Política de Segurança Cibernética

Esta Política formaliza as diretrizes de Segurança Cibernética da AQContábil, visando a proteção dos ativos de informação de modo seguro e transparente, por meio da prevenção, detecção e redução dos riscos associados, de forma alinhada ao negócio, à complexidade e ao porte da Instituição, assim como aos requisitos legais e às exigências dos órgãos reguladores.

Esta Política atende à legislação aplicável e às disposições do Banco Central do Brasil (BCB) e do Conselho Monetário Nacional (CMN), em especial:

• Resolução BCB nº 85, de 8 de abril de 2021 — política de segurança cibernética e requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem pelas instituições autorizadas pelo Banco Central do Brasil.

Esta Política se aplica a todos os sócios, diretores, gestores, administradores, funcionários, prestadores de serviços, prepostos, terceirizados e quaisquer demais pessoas físicas ou jurídicas contratadas ou entidades que participem, de forma direta ou indireta, das atividades diárias e dos negócios da AQContábil.

• Confidencialidade — somente o usuário da informação devidamente autorizado pelo gestor da informação tem acesso às informações, respeitados os critérios de segregação de funções;
• Adequação (integridade) — garantir que as informações não sejam alteradas desde a sua criação até o seu uso; alterações, supressões ou adições devem ser autorizadas pelo gestor da informação;
• Disponibilidade — garantir que as informações estejam sempre disponíveis para o usuário autorizado;
• Autenticidade — garantir a identidade de quem envia a informação, gerando o não-repúdio (irretratabilidade da autoria);
• Riscos cibernéticos — riscos de ataques por malware, engenharia social, invasões, ataques de rede (DDoS e botnets) e fraudes externas, que podem desproteger dados, redes e sistemas e causar danos financeiros e reputacionais;
• Negação de serviço (DoS) — tentativa de tornar os recursos de um sistema indisponíveis por sobrecarga, sem necessariamente invadi-lo;
• Fraudes externas e invasões — operações realizadas por fraudadores que exploram fragilidades específicas do ambiente tecnológico.

O cumprimento desta Política é responsabilidade de todos os Destinatários, que devem:

• Proteger as informações contra acesso, modificação, destruição ou divulgação não autorizada;
• Prover a adequada classificação da informação, considerando confidencialidade, integridade e disponibilidade;
• Assegurar que os recursos utilizados no desempenho da função sejam usados apenas para as finalidades da atividade;
• Garantir que os sistemas e as informações sob sua responsabilidade sejam adequadamente protegidos;
• Atender às leis que regulamentam as atividades da AQContábil e seu mercado de atuação;
• Selecionar mecanismos de segurança balanceando fatores de risco, tecnologia e custo;
• Garantir a continuidade do processamento das informações críticas de negócio;
• Comunicar imediatamente aos responsáveis qualquer descumprimento desta Política.

Ao aprovar esta Política, a Diretoria institui um compromisso de melhoria contínua dos procedimentos de segurança cibernética, assegurando a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas de informação, permitindo prevenir, detectar e reduzir a vulnerabilidade a incidentes e proteger os direitos fundamentais de liberdade e privacidade da pessoa natural.

A AQContábil nomeia o Diretor de Riscos e Compliance como responsável por esta Política, garantindo ausência de conflitos de interesse. O documento “Treinamento e Conscientização em Segurança da Informação” capacita todos os níveis — inclusive terceiros — em segurança de dados e segurança cibernética.

Contamos com ferramentas, mecanismos e controles adequados — processos, métricas, indicadores, trilhas de auditoria e testes — para garantir a efetividade desta Política, que integra o plano de auditoria interna; eventuais deficiências identificadas são tempestivamente tratadas.

6.1 Acesso, classificação, manuseio e rotulagem da informação

Os acessos à informação são controlados, monitorados e restritos à realização das atividades inerentes a cada Destinatário, sendo revisados periodicamente. Concessões, revogações, transferências e revisões de acesso respeitam fluxos de aprovação e execução definidos pela empresa e utilizam as ferramentas oficiais, conforme o documento “Gestão de Identidade e Controle de Acesso”. Todos os acessos são rastreáveis, possibilitando auditoria e responsabilidade individual.

O acesso a equipamentos e dependências exige autorização do gestor responsável, com confirmação da titularidade junto ao Recursos Humanos quando aplicável, e áreas restritas são segregadas por força de norma regulatória. A classificação das informações respeita o ciclo de vida da informação, da geração ao descarte, com rotulagem e manuseio adequados nos formatos físico e eletrônico.

6.2 Dados pessoais

A nossa Política de Privacidade define os procedimentos e controles de coleta, processamento, proteção e compartilhamento de informações pessoais, respeitando os direitos do titular e as leis de proteção de dados aplicáveis.

6.3 Desenvolvimento de aplicações e sistemas

Adotamos princípios de desenvolvimento seguro, com boas práticas de mercado como segregação de funções, testes, homologação e gestão de mudanças, garantindo que a segurança da informação esteja projetada e implementada em todo o ciclo de vida dos sistemas.

6.4 Processamento, armazenamento de dados e computação em nuvem

As contratações de serviços de terceiros para processamento, armazenamento de dados e computação em nuvem seguem todos os requisitos de segurança, avaliando a relevância e a criticidade do serviço e a sensibilidade dos dados e informações processados, armazenados e gerenciados.

6.5 Cópias de segurança (backup)

Mantemos procedimentos de extração de cópias de segurança das informações, softwares e sistemas, com registro completo e exato dos backups e documentação apropriada dos procedimentos de restauração.

6.6 Gestão de riscos e incidentes de segurança

Os riscos são identificados e acompanhados por processo de análise de vulnerabilidades, com quantificação e qualificação das ameaças e de seus impactos sobre os ativos de informação, para associação dos níveis adequados de proteção.

Toda ocorrência com impacto negativo potencial sobre a confidencialidade, integridade ou disponibilidade das informações é tratada como incidente de segurança. Incidentes ou suspeitas devem ser comunicados imediatamente à equipe de segurança da informação, que determina a criticidade e, quando pertinente, comunica as partes interessadas — alta administração, colaboradores, clientes e órgãos reguladores.

Durante o tratamento, as evidências são preservadas para análise de causa raiz, identificação do impacto real, das vulnerabilidades exploradas e das ações necessárias para evitar recorrência. Concluído o tratamento, é preenchido o Relatório de Incidente de Segurança da Informação, cujos registros são consolidados no relatório anual enviado ao Banco Central do Brasil.

6.7 Plano de continuidade de negócios

O documento “Plano de Gestão de Continuidade de Negócios” garante a existência de planos de continuidade e de recuperação de desastres, contemplando alocação de profissionais e os principais processos e ativos de tecnologia e de negócio.

7.1 Comitê Gestor de Segurança da Informação

• Analisar, revisar e propor a aprovação de políticas e normas de segurança da informação;
• Garantir os recursos necessários para uma efetiva gestão de segurança;
• Assegurar a execução das atividades em conformidade com esta Política;
• Definir e conduzir as comunicações com as autoridades competentes em caso de incidente.

As estruturas internas de fiscalização e controle são formalizadas em políticas corporativas e compreendem três linhas de defesa, que atuam de forma independente e integrada.

7.2 Tecnologia da Informação e Gestão de Identidade e Acesso

• Receber e analisar solicitações de criação de contas de acesso e privilégios;
• Conceder e revogar acessos conforme indicação dos gestores da informação;
• Apoiar a revisão periódica da validade das credenciais de acesso.

7.3 Departamento de Segurança da Informação

• Identificar e avaliar as principais ameaças e propor medidas corretivas para reduzir riscos;
• Realizar a gestão dos incidentes de segurança, garantindo tratamento adequado;
• Monitorar ameaças, comportamentos anômalos e acessos aos dados;
• Fazer cumprir os termos desta Política.

7.4 Gestores e usuários da informação

• Sugerir, recomendar e verificar a implementação das melhores práticas de segurança em seus processos;
• Proteger as informações contra acesso, modificação, destruição ou divulgação não autorizada;
• Participar dos programas de conscientização.

7.5 Equipe Consultiva

• Conduzir avaliações normativas e técnicas dos controles de segurança em âmbito corporativo;
• Gerenciar riscos de segurança, pontos de auditoria, projetos de compliance e indicadores, promovendo melhoria contínua e conscientização;
• Definir, documentar e distribuir políticas e procedimentos de segurança.

Todo colaborador é responsável por garantir a segurança cibernética, evitando o acesso por pessoas não autorizadas. É vedado:

• Expor a AQContábil a perda monetária efetiva ou potencial por comprometimento da segurança de dados ou perda de equipamento;
• Revelar dados confidenciais e negociações;
• Usar indevidamente e sem autorização direitos autorais, patentes e dados corporativos;
• Utilizar dados para propósitos ilícitos que violem leis, regulamentos ou dispositivos governamentais.

Em caso de violação, serão avaliadas a severidade, a amplitude e o tipo de infração cometida. A punição pode variar de advertência verbal ou escrita até ação judicial.

Esta Política entra em vigor na data de sua assinatura e disponibilização aos Destinatários, sendo revisada e atualizada pela área de Compliance com frequência mínima de uma vez a cada 12 meses.

Esta Política foi aprovada por: