Segurança da informação em EFPC: governança que protege patrimônio e reputação

Nas EFPC, segurança da informação (SI) não é um tema “da TI”: é um pilar da governança. Quando dados sensíveis costuram cálculo atuarial, gestão de investimentos, concessão de benefícios e relacionamento com participantes, qualquer falha deixa de ser incidente técnico para se transformar em risco estratégico — de continuidade, conformidade e confiança. O próprio Manual de Governança em Segurança da Informação da Abrapp é explícito: a SI “deixa de ser apenas uma preocupação das áreas de TI e passa a ser uma preocupação corporativa”, iniciando um processo contínuo a ser avaliado e aperfeiçoado ao longo do tempo.

Mandato fiduciário, regulação e a mensagem para a alta administração

A base regulatória não deixa dúvidas. A Resolução CGPC nº 13/2004 exige que sistemas de informação confiáveis abarquem todas as atividades das EFPC, com procedimentos de contingência e segregação de funções que assegurem integridade e segurança — inclusive dos dados armazenados. Em linguagem de Conselho: confiabilidade não é adjetivo; é um requisito objetivo de desenho organizacional e de controle.
O Manual, na sequência, orienta que as EFPC estabeleçam diretrizes claras, definam unidade responsável pela coordenação do tema e normas internas que explicitem a atuação dos agentes ao longo de todo o processo informacional (processamento, transmissão, armazenamento e destruição), independentemente do suporte (físico ou digital).

Essa moldura coloca a SI no tabuleiro estratégico: ao mesmo tempo em que a velocidade de circulação de dados habilita eficiência, amplifica exposição a perdas, uso indevido e alterações não autorizadas — exatamente o que o Manual alerta ao introduzir o tema.

O que o Conselho e a Diretoria precisam enxergar (antes de pedir “mais controles”)

Em governança, evidência sólida vale mais do que pilhas de anexos. Cinco sinais mudam a conversa em reuniões de Conselho e Comitês:

1. Política e programa vivos: aprovados, revisados periodicamente e com papéis, responsabilidades e consequências claras. O Manual delimita essa formalização como passo obrigatório — não cosmético.
2. Classificação da informação aplicada: não basta “ter” classificação; ela precisa aparecer em cada documento e tela, com rotulagem consistente (ex.: canto superior/direito nas páginas físicas e no topo das telas em meio eletrônico), garantindo que quem acessa sabe o grau de sigilo.
3. Gestão de incidentes com aprendizado: incidentes não terminam no fechamento do ticket; terminam quando a causa-raiz é removida e a recorrência cai — lógica coerente com os capítulos de verificação e melhoria contínua do Manual.
4. Plano de Continuidade de Negócios (PCN) testado: não é um anexo “para auditor ver”; é um conjunto de estratégias e procedimentos que mantêm integridade e disponibilidade dos dados e serviços quando uma interrupção ocorre. O Manual descreve o que o PCN deve conter (prioridades, pessoas responsáveis, instalação de contingência, dependências externas, contratos) e como garantir eficácia (conscientização, testes periódicos e manutenção contínua).
5. Terceiros críticos sob controle: contratos com SLAs/KPIs, direitos de auditoria, logs e evidências testáveis. Em 2025, grande parte do risco é interdependente — vive na cadeia de prestadores, e a governança precisa refletir isso (mais adiante, voltamos a esse ponto).

Cultura e fator humano: o elo que rompe primeiro

O Manual reconhece que incidentes frequentemente têm origem interna (pessoas e processos) e que falta de plano de resposta agrava impactos. Em termos práticos, programas de conscientização contínuos, reciclagem de credenciais, simulações e disciplina de acesso são controles de primeira linha — simples de explicar e fáceis de cobrar no board pack.

A mensagem para a alta administração é direta: sem cultura, controles viram ritual. Segurança “de papel” não impede vazamento por compartilhamento de senha, engenharia social, descarte inadequado de mídias ou envio indevido de anexos. O Manual, ao tratar de formalização, classificação e tratamento da informação, entrega a arquitetura — mas a aderência é humana.

Terceiros, nuvem e reputação interdependente

Cada vez mais, dados e decisões trafegam por gestores, administradores, custodiantes, consultorias e provedores de TI/nuvem. O Manual dedica capítulos ao tema: informação na nuvem e seus principais riscos, com orientações para redução de exposição (governança do provedor, gestão de identidades e chaves, clareza sobre posse e localização dos dados, níveis de serviço e monitoramento). Em português claro: transparência contratual e técnica que evite surpresas.

O Conselho precisa enxergar coerência entre o que o terceiro promete e o que é testável em evidência: painéis “verdes” de SLA sem lastro operacional são um alerta. Auditoria interna e risco têm papel de traduzir esse mosaico para uma narrativa executiva: “o que está vulnerável, qual a probabilidade/impacto, qual o custo de oportunidade de agir agora”.

GED, rastreabilidade e continuidade: eficiência que também é controle

Gerenciamento Eletrônico de Documentos (GED) não é só produtividade; é controle. Ao acelerar localização, versionamento e trilhas de auditoria, o GED ajuda a reforçar integridade e autenticidade de documentos críticos e apoia o PCN quando a organização precisa recuperar operação sob estresse. O Manual trata GED e continuidade como pilares de resiliência, conectando eficiência com governança.

Medir o que importa: sinais de efetividade (não só conformidade)

A pergunta que interessa ao Conselho não é “quantas páginas tem o relatório?”, mas o que mudou no risco desde a última reunião. Três medidas simples, alinhadas ao espírito do Manual, ajudam:

• Implantação no prazo de recomendações “altas/médias”, indicando capacidade de resposta (ligação direta com os capítulos de verificação e melhoria);
• Recorrência de incidentes e achados (12 meses), que mostra se o problema foi corrigido na causa (e não maquiado);
• Maturidade por processo (escala 1–5) e tendência trimestral, traduzindo evolução de controles para linguagem de decisão.

Complementarmente, o PCN merece quadro próprio no pack: último teste realizado, pessoas treinadas, tempo de recuperação atingido versus alvo, dependências externas e gargalos (tecnologia, orçamento, processos). Esses elementos estão em linha com a estrutura de PCN definida pelo Manual, que inclui condições de ativação, procedimentos pós-incidente, instalação reserva, prioridades, responsáveis e contratos.

Transparência que protege (antes, não depois)

Há um capítulo inteiro sobre “Transparência versus Segurança” no Manual — justamente para rebater a falsa dicotomia entre informar e se expor. A boa governança informa com propósito, na dose e no tempo certos, para manter a confiança de participantes e reduzir risco reputacional. O ponto não é “esconder”; é proteger o que é privado, restrito ou confidencial enquanto se dá visibilidade ao que permite avaliação responsável da gestão.

Por onde começar sem perder o foco (e sem “manualização”)

Sem transformar o artigo em tutorial, vale ancorar prioridades que cabem em qualquer porte de EFPC:

• Slot no board pack: um painel executivo de SI/continuidade, com três métricas e um parágrafo de leitura (risco residual, recorrência, PCN). Alinha expectativas e aumenta accountability.
• Classificação visível: rotulagem consistente em documentos e telas; parece detalhe, mas muda comportamento e facilita auditoria.
• Teste que ensina: exercícios de PCN com gente, tempo e relógio; cada simulado vira material de aprendizado organizacional (e de reporte).
• Terceiros na agenda: revisar direitos de auditoria, evidências mínimas e coerência entre SLA “verde” e realidade; encarar a interdependência reputacional como risco central, não lateral.
• Cultura viva: campanhas contínuas, reciclagens objetivas, simulações de phishing, higiene de credenciais e descarte seguro de mídias. Sem cultura, políticas viram ritual.

Conclusão

Segurança da informação em EFPC é governança aplicada: provocar, medir e melhorar. Quando o Conselho enxerga classificação viva, PCN testado, terceiros sob evidência e tendência de risco caminhando na direção certa, a SI deixa de ser custo e vira lastro de decisão. Esse é o movimento que protege o patrimônio do participante e a reputação da entidade — e que alinha a linguagem técnica à linguagem de governança.

Para aprofundar critérios, referências e quadros de verificação que sustentam essa leitura — da política aos testes, da classificação ao PCN, do GED à nuvem e à comunicação — vale ter à mesa o Manual de Governança em Segurança da Informação para EFPC. Ele é o ponto de partida para um ciclo que não termina, e que precisa aparecer, trimestre a trimestre, no pacote executivo da casa.