Politica de Seguranca da Informacao

Política de Segurança da Informação

Alinhada à ISO/IEC 27001:2022 e à LGPD — Versão 1.0

1. Objetivo

Esta Política de Segurança da Informação (PSI) tem como objetivo estabelecer diretrizes e controles para proteger os ativos de informação da organização, atendendo aos requisitos da ISO/IEC 27001:2022 e da LGPD.

2. Abrangência

Esta política aplica-se a:

• Todos os colaboradores, terceiros, estagiários e prestadores;
• Todos os sistemas, dispositivos, ambientes e processos corporativos;
• Todas as informações tratadas pela empresa, em qualquer formato.

3. Princípios da Segurança da Informação e da Privacidade

• Confidencialidade – acesso apenas por pessoas autorizadas.
• Integridade – informação íntegra e não alterada indevidamente.
• Disponibilidade – acesso contínuo às informações quando necessário.
• Transparência (LGPD) – clareza sobre operações de tratamento.
• Finalidade (LGPD) – tratamento baseado em propósito legítimo.
• Minimização – coleta de dados estritamente necessária.
• Conformidade – cumprimento de requisitos legais e regulatórios.
• Responsabilização – demonstração de boas práticas.

4. Classificação da Informação

• Pública – livre divulgação.
• Interna – uso limitado aos colaboradores.
• Confidencial – acesso restrito a áreas autorizadas.
• Restrita – acesso altamente controlado; inclui dados pessoais sensíveis.

5. Tratamento de Dados Pessoais (LGPD)

A empresa se compromete a:

• Utilizar bases legais adequadas;
• Obter consentimento quando necessário;
• Garantir direitos dos titulares;
• Manter registro das operações de tratamento;
• Nomear Encarregado de Dados (DPO);
• Realizar Relatórios de Impacto (RIPD), quando aplicável.

6. Controles de Acesso

• Princípio do menor privilégio;
• Credenciais únicas e intransferíveis;
• Autenticação multifator quando aplicável;
• Desativação imediata de contas inativas;
• Registro e monitoramento de acessos a dados pessoais.

7. Uso Aceitável dos Recursos de TI

• Uso exclusivo para fins profissionais;
• Proibição de instalar softwares não autorizados;
• Proibição de conteúdos ilícitos, ofensivos ou perigosos;
• Reporte imediato de e-mails suspeitos (phishing).

8. Segurança Física e Ambiental

• Áreas críticas com controle de acesso físico;
• Registro e acompanhamento de visitantes;
• Proteção física de documentos e equipamentos.

9. Proteção contra Malware e Ameaças Digitais

• Antimalware atualizado em todos os dispositivos;
• Monitoramento de tráfego e ameaças;
• Bloqueio de sites e aplicações inseguras.

10. Backup, Retenção e Descarte

• Backups regulares e testados periodicamente;
• Armazenamento seguro, preferencialmente com redundância;
• Retenção conforme legislação;
• Descarte seguro de dados e mídias.

11. Segurança de Redes e Comunicações

• Segmentação de redes conforme criticidade;
• Criptografia para transmissão de dados sensíveis;
• Uso de firewalls, IDS/IPS e monitoramento contínuo.

12. Gestão de Riscos

• Avaliação periódica de riscos de segurança;
• Implementação de medidas mitigatórias;
• Análise de riscos relacionada ao tratamento de dados pessoais.

13. Gestão de Incidentes de Segurança

• Registro e resposta imediata a incidentes;
• Investigações formais e plano de contenção;
• Notificação à ANPD e aos titulares (quando exigido);
• Elaboração de relatório pós-incidente.

14. Continuidade de Negócios

• Planos BCP e DRP atualizados e testados periodicamente;
• Definição de RTO e RPO;
• Procedimentos formais para continuidade operacional.

15. Treinamento e Conscientização

• Treinamentos obrigatórios periódicos;
• Campanhas de conscientização;
• Obrigações reforçadas para áreas críticas.

16. Auditorias e Monitoramento

• Auditorias internas regulares;
• Revisão de controles técnicos e administrativos;
• Verificação periódica de conformidade LGPD.

17. Responsabilidades

• Colaboradores: seguir esta política e reportar incidentes.
• Gestores: garantir conformidade em suas equipes.
• TI: manter infraestrutura segura.
• DPO: supervisionar privacidade e atender autoridades.

18. Penalidades

Violação desta política pode resultar em:

• Advertência, suspensão ou desligamento;
• Medidas civis, criminais e administrativas previstas em lei.

19. Revisão

Esta política será revisada:

• Anualmente, ou;
• Quando houver mudanças legais, tecnológicas ou procedimentais.