CIRCULAR SUSEP n.º 638

Na terceirização de processamento e armazenamento de dados, a supervisionada deve ter recursos, competências e governança para monitorar serviços e prestadores.

Contratações e alterações de serviços relevantes de processamento e armazenamento de dados devem ser informadas à Susep em até trinta dias da formalização.

Para serviços relevantes de processamento e armazenamento de dados, a supervisionada deve recorrer a certificação independente ou diligências prévias para avaliar controles.

A política de segurança cibernética pode prever exceções para serviços não relevantes, desde que defina expressamente requisitos mínimos de segurança cibernética.

A supervisionada deve exigir de prestadores de processamento e armazenamento de dados requisitos legais, de gestão, segurança, segregação, subcontratação, encerramento e acesso da Susep.

A terceirização de processamento e armazenamento de dados não exime a supervisionada de cumprir a regulamentação e garantir confidencialidade, integridade e disponibilidade dos dados.

A supervisionada deve definir e documentar estratégias de substituição de prestadores ou execução própria se houver descontinuidade de serviços relevantes de dados.

As regras de terceirização abrangem todo processamento e armazenamento de dados, inclusive nuvem, exceto registro de operações em sistema homologado pela Susep.

A supervisionada deve conservar versões atuais e anteriores da política, relatório de incidentes, contratos de serviços relevantes e documentos de comprovação do atendimento.

Contratos de processamento e armazenamento de dados firmados antes da vigência da Circular deveriam ser adequados até 1º de setembro de 2024.

Supervisionadas enquadradas nos segmentos S1 ou S2 deveriam adequar-se às regras da Circular até 30 de junho de 2022.

Supervisionadas enquadradas nos segmentos S3 ou S4 deveriam adequar-se às regras da Circular até 1º de setembro de 2022.

A Circular entrou em vigor em 1º de setembro de 2021.

A Circular dispõe sobre requisitos de segurança cibernética aplicáveis a seguradoras, EAPCs, sociedades de capitalização e resseguradores locais.

A norma define supervisionadas, segurança cibernética e risco cibernético como conceitos centrais para aplicação dos requisitos de controles e gestão de riscos.

Dados relevantes abrangem dados pessoais, dados de clientes ou de processos críticos de negócio e outros dados sensíveis conforme diretrizes da supervisionada.

Serviços relevantes de processamento ou armazenamento de dados incluem serviços, inclusive em nuvem, que envolvam dados relevantes ou suportem atividades essenciais.

Incidentes relevantes são eventos adversos que, conforme parâmetros da supervisionada, comprometam substancialmente dados relevantes ou serviços relevantes.

A norma define computação em nuvem, órgãos de administração e colaboradores, incluindo administradores, empregados, terceirizados e parceiros relevantes.

A segurança cibernética deve integrar o Sistema de Controles Internos e a Estrutura de Gestão de Riscos, com risco cibernético tratado como risco operacional.

A supervisionada deve adotar tratamentos e controles para riscos cibernéticos observando boas práticas nacionais e internacionais em temas técnicos mínimos.

A supervisionada deve promover disseminação da cultura de segurança cibernética, incluindo capacitação contínua de colaboradores conforme sensibilidade das informações.

A supervisionada deve possuir política de segurança cibernética com objetivos, compromisso da administração e diretrizes para classificação, controles e terceirização.

A supervisionada deve possuir e manter atualizados processos, procedimentos e controles efetivos para reduzir vulnerabilidades e detectar, responder e recuperar incidentes.

A supervisionada deve implementar conciliação entre registros de incidentes e o banco de dados de perdas operacionais, se existente, para incidentes com perda operacional.

Processos de resposta a incidentes devem contemplar monitoramento contínuo, avaliação de criticidade, contenção, restabelecimento seguro e tratamento de vulnerabilidades exploradas.

Os processos de incidentes devem prever registro, compartilhamento de informações sobre incidentes relevantes e comunicação com partes afetadas, especialmente clientes.

Cenários de ataques e eventos que possam afetar infraestrutura crítica, dados relevantes ou serviços relevantes devem ser previstos no plano de continuidade de negócios.

A supervisionada deve comunicar incidentes relevantes à Susep em até cinco dias úteis do conhecimento do evento, detalhando dano e ações de regularização.

O relatório anual deve ser encaminhado à administração, comitês aplicáveis, diretor de controles internos e unidade de riscos, e considerado em suas atribuições.

A supervisionada deve elaborar relatório anual sobre prevenção e tratamento de incidentes com incidentes relevantes, estatísticas, testes de continuidade e vulnerabilidades.