Política de Segurança da Informação

1. INTRODUÇÃO

A Sabó reconhece a importância da Segurança da Informação como ferramenta para cumprimento da sua missão, aspiração e valores, bem como investe constantemente no crescimento profissional de seus colaboradores e em tecnologias que garantam a excelência de seus produtos e serviços.

É essencial a proteção dos seus ativos, uma vez que quando utilizados de modo indevido podem gerar danos irreparáveis à Sabó, além de afetar a sua imagem perante o mercado.

Desta forma, esta Política de Segurança da Informação foi elaborada para garantir a sua aderência à legislação vigente e aos requisitos do negócio.

É responsabilidade de todos, independentemente de cargo ou função, estarem cientes e cumprirem a Política de Segurança da Informação da Sabó, além de aplicá-la, constantemente, nas suas atividades diárias, respeitando e disseminando o seu conteúdo.

2. OBJETIVO

Esta Política de Segurança da Informação (PSI) tem como objetivos:

• Declarar formalmente o comprometimento da Direção da Sabó na promoção de diretrizes estratégicas, responsabilidades, competências e apoio ao Sistema de Gestão de Segurança da informação (SGSI), a fim de garantir a proteção dos seus ativos tangíveis e intangíveis;
• Estabelecer as responsabilidades e os limites de atuação dos colaboradores da Sabó em relação à segurança da informação, reforçando a cultura interna e priorizando as ações necessárias conforme o negócio.

3. NORMAS E MANUAIS COMPLEMENTARES

• IT_INF001_Serviços de backup e transportes;
• IT_INF002_Criação e cancelamento de usuários e direitos em sist_informatizados;
• IT_INF003_Política utilização e aquisição de hardware e software;
• IT_INF004_Usuários que não utilizam o R3;
• IT_INF005_Gerenciamento de mudanças;
• IT_INF006_Gerenciamento e operação de câmeras de segurança;
• IT_INF007_Descarte Seguro;
• IT_INF008_Incidentes Segurança de dados pessoais;
• IT_INF009_Incidentes Segurança da Informação;
• IT_INF010_Política de Gestão de Ativos;
• IT_INF011_Ferramentas de Segurança da informação;
• PR_INF004_Política de Privacidade e Tratamento de dados da Sabó (“Política”);
• PR-GMQ/001 - Controle de Documentos e Registros.

4. APLICAÇÕES

Este é um documento interno, com valor jurídico e aplicabilidade imediata e indistinta, a partir de sua publicação, aos colaboradores, parceiros e fornecedores da Sabó.

5. DEFINIÇÕES

• Ameaça: Causa potencial de um incidente indesejado, que pode resultar em dano.
• Aplicativos de Comunicação: Conjunto de código e instruções compiladas, executados ou interpretados por um Recurso de Tecnologia da Informação e Comunicação, armazenados em um dispositivo ou na nuvem, que são usados para troca rápida de mensagens, conteúdos e informações multimídia.
• Ativo: É qualquer coisa que tenha valor e precisa ser adequadamente protegido.
• Ativo Intangível: Todo elemento que possui valor e que esteja em suporte digital ou se constitua de forma abstrata, mas registrável ou perceptível, a exemplo, mas não se limitando à dados, reputação, imagem, marca e conhecimento.
• Autenticidade: Garantia de que a informação é procedente e fidedigna, sendo capaz de gerar evidências não repudiáveis da identificação de quem a criou, editou ou emitiu.
• Backup: Salvaguarda de informações realizada por meio de reprodução e/ou espelhamento de uma base de arquivos com a finalidade de recuperação em caso de incidente ou necessidade de restauração, ou ainda, constituição de infraestrutura de acionamento imediato em caso de incidente ou necessidade justificada.
• Colaborador: empregado, menor aprendiz, estagiário e temporários.
• Colaborador terceiro: prestador de serviços, fornecedor, membros do conselho de administração, diretores estatutários ou qualquer outro individuo ou organização que venha a ter relacionamento profissional, direta ou indiretamente com a organização.
• Confidencialidade: Propriedade da informação de ser acessível apenas a pessoas ou entidades autorizadas, garantindo que informações sensíveis não sejam divulgadas a indivíduos ou sistemas não autorizados.
• Disponibilidade: Propriedade da informação de estar acessível e utilizável quando e onde for necessário, garantindo que usuários autorizados possam acessar as informações e recursos de que precisam para realizar suas atividades.
• Dispositivos Móveis: equipamentos que podem ser facilmente transportados devido a sua portabilidade, com capacidade de registro, armazenamento ou processamento de informações, além da possibilidade de estabelecer conexões com a Internet e outros sistemas, redes ou qualquer dispositivo.
• Dispositivos Removíveis de Armazenamento de Informação: Dispositivos capazes de armazenar informações que pode ser removida do equipamento, possibilitando a portabilidade dos dados, como CD, DVD e pen drive.
• Gestor da informação: Colaborador responsável pela criação/recebimento, classificação, divulgação, compartilhamento, eliminação e destruição da informação. Também é incumbido da gestão de validação, liberação e cancelamento dos acessos à informação destes. Vale ressaltar que tais atividades podem ser delegadas para outro colaborador, desde que concedidas pelo Gestor da informação.
• Homologação: Processo de avaliação e aprovação técnica de Recursos de Tecnologia da Informação e Comunicação para serem utilizados dentro do ambiente da organização.
• Identidade Digital: É a identificação do colaborador em ambientes lógicos, sendo composta por seu nome de usuário (login) e senha ou por outros mecanismos de identificação e autenticação como crachá magnético, certificado digital, token e biometria.
• Incidente de Segurança da Informação e Comunicação: Ocorrência identificada de um estado de sistema, dados, informações, serviço ou rede, que indica possível violação à Política de Segurança da Informação ou Normas Complementares, falha de controles ou situação previamente desconhecida, que possa ser relevante à segurança da informação.
• Informação: Conjunto de dados que, processados ou não, podem ser utilizados para produção, transmissão e compartilhamento de conhecimento, contidos em qualquer meio, suporte ou formato.
• Integridade: Propriedade da informação de ser precisa, completa e consistente, garantindo que não seja alterada ou corrompida de forma não autorizada ou acidental.
• Internet: Rede mundial de computadores interconectada pelo protocolo TCP/IP cuja infraestrutura tem caráter aberto e colaborativo, acessível por meio de dispositivos com conexão e autorizações suficientes e que permite obter informação de qualquer outro dispositivo que também esteja conectado à rede, desde que configurado adequadamente.
• Legalidade: Garantia de que todas as informações sejam criadas e gerenciadas de acordo com as disposições do Ordenamento Jurídico em vigor.
• MFA: Múltiplo fator de autenticação (dupla autenticação).
• Recursos de Tecnologia da Informação e Comunicação (Recursos de TIC): hardware, software, serviços de conexão e comunicação ou de infraestrutura física necessários para criação, registro, armazenamento, manuseio, transporte, compartilhamento e descarte de informações.
• Repositórios Digitais: Plataformas de armazenamento na Internet, a exemplo de Google Drive, OneDrive, Dropbox, iCloud, Box, SugarSync, Slideshare e Scribd.
• Risco: Combinação da probabilidade da concretização de uma ameaça e seus potenciais impactos.
• Segurança da Informação: é a preservação da confidencialidade, integridade, disponibilidade, legalidade e autenticidade da informação. Visa proteger a informação dos diversos tipos de ameaças para garantir a continuidade dos negócios, minimizar os danos aos negócios, maximizar o retorno dos investimentos e de novas oportunidades de transação.
• Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos, quando constatada, deve ser tratada como uma violação.
• Violação: Qualquer atividade que desrespeite as regras estabelecidas nos documentos normativos.

6. PRINCÍPIOS

• 6.1.
  Preservar e proteger a informação produzida pela Sabó ou sob sua responsabilidade, em todo o seu ciclo de vida, contida em qualquer suporte ou formato, de vulnerabilidades e ameaças;
• 6.2.
  Prevenir e reduzir impactos gerados pelos incidentes de segurança da informação, assegurando a confidencialidade, integridade, disponibilidade, autenticidade e legalidade no desenvolvimento das atividades profissionais;
• 6.3.
  Cumprir a legislação brasileira e os demais instrumentos regulamentares relacionados ao negócio no que diz respeito à segurança da informação.

7. DIRETRIZES GERAIS

• 7.1.
  Interpretação: Esta Política de Segurança da Informação (PSI) e seus documentos complementares devem ser seguidos de forma rigorosa. Isso significa que qualquer atividade não prevista, nesses documentos só pode ser realizada se houver uma autorização formal e prévia do gestor responsável pelo colaborador.
• 7.2.
  Publicidade: Esta PSI e seus documentos complementares devem ser divulgados aos colaboradores, prestadores de serviços e terceiros pela área de Recursos Humanos, ou Tecnologia da Informação ou Qualidade, visando dar publicidade a estes que se relacionam profissionalmente com a Sabó.
• 7.3.
  Propriedade: As informações geradas, acessadas, manuseadas, armazenadas ou descartadas no exercício das atividades realizadas pelos colaboradores e colaboradores terceiros, bem como ativos intangíveis e tangíveis disponibilizados, são de propriedade ou estão sob a responsabilidade e direito de uso da Sabó, sendo assim, devem ser utilizados unicamente para fins profissionais.
• 7.4.
  Propriedade Intelectual: A utilização de obras intelectuais, softwares, desenhos industriais, marcas, identidade visual ou qualquer outro sinal distintivo atual ou futuro da Sabó em qualquer suporte, inclusive na Internet e mídias sociais, deve ser previamente autorizada pela empresa e vinculada as atividades profissionais.
• 7.5.
  Classificação da Informação: Todas as informações de propriedade ou sob a responsabilidade da Sabó devem ser classificadas e protegidas com controles específicos em todo o seu ciclo de vida.
• 7.6.
  Utilização de criptografia: A Sabó adota a criptografia como medida de segurança para proteção dos dados armazenados em seus notebooks e desktops utilizados em endereços que não são de propriedade da empresa. Para isso, utiliza exclusivamente o recurso BitLocker, nativo do sistema operacional Windows (AES - Advanced Encryption Standard configurado com chaves de 128 bits), que realiza a criptografia dos discos rígidos internos desses equipamentos. Considerações importantes:

  • A gestão das chaves de criptografia é realizada automaticamente pelo próprio BitLocker, integrado à solução de segurança Bitdefender, sem intervenção manual dos usuários ou administradores. Não são utilizados, nem previstos para uso, mecanismos de criptografia baseados em chaves públicas e privadas.
  • A criptografia é aplicada apenas aos HDs internos dos equipamentos móveis que possam ser transportados para fora da organização e aos desktops utilizados em locais externos, visando garantir a confidencialidade e integridade das informações corporativas em caso de perda, roubo ou acesso indevido ao equipamento.
  • O uso de dispositivos de armazenamento removíveis (pendrives, HDs externos, etc.) deve seguir as diretrizes específicas da política de segurança, sendo vedado o armazenamento de informações corporativas nesses dispositivos sem autorização expressa da Gerência de TI.
  • Essa abordagem garante que os dados estejam protegidos conforme as melhores práticas de segurança, sem a complexidade adicional de gerenciamento de chaves públicas e privadas.
• 7.7.
  Sigilo: É vedada, a qualquer tempo, a revelação de informação de propriedade ou sob a responsabilidade da Sabó sem a prévia e formal autorização do Gestor da Informação, excetuando-se a informação pública.
• 7.8.
  Uso dos Ativos: Os ativos de propriedade ou sob sua responsabilidade da Sabó devem ser utilizados somente para fins profissionais e de acordo com as orientações dos fabricantes e da empresa.
• 7.8.1.
  Uso dos Recursos de TIC: Os recursos de TIC de propriedade ou sob a responsabilidade da Sabó devem ser utilizados somente para fins profissionais, de modo lícito, ético e moral e conforme as regras da Sabó.
• 7.8.2.
  Manutenção dos Ativos: A gestão dos ativos na Sabó deve atender às recomendações dos fabricantes e desenvolvedores, sendo que qualquer necessidade de manutenção, atualização ou correção de falhas técnicas somente pode ser direcionada pela Gerência de TI, de acordo com o tipo de ativo.
• 7.8.3.
  Inventário dos Ativos: A Sabó deve realizar inventário de hardwares e softwares que possuir, devendo a Gerência de TI indicar as informações necessárias e ser a responsável pelo seu registro, armazenamento e atualização.
• 7.8.4.
  Dispositivos Móveis Corporativos: Os dispositivos móveis devem ser utilizados quando fornecidos ou autorizados prévia e expressamente pelo Diretor da Área/Gerência do colaborador e aprovado pela Diretoria de Operações e Gerência de RH, conforme a função do colaborador e as necessidades do negócio.
• 7.8.5.
  Devolução de Recursos de TIC: Sempre que houver desligamento do colaborador ou quando o recurso de Tecnologia da Informação e Comunicação (TIC) deixar de ser utilizado por qualquer motivo (como mudança de função, transferência, substituição de equipamento ou término de necessidade operacional), o Gestor responsável deve garantir a devolução imediata de todos os recursos de TIC à Gerência de Tecnologia da Informação.
• 7.8.6.
  Celular Corporativo: Os usuários desses dispositivos devem configurar o bloqueio de tela automaticamente após 15/30 segundos de inatividade e habilitar a proteção por senha forte (mínimo de 8 caracteres, incluindo letras maiúsculas, minúsculas, números e caracteres especiais). O usuário é responsável por manter o aparelho seguro e comunicar à TI em caso de perda, furto, roubo ou acesso indevido.
• 7.9.
  Uso dos Recursos de TIC/Dispositivos Móveis Particulares: Não é permitido o uso de Recursos de TIC/Dispositivos Móveis particulares na execução de qualquer atividade profissional, exceto quando autorizado e fundamentado pelo [Gestor ou Gerente do colaborador] e aprovado pela [Gerencia de TI e RH].
• 7.10.
  Repositórios Digitais e Dispositivos Removíveis: É vedado aos colaboradores o uso de repositórios digitais ou dispositivos removíveis não autorizados ou homologados pela Sabó para armazenar ou transmitir informações de propriedade ou sob a responsabilidade da empresa.
• 7.10.1.
  A área de Tecnologia da Informação deverá manter registro dos dispositivos que podem fazer uso de repositórios digitais ou dispositivos removíveis.
• 7.11.
  Armazenamento Local de Arquivos: É recomendado evitar a gravação de arquivos corporativos no disco local (ex.: disco C:) dos equipamentos, priorizando sempre o armazenamento em repositórios homologados pela Sabó, como Microsoft SharePoint ou OneDrive. O armazenamento local deve ser utilizado apenas em situações excepcionais, como acesso offline temporário, e as informações devem ser transferidas para os repositórios seguros assim que possível.
• 7.12.
  Aplicativos de Comunicação Instantânea: O uso de aplicativos de comunicação instantânea para troca de informações corporativas deve atender as regras estabelecidas pela Gerência de TI.
• 7.13.
  Mídias Sociais: O uso das mídias sociais para realização das atividades profissionais em favor da Sabó deve ocorrer somente quando necessário e de forma restrita aos objetivos do negócio, de acordo com o Código de Conduta e Ética vigente. Tais atividades devem ser executadas por meio dos Recursos de TIC da Sabó.
• 7.13.1.
  Conduta do Colaborador no Uso das Mídias Sociais: O colaborador deve ser cauteloso, ético e seguro em relação à sua exposição de modo que não afete a reputação da Sabó, a exemplo de rotinas, trajetos e contatos, além do dever de preservar o sigilo profissional nas mídias sociais.
• 7.14.
  Mecanismos de Autenticação (Senhas): As senhas de acesso para a Rede/Microsoft 365, Sistema SAP e outros sistemas/portais quando possível ou aplicável.
• 7.14.1.
  Deve ser trocada imediatamente no primeiro acesso a qualquer Recurso de TIC;
• 7.14.2.
  Deve ser tratada de forma individual, sigilosa e intransferível, não podendo ser compartilhada, divulgada ou transmitida a terceiros;
• 7.14.3.
  Serão travadas automaticamente após 5 tentativas de “logon” erradas;
• 7.14.4.
  Deve conter no mínimo 08 (oito) caracteres compostos de letras maiúsculas e minúsculas, números e caracteres especiais, tais como “%”, “-’ ou “$”.
• 7.14.5.
  Não deve ser baseada no próprio login de acesso, em nomes, datas especiais, apelidos, sequencias óbvias de números e letras, palavras de dicionário, números de telefones, meses do ano etc.;
• 7.14.6.
  Não deve ser baseada em caracteres idênticos consecutivos, todos numéricos ou alfabéticos sucessivos;
• 7.14.7.
  Não deve ser armazenada nos Recursos de TIC ou dispositivos móveis, anotadas em papel ou em qualquer outro suporte físico, em meio digital ou eletrônico é aceitável, desde que seja um meio seguro e protegido por senha ou criptografia;
• 7.14.8.
  Deve ser trocada a cada 90 (noventa) dias, ou imediatamente em qualquer caso de suspeita do comprometimento de seu sigilo;
• 7.14.9.
  Não deve repetir as 5 (cinco) últimas senhas ao efetuar a troca.
• 7.14.10.
  A utilização de contas “genéricas ou coletivas” é aceitável em situações cuja rastreabilidade seja dispensável ou para atender questões técnicas específicas de sistemas/aplicações, normalmente em contas de serviços, preferencialmente que não sejam “logáveis”. O controle e a revisão periódica dessas contas são responsabilidade da área de TI.
• 7.15.
  Os colaboradores são responsáveis por todas as transações efetuadas com o uso de sua identidade digital.
• 7.16.
  MFA Múltiplo fator de autenticação (dupla autenticação): A área de TI deve garantir que qualquer acesso externo a seus sistemas com nível serviço críticos não ocorra sem mecanismos de dupla autenticação de login (VPN por exemplo).
• 7.17.
  Controle de Acesso: A Sabó controla o acesso físico e lógico aos seus ambientes, ativos e informações. Desse modo, o colaborador recebeu uma identidade digital de uso individual, intransferível e, sempre que aplicável, de conhecimento exclusivo.
• 7.17.1.
  O colaborador é responsável pelo uso, proteção e sigilo de sua identidade digital, não sendo permitido compartilhar, revelar, salvar, replicar, publicar ou fazer uso não autorizado de suas credenciais, tal qual de terceiros.
• 7.17.2.
  Para garantir o controle de acesso aos ambientes físicos e lógicos, a SABÓ utiliza os critérios do mínimo conjunto necessário (least privilege) e estritamente necessários (need to know) ao definir os acessos de cada colaborador.
• 7.17.3.
  Os Colaboradores que precisarem dos recursos de Tecnologia da Informação deverão solicitá-los por meio da abertura de chamado no Service Desk e quando pertinente obter aprovação de seus respectivos Gerentes ou Diretores, a área de TI será responsável em avaliar a disponibilidade de licenças e ou outros recursos, sendo o usuário notificado sobre a possibilidade ou não do atendimento.
• 7.17.4.
  O A Gerência de Relações Humanas deve informar a Gerência de Tecnologia da Informação no caso de desligamento de qualquer empregado e por qualquer motivo, para que seus acessos sejam removidos.
• 7.18.
  Ambientes Lógicos: Os sistemas e Recursos de TIC que suportam os processos e as informações a Sabó devem ser confiáveis, íntegros, seguros e disponíveis a quem deles necessitem para execução de suas atividades profissionais. Para garantir a segurança acima estabelecida, a Sabó utiliza os seguintes sistemas de proteção, ativos e atualizados:
• 7.18.1.
  Contra programas maliciosos e acessos indevidos, como antivírus e firewall;
• 7.18.2.
  Para indicar tentativas de intrusão realizada aos ambientes lógicos, como Sistemas de Detecção a Intrusão (Intrusion Detection Systems) ou IPS (Intrusion Protection Systems);
• 7.18.3.
  Contra mensagens eletrônicas indesejadas ou não autorizadas, como AntiSpam.
• 7.19.
  Ambientes Físicos: A Sabó realiza o monitoramento por câmeras de vigilância para a proteção de seus ativos, especialmente no que diz respeito àqueles que processam ou armazenam informações/ativos críticos para o negócio.
• 7.20.
  Áudio, Vídeos e Imagens: É vedado aos colaboradores qualquer atividade relacionada a captura de áudio, vídeo ou imagens dentro das dependências da Sabó, sem a prévia e formal autorização da Diretoria de Operações, exceto em eventos oficiais da empresa e quando se tratar de determinação judicial ou fiscalização feita por órgãos fiscalizatórios e Poder Público.
• 7.21.
  Contratação de Colaboradores e Prestadores de Bens e Serviços: As contratações em que ocorram o compartilhamento de informações de propriedade ou sob a responsabilidade da Sabó ou a concessão de acesso aos seus ambientes ou ativos críticos, devem ser precedidas por termos de confidencialidade e cláusulas contratuais relacionadas à segurança da informação.
• 7.22.
  Desenvolvimento e Aquisição de Software: O desenvolvimento interno ou externo de softwares, bem como as aquisições de mercado, deve assegurar o cumprimento dos requisitos de segurança da informação e dos controles de acesso previstos nesta PSI e nas Normas Complementares.
  
  Essas atividades devem ser conduzidas exclusivamente pela Gerência de TI ou por outras Gerências, quando o software exigir critérios técnicos específicos da área ou quando forem obrigatórios para atender requisitos de clientes, como softwares de engenharia.
• 7.23.
  Salvaguarda (backup): A Sabó mantém um processo de salvaguarda das informações e dos dados necessários para completa recuperação dos seus sistemas (backup), a fim de atender os requisitos operacionais e legais, além de garantir a continuidade do negócio em caso de falhas ou incidentes ou sua recuperação o mais rápido possível.
• 7.24.
  Análise dos Processos e Recursos de TIC: Todas as gerências devem colaborar com a equipe de TI para analisar seus processos e Recursos de TIC em intervalos regulares. As gerências têm a obrigação de informar à equipe de TI sobre quaisquer recursos de TIC não utilizados em seu poder e sobre empregados desligados que possuíam acesso a esses recursos.
• 7.25.
  Auditoria e Inspeção: A Sabó pode auditar ou inspecionar os Recursos de TIC que estiverem em suas dependências ou que interajam com seus ambientes lógicos sempre que considerar necessário, atendendo aos princípios da proporcionalidade, razoabilidade e privacidade de seus proprietários ou portadores.
• 7.26.
  Gestão de Risco: A Gerência de TI deve identificar e avaliar os riscos relacionados à segurança da informação e adotar as melhores práticas para o seu gerenciamento.
• 7.27.
  Gerenciamento de Mudanças no ambiente de TI: O andamento e o resultado de uma mudança, principalmente nos sistemas e na infraestrutura tecnológica da Sabó, devem preservar os controles relacionados a disponibilidade, integridade, sigilo e autenticidade das informações e realizados somente pela Gerência de Tecnologia da Informação.
  
  Todas as mudanças realizadas nos ambientes de Tecnologia da Informação da Sabó devem seguir integralmente o processo definido na política corporativa de gestão de mudanças, conforme estabelecido no documento IT INF005 – Gerenciamento de mudanças.
  
  O procedimento contempla registro, avaliação, aprovação, execução, validação e comunicação das mudanças, utilizando as ferramentas e fluxos previstos. Para detalhes sobre responsabilidades, etapas e exceções (mudanças normais, urgentes, emergenciais e rotineiras), consulte diretamente o documento citado.
• 7.28.
  Investimentos: Os investimentos em segurança da informação na Sabó devem ser estudados e deliberados pela Gerência de Tecnologia da Informação junto à Diretoria, alinhado com as áreas de negócio, considerando a viabilidade dos investimentos (custo x benefício) e os impactos de sua aplicação à qualidade dos processos de negócio.
• 7.29.
  Comitê de Privacidade e Segurança da Informação (CPSI): A Sabó deve estabelecer um CPSI responsável por assessorar e gerenciar a implementação dos controles estabelecidos pelo SGSI, analisar questões específicas ao tema, auxiliar com a melhoria constante dos padrões e observância dos normativos de segurança da informação, além de tratar questões relacionadas ao uso indevido dos ativos da empresa, interno ou externo.
• 7.29.1.
  O CPSI deve ser composto por equipe multidisciplinar, subordinada à Diretoria da Sabó, com atuação permanente. O comitê deve reunir-se periodicamente, no mínimo a cada trimestre, ou sempre que necessário, para tratar de pautas relacionadas à segurança da informação.
• 7.30.
  Comunicação de Incidentes: A Sabó possui um canal de comunicação divulgado aos seus colaboradores para reportar possíveis casos de incidentes de segurança da informação: encarregadolgpd@sabo.com.br.
• 7.31.
  Proteção de Dados Pessoais: A Sabó respeita a privacidade. Assim deve garantir a disponibilidade, integridade e confidencialidade dos dados pessoais, em todo o seu ciclo de vida, em qualquer formato de armazenamento ou suporte, tendo o mesmo nível de tratamento de informações confidenciais. A Sabó deve avaliar as seguintes medidas de segurança da informação quanto à tratamento de dados pessoais:
• 7.31.1.
  Tratamento autorizado nos termos da legislação de proteção de dados pessoais vigente;
• 7.31.2.
  Adoção de medidas de segurança para proteger os dados pessoais de acesso não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito;
• 7.31.3.
  Elaboração de plano de análise e resposta às violações de dados pessoais;
• 7.31.4.
  Armazenamento de modo seguro, controlado e protegido, especialmente quanto se tratar de dados pessoais sensíveis;
• 7.31.5.
  Processos de anonimização e pseudonimização, sempre que necessário ou possível/viável tecnicamente;
• 7.31.6.
  Protocolos de criptografia na transmissão e armazenamento, quando verificado necessário;
• 7.31.7.
  Registro lógico das operações de tratamento de dados pessoais;
• 7.31.8.
  Descarte seguro dos dados pessoais ao término de sua finalidade e sua conservação de acordo com as hipóteses legais e regulatórias;
• 7.31.9.
  Transferência aos Agentes de Tratamento de modo seguro e contratualmente previsto;
• 7.31.10.
  Mapeamento e manutenção de inventário de fluxos de dados pessoais;
• 7.31.11.
  Elaboração de relatórios de impacto à proteção de dados pessoais, quando necessário;
• 7.31.12.
  Gestão e tratamento adequado de incidentes que envolvam dados pessoais;
• 7.32.
  Capacitação: A Sabó deve estabelecer um plano periódico e anual de capacitação direcionado ao desenvolvimento e manutenção das habilidades dos colaboradores sobre segurança da informação.
• 7.33.
  Revisão e Atualização: A Sabó deve possuir e manter um programa de revisão/atualização desta PSI e das Normas Complementares sempre que se fizer necessário, desde que não exceda o período máximo de 12 (dozes) meses, visando à garantia que todos os requisitos de segurança técnicos e legais implementados estejam sendo cumpridos e atualizados.
• 7.34.
  Alterações: As alterações desta PSI e das Normas Complementares devem ser devidamente comunicadas aos colaboradores.
• 7.35.
  Dúvidas: Qualquer dúvida relativa a esta Política deve ser encaminhada ao Encarregado pelo Tratamento de Dados Pessoais da Sabó por meio do e-mail: encarregadolgpd@sabo.com.br

8. RESPONSABILIDADES

• 8.1.
  Diretoria de Operações

  • Analisar, aprovar e declarar formalmente o seu comprometimento com esta PSI;
  • Aprovar os investimentos em segurança da informação na Sabó, considerando a viabilidade e os impactos de sua aplicação à qualidade dos processos de negócio;
  • Analisar e aprovar, ou não, as exceções de forma excepcional a essa PSI.
• 8.2.
  Comitê de Privacidade e Segurança da Informação (CPSI)

  • Estar ciente desta PSI e demais documentos complementares da Sabó;
  • Analisar e aprovar esta PSI e demais Normas Complementares;
  • Promover e realizar a gestão do SGSI, garantindo a implementação de controles, modelos, padrões e recursos necessários para a proteção da informação;
  • Promover cultura de segurança da informação na Sabó;
  • Analisar e priorizar ações necessárias, balanceando custo e benefício;
  • Intervir, sempre que necessário, contribuindo com a capacitação dos colaboradores em segurança da informação;
  • Orientar para que as atividades desempenhadas pela Gerência de TI estejam adequadas ao negócio da Sabó;
  • Aprovar os investimentos em segurança da informação na Sabó juntamente com a Diretoria, considerando a viabilidade e os impactos de sua aplicação à qualidade dos processos de negócio;
  • Analisar os incidentes de segurança da informação reportados e submeter relatório para deliberação da Diretoria, sempre que necessário;
  • Instaurar, quando couber, procedimento disciplinar para apuração de responsabilidades dos envolvidos em violações de segurança da informação, e aplicar as penalidades, quando necessário.
• 8.3.
  Gerência de Tecnologia da Informação

  • Fazer cumprir esta PSI e demais documentos complementares por todos os colaboradores da Sabó;
  • Identificar e avaliar os riscos relacionados à segurança da informação e propor melhorias e recursos necessários às ações de segurança da informação;
  • Realizar e acompanhar estudos de tecnologias, com o apoio do Comitê de Privacidade e Segurança da Informação, quanto a possíveis impactos na segurança da informação;
  • Elaborar e manter atualizado os documentos que compõem o SGSI, além de submetê-los à aprovação da Diretoria ou do CPSI;
  • Propor, junto com o CPSI, normas e procedimentos internos relativos à segurança da informação na Sabó;
  • Realizar a gestão, manutenção e administração dos Recursos de TIC de propriedade ou sob a responsabilidade da Sabó;
  • Garantir que todos os Recursos de TIC utilizados na Sabó atendam as recomendações de seus fabricantes ou desenvolvedores, sempre que pertinente;
  • Definir, analisar e priorizar ações necessárias, balanceando custo e benefício;
  • Realizar o registro e o monitoramento dos acessos aos ambientes lógicos da Sabó;
  • Disponibilizar e realizar a gestão das identidades digitais de acesso ao ambiente lógico da Sabó;
  • Analisar ou auxiliar na análise dos incidentes de segurança da informação reportados;
  • Avaliar se os requisitos de segurança da informação estão presentes antes da aquisição, manutenção ou desenvolvimento de softwares;
  • Garantir andamento e o resultado de mudanças preservem os controles relacionados à disponibilidade, integridade, confidencialidade, autenticidade e legalidade das informações, sobretudo nos sistemas e na infraestrutura tecnológica da Sabó;
  • Garantir a rápida recuperação em situações de contingência de seus sistemas e processos que envolvam os Recursos de TIC da Sabó;
  • Elaborar e/ou manter procedimentos de salvaguarda das informações e dos dados necessários para recuperação dos sistemas da Sabó;
  • Assegurar que os procedimentos de Gestão da Continuidade do Negócio sejam executados em conformidade com os requisitos de segurança da informação;
  • Auxiliar a Gerência de Recursos Humanos na capacitação dos colaboradores em segurança de informação;
  • Disponibilizar e gerir meios seguros de acesso remoto (p.ex., VPN, MFA), políticas de criptografia e monitoramento compatíveis com o risco; orientar usuários sobre requisitos mínimos do ambiente remoto;
  • Controlar e revisar periodicamente as contas genéricas ou coletivas, garantindo que sua utilização ocorra apenas quando estritamente necessária e conforme as políticas de segurança da informação;
  • Mobilizar simulações de incidentes e desdobrar contingências proporcionais com a finalidade de calibrar qualidade e velocidade de resposta à eventos não programados.
• 8.4.
  Encarregado pelo Tratamento de Dados Pessoais

  • Analisar e aprovar contratos que envolvam tratamento de dados pessoais, seguindo a legislação vigente e aplicável a cada situação em suas particularidades;
  • Apoiar em sindicâncias para apuração de responsabilidade dos envolvidos em violações de dados pessoais e auxiliar na definição de aplicação das penalidades internas, quando necessário;
  • Avaliar e auxiliar na elaboração de Relatórios de Impacto à Proteção de Dados Pessoais;
  • Manter Mapeamento de Fluxos de Dados Pessoais atualizado;
  • Desenvolver Plano de Análise e Resposta a Violações de Dados Pessoais que identifique o tipo de violação, o número de registros afetados, quais registros foram afetados e as categorias de dados pessoais envolvidas, as notificações apropriadas e plano de mitigação dos efeitos da violação;
  • Garantir que o tratamento de Dados Pessoais tenha o mesmo nível de tratamento que informações consideradas confidenciais.
• 8.5.
  Gerência Jurídica

  • Participar, apoiar e orientar, de acordo com os aspectos jurídicos, os processos de contratação e as exigências legislativas relacionadas à segurança da informação;
  • Validar as minutas que devem atender aos controles de segurança da informação aplicáveis aos contratos.
• 8.6.
  Gerência de RH

  • Facilitar campanhas de capacitação e divulgação da segurança da informação;
  • Estipular controles de segurança especificamente relacionados aos processos de contratação, encerramento e modificação das atividades dos colaboradores;
  • Garantir a publicidade e disponibilidade dos documentos que compõe o SGSI na Sabó;
  • Disponibilizar os normativos da Sabó, além de custodiar e colher assinatura do “Termo de Ciência e Responsabilidade” na admissão de novos colaboradores.
• 8.7.
  Diretoria de Marketing

  • Autorizar ou não, o uso das marcas, identidade visual e qualquer outro sinal distintivo atual ou futuro da Sabó;
  • Autorizar ou não, a gravação de áudio, vídeo ou foto das dependências da Sabó.
• 8.8.
  Gestor da Informação

  • Autorizar ou não, a revelação de qualquer informação de propriedade ou sob a responsabilidade da Sabó;
  • Identificar violações ou qualquer ação duvidosa praticada pelos colaboradores no uso da informação da Sabó e comunicar ao CPSI e ao Gestor do colaborador.
• 8.9.
  Gerentes/Coordenadores

  • Garantir e gerenciar o cumprimento desta PSI e demais documentos complementares pelos seus colaboradores;
  • Identificar e medir as vulnerabilidades e ameaças nos processos e atividades de sua responsabilidade, as quais devem ser tratadas diligentemente de modo a reduzir os impactos ao negócio;
  • Autorizar, ou não, a utilização de Recursos de TIC ou dispositivos móveis particulares por seus colaboradores para execução de qualquer atividade profissional na Sabó;
  • Garantir que os ativos de propriedade ou sob a responsabilidade da Sabó sejam utilizados com cuidado e de acordo com as orientações do fabricante e da empresa;
  • Aplicar, após definição com a Gerência de Recursos Humanos, as sanções de violação desta PSI e documentos complementares;
  • Identificar incidentes de segurança da informação ou qualquer ação duvidosa praticada por seus colaboradores, comunicando o CPSI imediatamente;
  • Garantir a devolução imediata de todos os recursos de TIC à Gerência de Tecnologia da Informação, quando não estiver mais em utilização por seus subordinados ou em casos de demissão;
  • Autorizar e acompanhar adesão ao trabalho remoto em suas equipes, assegurando adequação do local e dos recursos, e o cumprimento desta PSI.
• 8.10.
  Colaboradores

  • Estar ciente e manter-se atualizado com esta PSI e demais documentos complementares;
  • Conhecer e assinar o “Termo de Ciência e Responsabilidade”;
  • Utilizar os ativos de propriedade da Sabó ou sob sua responsabilidade de acordo com as orientações do fabricante, do desenvolvedor e da empresa, com cuidado e zelo;
  • Utilizar os ativos e informações da Sabó somente para fins profissionais, de forma ética e legal, respeitando os direitos e as permissões de uso concedidas;
  • Preservar a integridade, a disponibilidade, a confidencialidade, autenticidade e a legalidade das informações acessadas ou manipuladas, não as utilizando, enviando, transmitindo ou compartilhando indevidamente, em qualquer local ou mídia, inclusive na Internet;
  • Não revelar qualquer informação de propriedade ou sob a responsabilidade da Sabó sem a prévia e formal autorização;
  • Utilizar as marcas e outros sinais distintivos, patentes, desenhos industriais, softwares e demais direitos de propriedade intelectual de titularidade da Sabó somente para finalidades profissionais e autorizadas pela empresa, de acordo com a atividade e função exercida;
  • Zelar pela segurança da sua identidade digital, não compartilhando, divulgando ou transferindo a terceiros;
  • Responder por toda e qualquer atividade realizada nos Recursos de TIC da Sabó realizada mediante o uso de sua identidade digital;
  • Cumprir a legislação nacional vigente e demais instrumentos regulamentares relacionados às atividades profissionais;
  • Reportar formalmente ao seu Gestor quaisquer eventos relativos à violação ou possibilidade de violação de segurança ou atividades suspeitas;
  • Cumprir integralmente as diretrizes de Trabalho Remoto e Recomendações Gerais aqui definidas; reportar imediatamente incidentes ou suspeitas.
• 8.11.
  Fornecedores

  • Cumprir as políticas de segurança da informação estabelecidas pela SABÓ e tomar medidas corretivas para remediar qualquer não conformidade;
  • Quando aplicável devem ler e confirmar a ciência das diretrizes de nossa Política de Segurança da Informação;
  • Devem ter um representante responsável pela segurança da informação em sua organização;
  • O fornecedor deve tratar todas as informações da SABÓ como confidenciais, protegendo-as contra acesso não autorizado e não compartilhando com terceiros sem autorização escrita da SABÓ;
  • O fornecedor deve garantir a integridade dos dados da SABÓ, protegendo-os contra alterações não autorizadas e implementando controles de segurança adequados. Todas as mudanças devem ser autorizadas, registradas e rastreáveis;
  • O fornecedor deve garantir a disponibilidade contínua dos dados da SABÓ, minimizando interrupções, implementando procedimentos de backup e recuperação, e notificando imediatamente a SABÓ sobre quaisquer interrupções que possam afetar a disponibilidade dos dados.
  • Comunicar imediatamente à SABÓ qualquer incidente de segurança da informação, real ou suspeito, que possa afetar a confidencialidade, integridade ou disponibilidade de informações da empresa, cooperando integralmente nas ações de identificação, investigação, contenção e solução do incidente.
  • Ao término do contrato, devolver todas as informações da SABÓ ou destruí-las de forma segura, conforme instruções da empresa, comprovando a devolução ou destruição por meio de declaração formal ou relatório técnico.

9. PENALIDADES

• 9.1.
  Violações: Qualquer atividade que desrespeite as disposições estabelecidas nesta Norma ou em quaisquer dos documentos complementares da Sabó deve ser considerada como uma violação e tratada pela Sabó a fim de apurar as responsabilidades dos envolvidos de acordo com as “Sanções Disciplinares” da Sabó, visando aplicação de sanções cabíveis previstas em cláusulas contratuais e na legislação vigente, devendo ser aplicadas a colaboradores, terceiros e parceiros de negócios.
• 9.2.
  Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos, quando constatada, deve ser tratada como uma violação.

10. DISPOSIÇÕES FINAIS

• 10.1.
  Esta Política deve ser revisada, no mínimo, anualmente, ou sempre que existir a necessidade de alterações nos critérios definidos nas demais normas e políticas específicas da Sabó.
• 10.2.
  O presente documento deve ser lido e interpretado sob a égide das leis brasileiras, no idioma português, em conjunto com as normas e procedimentos aplicáveis pela Sabó.
• 10.3.
  Este documento bem como os demais documentos que a complementam encontram-se disponíveis na intranet ou, em caso de indisponibilidade, podem ser solicitadas ao Encarregado pelo Tratamento de Dados Pessoais da Sabó.
• 10.4.
  Qualquer dúvida relativa a esta Política deve ser encaminhada ao Encarregado pelo Tratamento de Dados Pessoais da Sabó por meio do e-mail encarregadolgpd@sabo.com.br.
• 10.5.
  Esta Política entra em vigor na data de sua publicação.

11. ANEXO I – TRABALHO/ACESSO REMOTO (HOME OFFICE E TRABALHO EXTERNO)

Aplica-se a toda atividade realizada fora das dependências da SABÓ, inclusive em regime híbrido, visitas a clientes/fornecedores, viagens e coworkings.

Premissas gerais

• O trabalho remoto deve utilizar exclusivamente equipamentos, contas e softwares corporativos; é vedado o uso de dispositivos/repositórios pessoais, salvo autorização formal prévia, conforme regras já vigentes.
• Mantêm–se todas as diretrizes de classificação e tratamento da informação (Pública, Interna, Confidencial, Restrita), com proteção compatível ao nível de sigilo.
• Para empregados que já possuem ou recebem notebook corporativo, devidamente configurado e homologado pela área de TI, a liberação do acesso ao trabalho remoto é automática/padrão com a entrega do equipamento e devidas configurações de segurança, após abertura do chamado e aprovação dos gestores responsáveis.
• Outros acessos, tanto de empregados como de terceiros/prestadores de serviços, devem ser solicitados por meio da abertura de chamado junto ao Service Desk de TI. Após análise e aprovação do gestor responsável, a área de TI avalia a solicitação e libera o acesso com as devidas restrições de segurança pertinente.

Ambiente físico e deslocamentos

• Evitar áreas compartilhadas e exposição de tela a pessoas não autorizadas (clear screen).
• Papel impresso somente quando necessário ao processo; armazenar de forma segura e descartar com método apropriado (fragmentação/recipiente confidencial).
• Em viagens/deslocamentos, não deixar equipamentos desacompanhados (veículos, aeroportos, hotéis); manter bloqueio automático de tela e zelar pela integridade do ativo.

Conectividade e acesso

• Conexões a ambientes e sistemas internos devem ser realizadas exclusivamente por meios corporativos seguros (p.ex., VPN/APPGate e Microsoft 365 com MFA), mantendo os padrões de controle de acesso por “mínimo privilégio” e “needtoknow”.
• Em domicílio, recomenda-se utilizar WiFi protegido (WPA2/WPA3), com senha forte e roteador atualizado; proibido uso de redes públicas sem o túnel seguro corporativo (VPN/APPgate).

Dispositivos e dados

• Armazenamento local deve ser minimizado/evitado e se utilizado, por exemplo, em situações de acesso off line (sem Internet), assim que possível as informações devem ser transferidas para os locais seguros / homologados pela Sabó;
• Backups são realizados apenas por mecanismos corporativos; é vedado backup em mídias removíveis ou serviços pessoais. É proibida a sincronização/cópia para repositórios não autorizados.

Reuniões, chamadas

• Em reuniões/atendimentos remotos, utilizar fones de ouvido e evitar exposição de informações sensíveis em ambientes compartilhados.

Incidentes e suporte

• Qualquer perda, roubo, acesso indevido ou suspeita deve ser comunicada imediatamente pelo canal oficial de incidentes ou área de TI.
• O suporte remoto de TI poderá realizar acesso assistido aos equipamentos corporativos se necessário.

12. ANEXO II – TRANSFERÊNCIA E COMPARTILHAMENTO DE INFORMAÇÕES

Transferência e compartilhamento de informações: A troca, compartilhamento e a transferência de informações corporativas devem ser realizados, exclusivamente, por meio das ferramentas homologadas pela Sabó: Microsoft SharePoint e Microsoft OneDrive. É vedado o uso de repositórios não autorizados (ex.: Google Drive, Dropbox, iCloud, Box, entre outros), conforme diretrizes de “Repositórios Digitais e Dispositivos Removíveis” e “Uso dos Recursos de TIC”.

O envio por E-mail de arquivos confidenciais ou restritos é admissível somente se o arquivo estiver protegido por criptografia com senha de no mínimo 8 caracteres e a utilização de letras maiúsculas, minúsculas, números e caracteres especiais. À senha deve ser enviada por canal distinto do e-mail de envio do arquivo (ex.: ligação telefônica, Microsoft Teams), sendo vedado o envio da senha no mesmo e-mail ou em sequência direta ao mesmo destinatário.

Os aplicativos homologados para criptografia com senhas são os do pacote Microsoft Office (Word, Excel e Powerpoint), sempre que possível as informações sigilosas devem ser enviadas nesses formatos, mas se existir alguma restrição ou dúvidas em como realizar esse procedimento a área de TI deve ser acionada, com abertura de chamado, para prestar o devido suporte ou orientar a utilização de outra ferramenta considerada segura.

A senha de proteção não deve ser reutilizada em outros contextos e deve ser alterada imediatamente em caso de suspeita de exposição.

Quadro resumo de orientação para compartilhamento de informações

Legenda das Classificações de Informação

Pública: Informações que podem ser divulgadas livremente, sem restrição, tanto interna quanto externamente, cuja divulgação não causa impacto negativo à organização. Exemplos: comunicados oficiais, informações institucionais já publicadas, dados de marketing público, informações que não gerem nenhum tipo de risco de reputação.

Interna: Informações destinadas ao uso interno da Sabó, acessíveis apenas por colaboradores ou grupos autorizados. Exemplos: procedimentos internos, comunicados restritos, documentos de rotina operacional.

Confidencial: Informações que, se divulgadas indevidamente, podem causar impacto negativo à empresa, clientes ou parceiros. Exemplos: contratos, dados financeiros, projetos em andamento, dados pessoais não sensíveis.

Restrita: Informações de alto sigilo, cujo acesso é limitado e restrito. Exemplos: segredos industriais, dados pessoais sensíveis, estratégias de negócio, protótipos, informações protegidas por legislação específica.

13. ANEXO III – MATRIZ DE RESPONSABILIDADE DE SEGURANÇA DA INFORMAÇÃO (RACI)

14. ANEXO IV - TERMO DE CIÊNCIA E RESPONSABILIDADE

15. ANEXO V – TERMOS DE RESPONSABILIDADES POR EQUIPAMENTOS

Para garantir o uso adequado, seguro e responsável dos ativos móveis corporativos, a Sabó estabelece termos específicos de responsabilidade que devem ser assinados pelos colaboradores ou terceiros que receberem tais equipamentos. Estes documentos formalizam as condições de uso, manutenção, devolução e penalidades aplicáveis em caso de mau uso, perda ou roubo.

Os termos estão disponíveis nos seguintes documentos complementares:

• Termo de responsabilidade Telefonia móvel (celular)
• Termo de responsabilidade Notebooks
• Termo de responsabilidade Projetores
• Termo de responsabilidade Tablets e Coletores

Estes documentos devem ser utilizados conforme o tipo de equipamento fornecido, sendo obrigatória a assinatura do colaborador ou prestador de serviços no momento da entrega.

Equipamentos de uso comum/compartilhado estão sujeitos a controle por chamado, não sendo exigida a assinatura de termo individual.