Política de Segurança da Informação

1. Objetivo

Prover orientação e apoio para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações pertinentes, contribuindo assim para a sustentabilidade financeira da organização.

2. Escopo

Esta “Política de Segurança” mantém a integridade na prestação do serviço em todas as unidades da Algar Tech de acordo com as estratégias da empresa, legislação vigente e requisitos contratuais.

As diretrizes aqui estabelecidas devem ser seguidas por todos os associados, prestadores de serviços, fornecedores, estagiários, contratados, parceiros, e clientes que utilizam informações da Algar Tech.

Nota 01: Exceções somente quando aprovado pelo corpo diretivo.

3. Princípios de Segurança da Informação

Confidencialidade: garantir que as informações são disponibilizadas ou divulgadas apenas a indivíduos, entidades ou processos autorizados, assegurando o sigilo dos dados.

Integridade: garantir a veracidade, precisão e consistência das informações, garantindo que não sejam comprometidas, alteradas intencionais ou acidentais;

Disponibilidade: garantir que as informações estejam sempre acessíveis quando necessários sob demanda por indivíduos, entidades ou processos autorizados.

4. Diretrizes

4.1. Pessoas

Associados Algar Tech

Todo associado deve assinar o “Termo de Confidencialidade” no ato de sua admissão ou sempre que for solicitado pela empresa.
É vedado a qualquer associado à utilização indevida de informações da empresa e/ou de seus clientes, transmitirem-nas para a concorrência, utilizá-las para benefício próprio e/ou armazenar arquivos e e-mails de forma imprópria.
Qualquer ID de autenticação (usuário e senha) na rede corporativa ou em aplicativos fornecidos pela Algar Tech é pessoal e intransferível e cada usuário será responsável pelo armazenamento e uso do mesmo.

4.2. Fornecedor e Terceiros

Toda criação, invenção e desenvolvimento de ideias, processos, sistemas, produtos e serviços realizados durante a prestação de serviço na Algar Tech devem ser transferidos à mesma.
É vedado a qualquer pessoa prestadora de serviço utilizar indevidamente informações da empresa e de seus clientes, transmiti-las para concorrência, utilizá-las para benefício próprio e/ou armazenar arquivos e e-mails de forma imprópria.
Recebendo acesso a qualquer recurso da Algar Tech, o prestador de serviço estará sujeito às políticas e diretrizes internas da organização e a todos os critérios estabelecidos nas cláusulas de confidencialidade disponíveis no contrato de prestação de serviço assinado no ato da contratação.

4.3. Ativos

Todo produto ou equipamento da Algar Tech que se faça necessário transportar, deve ser acomodado de forma segura, garantindo assim sua integridade física e lógica quando aplicável.
Na rede corporativa, não é permitida a utilização de computadores pessoais. Salvo exceções previamente autorizadas pela área de segurança da informação.
Toda entrada, movimentação e saída de ativos das unidades da Algar Tech devem obedecer aos procedimentos internos da empresa.

4.4. Processos

A empresa deve mapear todos os processos críticos ao negócio e realizar uma avaliação de riscos com controles e tratativas. Os mesmos devem ser conhecidos, aprovados e aceitos pelo corpo diretivo.
O mapeamento dos processos críticos deve ser revisado sempre que mudanças de impacto ocorram no ambiente.

4.5. Risco

A empresa deve definir e aplicar um processo de avaliação de riscos de segurança da informação para os processos e tecnologias existentes e seus resultados devem ser comparáveis e reproduzíveis, compondo o Mapa de Risco Corporativo.
A avaliação de risco deve ser capaz de identificar as vulnerabilidades, ameaças, impactos e níveis de risco aceitáveis para os ativos, pessoas, informação, sistemas, aplicação e mapeamento dos principais processos do negócio de acordo com as estratégias da empresa, legislação vigente e requisitos contratuais.
A avaliação de risco deve ser revisada pelo menos uma vez a cada ano, ou sempre que mudanças de impacto ocorram no ambiente.

4.6. Informação

O acesso a informações da Algar Tech ou de seus clientes em seu ambiente empresarial e computacional é restrito e será disponibilizado somente ao perfil de pessoas formalmente autorizadas.
Todas as cláusulas de confidencialidade acordadas com os clientes em relação às suas informações devem ser respeitadas pelos associados Algar Tech ou terceiros a serviços que porventura venham a ter acesso a estas informações.
É expressamente proibido para todo usuário que não possua autorização formal de uso, o acesso a quaisquer sistemas e aplicativos ou mesmo a simples tentativa de acesso.
Toda e qualquer informação gerada dentro da Algar Tech ou em seu nome, que seja fruto de trabalho dos associados, fornecedores ou prestadores de serviço são de direito da Algar Tech e somente ela pode determinar seu destino e finalidade.
Toda criação, invenção e desenvolvimento de ideias, processos, sistemas, produtos e serviços, criados no âmbito do trabalho ou das responsabilidades e missão da função ou cargo do associado na empresa, devem ser transferidos à Algar Tech.
É proibida a divulgação de qualquer informação da empresa ou de seus clientes para outrem que não pertença ao mesmo grupo de trabalho, em meios de comunicação públicos (incluindo fotos/filmagens em redes sociais) ou internos, sem autorização prévia ou que esteja vinculado ao Termo de Responsabilidade e Confidencialidade, salvo exceções quando previstas em contrato.
A informação gerada no âmbito da organização deve ser armazenada em um processo de backup com garantia de restore em local seguro validados pela equipe competente.
Não é permitido o uso de pendrives, HD externo ou qualquer outro tipo de dispositivo removível para o transporte ou armazenamento de dados. Exceções devem ser formalmente autorizadas pela área de segurança da informação.
Ao final do vínculo contratual com o cliente ou prestador de serviços, toda informação armazenada nos equipamentos da Algar Tech deve ser apagada ou repassada para o mesmo quando previsto em contrato;
Ao final do vínculo empregatício e/ou contratual, os associados e/ou prestadores de serviço que porventura tenham permissão de acesso a equipamentos ou mídias de armazenamento devem eliminar quaisquer vestígios físicos e/ou lógicos de informações geradas ou adquiridas dentro da Algar Tech.

4.7. Sistemas e Aplicativos

Não será permitida a instalação de software shareware, freeware ou equivalentes que não esteja previsto na lista de soluções homologadas.
Todas as atualizações e correções de segurança devem ser implantadas conforme regra de cada aplicação é homologada pela equipe de segurança e tecnologia da informação.
Todos os equipamentos (servidores, desktops, notebooks dentre outros) que permitam a instalação de antivírus, devem tê-los instalados e atualizados de forma online, não podendo o usuário desabilitar ou desinstalar.
Todo e-mail e acesso à internet deve ser monitorado e protegido com antivírus e regras de firewall.
O e-mail corporativo da Algar Tech deve ser utilizado apenas para tratar assuntos relacionados à empresa, sendo as informações armazenadas ou transmitidas de propriedade da organização, cabendo ao usuário garantir sua correta classificação e tratamento conforme procedimento da organização.
A utilização do e-mail corporativo para fins pessoais, cadastro em sites de compras e outros formulários não é permitida.
Nenhum acesso aos sistemas e aplicativos da Algar Tech ou de seus clientes pode ser compartilhado, sendo o associado dono do usuário, o único responsável por manter a confidencialidade de suas senhas de logon, usuário de rede, internet, arquivos de trabalho e demais aplicativos da Algar Tech.
É vedado o uso de ferramentas de Instant Messaging não homologadas pela equipe de segurança e tecnologia, salvo exceções, quando comprovado o seu uso efetivo nas atividades desempenhadas pelo associado ou cliente.
É vedada a transferência de arquivos por qualquer ferramenta de Instant Messaging e compartilhamento de arquivos, salvo exceções autorizadas e/ou ferramentas homologadas e autorizadas.

4.8. Violação das Políticas e Diretrizes

As violações de segurança devem ser informadas à área de Segurança da Informação imediatamente. Toda violação ou desvio deve ser investigado para a determinação das medidas necessárias, visando à correção da falha ou reestruturação de processos.

São consideradas violações de segurança:

Uso ilegal de software;
Introdução (intencional ou não) de vírus de informática;
Compartilhamento de informações sensíveis do negócio;
Compartilhamento de dados pessoais;
Exposição indevida de dados relacionados a contratos e clientes;
Quebra de sigilo de informações confidenciais e/ou dados sensíveis;
Divulgação de informações de clientes e das operações contratadas.
Compartilhamento de: Conteúdo adulto, discriminatório, ofensivo, difamatório, abusivo, pornográfico, obsceno, violento e os demais que venham a causar, incitar ou promover atitudes que impliquem em violação de privacidade, propriedades intelectual e industrial;
Demais violações previstas no Código de Conduta do Grupo Algar, Política de Segurança da Informação do Grupo Algar e legislações vigentes.

Os princípios de segurança estabelecidos na presente política possuem total aderência da presidência e diretoria da Algar Tech e devem ser observados por todos na execução de suas funções.

4.9. Auditoria

Todos os associados, bem como os terceiros que utilizem o ambiente tecnológico da Algar Tech, estão sujeitos a auditoria de rede, telefonia e utilização das aplicações.
Os procedimentos de auditoria e monitoramento serão realizados periodicamente pela área de segurança da informação ou empresa contratada, com o objetivo de observar o cumprimento das diretrizes estabelecidas nesta política pelos usuários e com vistas a gestão de performance da rede.
Havendo evidência de atividades que possam comprometer a segurança da rede, ser permitido a área de segurança da informação auditar e monitorar as atividades de um usuário, além de inspecionar seus arquivos e registros de acesso, a bem do interesse da Algar Tech, sendo o fato imediatamente comunicado à Alta Direção.

5. Disposições gerais

A presente Política de Segurança da Informação está sujeita a alterações regulares para garantir que esteja atualizada conforme a legislação aplicável.