Política geral de segurança da informação

1. Objetivo

A Política Geral de Segurança da Informação (“PGSI”) visa estabelecer diretrizes para o tratamento das informações armazenadas, processadas e transmitidas no ambiente de tecnologia da Foxbit Serviços Digitais LTDA. e todas as demais empresas do grupo (“Grupo Foxbit” ou “Foxbit”) , alinhada às boas práticas e normas internacionalmente aceitas, com o objetivo de garantir níveis adequados de proteção a informações da organização ou sob sua responsabilidade,

Esta política deve orientar quanto à adoção de controles e processos, a preservação das informações da Foxbit, prevenção de possíveis incidentes e mitigação de riscos relacionados a perdas financeiras ou qualquer outro tipo de impacto negativo no negócio da Foxbit como causa de falhas de segurança.

2. Abrangência

Esta política é aplicável a todas as áreas e departamentos da Foxbit e suas subsidiárias, devendo ser de conhecimento claro por todos os funcionários, representantes, sócios, acionistas, terceiros na modalidade “in company” do grupo e estar disponível para consulta em rede interna de compartilhamento.

3. Leis, normas e regulamentações aplicáveis

Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD);

ISO/IEC 27001- Sistema de Gestão de Segurança da Informação (SGSI);

ISO/IEC 27701- Sistema de Gestão de Privacidade da Informação (PIMS);

SOC 2 Type II - Disponibilidade e resiliência operacional;

RESOLUÇÃO CMN nº 4.893/2021 - Dispões sobre a política de segurança cibernética e sobre os requisitos para contratação de serviços de processamento e armazenamento;

Resolução BCB nº 85/2021-Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento.

4. Termos e definições

Para garantir o entendimento e a interpretação adequados desta Política, os termos abaixo, quando usados com a primeira letra em maiúsculo nesta Política, terão os significados definidos, tanto no singular quanto no plural, sem prejuízo de outros termos especificados.

Comitê Gestor de Segurança da Informação – CGSI: Grupo de trabalho multidisciplinar permanente, efetivado pela diretoria da Foxbit, que tem por finalidade tratar, coordenar e deliberar questões ligadas à Segurança da Informação.

Gestor da Informação: Usuário que ocupa cargo específico na organização e a quem é atribuída a responsabilidade pela gestão de um ou mais ativos de informação, sejam eles criados, adquiridos, manipulados ou colocados sob a responsabilidade de sua área de atuação.

Usuário da Informação: Empregados com vínculo empregatício de qualquer área da Foxbit ou terceiros contratados ou alocados para prestar serviços à Foxbit, independente do regime jurídico a que estejam submetidos. Inclui também outros indivíduos ou organizações devidamente autorizados, mediante autorização por escrito, a utilizar manipular qualquer ativo de informação da Foxbit para o desempenho de suas funções.

Incidente de Segurança da Informação: Um incidente de Segurança da Informação é indicado por eventos indesejados ou inesperados, que tenham uma grande probabilidade de comprometer as operações do negócio e ameaçar a Segurança da companhia, conforme padrão de Gerenciamento de Incidentes de Segurança da Informação pela ISO/IEC 27035 e de Segurança da Informação pela ISO/IEC 27002:2005.

Dado Pessoal: Qualquer informação relacionada a uma pessoa natural identificada ou identificável, como nome, sobrenome, data de nascimento, documentos pessoais (CPF, RG, CNH, dentre outros), endereço residencial ou comercial, telefone, e-mail, cookies, endereço IP ou informações que identificam propriedade pessoal (por exemplo, número da placa de veículo ou chassi de veículo).

Ameaça: Qualquer coisa que possa explorar uma vulnerabilidade, intencionalmente ou acidentalmente, e obter, danificar ou destruir um ativo da Foxbit.

Vulnerabilidade: Vulnerabilidade é definida como uma condição que, quando explorada por um atacante, pode resultar em um Incidente de Segurança da Informação.

Ativo: Todo elemento que possua valor para a Foxbit, podendo ser uma informação digital ou física, hardware, software, pessoa ou ambiente físico. A perda ou quebra da confidencialidade, integridade ou disponibilidade de qualquer um desses ativos pode resultar em prejuízos para a companhia.

5. Papéis e responsabilidades

Diretoria

É responsabilidade da Diretoria:

• Aprovar esta política e suas atualizações;
• Apoiar a todos os responsáveis na companhia a cumprir suas responsabilidades quanto à segurança da informação.
• Tomar decisões administrativas referentes aos casos de descumprimento da Política de Segurança da Informação e/ou das normas encaminhadas pelo departamento de segurança da informação da Foxbit.
• Prover os recursos humanos, materiais e financeiros necessários à segurança da informação.
• Acompanhar periodicamente a evolução dos indicadores e resultados de segurança da informação.
• Ser exemplo aos demais responsáveis pela segurança da informação na companhia, cumprindo todas as diretrizes descritas na Política de Segurança da Informação.

Comitê Gestor de Segurança da Informação - CGSI

Fica constituído o COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO, contando com a participação de, pelo menos, um representante da diretoria e, pelo menos, um membro das seguintes áreas: Tecnologia da Informação, Segurança da Informação e Jurídico.

É responsabilidade do CGSI:

• Analisar, revisar e propor a aprovação de políticas, normas e procedimentos relacionados à segurança da informação.
• Garantir que as atividades de segurança da informação sejam executadas em conformidade com a PGSI
• Assegurar o estabelecimento da presente política, sua divulgação e comprovação do uso pelos colaboradores, terceiros e partes interessadas da Foxbit.
• Garantir a disponibilidade dos recursos necessários para uma efetiva Gestão de Segurança da Informação.

Gestores da Informação

Cada informação deverá ter o seu Gestor que será indicado formalmente pela diretoria responsável pelos sistemas que acessam a informação.

É responsabilidade dos Gestores da Informação:

• Gerenciar as informações geradas ou sob a responsabilidade da sua área de negócio durante todo o seu ciclo de vida, incluindo a criação, manuseio e descarte conforme as normas estabelecidas pela Foxbit.
• Identificar, classificar e rotular as informações geradas ou sob a responsabilidade da sua área de negócio conforme a norma de classificação da informação adotada pela Foxbit.
• Periodicamente revisar as informações geradas ou sob a responsabilidade da sua área de negócio, ajustando a classificação e rotulagem das mesmas, bem como revisando a necessidade de coleta destas.
• Autorizar e revisar os acessos à informação e sistemas de informação sob sua responsabilidade.
• Solicitar a concessão ou revogação de acesso à informação ou sistemas de informação de acordo com os procedimentos adotados pela Foxbit.

GRC

• Conformidade Normativa: Monitorizar e garantir o cumprimento dos requisitos das normas ISO/IEC 27001 e SOC 2, bem como de outras leis e regulamentações de proteção de dados (como a LGPD) aplicáveis ao negócio.
• Revisar essa política com periodicidade anual, ou sempre que tiver necessidade;
• Apoiar a identificação, avaliação e tratamento de riscos de segurança da informação, garantindo a aplicação de metodologia de gestão de riscos compatível com o apetite de risco da organização;

Área de Segurança da Informação

É responsabilidade da área de Segurança da Informação:

• Ser agente facilitador para a implantação dos controles descritos nas políticas, normas e procedimentos de segurança da informação da Foxbit.
• Criar e disseminar programas educacionais e de conscientização do capital humano relativos a segurança da informação
• Dar suporte ao tratamento de incidentes de segurança da informação, bem como implementar os controles necessários para evitar novos incidentes.
• Criar documentações referentes a procedimentos de Segurança da Informação.
• Dar suporte na administração de ativos de tecnologia da Foxbit, aplicando as medidas de segurança da informação descritas nas documentações associadas.
• Realizar a gestão de acessos de todos os funcionários, terceiros e prestadores de serviços da Foxbit, manter a política de mínimo acesso necessário às atividades dos mesmos e desativar e/ou remover acessos destes imediatamente após desligamento da companhia.
• Monitorar, analisar e atuar nos alertas de segurança da informação, também repassando para outras equipes as atividades que couberem a elas.
• Monitorar o acesso e a utilização dos ativos tecnológicos, dos ambientes, equipamentos e sistemas da informação da Foxbit, de forma que ações indesejáveis ou não autorizadas sejam detectadas pró-ativamente.
• Gerenciar os agendamentos referentes às atividades de Segurança da Informação, tais como Teste de Invasão (PenTest), Análise de Riscos e Varredura de Vulnerabilidades.

Área de Recursos Humanos

É responsabilidade da área de Recursos Humanos:

• Trabalhar em conjunto com a área de Segurança da Informação para criar e disseminar treinamentos de conscientização de Segurança da Informação para todos os colaboradores e terceiros da companhia.
• Garantir que todos os colaboradores e terceiros da companhia tenham ciência das diretrizes de Segurança da Informação presentes nesta política.
• Manter os Termos de Uso de Sistemas de Informação da Foxbit assinados por todos os colaboradores e prestadores de serviço da companhia.

Usuários da Informação

Usuários da Informação são todos os colaboradores ou prestadores de serviços que tenham acesso a informações da Foxbit, sendo dessa forma responsáveis pela utilização e segurança dos ativos e informações que tiverem sob sua custódia, e para tal devem seguir as melhores práticas de segurança para protegê-los.

É responsabilidade dos Usuários da Informação:

Ler, compreender e cumprir integralmente os termos da Política Geral de Segurança da Informação, bem como as demais normas e procedimentos de segurança.

Encaminhar quaisquer dúvidas e/ou pedidos de esclarecimento sobre a Política Geral de Segurança da Informação, suas normas e procedimentos à Gerência de Segurança da Informação ou, quando pertinente, à área de Segurança da Informação.

Comunicar à área de Segurança da Informação qualquer evento que viole esta Política ou coloque/possa vir a colocar em risco a segurança das informações ou dos recursos computacionais da Foxbit.

Assinar o “Termo de Uso de Sistemas de Informação” da Foxbit, formalizando a ciência e o aceite integral das disposições da Política Geral de Segurança da Informação, bem como as demais normas e procedimentos de segurança, assumindo responsabilidade pelo seu cumprimento.

Manter o sigilo de todas as informações acessadas tanto durante seu período contratual, bem como após o encerramento do mesmo.

Responder pelo descumprimento da Política Geral de Segurança da Informação, normas e procedimentos de segurança, conforme definido no item “Não Cumprimento”.

6. Implantação

A Diretoria da Foxbit coordena as áreas técnicas, as áreas de apoio e as áreas de negócio para o desenvolvimento e implantação de projetos, procedimentos, ações, instruções e normativos que possibilitem a operacionalização e manutenção desta política.

7. Princípios e diretrizes e de segurança da informação

7.1 Princípios de Segurança da Informação

A Foxbit entende que a informação utilizada pela organização é um bem essencial para continuidade do negócio que deve ser protegida de forma adequada garantindo sua confidencialidade, integridade, disponibilidade, autenticidade e conformidade legal.

Confidencialidade: garantir que as informações tratadas sejam de conhecimento exclusivo de pessoas especificamente autorizadas;

Integridade: garantir que as informações permaneçam íntegras, ou seja, sem qualquer tipo de alteração não autorizada, sendo ela acidental ou proposital;

Disponibilidade: garantir que as informações estejam acessíveis para quem necessita delas.

Autenticidade: garantir a autenticidade da fonte das informações.

Legalidade: garantir a conformidade dos processos e informações com as legislações aplicáveis.

7.2 Diretrizes Gerais de Segurança da Informação

• A Foxbit compromete-se a: Elaborar, implantar e seguir por completo políticas, normas e procedimentos de segurança da informação, garantindo que os requisitos básicos de confidencialidade, integridade, disponibilidade, autenticidade e legalidade da informação da Foxbit sejam alcançados;
• Disponibilizar políticas, normas e procedimentos de segurança a todas as partes interessadas e autorizadas, tais como: funcionários, representantes, sócios, acionistas e terceiros na modalidade “in company''.
• Garantir a educação e conscientização sobre as práticas adotadas pela Foxbit de segurança da informação para funcionários, representantes, sócios, acionistas e terceiros na modalidade “in company”.
• Atender integralmente requisitos de segurança da informação aplicáveis ou exigidos por regulamentações, leis e/ou cláusulas contratuais;
• Tratar integralmente incidentes de segurança da informação, garantindo que os mesmos sejam adequadamente registrados, classificados, investigados, corrigidos, documentados e , quando necessário, comunicando as autoridades apropriadas;
• Garantir a continuidade do negócio através da adoção de planos de continuidade e recuperação de desastres;
• Melhorar continuamente a Gestão de Segurança da Informação através da definição e revisão sistemática de objetivos de segurança.

8. Domínios e controles de segurança da informação

Para garantir a proteção adequada das informações, a organização estabelece os seguintes domínios de segurança da informação:

8.1 Patrimônio

Toda informação produzida ou armazenada na Foxbit é de sua propriedade e não dos colaboradores que nela trabalham, exceto nos casos em que a Foxbit atua como custodiante da informação de outra organização.

8.2 Segurança e Negócios

Novos produtos e serviços devem ser criados de acordo com as melhores práticas de Segurança da Informação, considerando-se riscos, tecnologia, custos, qualidade, facilidade de implementação e impacto no negócio.

As medidas de proteção às informações e sistemas da companhia devem ser aplicadas conforme análise e avaliação de riscos ao negócio, que deverá ser feita tanto durante a criação de novos produtos ou serviços, quanto quando houver alterações significativas nestes.

8.3 Sigilo, Acesso e Controle

Deve-se estabelecer mecanismos para a guarda, proteção e sigilo dos dados e informações da Foxbit, estejam eles armazenados no ambiente da companhia ou apenas sendo processados por ela, devendo estes ter a devida e clara classificação de segurança a orientar a proteção adequada quanto ao acesso, uso e descarte seguros.

A fim de garantir uma maior segurança para todos os arquivos utilizados pelos colaboradores e prestadores de serviço, solicitamos que estes não sejam mantidos localmente no computador empresarial, realizando o upload de todos para o ambiente de Cloud empresarial, no Google Drive da Foxbit.

A todos os colaboradores ou prestadores de serviços é vetada a divulgação, a quem quer que seja, de informações privilegiadas capazes de influir nos negócios da Foxbit, sem a prévia autorização formal da companhia. Assim como valer-se destas para obter vantagens para si ou outrem.

8.4 Gestão de Continuidade

A Foxbit deve implementar planos de ação documentados, testados e revisados periodicamente, de forma que seus serviços essenciais sejam devidamente identificados, contemplando os mecanismos de segurança da informação estabelecidos nos ambientes de produção.

8.5 Gestão de Acessos

No ato da contratação, mudança de área ou desligamento de colaboradores, terceiros e partes interessadas, deve-se existir processos que registrem, revisem e ajustem os acessos físicos e lógicos de acordo com as novas funções desempenhadas, garantindo que tenham acessos somente as informações e recursos que sejam necessários ao seu cargo ou função.

8.6 Monitoramento

Todas informações armazenadas, transmitidas ou tratadas por meio de recursos tecnológicos da Foxbit estão sujeitas a monitoramento. Ao utilizar qualquer recurso da companhia, os usuários estão consentido com o mesmo.

8.7 Auditoria e Conformidade

A Foxbit poderá auditar periodicamente as práticas de segurança da informação de forma a avaliar a conformidade das ações de seus colaboradores em relação ao estabelecido nesta Política e na legislação aplicável.

8.8 Comprometimento e Disciplina

Devem cumprir-se rigorosamente as leis, normas e contratos regulamentadores, sejam eles internos ou externos aplicáveis, garantindo a adequada proteção do sigilo profissional, bancário e mercadológico, da propriedade intelectual e legal do negócio e atividades da companhia ou, ainda dos dados pessoais dos colaboradores e/ou clientes a que tiver acesso.

É obrigatório o reporte imediato à área de Segurança da Informação de quaisquer incidentes de Segurança da Informação, sejam estes ameaças (evidenciadas ou não), violações de regras ou falhas.

9. Não cumprimento

O não cumprimento desta norma e/ou demais instrumentos normativos que complementarão o processo de segurança constitui falta grave e o usuário estará sujeito a aplicação de penalidades administrativas, legais e/ou contratuais.

Situações de exceção e não previstas deverão ser definidas pela área de Segurança da Informação em conjunto com o Comitê Gestor de Segurança da Informação e o Diretor da Foxbit, considerando as áreas envolvidas.

Em caso de identificação de falha neste procedimento, o gestor/funcionário deverá comunicar imediatamente ao Diretor ou responsável da área de SI (Segurança da Informação) ou, na sua ausência, outro diretor sem designação específica.

10. Casos omissos

Os casos omissos serão avaliados pelo Comitê Gestor de Segurança da Informação para posterior deliberação.

11. Canais de contato

Em caso de identificação de não conformidades desta Política é necessário reportar o ocorrido através do e-mail da área de Segurança da Informação [email protected].

12. Anexos

Esta política está associada ao conjunto de Políticas, Normas e Procedimentos de Segurança da Informação da organização, disponíveis na Base de conhecimento corporativa, devendo ser observadas de forma complementar.

13. Vigência

A presente política entra em vigor a partir da data da última assinatura do documento e tem validade de até 1 (um) ano ou em prazo inferior, nas hipóteses de alteração da legislação aplicável ou de direcionamento estratégico da Foxbit.