Política de Segurança da Informação

1. Política de Segurança da Informação: Objetivo e Âmbito

A presente Política de Segurança da Informação define os princípios gerais aplicáveis à proteção dos ativos de informação sob responsabilidade ou controlo operacional da WebDig Host.

O seu âmbito inclui:

• Servidores e infraestruturas de alojamento;
• Sistemas operativos e serviços de rede;
• Painéis de controlo e ferramentas de administração;
• Serviços de correio eletrónico e respetivos mecanismos de segurança;
• Sistemas de faturação, suporte e gestão de clientes;
• Serviços de DNS e outras funcionalidades associadas;
• Sistemas de monitorização e registo de eventos;
• Cópias de segurança e mecanismos de recuperação;
• Informações administrativas, comerciais e técnicas;
• Dados pessoais tratados pela WebDig Host ou por conta dos seus clientes.

A aplicação de medidas específicas depende da arquitetura, das características e das condições contratuais de cada serviço.

As obrigações legais relacionadas com cibersegurança são abordadas na página de Conformidade NIS2.

2. Princípios da Política de Segurança da Informação

A Política de Segurança da Informação da WebDig Host assenta em princípios fundamentais destinados a proteger os sistemas, os dados e os serviços disponibilizados aos clientes.

2.1. Confidencialidade

A informação deve estar acessível apenas a pessoas, sistemas ou entidades devidamente autorizados.

2.2. Integridade

Devem ser adotadas medidas para prevenir alterações indevidas, acidentais ou não autorizadas aos dados e sistemas.

2.3. Disponibilidade

Os serviços e informações devem permanecer acessíveis de acordo com as condições de funcionamento e os níveis de serviço aplicáveis.

2.4. Autenticidade

Os mecanismos de autenticação e identificação devem permitir verificar, com um grau de confiança adequado, a identidade de utilizadores e sistemas.

2.5. Menor Privilégio

Os acessos devem ser limitados às permissões necessárias para o desempenho das funções autorizadas.

2.6. Defesa em Profundidade

A proteção dos serviços deve recorrer, sempre que adequado, a diferentes camadas de segurança, reduzindo a dependência de um único mecanismo de proteção.

2.7. Segurança desde a Conceção

Os requisitos de segurança devem ser considerados na implementação, configuração e manutenção dos sistemas e serviços.

3. Governação e Responsabilidades

A implementação da Política de Segurança da Informação envolve responsabilidades de gestão, administração técnica, proteção de dados e acompanhamento operacional, de acordo com a estrutura e dimensão da WebDig Host.

A responsabilidade pela segurança da informação é assumida pela WebDig Host, de acordo com a natureza e dimensão da sua estrutura organizativa.

As funções de segurança podem ser desempenhadas diretamente pela gestão, por responsáveis técnicos ou por prestadores autorizados, conforme as necessidades operacionais.

As responsabilidades incluem:

• Gestão: definir prioridades, avaliar riscos e assegurar os recursos necessários à proteção dos serviços;
• Administração técnica: configurar e manter os sistemas, gerir atualizações, acessos e mecanismos de proteção;
• Segurança operacional: acompanhar alertas, analisar atividades suspeitas e coordenar a resposta a incidentes;
• Proteção de dados: assegurar a articulação entre as medidas de segurança e as obrigações previstas no RGPD;
• Prestadores autorizados: cumprir os requisitos de segurança e confidencialidade aplicáveis aos serviços que executam;
• Clientes: proteger as aplicações, contas, conteúdos e credenciais que estejam sob a sua responsabilidade.

O Encarregado de Proteção de Dados desempenha as funções de informação, aconselhamento e acompanhamento previstas no RGPD, sem substituir a responsabilidade da WebDig Host pela implementação das medidas de segurança.

4. Gestão de Ativos e Classificação da Informação

A WebDig Host considera a identificação dos ativos tecnológicos e da informação um elemento importante da gestão de segurança.

Os ativos relevantes podem incluir:

• Servidores físicos e virtuais;
• Sistemas operativos e aplicações;
• Bases de dados;
• Contas administrativas;
• Credenciais e chaves de acesso;
• Registos técnicos e de segurança;
• Configurações de rede;
• Cópias de segurança;
• Informação de clientes e documentação contratual.

As medidas de proteção devem ser proporcionais à criticidade dos ativos, à sensibilidade da informação e aos riscos identificados.

Os dados pessoais e as credenciais de autenticação exigem especial atenção, nomeadamente quanto ao controlo de acessos, confidencialidade e conservação.

5. Controlo de Acessos e Gestão de Identidades

O acesso aos sistemas administrados pela WebDig Host é gerido de acordo com os princípios da necessidade funcional e do menor privilégio.

As medidas aplicáveis podem incluir:

• Utilização de contas de acesso individualizadas;
• Gestão de permissões por função ou perfil;
• Utilização de palavras-passe robustas;
• Autenticação multifator, quando disponível e configurada;
• Restrição de acessos administrativos;
• Registo de eventos relevantes de autenticação;
• Bloqueio automático de acessos considerados suspeitos;
• Desativação ou suspensão de credenciais quando necessário.

5.1. Painel de Controlo Enhance

Os serviços de alojamento disponibilizados através do painel Enhance permitem a gestão de contas, websites, correio eletrónico, bases de dados e outras funcionalidades, de acordo com as permissões atribuídas.

Os clientes são responsáveis pela proteção das suas credenciais e pela gestão dos acessos que concedam a terceiros.

5.2. Acesso SSH e Bases de Dados

A disponibilização de acesso SSH depende das características e condições do plano contratado.

As bases de dados podem ser geridas através dos mecanismos disponibilizados no ambiente de alojamento, respeitando as restrições de acesso e as permissões configuradas.

5.3. Bloqueio de Endereços IP

Os sistemas de segurança podem aplicar bloqueios automáticos a endereços IP associados a atividades suspeitas, tentativas de autenticação abusivas ou outros eventos de segurança.

A duração dos bloqueios pode variar de acordo com a gravidade e a reincidência dos eventos identificados.

O desbloqueio pode ser solicitado através do suporte técnico, estando sujeito à análise das condições de segurança.

6. Encriptação e Proteção de Dados

A WebDig Host utiliza mecanismos de proteção criptográfica nos serviços e comunicações em que estes sejam tecnicamente aplicáveis.

6.1. Dados em Trânsito

Os serviços web podem utilizar ligações HTTPS protegidas por TLS, permitindo a transmissão cifrada de informações entre os dispositivos dos utilizadores e os servidores.

Os serviços de correio eletrónico suportam mecanismos de proteção das ligações, de acordo com os protocolos e configurações disponibilizados.

A utilização efetiva de uma ligação cifrada pode depender também das configurações do cliente de email e dos sistemas externos envolvidos na comunicação.

6.2. Dados em Repouso

A proteção de dados armazenados depende da infraestrutura, dos mecanismos de armazenamento e das funcionalidades disponíveis em cada serviço.

A encriptação em repouso pode ser aplicada quando tecnicamente suportada e configurada, não devendo ser presumida para todos os volumes, bases de dados ou cópias de segurança.

6.3. Credenciais e Informação Sensível

As credenciais, chaves e outros elementos sensíveis devem ser protegidos através de mecanismos adequados à respetiva utilização.

O acesso a estes elementos deve ser restringido às pessoas e sistemas autorizados.

7. Segurança de Redes e Infraestrutura

No âmbito da Política de Segurança da Informação, a proteção da infraestrutura assenta na combinação de mecanismos preventivos, monitorização técnica e medidas de resposta a ameaças informáticas.

A infraestrutura da WebDig Host utiliza diferentes mecanismos de proteção para reduzir a exposição a ameaças informáticas.

Conforme o serviço e a configuração aplicável, estes mecanismos incluem:

• Firewalls e regras de filtragem de tráfego;
• Proteção contra tentativas de acesso não autorizado;
• Controlo de serviços e portas de rede;
• Proteção de aplicações web;
• Monitorização de eventos de segurança;
• Filtragem de correio eletrónico;
• Proteção contra malware e atividades abusivas;
• Medidas de mitigação de ataques de negação de serviço, quando disponibilizadas pela infraestrutura ou pelos fornecedores.

7.1. Segurança dos Servidores

Os ambientes de alojamento são administrados com atenção à configuração segura dos sistemas operativos, serviços web, bases de dados e componentes associados.

A WebDig Host utiliza mecanismos de proteção adequados à arquitetura de alojamento, incluindo ferramentas de segurança ao nível do servidor e da aplicação.

7.2. Proteção de Correio Eletrónico

Os serviços de correio eletrónico utilizam mecanismos de análise e filtragem destinados a reduzir mensagens não solicitadas, tentativas de fraude e outras ameaças transmitidas por email.

Estes mecanismos podem recorrer a regras de reputação, análise de mensagens, listas de bloqueio e outras técnicas de deteção.

Nenhum sistema de filtragem garante a deteção de todas as mensagens maliciosas ou a ausência absoluta de falsos positivos.

8. Gestão de Vulnerabilidades e Atualizações

A WebDig Host acompanha a segurança dos componentes tecnológicos utilizados na prestação dos serviços e aplica atualizações e correções de acordo com a sua relevância e impacto operacional.

O processo de gestão de vulnerabilidades pode incluir:

• Acompanhamento de avisos de segurança dos fabricantes;
• Identificação de versões afetadas;
• Avaliação da gravidade e possibilidade de exploração;
• Aplicação de atualizações de segurança;
• Implementação de medidas de mitigação quando não exista correção imediata;
• Verificação do funcionamento dos serviços após intervenções relevantes.

As vulnerabilidades críticas ou com exploração conhecida podem justificar intervenções prioritárias.

As atualizações podem exigir períodos de manutenção ou alterações temporárias na disponibilidade dos serviços.

8.1. Comunicação de Vulnerabilidades

Os clientes, investigadores de segurança e outras entidades podem comunicar vulnerabilidades identificadas nos serviços da WebDig Host através do canal de segurança.

A identificação de vulnerabilidades não autoriza testes intrusivos, exploração de sistemas, acesso a dados de terceiros ou interrupção de serviços sem autorização expressa.

9. Cópias de Segurança e Continuidade de Negócio

A WebDig Host disponibiliza mecanismos de cópia de segurança de acordo com as características e condições dos serviços contratados.

A existência, frequência, retenção e âmbito das cópias de segurança dependem do plano e da configuração aplicável.

As medidas de continuidade e recuperação podem incluir:

• Execução de cópias de segurança;
• Monitorização de processos de backup;
• Verificação de erros de execução;
• Procedimentos de recuperação de dados;
• Utilização de repositórios de armazenamento adequados;
• Planeamento de intervenções em caso de falha de sistemas.

Os procedimentos de restauro devem considerar a integridade dos dados, a disponibilidade dos sistemas e os limites técnicos dos mecanismos utilizados.

Os tempos de recuperação e os pontos de recuperação disponíveis dependem das condições técnicas e contratuais do serviço.

Salvo compromisso contratual específico, esta política não estabelece valores universais de RTO ou RPO.

9.1. Responsabilidade do Cliente

Os clientes devem manter cópias próprias dos dados e conteúdos considerados críticos, de acordo com as suas necessidades de continuidade e recuperação.

As cópias de segurança disponibilizadas pela WebDig Host não substituem uma estratégia independente de proteção de dados por parte do cliente.

10. Segurança na Cadeia de Fornecimento

A prestação dos serviços da WebDig Host pode envolver fornecedores de infraestrutura, registo de domínios, DNS, distribuição de conteúdos, segurança e outras funcionalidades técnicas.

A seleção e utilização destes fornecedores deve considerar fatores como:

• Fiabilidade operacional;
• Localização e características da infraestrutura;
• Medidas de segurança disponibilizadas;
• Condições contratuais;
• Requisitos de confidencialidade;
• Proteção de dados pessoais, quando aplicável;
• Dependências técnicas e riscos de continuidade.

Nem todos os fornecedores externos são necessariamente subcontratantes ou subprocessadores para efeitos do RGPD.

Quando exista tratamento de dados pessoais por conta da WebDig Host ou dos seus clientes, devem ser avaliadas as responsabilidades e obrigações contratuais aplicáveis.

Informações adicionais estão disponíveis na Lista de Subprocessadores.

11. Monitorização, Registos e Deteção

A WebDig Host utiliza mecanismos de monitorização e registo técnico destinados a acompanhar o funcionamento dos serviços e identificar eventos relevantes para a segurança.

Os sistemas podem recolher informações como:

• Eventos de autenticação;
• Tentativas de acesso não autorizado;
• Erros de aplicações e serviços;
• Alertas de segurança;
• Eventos de filtragem de tráfego;
• Informações sobre disponibilidade e desempenho;
• Registos associados à administração dos sistemas.

Os registos são utilizados para finalidades de segurança, diagnóstico, prevenção de abuso e investigação de incidentes.

O acesso aos registos deve ser limitado às pessoas autorizadas, de acordo com as respetivas funções.

Os períodos de conservação dependem das finalidades, das configurações técnicas e das obrigações legais aplicáveis.

O tratamento de dados pessoais contidos nestes registos encontra-se sujeito às regras descritas na Política de Privacidade.

12. Resposta a Incidentes de Segurança

A WebDig Host dispõe de mecanismos e procedimentos operacionais destinados a identificar, analisar e responder a incidentes que possam afetar a segurança ou disponibilidade dos serviços.

A resposta pode compreender:

• Deteção e identificação da ocorrência;
• Avaliação da gravidade e do impacto;
• Aplicação de medidas de contenção;
• Investigação das causas;
• Correção das vulnerabilidades identificadas;
• Recuperação dos serviços afetados;
• Documentação dos eventos relevantes;
• Adoção de medidas preventivas adicionais.

12.1. Incidentes que Envolvam Dados Pessoais

Quando um incidente constitua uma violação de dados pessoais, a WebDig Host avalia as obrigações de notificação previstas nos artigos 33.º e 34.º do RGPD.

Quando atua como responsável pelo tratamento e exista risco para os direitos e liberdades dos titulares, a notificação à autoridade de controlo é efetuada sem demora injustificada e, sempre que possível, no prazo de 72 horas após o conhecimento da violação.

Quando atua como subcontratante, a WebDig Host informa o responsável pelo tratamento sem demora injustificada após tomar conhecimento da violação.

As obrigações específicas de cibersegurança, quando aplicáveis, são avaliadas separadamente das obrigações previstas no RGPD.

12.2. Comunicação de Incidentes

Os incidentes e suspeitas de vulnerabilidades podem ser comunicados através dos canais oficiais:

• Comunicar um Incidente de Segurança
• Comunicar um Abuso

Para informações complementares, consulta os Procedimentos de Incidentes.

13. Segurança dos Recursos Humanos e Formação

As pessoas que tenham acesso autorizado a sistemas ou informações da WebDig Host devem respeitar as regras de confidencialidade e segurança aplicáveis às suas funções.

As boas práticas incluem:

• Proteção das credenciais de acesso;
• Utilização adequada dos sistemas;
• Prevenção de phishing e engenharia social;
• Comunicação de atividades suspeitas;
• Proteção de informação confidencial;
• Respeito pelas permissões atribuídas;
• Utilização segura de dispositivos e ligações remotas.

A sensibilização para riscos de segurança deve ser adequada às funções desempenhadas e às necessidades da organização.

As obrigações de confidencialidade podem manter-se após a cessação da relação contratual ou profissional, de acordo com os compromissos assumidos e a legislação aplicável.

14. Responsabilidade Partilhada do Cliente

A segurança dos serviços de alojamento depende tanto das medidas implementadas pela WebDig Host como das práticas adotadas pelos clientes.

A distribuição concreta de responsabilidades depende do serviço contratado, das funcionalidades disponibilizadas e das condições contratuais aplicáveis.

14.1. Responsabilidades da WebDig Host

No âmbito dos serviços que administra, a WebDig Host é responsável pelas medidas de segurança relacionadas com a infraestrutura e os componentes sob o seu controlo operacional, nos termos contratuais e legais aplicáveis.

14.2. Responsabilidades do Cliente

Os clientes devem adotar medidas adequadas para proteger os recursos sob a sua administração, incluindo:

• Manter aplicações e sistemas de gestão de conteúdos atualizados;
• Atualizar plugins, temas e outros componentes;
• Utilizar palavras-passe robustas e exclusivas;
• Ativar autenticação multifator quando disponível;
• Limitar os acessos concedidos a terceiros;
• Remover contas e componentes desnecessários;
• Proteger os dispositivos utilizados na administração dos serviços;
• Manter cópias independentes dos dados críticos;
• Comunicar rapidamente atividades suspeitas.

Nos serviços geridos, as responsabilidades do cliente podem ser diferentes das existentes nos serviços de alojamento com administração autónoma.

As condições específicas são definidas nos contratos, planos e documentos aplicáveis.

15. Auditorias e Melhoria Contínua

A melhoria contínua da Política de Segurança da Informação permite acompanhar a evolução das ameaças, rever os controlos existentes e adaptar os procedimentos de segurança às necessidades dos serviços.

A WebDig Host procura melhorar continuamente as medidas de segurança utilizadas na sua infraestrutura e nos seus processos operacionais.

Esta melhoria pode resultar de:

• Análise de incidentes;
• Identificação de vulnerabilidades;
• Atualizações de software;
• Revisão de configurações;
• Acompanhamento de novas ameaças;
• Alterações na infraestrutura;
• Recomendações de fabricantes e entidades especializadas;
• Avaliações técnicas internas ou externas, quando realizadas.

A realização de auditorias formais, testes de penetração ou avaliações por terceiros depende das necessidades identificadas e das condições concretas de cada projeto ou serviço.

A presente política não constitui uma declaração de certificação independente ou de realização periódica de auditorias externas.

15.1. Referências e Orientações de Segurança

A WebDig Host acompanha, sempre que relevante, as orientações e recomendações de entidades nacionais e europeias especializadas em cibersegurança e proteção de dados.

• Centro Nacional de Cibersegurança (CNCS)
  — entidade nacional de referência em cibersegurança.
• Agência da União Europeia para a Cibersegurança (ENISA)
  — orientações e boas práticas de segurança digital.
• Comissão Nacional de Proteção de Dados (CNPD)
  — autoridade nacional de controlo em matéria de proteção de dados pessoais.

16. Revisão e Atualização da Política de Segurança da Informação

Esta Política de Segurança da Informação poderá ser revista sempre que ocorram alterações relevantes na infraestrutura, nos serviços prestados, na legislação aplicável ou nas medidas de segurança adotadas.

As revisões podem igualmente resultar da análise de incidentes, da identificação de novos riscos ou da evolução das boas práticas de segurança.

A versão atualizada será disponibilizada nesta página.

Quando uma alteração tenha impacto relevante nas condições contratuais ou nos direitos dos clientes, serão observados os requisitos de comunicação e informação aplicáveis.

17. Contactos de Segurança

A WebDig Host disponibiliza canais específicos para a comunicação de incidentes, vulnerabilidades, situações abusivas e questões relacionadas com a proteção de dados.

As comunicações relacionadas com vulnerabilidades ou incidentes devem incluir apenas a informação necessária à sua análise, evitando a divulgação pública de credenciais, dados pessoais ou detalhes técnicos sensíveis.