Política de segurança da informação
Revisão nº 7 - 2025/06/11 Extraído do LiveQMS. Para obter a versão mais recente, consulte o LiveQMS.PROPÓSITO
Nosso compromisso é estabelecer diretrizes e padrões que garantam a proteção das informações, assegurando a confidencialidade, a integridade e a disponibilidade dos dados. Nosso objetivo é criar uma cultura baseada em qualidade, segurança, privacidade, confiança e transparência, promovendo boas práticas e comportamentos seguros entre funcionários, clientes e parceiros. Também estamos comprometidos com a melhoria contínua do Sistema de Gestão Integrado e com a conformidade com os requisitos comerciais, de segurança da informação, de privacidade de dados e da legislação vigente.ESCOPO
Esta Política se aplica a todos os funcionários, ex-funcionários, pessoal de serviço e representantes que tiveram, têm ou terão acesso a informações e/ou uso de recursos de computação dentro da infraestrutura da organização.DECLARAÇÃO DE POLÍTICA
A política de segurança da informação inclui diretrizes em rotinas e outras áreas organizacionais. Elas são detalhadas em documentos, processos e ferramentas específicos. Todos os funcionários e terceiros devem segui-las para apoiar os objetivos da organização.Componentes principais:
- Arquitetura de segurança da informação: Define modelos de referência e componentes com base na criticidade do sistema.
- Gerenciamento de ativos tecnológicos: Gerencia os ativos físicos e lógicos internos e externos.
- Classificação de informações: Orienta a classificação e a proteção com base na confidencialidade e na importância.
- Conscientização sobre segurança da informação: Desenvolve e promove programas de conscientização.
- Continuidade e recuperação dos negócios: Garante operações mínimas durante crises.
- Proteção de dados: Mantém a confidencialidade, a integridade e a disponibilidade.
- Trabalho remoto: Estabelece diretrizes para o trabalho seguro fora do local.
- Gerenciamento de identidade e acesso: Controla e segrega o acesso.
- Gerenciamento de riscos: Identifica e lida com os riscos que afetam a organização.
- Resposta a incidentes: Responde a incidentes de segurança e os atenua.
- Métricas e relatórios: Monitora a exposição aos riscos de segurança da informação.
- Segurança de rede: Garante a segurança da transmissão de dados e da infraestrutura.
- Operações de segurança da informação: Oferece suporte às ferramentas de segurança e às necessidades dos usuários.
- Privacidade: Preserva a confidencialidade e os direitos do titular dos dados.
- Monitoramento: Detecta e evita ações não autorizadas ou prejudiciais.
- Desenvolvimento seguro: Implementa práticas seguras durante o desenvolvimento do sistema.
- Estratégia de segurança: Alinha a segurança com a estratégia de negócios.
- Gerenciamento de terceiros: Avalia a conformidade com os requisitos de segurança.
- Inteligência sobre ameaças: Identifica ameaças e permite a prevenção.
- Gerenciamento de vulnerabilidades: Detecta e trata as vulnerabilidades.
- Segurança na nuvem: Garante o uso seguro da nuvem e a conformidade do provedor.
CONFORMIDADE E APLICAÇÃO
- ABNT NBR ISO/IEC 27001:2022 - Segurança da informação, segurança cibernética e proteção da privacidade.
- LGPD - Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
FUNÇÕES E RESPONSABILIDADES
Gerência Executiva
- Definir e endossar a política.
- Garantir a alocação de recursos.
- Promover uma cultura de segurança.
Gerentes de departamento
- Implementar e fazer cumprir a política.
- Garantir a conscientização da equipe e a proteção de informações confidenciais.
Equipe de TI e segurança
- Implementar medidas técnicas de segurança.
- Conduzir auditorias e avaliações de risco.
- Gerencie os controles de acesso.
- Responder a incidentes e recuperar dados.
Contribuintes
- Siga as políticas de segurança.
- Relate os incidentes imediatamente.
- Participe de programas de treinamento e conscientização.
Parceiros e fornecedores
- Cumprir os requisitos de segurança contratuais.
- Garantir o alinhamento com os padrões da empresa.
Área jurídica
- Incluir cláusulas legais que garantam a conformidade com esta política.
- Garantir o uso adequado e a confidencialidade dos dados.
Capital humano
- Garantir o conhecimento das políticas e dos procedimentos.
- Notificar a TI sobre a demissão de funcionários.
- Garantir a devolução dos ativos de TI e de segurança.
Diretor de Proteção de Dados (DPO)
- Monitore a conformidade com a lei de proteção de dados.
- Atuar como contato com as autoridades.
- Garantir que os direitos do titular dos dados sejam mantidos.
