propagação e o dano causado pelo incidente, como isolamento de sistemas comprometidos, bloqueio de IPs maliciosos ou desativação de contas de usuários.

4. Erradicação: Remoção da causa raiz do incidente, garantindo que a vulnerabilidade explorada seja corrigida e que o atacante não possa retomar o acesso.

5. Recuperação: Restauração dos sistemas e dados afetados ao seu estado normal de operação, com validação da integridade e segurança.

6. Lições Aprendidas: Análise pós-incidente para identificar falhas nos controles existentes, oportunidades de melhoria nos processos e atualização da PSI e do PRI.

8.3. Comunicação e Notificação de Incidentes

A comunicação transparente e oportuna é fundamental na gestão de incidentes. Incidentes classificados como "Relevantes" (aqueles que afetam a disponibilidade, integridade ou confidencialidade de dados de pagamento, ou que possam ter impacto sistêmico) seguirão o seguinte protocolo de comunicação:

• Comunicação Interna: A Diretoria Executiva e o Comitê de Segurança da Informação serão notificados imediatamente após a identificação de um incidente relevante.

• Comunicação ao Banco Central do Brasil: Conforme a Resolução BCB nº 85, incidentes relevantes serão comunicados ao BACEN dentro dos prazos e formatos estabelecidos pela regulamentação.

• Comunicação a Parceiros: Adquirentes, bandeiras e outros parceiros comerciais afetados serão notificados conforme os termos dos contratos de subcredenciamento e acordos de nível de serviço (SLAs).

• Comunicação a Clientes: Em caso de vazamento de dados pessoais, os clientes afetados serão notificados conforme as exigências da Lei Geral de Proteção de Dados (LGPD) e outras regulamentações aplicáveis.

9. Continuidade de Negócios e Recuperação de Desastres

A EPHRA reconhece a criticidade de seus serviços e a necessidade de garantir a continuidade das operações mesmo diante de eventos adversos. Para isso, mantém um Plano de Continuidade de Negócios (PCN) e um Plano de Recuperação de Desastres (PRD) robustos, que visam minimizar o tempo de inatividade e a perda de dados.

9.1. Estratégia de Backup e Restauração

• Backups Regulares: Backups completos de todos os dados e sistemas críticos são realizados diariamente, com backups incrementais ou diferenciais em intervalos menores. Os backups são armazenados em locais geograficamente distintos e seguros, preferencialmente em infraestrutura de nuvem com redundância.

• Retenção de Backups: A política de retenção de backups é definida com base na criticidade dos dados e requisitos regulatórios, garantindo que cópias de segurança estejam disponíveis por um período adequado para recuperação.

• Testes de Restauração: Testes de restauração de backups são realizados semestralmente para validar a integridade dos dados e a eficácia dos procedimentos de recuperação. Os resultados desses testes são documentados e revisados.

9.2. Plano de Recuperação de Desastres (PRD)

O PRD da EPHRA define os procedimentos para restabelecer as operações após um desastre, com base nos seguintes objetivos:

• Objetivo de Tempo de Recuperação (RTO - Recovery Time Objective): O tempo máximo aceitável para que os sistemas e serviços críticos sejam restaurados após uma interrupção.

• Objetivo de Ponto de Recuperação (RPO - Recovery Point Objective): A quantidade máxima de dados que pode ser perdida durante um incidente, medida em tempo.

O PRD inclui:

• Infraestrutura Redundante: Utilização de infraestrutura em nuvem com alta disponibilidade, balanceamento de carga e failover automático para os serviços críticos.

• Equipe de Resposta a Desastres: Designação e treinamento de uma equipe responsável pela execução do PRD.

• Comunicação de Crise: Protocolos de comunicação para informar clientes, parceiros e reguladores durante um evento de desastre.

9.3. Testes do Plano de Continuidade e Recuperação

Exercícios simulados do PCN e PRD são realizados anualmente para validar a eficácia dos planos, identificar pontos de melhoria e garantir que a equipe esteja preparada para responder a um evento real. Os resultados dos testes são documentados e utilizados para aprimorar os planos.

10. Gestão de Terceiros e Cloud Computing

A EPHRA reconhece que a segurança da informação é uma responsabilidade compartilhada que se estende aos seus fornecedores e parceiros. A gestão de terceiros, especialmente aqueles que processam ou armazenam dados sensíveis ou críticos, é realizada com rigor, em conformidade com a Resolução BCB nº 85/2021 e outras regulamentações aplicáveis.

10.1. Due Diligence e Seleção de Fornecedores

• Avaliação de Segurança: Antes da contratação, todos os fornecedores que terão acesso a dados ou sistemas críticos da EPHRA passam por um processo de due diligence de segurança, que inclui a avaliação de suas políticas, procedimentos, certificações (ex: ISO 27001, SOC 2) e controles de segurança.

• Análise de Risco: É realizada uma análise de risco para cada fornecedor, considerando a criticidade do serviço, o tipo de dados acessados e o impacto potencial de uma falha de segurança.

10.2. Requisitos Contratuais

Todos os contratos com fornecedores de serviços críticos, especialmente aqueles de computação em nuvem, devem incluir cláusulas específicas que garantam:

• Conformidade Regulatória: O fornecedor deve se comprometer a cumprir as regulamentações aplicáveis, incluindo as normas do BACEN e a LGPD.

• Direito de Auditoria: A EPHRA e o Banco Central do Brasil devem ter o direito de auditar as instalações e os sistemas do fornecedor, bem como acessar os dados e informações relevantes para fins de supervisão.

• Níveis de Serviço (SLAs): Definição clara dos SLAs relacionados à segurança, disponibilidade e desempenho dos serviços.

• Plano de Continuidade: O fornecedor deve possuir e demonstrar a eficácia de um plano de continuidade de negócios e recuperação de desastres.

• Localização de Dados: Preferencialmente, os dados devem ser processados e armazenados em jurisdições que possuam acordos de cooperação jurídica com o Brasil, ou onde a proteção de dados seja equivalente.

• Notificação de Incidentes: O fornecedor deve notificar a EPHRA sobre quaisquer incidentes de segurança que possam afetar os serviços ou dados da EPHRA, dentro de prazos pré-definidos.

10.3. Monitoramento Contínuo de Terceiros

• Avaliação Periódica: A postura de segurança dos fornecedores críticos é avaliada periodicamente, através de questionários, auditorias e análise de relatórios de conformidade.

• Gestão de Mudanças: Quaisquer mudanças significativas nos serviços ou na infraestrutura do fornecedor devem ser comunicadas à EPHRA e avaliadas quanto ao impacto na segurança.

11. Conscientização e Treinamento

A segurança da informação é uma responsabilidade coletiva, e a conscientização e o treinamento contínuo de todos os colaboradores são pilares essenciais para a eficácia desta PSI. A EPHRA investe em programas de educação para fomentar uma cultura de segurança robusta e garantir que todos compreendam seu papel na proteção dos ativos de informação.

11.1. Programas de Conscientização

• Treinamento de Integração: Todos os novos colaboradores, independentemente de sua função, recebem um treinamento obrigatório em segurança da informação como parte de seu processo de integração. Este treinamento aborda os princípios básicos da PSI, as principais ameaças e as responsabilidades individuais.

• Treinamentos Periódicos: Treinamentos de reciclagem e aprofundamento são realizados anualmente ou sempre que houver mudanças significativas na PSI, nas regulamentações ou no cenário de ameaças. Tópicos incluem proteção de dados pessoais (LGPD), segurança de e-mail, uso seguro da internet, e proteção contra malware.

• Campanhas de Conscientização: A EPHRA promove campanhas regulares de conscientização através de comunicados internos, newsletters, pôsteres e simulações de ataques (ex: campanhas de phishing controladas) para manter a equipe alerta e testar sua resiliência contra engenharia social.

11.2. Cultura de Segurança

• Comunicação Contínua: A equipe de segurança da informação mantém um canal de comunicação aberto para dúvidas e sugestões, além de divulgar regularmente informações sobre novas ameaças, vulnerabilidades e boas práticas.

• Reporte de Incidentes: Todos os colaboradores são incentivados e treinados para reportar imediatamente quaisquer atividades suspeitas, incidentes de segurança ou vulnerabilidades que identifiquem, sem receio de retaliação.

• Liderança pelo Exemplo: A alta administração e os gestores demonstram seu compromisso com a segurança da informação, seguindo as diretrizes da PSI e promovendo ativamente a cultura de segurança em suas equipes.

12. Segurança Física e do Ambiente

A proteção física dos ativos de informação da EPHRA é um componente crítico da estratégia de segurança, visando prevenir acessos não autorizados, roubo, danos ou interrupções nos equipamentos e dados. Esta seção estabelece as diretrizes para a segurança das instalações e dos equipamentos.

12.1. Controle de Acesso Físico

• Áreas Restritas: As áreas que abrigam servidores, equipamentos de rede, data centers ou informações confidenciais são consideradas áreas restritas e possuem controle de acesso rigoroso.

• Mecanismos de Acesso: O acesso a essas áreas é controlado por sistemas de controle de acesso (biometria, cartões de proximidade) com registro de entrada e saída, e é concedido apenas a pessoal autorizado e com base na necessidade de acesso.

• Visitantes: Visitantes devem ser acompanhados por um colaborador da EPHRA em tempo integral e ter seu acesso restrito às áreas não sensíveis.

12.2. Monitoramento e Vigilância

• CFTV (Circuito Fechado de Televisão): As áreas críticas e os pontos de entrada/saída das instalações são monitorados por câmeras de segurança 24 horas por dia, 7 dias por semana. As gravações são armazenadas por um período mínimo de 90 dias e são acessíveis apenas a pessoal autorizado.

• Alarmes: Sistemas de alarme são instalados para detectar intrusões e são monitorados por uma central de segurança.

12.3. Proteção de Equipamentos e Mídia

• Proteção de Servidores e Equipamentos de Rede: Servidores e equipamentos de rede são armazenados em racks seguros, com chaves controladas e acesso restrito.

• Descarte Seguro de Mídia: Mídias de armazenamento (discos rígidos, fitas, etc.) que contenham informações confidenciais ou restritas devem ser descartadas de forma segura, utilizando métodos de destruição física ou sanitização de dados que impossibilitem a recuperação das informações.

• Política de Mesa Limpa e Tela Limpa: Todos os colaboradores devem aderir à política de mesa limpa, garantindo que documentos confidenciais não sejam deixados expostos. Da mesma forma, a política de tela limpa exige que os computadores sejam bloqueados ou desligados ao se ausentar da estação de trabalho.

13. Auditoria e Conformidade

A EPHRA mantém um programa de auditoria e conformidade robusto para garantir a aderência contínua a esta PSI, às regulamentações aplicáveis (BACEN, LGPD, PCI-DSS) e às melhores práticas de segurança da informação. As auditorias são realizadas de forma independente e sistemática para avaliar a eficácia dos controles de segurança.

13.1. Auditorias Internas

• Periodicidade: Auditorias internas de segurança da informação são realizadas anualmente por uma equipe independente dentro da EPHRA ou por consultores externos contratados para este fim.

• Escopo: As auditorias abrangem todos os aspectos da PSI, incluindo controles de acesso, gestão de incidentes, segurança de aplicações, gestão de terceiros e conformidade com as políticas internas.

• Relatórios e Ações Corretivas: Os resultados das auditorias são documentados em relatórios detalhados, que incluem as não conformidades identificadas e as recomendações de ações corretivas. Um plano de ação é elaborado e monitorado para garantir a implementação das correções.

13.2. Auditorias Externas e Regulatórias

• Auditorias de Terceiros: A EPHRA se submete a auditorias externas realizadas por órgãos reguladores (BACEN) ou por entidades certificadoras (PCI-DSS, ISO 27001, quando aplicável) para validar sua conformidade com os padrões e regulamentações externas.

• Acompanhamento Regulatório: A equipe de segurança da informação e conformidade monitora ativamente as mudanças nas regulamentações do BACEN e outras leis aplicáveis para garantir que a PSI e os controles de segurança estejam sempre atualizados e em conformidade.

13.3. Revisão da Política

Esta PSI é revisada anualmente pela Diretoria Executiva e pelo Comitê de Segurança da Informação. Além da revisão anual, a política pode ser atualizada a qualquer momento em resposta a:

• Mudanças significativas no ambiente tecnológico ou de negócios da EPHRA.

• Novas ameaças ou vulnerabilidades de segurança.

• Alterações nas leis e regulamentações aplicáveis.

• Resultados de auditorias internas ou externas.

14. Disposições Finais

14.1. Sanções e Consequências

O descumprimento das diretrizes estabelecidas nesta Política de Segurança da Informação, bem como de quaisquer normas e procedimentos dela decorrentes, sujeitará o infrator a medidas disciplinares que podem variar de advertência verbal a rescisão do contrato de trabalho ou de prestação de serviços, conforme a gravidade da infração e as políticas internas da EPHRA. Adicionalmente, o infrator poderá ser responsabilizado civil e criminalmente, nos termos da legislação aplicável, sem prejuízo de eventuais sanções regulatórias impostas pelo Banco Central do Brasil ou outras autoridades competentes.

14.2. Revisão e Atualização

Esta PSI será revisada anualmente pela Diretoria Executiva e pelo Comitê de Segurança da Informação, ou sempre que houver mudanças significativas no ambiente tecnológico, regulatório ou de negócios da EPHRA. As sugestões de melhoria e as lições aprendidas com incidentes de segurança ou auditorias serão incorporadas nas revisões.

14.3. Validade

Esta Política entra em vigor na data de sua aprovação pela Diretoria Executiva da EPHRA e permanecerá válida por tempo indeterminado, salvo se expressamente revogada ou substituída por uma nova versão.

Assinado de forma digital por EPHRA TECNOLOGIA EM PAGAMENTOS LTDA:65289668000146 — Dados: 2026.07.20 18:06:58 -03'00'

EPHRA TECNOLOGIA EM PAGAMENTOS LTDA
CNPJ nº 65.289.668/0001-46