OBJETIVO E ESCOPO

A Política de Segurança da Informação tem como objetivo estabelecer diretrizes, procedimentos e padrões de conduta visando o tratamento e a utilização adequados das informações referentes aos negócios da empresa.

Atualmente, o dado é considerado um dos ativos mais valiosos do mundo. Por isso, tornam-se grandes alvos de grupos que visam adquiri-los de forma ilegal para vendê-los.

Nessa esteira, é nossa missão proteger todos os dados tratados pela empresa.

• LEGISLAÇÃO – BASE, APURAÇÃO E VIGÊNCIA

As disposições da presente Política têm como base as Leis nº 9.613/98, nº 12.683/12, nº 13.260/16 e nº 13.810/19 e as Circulares do Banco Central do Brasil nº 3.942/19 e nº 3.978/20, além da Carta Circular 4.001/20 também do Banco Central do Brasil.

Esta Política aplica-se aos funcionários, colaboradores, parceiros e prestadores de serviços terceirizados.

• PILARES

Prezamos pela segurança de nossas informações com base em três pilares: confidencialidade, integridade e disponibilidade.

A confidencialidade garante a privacidade dos dados. Para garantir a confidencialidade, podem ser utilizados: criptografia, ID de usuário e senha, autenticação de dois fatores, bem como a própria diminuição da exposição da informação confidencial.

A integridade garante que as informações sejam precisas e confiáveis. Consiste na precisão, na consistência e na confiabilidade dos dados durante todo seu ciclo de vida. A partir da integridade, os dados permanecem inalterados durante o trânsito e não modificados por entidades não autorizadas. O backup, a verificação via hash, permissões de arquivo e controles de acesso são ferramentas que auxiliam na manutenção da integridade das informações

A disponibilidade garante que as informações possam ser acessadas, desde que por pessoas autorizadas. É assegurada pela manutenção de equipamentos, reparos de hardware e atualização de software e sistemas operacionais. Equipamentos de segurança e software, como firewalls, protegem contra possível período de inatividade ocasionado por ataques cibernéticos.

• TRATAMENTO DAS INFORMAÇÕES

As informações são classificadas em públicas, internas ou confidenciais.

As informações públicas podem ser acessadas por todos, sem restrição, seja por funcionário, clientes, fornecedores ou por qualquer indivíduo da sociedade. 

As informações internas restringem-se aos funcionários e aos colaboradores próximos da empresa. Constituem informação de média sensibilidade que, se divulgadas, podem impactar negativamente os negócios da empresa.

As informações confidenciais, por sua vez, somente podem ser acessadas por funcionários com autorização para tal, conforme concedidas pela Diretoria. As informações confidenciais são de alta sensibilidade e, se divulgadas, podem atingir substancialmente a imagem e os negócios da empresa.

Quanto ao tratamento dessas informações, faz-se necessário seguir algumas recomendações. 

Os funcionários e colaboradores próximos não devem comentar, em locais públicos, sobre o conteúdo das informações internas ou confidenciais da empresa. Considera-se local público não só um lugar físico acessível a outros indivíduos que não os funcionários e colaboradores próximos, mas também sítios digitais, como aplicativos de mensagens.

Não se deve mencionar nomes de clientes, parceiros, prospects ou projetos em situações em que não for indispensável, prezamos pela discrição e impessoalidade na referência a instituições e indivíduos.

É vedado o uso de informação obtida de forma ilegal para obter vantagem competitiva.

• DEVERES

Os funcionários, colaboradores, parceiros, prestadores de serviços terceirizados devem:

• Cumprir esta Política de Segurança da Informação;
• Proteger as informações da instituição contra acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, no que for possível;
• Assegurar que as informações e recursos da empresa a sua disposição sejam utilizados somente para as finalidades previstas;
• Cumprir a legislação vigente, no que tange à propriedade intelectual.
• Não compartilhar qualquer informação confidencial.

• TECNOLOGIA DA INFORMAÇÃO

Asseveramos que todas as senhas e autorizações são de responsabilidade do respectivo usuário. Dessa forma, a responsabilidade sobre qualquer má utilização dos acessos também recai sobre ele.

A empresa, tanto no tratamento de dados pessoais, quanto no que diz respeito à segurança da informação, observa o princípio da necessidade, isto é, o acesso a informações é restrito apenas ao grupo que necessita acessá-las para a realização de seu trabalho.

Produtos resultantes do trabalho de usuários autorizados (coleta de dados e documentos, sistema, metodologia, resultados, dentre outros) são de nossa propriedade. Em caso de rescisão contratual, esses usuários devem devolver todas as informações confidenciais geradas e manuseadas em decorrência da prestação dos serviços, ou emitir declaração de destruição.

Reservamo-nos no direito de monitorar equipamentos, correio eletrônico e ferramentas de comunicação corporativas sempre que necessário, independentemente de comunicação e/ou autorização prévia do usuário.

6.1. SOLICITAÇÕES DE ACESSO

As solicitações de novas identificações de usuários e alterações de privilégios devem ser aprovadas pelo Diretor responsável pela Segurança da Informação na empresa.

Em caso de alterações, os usuários devem fundamentar a necessidade das mudanças em seus privilégios e a relação de tais alterações com as atividades exercidas.

Privilégios devem ser imediatamente revogados quando da finalização de projetos específicos, caso o profissional atuante esteja trabalhando como colaborador ou parceiro, ou do desligamento do profissional.

Os privilégios para todos os usuários dos serviços da rede deverão ser revisados a cada 12 (doze) meses pelo Diretor responsável pela Segurança da Informação na empresa.

6.2. SENHAS DE ACESSO

Todas as senhas de acesso a sistemas são pessoais, sigilosas e de caráter intransferível.

Em caso de suspeita de exposição indevida, o fato deve ser comunicado imediatamente ao Diretor responsável pela Segurança da Informação na empresa e todas as senhas do usuário devem ser alteradas.

A alteração das senhas também deve ocorrer em caso de comprometimento comprovado da segurança do ambiente de tecnologia da informação por algum evento não previsto. Recomenda-se a alteração das senhas, independentemente da ocorrência de qualquer evento, a cada 90 (noventa) dias.

Os usuários devem utilizar senhas complexas, que contenham caracteres compostos de letras, maiúsculas e, números e símbolos, evitando o uso de nomes, sobrenomes, números de documentos, telefones ou datas que possam ser relacionadas com o usuário.

6.3. OUTRAS RECOMENDAÇÕES

Os usuários devem:

• Manter atualizados nos servidores e redes compartilhadas os produtos dos trabalhos desenvolvidos no curso das atividades;
• Não manter cópias de seus arquivos em computador local;
• Utilizar criptografia sempre que enviar ou receber dados contendo informações confidenciais, desde que autorizadas, ou internas;
• Certificar a procedência de qualquer sítio eletrônico e a utilização de conexões seguras (criptografadas) ao realizar transações na internet;
• Não abrir arquivos ou executar programas anexados a e-mails, sem antes verificá-los com um antivírus;
• Não utilizar o formato executável em arquivos compactados;
• Desligar ou bloquear o acesso dos computadores com informações sensíveis, na ausência do usuário;

• PROIBIÇÕES E VIOLAÇÕES

As práticas abaixo, a título exemplificativo, são veementemente vedadas:

• Introduzir códigos nos sistemas de TI, utilizar, facilitar ou permitir entradas de terceiros por quaisquer meios;
• Revelar códigos de identificação, autenticação e autorização de uso pessoal (ex: conta, senhas, chaves privadas etc.) ou permitir o uso por terceiros de recursos autorizados por intermédio desses códigos.
• Divulgar ou comercializar produtos, itens ou serviços a partir de qualquer recurso dos sistemas de TI;
• Tentar interferir sem autorização expressa em um serviço ou transação;
• Alterar registro de evento dos sistemas;
• Modificar protocolos de comunicação de dados;
• Obter acesso não autorizado, ou acessar indevidamente dados, sistemas ou redes, incluindo qualquer tentativa de investigar, examinar ou testar vulnerabilidades;
• Monitorar ou interceptar o tráfego de dados nos sistemas de TI;
• Violar medida de segurança ou autenticação, sem autorização de função competente;
• Fornecer informações a terceiros sobre usuários ou serviços disponibilizados nos sistemas de TI, exceto os de natureza pública ou mediante autorização expressa;
• Armazenar ou usufruir de jogos em recursos pertencentes ao ambiente de trabalho;
• Utilizar aplicativos não homologados e/ou com licença inativa ou não autorizada;
• Acessar sem autorização caixas postais de terceiros e eventuais tentativas de acesso devem ser registradas em log;
• Enviar informações críticas para indivíduos ou instituições não autorizadas, observando-se, quando aplicável, orientações para informações classificadas;
• Enviar, em nome da empresa ou a qualquer pessoa relacionada à empresa, material obsceno, ilegal ou não ético, propaganda, mensagem de entretenimento ou mensagens de qualquer natureza relacionadas com nacionalidade, raça, orientação sexual, religiosa, convicção política ou qualquer outro assunto que não tenha relação com o escopo de trabalho.

As violações de segurança devem ser imediatamente informadas ao Diretor responsável pela Segurança da Informação na empresa. Toda violação será devidamente apurada para a determinação das medidas cabíveis.

A não-conformidade com as diretrizes desta Política e a violação de normas derivadas podem ocasionar a imediata rescisão do contrato da pessoa envolvida.