Plano de Contingência

1. OBJETIVO

Estabelecer diretrizes para identificação, registro, tratamento, comunicação e acompanhamento de incidentes relacionados à segurança da informação e proteção de dados pessoais, visando reduzir impactos operacionais, legais e reputacionais relacionados ao tratamento inadequado de informações no âmbito da organização.

2. ESCOPO

O presente procedimento aplica-se aos colaboradores, terceiros, fornecedores e demais envolvidos que tenham acesso a informações, sistemas, documentos, equipamentos ou dados pessoais tratados pela organização, incluindo incidentes relacionados a:

• Acesso indevido;
• Perda de informações;
• Vazamento de dados;
• Exclusão indevida;
• Compartilhamento não autorizado;
• Falhas de sistemas;
• Utilização inadequada de aplicativos de comunicação;
• Incidentes envolvendo documentos físicos ou digitais;
• Incidentes relacionados a fornecedores ou terceiros.

3. DEFINIÇÕES

Incidente de Segurança da Informação: Evento que possa comprometer a confidencialidade, integridade, disponibilidade ou segurança das informações da organização.

Dados Pessoais: Informações relacionadas à pessoa natural identificada ou identificável, conforme definido pela Lei Geral de Proteção de Dados (LGPD).

Dados Pessoais Sensíveis: Dados relacionados à saúde, biometria, origem racial, convicção religiosa, opinião política ou demais informações classificadas como sensíveis pela LGPD.

4. RESPONSABILIDADES

Compete aos colaboradores:

• Comunicar imediatamente qualquer incidente ou suspeita de incidente relacionado à segurança da informação;
• Preservar evidências relacionadas ao incidente;
• Seguir as orientações definidas neste procedimento.

Compete à organização:

• Avaliar os impactos do incidente;
• Adotar medidas corretivas e preventivas;
• Registrar as ocorrências identificadas;
• Apoiar as ações necessárias para contenção do incidente.

Compete ao encarregado de proteção de dados (DPO):

• Apoiar tecnicamente a análise do incidente;
• Orientar quanto às medidas relacionadas à proteção de dados pessoais;
• Auxiliar na avaliação da necessidade de comunicação à ANPD e aos titulares;
• Apoiar o processo de melhoria contínua relacionado à segurança da informação e proteção de dados.

5. PROCEDIMENTO OPERACIONAL

5.1 Identificação do Incidente

Todo incidente ou suspeita de incidente deverá ser imediatamente comunicado à administração da organização e ao encarregado de proteção de dados (DPO).

• Envio incorreto de exames;
• Acesso indevido a sistemas;
• Compartilhamento indevido via WhatsApp;
• Perda de documentos;
• Vazamento de informações;
• Falhas de backup;
• Exclusão indevida de dados.

5.2. Registro do Incidente

O incidente deverá ser registrado contendo, sempre que possível:

• Data e horário;
• Responsável pelo registro;
• Descrição do ocorrido;
• Sistemas ou informações afetadas;
• Possíveis impactos identificados;
• Medidas iniciais adotadas.

5.3. Contenção e Tratamento

A organização deverá adotar medidas para:

• Conter a propagação do incidente;
• Reduzir impactos operacionais;
• Preservar evidências;
• Restaurar os serviços afetados, quando aplicável.

5.4. Avaliação do Impacto

O incidente deverá ser avaliado considerando:

• Volume de dados afetados;
• Tipo de informação envolvida;
• Risco aos titulares;
• Impacto operacional;
• Impacto jurídico e reputacional.

5.5. Comunicação

Quando aplicável, a organização deverá avaliar a necessidade de comunicação:

• À Autoridade Nacional de Proteção de Dados (ANPD);
• Aos titulares dos dados afetados;
• Aos fornecedores envolvidos;
• Às autoridades competentes.

A definição da necessidade de comunicação deverá considerar a legislação vigente, avaliação de impacto e orientação do encarregado de proteção de dados (DPO).

Sempre que aplicável, as comunicações deverão ocorrer em prazo razoável, observando os requisitos previstos na legislação vigente.

5.6. Ações Corretivas e Preventivas

Após o tratamento do incidente, deverão ser avaliadas ações para:

• Evitar recorrência;
• Fortalecer controles internos;
• Revisar procedimentos;
• Orientar colaboradores;
• Atualizar medidas de segurança da informação.

6. LIMITAÇÃO DE RESPONSABILIDADE

O encarregado de proteção de dados (DPO) atua em caráter consultivo, orientativo e de acompanhamento, não sendo responsável pela execução operacional integral das medidas técnicas e administrativas relacionadas à segurança da informação e proteção de dados pessoais, as quais permanecem sob responsabilidade da organização.

7. DISPOSIÇÕES FINAIS

Este procedimento deverá ser revisado periodicamente ou sempre que ocorrerem alterações relevantes nos processos, sistemas, legislação aplicável ou incidentes relacionados à segurança da informação e proteção de dados pessoais.