Carta Circular Nº 299

A supervisionada deve dispor de recursos, competências e práticas de governança para monitorar os serviços contratados, certificar-se de que os prestadores de serviços possuem capacidade para cumprir as exigências legais e regulamentares, e informar à SUSEP sobre os serviços relevantes contratados, a denominação das empresas contratadas e os locais onde os serviços serão prestados.

Os prestadores devem observar as disposições legais e regulamentares, disponibilizar informações e recursos de gestão, possuir processos, procedimentos e controles de segurança cibernética, garantir a segregação dos dados, notificar sobre subcontratações, providenciar a transferência e exclusão de dados em caso de extinção do contrato, e não causar embaraços à atuação da SUSEP.

São serviços que envolvem acesso ou manipulação de dados relevantes ou que suportem atividades essenciais para a continuidade do negócio da supervisionada.

Incidentes relevantes são eventos adversos que comprometem substancialmente a confidencialidade, integridade ou disponibilidade de dados relevantes ou serviços relevantes de processamento ou armazenamento de dados.

A Circular SUSEP Nº 638, de 27 de julho de 2021, dispõe sobre requisitos de segurança cibernética a serem observados pelas sociedades seguradoras, entidades abertas de previdência complementar (EAPCs), sociedades de capitalização e resseguradores locais.

Dados relevantes são dados pessoais, conforme definido na legislação em vigor, dados relativos a clientes ou a processos críticos de negócio, bem como quaisquer outros dados ou informações considerados sensíveis de acordo com as diretrizes estabelecidas pela supervisionada.

As boas práticas incluem segurança física de equipamentos e instalações, controle de acesso a sistemas e informações, criptografia, proteção contra softwares maliciosos, manutenção de cópias de segurança de dados e informações, manutenção de registros (logs) de atividades dos usuários, técnicas de proteção de redes e de segurança das comunicações, e desenvolvimento e aquisição de sistemas.

A Circular entra em vigor em 1º de setembro de 2021.

As supervisionadas enquadradas nos segmentos S1 ou S2 têm até 30 de junho de 2022 para se adequarem, enquanto as supervisionadas enquadradas nos segmentos S3 ou S4 têm até 1º de setembro de 2022.

Risco cibernético é a possibilidade de ocorrência de perdas resultantes do comprometimento da confidencialidade, integridade ou disponibilidade de dados e informações em suporte digital, devido à manipulação indevida ou danos a equipamentos e sistemas utilizados para seu armazenamento, processamento ou transmissão.

Segurança cibernética é o conjunto de estratégias, políticas e padrões voltados à mitigação do risco cibernético.

Computação em nuvem é um serviço que permite acesso por demanda, independentemente da localização, a um conjunto compartilhado de recursos configuráveis de computação, provisionados com esforços mínimos de gestão ou de interação com o prestador de serviços.

As entidades supervisionadas são sociedades seguradoras, entidades abertas de previdência complementar (EAPCs), sociedades de capitalização e resseguradores locais.

A política deve contemplar os objetivos de segurança cibernética, o compromisso dos órgãos de administração com a segurança cibernética e a melhoria contínua dos processos, procedimentos e controles, além dos parâmetros e diretrizes para classificação de dados, incidentes e serviços, implementação de processos, procedimentos e controles de segurança cibernética, e terceirização de serviços de processamento e armazenamento de dados.