Deliberação n.º 940/2022, de 24 de agosto

Deliberação n.º 940/2022

O Conselho Diretivo do Instituto Nacional de Emergência Médica, I. P., por deliberação de 13 de julho de 2022, aprovou o seguinte Regulamento Interno do Comité de Risco e Segurança da Informação do Instituto Nacional de Emergência Médica, I. P.:

CAPÍTULO I

Disposições gerais

Artigo 1.º

Objeto

O presente regulamento estabelece as regras de atuação e de funcionamento do Comité de Risco e Segurança da Informação do Instituto Nacional de Emergência Médica, I. P., adiante designado por CRSI do INEM.

Artigo 2.º

Definição

1 - O CRSI do INEM, é um órgão colegial, responsável pela gestão da Estratégia de Risco e Segurança da Informação do Instituto, tendo como principal incumbência, o desenvolvimento e implementação de estratégias, metodologias, iniciativas, medidas e procedimentos em termos de avaliação da cibersegurança em consonância com segurança dos ecossistemas de informação.

2 - O CRSI rege-se pelo presente regulamento e pela legislação aplicável, em matéria de avaliação da gestão de risco da segurança de informação no INEM.

Artigo 3.º

Aplicabilidade

As deliberações do CRSI aplicam-se a todos os dirigentes, trabalhadores e colaboradores do INEM (independentemente da sua direção, função, posição hierárquica e vínculo contratual), fornecedores, prestadores de serviços e parceiros, e quaisquer outras pessoas que tenham acesso a postos de trabalho ou local onde se encontre informação ou sistemas de informação do INEM.

CAPÍTULO II

Funções, composição e competência

Artigo 4.º

Funções do CRSI

1 - Ao Comité de Risco e Segurança da Informação do INEM são atribuídas as seguintes funções e responsabilidades:

a) Exercer atividade enquanto órgão consultivo do Conselho Diretivo (CD) na área de Risco e Segurança da Informação;

b) Apreciar e delinear, a estratégia do Risco e da Segurança da Informação determinada pelo Gabinete de Sistemas e Tecnologias de Informação (GSTI) do INEM, assegurando os melhores níveis de resultados;

c) Conhecer as comunicações relativas ao risco de segurança da informação e de cibersegurança, enviadas ao Encarregado de Proteção de Dados (EPD) e ao Responsável de Segurança (CISO), bem como as medidas implementadas;

d) Definir sob informação do GSTI o nível de aceitação do Risco no INEM;

e) Garantir de forma eficaz e consistente a aplicação de Boas Práticas de Segurança da Informação e Cibersegurança pelos profissionais do INEM, num quadro de conformidade, e de responsabilização das mesmas.

2 - Devem ter em consideração os quatro pilares estratégicos da Segurança da Informação no INEM, no que respeita:

a) Segurança: Garantir a Segurança da Informação, infraestrutura e aplicações;

b) Disponibilidade: Garantir a disponibilidade, fiabilidade e utilidade da informação de suporte à tomada de decisão;

c) Risco: Garantir a gestão dos riscos relacionados com informação e tecnologias;

d) Conformidade: Garantir a conformidade da informação, tecnologias e suporte da atividade operacional com os requisitos legais e normativos.

Artigo 5.º

Composição do CRSI

1 - De forma a assegurar a excelência operacional e a qualidade dos serviços prestados, e a promover uma cultura de risco, de segurança da informação e cibersegurança no instituto, estão representadas no CRSI as diversas áreas com influência na gestão do INEM. Neste sentido, na constituição são considerados membros permanentes e membros não permanentes ou opcionais, estes últimos a convocar de acordo com a necessidade, em representação das áreas de negócio.

2 - Nos termos do disposto no número anterior, a constituição do CRSI é designada por deliberação do Conselho Diretivo, de forma nominal devendo ser objeto de divulgação a todos os profissionais do INEM pelos canais adequados e habituais.

Artigo 6.º

Competências do CRSI

Enquanto órgão de governação e gestão da Estratégia de Risco e Segurança da Informação do INEM, é da competência do CRSI, nomeadamente:

a) Definir a estratégia de risco e segurança da informação de acordo com a missão do INEM e da sua área da atividade na prestação de cuidados de saúde, na área da emergência médica, estabelecendo e acompanhando as principais orientações que contribuam para atingir os objetivos;

b) Planear, e estabelecer diretrizes de implementação, melhoria e acompanhamento das boas práticas de risco, segurança da informação e cibersegurança, preconizando a descentralização das responsabilidades desta área de gestão pelas várias áreas do INEM;

c) Aprovar e promover políticas técnicas, procedimentos, mecanismos de monitorização e controlos que incluam a verificação da eficácia dos controlos de segurança da informação, das medidas de segurança da informação, através de revisões periódicas, da análise de indicadores, das avaliações do risco e da melhoria continua, que sejam auditadas e promovidas em matéria de segurança da informação e cibersegurança;

d) Analisar e colocar em discussão temáticas que sejam sinalizadas, nomeadamente riscos e questões que impactam transversalmente toda a segurança da informação e cibersegurança do INEM;

e) Manifestar necessidades ao Conselho Diretivo relativamente a recursos que permitem dar cumprimento às atividades delineadas na Estratégia de Risco e Segurança da Informação;

f) Aconselhar o Conselho Diretivo com vista à implementação e manutenção das medidas de segurança da informação e cibersegurança;

g) Promover a adoção de comportamentos que contribuam para elevar a cultura de análise de risco e de segurança no INEM;

h) Elaborar, anualmente, ou sempre que necessário, relatório de avaliação da execução de atividades de risco, segurança da informação e cibersegurança no INEM;

i) Responder a solicitações por parte do Conselho Diretivo, no âmbito da temática do Risco e Segurança da Informação;

j) Exercer as demais competências que lhe sejam cometidas pelo Conselho Diretivo do INEM.

Artigo 7.º

Presidente do CRSI

1 - Compete ao Presidente do CRSI:

a) Representar o CRSI ou fazer-se representar, nos fóruns e outros eventos internos ou externos, apropriados;

b) Agendar, convocar e presidir às reuniões, ordinárias e extraordinárias do CRSI, e fazer cumprir a ordem de trabalhos;

c) Procurar o consenso na discussão, podendo recorrer à votação quando assim não for possível;

d) Exercer o voto de qualidade em caso de empate nas votações;

e) Exercer as demais competências que lhe forem delegadas pela Comissão;

f) Garantir o cumprimento da legalidade.

2 - O Presidente é substituído nas suas ausências e impedimentos por outro membro do Conselho Diretivo.

Artigo 8.º

Apoio técnico do CRSI

1 - O CRSI é secretariado pelo Responsável de Segurança (CISO).

2 - Cabe ao secretário executar os procedimentos técnico-administrativos relacionados com o CRSI, designadamente:

a) Apoiar o Presidente do CRSI na preparação da ordem de trabalhos;

b) Secretariar as reuniões e elaborar as respetivas atas;

c) Organizar o expediente e arquivo do CRSI;

d) Controlar a implementação das medidas formalizadas nas atas do Comité;

e) Proceder ao compêndio da informação pertinente para o funcionamento das reuniões.

3 - Sempre que se justifique, deverá ser dado apoio administrativo ao secretário do CSRI, por outro membro designado pelo Comité.

CAPÍTULO III

Funcionamento

Artigo 9.º

Reuniões

1 - O CRSI reúne ordinariamente, de forma mensal, e extraordinariamente sempre que for convocado pelo seu Presidente ou por proposta de um terço dos seus membros permanentes, devendo neste caso ser indicado na ordem de trabalhos, o assunto que merece a atenção de uma reunião extraordinária.

2 - A convocatória de cada reunião é remetida com a antecedência mínima de 48 horas sobre a data da reunião, com indicação do dia, do local, da hora e da ordem de trabalhados, incluindo ainda toda a documentação de suporte sobre cada assunto dela constante.

3 - O CRSI reúne ordinariamente, de forma presencial ou remota, conforme informado na convocatória, na primeira segunda-feira do mês nas instalações do INEM.

4 - Podem participar nas reuniões, sem direito a voto, quaisquer pessoas cuja presença seja considerada necessária para esclarecimento dos assuntos em apreciação, por convocação do seu Presidente.

Artigo 10.º

Deliberações

1 - Cada membro do CRSI tem direito a um (1) voto;

2 - O quórum necessário para a adoção de decisões atinge-se com a presença, local ou remota, de pelo menos 2/3 do número total dos membros convocados para a reunião.

3 - As deliberações são aprovadas por votação nominal e por maioria de votos dos membros presentes.

4 - Em caso de empate, o Presidente tem voto de qualidade.

5 - Em caso de impossibilidade de obtenção de maioria na reunião, a decisão será tomada pelo Presidente do CRSI.

Artigo 11.º

Ata da reunião

1 - De cada reunião será lavrada ata, que conterá um resumo de tudo o que nela tiver ocorrido, indicando, designadamente, a data e o local da reunião, os membros presentes, as justificações de ausência recebidas, os assuntos apreciados, os documentos sujeitos a deliberação, as deliberações tomadas, a forma e o resultado das respetivas votações.

2 - As atas são lavradas pelo secretário que as dará a conhecer a todos os participantes, sendo submetidas à conferência e aprovação de todos os membros da CRSI, na reunião subsequente.

3 - As atas e todos os arquivos serão armazenados em formato digital após aprovação, devendo este repositório ser acedido apenas pelo Presidente e secretário, ou mediante decisão do Presidente da CRSI que o autorize, quando seja solicitado o acesso por terceiro, devendo este ser informado pelo responsável pelo acesso à informação sobre a legitimidade do acesso.

Artigo 12.º

Sigilo e Confidencialidade

Os membros do CRSI do INEM, I. P., assim como todos os profissionais que com esta colaborem, estão sujeitos ao dever de sigilo, de confidencialidade e de proteção dos dados pessoais, relativamente aos assuntos submetidos à sua apreciação ou dos que tomem conhecimento no exercício das suas funções, mesmo após o seu termo.

CAPÍTULO IV

Disposições finais

Artigo 13.º

Omissões

Em tudo o que o presente regulamento for omisso, vigoram os princípios e regras gerais de Direito, e, sempre que aplicável, com as necessárias adaptações, o disposto no Código do Procedimento Administrativo.

Artigo 14.º

Publicação

O presente regulamento interno de funcionamento do CRSI, depois de homologado pelo Conselho Diretivo, é publicado no Diário da República e divulgado na área da respetiva comissão no site do INEM.

Artigo 15.º

Entrada em vigor

O presente regulamento entra imediatamente em vigor no dia seguinte ao da sua publicação.

17 de agosto de 2022. - O Vogal do Conselho Diretivo, Pedro Henrique Pires Lavinha.

315621096