Política de Segurança da Informação

1. Objetivo

Estabelecer diretrizes e controles garantindo a confidencialidade, integridade e disponibilidade dos dados, em conformidade com a norma ISO/IEC 27001, LGPD, PCI DSS, requisitos de negócio, leis e regulamentações aplicáveis.

2. Princípios de Segurança da informação

Confidencialidade: garantir que as informações são disponibilizadas ou divulgadas apenas a indivíduos, entidades ou processos autorizados, assegurando o sigilo dos dados.

Integridade: garantir a veracidade, precisão e consistência das informações, garantindo que não sejam comprometidas, alteradas intencionais ou acidentais;

Disponibilidade: garantir que as informações estejam sempre acessíveis quando necessários sob demanda por indivíduos, entidades ou processos autorizados.

3. Diretrizes

3.1 – Ativos

• Na rede corporativa, não é permitida a utilização de computadores pessoais. Salvo exceções previamente autorizadas pela área de segurança da informação.
• Toda entrada, movimentação e saída de ativos devem obedecer aos procedimentos internos da empresa.

3.2 – Processos

• A empresa deve mapear todos os processos críticos ao negócio e realizar uma avaliação de riscos com controles e tratativas. Os mesmos devem ser conhecidos, aprovados e aceitos pelo corpo diretivo.
• O mapeamento dos processos críticos deve ser revisado sempre que mudanças de impacto ocorram no ambiente.

3.3 – Riscos

• A empresa deve definir e aplicar um processo de avaliação de riscos de Segurança da Informação para os processos e tecnologias existentes.
• A avaliação de riscos deve ser capaz de identificar as vulnerabilidades, ameaças, impactos e níveis de risco aceitáveis para os ativos, pessoas, informação, sistemas, aplicação e mapeamento dos principais processos do negócio de acordo com as estratégias da empresa, legislação vigente e requisitos contratuais.
• A avaliação de riscos deve ser revisada pelo menos uma vez a cada ano, ou sempre que mudanças de impacto ocorram no ambiente.

3.4 – Informação

• É expressamente proibido para todo usuário que não possua autorização formal de uso, o acesso a quaisquer sistemas e aplicativos ou mesmo a simples tentativa de acesso.
• Toda e qualquer informação gerada dentro da Callink ou em seu nome, que seja fruto de trabalho dos associados, fornecedores ou prestadores de serviço são de direito da Callink Granja e somente ela pode determinar seu destino e finalidade.
• Toda criação, invenção e desenvolvimento de ideias, processos, sistemas, produtos e serviços, criados no âmbito do trabalho ou das responsabilidades e missão da função ou cargo do associado na empresa, devem ser transferidos à Callink.
• É proibida a divulgação de qualquer informação da empresa ou de seus clientes para outrem que não pertença ao mesmo grupo de trabalho, em meios de comunicação públicos (incluindo fotos/filmagens em redes sociais) ou internos, sem autorização prévia ou que esteja vinculado ao Termo de Responsabilidade e Confidencialidade, salvo exceções quando previstas em contrato.
• A informação gerada no âmbito da organização deve ser armazenada em um processo de backup com garantia de restore em local seguro validados pela equipe competente.
• Não é permitido o uso de pendrives, HD externo ou qualquer outro tipo de dispositivo removível para o transporte ou armazenamento de dados. Exceções devem ser formalmente autorizadas pela área de segurança da informação.
• Ao final do vínculo contratual com o cliente ou prestador de serviços, toda informação armazenada nos equipamentos da Callink deve ser apagada ou repassada para o mesmo quando previsto em contrato.
• Ao final do vínculo empregatício e/ou contratual, os associados e/ou prestadores de serviço que porventura tenham permissão de acesso a equipamentos ou mídias de armazenamento devem eliminar quaisquer vestígios físicos e/ou lógicos de informações geradas ou adquiridas dentro da Callink

3.4 – Sistemas e Aplicativo

• Não será permitida a instalação de qualquer software que não tenha sido homologado pela Callink.
• Todas as atualizações e correções de segurança devem ser implantadas conforme regra de cada aplicação além de ser homologada pela equipe de segurança e tecnologia da informação.
• Todos os equipamentos (servidores, desktops, notebooks dentre outros) que permitam a instalação de antivírus, devem tê-los instalados e atualizados de forma online, não podendo o usuário desabilitar ou desinstalar.
• A utilização do e-mail corporativo para fins pessoais, cadastro em sites de compras e outros formulários não é permitida.
• Nenhum acesso aos sistemas e aplicativos da Callink ou de seus clientes pode ser compartilhado, sendo o associado dono do usuário, o único responsável por manter a confidencialidade de suas senhas de logon, usuário de rede, internet, arquivos de trabalho e demais aplicativos.
• É vedado o uso de ferramentas de Instant Messaging não homologadas pela equipe de segurança e tecnologia, salvo exceções, quando comprovado o seu uso efetivo nas atividades desempenhadas pelo associado ou cliente.
• É vedada a transferência de arquivos por qualquer ferramenta de Instant Messaging e compartilhamento de arquivos, salvo exceções autorizadas e/ou ferramentas homologadas e autorizadas.

3.5 – Violação das Políticas e Diretrizes

As violações de segurança devem ser informadas à área de Segurança da Informação imediatamente. Toda violação ou desvio deve ser investigado para a determinação das medidas necessárias, visando à correção da falha ou reestruturação de processos.

São consideradas violações de segurança:

● Uso ilegal de software;

● Introdução (intencional ou não) de vírus de informática;

● Compartilhamento de informações sensíveis do negócio;

● Compartilhamento de dados pessoais;

● Exposição indevida de dados relacionados a contratos e clientes;

● Quebra de sigilo de informações confidenciais e/ou dados sensíveis;

● Divulgação de informações de clientes e das operações contratadas;

● Compartilhamento de: Conteúdo adulto, discriminatório, ofensivo, difamatório, abusivo, pornográfico, obsceno, violento e os demais que venham a causar, incitar ou promover atitudes que impliquem em violação de privacidade, propriedades intelectual e industrial;

3.6 – Auditoria

• Todos os associados, bem como os terceiros que utilizem o ambiente tecnológico da Callink, estão sujeitos a auditoria de rede, telefonia e utilização das aplicações.
• Os procedimentos de auditoria e monitoramento serão realizados periodicamente pela área de segurança da informação ou empresa contratada, com o objetivo de observar o cumprimento das diretrizes estabelecidas nesta política pelos usuários e com vistas a gestão de performance da rede.
• Havendo evidência de atividades que possam comprometer a segurança da rede, será permitido a área de segurança da informação auditar e monitorar as atividades de um usuário, além de inspecionar seus arquivos e registros de acesso, sendo o fato imediatamente comunicado à Alta Direção.

4. Disposições Gerais

A presente Política de Segurança da Informação está sujeita a alterações regulares para garantir que esteja atualizada conforme a legislação aplicável.