menu
menu
Voltar

    POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E TECNOLOGIA

    1. OBJETIVO

    Estabelecer diretrizes claras e abrangentes para o uso adequado dos recursos de Tecnologia da Informação (TI) e para garantir a segurança, integridade, confidencialidade e disponibilidade das informações em conformidade com normas legais e regulatórias aplicáveis, incluindo a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) e frameworks internacionais.

    2. ESCOPO E ABRANGÊNCIA

    Aplica-se a todos os colaboradores, estagiários, terceiros, prestadores de serviços, fornecedores e parceiros que utilizem informações, ativos de informática ou recursos tecnológicos disponibilizados pela organização, independentemente da localidade geográfica.

    3. DEFINIÇÕES

    As definições aplicáveis a esta política estão reunidas em um glossário único (ver Anexo I), contemplando termos relacionados à LGPD, segurança da informação, ativos de informática, sistemas corporativos, internet, rede de dados e impressão.

    4. GOVERNANÇA E COMPLIANCE

    5. DIRETRIZES GERAIS DE SEGURANÇA DA INFORMAÇÃO

    6. SEGURANÇA DE ACESSO E SENHAS

    7. USO DOS RECURSOS TECNOLÓGICOS

    7.1 Ativos de Informática

    7.2 Rede de Dados

    7.3 Internet

    7.4 Impressão

    7.5 Sistemas Corporativos

    8. PROTEÇÃO E TRATAMENTO DE DADOS PESSOAIS (LGPD)

    Para fins da LGPD, a ICC é a Controladora dos dados pessoais tratados no escopo desta política e a RL Solucion atua como Operadora (terceira).

    Em caso de incidente de segurança envolvendo dados pessoais, a RL Solucion deverá comunicar a ICC em até 24 (vinte e quatro) horas a contar da ciência do incidente, descrevendo a ocorrência,
    os dados afetados, as medidas de contenção adotadas e o plano de remediação.

    9. CONTROLE DE ACESSO E GESTÃO DE CONTAS

    10. PROTEÇÃO CONTRA AMEAÇAS E INCIDENTES

    11. TREINAMENTO E CONSCIENTIZAÇÃO

    12. PAPÉIS E RESPONSABILIDADES

    Usuários

    Gestores

    Área de TI

    Recursos Humanos

    DPO (Encarregado de Dados)

    13. PENALIDADES

    O descumprimento desta política poderá resultar em advertência, suspensão de acesso, medidas disciplinares, rescisão contratual e, se aplicável, ações legais.

    14. REVISÃO E ATUALIZAÇÃO

    15. CLASSIFICAÇÃO DA INFORMAÇÃO

    – As informações devem ser classificadas em: Pública, Interna, Confidencial e Restrita.
    – Cada nível de classificação deve ter controles de segurança específicos.
    – Documentos impressos ou digitais devem conter indicação clara de sua classificação.

    16. GESTÃO DE RISCOS

    – A organização deve manter processo de identificação, avaliação e tratamento de riscos.
    – Deve haver inventário atualizado de ativos críticos.
    – Os riscos devem ser revisados periodicamente e documentados em relatórios formais.

    17. POLÍTICA DE BACKUP E RECUPERAÇÃO

    – Backups devem ser realizados periodicamente conforme criticidade dos sistemas.
    – Cópias devem ser armazenadas em local seguro, com acesso restrito.
    – Testes de restauração devem ser executados regularmente para validar eficácia.

    18. SEGURANÇA FÍSICA E AMBIENTAL

    – O acesso İsico a áreas críticas deve ser controlado por meio de crachás ou biometria.
    – Ambientes de TI devem possuir climatização, proteção contra incêndio e energia redundante.
    – Visitantes devem ser sempre acompanhados por pessoal autorizado.

    19. POLÍTICA DE CLEAN DESK

    – Documentos confidenciais devem ser guardados em armários trancados.
    – Estações de trabalho devem ser bloqueadas ao se ausentar do posto.
    – É proibido deixar senhas anotadas em papéis ou locais visíveis.

    20. USO DE DISPOSITIVOS MÓVEIS E ACESSO REMOTO

    – Dispositivos móveis corporativos devem possuir criptografia habilitada.
    – É obrigatório o uso de VPN para acessos externos à rede corporativa.
    – Em caso de perda ou roubo, o usuário deve comunicar imediatamente à TI.
    – BYOD (Bring Your Own Device) só é permitido mediante autorização formal da área de TI.

    21. SEGURANÇA NO DESENVOLVIMENTO DE SISTEMAS

    – Todos os sistemas devem seguir práticas de desenvolvimento seguro.
    – Deve haver testes de vulnerabilidade e análise de código antes de colocação em produção.
    – As atualizações de sistemas devem ser aplicadas de forma tempestiva e controlada.

    22. GESTÃO DE TERCEIROS E FORNECEDORES

    – Contratos devem conter cláusulas específicas de confidencialidade e proteção de dados.
    – Fornecedores que tratem dados pessoais devem atender à LGPD.
    – Avaliações periódicas de segurança devem ser realizadas em fornecedores críticos.
    – Área responsável e RACI: A (Accountable) = ICC – Tecnologia da Informação; R (Responsible) = RL Solucion; C (Consulted) = Jurídico/Encarregado (DPO) e Gestores das áreas; I (Informed) = Diretoria e colaboradores.

    23. AUDITORIA, MONITORAMENTO E CONFORMIDADE

    – Todos os acessos e atividades relevantes devem ser registrados em logs.
    – Auditorias internas e externas serão conduzidas periodicamente.
    – A conformidade com esta política deve ser avaliada anualmente e documentada.

    24. REVISÃO E ATUALIZAÇÃO

    Casos omissos serão analisados pela TI da ICC em conjunto com membros da Diretoria, não sendo delegada a terceiros a decisão sobre exceções à PSI.

    ANEXO I – GLOSSÁRIO DE TERMOS

    (Consolidação das definições: dados pessoais, dados sensíveis, tratamento de dados, consentimento, confidencialidade, integridade, disponibilidade, autenticação, credencial de acesso, conta de usuário, conta genérica, incidente de segurança, ativos de informática, impressão, informação pública, vazamento de informação, MFA, VPN etc.)

    Controle do Documento