1. Declaração de política
O objectivo desta política é fornecer um quadro de segurança que garanta a protecção da Informação Universitária contra acesso não autorizado, perda ou dano, ao mesmo tempo que apoia as necessidades abertas e de partilha de informação da nossa cultura académica. A Informação Universitária pode ser verbal, digital e/ou impressa, controlada individualmente ou partilhada, isolada ou em rede, utilizada para administração, investigação, ensino, ou outros fins. As normas e procedimentos relacionados com esta Política de Segurança da Informação serão desenvolvidos e publicados separadamente.
O incumprimento desta política pode sujeitá-lo a acção disciplinar e a potenciais sanções descritas na Secção 1.1.7 de Direitos, Regras, Responsabilidades.
2 Quem é afectado por esta política
A Política de Segurança da Informação aplica-se a todo o corpo docente e pessoal da Universidade, bem como aos estudantes que agem em nome da Universidade de Princeton através do serviço a organismos universitários tais como task forces, conselhos e comités (por exemplo, o Comité de Disciplina Docente-Estudante). Esta política também se aplica a todos os outros indivíduos e entidades a quem é concedida a utilização de Informação Universitária, incluindo, mas não se limitando a contratantes, funcionários temporários, e voluntários.
3. Definições
Autorização – a função de estabelecer os níveis de privilégio de um indivíduo para aceder e/ou manusear informação.
Disponibilidade – assegurando que a informação está pronta e é adequada para utilização.
Confidencialidade – assegurar que a informação é mantida em estrita privacidade.
Integridade – assegurar a exactidão, integridade e consistência da informação.
Acesso não autorizado – procurar, rever, copiar, modificar, apagar, analisar, ou manusear informação sem a devida autorização e necessidade comercial legítima.
Informação universitária – informação que a Princeton University recolhe, possui, ou a que tem acesso, independentemente da sua fonte. Isto inclui informações contidas em documentos em papel ou outros meios de comunicação, comunicadas através de voz ou redes de dados, ou trocadas em conversação.
4. Política
Princeton University assegura adequadamente a sua informação de acesso não autorizado, perda ou dano, ao mesmo tempo que apoia as necessidades abertas e de partilha de informação da nossa cultura académica.
A. Níveis de Classificação
Toda a Informação Universitária é classificada em um de quatro níveis com base na sua sensibilidade e nos riscos associados à divulgação. O nível de classificação determina as protecções de segurança que devem ser utilizadas para a informação.
Quando se combina a informação, o nível de classificação da informação resultante deve ser reavaliado independentemente da classificação da informação de origem para gerir os riscos.
Requisitos adicionais para a protecção da informação em cada nível de classificação são identificados nas Normas e Procedimentos de Protecção da Informação de Princeton.
Os níveis de classificação são:
1. Restricted
A seguinte Informação Universitária é classificada como Restricted:
- Número de segurança social
- Número de conta bancária
- Número de licença do condutor
- Número do cartão de identidade do Estado
- Número do cartão de crédito
- Informação de saúde protegida (tal como definida pela HIPAA)
p>As leis estaduais e federais exigem que o acesso não autorizado a certas informações restritas seja comunicado à agência ou agências apropriadas. Toda a comunicação desta natureza a entidades externas deve ser feita por ou em consulta com o Gabinete do Conselho Geral (ver: Gabinete do Conselho Geral/Privacy/Information Technology).
Partilha de informação restrita dentro da Universidade pode ser permitida, se necessário, para satisfazer as necessidades comerciais legítimas da Universidade. Salvo disposição legal em contrário (ou para efeitos de partilha entre entidades de aplicação da lei), nenhuma informação restrita pode ser divulgada a partes fora da Universidade, incluindo contratantes, sem o prévio acordo escrito do destinatário proposto (i) para tomar as medidas adequadas para salvaguardar a confidencialidade da informação restrita; (ii) não divulgar as informações restritas a qualquer outra parte para qualquer fim sem o consentimento prévio por escrito da Universidade ou sem uma ordem ou intimação judicial válida; e (iii) notificar previamente a Universidade de qualquer divulgação nos termos de uma ordem ou intimação judicial, a menos que a ordem ou intimação proíba explicitamente tal notificação. Além disso, o destinatário proposto deve cumprir os requisitos desta política. Qualquer partilha de informação restrita dentro da Universidade deve cumprir as políticas da Universidade, incluindo Direitos, Regras e Responsabilidades e Política de Utilização Aceitável para a Tecnologia da Informação da Universidade de Princeton e Recursos Digitais.
2. Confidencial
A Informação da Universidade é classificada como Confidencial se estiver fora da classificação Restrita, mas não se destina a ser partilhada livremente dentro ou fora da Universidade devido à sua natureza sensível e/ou obrigações contratuais ou legais. Exemplos de Informação Confidencial incluem toda a informação não restrita contida em ficheiros de pessoal, registos de investigação de conduta indevida e de aplicação da lei, dados financeiros internos, registos de doadores e registos de educação (tal como definido pela FERPA).
Partilha de informação confidencial pode ser permitida se necessário para satisfazer as necessidades comerciais legítimas da Universidade. A menos que a divulgação seja exigida por lei (ou para efeitos de partilha entre entidades de aplicação da lei), ao divulgar informações confidenciais a partes fora da Universidade, o receptor proposto deve concordar (i) em tomar medidas apropriadas para salvaguardar a confidencialidade da informação: (ii) em não divulgar a informação a qualquer outra parte para qualquer fim sem o consentimento prévio por escrito da Universidade ou uma ordem ou intimação judicial válida; e (iii) em notificar previamente a Universidade de qualquer divulgação nos termos de uma ordem ou intimação judicial, a menos que a ordem ou intimação proíba explicitamente tal notificação. Além disso, o destinatário proposto deve cumprir os requisitos desta política. Qualquer partilha de informação confidencial dentro da Universidade deve cumprir as políticas da Universidade, incluindo Direitos, Regras e Responsabilidades e Política de Utilização Aceitável para a Tecnologia de Informação da Universidade de Princeton e Recursos Digitais.
3. Unrestricted Within Princeton (UWP)
University Information is classified as Unrestricted Within Princeton (UWP) if it falls outside the Restricted and Confidential classification, but is not intended to be freely shared outside the University. Um exemplo é a Faculdade Facebook.
A presunção é que a informação UWP permanecerá dentro da Universidade de Princeton. Contudo, esta informação pode ser partilhada fora de Princeton, se necessário para satisfazer as necessidades comerciais legítimas da Universidade, e o destinatário proposto concorda em não voltar a divulgar a informação sem o consentimento da Universidade.
4. Publicly Available
A Informação da Universidade é classificada como Publicly Available se se destinar a ser disponibilizada a qualquer pessoa dentro e fora da Universidade de Princeton.
B. Protecção, Tratamento, e Classificação da Informação
- B. Com base na sua classificação, a Informação Universitária deve ser adequadamente protegida contra acesso não autorizado, perda e danos. Os requisitos específicos de segurança para cada classificação podem ser encontrados nas Normas e Procedimentos de Protecção da Informação de Princeton.
- O tratamento da Informação Universitária de qualquer outra fonte que não a Universidade de Princeton pode exigir o cumprimento tanto desta política como dos requisitos do indivíduo ou entidade que criou, forneceu ou controla a informação. Se tiver preocupações quanto à sua capacidade de cumprir, consulte o executivo sénior relevante e o Gabinete do Conselho Geral.
- Quando considerado apropriado, o nível de classificação pode ser aumentado ou requisitos de segurança adicionais impostos para além do exigido pela Política de Segurança da Informação e pelas Normas e Procedimentos de Protecção da Informação de Princeton.
- Se receber informação não classificada controlada (CUI) ou a criar, contacte o Gabinete de Segurança da Informação (ISO) para se certificar de que são aplicados aos dados os controlos de segurança adequados. Se não tiver a certeza se é CUI, contacte o Gabinete de Administração de Projectos de Investigação ou a ISO.
5. Responsabilidades
Todos os professores, funcionários, estudantes (quando actuam em nome da Universidade através do serviço de organismos universitários), e outros a quem é concedida a utilização de Informação Universitária:
- Entender os níveis de classificação da informação definidos na Política de Segurança da Informação.
- Como apropriado, classificar a informação pela qual se é responsável em conformidade.
- Acesso à informação apenas quando necessário para satisfazer necessidades comerciais legítimas.
- Não divulgar, copiar, libertar, vender, emprestar, alterar ou destruir qualquer Informação Universitária sem um objectivo comercial válido e/ou autorização.
- Proteger a confidencialidade, integridade e disponibilidade da Informação Universitária de uma forma consistente com o nível e tipo de classificação da informação.
- Manusear a informação de acordo com as Normas e Procedimentos de Protecção da Informação de Princeton e qualquer outra norma ou política universitária aplicável.
- Guardar qualquer chave física, cartão de identificação, conta de computador, ou conta de rede que permita o acesso à Informação Universitária.
- Meios de descarte contendo informação da Universidade de Princeton de uma maneira consistente com o nível de classificação da informação, tipo, e qualquer requisito de retenção da Universidade aplicável. Isto inclui a informação contida em qualquer documento em papel (tal como um memorando ou relatório) ou em qualquer meio de armazenamento electrónico, magnético ou óptico (tal como um cartão de memória, CD, disco rígido, fita magnética, ou disco).
Contacte o Gabinete do Conselho Geral antes de divulgar informações geradas por esse Gabinete ou antes de responder a qualquer litígio ou intimações, ordens judiciais, e outros pedidos de informação de litigantes privados e agências governamentais.Contacte o Gabinete do Conselho Geral antes de responder a pedidos de informação de agências reguladoras, inspectores, examinadores, e/ou auditores.
6. Políticas, Procedimentos, Normas e Modelos de Princeton relacionados
Direitos, Regras, Responsabilidades
Política de Utilização Aceitável para a Tecnologia da Informação e Recursos Digitais da Universidade de Princeton
Política de Processamento de Cartões de Crédito para Locais de Comércio Universitário
Política de Controlos de Exportação
Segurança dos Dados de Pesquisa Directrizes
P>Política de Prevenção do Roubo de Identidade
Procedimento para Responder a uma Possível Exposição de Dados Universitários Sensíveis
P>Princeton Padrões e Procedimentos de Protecção de Informação
Tipo de Acordo de Informação de Confidencialidade
7. Revisão da Política
No mínimo, a Política de Segurança da Informação será revista de 12 em 12 meses.
8. Registo de actualização
Maio, 21, 2004 – Política emitida.
5 de Novembro, 2015 – Aprovado pelo ECC.
31 de Agosto, 2017 – Actualizado.
Janeiro 6, 2020 – Adicionada a língua CUI.
7 de Fevereiro, 2020 – Adicionada a secção B.4. sobre Informação Não Classificada Controlada.