Política de Segurança (ISO 27001)
Última atualização: outubro de 2026
1. Declaração da Direção
A CertiTrue LLC está comprometida com a proteção da confidencialidade, integridade e disponibilidade de todos os ativos de informação que nos são confiados pelos nossos clientes, colaboradores e parceiros. A alta direção endossa formalmente esta Política de Segurança da Informação e determina a sua implementação em toda a organização.
Esta política é revista pelo menos anualmente e sempre que ocorram mudanças significativas no negócio ou no panorama de ameaças. Todo o pessoal é obrigado a ler, compreender e cumprir esta política e os procedimentos de apoio que dela decorrem.
2. Âmbito do SGSI
O Sistema de Gestão de Segurança da Informação (SGSI) da CertiTrue LLC abrange todos os processos, sistemas, pessoas e instalações envolvidos na conceção, desenvolvimento, entrega e suporte de serviços de certificação, incluindo plataformas baseadas na nuvem, ambientes de trabalho remoto e relações com terceiros na cadeia de abastecimento.
O SGSI está alinhado com a norma ISO/IEC 27001:2022 e aplica-se a todos os colaboradores permanentes, prestadores de serviços, consultores e quaisquer outras partes que acedam aos ativos de informação da CertiTrue.
3. Objetivos de Segurança — Tríade CIA
A CertiTrue estabelece e prossegue os seguintes objetivos de segurança, revistos anualmente pela alta direção:
Confidencialidade — Garantir que a informação é acessível apenas a quem está autorizado a aceder-lhe. O acesso é concedido com base no princípio do menor privilégio e da necessidade de conhecer, sendo revisto trimestralmente.
Integridade — Salvaguardar a exatidão e completude da informação e dos métodos de processamento. As alterações a sistemas e dados críticos estão sujeitas a controlos formais de gestão de mudança.
Disponibilidade — Garantir que os utilizadores autorizados tenham acesso fiável e oportuno à informação e aos sistemas quando necessário. Os objetivos de disponibilidade são definidos nos acordos de nível de serviço e suportados por planos de resiliência e continuidade.
4. Controlos do Anexo A
A CertiTrue implementa um conjunto abrangente de controlos retirados do Anexo A da norma ISO/IEC 27001:2022, selecionados com base na avaliação de risco e documentados na Declaração de Aplicabilidade.
Controlos organizacionais (Cláusula 5) — Políticas de segurança da informação, funções e responsabilidades, separação de funções, contacto com autoridades, inteligência de ameaças e relações com fornecedores são geridos e documentados de forma formal.
Controlos sobre as pessoas (Cláusula 6) — A sensibilização e a formação em segurança são obrigatórias para todo o pessoal no momento da integração e anualmente após essa data. A verificação de antecedentes é realizada antes do início do emprego. Aplicam-se procedimentos disciplinares em caso de violação da política de segurança. Aquando da cessação do contrato, os direitos de acesso são revogados de imediato.
Controlos físicos (Cláusula 7) — São mantidos perímetros de segurança física, controlos de acesso e proteção contra ameaças ambientais em todas as instalações. São aplicadas políticas de secretária e ecrã limpos. Os equipamentos são eliminados ou reutilizados de acordo com procedimentos formais de segurança.
Controlos tecnológicos (Cláusula 8) — Dispositivos de utilizadores finais, gestão de acessos privilegiados, restrição de acesso à informação, autenticação, criptografia, ciclo de vida de desenvolvimento seguro, gestão de vulnerabilidades, segurança de redes e monitorização são regidos por normas técnicas detalhadas. Os registos são conservados durante um mínimo de 12 meses.
5. Gestão de Risco e Declaração de Aplicabilidade
A CertiTrue segue um processo estruturado de gestão de risco em conformidade com a norma ISO/IEC 27005. Os riscos são identificados, analisados, avaliados e tratados regularmente e sempre que ocorram alterações materiais no negócio ou no seu contexto.
São atribuídos proprietários de risco para cada risco identificado. Os riscos aceites são formalmente documentados e aprovados pela alta direção. O registo de riscos é revisto pelo menos anualmente.
A Declaração de Aplicabilidade (DA) lista todos os 93 controlos do Anexo A da norma ISO/IEC 27001:2022, indicando quais são aplicáveis, a justificação para a sua inclusão ou exclusão e o estado de implementação. A DA é um documento controlado, mantido pelo Responsável de Segurança da Informação e aprovado pelo Diretor Executivo.
6. Gestão de Incidentes e Notificação de Violações de Dados
A CertiTrue mantém um procedimento documentado de gestão de incidentes que abrange a deteção, classificação, resposta, recuperação e revisão pós-incidente. Todo o pessoal é obrigado a comunicar imediatamente incidentes de segurança suspeitos à equipa de segurança através de info@certitrue.com.
Em caso de violação de dados pessoais, a CertiTrue notificará a Agência Espanhola de Proteção de Dados (AEPD) no prazo de 72 horas após tomar conhecimento da violação, quando seja provável que esta resulte num risco para os direitos e liberdades das pessoas singulares, em conformidade com o RGPD e a legislação espanhola aplicável. Quando viável, os titulares dos dados afetados serão igualmente notificados sem demora injustificada.
São realizadas revisões pós-incidente para todos os incidentes significativos, e as lições aprendidas são incorporadas no processo de gestão de risco e nas atividades de melhoria de controlos.
7. Continuidade do Negócio
A CertiTrue integra os requisitos de segurança da informação no seu planeamento de continuidade do negócio. As análises de impacto no negócio identificam os processos críticos e os respetivos objetivos de tempo de recuperação e ponto de recuperação.
Os planos de continuidade do negócio e os procedimentos de recuperação de desastres são documentados, testados pelo menos anualmente e atualizados após qualquer alteração organizacional ou técnica significativa. Os procedimentos de cópia de segurança garantem que os dados possam ser restaurados dentro dos prazos definidos. Os planos de continuidade são da responsabilidade da alta direção e estão disponíveis para o pessoal relevante em qualquer momento.
8. Auditoria Interna e Revisão pela Direção
A CertiTrue realiza auditorias internas ao SGSI em intervalos planeados, no mínimo anualmente, para verificar a conformidade com a norma ISO/IEC 27001:2022, esta política e os requisitos legais e regulamentares aplicáveis. Os auditores internos são independentes da área auditada.
As constatações das auditorias são comunicadas à alta direção. As não conformidades são tratadas através de um processo formal de ações corretivas com responsáveis definidos e datas-alvo de conclusão.
A alta direção revê o SGSI pelo menos anualmente. As entradas incluem os resultados das auditorias, o estado do tratamento de riscos, as tendências de incidentes de segurança, o feedback das partes interessadas e oportunidades de melhoria. As saídas incluem decisões sobre ações de melhoria contínua, afetação de recursos e eventuais alterações à política.
9. Contacto
Para questões ou preocupações sobre esta política ou as práticas de segurança da informação da CertiTrue, contacte:
CertiTrue LLC
EIN 36-5132620
Miami, FL, Estados Unidos