POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E CIBERNÉTICA

IDENTIFICAÇÃO DO DOCUMENTO

1. OBJETIVO:

1.1. Estabelecer a governança e as diretrizes executivas para preservar confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade das informações e dos serviços da EXPAG, de forma proporcional ao porte, à complexidade, aos riscos e às atividades efetivamente desempenhadas.

2. ABRANGÊNCIA:

2.1. Aplica-se a administradores, colaboradores, terceiros, parceiros, clientes quando pertinente, processos, ativos, dados, sistemas, redes, nuvem, APIs, instalações e serviços contratados.

3. BASE NORMATIVA E REFERÊNCIAS:

3.1. Esta Política observa as seguintes normas e referências:

(i) Resolução BCB nº 85/2021, com as alterações posteriores, especialmente a Resolução BCB nº 538/2025, cujas adaptações passaram a ser exigíveis em 1º de março de 2026;

(ii) LGPD e Resolução CD/ANPD nº 15/2024;

(iii) Regulamento do Pix, manuais do SPI, requisitos do STR e da RSFN, conforme conexão e papel da EXPAG;

(iv) PCI DSS 4.0.1 no escopo aplicável;

(v) ISO/IEC 27001 e 27002 e NIST CSF como referências de boas práticas, sem alegação de certificação.

4. GOVERNANÇA E RESPONSABILIDADES:

4.1. A Diretoria deverá aprovar a Política, designar responsável, assegurar recursos compatíveis e receber relatório periódico.

4.2. A área de Segurança da Informação manterá metodologia, risco, padrões e monitoramento.

4.3. A área de Tecnologia executará controles e as áreas proprietárias tratarão riscos.

4.4. Compliance acompanhará aplicabilidade. Controles Internos e Auditoria atuarão conforme suas linhas e independência.

5. REQUISITOS MÍNIMOS DE SEGURANÇA CIBERNÉTICA:

5.1. A EXPAG deverá manter procedimentos e controles para autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento, proteção contra software malicioso, gestão de vulnerabilidades, rastreabilidade, controle de acesso, configuração segura, proteção de rede, certificados digitais, interfaces eletrônicas e inteligência de ameaças, conforme risco e aplicabilidade.

6. AMBIENTES PIX, SPI, STR E RSFN:

6.1. Quando participante, conectado ou responsável por componentes desses ambientes, a EXPAG deverá observar requisitos técnicos do BCB, do Catálogo de Serviços do SFN, do Manual de Redes do SFN e do Manual de Segurança do SFN.

6.2. Os ambientes críticos deverão possuir segregação, isolamento, acessos restritos, monitoramento, integridade de mensagens, continuidade e resposta a fraude.

6.3. Para mensagens assinadas digitalmente, deverão ser mantidos controles que validem a integridade fim a fim antes da assinatura e impeçam alteração indevida no processo de geração, nos ambientes e serviços abrangidos pela regulamentação e pelo escopo operacional da EXPAG.

7. CERTIFICADOS DIGITAIS E CHAVES PRIVADAS:

7.1. A gestão deverá abranger inventário, emissão, renovação, revogação, expiração, uso, assinaturas, trilhas e validação tempestiva de certificados revogados.

7.2. Chaves privadas deverão ter custódia protegida, acesso físico e lógico restrito, prevenção de compartilhamento indevido e segregação de responsabilidades.

7.3. Prestadores não deverão acessar chaves privadas utilizadas para assinatura de mensagens quando essa vedação for exigida pela regulamentação aplicável. Os controles de geração, custódia, rotação, revogação, recuperação e descarte constarão da Norma de Criptografia, Certificados e Chaves.

8. APIS E INTEGRAÇÕES ELETRÔNICAS:

8.1. APIs e integrações deverão possuir autenticação e autorização proporcionais, proteção de transporte, validação de entrada e saída, gestão de segredos, limitação de uso, trilhas, versionamento, testes de segurança e tratamento de falhas.

8.2. Requisitos detalhados permanecerão na Norma de Desenvolvimento Seguro e na Norma de Segurança de APIs.

9. RASTREABILIDADE PONTA A PONTA:

9.1. A EXPAG deverá manter trilhas do processamento fim a fim de transações e operações, com logs capazes de identificar falhas e comportamentos atípicos e subsidiar análises.

9.2. A retenção e a proteção serão definidas conforme o processamento, a matriz de temporalidade e os requisitos legais, regulatórios e contratuais.

10. INTELIGÊNCIA DE AMEAÇAS E FONTES EXTERNAS:

10.1. Deverá ser mantida capacidade de inteligência cibernética proporcional ao risco, incluindo monitoramento de fontes externas, internet e, quando pertinente e legalmente permitido, fontes especializadas, ambientes restritos e canais de confiança.

10.2. Informações relevantes deverão ser avaliadas, classificadas, registradas, atribuídas a responsáveis e convertidas em medidas de prevenção, detecção ou resposta.

11. CONFIGURAÇÃO SEGURA E DISPOSITIVOS NÃO AUTORIZADOS:

11.1. Ativos deverão observar ciclo de vida, correções, serviços necessários, alteração de padrões inseguros e perfis de configuração aprovados.

11.2. Varreduras e controles deverão identificar dispositivos indevidamente conectados ou não autorizados e gerar tratamento conforme criticidade. Detalhes permanecerão na Norma de Configuração Segura e na Norma de Redes.

12. VULNERABILIDADES E TESTES DE INTRUSÃO:

12.1. A EXPAG deverá manter testes, varreduras e análises periódicas conforme risco.

12.2. Testes de intrusão deverão ter periodicidade mínima anual, quando aplicáveis, e ser realizados com independência e imparcialidade por pessoa ou empresa especializada, sem impedir testes internos adicionais. Resultados, vulnerabilidades e planos de correção deverão ser documentados.

12.3. Os resultados dos testes e os planos de ação serão mantidos à disposição do Banco Central pelo prazo mínimo de cinco anos, contado da execução, conforme o art. 23 da Resolução BCB nº 85/2021 e alterações posteriores. A independência, o escopo, a metodologia, os achados e os retestes deverão ser formalmente registrados.

13. SEGREGAÇÃO, REDE E MFA:

13.1. Ambientes de produção e recursos críticos deverão ser segmentados e protegidos por regras de rede, monitoramento de conexões e restrição a dispositivos autorizados.

13.2. O MFA deverá ser aplicado aos acessos administrativos e privilegiados e aos acessos externos à rede corporativa, conforme os requisitos aplicáveis e a criticidade. Não se declara cobertura universal sem inventário e evidência.

14. CONTINUIDADE DOS SERVIÇOS CRÍTICOS:

14.1. Serviços críticos deverão possuir BIA, RTO, RPO, dependências, estratégia de recuperação, backup, comunicação e testes.

14.2. Os cenários deverão incluir incidente cibernético, ransomware, indisponibilidade de nuvem, telecomunicação, Pix, SPI, STR, RSFN e terceiro crítico, quando aplicáveis.

15. TERCEIROS, NUVEM E SUBCONTRATAÇÃO:

15.1. Contratações relevantes deverão passar por diligência, análise de risco, requisitos contratuais, segurança, localização, acesso do BCB quando exigido, continuidade, incidentes, auditoria proporcional, subcontratação e concentração.

15.2. A responsabilidade da EXPAG não será transferida ao prestador.

16. PORTABILIDADE, SAÍDA E DESTRUIÇÃO SEGURA:

16.1. Serviços relevantes de processamento, armazenamento e nuvem deverão possuir portabilidade, estratégia de saída, reversibilidade, recuperação, retorno ou transferência de dados e destruição segura ao término, com responsabilidades, critérios de acionamento, testes e evidências compatíveis.

17. DESENVOLVIMENTO E AQUISIÇÃO SEGURA:

17.1. A segurança deverá ser considerada desde a concepção, inclusive na adoção de novas tecnologias e em sistemas adquiridos ou desenvolvidos por terceiros.

17.2. Requisitos detalhados permanecerão na Norma de Desenvolvimento Seguro e nos procedimentos de mudança.

18. INCIDENTES, COMUNICAÇÃO E RECUPERAÇÃO:

18.1. Eventos serão identificados, classificados, contidos, investigados e recuperados conforme a EXPAG-015 — Política e Plano de Resposta a Incidentes.

18.2. As comunicações dependerão da natureza, gravidade, impacto e obrigação aplicável.

19. RELATÓRIO E PRESTAÇÃO DE CONTAS:

19.1. O relatório à Diretoria deverá consolidar incidentes relevantes, riscos, resultados de continuidade, testes de intrusão, varreduras, vulnerabilidades, planos de ação, terceiros relevantes, indicadores e exceções.

19.2. A periodicidade seguirá a regulamentação e a governança aprovada.

20. NORMAS E PROCEDIMENTOS COMPLEMENTARES:

21. REGISTROS E EVIDÊNCIAS:

21.1. Deverão ser mantidos inventários, riscos, padrões, configurações, acessos, logs, certificados, chaves, varreduras, testes, planos, incidentes, relatórios, contratos, diligências, testes de continuidade, exceções e aprovações.

22. EXCEÇÕES:

22.1. Exceções serão temporárias, fundamentadas, aprovadas e associadas a controle compensatório.

22.2. As exceções não poderão afastar obrigação legal, regulatória ou técnica aplicável.

23. REVISÃO E VIGÊNCIA:

23.1. Esta Política será revisada anualmente ou antes, diante de alteração normativa, tecnológica, de risco ou de serviço relevante, e entra em vigor na data de assinatura do Termo de Aprovação pela Diretoria da EXPAG.

24. DOCUMENTOS RELACIONADOS:

24.1. EXPAG-007 — Política do Sistema de Controles Internos; EXPAG-010 — Política de Continuidade de Negócios; EXPAG-013 — Política de Gestão de Acessos; EXPAG-014 — Política de Gestão de Vulnerabilidades e Varreduras; EXPAG-015 — Política e Plano de Resposta a Incidentes; EXPAG-016 — Política de Proteção de Dados Pessoais — LGPD.

25. INTEGRAÇÃO COM O CONJUNTO NORMATIVO INTERNO:

25.1. Esta Política deve ser interpretada em conjunto com: Acessos; Vulnerabilidades; Incidentes; Continuidade; Privacidade; Fraudes; Risco Operacional. Em caso de sobreposição, prevalecerá a exigência legal, regulatória, contratual ou interna mais específica e protetiva, com validação de Compliance e Jurídico quando houver dúvida.

25.2. Manuais, matrizes, procedimentos, parâmetros, planos e registros operacionais complementam esta Política e deverão ser aprovados na alçada competente, versionados e mantidos coerentes entre si. A descrição de um controle neste documento não substitui sua implementação nem a manutenção de evidência auditável.

25.3. Controle documental. Este documento é de propriedade da EXPAG. Cópias e compartilhamentos devem observar a classificação, a finalidade legítima e os controles internos aplicáveis.

26. TERMO DE APROVAÇÃO:

26.1. A Diretoria da EXPAG aprova a presente Política, que entra em vigor na data de sua assinatura.

GUILHERME HENRIQUE FERREIRA MARZOLA — Diretor Geral

RICARDO SILVA FERNANDES — Diretor Jurídico e Compliance