Pular para o conteúdo
Openbanx

Política de Segurança da Informação

Política corporativa de boas práticas para proteger os ativos de informação e os dados tratados pela Openbanx.

  • Versão 1.0
  • Aprovação 20 de outubro de 2026
  • Aprovado por Comitê de Segurança e Privacidade (CSP)
  • Referenciais ISO/IEC 27001 · ISO/IEC 27701 · LGPD · CMN · Open Finance

Nesta página

  1. 1. Objetivo
  2. 2. Escopo
  3. 3. Definições
  4. 4. Diretrizes gerais de boas práticas de segurança
  5. 5. Diretrizes de uso e proteção da informação
  6. 6. Diretrizes para desenvolvedores e equipes técnicas (DevSecOps)
  7. 7. Diretrizes de infraestrutura e operações
  8. 8. Diretrizes de privacidade e conformidade
  9. 9. Diretrizes para terceiros e fornecedores
  10. 10. Responsabilidades
  11. 11. Penalidades
  12. 12. Vigência e revisão

1. Objetivo

A presente Política de Boas Práticas de Segurança da Informação da Openbanx estabelece diretrizes, responsabilidades e requisitos mínimos para garantir a proteção dos ativos de informação, assegurar a continuidade das operações, preservar a confidencialidade, integridade e disponibilidade dos dados e manter conformidade com normas regulatórias e legais, incluindo:

  • ISO/IEC 27001:2022;
  • ISO/IEC 27701:2025;
  • Lei Geral de Proteção de Dados – LGPD;
  • Resolução CMN nº 4.893/21;
  • Resolução CMN nº 4.968/21 (Open Finance);
  • normativos e padrões técnicos do Banco Central do Brasil;
  • padrões FAPI, MTLS, OAuth2 e consentimento no Open Finance Brasil.

Esta Política orienta todos os colaboradores, parceiros e terceiros da organização quanto ao comportamento esperado e às práticas exigidas para manter um ambiente seguro e confiável.

2. Escopo

Esta Política aplica-se a:

  • todos os colaboradores, estagiários, prestadores de serviços, terceiros e parceiros;
  • todos os sistemas, APIs, ferramentas, dispositivos, redes e ambientes tecnológicos da Openbanx;
  • todas as informações manipuladas, armazenadas, transmitidas e processadas pela empresa, incluindo dados pessoais, sensíveis, financeiros, operacionais e informações de clientes;
  • todos os ambientes: desenvolvimento, homologação, QA, produção, governança e infraestrutura.

3. Definições

  • Segurança da Informação: conjunto de práticas e controles destinados a proteger a confidencialidade, integridade e disponibilidade da informação.
  • Dados Pessoais: qualquer informação relativa a pessoa natural identificada ou identificável (LGPD, art. 5º).
  • MFA (Autenticação Multifator): processo que utiliza dois ou mais mecanismos de verificação distintos para autenticar um usuário.
  • Privilégio Mínimo: concessão de apenas o conjunto essencial de permissões necessário para execução de determinada atividade.
  • Zero Trust: modelo que assume que nenhuma identidade, dispositivo, rede ou aplicação é confiável sem verificação constante.
  • PAM (Privileged Access Management): conjunto de práticas e tecnologias voltadas ao controle e à gravação de acessos privilegiados.
  • SIEM/UEBA/SOAR: soluções de monitoramento, correlação, resposta automatizada e análise comportamental aplicadas à segurança.

4. Diretrizes gerais de boas práticas de segurança

4.1. Princípios fundamentais

Todos os usuários da Openbanx devem observar, obrigatoriamente:

  • Confidencialidade, Integridade e Disponibilidade (CIA);
  • Privilégio Mínimo e Necessidade de Saber;
  • Segurança e Privacidade by Design;
  • Minimização de Dados;
  • Rastreabilidade e Auditoria Completa;
  • Segregação de Funções;
  • conformidade regulatória (LGPD + Bacen + Open Finance).

5. Diretrizes de uso e proteção da informação

5.1. Uso adequado dos sistemas

É proibido:

  • compartilhar senhas, tokens ou chaves;
  • transferir arquivos corporativos para dispositivos pessoais;
  • utilizar canais não autorizados (e-mail pessoal, WhatsApp pessoal);
  • instalar softwares não homologados;
  • desabilitar controles de segurança.

Todos os acessos devem ser realizados mediante MFA.

5.2. Proteção de dispositivos e ambientes

Todos os dispositivos devem:

  • ter senha ou biometria ativa;
  • ser bloqueados ao afastar-se da estação de trabalho;
  • manter sistema operacional e aplicações atualizados;
  • utilizar antivírus e firewall habilitados;
  • estar conectados unicamente à VPN corporativa quando acessarem sistemas internos.

5.3. Boas práticas para tratamento de dados

Todos os colaboradores devem:

  • evitar coleta excessiva de dados pessoais;
  • utilizar anonimização, cifragem ou pseudonimização sempre que possível;
  • armazenar dados exclusivamente em repositórios autorizados;
  • excluir dados após o término da finalidade;
  • seguir rigorosamente o consentimento no Open Finance.

É proibido utilizar dados reais em ambientes de desenvolvimento, teste ou homologação.

6. Diretrizes para desenvolvedores e equipes técnicas (DevSecOps)

6.1. Ciclo de desenvolvimento seguro (SDLC)

O desenvolvimento deve observar:

  • análise estática e dinâmica (SAST/DAST);
  • verificação de dependências vulneráveis (SCA);
  • revisão de código por pares;
  • modelagem de ameaças;
  • testes de segurança antes do deploy;
  • deploy seguro em pipelines aprovados.

6.2. Segregação de ambientes

Os ambientes devem ser isolados:

  • Desenvolvimento;
  • Homologação;
  • QA;
  • Produção.

É proibido portar dados ou credenciais entre ambientes.

6.3. Proteção de segredos

É proibido armazenar:

  • senhas em código;
  • chaves em repositórios;
  • credenciais em arquivos de texto.

Segredos devem ser armazenados exclusivamente em:

  • Secret Manager;
  • HSM/KMS corporativo;
  • PAM, para credenciais privilegiadas.

7. Diretrizes de infraestrutura e operações

7.1. Criptografia

É obrigatório:

  • TLS 1.3 ou mTLS para comunicação;
  • AES-256 para dados em repouso;
  • rotação periódica de chaves;
  • armazenamento seguro de chaves.

7.2. Monitoramento e logs

Todos os ambientes devem possuir:

  • SIEM com análise de eventos;
  • UEBA para detecção comportamental;
  • logs imutáveis (WORM);
  • trilhas completas das ações;
  • retenção mínima de 5 anos para dados regulatórios.

7.3. Resiliência e continuidade

A Openbanx deve manter:

  • Planos de Continuidade (BCP);
  • Planos de Recuperação de Desastres (DRP);
  • backups criptografados e testados;
  • failover automático;
  • testes periódicos de contingência.

8. Diretrizes de privacidade e conformidade

8.1. Boas práticas de privacidade (LGPD + ISO 27701)

Todos devem:

  • minimizar os dados pessoais tratados;
  • respeitar os limites de finalidade;
  • registrar o tratamento no PIMS;
  • reportar incidentes imediatamente ao DPO;
  • consultar o DPO antes de novos tratamentos.

8.2. Open Finance

É obrigatório:

  • verificar escopo e vigência do consentimento;
  • registrar cada acesso com o ID de consentimento;
  • restringir consultas ao que está autorizado;
  • manter trilhas completas para o Bacen;
  • não utilizar dados do OFB fora do propósito autorizado.

9. Diretrizes para terceiros e fornecedores

Todos os terceiros devem:

  • assinar NDA e cláusulas de confidencialidade;
  • receber treinamento básico de segurança;
  • utilizar acessos restritos, temporários e segregados;
  • ter sessões monitoradas e registradas;
  • ser revogados imediatamente ao término do contrato.

10. Responsabilidades

  • Diretoria: aprovar políticas e prover recursos.
  • Comitê de Segurança e Privacidade: supervisionar a execução.
  • Segurança da Informação: implementar controles técnicos.
  • IAM/PAM: gerenciar identidades e acessos.
  • Gestores: aprovar e revisar acessos.
  • DPO: supervisionar privacidade e LGPD.
  • Colaboradores: cumprir integralmente esta Política.

11. Penalidades

Descumprimentos podem resultar em:

  • advertência formal;
  • suspensão de acessos;
  • medidas disciplinares internas;
  • rompimento contratual (terceiros);
  • responsabilização administrativa, cível e penal.

12. Vigência e revisão

Esta Política deve ser revisada:

  • anualmente; ou
  • a qualquer tempo, em caso de alteração normativa, estrutural ou tecnológica.

Responsável pela revisão: Comitê de Segurança e Privacidade – CSP.

Versão: 1.0 · Data de aprovação: 20 de outubro de 2026 · Aprovado por: Comitê de Segurança e Privacidade (CSP) – Openbanx

Documentos legais

Governança e segurança da informação