Segurança Cibernética

Em linha com os anos anteriores, em 2025 não foram registradas ocorrências referentes a violação da privacidade e perda de clientes.

Em 2025, o processo de governança e gestão das credenciais de acesso ao ambiente de tecnologia, chamado de gestão de identidades, assumiu um papel ainda mais estratégico diante do crescimento acelerado das identidades não humanas, como agentes de automação, scripts e processos baseados em inteligência artificial. Nesse contexto, o comprometimento desses elementos pode impactar diretamente as operações, reforçando a necessidade de controles mais robustos.

Além disso, tornou-se essencial fortalecer a governança e ampliar a visibilidade sobre a cadeia de suprimentos por meio de um processo de avaliação contínua dos riscos cibernéticos dos fornecedores, especialmente quanto aos riscos cibernéticos associados. Da mesma forma, o mercado entende que há espaço para evolução nas capacidades de resposta a incidentes, aumentando a resiliência operacional e reduzindo o tempo de indisponibilidade dos serviços. Na Klabin, reforçamos que as empresas precisam incluir os fornecedores em seus processos de resposta a incidentes, justamente para reduzir o tempo de indisponibilidade em caso de incidentes cibernéticos. Para que isso funcione corretamente, é necessário contar com um processo robusto de gestão da cadeia de suprimentos, além de um inventário tecnológico completo e suas interdependências.

A gestão da segurança cibernética na Klabin é liderada por um diretor de segurança cibernética (CISO), que se reporta ao Comitê de Tecnologia da Informação, que, por sua vez, se reporta à Diretoria e ao Conselho de Administração. Essa estrutura de governança foi projetada para apoiar iniciativas de controle na busca pela redução dos riscos de segurança cibernética e garantir a confidencialidade, integridade, disponibilidade e autenticidade das informações com uma visão integrada do ambiente administrativo e industrial. A atuação é orientada pela Política de Segurança Cibernética, versão resumida disponível em Política de Segurança Cibernética, aprovada pela alta administração, e alinhada a normas e legislações aplicáveis, como a ISO 27001:2022 (gestão de segurança da informação) e a IEC 62443 (segurança de sistemas industriais).

A segurança cibernética na Klabin ainda tem como missão garantir a confidencialidade, disponibilidade e integridade das suas informações, aplicando processos e soluções inovadoras com resultado real para o negócio e para o fortalecimento da confiança dos clientes, colaboradores, sociedade e acionistas. Esse compromisso é sustentado por uma gestão de riscos com foco na proteção das informações tanto no ambiente administrativo quanto no fabril.

Em linha com os direcionadores estratégicos da Companhia e com as melhores práticas de mercado, a Klabin desenvolveu um framework interno de segurança cibernética, estruturado para endereçar os principais desafios e apoiar a evolução da sua transformação digital.

Esse framework foi concebido com base em referências reconhecidas internacionalmente, incluindo a ISO 27001:2022 (gestão da segurança da informação), a IEC 62443 (segurança de ambientes industriais e de automação), o NIST Cybersecurity Framework — referência global para gestão de riscos cibernéticos —, os controles do CIS (Controles de Segurança Críticos) conjunto priorizado de ações para proteger sua organização e seus dados contra vetores de ataques cibernéticos, além de regulamentações de proteção de dados, como a LGPD (Lei Geral de Proteção de Dados, no Brasil) e o GDPR (regulamento europeu de proteção de dados). O objetivo é avançar na maturidade dos controles adotados, reduzir os riscos mapeados e apoiar a adoção segura de novas tecnologias.

Adicionalmente, a Klabin conta com monitoramento preditivo dos portfólios de controles de segurança cibernética, consolidando as iniciativas no âmbito da Comissão de Riscos Corporativos, o que fortalece a gestão integrada e a tomada de decisão em nível estratégico.

Gestão de planos/programas de Segurança da Informação

A segurança cibernética é um pilar essencial da estratégia da Klabin. Nosso compromisso é garantir a proteção das operações e informações da Companhia, promovendo um ambiente digital seguro e resiliente para colaboradores, parceiros, clientes e acionistas. Para sustentar esse compromisso, a Klabin tem as normas ISO27001, Marco Civil da Internet, LGPD, GDPR, CISP, NIST e IEC-62443 como norteadores e referências de boas práticas. Essa escolha assegura a confidencialidade, integridade, disponibilidade e autenticidade das informações, além de proporcionar uma visão integrada dos ambientes administrativo e industrial.

A atuação da Klabin em segurança cibernética é guiada por quatro pilares:

• Confidencialidade: apenas pessoas autorizadas têm acesso às informações;

• Disponibilidade: informações acessíveis sempre que necessário, por usuários devidamente autorizados;

• Integridade: dados alterados apenas por meios autorizados;

• Autenticidade: confirmação da origem das informações, assegurando sua veracidade.
  

A governança deste tema é conduzida por um comitê multidisciplinar que envolve as áreas de Riscos, Controles Internos, Auditoria Interna, Tecnologia da Informação, Automação Industrial e áreas de negócio. Essa estrutura garante uma visão integrada e estratégica dos riscos cibernéticos, promovendo ações preventivas, corretivas e educativas.

A Klabin também adota uma abordagem para a gestão de terceiros no contexto de segurança cibernética e privacidade, garantindo que todos os fornecedores e parceiros estejam alinhados com suas políticas internas e conformidade regulatória. Além disso, a área de Segurança da Informação atua de forma proativa para proteger os sistemas da companhia e assegurar a integridade e proteção de dados, por meio de compromissos internos para ações e melhoria contínua dos sistemas, tais como:

• Uso de tecnologias em camadas para mitigação de riscos;

• Monitoramento contínuo de ameaças de segurança e resposta a incidentes;

• Conformidade de sistemas industriais com recomendações de fabricantes;

• Execução e testes de planos de continuidade de negócios;

• Avaliação de requisitos de segurança junto a fornecedores e parceiros;

• Conscientização de colaboradores e terceiros, estabelecendo responsabilidades individuais para a segurança da informação de todos os colaboradores;

• Apoio ao desenvolvimento seguro de softwares e projetos tecnológicos;

• Adoção responsável de novas tecnologias, incluindo inteligência artificial;

• Conformidade com políticas e controles internos.