1. OBJETIVOS
Estabelecer as diretrizes, controles e princípios relacionados à segurança da informação (SI) no âmbito do Grupo Fórum, visando à efetivação da segurança da informação na organização, à redução dos possíveis riscos e à melhoria contínua do Sistema de Gestão de Segurança da Informação.
Incluem-se no objetivo desta Política as medidas para assegurar a confidencialidade, a integridade e a disponibilidade da informação, bem como a continuidade do negócio e a conformidade com a legislação vigente, as normas e as boas práticas de mercado.
2. ABRANGÊNCIA
Esta Política aplica-se a todos os colaboradores com acesso às informações das empresas do Grupo Fórum (Fórum Nacional de Cobranças LTDA-EPP e Dante Gregnanin), incluindo gestores, funcionários, estagiários, terceiros, temporários, fornecedores e prestadores de serviços.
3. CONCEITOS GERAIS
Para os fins desta Política, a segurança da informação estará fundamentada na observância e preservação dos seguintes conceitos:
3.1. Confidencialidade: garantia de que a informação somente possa ser acessada por pessoas autorizadas, pelo período necessário;
3.2. Disponibilidade: garantia de que a informação esteja disponível para as pessoas autorizadas quando se fizer necessária; e
3.3. Integridade: garantia de que a informação esteja completa, exata, íntegra e que não tenha sido modificada ou destruída indevidamente, de maneira não autorizada ou acidental durante o seu ciclo de vida.
4. DIRETRIZES
A informação constitui ativo valioso para a organização, representando elemento fundamental no sucesso dos negócios. Por isso, merece a proteção adequada.
A segurança da informação implica a adoção de medidas para proteger a propriedade, confidencialidade, disponibilidade e integridade da informação, em qualquer forma ou suporte em que se apresente — físico ou digital.
Os controles de segurança devem proteger a informação das diversas ameaças existentes, para coibir e evitar seu uso inadequado, indevido ou ilegal, consideradas as hipóteses de uso em desconformidade com as políticas e os procedimentos internos. Nesse sentido, as seguintes diretrizes devem ser observadas.
4.1. Propriedade e monitoramento da informação
As informações produzidas pelos usuários e colaboradores abrangidos por esta Política são de propriedade da organização, bem como as informações a ela disponibilizadas por terceiros, devendo ser utilizadas exclusiva e estritamente no atendimento dos objetivos do negócio e no cumprimento de obrigações legais e contratuais.
Os equipamentos, meios de comunicação e sistemas da organização estão sujeitos a monitoramento.
4.2. Acessos e identidades
Os acessos às informações e aos ambientes tecnológicos da organização devem ser controlados de acordo com sua classificação, de forma a serem disponibilizados apenas às pessoas autorizadas e com os privilégios necessários para o desempenho de suas atividades.
4.3. Fornecedores e partes externas
Os contratos com as empresas prestadoras de serviços que possuem acesso às informações, aos sistemas e/ou ao ambiente da organização devem conter cláusulas que assegurem o cumprimento das regras de segurança da informação.
5. RESPONSABILIDADES
5.1. Colaboradores e terceiros abrangidos por esta Política
- Cumprir as regras relativas à segurança da informação;
- Proteger as informações contra acesso, alteração, destruição ou divulgação não autorizados;
- Respeitar as leis e as normas relativas à propriedade intelectual;
- Não compartilhar informação confidencial de qualquer tipo, sem a prévia autorização de seu Gestor imediato;
- Comunicar imediatamente ao Gestor da área ou ao Departamento de TI toda e qualquer notícia de descumprimento ou violação desta Política.
5.2. Gestores
- Adotar postura exemplar em relação à segurança da informação, servindo como modelo de conduta para os membros de suas respectivas equipes;
- Orientar a equipe sobre a necessidade de cumprimento desta Política e reforçar a importância dos processos de segurança da informação.
5.3. Gestão de TI
- Promover a divulgação da Política de Segurança da Informação, bem como de demais políticas e procedimentos relacionados à Segurança da Informação;
- Propor ações e controles para aperfeiçoamento da segurança da informação;
- Manter os sistemas em suas versões mais recentes, sempre que possível, bem como atualizar o firmware dos equipamentos que dele necessitem;
- Assegurar que o ambiente do data center opere em níveis adequados de temperatura, umidade e estabilidade de energia elétrica;
- Manter sigilo sobre as informações e os dados da organização aos quais venham a ter acesso em razão da execução de suas atividades, restringindo-se a acessá-los somente quando necessário;
- Monitorar o ambiente de TI, verificar indicadores e históricos dos fatores relevantes que possam impactar na segurança da informação;
- Configurar os equipamentos, ferramentas e sistemas concedidos aos colaboradores e usuários com todos os controles necessários para cumprir os requisitos de segurança estabelecidos por esta Política;
- Providenciar, no menor prazo possível, o bloqueio de acesso de usuários por motivo de desligamento da organização, incidente ou outra situação que exija medida restritiva para salvaguardar os ativos do Grupo Fórum.
5.4. Administração e Gestão de RH
- Assegurar que contratos com as empresas prestadoras de serviços que possuem acesso às informações, aos sistemas e/ou ao ambiente da organização contenham cláusulas que assegurem o cumprimento desta Política de Segurança da Informação;
- Comunicar formalmente à Gestão de TI toda e qualquer alteração no quadro funcional da instituição, como contratações, demissões e alterações de cargos ou funções, a fim de evitar acessos não autorizados e/ou não justificados;
- Receber da Gestão de TI as informações sobre violações a esta Política e promover as tratativas de apuração e instauração de processo disciplinar, quando cabível;
- Destacar, na fase de contratação de funcionários, prestadores de serviços, estagiários e afins, a necessidade de observância da segurança da informação e formalizar, nos contratos individuais, a responsabilidade quanto ao cumprimento desta Política;
- Apoiar e promover, juntamente com a Gestão de TI, ações de conscientização e de capacitação em Segurança da Informação para os colaboradores da organização.
5.5. Comitê de Segurança da Informação
- Apoiar as ações para a implementação e cumprimento das disposições contidas nesta Política de Segurança da Informação;
- Acompanhar as ações de monitoramento de riscos, auditorias, não conformidades e melhorias no Sistema de Gestão da Segurança da Informação;
- Apoiar as ações de treinamento, campanhas educativas e boas práticas em segurança da informação;
- Realizar a articulação das áreas operacionais e técnicas com a Alta Direção, no sentido de buscar soluções para eventuais conflitos relacionados à segurança da informação;
- Avaliar, revisar e aprovar as políticas corporativas do Grupo Fórum relacionadas à segurança da informação.
5.6. Alta Direção (Presidência, Diretoria Executiva e Gerências Executivas)
- Apoiar e promover as ações para a consolidação da Política de Segurança da Informação.
- Planejar e se comprometer a satisfazer os requisitos aplicáveis relacionados à segurança da informação.
- Assegurar que os recursos necessários sejam destinados à melhoria contínua do sistema de gestão da segurança da informação em sinergia com a POL 02 - Política do Sistema de Gestão de Segurança da Informação.
6. CLASSIFICAÇÃO DAS INFORMAÇÕES
Todos os colaboradores, prestadores e fornecedores que tenham acesso às informações do Grupo Fórum são responsáveis pela aplicação das medidas de segurança da informação. As informações da organização devem ser protegidas e, conforme o caso, mantidas sob sigilo/confidencialidade, considerando os seus aspectos de importância e criticidade.
6.1. Responsabilidade sobre a Classificação
O colaborador que, a pedido ou por iniciativa, criar ou gerar informação e/ou documentação para a organização será o responsável por sua classificação inicial.
Caso a Alta Direção ou o gestor imediatamente superior entenda ser necessário, a classificação inicial poderá ser revisada.
6.2. Informação Confidencial
É a informação da organização e/ou de seus clientes e parceiros com o maior grau de confidencialidade e restrição. Caso seja divulgada sem autorização, poderá causar danos materiais e imateriais significativos, incluindo potencial risco para a manutenção da viabilidade do negócio.
As informações confidenciais são de acesso limitado a um número reduzido de pessoas, pois exigem medidas especiais de controle e proteção contra acesso indevido ou não autorizado.
6.3. Informação de Uso Interno
É toda informação cujo conhecimento está limitado ao ambiente interno do Grupo Fórum, observados os propósitos de negócio. Apenas os funcionários, colaboradores, estagiários e prestadores de serviços podem ter acesso a essas informações e sua divulgação ao público em geral só poderá ocorrer se autorizada pela Alta Direção.
6.4. Informação Pública
É a informação para uso interno e/ou externo com controles mínimos, cuja divulgação pública não causa impacto à organização. A informação pública é colocada à disposição do colaborador ou prestador de serviço e pode ser revelada ao público externo.
6.5. Itens de Configuração
Para os fins desta Política, são considerados Itens de Configuração os ativos que, embora não realizem o tratamento, armazenamento ou processamento direto de dados e informações (como mouses, teclados, monitores, headsets, nobreaks, suportes físicos e periféricos em geral), são necessários à continuidade das operações.
Os referidos itens, classificados como itens de configuração, compõem o patrimônio da empresa e, por isso, devem ser utilizados de modo adequado e propício às suas finalidades. A quebra, a destruição, o extravio ou a utilização indevida desses itens são passíveis de penalização.
6.6. Informação Não Classificada
Toda informação não classificada deverá ser considerada como Informação de Uso Interno.
7. TRABALHO REMOTO E USO DE DISPOSITIVOS PESSOAIS
O exercício de atividades profissionais em regime de trabalho remoto (home office), bem como o acesso remoto a sistemas e informações institucionais a partir de dispositivos pessoais, exigem o cumprimento de medidas de segurança específicas para preservar a confidencialidade, a integridade e a disponibilidade das informações.
Os trabalhos ocorrerão, em regra, em regime presencial. A autorização para execução de trabalho em regime remoto no Grupo Fórum ocorre apenas em caráter excepcional.
7.1. Regras Gerais
A execução de trabalho remoto deve ser precedida de autorização pelo gestor responsável, formalizada com antecedência junto à equipe de TI para a preparação e configuração do acesso por VPN, devendo-se observar o seguinte:
- O colaborador é responsável por seguir as normas internas de segurança da informação durante todo o período de trabalho remoto, do mesmo modo como faria em ambiente presencial;
- A obrigação para com a confidencialidade, a integridade e a disponibilidade das informações corporativas é mantida independentemente do local de acesso;
- Não é permitido o armazenamento de dados corporativos em dispositivos pessoais ou quaisquer outras mídias não autorizadas;
- O colaborador é responsável por garantir que o ambiente físico de trabalho remoto ofereça condições adequadas para a proteção das informações;
- É proibida a conexão com redes Wi-Fi públicas ou abertas; o colaborador deve utilizar apenas conexões seguras e protegidas por senha.
Em caso de incidente de segurança da informação, como perda de dispositivo, malware ou acesso indevido, o colaborador deve relatar imediatamente a seu superior, com a abertura de ticket no sistema de chamados ou o envio de e-mail para: incidentes.si@forumcob.com.br
7.2. Dispositivos Pessoais
Para acessar as informações do Grupo Fórum durante o trabalho remoto por meio de dispositivo pessoal, o colaborador deve seguir as instruções da equipe de TI para o acesso seguro, incluindo as recomendações para a solução antivírus, que deve estar ativada e atualizada no dispositivo.
O colaborador deve sempre atualizar o sistema operacional de seu dispositivo com os últimos patches de segurança.
É proibido compartilhar o equipamento com terceiros durante a sua utilização para fins profissionais.
8. DISPOSIÇÕES FINAIS
As infrações a esta Política de Segurança da Informação serão passíveis de processo disciplinar.
A qualquer tempo e em qualquer um dos casos previstos, constatado o descumprimento das regras expostas, a Gestão de TI poderá determinar o bloqueio temporário de acesso do colaborador e comunicar os motivos ao profissional e ao gestor da área.
Esta Política será revista, no mínimo, anualmente para garantir sua conformidade com alterações legais, regulatórias e necessidades organizacionais.