POLÍTICA DE SEGURANÇA DA INFORMAÇÃO. Fev.17 - PDF
Download "POLÍTICA DE SEGURANÇA DA INFORMAÇÃO. Fev.17"
Iago Galindo Marinho
1 POLÍTICA DE SEGURANÇA DA INFORMAÇÃO Fev.17
2 1. OBJETIVO 3 2. CONFIDENCIALIDADE 3 3. INTEGRIDADE E DISPONIBILIDADE: 7 2
3 1. OBJETIVO A presente política define as diretrizes, procedimentos de trabalho e padrões de segurança da informação adotados pela Valora Gestão de Investimentos com o objetivo de proteger as informações de propriedade da empresa ou sob sua guarda. Aspectos básicos: 1) Confidencialidade: somente pessoas autorizadas devem ter acesso às informações da empresa, dos fundos e dos clientes. 2) Integridade e Disponibilidade: A informação produzida dentro da empresa é de sua propriedade e deve estar disponível para seus colaboradores sempre que necessário ou demandado. 2. CONFIDENCIALIDADE Restrição de Acesso Físico: Cada usuário possui um crachá de acesso que autoriza sua entrada no prédio e na empresa. O acesso físico de cada usuário é registrado em relatório de entradas e saídas que deve ser verificado mensalmente, com o objetivo de detectar acessos fora do padrão. O crachá do de acesso ao prédio deve ser bloqueado em caso de: perda ou roubo; desligamento de colaborador. Restrição de Acesso à Rede: 3
4 Cada colaborador recebe um usuário e senha para acesso a rede e diretórios da Valora Gestão de Investimentos no momento de sua entrada na empresa. No primeiro acesso, o usuário é solicitado a alterar a senha previamente estabelecida pela área de TI, cadastrando uma nova senha que deve conter no mínimo 7 letras e números ou letras e caracteres especiais. As senhas de usuário são pessoais e intransferíveis, não podendo ser compartilhadas, divulgadas a terceiros (inclusive colaboradores da própria empresa), anotadas em papel ou em sistema visível ou de acesso não-protegido na rede. Após 5 tentativas de acesso sem sucesso, a senha será automaticamente bloqueada, devendo o usuário solicitar o desbloqueio da senha a área de Tecnologia, que deverá fazer a verificação do ocorrido. A Área e Tecnologia da Informação e Compliance deverão analisar semanalmente o relatório de monitoramento de acesso à rede. Este relatório indicará os programas acessados e os horários em que foram acessados com o objetivo de identificar e analisar acessos que estejam fora do padrão e toda visita será formalizada em relatório disponível Restrição de Replicação das Informações: O acesso via VPN (Virtual Private Network) só está disponível para utilização mediante autorização do Oficial de Compliance. Restrição de Acesso aos Servidores: O acesso físico aos servidores da Valora Gestão de Investimentos só pode ser realizado com autorização formal de pessoas qualificadas (Gerente de TI ou um Colaborador apto). Restrição de Acesso aos Sistemas Externos: 4
5 Para acessos a sistemas externos, o controle é feito pelo responsável por Compliance, que autorizará o acesso mediante solicitação do usuário e análise da necessidade de acesso. As autorizações concedidas deverão sofrer um processo de revisão periódica para detecção de alguma inconsistência, cabendo ao responsável pela área a revisão e a manutenção dos níveis de acesso de cada usuário. Restrição de Acesso a informações sensíveis: Documentos impressos e arquivos contendo informações confidenciais devem ser adequadamente armazenados e protegidos. As informações são armazenadas em diferentes diretórios de acordo com o assunto e o grau de confidencialidade, onde somente pessoas ou grupo de pessoas autorizadas pelo Gerente responsável pelo diretório em questão podem ter acesso. Para novas solicitações, o Gerente responsável pelo diretório deve enviar à área de Tecnologia um autorizando o acesso de leitura e gravação ou somente leitura. Os demais Colaboradores devem garantir que as informações às quais têm acesso não sejam divulgadas sem necessidade. Ao se ausentar de sua mesa, o funcionário deve bloquear a sua máquina, garantindo que o acesso só possa ser feito através da senha. Os Colaboradores deverão assegurar também que informações sensíveis e/ ou confidenciais impressas sejam adequadamente arquivadas e que não estejam ao alcance de terceiros. Assuntos confidenciais de trabalho não devem ser discutidos em ambientes públicos ou em áreas expostas (aviões, restaurantes, encontros sociais etc.). Todos os Colaboradores da Valora Gestão de Investimentos devem ter ciência de que o uso das informações e dos 5
6 sistemas de informação de propriedade da empresa pode ser monitorado, e que os registros assim obtidos poderão ser utilizados para detecção de violações da Política de Segurança da Informação e, conforme o caso servirá como evidência em processos administrativos e/ou legais. Desligamento: Todo desligamento deve ser prontamente informado e todos os acessos pertencentes ao funcionário desligado devem ser imediatamente bloqueados. Deverá ser formatada mensagem de resposta automática de informado que este colaborador não faz mais parte do quadro de colaboradores da VGI, nome, telefone e de quem possa atender as solicitações e demandas até que seja contratado substituto para o cargo. Também deverá ser configurado pelo período de 02 meses, o redirecionamento das mensagens recebidas para a caixa de do substituto temporário. Caso haja a necessidade, os acessos poderão ser mantidos durante o período de transição mediante aprovação do gerente da área e do Diretor Presidente da empresa. Texto padrão: O Sr. (a) nome completo não faz mais parte do nosso quadro de colaboradores. Sua mensagem será redirecionada para: Nome completo Telefone: Atenciosamente, Valora Gestão de Investimentos 6
7 3. INTEGRIDADE E DISPONIBILIDADE: Uso de Softwares, Hardwares, Correio Eletrônico e Telefone: Os funcionários e colaboradores estão cientes de que os recursos disponibilizados pela Valora Gestão de Investimentos, incluindo os sistemas de correio eletrônico ( ), telefones, hardwares e softwares nas dependências de trabalho ou providas pela Valora Gestão de Investimentos, são de propriedade da Valora Gestão de Investimentos e poderão ser utilizados somente com o objetivo de negócios. A contribuição que os funcionários e colaboradores dão ao desenvolvimento e implementação dos produtos e serviços da Valora Gestão de Investimentos, durante seu período empregatício, é incorporada a esses produtos e serviços e torna-se propriedade da Valora Gestão de Investimentos e continuará a sê-la, mesmo se o funcionário ou colaborador deixar a empresa. Sujeito a leis aplicáveis, a Valora Gestão de Investimentos se reserva o direito de arquivar, monitorar, revisar e liberar s e ligações telefônicas da forma que achar adequada. Monitoramento: As conversas de Skype também são gravadas e monitoradas, podendo ser recuperadas em caso de necessidade. O fechamento de operações deve sempre ser feito via o telefone da empresa, , Skype ou sistemas de envio de ordens que permitam o registro das ordens enviadas. 7
8 Revisão: A presente política deverá ser revisada anualmente com atualizações que se julguem necessárias para a garantia da segurança da informação. 8
10 ANEXO I ACESSOS E PROCEDIMENTOS ADICIONAIS Mapeamento dos Diretórios: Em atualização. Sistemas Internos: Totvs OrderBy Sistemas Externos: Bradesco Net Empresas; Bradesco Custódia; Santander custódia; SMA BNY Mellon; Itaucustódia; Genuis Sifra S.A; Salesforce. Issues: 1) Solicitar aos gestores a separação das pessoas em grupos de acesso para a definição dos acessos como somente leitura ou leitura e gravação. 10
11 ANEXO II TERMO DE COMPROMISSO E RESPONSABILIDADE POLÍTICA DE SEGURANÇA DE INFORMAÇÃO Declaro ter conhecimento, estar de pleno acordo e comprometo-me a respeitar as regras consubstanciadas na Política de Segurança de Informação da Valora Gestão de Investimentos, dedicando especial cuidado aos seguintes aspectos: 1) Atentar para o fato de que os produtos e serviços da Valora Gestão de Investimentos são sua propriedade, e a contribuição que os colaboradores dão ao desenvolvimento e implementação de tais produtos e serviços, durante seu período empregatício, faz com que os mesmos sejam propriedade da Valora Gestão de Investimentos e continuarão a sê-lo, mesmo se o Colaborador deixar a Valora Gestão de Investimentos; 2) Não violar a Política de Segurança de Informação ou tentar acessos não autorizados à rede da Valora Gestão de Investimentos; 3) Utilizar de forma adequada e correta os equipamentos de informática, sistemas e telefonia disponibilizados para a execução do meu trabalho; 4) Não divulgar ou facilitar o uso de minha senha pessoal de acesso à rede de computadores da Valora Gestão de Investimentos e a seus aplicativos; 5) Não praticar ou permitir que terceiros pratiquem atos que possam trazer danos potenciais à Valora Gestão de Investimentos, como vírus ou acessos indevidos à rede de computadores; 6) Não discutir informações confidenciais de trabalho em ambientes públicos (tais como restaurantes, aeroportos...) Autorização:
12 Autorizo a Valora Gestão de Investimentos a efetuar a gravação, reprodução, divulgação, e escuta de minhas conversas telefônicas efetuadas no escritório, bem como das mensagens eletrônicas (MSN) trocadas dentro da Valora Gestão de Investimentos, a monitorar o uso da internet e correio eletrônico e a tomar as devidas providências, caso constate violação da política de segurança da informação. Vigência e Formalização: O presente Termo vigorará por tempo indeterminado e permanecerá válido mesmo após o meu desligamento da Valora Gestão de Investimentos, podendo ser utilizado caso o Termo aqui assinado seja quebrado por algum motivo. Para tanto, assino o presente Termo de Compromisso e Responsabilidade, declarando-me ciente de que a displicência ou descumprimento de quaisquer normas estabelecidas na Política de Segurança de Informação, poderá acarretar punições disciplinares, além da obrigação de ressarcir a Valora Gestão de Investimentos de eventuais prejuízos decorrentes das falhas ou omissões por mim cometidas. São Paulo, de 20 Nome: Política de Segurança da Informação 12
13 QUADROS DE APROVAÇÃO E DE CONTROLE DE MANUTENÇÃO DA POLÍTICA Data Atualização Responsável Aprovação 27/08/2015 MP DP 24/02/2017 MP DP Política de Segurança da Informação 13