Verificação de antecedentes criminais do pessoal no KSC: como definir o âmbito e criar um processo conforme

A verificação de antecedentes criminais do pessoal no âmbito do KSC não é um controlo generalizado de recursos humanos nem uma formalidade prévia à auditoria. O seu âmbito deve resultar de um fundamento concreto, do estatuto da organização e das funções e autorizações efetivamente atribuídas a cada pessoa. Um processo iniciado pela recolha de certificados, em vez de começar pela qualificação das funções, pode simultaneamente excluir pessoas abrangidas pelo requisito e conduzir ao tratamento sem fundamento de dados relativos a condenações. Por isso, é necessário determinar primeiro quem pode ser verificado e com que fundamento, separar depois as responsabilidades pela obtenção da informação, avaliação do resultado e decisão de acesso e, por fim, limitar os registos aos dados necessários para demonstrar a conformidade.

Começar pelo âmbito, não pelo certificado

A decisão de verificar antecedentes criminais não deve começar por um pedido de documentos ao pessoal. Em primeiro lugar, a gestão deve confirmar o estatuto da organização no sistema KSC e identificar a disposição concreta que estabelece a obrigação relativamente a determinadas pessoas. Uma referência genérica à NIS2, a preparação para uma auditoria ou a implementação de um sistema de gestão da segurança da informação não justificam a verificação de todos os trabalhadores, colaboradores e fornecedores.

Os limites do processo devem ser definidos separadamente para cada fonte de requisitos. A Diretiva NIS2, a lei polaca relativa ao KSC na sua redação em vigor, os respetivos atos de execução, a regulamentação setorial, as condições contratuais e as regras internas de concessão de acessos não constituem fontes equivalentes. Para cada uma delas, importa determinar o âmbito organizacional, pessoal e temporal: a quem se aplica o requisito, por que motivo, a partir de quando, se existem exceções e em que momento deve ser realizada uma nova avaliação. Elaborar o procedimento antes de concluir esta análise pode levar tanto à omissão de pessoas abrangidas pela obrigação como ao tratamento sem fundamento de dados relativos a condenações.

O resultado desta qualificação deve ser formalizado numa nota concisa, aprovada pelo responsável pela conformidade. O documento deve identificar o estatuto da entidade, o fundamento jurídico, a data e o enquadramento legal considerados na análise, as funções abrangidas e as exceções devidamente justificadas. A categoria «pessoal de TI» é demasiado genérica. É necessário decidir se o requisito abrange administradores com privilégios elevados, equipas de resposta a incidentes, pessoal de fornecedores e substitutos que desempenhem essas funções ocasionalmente. Deve ainda ser designado o responsável pela análise jurídica e fixada a data da sua revisão, especialmente após alterações legislativas, mudanças no âmbito de atividade ou modificações no modelo de acessos.

A definição dos limites da verificação deve integrar o projeto «SGSI conforme com a lei relativa ao KSC: como definir o âmbito, os responsáveis e o calendário de implementação». O âmbito do sistema, as responsabilidades de processo e as funções privilegiadas devem resultar do mesmo mapa organizacional. Só então será possível determinar, de forma responsável, se a obrigação se aplica à organização à luz do enquadramento legal em vigor, qual a disposição que permite obter informação sobre antecedentes criminais e relativamente a que categorias de pessoal esse tratamento é admissível.

Quem deve ser abrangido pela verificação

O âmbito pessoal não é determinado pela designação do posto nem pela modalidade contratual. O critério é o conteúdo do requisito aplicável, confrontado com as tarefas, autorizações e influência efetiva da pessoa na segurança do serviço. A qualificação deve considerar o acesso lógico e físico, a capacidade de alterar configurações, a participação na resposta a incidentes, o impacto na continuidade das operações e as autorizações temporárias ou de emergência. As funções sem relação com o serviço, sistema, instalação ou âmbito protegido indicado na disposição aplicável não devem ser incluídas preventivamente no controlo.

A principal ferramenta de decisão é uma matriz de funções mantida em conjunto pelo responsável do processo, pelo responsável pela segurança da informação e pelos recursos humanos, com a participação do responsável pela conformidade. A matriz deve estar ligada à gestão de identidades e acessos e à segregação de funções. Uma simples lista de trabalhadores não é suficiente. Também são necessários registos das contas privilegiadas, dos acessos administrativos, físicos e de emergência e das pessoas externas com acesso efetivo aos sistemas ou processos abrangidos.

Um administrador técnico de um fornecedor pode dispor de autorizações mais amplas do que um gestor interno, apesar de não ser trabalhador da organização. Uma qualificação baseada apenas no tipo de contrato poderia, por conseguinte, excluir uma pessoa com influência relevante na segurança. Isto não significa, porém, que um administrador externo fique automaticamente sujeito ao mesmo procedimento aplicável a um trabalhador. O âmbito dos dados, o método de confirmação do cumprimento do requisito e a responsabilidade pela avaliação devem resultar de um fundamento jurídico admissível ou de um contrato adequadamente estruturado. Os acessos temporários e de emergência devem ser avaliados em função das operações potencialmente permitidas, e não da frequência prevista da sua utilização.

A matriz deve abranger trabalhadores, membros de órgãos sociais, pessoas que colaboram ao abrigo de outros vínculos, administradores externos e pessoal de fornecedores e subcontratantes, mas apenas dentro dos limites do requisito aplicável. Deve ser revista após alterações à arquitetura de autorizações, ao âmbito do serviço, ao fornecedor ou à legislação. O número de funções privilegiadas e de pessoas externas com acesso efetivo determina a escala do processo e constitui uma entrada para o planeamento de recursos descrito no artigo «Quanto custa implementar a NIS2 e a uKSC: como preparar o orçamento para auditoria, documentação, formação e controlos sem erros dispendiosos».

Onde surgem os custos e os riscos

O maior risco não decorre da obtenção técnica da informação sobre antecedentes criminais, mas do início da verificação sem um fundamento inequívoco, uma finalidade definida e um âmbito limitado. Os dados relativos a condenações penais e infrações estão sujeitos a um regime específico de tratamento. O consentimento comum da pessoa ou uma disposição genérica da política de recursos humanos não devem ser considerados uma justificação automática para a sua recolha. Antes de escolher a forma de verificação, é necessário determinar quais as informações efetivamente exigidas pela disposição aplicável, quem está abrangido e quem é responsável pela avaliação do resultado.

Os custos aumentam quando a organização exige documentos completos de todo o pessoal, conserva cópias sem um prazo de retenção definido, as envia por correio eletrónico comum ou as disponibiliza aos recursos humanos, às chefias, à função de segurança e aos auditores sem segregação de acessos. Cada cópia adicional aumenta o esforço necessário para proteger os dados, controlar o acesso, responder a pedidos e assegurar a eliminação segura. A gestão deve, por isso, medir não apenas o número de verificações realizadas, mas também o número de pessoas com acesso aos documentos e os períodos efetivos de conservação.

Outra fonte de risco é a ausência de critérios para avaliar o resultado. A informação revelada durante a verificação não pode conduzir a uma decisão improvisada da chefia nem a uma avaliação desligada do requisito aplicável à função em causa. Os recursos humanos podem obter corretamente o documento, mas o processo continuará a ser inadequado se não estiver definido quem avalia o seu significado, com que fundamento decide sobre a autorização de acesso e se a conservação de uma cópia é necessária. O procedimento deve definir o circuito de escalonamento e um plano de reação no plano de controlo: como definir as ações quando o processo ultrapassa os limites.

A evidência de realização da verificação deve ser separada da conservação do conteúdo do documento. Consoante o fundamento aplicável e a obrigação de produzir evidência, poderá ser suficiente registar a data da verificação, o âmbito analisado, a pessoa autorizada a efetuar a avaliação, o resultado da qualificação e a decisão de acesso, sem conservar o conteúdo integral do certificado. Quando for necessário manter uma cópia, devem ser definidos os destinatários, as medidas de proteção e a data de eliminação. Este tipo de registo concilia a minimização de dados com a necessidade de demonstrar conformidade, em vez de substituir a análise jurídica pela acumulação de documentos «por precaução».

Processo desde a qualificação até à autorização de acesso

O processo deve começar antes da obtenção de informação sobre antecedentes criminais. Primeiro, o responsável do processo qualifica a função, identifica o fundamento jurídico em vigor e define o âmbito necessário da verificação. Em seguida, a organização informa a pessoa sobre a finalidade, o procedimento e as regras de tratamento dos dados, seleciona uma fonte de informação admissível e verifica a identidade. As etapas de controlo seguintes abrangem a avaliação do resultado, a decisão de autorização, a atribuição de permissões e a criação do respetivo registo.

Para cada atividade devem ser definidos o responsável, os dados de entrada necessários, o prazo e o modo de atuação em caso de falta do documento, incumprimento do prazo ou resultado que exija esclarecimentos. A verificação formal não equivale a uma decisão operacional. Os recursos humanos podem informar o trabalhador, receber o documento e confirmar a completude dos dados, mas não devem decidir autonomamente sobre o acesso a sistemas ou infraestruturas.

A decisão final deve competir a uma função operacional designada, normalmente o responsável pelo sistema ou pela área operacional, com a participação da função de segurança. Se o resultado for ambíguo ou existirem dúvidas sobre o âmbito admissível do tratamento, o caso deve ser encaminhado para a função jurídica ou de proteção de dados. Esta segregação de responsabilidades evita tanto a concessão automática de acesso após apresentação do documento como a interpretação discricionária pela chefia.

Os critérios de decisão devem ser aprovados antes de surgir o primeiro caso problemático. O procedimento deve definir quem avalia uma situação ambígua, que informações podem ser consideradas, se é admissível limitar o âmbito do acesso e como registar a justificação sem divulgar o conteúdo a um grupo mais vasto de destinatários. Uma pessoa recém-admitida pode, por exemplo, concluir as formações e as formalidades organizacionais, mas não deve receber uma conta privilegiada nem acesso ao ambiente protegido antes da decisão. O acesso temporário, caso seja admissível, requer uma aprovação separada, âmbito limitado, data de caducidade e supervisão. Não pode ser utilizado para contornar o controlo.

Um resultado negativo exige um plano de reação previamente definido: suspensão das autorizações, escalonamento para os decisores indicados, designação de substituto, avaliação do impacto na continuidade das operações e encerramento controlado do caso. A lógica deve ser idêntica à de um plano de reação: um evento definido desencadeia uma resposta, uma responsabilidade e um registo previamente atribuídos. Durante a admissão e a mudança de função, pode ser útil consultar o artigo Como preparar o processo de integração de um novo engenheiro da qualidade ou responsável ISO, especialmente no que respeita às etapas de decisão e à confirmação de responsabilidades.

O registo de controlo deve permitir reconstituir a qualificação da função, o fundamento e o âmbito da verificação, a data de confirmação da identidade, a fonte da informação, a pessoa responsável pela avaliação, a decisão, a data de concessão das autorizações e qualquer escalonamento efetuado. Devem também ser definidos os eventos que desencadeiam uma nova avaliação, em particular a mudança de função ou do âmbito de acesso, bem como o procedimento de revogação de autorizações na saída do trabalhador. A eficácia do processo é demonstrada sobretudo pelo tempo decorrido entre a qualificação e a decisão, pelo número de acessos concedidos antes da conclusão da verificação exigida e pelo número de escalonamentos causados pela falta de documentos ou por resultados ambíguos.

Documentação e nova verificação

A documentação do processo deve permitir reconstituir os fundamentos e os efeitos da decisão, e não criar um arquivo de informações sobre antecedentes criminais. O registo deve explicar por que razão determinada função foi sujeita à verificação, quando esta ocorreu, quem decidiu e qual foi o efeito operacional: concessão, limitação ou recusa de acesso. Isto não implica automaticamente a conservação de uma cópia do documento original. A decisão de manter a cópia deve ser separada da conservação dos metadados e fundamentada no enquadramento jurídico em vigor, na finalidade do tratamento e no princípio da limitação da conservação.

Um conjunto coerente de registos deve incluir:

• a matriz de funções com a justificação do âmbito;
• o registo das verificações realizadas;
• as autorizações de tratamento e as regras de acesso;
• os períodos de conservação aprovados;
• o protocolo de escalonamento;
• as evidências de cumprimento das obrigações pelos fornecedores.

Estes elementos exigem um responsável comum, controlo de versões e ligação à gestão documental do SGSI. A sua dispersão entre os recursos humanos, a segurança e as compras dificulta a demonstração da completude do processo. O repositório deve conter modelos, decisões de sistema e o histórico das alterações às regras, enquanto os dados individuais devem ser disponibilizados apenas a pessoas autorizadas. Como referência organizacional, pode consultar-se Como criar um repositório interno de conhecimento da qualidade sem perder a experiência da equipa.

O registo pode conter as datas de qualificação da função, verificação e decisão, a identificação do fundamento aplicado, a data de concessão do acesso e a data prevista para revisão. Quando for suficiente confirmar a execução do controlo e o seu resultado operacional, não deve ser conservada uma cópia do certificado «por precaução». O mecanismo de eliminação deve abranger igualmente anexos de mensagens, pastas de trabalho e recursos dos fornecedores. A eficácia do controlo pode ser avaliada pela percentagem de funções com uma justificação atualizada para inclusão no processo e pelo número de registos conservados além do prazo aprovado.

Os prazos para nova verificação não devem ser definidos segundo um calendário arbitrário. A periodicidade pode resultar da disposição em vigor, da natureza da função, das condições contratuais ou de uma avaliação de risco documentada. Independentemente da revisão periódica, o procedimento deve identificar os eventos que desencadeiam uma nova avaliação, em particular a mudança de posto, a ampliação das autorizações, o regresso à função após uma interrupção ou uma alteração relevante dos requisitos legais ou contratuais. A atualização da informação não implica necessariamente a obtenção periódica do documento integral. O processo deve prever um método lícito e proporcional para confirmar a situação, sempre em conformidade com o fundamento jurídico em vigor e com o âmbito dos dados que a organização está autorizada a tratar.

Teste de preparação antes da auditoria

A avaliação da preparação não deve começar por confirmar a existência de um procedimento, mas pela reconstituição de casos reais. A amostra deve incluir, pelo menos, um trabalhador numa função sujeita a verificação, uma pessoa após mudança de função, um administrador externo e um caso de acesso de emergência. Em cada caso, o auditor deve seguir todo o percurso, desde o fundamento jurídico atualizado e a qualificação da função, passando pela obtenção da informação e pela decisão de autorização, até às permissões efetivamente ativas.

O teste mínimo inclui a comparação da lista de funções com o registo de acessos, a verificação da completude das decisões, da execução atempada dos controlos, da restrição de acesso aos registos e da adequação da sua conservação. Deve também ser simulada a falta de documento, um resultado ambíguo ou um atraso na verificação. A organização deve demonstrar que consegue suspender o acesso, iniciar o escalonamento e identificar a pessoa autorizada a decidir. A frequência da auditoria interna ao SGSI e o limiar de escalonamento devem ser adequados ao risco e aos requisitos decorrentes do fundamento em vigor, e não apenas ao calendário de auditorias.

As não conformidades sistémicas mais frequentes surgem nas interfaces entre processos. Entre elas encontram-se a falta de um fundamento demonstrado, a divergência entre a lista de postos e as autorizações reais, a omissão de subcontratantes, a concessão de acesso antes da conclusão do controlo, a inexistência de um prazo de conservação ou a falta de um circuito de escalonamento documentado. Um registo correto nos recursos humanos não é suficiente se um administrador externo mantiver uma conta ativa após a alteração do âmbito contratual ou alargar as suas permissões sem nova qualificação.

A gestão deve receber informação agregada, e não o conteúdo dos dados relativos a condenações. São úteis indicadores como a percentagem de acessos ativos sujeitos a controlo para os quais existe uma decisão atualizada, o número de acessos concedidos antes da conclusão da verificação, o cumprimento dos prazos de revisão e o número de não conformidades por causa sistémica. Os indicadores devem sustentar decisões sobre recursos, correções e escalonamento, de acordo com a abordagem descrita no artigo Como definir KPI de processo para a gestão sem reduzir o sistema da qualidade a tabelas.

Estar preparado para a auditoria significa conseguir demonstrar não apenas a existência do procedimento, mas também a proporcionalidade do seu âmbito, a coerência das decisões e a eficácia operacional. Os resultados do teste devem ser integrados na auditoria interna ao SGSI e na revisão pela gestão, com identificação do responsável pela ação, do prazo para eliminar a lacuna e do impacto nos acessos ativos.