Plítica de Infrmaçã e Segurança de Dads Pessais Versã 1 Nvembr de 2018 Adaptada Pr: Hélder Chamba IT Officer WWF INTERNACIONAL Plítica de Infrmaçã e Segurança de Dads Pessais Data da Versã: 1 Julh 2018, actualizada da versã anterir de 4 Nvembr 2013
1. Escp e Prpósit Essa plítica estabelece a respnsabilidade de tds s funcináris (em períd integral u parcial, remunerads u nã, tempráris u permanentes), estagiáris, usuáris crprativs, prestadres de serviçs, cnsultres, cntratads e agentes - que têm acess a WWF Internatinal ( WWF), armazenadas eletrnicamente u nã, prcessadas pr u em nme d WWF. Esta plítica frnece a estrutura d WWF para segurança da infrmaçã, incluind a segurança de dads pessais, cnfrme definid neste dcument. É a principal plítica sb a qual utras plíticas relacinadas à segurança da infrmaçã residem. O WWF está cmprmetid cm tds s aspects da prteçã de dads pessais e leva a séri seus deveres e deveres legais de seus funcináris e utrs Usuáris (definids aqui), sb Regulament Geral de Prteçã de Dads da Uniã Eurpeia (GDPR), Swiss Federal Data Prtectin Act e utra legislaçã aplicável. 2. Definições Segurança de Infrmaçã é cnjunt de prcesss pels quais WWF garante a cnfidencialidade, integridade e dispnibilidade de suas infrmações cmerciais críticas e cnfidenciais: WWF prtege cntra divulgaçã a usuáris nã autrizads (cnfidencialidade), prtege cntra mdificaçã de infrmações (integridade) imprópria e ferece suprte a acess prtun e cnfiável a infrmaçã (dispnibilidade). Dad Pessal é qualquer infrmaçã relativa a uma pessa singular identificada u identificável; uma pessa singular identificável é aquela que pde ser identificada, directa u indirectamente, em particular pr referência a um identificadr cm um nme, um númer de identificaçã, dads de lcalizaçã, um identificadr n-line u a um u mais factres específics d pnt de vista físic, genétic u genétic. identidade ecnômica, cultural u scial dessa pessa natural, pr exempl, detalhes de cntat, família (incluind parentes e cntats de emergência), educaçã, históric de empreg e status prfissinal, remuneraçã, desempenh n trabalh, detalhes de e-mail, internet e sistema de cmputadr us, detalhes da cnta bancária, estad civil, detalhes da previdência scial, etc. Categrias especiais de dads pessais referem-se a dads pessais que pdem revelar assunts delicads cm (mas nã limitad a) rigem racial u étnica, piniões plíticas, cnvicções religisas u filsóficas, dads genétics, dads bimétrics prcessads cm prpósit de identificar unicamente uma pessa natural, saúde u vida sexual u rientaçã. Dads pessais e categrias especiais de dads pessais sã prtegids pr legislaçã na mairia ds lcais. Assunt d Dad é um indivídu cujs dads WWF Internatinal prcessa. Prcessament de Dads é qualquer peraçã realizada em dads pessais, seja u nã pr meis autmatizads, cm cleta, registr, análise, armazenament, alteraçã, recuperaçã, cnsulta, us e divulgaçã. Utilizadres de Dads (Utilizadres): tdas as partes que têm acess às infrmações d WWF Internatinal, incluind funcináris (em períd integral u parcial, remunerads u nã, tempráris u permanentes), estagiáris, usuáris de negócis, prvedres de serviçs, cnsultres, cntratads e agentes. 3. Plítica Tds s dads devem ser prcessads em cnfrmidade cm as leis aplicáveis e brigações cntratuais, e prtegids cntra prcessament nã autrizad u ilegal, perda u destruiçã acidental, u dans. Recurss de infrmaçã, pr exempl, armazenaments de dads, bancs de dads, arquivs cmpartilhads e dispsitivs de cmputaçã (telefnes, cmputadres, laptps, unidade flash USB), devem ser designads prprietáris e identificads e inventariads pel mens uma vez pr an e prtegids cntra acess nã autrizad, us indevid u crrupçã. 1
Os perímetrs de segurança física devem ser definids e usads para prteger áreas que cntêm infrmações altamente cnfidenciais (definidas aqui), incluind recurss de prcessament de infrmações. O equipament deve ser mantid e prtegid cntra ameaças, falhas de energia, interferência u dan. O acess a dads e sistemas de infrmaçã só deve ser cncedid cm base na necessidade de cnheciment e atender as terms da funçã de trabalh d funcinári. A alcaçã e us de direits de acess privilegiad devem ser restrits, cntrlads e mnitrads. Retençã: Os dads pessais nã serã mantids pr mais temp d que s prpósits para s quais fram cletads u sã exigids pr lei u regulaments. Integridade de dads. Os usuáris que prcessam dads pessais devem garantir que s dads sejam mantids preciss, cmplets e atualizads, e s dads incrrets u incmplets, tend em vista bjetiv de sua cleta, sã crrigids u destruíds. Vilaçã de dads Tds s Usuáris sã brigads a relatar imediatamente uma perda suspeita u real, rub u dan a dads u ativs de infrmaçã, cnfrme s prtcls de vilaçã de dads d WWF, cnfrme cmunicads de temps em temps. Os usuáris devem seguir as instruções de gerenciament para reduzir a perda e, se necessári, relatar a perda para as autridades. Uma vilaçã de dads crre quand há um acess u us suspeit, ameaçad u real pr uma pessa nã autrizada, incluind perda u rub; amansar; vírus, wrms, malware em dispsitivs; e-mails mal direcinads; senhas, códigs de segurança perdids, rubads u divulgads; perda de chave (s); u divulgaçã de infrmações altamente cnfidenciais e cnfidenciais a pessas nã autrizadas. A denúncia de vilações é um requisit legal para dads pessais! Declaraçã de Privacidade: A Declaraçã de Privacidade Internacinal d WWF (a Declaraçã de Privacidade ) deve ser frnecida as indivídus n pnt em que btems dads pessais de um indivídu (pr exempl, engajament n-line, crrespndência pr e-mail, cntrataçã de cnsultria). Prcessament just de dads pessais. O prcessament de dads pessais deve ser cnsistente cm a Declaraçã de Privacidade. Os dads pessais devem ser prcessads smente para prpósit pretendid. Dads pessais btids para uma finalidade nã pdem ser usads para um prpósit nv e nã relacinad. O prcessament deve ser justificad pr uma de várias cndições para prcessament, cm: O indivídu deu seu cnsentiment para prcessament. O prcessament é necessári para entrar u executar um cntrat cm titular ds dads. O prcessament é necessári para cumpriment de qualquer brigaçã legal a que WWF Internacinal esteja sujeit. O prcessament de categrias especiais de dads pessais só deve ser feit quand fr abslutamente necessári fazê-l, e s direits de acess devem ser estritamente limitads. Uma das seguintes cndições deve ser satisfeita para prcessar este tip de dads: O cnsentiment explícit d indivídu fi btid; O prcessament é necessári para uma brigaçã ns terms da lei; Os interesses vitais d indivídu precisam ser prtegids (pr exempl, em uma emergência médica u utr cenári de vida u mrte); O prcessament é necessári para fins de prcesss judiciais u assessria jurídica n cntext d mnitrament da igualdade de prtunidades. 2
Avalie impact da privacidade. Para uma atividade que utiliza dads pessais (pr exempl, campanha n-line), s Usuáris devem cnsiderar se uma avaliaçã de impact de privacidade (PIA) deve ser cncluída para destacar e abrdar s riscs para s dads pessais a serem cletads. Orientaçã está dispnível na realizaçã de PIAs d Cnselh Geral u Cnfrmidade. 4. Dads Segurs Pr Classificaçã Os usuáris devem tmar medidas de segurança técnicas e rganizacinais aprpriadas para impedir us, divulgaçã, acess, destruiçã, alteraçã u dans nã autrizads u ilegais as dads. Os usuáris que têm acess a dads pessais estã sb a respnsabilidade legal de tratá-ls cm altamente cnfidenciais. Os usuáris devem entender nível de cnfidencialidade ds dads e lidar cm eles de acrd cm as medidas de segurança aprpriadas, cnfrme descrit abaix.: Classificaçã Descriçã Medidas de Segurança Exempls Dads Altamente Cnfidenciais Infrmações que estã sujeitas a mais alt nível de prteçã, pis acess e prcessament nã autrizads pdem causar séris dans as indivídus (pr exempl, rub de identidade) e criam riscs legais e de reputaçã para a rganizaçã. TODOS OS DADOS PESSOAIS SÃO ALTAMENTE CONFIDENCIAIS! Acessad apenas pr pessas autrizadas em uma base estritamente necessária para cnheciment. Prteger cm senha. Mantenha registrs em papel em armáris trancads Os prcesss de armazenament, armazenament, prcessament e transferência sã dcumentads e cmpreendids pels usuáris relevantes. Os dads sã armazenads cm a mais alta segurança (escritóri trancad; sistemas prtegids cm acess limitad, etc). Evite a transferência de e-mail e, se usad, prteja cm senha. Dads pessais de funcináris, dadres, cnsultres, apiantes, etc. (salári e benefícis, prcediments disciplinares, dads médics etc.); detalhes d passaprte, data de nasciment, cartã de crédit u númers de cntas bancárias; perfil de riqueza, etc. Infrmaçã Cndifencial Infrmaçã Pública Infrmações (além de dads pessais), que sã críticas para s negócis e prejudicariam WWF se publicadas em dmíni públic u prtegidas pr regulaments, plíticas internas u brigações cntratuais. Infrmações dispníveis a A vilaçã desses dads deve ser imediatamente cmunicada à gerência sênir Acessad apenas pr pessas autrizadas em uma base de necessidade de cnheciment. Armazene em lcais segurs. Transferência via e-mail u utr é marcad cm "cnfidencial / nã para distribuiçã" u prtegid pr senha. Mantenha registrs em papel cnfidenciais e altamente cnfidenciais em gabinetes trancads. Antes da publicaçã, as infrmações sã verificadas Cntrat de parceir u serviç cm cláusula de cnfidencialidade. E-mails interns, memrands e rascunhs nã destinads a, u antes de, lançament públic Lista telefônica interna Infrmações sbre sites públics da WWF 3
Classificaçã Descriçã Medidas de Segurança Exempls públic, cuja divulgaçã nã causaria dans a indivídus, perações u reputaçã da WWF. pel gerenciament quant à precisã e qualidade. Smente funcináris autrizads pdem publicar u cmunicar publicamente. Infrmações dispníveis publicamente sbre administradres e administradres Em td cas, NÃO O FAÇA. Pstar infrmações nã públicas em um site públic. Cmpartilhar u discutir infrmações nã públicas cm terceirs u cm aqueles d WWF que nã têm necessidade de cnhecer negóci. Remver infrmações altamente cnfidenciais e cnfidenciais na frma física ds escritóris. Deixar infrmações cnfidenciais u altamente cnfidenciais sem supervisã (pr exempl, em uma impressra). Tente bter acess a sistemas e aplicativs se vcê nã tiver credenciais aprpriadas. E Em Tds s Cass, Faça Respeite a plítica de limpeza da mesa Cnsulte as diretrizes de média scial d WWF Internatinal se estiver se cmunicand através das Mídias sciais. Respeite a cnfidencialidade das infrmações em tds s mments, mesm depis de sair d WWF. 5. Senhas Tds s sistemas e aplicativs devem ser prtegids pr senha. As senhas devem: Atender as requisits de cmpriment e cmplexidade; NUNCA ser cmpartilhad (excet cm administradr d sistema para executar suprte técnic e, psterirmente, deve ser imediatamente alterad); Ser alterad se frem senhas temprárias u padrã atribuídas pel frnecedr u ICT; NUNCA seja escrit em um lcal acessível; DEVE ser diferente para diferentes sistemas para mitigar risc em cas de vilaçã de segurança; e NUNCA seja salv, especialmente em cmputadres nã-wwf u públics. Pr favr, cnsulte a Plítica de Senha para mais detalhes 6. Us inteligente de ativs de infrmaçã Us de dispsitivs / hardware de cmputadr Os usuáris devem tmar medidas para evitar acess nã autrizad u a perda de dads u rub de dispsitivs de cmputaçã: cmputadres de mesa, laptps, smartphnes, tablets, discs flash, unidades externas, etc... Infrmações altamente cnfidenciais devem primeir ser criptgrafadas (cnsulte as diretrizes de criptgrafia aqui) se armazenadas em cmputadres e dispsitivs de armazenament (cm discs prtáteis, discs rígids externs, unidades flash, CDs e DVDs). 4
Sempre senha / códig prteger seus dispsitivs e cnfigurá-l para blquei autmátic após 5 minuts de inatividade. Os dispsitivs de cmputaçã devem estar devidamente prtegids (pr exempl, blqueads u blqueads em gabinetes, se nã estiverem em us). NÃO danifique, altere u use indevidamente qualquer hardware de prpriedade u mantid pel WWF. Sempre descnecte u blqueie a tela quand deixar seu cmputadr sem supervisã. NÃO deixe dispsitivs móveis desacmpanhads. A usar cmputadres públics (a) nunca salve suas senhas, (b) exclua tdas as infrmações salvas, (c) feche tdas as sessões e (d) limpe tds s dads armazenads em cache e exclua tds s arquivs tempráris. NÃO utilize sftware u dispsitivs nã autrizads (pr exempl, cmputadr dméstic) para prcessar infrmações altamente cnfidenciais e cnfidenciais. A baixar aplicativs, verifique se acess deles as recurss d dispsitiv, cm cntats, calendári, e-mail, etc., está de acrd cm esta plítica. Us de Dispsitivs Pessais Cm regra geral, smente dispsitivs WWF têm permissã para acessar s sistemas WWF, e-mail, calendáris, cntats, dcuments, etc., e us de dispsitivs pessais nã é permitid. N entant, us incidental de dispsitivs pessais é permitid, sujeit as seguintes: us deve ser especificamente autrizad pel gerente diret d funcinári; dispsitiv pessal deve ser cnfigurad pr ICT, ser prtegid pr senha e atualizad cm as mais recentes prteções e atualizações antivírus (incluind aplicativs de segurança exigids pela ICT); s dads pessais devem ser claramente separads ds dads d WWF; após cada sessã, tds s aplicativs u serviçs relacinads a negócis devem ser descnectads; s usuáris devem cumprir as plíticas d WWF, tdas as leis aplicáveis e as instruções d fabricante, e s usuáris pdem ter respnsabilidade pessal pr qualquer us indevid d dispsitiv pessal; qualquer gravaçã de áudi u víde deve ser especificamente autrizada. antes de viajar para exterir, s usuáris devem entrar em cntat cm a TIC para determinar se as restrições lcais se aplicam em relaçã a dispsitiv u sftware; adicinalmente, para dads altamente cnfidenciais e / u cnfidenciais - smente acess sem fi segur deve ser usad para trcar esses dads; excet se dispsitiv estiver prtegid pr criptgrafia, esses dads devem ser excluíds imediatamente após us u quand nã frem mais necessáris (incluind tds s dads armazenads ns arquivs tempráris). O direit de usar dispsitivs pessais é um privilégi e pde ser revgad se usad incrretamente. Além diss, WWF tem direit de limpar dispsitiv (pr exempl, para garantir a segurança de determinads dads em cas de perda u rub d dispsitiv pessal e rescisã de cntrat de trabalh), u para slicitar a entrega d dispsitiv pessal, em cada cas para medida permitida pr lei. 5
Evitand hacks, malware, etc. Nunca abra anexs de e-mail suspeits, respnda a spam de phishing u navegue para sites nã cnfiáveis. Nunca baixe dcuments da Internet, a mens que sejam selecinads cm sftware antivírus antes d us. Trabalhand na rede, na Internet e na nuvem O acess remt a infrmações cnfidenciais só é permitid através de rede segura e dispsitivs autrizads pel WWF. A transferência de infrmações altamente cnfidenciais e cnfidenciais deve ser prtegida cm métds aprpriads (pr exempl, aplicaçã segura de transferência de arquivs, criptgrafia, VPN, etc.). Os usuáris devem evitar visitar sites nã cnfiáveis. Os dads cletads na Internet devem ser verificads e cnfirmads antes de serem usads quant à precisã e também para quaisquer direits de prpriedade intelectual que pssam ser aplicads. Sempre pte pr uma cnexã segura cm a Internet e assegure-se de que dispsitiv que vcê está usand esteja atualizad cm a prteçã cntra vírus; e depis de ter terminad sua sessã, que vcê faça lgut cmpletamente e exclua tds s dads em cache (incluind aqueles ns arquivs tempráris). Se estiver usand um cmputadr públic, aplique as mesmas regras cnfrme indicad aqui. 7. Cnstruind Segurança de Acess Aqueles que utilizam as instalações d WWF devem respeitar s prcediments de segurança de acess a edifíci. 8. Descarte de Infrmações Cnfidenciais / Altamente Cnfidenciais O descarte de infrmações cnfidenciais e altamente cnfidenciais deve garantir que elas nã pssam ser recuperadas u recnstituídas. Registrs em papel devem ser redigids u fragmentads e nunca devem ser descartads n td. Cmputadres, laptps, discs rígids de impressra e utrs dispsitivs de armazenament eletrônic devem ser ttalmente excluíds (usand sftware aprpriad u destruind fisicamente) e entregues a TIC. 9. Empreiteirs e utrs frnecedres Tds s frnecedres que cletam, prcessam, armazenam u têm acess a infrmações cnfidenciais u cnfidenciais d WWF devem ter um cntrat pr escrit aprvad pel Cnselh Geral Internacinal d WWF, que cbre a prestaçã de serviçs e impõe tdas as brigações d usuári nesta plítica. A TIC tem direit de realizar uma auditria de segurança ds sistemas e prcesss d frnecedr. 10. Slicitações de acess a dads Nunca divulgue infrmações para as quais WWF tenha um cntrat de cnfidencialidade cm utra parte pribind u restringind tal divulgaçã. Um funcinári que recebe uma slicitaçã, seja de rganizações externas u indivídus, para acessar dad cnfidencial u altamente cnfidencial deve agir de acrd cm essa plítica e, em cas de dúvida, deve entrar em cntat cm Cnselh Geral. Os usuáris sã 6
brigads a cperar cm Cnselh Geral u cm a alta administraçã na respsta a slicitações de acess de indivídus. N entant, s titulares ds dads têm direit de aceder as seus dads pessais mediante pedid e de s alterar, crrigir u eliminar de acrd cm a nssa Declaraçã de Privacidade. Os titulares ds dads pdem cntatar WWF em supprtercare@wwfint.rg para slicitar qualquer um ds itens acima.. 11. Respnsabilidades A gerência deve garantir que essa plítica seja cmpreendida pr tds s usuáris. O WWF irá mnitrar, realizar auditrias e tmar utras medidas para garantir a cnfrmidade cm esta plítica. Equipe de departament de TIC e Administradres de Sistemas: dã suprte a Gerenciament para aplicar esta plítica n que se refere à prteçã de sistemas, hardware e sftware de TIC. O nã cumpriment desta plítica pde levar a medidas disciplinares, incluind até demissã sumária. Se vcê fr cnsultr, cntratad u frnecedr, nã cumpriment desta plítica cnstituirá quebra de cntrat e resultará na rescisã imediata de seu cntrat cm a WWF. Além diss, tais vilações pdem levar a açã criminal e / u civil iniciada cntra vcê. Os direits de acess ds usuáris pdem ser restringids u suspenss durante as investigações. Quaisquer dúvidas sbre esta Plítica devem ser levantadas cm seu gerente u cm seu Cnselheir Geral. O WWF revisará esta plítica de temps em temps e a atualizará para cumprir as mudanças na legislaçã e em sua rganizaçã e prcediments interns. Quaisquer versões atualizadas desta plítica serã cmunicadas a tds s usuáris pr escrit em temp hábil. 12. Outras Plíticas Relacinadas A WWF criará, de temps em temps, nvas plíticas u atualizará as existentes, que detalhará ainda mais s requisits mencinads acima. Aqui está uma lista de plíticas actuais: Prteçã de Dads d Funcinári Declaraçã de privacidade Prtcl de Vilaçã para Funcináris Plítica de mesa limpa Plítica de senha Us de email Criptgrafand infrmações cnfidenciais Esta Plítica fi aprvada pr: Linda Humphrey Dminic O Neill Directr ICT Exec. Directr, Operatins 7