POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
ÍNDICE
- 1 – Objetivo
- 2 – Aplicação
- 3 – Definições
- 4 – Responsabilidades
- 5 – Treinamento e Conscientização
- 6 – Gerenciamento de Identidade e Acesso
- 7 – Gerenciamento de Identidade e Acessos Privilegiados
- 8 – Segurança Física das Instalações
- 9 – Segurança da Rede Corporativa
- 10 – Segurança da Proteção da Informação
- 11 – Segurança e Proteção dos Sistemas
- 12 – Gestão de Backup, Continuidade de Negócios e Recuperação de Desastres
- 13 – Gerenciamento de Incidentes de Segurança
1. Objetivo
As informações geradas nos processos de negócio da RASSINI-NHK Autopeças Ltda (RNA) são consideras ativos de grande valor para a empresa. É responsabilidade de todos agir de forma adequada para proteger estas informações e o valor que representam para a organização.
A Política de Segurança da Informação estabelece diretrizes que garantem que as informações geradas dentro do contexto das operações da RNA estejam adequadamente protegidas e seguras, a fim de preservar o valor que possuem para a empresa e para a sociedade, além de assegurar a sua utilização de forma continua com integridade, disponibilidade e confidencialidade.
2. Aplicação
Com a ajuda da tecnologia, temos a possibilidade de coletar, armazenar, gerar, transmitir e recuperar quantidades enormes de informações necessárias aos processos produtivos e administrativos da RNA. O cuidado, proteção e uso adequado destas informações é parte fundamental dos negócios da RNA.
Esta política deve ser aplicada a todos os funcionários e terceiros autorizados que tem acesso local ou remoto as informações da RNA que estejam disponíveis em qualquer local, incluindo em suas unidades de negócios, empresas parceiras, serviços em nuvem, computadores usados para trabalho remoto, etc.
3. Definições
| Termo | Descrição |
|---|---|
| Segurança da Informação | A segurança da informação está relacionada a proteção de um conjunto de dados, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São características básicas da segurança da informação os atributos de confidencialidade, integridade e disponibilidade, não estando esta segurança restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito se aplica a todos os aspectos de proteção de informações e dados. |
| Disponibilidade | Garantir que usuários autorizados tenham acesso às informações digitais e recursos associados quando requeridos. |
| Confidencialidade | Garantir que a informação digital seja acessível somente àqueles que estão autorizados a acessá-la. |
| Integridade | Salvaguardar a precisão e coerência das informações digitais e métodos de processamento. |
| TI | Departamento de Tecnologia da Informação |
| Terceiro Autorizado | Fornecedor, consultor, parceiro, prestador de serviço, terceirizado, instrutor ou qualquer outra denominação de pessoa ou empresa referente a ator que não é funcionário com vínculo empregatício com a RNA, mas que recebe autorização e/ou crednciais de acesso aos sistemas de informação da RNA. |
| Incidente de segurança | A ocorrência de um ato que potencialmente viola a confidencialidade, a integridade ou a disponibilidade da informação digital, por exemplo, um ataque de vírus ou a perda de dados ou computadores. |
4. Responsabilidades
Todos os que de alguma forma tem algum tipo de acesso as informações da RNA devem estar conscientes e aderentes as boas práticas explicitadas nesta política. O comportamento coletivo mais atento e seguro garante maiores níveis de segurança.
Seguem abaixo a lista dos principais atores e suas responsabilidades neste processo:
| Ator | Responsabilidades |
|---|---|
| Alta Gerência |
|
| Gestores de TI |
|
| Equipe de TI |
|
| Funcionários em Geral |
|
| Terceiros |
|
5. Treinamento e Conscientização
5.1. Devem existir iniciativas com o objetivo de treinar e conscientizar todos os funcionários e terceiros, nos aspectos relevantes e aplicáveis as suas atividades, para que observem a política de segurança da informação, bem como aos procedimentos e normas dela derivados.
5.2. Todo novo funcionário ou terceiro autorizado deve receber treinamento e conscientização antes de receber credenciais para acesso as informações da RNA.
5.3. Sempre que necessário os funcionários e terceiros autorizados devem receber treinamento de reciclagem para que continuem observando a política de segurança da informação, bem como aos procedimentos e normas dela derivados.
6. Gerenciamento de Identidade e Acesso
6.1. A RNA controla o acesso físico e lógico aos seus recursos e sistemas de tecnologia da informação.
6.2. O principal mecanismo de controle do acesso lógico aos sistemas é através de atribuição de credenciais de acesso com nome de usuário e senha secreta.
6.3. O nome de usuário sempre é atribuído a uma única pessoa claramente identificada por seu nome completo e departamento (quando aplicável).
6.4. Nomes de usuário genéricos com a finalidade de compartilhamento não devem ser utilizados. São exemplos de nomes genéricos: “produção”, “montagem”, “engenharia”, etc
6.5. Funcionários e terceiros são responsáveis pelo uso e sigilo de suas credenciais de acesso. Os titulares das credenciais são responsáveis diretos pela conduta e/ou eventual dano causado, mediante apuração de responsabilidade em processo administrativo devidamente instaurado.
6.6. Sempre que possível os sistemas devem ser configurados para exigir a utilização de senhas fortes que são trocadas periodicamente.
6.7. Na RNA para o acesso a rede corporativa e ao sistema ERP as regras implantadas para o uso de senhas são as seguintes:
- Tamanho mínimo de 8 caracteres
- Utilização obrigatória da mescla de caracteres numéricos, caracteres especiais (#,$,@,%,*, etc.) caracteres maiúsculos e caracteres minúsculos.
- Alteração da senha a cada 90 dias, sem a possibilidade de reutilização da ultimas senhas.
6.8. Cada credencial de acesso concede ao titular privilégios de acesso restrito aos sistemas de acordo com as suas necessidades de trabalho. O objetivo é permitir que o usuário tenha acesso somente as informações que são essenciais ao seu trabalho e somente a estas.
6.9. O departamento de TI é responsável pela atribuição de credencias de acesso e respectivos privilégios de acesso que sempre que houverem eventos de contratação, desligamento e alteração de área de atuação dos funcionários e colaboradores.
6.10. As solicitações de criação, alteração ou revogação de credenciais e privilégios de acesso devem sempre ser autorizadas pelos gestores das áreas e/ou departamento de Recursos Humanos e efetivamente implantados pelo departamento de TI.
6.11. Com o objetivo de manter as credenciais e respectivos privilégios sempre adequados e devidamente atualizados, periodicamente devem ser geradas listagens de validação que são revisadas sempre a com a participação dos gestores das áreas envolvidas nos privilégios especificados.
7. Gerenciamento de Identidade e Acessos Privilegiados
7.1. Existem usuários com acessos privilegiados que devem ser de uso exclusivo do departamento de TI nos processos de gestão técnica e manutenção dos sistemas. Seguem alguns exemplos de atividades que devem ser realizadas com a utilização deste tipo de usuário:
- Manutenção do cadastro de usuários e atribuição de perfis de acesso
- Atualizações de versões e aplicação de “patches” de correção
- Manutenção das políticas de alterações de senha
- Efetivação de mudanças em ambiente de produção após validações em ambiente de testes
- Efetivação de correções emergências diretamente no ambiente de produção
- Atividades de “Debug” de sistema em ambiente de produção, em caso de necessidade
7.2. As senhas de acessos privilegiados “default” que se estabelecem no momento da implantação de um novo sistema, devem ser alteradas antes do sistema entrar em produção.
7.3. Os integrantes do departamento de TI somente devem ser acesso e conhecimento das senhas privilegiadas que necessitam para realizar suas atividades.
7.4. Os usuários privilegiados normalmente são genéricos e pode não ser possível identificar precisamente quem realizou determinada atividade. Por este motivo e pelo perfil amplo de acesso que este tipo de usuário pode proporcionar, NUNCA devem ser utilizados para realizar qualquer transação de negócio, como por exemplo:
- Qualquer lançamento ou cadastro no ERP SAP
- Qualquer lançamento ou cadastro no sistema de folha de pagamento
- Qualquer lançamento ou cadastro nos sistemas de apontamento de produção
8 – Segurança Física das Instalações
8.1. Somente pessoas autorizadas podem acessar as instalações da empresa, com cuidado especial nas áreas que permitem acesso as informações sigilosas da RNA em formato digital ou qualquer outro formato.
8.2. Os locais que peritem acesso a recursos críticos, como por exemplo servidores, firewall, links de comunicação e centrais de câmeras de segurança devem ter o acesso monitorado. São exemplos de recursos de monitoramento: câmeras de vigilância e fechaduras controladas por senhas, crachás ou biometria.
8.3. Prestadores de serviços, quando o trabalho exigir o acesso, podem acessar as áreas críticas sempre acompanhados de um responsável que tenha o acesso autorizado.
8.4. Para as áreas que tem instalações de servidores, links de comunicação, modens, firewalls, switchs principais, e demais equipamentos de sustentação da infraestrutura principal de processamento de dados e comunicação, devem ser disponibilizados equipamentos de combate a incêndio como detectores de fumaça e temperatura. Estes equipamentos devem estar interligados a central de alarme para o rápido acionamento de equipe de combate a incêndio na eventualidade de necessidade.
8.5 Devem existir processo de redundância e proteção para a alimentação elétrica dos principais equipamentos, com pelo menos a utilização de “no-brake” e preferencialmente a utilização de gerador.
8.6. Os links de acesso de acesso a Internet devem conter pelo menos uma redundância. As redundâncias devem envolver diferentes meios físicos e diferentes operadoras.
9 – Segurança da Rede Corporativa
9.1. Todos os equipamentos de controle do tráfego de rede, entre eles switchs, roteadores, access point, firewall, etc devem ter suas configurações de segurança “padrão de fábrica” removidas e reconfiguradas para os valores mais restritivos.
9.2. O acesso à rede interna corporativa deve ser restrito a equipamentos devidamente identificados e registrados sempre através de contas de usuário/sistema autorizadas.
9.3. As regras de firewall e roteadores devem restringir as comunicações somente a redes confiáveis.
9.4. O acesso à rede corporativa deve ser segmentado, de forma a garantir a separação de qualquer rede convidada, incluindo aí a rede GUEST disponibilizada para o acesso à internet para visitantes.
9.5. O acesso a rede GUEST de visitantes deve ser controlado e sempre desabilitado ao final da necessidade.
9.6. Sendo possível, o tráfego na rede deve ser monitorado em busca de anomalias que possam representar algum risco a segurança.
10 – Segurança da Proteção da Informação
10.1. Dados críticos e/ou confidenciais devem preferencialmente ser guardados de forma digital nos servidores da RNA ou nos serviços em nuvem devidamente homologados e aprovados pelos gestores de TI. Desta forma podem contar com os processos corporativos de TI para sua proteção.
10.2. A guarda de informações em disco local dos computadores pessoais, pen-drives, HDs externos, ou qualquer outra mídia removível é altamente desaconselhada e não conta com mecanismos de proteção dos processos corporativos de TI.
10.3. Caso seja inevitável a guarda de informações críticos e/ou confidenciais em discos locais ou mídias removíveis é mandatório o uso de criptografia.
10.4. É proibida a guarda de informações da RNA em serviços em nuvem, que não sejam os homologados para empresa e estejam devidamente vinculados aos domínios de propriedade de RNA. Estão incluídos nesta recomendação serviços com “onedrive”, “dropbox”, “google drive”, entre outros.
10.5. O descarte de equipamentos que contenham informações da RNA, como por exemplo discos rígidos e fitas de backup somente deve ser realizado após a destruição dos mesmos de forma a impossibilitar sua utilização futura.
11 – Segurança e Proteção dos Sistemas
11.1. Deve ser objetivo da área de TI manter as versões de sistemas operacionais e softwares de aplicativos sempre atualizados e que os patches de segurança aplicados regularmente.
11.2. Software antivírus/antimalware deve ser instalado em todos os computadores que tem conexão com a rede corporativa e sempre estar atualizado.
11.3. A ferramenta de e-mail utilizada na RNA deve conter ferramentas filtragem para identificar e bloquear fontes não autorizadas.
11.4. Filtros contra “phising” e “spam” devem ser configurados e os usuários devem receber treinamento para capacitação na identificação e resposta adequada para este tipo de ameaça.
12 – Gestão de BackUp, Continuidade de Negócios e Recuperação de Desastres
12.1. Backups, ou seja, cópias de segurança das informações armazenadas nos servidores da RNA devem ser realizados regularmente.
12.2. Os backups devem incluir procedimentos que garantam a guarda de cópias “off-line”, ou seja, sem possibilidade de acesso através da rede corporativa.
12.3. Sempre que possível, mídias com os backups devem ser armazenadas em local fisicamente distante dos servidores objetivando sua preservação em caso de sinistro na sala dos servidores.
12.4. Devem ser garantidas redundâncias das mídias de backup para maior segurança na guarda das informações.
12.5. Sempre que possível, devem ser realizados testes de validação dos backups periodicamente.
13 – Gerenciamento de Incidentes de Cibersegurança
13.1. Publicar, testar periodicamente e manter um Plano de Resposta a Incidentes de Cibersegurança abrangente para responder, resolver e recuperar-se de um incidente de segurança.
13.2. Estabelecer protocolos de comunicação com partes interessadas internas e externas.
