Política de Segurança Cibernética

Objetivo

A Política de Segurança Cibernética da WEpayments estabelece diretrizes para proteger as informações de clientes, colaboradores, parceiros e da própria instituição, prevenindo riscos e incidentes relacionados à segurança da informação e à segurança cibernética, em conformidade com a regulamentação aplicável.

Abrangência

Esta política aplica-se à WEpayments, seus administradores, colaboradores, prestadores de serviços e parceiros de negócios, podendo ser atualizada sempre que necessário para atender a alterações regulatórias ou legais.

Governança e Responsabilidades

A WEpayments mantém estrutura de governança em segurança cibernética, com responsabilidades claramente definidas, incluindo a atuação de diretor responsável e comitê especializado, com o objetivo de supervisionar, aprimorar e garantir a efetividade das práticas de segurança cibernética e proteção de dados.

Princípios de segurança

As ações da WEpayments em segurança cibernética são orientadas pelos seguintes princípios:

• Confidencialidade: acesso restrito a pessoas autorizadas;
• Integridade: proteção contra alterações indevidas;
• Disponibilidade: acesso às informações sempre que necessário;
• Autenticidade: identificação e autenticação adequadas de usuários e sistemas.

Diretrizes gerais e segurança

A WEpayments adota controles e boas práticas para prevenir acessos não autorizados, vazamentos, perdas e indisponibilidades de informações, assegurando que os dados sejam utilizados exclusivamente para finalidades legítimas e autorizadas.

Controle de acessos credenciais

O acesso aos sistemas e informações da WEpayments é realizado por meio de processos formais de identificação, autenticação e autorização, observando o princípio do menor privilégio.

São adotados mecanismos adicionais de segurança, como autenticação multifator, e o uso de ambientes controlados para acesso aos sistemas corporativos.

Segurança dos ambientes e dispositivos

A WEpayments adota medidas de segurança para proteger dispositivos, ambientes tecnológicos e informações, incluindo controles de acesso físico e lógico, proteção contra softwares maliciosos e uso de configurações seguras nos equipamentos utilizados para fins corporativos.

Autenticação e modelo de segurança

A WEpayments adota modelo de segurança baseado em boas práticas de mercado, com autenticação centralizada e controles de acesso que asseguram que usuários, sistemas e serviços possuam apenas as permissões necessárias para o desempenho de suas funções.

Classificação e proteção das informações

As informações são classificadas de acordo com sua criticidade e sensibilidade, sendo adotadas medidas proporcionais de proteção para garantir seu uso adequado, confidencialidade e integridade.

Gestão de riscos

A WEpayments mantém processo contínuo de gestão de riscos cibernéticos, incluindo a identificação de vulnerabilidades, avaliação de impactos e adoção de medidas preventivas e corretivas, com o objetivo de reduzir a exposição a incidentes e garantir a resiliência operacional.

Continuidade de negócios

A WEpayments possui planos de continuidade e contingência para garantir a manutenção ou o restabelecimento dos serviços essenciais em situações de crise, incluindo testes periódicos para validação da eficácia desses planos.acesso remoto aos servidores da empresa apenas pessoas autorizadas que necessitem realizar manutenção nos sistemas. O acesso deverá ser controlado e logs de acesso deverão estar disponíveis no serviço de monitoramento da empresa.

Gestão de fornecedores

A WEpayments adota critérios de segurança na contratação e no monitoramento de fornecedores e parceiros, exigindo controles compatíveis com a criticidade dos serviços prestados e mecanismos adequados de prevenção, detecção e resposta a incidentes de segurança cibernética.

Segmentação e proteção da infraestrutura

A infraestrutura tecnológica da WEpayments é organizada de forma a proteger sistemas e dados críticos, com segregação de ambientes, controles de acesso e monitoramento contínuo para prevenção de acessos indevidos.

Backup, restauração e disponibilidade

A WEpayments mantém rotinas de backup e restauração de dados, assegurando a disponibilidade das informações e a continuidade das operações, inclusive em cenários de falhas ou incidentes.

Registro, logs e rastreabilidade

São mantidos mecanismos de registro e rastreabilidade das atividades relevantes nos ambientes tecnológicos, garantindo trilhas de auditoria e suporte à investigação de eventos e incidentes de segurança.

Proteção contra ameaças cibernéticas

A WEpayments adota medidas de prevenção e detecção contra ameaças cibernéticas, incluindo softwares maliciosos, ataques e tentativas de acesso não autorizado, bem como práticas de atualização e monitoramento contínuo.

Testes e melhoria contínua

São realizados testes e avaliações periódicas de segurança com o objetivo de identificar vulnerabilidades, aprimorar controles e fortalecer continuamente a postura de segurança cibernética da instituição.

Incidentes de segurança

A WEpayments mantém processos formais para identificação, registro, tratamento e resposta a incidentes de segurança cibernética, incluindo comunicação às autoridades competentes e adoção de medidas para mitigação de impactos e prevenção de recorrência.

Incidentes de segurança não podem ser publicados e devem ser notificados imediatamente para o e-mail: security@wepayments.com.br.

Ao tomar ciência do incidente fica sob responsabilidade do diretor de Segurança da Informação e Segurança Cibernética elaborar plano de ação para corrigir a falha ou mitigar danos.

Conscientização e treinamento

A WEpayments promove ações contínuas de conscientização e treinamento em segurança cibernética e proteção de dados, fortalecendo a cultura de segurança entre colaboradores, administradores e parceiros.     

Serviços em nuvem e terceiros

A contratação de serviços de processamento, armazenamento de dados e computação em nuvem observa requisitos de segurança, conformidade regulatória e continuidade operacional, incluindo comunicação ao Bacen quando aplicável.

Monitoramento e conformidade

A WEpayments mantém mecanismos de acompanhamento, controle e auditoria para assegurar a efetividade desta política e o cumprimento da legislação e regulamentação vigentes.

Declaração de compromisso

A WEpayments reafirma seu compromisso com a segurança cibernética, a proteção das informações e a continuidade dos serviços, adotando práticas alinhadas às exigências regulatórias e às melhores práticas de mercado.

Normas aplicáveis

A Política de Segurança Cibernética da WEpayments é elaborada e mantida em conformidade com a legislação e a regulamentação aplicáveis às Instituições de Pagamento, incluindo, entre outras:

• Lei nº 12.865/2013, que dispõe sobre os Arranjos de Pagamento e as Instituições de Pagamento integrantes do Sistema de Pagamentos Brasileiro (SPB);

• Resolução BCB nº 01/2020, que institui o arranjo de pagamentos PIX e aprova o seu regulamento;

• Resolução Conjunta nº 01/2020, que dispõe sobre a implementação do Open Finance;

• Resolução BCB nº 80/2021, que estabelece os requisitos para constituição e funcionamento das Instituições de Pagamento;

• Resolução BCB nº 85/2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem.

A WEpayments acompanha continuamente a evolução do arcabouço regulatório aplicável e promove a revisão desta política sempre que houver alterações normativas relevantes.

Controle de versão