Política de
Segurança da Informação

Introdução

O Sistema de Gestão da Segurança da Informação (doravante, SGSI) da Clínica Universidad de Navarra (doravante, CUN ou a Organização) baseia-se no modelo ISO 27001:2022 de Segurança da Informação, Cibersegurança e Proteção da Privacidade — Sistemas de Gestão da Segurança da Informação, que utiliza uma abordagem assente na gestão do risco de todo o sistema, com vista a identificar, planear e atuar sobre os riscos e oportunidades pertinentes para a obtenção dos resultados esperados e para o cumprimento dos objetivos de Segurança da Informação estabelecidos para o efeito.

Liderança e Compromisso

A Direção da CUN demonstra a sua liderança e compromisso relativamente ao Sistema de Gestão da Segurança da Informação do seguinte modo:

• Assegurando que a Política de Segurança da CUN e os respetivos objetivos são estabelecidos e compatíveis com a orientação estratégica da Organização.
• Assegurando a integração dos requisitos do SGSI nos processos da organização.
• Disponibilizando os recursos necessários para implementar, manter e melhorar continuamente o SGSI.
• Comunicando a importância de uma gestão eficaz do sistema e do cumprimento dos respetivos requisitos.
• Garantindo que o SGSI atinge os seus resultados previstos.
• Orientando e apoiando as pessoas para contribuírem para a eficácia do SGSI.
• Promovendo a melhoria contínua.
• Fomentando uma cultura de segurança da informação entre todos os membros da Organização.
• Assegurando que os objetivos de segurança da informação sejam estabelecidos e comunicados.
• Apoiando outras funções de gestão pertinentes para demonstrar a sua liderança aplicável nas suas áreas de responsabilidade.

Política Geral de Segurança da Informação

A Direção da CUN concorda que o desenvolvimento das atividades desta Organização, bem como a prossecução dos seus objetivos estratégicos em matéria de Segurança da Informação, exigem garantir, em permanência, um elevado nível de cumprimento dos níveis estabelecidos em matéria de Confidencialidade, Disponibilidade, Rastreabilidade, Autenticidade e Integridade da informação relativa aos seus ativos, bem como dos correspondentes princípios legais, organizativos e técnicos, em especial — e para efeitos desta política — nas matérias relacionadas com a proteção de dados de carácter pessoal.

A CUN considera fundamental garantir a segurança da informação em todas as suas vertentes (integridade, confidencialidade, disponibilidade), bem como a segurança dos processos, infraestruturas, pessoas e demais recursos que intervêm na prestação dos serviços da Organização. A CUN deve gerir adequadamente a segurança: protegendo esses elementos de possíveis ameaças, minimizando os seus riscos e garantindo a continuidade dos seus processos de negócio.

Assim, proteger a informação e manter a sua segurança torna-se um objetivo global que deve ser assumido por todos e cada um dos membros da CUN, pelo que devem conhecer e cumprir a Política de Segurança da Informação, os procedimentos, normas, standards e recomendações que a operacionalizam.

Para esse efeito, foi desenvolvido e implementado o SGSI, que estabelece o quadro de referência para tratar de forma segura os ativos desta Organização.

Os compromissos da CUN relativamente à Gestão da Segurança da Informação são os seguintes:

• Tornar evidente o compromisso da Direção com o SGSI, incluindo a Gestão da Segurança da Informação.
• Garantir que os requisitos do SGSI são integrados nos processos de negócio da CUN.
• Assegurar que os objetivos de Segurança da Informação são estabelecidos no SGSI e que estes são compatíveis com o contexto e a orientação estratégica da Organização.
• Definir, desenvolver e colocar em funcionamento os controlos necessários, promovendo a abordagem por processos e o pensamento baseado no risco, para garantir, em permanência, o cumprimento dos níveis de risco aprovados pela Organização.
• Cumprir, em permanência, a legislação em vigor, bem como as normas e especificações particulares aplicáveis aos serviços prestados pela Organização.
• Criar uma cultura de gestão dos Sistemas de Informação e de Segurança integrada, tanto internamente — junto de todo o pessoal — como externamente, junto dos doentes e fornecedores.
• Comprometer, orientar e apoiar o pessoal, a fim de contribuir para a eficácia do SGSI, assegurar a disponibilidade dos recursos necessários ao mesmo, bem como apoiar outros papéis pertinentes da direção na forma como aplica o sistema de gestão nas suas áreas de responsabilidade.
• Tratar a gestão da Segurança da Informação como um processo de melhoria contínua.
• Manter a confiança e a satisfação dos doentes e do pessoal da Organização.

Alcance e âmbito de aplicação

Esta Política de Segurança da Informação aplica-se a toda a informação gerida pela CUN, a todos os sistemas de informação, redes, aplicações, equipamento de hardware e software propriedade da CUN ou sob o seu controlo, bem como a todo o pessoal que, de forma permanente ou eventual, preste serviços na CUN, incluindo o pessoal de organizações externas, direta ou indiretamente, relacionado com a CUN e o seu SGSI, que necessite dessa informação para o desenvolvimento das suas funções e tarefas.

Enquadramento legal e normativo

A CUN compromete-se a cumprir toda a legislação e regulamentação em vigor aplicável em matéria de proteção de dados e segurança da informação, incluindo:

• Lei Orgânica de Proteção de Dados e Garantia dos Direitos Digitais (LOPDGDD).
• Regulamento Geral sobre a Proteção de Dados (RGPD).
• Lei de Serviços da Sociedade da Informação e do Comércio Eletrónico (LSSI).
• Lei de Prevenção de Riscos Laborais (LPRL).
• Lei da Propriedade Intelectual (LPI)..
• Lei 6/2020, de 11 de novembro (Serviços Eletrónicos de Confiança).
• Regulamento eIDAS 2.
• Requisitos da Joint Commission International.
• Diretiva NIS2 do Parlamento Europeu e do Conselho.
• ISO 27001 Segurança da Informação, Cibersegurança e Proteção da Privacidade.

Revisão e cumprimento

Esta Política de Segurança da Informação será revista anualmente ou sempre que se verifiquem alterações significativas no ambiente da CUN ou na regulamentação aplicável. O seu incumprimento poderá implicar medidas disciplinares, de acordo com o regime interno da CUN e a legislação em vigor.