Política de Segurança da Informação

1. Objetivo

O objetivo desta política é estabelecer diretrizes e normas de Segurança da Informação para orientar os colaboradores da Solo Network a adotarem comportamentos seguros e adequados às metas e necessidades do negócio.

Garantir a confidencialidade, integridade e disponibilidade das informações.

Prevenir possíveis riscos de incidentes e responsabilização legal da instituição, de seus colaboradores, clientes e parceiros.

A Solo Network mantém esta política sempre disponível a todos, atualizada e, quando necessário, comunica aos colaboradores seu conteúdo e/ou eventuais atualizações.

2. Referências

• Norma ABNT NBR ISO/IEC 27001:2022 – Segurança da informação, segurança cibernética e proteção à privacidade;
• Norma ABNT NBR ISO/IEC 27002:2019 – Técnicas de segurança;
• Norma ABNT NBR ISO/IEC 37301:2021 – Sistemas de Gestão de Compliance;
• Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018.

3. Abrangência

Esta Política se aplica a todos os colaboradores, ex-colaboradores, prestadores de serviço, estagiários ou eventuais representantes da organização que possuam, ou tenham possuído, acesso às informações da Solo Network e/ou façam uso de recursos computacionais compreendidos em sua infraestrutura.

4. Papéis e responsabilidades

4.1. Todos os colaboradores

• Ser responsável pelo acesso realizado com sua identidade e autenticação;
• Acessar a informação apenas para desempenhar profissionalmente as funções relacionadas às suas atuais atribuições formalmente permitidas na Solo Network;
• Ler, compreender e cumprir integralmente os termos da Política de Segurança da Informação, bem como as demais normas e procedimentos de segurança aplicáveis;
• Assinar o “Termo de Aceite da PSI”, formalizando a ciência e o aceite integral das disposições desta Política de Segurança da Informação.

4.2. Alta Direção

• Zelar pela manutenção do negócio dentro de uma perspectiva de longo prazo e de sustentabilidade, incorporando considerações de ordem econômica, social, ambiental e de boa governança corporativa na definição das estratégias e operações;
• Formular as diretrizes para a gestão da Segurança da Informação;
• Apoiar o cumprimento das diretrizes de Segurança da Informação;
• Aprovar a adequação da estrutura de Segurança da Informação.

4.3. Gestores

• Liderar e dirigir ações — incluindo o gerenciamento de riscos — e a aplicação de recursos para atingir os objetivos da Solo Network;
• Manter diálogo contínuo com as áreas de negócio e reportar resultados obtidos frente ao esperado, viabilizando os objetivos da Solo Network;
• Estabelecer e manter estruturas e processos apropriados para o gerenciamento de operações e riscos, incluindo controles internos;
• Promover os controles necessários às atividades sob responsabilidade da área, incluindo o monitoramento dos respectivos riscos de Segurança da Informação;
• Identificar, classificar e tratar as informações geradas ou sob sua responsabilidade, conforme normas, critérios e procedimentos adotados pela Solo Network;
• Garantir a observância da Política de Segurança da Informação nas atividades sob sua responsabilidade e por terceiros;
• Tomar as ações cabíveis caso identifique o não cumprimento dos termos desta Política;
• Propagar a cultura de prevenção a riscos de Segurança da Informação nos times sob sua gestão.

4.4. Segurança da Informação

• Implementar e monitorar controles adequados para preservar a Segurança da Informação e o atendimento às políticas e normativos internos da Organização;
• Atuar como ponto focal para tratativa de riscos de Segurança da Informação, conforme as normativas estabelecidas;
• Propor e manter procedimentos técnicos de Segurança da Informação com apoio das áreas de TI e de Negócio;
• Propor e manter iniciativas de proteção e prevenção a riscos de Segurança da Informação;
• Atuar preventivamente junto às áreas de TI e de Negócio quanto aos riscos e ameaças de Segurança da Informação;
• Monitorar e avaliar riscos e rotinas que possam causar exposição da Organização no cenário de Segurança da Informação;
• Prover subsídios para a tomada de decisões estratégicas relacionadas à Segurança da Informação, alinhadas às diretrizes do negócio.

4.5. Tecnologia da Informação

• Prover condições que assegurem a adequada identificação, classificação, avaliação, mitigação, gerenciamento e reporte dos riscos de Segurança da Informação e a efetividade dos controles associados, considerando também os resultados dos testes de controle;
• Garantir a observância da Política de Segurança da Informação e sua aplicabilidade por terceiros;
• Propagar a cultura de prevenção a riscos de Segurança da Informação nos times sob sua responsabilidade;
• Autorizar e revisar periodicamente os acessos à informação e aos sistemas sob sua responsabilidade;
• Conceder ou revogar acessos à informação e aos sistemas de acordo com os procedimentos adotados pela Organização;
• Realizar as cópias de segurança (backup) do ambiente tecnológico;
• Configurar os equipamentos, ferramentas e sistemas concedidos aos colaboradores com todos os controles e requisitos de segurança estabelecidos nesta política;
• Avaliar os riscos relativos ao acesso de subcontratados, parceiros ou terceiros às instalações da Empresa, submetendo-os aos procedimentos de controle de acesso pertinentes.

4.6. Governança, risco, compliance e auditoria

• Garantir a conformidade com as expectativas legais, regulatórias e éticas aplicáveis à Organização;
• Prover expertise complementar, apoio, monitoramento e questionamento quanto ao gerenciamento de riscos, incluindo o desenvolvimento, a implantação e a melhoria contínua das práticas de controle interno nos níveis de processo, sistemas e entidade;
• Analisar e reportar sobre a adequação e a eficácia da governança e do gerenciamento de riscos, apoiando o corpo executivo na definição de melhorias necessárias;
• Prover ao corpo executivo independência e objetividade quanto às informações sobre a estrutura de gerenciamento de riscos, seus atributos e seu funcionamento.

4.7. Área Jurídica

Requerer a inserção de cláusulas de proteção e de cumprimento desta Política de Segurança da Informação e das demais leis e normativas aplicáveis nos contratos com prestadores de serviço e terceiros, assegurando que as informações sejam utilizadas apenas para as finalidades da organização e preservando sua confidencialidade.

4.8. Recursos Humanos

• Disponibilizar a política e as normas de Segurança da Informação para todos os colaboradores, assegurando que estejam cientes de seus deveres, normas e procedimentos internos;
• Garantir que os colaboradores tomem ciência e assinem o Termo de Ciência de Segurança da Informação no processo de integração;
• Notificar a área de Tecnologia da Informação sobre o desligamento de colaboradores, para que sejam tomadas as medidas de segurança pertinentes quanto a bloqueio, exclusão ou desativação de direitos e acessos;
• Garantir que os colaboradores devolvam todos os ativos de Tecnologia da Informação da Empresa ao término do vínculo.

5. Diretrizes

5.1. Princípios de Segurança

Segurança da Informação pode ser definida como o conjunto de medidas destinadas a garantir a continuidade dos negócios e a minimizar os danos causados por incidentes, controlando e reduzindo o impacto de possíveis ameaças, de forma a assegurar a proteção da disponibilidade, integridade e confidencialidade das informações.

Segurança da Informação também significa adotar as medidas preventivas necessárias para que informações sigilosas, dados pessoais e/ou processos sob custódia da organização não sejam divulgados a pessoas não autorizadas — internas ou externas —, protegendo colaboradores e clientes contra possíveis vazamentos de informações e outras ameaças diversas.

• Confidencialidade: garantia de que a informação seja acessível apenas por aqueles autorizados a ter acesso;
• Integridade: garantia de que a informação seja mantida em seu estado original, protegendo-a, na guarda ou na transmissão, contra alterações indevidas, intencionais ou acidentais;
• Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

5.2. Estrutura

A estrutura de documentos de Segurança da Informação da Organização é composta por diretrizes complementadas por normas e procedimentos de Segurança da Informação de outras áreas, os quais são complementados por documentos internos e normativos de segurança de terceiros associados à Organização, de forma a atender aos seus objetivos.

• Arquitetura de Segurança da Informação — estabelece o modelo de referência e os componentes tecnológicos de Segurança da Informação a serem utilizados nos sistemas, com base em critérios técnicos e de negócio da Organização;
• Gestão de ativos tecnológicos — estabelece diretrizes para a gestão de ativos físicos, considerando desde sua aquisição até seu descarte;
• Classificação da informação — estabelece diretrizes para a adequada classificação e proteção da informação, de acordo com o nível de confidencialidade e importância que possui para o negócio;
• Conscientização em Segurança da Informação — elabora e disponibiliza o programa de conscientização para todos os colaboradores;
• Plano de Continuidade de Negócio — estabelece e mantém a capacidade de preservação e continuidade dos negócios, minimizando os impactos causados por incidentes, sinistros ou situações de crise;
• Proteção de dados — estabelece padrões para manter a confidencialidade e a integridade dos dados da Organização;
• Trabalho remoto — estabelece diretrizes de segurança para colaboradores e prestadores que realizam sua jornada de trabalho fora do ambiente físico da empresa;
• Gestão de identidades e acessos — controla e segrega o acesso a dados e transações, mitigando riscos de acessos indevidos, fraudes ou erros que possam impactar a Organização;
• Gestão de riscos — estabelece diretrizes para identificação, avaliação, tratamento e aceitação de riscos, definindo o nível de exposição aceitável e as prioridades de ação;
• Resposta a incidentes — trata os incidentes de Segurança da Informação e a resposta a eles, com o objetivo de reduzir impactos causados por ações indevidas ou não conformidades com as políticas da Organização;
• Métricas e relatórios — mantém a Organização informada quanto à exposição de riscos, ao desempenho dos controles de Segurança da Informação e ao andamento das ações relacionadas;
• Privacidade — preserva a privacidade dos dados pessoais, entendidos como aqueles que identificam ou tornam identificáveis pessoas físicas, em todas as etapas de seu tratamento;
• Monitoramento de Segurança da Informação — monitora eventos e comportamentos relacionados à Segurança da Informação, detectando ações não autorizadas, internas ou externas, para preservar a segurança dos ativos, clientes, colaboradores e demais partes interessadas;
• Segurança de software — estabelece diretrizes e boas práticas de segurança ao longo do ciclo de desenvolvimento, desde os ambientes de teste até o ambiente produtivo;
• Estratégia de Tecnologia da Informação — define as diretrizes e a estratégia de investimentos em tecnologia, alinhadas às necessidades do negócio;
• Gestão de Segurança da Informação de terceiros — estabelece diretrizes a serem observadas por terceiros nos processos de contratação e monitoramento contínuo;
• Inteligência de ameaças — identifica e mapeia ameaças de Segurança da Informação que possam comprometer a Organização, possibilitando ações preventivas antes que impactos ocorram;
• Gestão de vulnerabilidades — minimiza os riscos de Segurança da Informação por meio da identificação e do tratamento de vulnerabilidades tecnológicas;
• Segurança em nuvem — estabelece diretrizes específicas para a proteção de dados e sistemas hospedados em ambientes de nuvem;
• Segurança física — estabelece diretrizes para a proteção física e de perímetro das instalações que armazenam ou processam informações da Organização;
• Criptografia — assegura o uso efetivo e adequado da criptografia para proteger a confidencialidade, autenticidade e integridade das informações.

6. Disposições Gerais

Os casos não previstos nesta política ou as dúvidas porventura existentes poderão ser tratados junto à Gerência de Segurança da Informação.

7. Penalidades

O descumprimento desta política poderá ocasionar medidas disciplinares.

8. Histórico de Revisão