PPSI – Política e Procedimentos de Segurança da Informação

Documento de Diretrizes e Normas Administrativas

– APRESENTAÇÃO

A Política e Procedimentos de Segurança da Informação, também referida como PPSI, é o documento que orienta e estabelece as diretrizes corporativas da a sociedade empresária VEREDA ALIMENTOS LTDA., pessoa jurídica de direito privado, inscrita no CNPJ sob o n.º 23.294.275/0001-80, com sede na rua Tiradentes, n.º 107, Centro, na cidade de Guarará, no Estado de Minas Gerais, CEP 36.606-000, para a proteção dos ativos de informação e a prevenção de responsabilidade legal para todos os usuários. Deve, portanto, ser cumprida e aplicada em todas as áreas da instituição.

A presente PPSI está baseada em normas técnicas propostas e reconhecidas mundialmente como um código de prática para a gestão da segurança da informação, bem como está de acordo com as leis vigentes em nosso país.

Com a intenção de aumentar a segurança da infraestrutura tecnológica disponibilizada pela Vereda Alimentos Ltda., seus colaboradores, parceiros e prestadores de serviço em geral, essa PPSI foi, igualmente, desenvolvida visando a orientação geral na área de tecnologia da informação, assim como, ela pretende dispor de uma abordagem educacional para todos aqueles que fazem uso dos ativos de tecnologia da informação disponibilizados.

Atenciosamente,

Gerência de Tecnologia da Informação

– OBJETIVOS

· Estabelecer diretrizes que permitam aos colaboradores da Vereda Alimentos Ltda. respeitarem padrões de comportamento relacionados à segurança da informação adequados às necessidades de negócio e de proteção legal da empresa e do indivíduo.

· Nortear a definição de normas e procedimentos específicos de segurança da informação, bem como a implementação de controles e processos para seu atendimento.

· Preservar as informações da Vereda Alimentos Ltda.quanto à:

– Integridade: garantia de que a informação seja mantida em seu estado original, visando protegê-la, na guarda ou transmissão, contra alterações indevidas, intencionais ou acidentais.

– Confidencialidade: garantia de que o acesso à informação seja obtido somente por pessoas autorizadas.

– Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos respectivos ativos de tecnologia da informação sempre que necessário.

– APLICAÇÕES DA PPSI

As diretrizes aqui estabelecidas deverão ser seguidas por todos os colaboradores, bem como os prestadores de serviço, e se aplicam à informação em qualquer meio ou suporte.

Esta política dá ciência a cada colaborador de que os ambientes, sistemas, computadores e redes da empresa poderão ser monitorados e gravados, com prévia informação, conforme previsto nas leis brasileiras.

É também obrigação de cada colaborador se manter atualizado em relação a esta PPSI e aos procedimentos e normas relacionadas, buscando orientação do seu gestor ou da Gerência de Tecnologia da Informação sempre que não estiver absolutamente seguro quanto à aquisição, uso e/ou descarte de informações.

– PRINCÍPIOS DA PPSI

Toda informação produzida ou recebida pelos colaboradores como resultado da atividade profissional contratada pela Vereda Alimentos Ltda. pertence à referida empresa. As exceções devem ser explicitadas e formalizadas em contrato entre as partes.

Os equipamentos de informática e comunicação, sistemas e informações são utilizados pelos colaboradores para a realização das atividades profissionais. O uso pessoal dos recursos é permitido desde que não prejudique o desempenho dos sistemas e serviços.

A Vereda Alimentos Ltda., por meio da Gerência de Tecnologia da Informação, poderá registrar todo o uso dos sistemas e serviços, visando garantir a disponibilidade e a segurança das informações utilizadas.

– REQUISITOS DA PPSI

Para a uniformidade da informação, a PPSI deverá ser comunicada à todos os colaboradores da Vereda Alimentos Ltda., a fim de que a política seja cumprida dentro e fora da empresa.

Considerada a atual estrutura organizacional, é atribuída ao Comitê de Segurança da Informação a função de responsável pela gestão dos temas relacionados à segurança da informação, analisando e deliberando as questões tipicamente atribuídas e designadas à Segurança da Informação mediante apontamentos e encaminhamento dos temas e demandas relevantes formuladas e submetidas pela Gerência de Tecnologia da Informação para análise e deliberação do Comitê de Segurança da Informação.

Tanto a PPSI quanto as normas deverão ser revisadas e atualizadas periodicamente, sempre que algum fato relevante ou evento motive sua revisão antecipada, conforme análise da Gerência de Tecnologia da Informação que deverá ser formulada e submetida ao Comitê de Segurança da Informação para deliberação.

Quando necessário e, para atender demandas e necessidades pontuais da Vereda Alimentos Ltda. com  suas contrapartes (empresas e pessoas externas à Vereda Alimentos Ltda.), deverá constar nos contratos, uma Cláusula de Confidencialidade e/ou de Tratamento de Dados a formalização (assinatura) de um Termo de Confidencialidade e/ou de Tratamento de dados, como condição imprescindível para que possa ser concedido o acesso aos ativos de informação disponibilizados pela instituição.

A responsabilidade em relação à segurança da informação é comunicada na fase de contratação dos colaboradores ou na implantação de novas regras. Todos os colaboradores são instruídos e orientados sobre os procedimentos de segurança, bem como do uso correto dos ativos de informação, a fim de reduzir possíveis riscos.

Todo incidente que afete a segurança da informação deverá ser imediatamente comunicado inicialmente aos gerentes de setor e à Gerência de Tecnologia da Informação e ela, se julgar necessário, deverá encaminhar posteriormente ao CEO para análise e deliberação.

Um plano de contingência e a continuidade dos principais sistemas e serviços deverão ser implantados e testados no mínimo anualmente, visando reduzir riscos de perda de confidencialidade, integridade e disponibilidade dos ativos de informação.

Todos os requisitos de segurança da informação, incluindo a necessidade de planos de contingência, devem ser identificados na fase de levantamento de escopo de um projeto ou sistema, e justificados, acordados, documentados, implantados e testados durante a fase de execução.

Deverão ser criados e instituídos controles apropriados, trilhas de auditoria ou registros de atividades, em todos os pontos e sistemas em que a instituição julgar necessário para reduzir os riscos dos seus ativos de informação como, por exemplo, nas estações  de trabalho, notebooks, nos acessos à internet, no correio eletrônico, nos sistemas comerciais e financeiros desenvolvidos pela Vereda Alimentos Ltda. ou por terceiros.

Os ambientes de produção devem ser segregados e rigidamente controlados, garantindo o isolamento necessário em relação aos ambientes de desenvolvimento, testes e homologação.

A Vereda Alimentos Ltda. exonera-se de toda e qualquer responsabilidade decorrente do uso indevido, negligente ou imprudente dos recursos e serviços concedidos aos seus colaboradores,    reservando-se no direito de analisar dados e evidências para obtenção de provas a serem utilizadas nos processos investigatórios, bem como adotar as medidas legais cabíveis.

Esta PPSI é implementada na Vereda Alimentos Ltda. por meio de procedimentos específicos, obrigatórios para todos os colaboradores, independentemente do nível hierárquico ou função na empresa, bem como de vínculo empregatício ou prestação de serviço.

O não cumprimento dos requisitos previstos nesta PPSI e das normas legais que tratam da Segurança da Informação acarretará violação às regras internas da empresa e sujeitará o usuário às medidas administrativas e legais cabíveis.

– DAS RESPONSABILIDADES ESPECÍFICAS

– Dos Colaboradores em Geral

Entende-se por colaborador toda e qualquer pessoa física, contratada CLT ou prestadora de serviço por intermédio de pessoa jurídica ou não, que exerça alguma atividade dentro ou fora da instituição.

Será de inteira responsabilidade de cada colaborador, todo prejuízo ou dano que vier a sofrer ou causar à Vereda Alimentos Ltda. e/ou a terceiros, em decorrência da não obediência às diretrizes e normas aqui referidas.

– Dos Colaboradores em Regime de Exceção (Temporários)

Devem entender os riscos associados à sua condição especial e cumprir rigorosamente o que está previsto nesta PPSI concebida pela Gerência de Tecnologia da Informação e aprovada pelo CEO.

A concessão de acesso aos ativos de informação poderá ser revogada a qualquer tempo se for verificado que a justificativa de motivo de negócio não mais compensa o risco relacionado ao regime de exceção ou se o colaborador que o recebeu não estiver cumprindo as condições aqui definidas.

– Dos Gestores de Pessoas e/ou Processos

Ter postura exemplar em relação à segurança da informação, servindo como modelo de conduta para os colaboradores sob a sua gestão.

Atribuir aos colaboradores, na fase de contratação e de formalização dos contratos individuais de trabalho, de prestação de serviços ou de parceria, a responsabilidade do cumprimento da PPSI da Vereda Alimentos Ltda..

Exigir dos colaboradores a assinatura do Termo de Compromisso e Ciência, assumindo o dever de seguir as normas estabelecidas, bem como se comprometendo a manter sigilo e confidencialidade, mesmo quando desligado, sobre todos os ativos de informações da Vereda Alimentos Ltda..

Antes de conceder acesso às informações da instituição, exigir a assinatura do Termo de Confidencialidade dos colaboradores casuais e prestadores de serviços que não estejam cobertos por um contrato existente, por exemplo, durante a fase de levantamento para apresentação de propostas comerciais.

Adaptar as normas, os processos, procedimentos e sistemas sob sua responsabilidade para atender esta PPSI.

– Dos Custodiantes da Informação

– Da Área de Tecnologia da Informação

Testar a eficácia dos controles utilizados e informar aos gestores os riscos residuais.

Acordar com os gestores o nível de serviço que será prestado e os procedimentos de resposta aos incidentes.

Configurar os equipamentos, ferramentas e sistemas concedidos aos colaboradores com todos os controles necessários para cumprir os requerimentos de segurança estabelecidos por esta PPSI, e pelas Normas de Segurança da Informação complementares.

Os administradores e operadores dos sistemas computacionais podem, pela característica de seus privilégios como usuários, acessar os arquivos e dados de outros usuários. No entanto, isso só será permitido quando for necessário para a execução de atividades operacionais sob sua responsabilidade como, por exemplo, a manutenção de computadores, a realização de cópias de segurança, auditorias ou testes no ambiente.

Segregar as funções administrativas, operacionais e educacionais a fim de restringir ao mínimo necessário os poderes de cada indivíduo e eliminar, ou ao menos reduzir, a existência de pessoas que possam excluir os logs e trilhas de auditoria das suas próprias ações. Garantir segurança especial para sistemas com acesso público, incluindo o ambiente educacional, fazendo guarda de evidências que permitam a rastreabilidade para fins de auditoria ou investigação.

Gerar e manter as trilhas para auditoria com nível de detalhe suficiente para rastrear possíveis falhas e fraudes. Para as trilhas geradas e/ou mantidas em meio eletrônico, implantar controles de integridade para torná-las juridicamente válidas como evidências.

Administrar, proteger e testar as cópias de segurança dos programas e dados relacionados aos processos críticos e relevantes para a Vereda Alimentos Ltda..

Implantar controles que gerem registros auditáveis para retirada e transporte de mídias das informações custodiadas pela TI, nos ambientes totalmente controlados por ela.

O gestor da informação deve ser previamente informado sobre o fim do prazo de retenção, para que tenha a alternativa de alterá-lo antes que a informação seja definitivamente descartada pelo custodiante.

Quando ocorrer movimentação interna dos ativos de TI, garantir que as informações de um usuário não serão removidas de forma irrecuperável antes de disponibilizar o ativo para outro usuário.

Planejar, implantar, fornecer e monitorar a capacidade de armazenagem, processamento e transmissão necessários para garantir a segurança requerida pelas áreas de negócio.

Atribuir cada conta ou dispositivo de acesso a computadores, sistemas, bases de dados e qualquer outro ativo de informação a um responsável identificável como pessoa física, sendo que:

– os usuários (logins) individuais de funcionários serão de responsabilidade do próprio funcionário.

– os usuários (logins) de terceiros serão de responsabilidade do gerente da área contratante.

Proteger continuamente todos os ativos de informação da empresa contra código malicioso, e garantir que todos os novos ativos só entrem para o ambiente de produção após estarem livres de código malicioso e/ou indesejado.

Garantir que não sejam introduzidas vulnerabilidades ou fragilidades no ambiente de produção da empresa em processos de mudança, sendo ideal a auditoria de código e a proteção contratual para controle e responsabilização no caso de uso de terceiros.

Definir as regras formais para instalação de software e hardware em ambiente de produção corporativo, bem como em ambiente exclusivamente educacional, exigindo o seu cumprimento dentro da empresa.

Realizar auditorias periódicas de configurações técnicas e análise de riscos. Responsabilizar-se pelo uso, manuseio, guarda de assinatura e certificados digitais.

Garantir, da forma mais rápida possível, com solicitação formal, o bloqueio de acesso de usuários por motivo de desligamento da empresa, incidente, investigação ou outra situação que exija medida restritiva para fins de salvaguardar os ativos da empresa.

Garantir que todos os servidores, estações e demais dispositivos com acesso à rede da empresa operem com o relógio sincronizado com os servidores de tempo oficiais do governo brasileiro.

Monitorar o ambiente de TI, gerando indicadores e históricos de:

– uso da capacidade instalada da rede e dos equipamentos;

– tempo de resposta no acesso à internet e aos sistemas críticos da Vereda Alimentos Ltda.;

– períodos de indisponibilidade no acesso à internet e aos sistemas críticos da Vereda Alimentos Ltda.;

– incidentes de segurança (vírus, trojans, furtos, acessos indevidos, dentre outros)

– atividade de todos os colaboradores durante os acessos às redes externas, inclusive internet (por exemplo: sites visitados, e-mails recebidos/enviados, upload/download de arquivos, entre outros);

– Da Gerência de Tecnologia da Informação

Propor as metodologias e os processos específicos para a segurança da informação, como avaliação de risco e sistema de classificação da informação.

Propor e apoiar iniciativas que visem à segurança dos ativos de informação da Vereda Alimentos Ltda..

Publicar e promover as versões da PPSI e as Normas de Segurança da Informação aprovadas pelo Comitê de Segurança da Informação.

Promover a conscientização dos colaboradores em relação à relevância da segurança da informação para o negócio da Vereda Alimentos Ltda., mediante campanhas, palestras, treinamentos e outros meios.

Apoiar a avaliação e a adequação de controles específicos de segurança da informação para novos sistemas ou serviços.

Analisar criticamente, em conjunto com o Comitê de Segurança da Informação, os incidentes pertinentes à segurança da informação.

Apoiar o Comitê de Segurança da Informação na formulação das atas e os resumos das reuniões, no desenvolvimento dos temas relacionados à Gerência de Tecnologia da Informação, destacando os assuntos que exijam intervenção do próprio comitê ou de outros membros da diretoria.

Manter comunicação efetiva com o Comitê de Segurança da Informação sobre assuntos relacionados ao tema que afetem ou tenham potencial para afetar a Vereda Alimentos Ltda..

Buscar alinhamento com as diretrizes corporativas da empresa.

– Do Comitê de Segurança da Informação

A Vereda Alimentos Ltda., por sua estrutura organizacional, recorre ao Comitê de Segurança da Informação que recepciona, analisa e delibera sobre os assuntos relacionados à Segurança da Informação.

Portanto, as questões atribuídas ao Comitê de Segurança da Informação são tratadas pelo CEO, demais Diretores, Departamento  de Tecnologia da Informação os quais, quando necessário, são apoiados por gerentes, assessores e colaboradores com nível hierárquico de supervisão, internos ou externos, convidados para participar do Comitê para apoiar tecnicamente o entendimento e as discussões dos temas relacionados às suas áreas de atuação.

Deverá a Gerência de Tecnologia da Informação fazer incluir temas de sua área na pauta do Comitê de Segurança da Informação, formalmente, pelo menos uma vez a cada dois anos. Reuniões adicionais devem ser realizadas sempre que for necessário deliberar sobre algum incidente grave ou definição relevante para a Vereda Alimentos Ltda..

A Gerência de Tecnologia da Informação poderá utilizar especialistas, internos ou externos, para apoiarem nos assuntos que exijam conhecimento técnico específico.

Cabe à Gerência de Tecnologia da Informação submeter ao CEO:

– proposta de investimentos relacionados à segurança da informação com o objetivo de reduzir mais os riscos;

– proposta de alterações nas versões da PPSI e a inclusão, a eliminação ou a mudança de normas complementares;

– avaliar os incidentes de segurança e propor ações corretivas;

– definir as medidas cabíveis nos casos de descumprimento da PPSI e/ou das Normas de Segurança da Informação complementares submetendo-as ao Comitê para deliberação.

– DO MONITORAMENTO E DA AUDITORIA DO AMBIENTE

Para garantir as regras mencionadas nesta PPSI, bem como de sua versão educacional, a Vereda Alimentos Ltda. poderá:

– implantar sistemas de monitoramento nas estações de trabalho, servidores, correio eletrônico, conexões com a internet, dispositivos móveis ou wireless e outros componentes da rede ‒ a informação gerada por esses sistemas poderá ser usada para identificar usuários e respectivos acessos efetuados, bem como material manipulado;

– tornar públicas as informações obtidas pelos sistemas de monitoramento e auditoria, no caso de exigência judicial, solicitação do gerente (ou superior) ou por determinação do CEO;

– realizar, a qualquer tempo, inspeção física nas máquinas de sua propriedade;

– instalar sistemas de proteção, preventivos e detectáveis, para garantir a segurança das informações e dos perímetros de acesso.

– CORREIO ELETRÔNICO

O objetivo desta norma é informar aos colaboradores da Vereda Alimentos Ltda. quais são as atividades permitidas e proibidas quanto ao uso do correio eletrônico corporativo.

O uso do correio eletrônico da Vereda Alimentos Ltda. é para fins corporativos e relacionados às atividades do colaborador usuário dentro da empresa. A utilização desse serviço para fins pessoais é permitida desde que feita com bom senso, não prejudique a Vereda Alimentos Ltda. e também não cause impacto no tráfego da rede e esteja, sempre, apoiado na ciência e autorização do supervisor imediato do colaborador.

Acrescentamos que é proibido aos colaboradores o uso do correio eletrônico da Vereda Alimentos Ltda. com o propósito de:

– enviar mensagens não solicitadas para múltiplos destinatários, exceto se relacionadas ao uso legítimo da instituição;

– enviar mensagem por correio eletrônico pelo endereço de seu departamento ou usando o nome de usuário de outra pessoa ou endereço de correio eletrônico que não esteja aquele autorizado a utilizar;

– enviar qualquer mensagem por meios eletrônicos que torne seu remetente e/ou a Vereda Alimentos Ltda. e suas unidades vulneráveis a ações civis ou criminais;

– divulgar informações não autorizadas ou imagens de tela, sistemas, documentos e afins sem autorização expressa e formal concedida pelo proprietário desse ativo de informação;

– falsificar informações de endereçamento, adulterar cabeçalhos para esconder a identidade de remetentes e/ou destinatários, com o objetivo de evitar as punições previstas;

– apagar mensagens pertinentes de correio eletrônico quando qualquer uma das unidades da Vereda Alimentos Ltda. estiver sujeita a algum tipo de investigação.

– produzir, transmitir ou divulgar mensagem que:

– contenha qualquer ato ou forneça orientação que conflite ou contrarie os interesses da Vereda Alimentos Ltda.;

– contenha ameaças eletrônicas, como: spam, mail bombing, vírus de computador;

– contenha arquivos com código executável (.exe, .com, .bat, .pif, .js, .vbs, .hta, .src, cpl, .reg, .dll, .inf) ou qualquer outra extensão que represente um risco à segurança;

– vise obter acesso não autorizado a outro computador, servidor ou rede;

– vise interromper um serviço, servidores ou rede de computadores por meio de qualquer método ilícito ou não autorizado;

– vise burlar qualquer sistema de segurança;

– vise vigiar secretamente ou assediar outro usuário;

– vise acessar informações confidenciais sem explícita autorização do proprietário;

– vise acessar indevidamente informações que possam causar prejuízos a qualquer pessoa;

– inclua imagens criptografadas ou de qualquer forma mascaradas;

– contenha anexo(s) superior(es) a 10MB para envio (interno e internet) e 10 MB para recebimento (internet)

– tenha conteúdo considerado impróprio, obsceno ou ilegal;

– seja de caráter calunioso, difamatório, injurioso, degradante, infame, ofensivo, violento, meaçador, pornográfico entre outros;

– contenha perseguição preconceituosa baseada em sexo, raça, incapacidade física ou mental ou outras situações protegidas;

– tenha fins políticos locais ou do país (propaganda política);

– inclua material protegido por direitos autorais sem a permissão do detentor dos direitos.

As mensagens de correio eletrônico sempre deverão incluir assinatura com o seguinte formato:

Nome do colaborador

Departamento

Nome da empresa

Telefone(s)

Website

Correio eletrônico

– INTERNET

Todas as regras atuais da Vereda Alimentos Ltda. visam basicamente o desenvolvimento de um comportamento eminentemente ético e profissional do uso da internet. Embora a conexão direta e permanente da rede corporativa da instituição com a internet ofereça um grande potencial de benefícios, ela abre a porta para riscos significativos para os ativos de informação.

Qualquer informação que é acessada, transmitida, recebida ou produzida na internet está sujeita a divulgação e auditoria. Portanto, a Vereda Alimentos Ltda., em total conformidade legal, reserva-se o direito de monitorar e registrar todos os acessos a ela.

Os equipamentos, tecnologia e serviços fornecidos para o acesso à internet são de propriedade da instituição, que pode analisar e, se necessário, bloquear qualquer arquivo, site, correio eletrônico, domínio ou aplicação armazenados na rede/internet, estejam eles em disco local, na estação ou em áreas privadas da rede, visando assegurar o cumprimento desta PPSI.

A Vereda Alimentos Ltda., ao monitorar a rede interna, pretende garantir a integridade dos dados e programas.

Toda tentativa de alteração dos parâmetros de segurança, por qualquer colaborador, sem o devido credenciamento e a autorização para tal, será julgada inadequada e os riscos relacionados serão informados ao colaborador e ao respectivo gestor. O uso de qualquer recurso para atividades ilícitas poderá acarretar as ações administrativas e as penalidades decorrentes de processos civil e criminal, sendo que nesses casos a instituição cooperará ativamente com as autoridades competentes.

A internet disponibilizada pela empresa aos seus colaboradores, independentemente de sua relação contratual, pode ser utilizada para fins pessoais, desde que não prejudique o andamento dos trabalhos nas unidades e esteja, sempre, apoiada na ciência e autorização do supervisor imediato do colaborador.

Como é do interesse da Vereda Alimentos Ltda. que seus colaboradores estejam bem informados, o uso de sites de notícias ou de serviços, por exemplo, é aceitável, desde que não comprometa a banda da rede em horários estritamente comerciais, não perturbe o bom andamento dos trabalhos nem implique conflitos de interesse com os seus objetivos de negócio.

Somente os colaboradores que estão devidamente autorizados a falar em nome da Vereda Alimentos Ltda. para os meios de comunicação poderão manifestar-se, seja por e-mail, entrevista on-line, podcast, seja por documento físico, entre outros.

Apenas os colaboradores autorizados pela instituição poderão copiar, captar, imprimir ou enviar imagens da tela para terceiros, observando e respeitando as diretrizes dessa PPSI, à Lei de Direitos Autorais e, à proteção da imagem garantida pela Constituição Federal e demais dispositivos legais.

É proibida a divulgação e/ou o compartilhamento indevido de informações da área administrativa em listas de discussão, sites ou comunidades de relacionamento, salas de bate-papo ou chat, comunicadores instantâneos ou qualquer outra tecnologia correlata que venha surgir na internet.

O uso, a instalação, a cópia ou a distribuição não autorizada de softwares que tenham direitos autorais, marca registrada ou patente na internet são expressamente proibidos.

Qualquer software não autorizado baixado será excluído pela Gerência de Tecnologia da Informação.

Os colaboradores não poderão sob qualquer hipótese utilizar os recursos da Vereda Alimentos Ltda. para fazer o download ou distribuição de software ou dados pirateados, atividade considerada delituosa de acordo com a legislação nacional.

Como regra geral, materiais de cunho sexual não poderão ser expostos, armazenados, distribuídos, editados, impressos ou gravados por meio de qualquer recurso.

Colaboradores com acesso à internet não poderão efetuar upload (subida) de qualquer software licenciado para a Vereda Alimentos Ltda. ou de dados de sua propriedade aos seus parceiros e clientes, sem expressa autorização do responsável pelo software ou pelos dados.

Os colaboradores não poderão utilizar os recursos da Vereda Alimentos Ltda. para deliberadamente propagar qualquer tipo de vírus, worm, cavalo de troia, spam, assédio, perturbação ou programas de controle de outros computadores.

O acesso a softwares peer-to-peer (Kazaa, BitTorrent e afins) não serão permitidos. Já os serviços de streaming (rádios on-line, canais de broadcast e afins) serão permitidos a grupos específicos. Porém, os serviços de comunicação instantânea (MSN, ICQ e afins) serão inicialmente disponibilizados aos usuários e poderão ser bloqueados caso o gestor requisite formalmente à Gerencia de Tecnologia da Informação. Não é permitido acesso a sites de proxy.

– IDENTIFICAÇÃO

Os dispositivos de identificação e senhas protegem a identidade do colaborador usuário, evitando e prevenindo que uma pessoa se faça passar por outra perante a Vereda Alimentos Ltda. e/ou terceiros.

O uso dos dispositivos e/ou senhas de identificação de outra pessoa constitui crime tipificado no Código Penal Brasileiro (art. 307 – falsa identidade).

Tal norma visa estabelecer critérios de responsabilidade sobre o uso dos dispositivos de identificação e deverá ser aplicada a todos os colaboradores.

Todos os dispositivos de identificação utilizados na Vereda Alimentos Ltda., como o número de registro do colaborador, o crachá, as identificações de acesso aos sistemas, os certificados e assinaturas digitais e os dados biométricos devem estar associados a uma pessoa física e vinculados inequivocamente aos seus documentos oficiais reconhecidos pela legislação brasileira.

O usuário, vinculado a tais dispositivos identificadores, será responsável pelo seu uso correto perante a instituição e a legislação (cível e criminal).

Todo e qualquer dispositivo de identificação pessoal, portanto, não poderá ser compartilhado com outras pessoas sob qualquer hipótese.

É igualmente proibido o compartilhamento de login para funções de administração de sistemas.

O Departamento de Recursos Humanos da Vereda Alimentos Ltda. é o responsável pela emissão e pelo controle dos documentos físicos de identidade dos colaboradores.

A Gerência de Tecnologia da Informação responde pela criação da identidade lógica dos colaboradores da Instituição, sempre à luz desta PPSI, de demais documentos (Políticas, Manuais, Procedimentos, Códigos, Comunicados, etc.) oficiais da Vereda Alimentos Ltda., notadamente, aqueles que endereçam tratamento ou fazem referência aos temas relacionados ao parque tecnológico e à segurança da informação da Vereda Alimentos Ltda..

Devem ser distintamente identificados os visitantes, estagiários, empregados temporários, empregados regulares e prestadores de serviços, sejam eles pessoas físicas e/ou jurídicas.

Ao realizar o primeiro acesso ao ambiente de rede local, o usuário deverá trocar imediatamente a sua senha conforme as orientações apresentadas.

Os usuários deverão ter senha de tamanho variável, possuindo no mínimo 6 (seis) caracteres alfanuméricos, utilizando caracteres especiais (@ # $ %) e variação entre caixa-alta e caixa-baixa (maiúsculo e minúsculo) sempre que possível.

Os usuários que possuem perfil de administrador ou acesso privilegiado deverão utilizar uma senha de no mínimo 10 (dez) caracteres, alfanumérica, utilizando caracteres especiais (@ # $ %) e variação de caixa-alta e caixa-baixa (maiúsculo e minúsculo) obrigatoriamente.

É de responsabilidade de cada usuário a memorização de sua própria senha, bem como a proteção e a guarda dos dispositivos de identificação que lhe forem designados.

As senhas não devem ser anotadas ou armazenadas em arquivos eletrônicos (Word, Excel, etc.), compreensíveis por linguagem humana (não criptografados); não devem ser baseadas em informações pessoais, como próprio nome, nome de familiares, data de nascimento, endereço, placa de veículo, nome da empresa, nome do departamento; e não devem ser constituídas de combinações óbvias de teclado, como “abcdefgh”, “87654321”, entre outras.

Após 3 (três) tentativas de acesso, a conta do usuário será bloqueada. Para o desbloqueio é necessário que o usuário entre em contato com a Gerência de Tecnologia da Informação da Vereda Alimentos Ltda..

Deverá ser estabelecido um processo para a renovação de senha (confirmar a identidade).

Os usuários podem alterar a própria senha, e devem ser orientados a fazê-lo com regularidade, principalmente, no caso de suspeita de que terceiros obtiveram acesso indevido ao seu login/senha.

A periodicidade máxima para troca das senhas é 45 (quarenta e cinco) dias, não podendo ser repetidas as 3 (três) últimas senhas. Os sistemas críticos e sensíveis para a instituição e os logins com privilégios administrativos devem exigir a troca de senhas a cada 30 dias.

Os sistemas devem forçar a troca das senhas dentro desse prazo máximo.

Todos os acessos devem ser imediatamente bloqueados quando se tornarem desnecessários.

Portanto, quando da demissão de qualquer usuário, o Departamento de Recursos Humanos deverá, imediatamente, comunicar tal fato ao Departamento de Tecnologia da Informação que bloqueará os acessos. A mesma conduta se aplica aos usuários cujo contrato de prestação de serviços tenha se encerrado, bem como aos usuários de testes e outras situações similares.

Caso o colaborador esqueça sua senha, ele deverá requisitar formalmente a troca registrando pedido via mensagem e-mail endereçada a: suporte@vereda.com.

– COMPUTADORES E RECURSOS TECNOLÓGICOS

Os equipamentos disponibilizados aos colaboradores são de propriedade da Vereda Alimentos Ltda., cabendo a cada um utilizá-los e manuseá-los corretamente para as atividades de interesse da instituição, bem como cumprir as recomendações e diretrizes constantes nesta PPSI e nos procedimentos operacionais aqui definidos.

É proibido todo e qualquer procedimento de manutenção física ou lógica, instalação, desinstalação, configuração ou modificação, sem o prévio conhecimento e o acompanhamento de um técnico da Gerência de Tecnologia da Informação da Vereda Alimentos Ltda., ou de quem este determinar. As gerências que necessitarem fazer testes deverão solicitá-los previamente à Gerência de Tecnologia da Informação, responsável jurídica e tecnicamente pelas ações realizadas.

Todas as atualizações e correções de segurança do sistema operacional ou aplicativos somente poderão ser realizadas após a devida validação no respectivo ambiente de homologação e, depois de sua disponibilização pelo fabricante ou fornecedor.

Os sistemas e computadores devem ter versões do software antivírus instaladas, ativadas e atualizadas permanentemente. O usuário, em caso de suspeita de vírus ou problemas no funcionamento das ferramentas tecnológicas, deverá acionar a Gerência de Tecnologia da Informação mediante registro de chamado no “service desk” (envio de mensagem e-mail endereçada a: suporte@vereda.com).

A transferência e/ou a divulgação de qualquer software, programa ou instruções de computador para terceiros, por qualquer meio de transporte (físico ou lógico), somente poderá ser realizada com a devida identificação do solicitante, se verificada positivamente e estiver de acordo com a classificação de tal informação e com a real necessidade do destinatário.

Arquivos pessoais e/ou não pertinentes ao negócio da Vereda Alimentos Ltda. (fotos, músicas, vídeos, etc.), não deverão ser copiados/movidos para os drives de rede, pois podem sobrecarregar o armazenamento nos servidores. Caso seja identificada a existência desses arquivos, eles serão excluídos definitivamente, o gestor/supervisor do colaborador será informado e instruído para adotar as medidas disciplinares cabíveis com registro no prontuário do usuário, que deverá arquivado na Gerência de Recursos Humanos cabendo à esta última orientar as medidas disciplinares no caso de reincidência.

Documentos imprescindíveis para as atividades dos colaboradores da instituição deverão ser salvos em drives de rede. Tais arquivos, se gravados apenas localmente nos computadores (por exemplo, no drive C:), não terão garantia de backup e poderão ser perdidos caso ocorra uma falha no computador, sendo, portanto, de responsabilidade do próprio usuário.

Os colaboradores da Vereda Alimentos Ltda. e/ou detentores de contas privilegiadas não devem executar nenhum tipo de comando ou programa que venha sobrecarregar os serviços existentes na rede corporativa sem a prévia solicitação e a autorização da Gerência de Tecnologia da Informação.

No uso dos computadores, equipamentos e recursos de informática, algumas regras devem ser atendidas. Vejamos:

Todos os computadores de uso individual deverão ter senha de Bios para restringir os acessos não autorizados. Tais senhas serão definidas pela Gerência de Tecnologia da Informação da Vereda Alimentos Ltda., única responsável habilitada às senhas para manutenção dos equipamentos.

Os colaboradores devem informar ao departamento técnico qualquer identificação de dispositivo estranho conectado ao seu computador.

É vedada a abertura ou o manuseio de computadores ou outros equipamentos de informática para qualquer tipo de reparo que não seja realizado por um técnico da Gerência de Tecnologia da Informação da Vereda Alimentos Ltda. ou por terceiros devidamente contratados para o serviço.

Todos os eventuais modems internos ou externos serão removidos ou desativados para impedir a invasão/evasão de informações, programas, vírus. Em alguns casos especiais, conforme regra específica, será considerada a possibilidade de uso para planos de contingência mediante a autorização dos gestores das áreas e da Gerência de Tecnologia da Informação.

É expressamente proibido o consumo de alimentos, bebidas ou fumo na mesa de trabalho e próximo aos equipamentos.

O colaborador deverá manter a configuração do equipamento disponibilizado pela Vereda Alimentos Ltda., respeitando as regras de segurança exigidas por esta PPSI e pelas demais normas específicas da instituição, assumindo a responsabilidade como custodiante de informações.

Deverão ser protegidos por senha (bloqueados), nos termos previstos pela Norma de Autenticação, todos os terminais de computador e impressoras quando não estiverem sendo utilizados.

Todos os recursos tecnológicos adquiridos pela Vereda Alimentos Ltda. devem ter, imediatamente, suas senhas padrões (default) alteradas.

Os equipamentos deverão manter preservados, de modo seguro, os registros de eventos, constando identificação dos colaboradores, datas e horários de acesso.

Acrescentamos algumas situações em que é proibido o uso de computadores e recursos tecnológicos da Vereda Alimentos Ltda.:

– Tentar ou obter acesso não autorizado a outro computador, servidor ou rede.

– Burlar quaisquer sistemas de segurança.

– Acessar informações confidenciais sem explícita autorização do proprietário.

– Vigiar secretamente outrem por dispositivos eletrônicos ou softwares, como, por exemplo, analisadores de pacotes (sniffers).

– Interromper um serviço, servidores ou rede de computadores por meio de qualquer método ilícito ou não autorizado.

– Usar qualquer tipo de recurso tecnológico para cometer ou ser cúmplice de atos de violação, assédio sexual, perturbação, manipulação ou supressão de direitos autorais ou propriedades intelectuais sem a devida autorização legal do titular;

– Hospedar pornografia, material racista ou qualquer outro que viole a legislação em vigor no país, a moral, os bons costumes e a ordem pública.

– Utilizar software pirata, atividade considerada delituosa de acordo com a legislação nacional.

– DISPOSITIVOS MÓVEIS

Quando se descreve “dispositivo móvel” entende-se qualquer equipamento eletrônico com atribuições de mobilidade de propriedade da sociedade empressária, ou aprovado e permitido por sua Gerência de Tecnologia da Informação, como: notebooks, smartphones, CD, DVD e pendrives.

Essa norma visa estabelecer critérios de manuseio, prevenção e responsabilidade sobre o uso de dispositivos móveis e deverá ser aplicada a todos os colaboradores que utilizem tais equipamentos.

A Vereda Alimentos Ltda., na qualidade de proprietária dos equipamentos fornecidos, reserva-se o direito de inspecioná-los a qualquer tempo, caso seja necessário realizar uma manutenção de segurança, inclusive, porém, não limitada à inspeção para validação e aderência das regras contidas nesta PPSI.

O colaborador, portanto, assume o compromisso de não utilizar, revelar ou divulgar a terceiros, direta ou indiretamente, em proveito próprio ou de terceiros, qualquer informação, confidencial ou não, que tenha ou venha a ter conhecimento em razão de suas funções na Vereda Alimentos Ltda., mesmo depois de terminado o vínculo contratual mantido com a instituição.

O suporte técnico aos dispositivos de propriedade da Vereda Alimentos Ltda. e aos seus usuários deverá seguir o mesmo fluxo de suporte contratado pela instituição.

Todo colaborador deverá utilizar senhas de bloqueio automático para os dispositivos em uso e, no caso de “desktop” (computador de mesa), quando das súbitas ausências de suas estações de trabalho.

Não será permitida, sob qualquer hipótese, a alteração da configuração dos sistemas operacionais dos equipamentos, em especial os referentes à segurança e à geração de logs, sem a necessária comunicação prévia e a expressa autorização da área responsável e sem a condução, auxílio ou presença de um técnico da Gerência de Tecnologia da Informação.

O colaborador é responsável por manter ou utilizar quaisquer programas e/ou aplicativos que não tenham sido instalados ou autorizados por um técnico da Gerência de Tecnologia da Informação da Vereda Alimentos Ltda..

A reprodução não autorizada dos softwares instalados nos dispositivos móveis fornecidos pela instituição constituirá uso indevido do equipamento e infração legal aos direitos autorais do fabricante.

É permitido o uso de rede banda larga de locais conhecidos pelo colaborador como: sua casa, hotéis, fornecedores e clientes.

É responsabilidade do colaborador, no caso de furto ou roubo de um dispositivo móvel fornecido pela Vereda Alimentos Ltda., notificar imediatamente seu gestor direto e a Gerência de Tecnologia da Informação. Este deverá procurar a ajuda das autoridades policiais registrando, assim que possível, um boletim de ocorrência (BO).

O colaborador deverá estar ciente de que o uso indevido do dispositivo móvel caracterizará a assunção de todos os riscos da sua má utilização, sendo o único responsável por quaisquer danos, diretos ou indiretos, presentes ou futuros, que venha causar a Vereda Alimentos Ltda. e/ou a terceiros.

O colaborador que deseje utilizar equipamentos portáteis particulares ou adquirir acessórios e posteriormente conectá-los à rede do Vereda Alimentos Ltda. deverá submeter previamente tais equipamentos ao processo de autorização da Gerência de Tecnologia da Informação.

Equipamentos portáteis, como smart phones, palmtops, pendrives e players de qualquer espécie, quando não fornecidos ao colaborador pela instituição, não serão validados para uso e conexão em sua rede corporativa.

– DATACENTER

O acesso ao Datacenter somente deverá ser feito por biometria, cartão magnético entre outros conhecidos desde que, previamente, autorizados pela Gerência de Tecnologia da Informação.

A Vereda Alimentos Ltda. poderá contratar e fazer uso do serviço de “hospedagem de servidores”. Todo acesso ao Datacenter (Cloud), será realizado pelo sistema de autenticação forte, que registra (usuário, data e hora) mediante software próprio.

O usuário “administrador” do sistema de autenticação forte ficará de posse e administração da Gerência de Tecnologia da Informação e, de acordo com os procedimentos de Controle de Contas Administrativas definidos por esta Gerência.

Conforme parâmetros de segurança praticados pelo fornecedor de serviços em nuvem, a lista de funções com direito de acesso ao Datacenter deverá ser constantemente atualizada, de acordo com os termos do Procedimento de Controle de Acesso ao Datacenter. Nas localidades em que não existam colaboradores da área de tecnologia da informação, pessoas de outros departamentos deverão ser cadastradas no sistema de acesso para que possam exercer as atividades operacionais dentro do Datacenter, como, por exemplo: troca de fitas de backup, suporte em eventuais problemas, e assim por diante.

O acesso de visitantes ou terceiros somente poderá ser realizado com o acompanhamento de um colaborador autorizado devendo, a solicitação de acesso, ser formalizada à Gerência de Segurança da Informação, acompanhada da descrição da finalidade/propósito e, o tempo requerido para realização do trabalho pretendido.

O acesso ao Datacenter, por meio de chave, apenas poderá ocorrer em situações de emergência, quando a segurança física do Datacenter for comprometida, como por incêndio, inundação, abalo da estrutura predial ou quando o sistema de autenticação forte não estiver funcionando.

No caso de necessidade de acesso não emergencial, a área ou parte requisitante deve solicitar autorização à Gerência de Tecnologia da Informação, incumbida de tratar a liberação de acesso e demais temas relacionados ao Procedimento de Controle de Acesso ao Datacenter.

Deverão existir duas cópias de chaves (física) da porta do Datacenter. Uma das cópias ficará de posse da Gerência de Tecnologia da Informação, responsável pelo Datacenter e, a outra, permanecerá em poder do CEO ou de quem este indicar.

Os datacenters (local ou nuvem) deverão ser mantidos limpos e organizados. Qualquer procedimento que gere lixo ou sujeira nesse ambiente somente poderá ser realizado com a colaboração do Departamento de Serviços Gerais.

Não é permitida a entrada de nenhum tipo de alimento, bebida, produto fumígeno ou inflamável.

A entrada ou retirada de quaisquer equipamentos dos Datacenters somente se dará com o preenchimento de uma solicitação de liberação pelo colaborador solicitante e autorizada, formalmente, pelo responsável do Datacenter. Caso o originador do pedido de retirada de equipamento seja o gerente de tecnologia da informação, a solicitação de retirada de equipamentos deve ser autorizada pelo Superintendente Administrativo.

No caso de desligamento de empregados ou colaboradores que possuam acesso ao Datacenter, deverá ser providenciada, imediatamente, a sua exclusão do sistema de autenticação forte e da lista de colaboradores autorizados, procedimento este sob a incumbência da Superintendência Administrativa quando se tratar do datacenter local.

– BACKUP

Todos os backups (local e nuvem) devem ser automatizados por sistemas de agendamento automatizado para que sejam preferencialmente executados fora do horário comercial, nas chamadas “janelas de backup” – períodos em que não há nenhum ou pouco acesso de usuários ou processos automatizados aos sistemas de informática.

Os colaboradores responsáveis pela gestão dos sistemas de backup (local e nuvem) deverão realizar pesquisas frequentes para identificar atualizações de correção, novas versões do produto, ciclo de vida (quando o software não terá mais garantia do fabricante), sugestões de melhorias, dentre outros.

As mídias de backup (configurando a fitoteca da LocalWeb composta por mídias tais como; DAT, DLT, LTO, DVD, CD) são acondicionadas em local seco, climatizado, seguro (de preferência em cofres corta-fogo segundo as normas da ABNT) e distantes o máximo possível do Datacenter (físico).

As fitas de backup devem ser devidamente identificadas, inclusive quando for necessário efetuar alterações de nome, e de preferência com etiquetas não manuscritas, dando uma conotação mais organizada e profissional.

O tempo de vida e uso das mídias de backup deve ser monitorado e controlado pelos responsáveis, com o objetivo de excluir mídias que possam apresentar riscos de gravação ou de restauração decorrentes do uso prolongado, além do prazo recomendado pelo fabricante.

É necessária a previsão orçamentária que assegure a renovação das mídias em razão de seu desgaste natural, bem como deverá ser mantido um estoque constante das mídias para qualquer uso emergencial.

Mídias que apresentam erros devem primeiramente ser formatadas e testadas. Caso o erro persista, deverão ser inutilizadas e descartadas de forma a impedir qualquer  acesso por terceiros.

É necessário que seja inserido, periodicamente, o dispositivo de limpeza nas unidades de backup, rotina sob a incumbência da Gerência de Tecnologia da Informação.

As mídias de backups históricos ou especiais deverão ser armazenadas em instalações seguras, preferencialmente com estrutura de sala-cofre, distante no mínimo 10 quilômetros do Datacenter.

Os backups imprescindíveis, críticos, para o bom funcionamento dos negócios do Vereda Alimentos Ltda., em linha com as definições contidas no PCN da Vereda Alimentos Ltda., exigem uma regra de retenção especial, conforme previsto nos procedimentos específicos e de acordo com a classificação da Informação (SQL, Diretório Físico, etc.), seguindo assim as determinações fiscais e legais recomendadas e praticadas no país.

Na situação de erro de backup e/ou restore é necessário que ele seja feito logo no primeiro horário disponível, assim que o responsável tenha identificado e solucionado o problema, assegurando, dessa maneira, a continuidade da operação da Vereda Alimentos Ltda..

Caso seja extremamente negativo o impacto da lentidão dos sistemas derivados desse backup, eles deverão ser autorizados mediante justificativa de necessidade a ser apresentada via relatório, pela Gerência de Tecnologia da Informação, endereçado à Superintendência Administrativa.

Qualquer atraso na execução de backup ou restore deverão ser justificados formalmente, via relatório, endereçado à Superintendência Administrativa, pelos responsáveis da Gerência de Tecnologia da Informação.

Testes de restauração (restore) de backup são executados pela Gerência de Tecnologia da Informação a cada 30 ou 60 dias, de acordo com a criticidade do backup.

Por se tratar de uma simulação, o executor deve restaurar os arquivos em local diferente do original, para que assim não sobreponha os arquivos válidos.

Para formalizar o controle de execução de backups e restores, a Gerência de Tecnologia da Informação preencherá formulário específico, passivo de ser auditado, interna e externamente.

Os colaboradores responsáveis pela restauração (restore) poderão delegar essa atividade a um terceiro especialmente contratado para realizar essa tarefa operacional quando, por motivos de força maior, não puderem operacionalizar. Contudo, o custodiante (Gerência de Tecnologia da Informação) não poderá se eximir da responsabilidade inerente à esse processo.

– DAS DISPOSIÇÕES FINAIS

Assim como a ética, a segurança da informação, também, deve ser entendida como parte fundamental da cultura interna da Vereda Alimentos Ltda., ou seja, qualquer incidente de segurança será considerado e tratado como se fosse e, como de fato é, um agente atuando contra a ética e os bons costumes regidos pela instituição.

Em casos de dúvidas ou esclarecimentos sobre o conteúdo desta Política, ou sobre a aplicação do mesmo em relação a algum assunto específico, o colaborador da VEREDA ALIMENTOS LTDA. deverá entrar em contato a qualquer momento com a Gerência de Tecnologia da Informação.

A adesão à esta Política é obrigatória para todos os colaboradores da VEREDA ALIMENTOS LTDA. e, ela ficará disponível para consulta, a qualquer tempo, na Intranet. Sua via física (impressa) será arquivada e estará disponível para consulta na Área de Compliance.

Cada funcionário assinará um Termo de Ciência e Responsabilidade, externando que tomou conhecimento da presente Política. O Termo de Ciência e Responsabilidade deverá ser formalizado (assinado) à cada atualização desta Política.

Este documento é de uso exclusivo da Vereda Alimentos Ltda. e, eventual pedido de compartilhamento com terceiros deverá ser submetido à Área de Compliance para ciência, análise e aprovação, devendo ser disponibilizado, exclusivamente, em meio físico (impresso) ou em documento digitalizado e protegido.

Guarará, 01 de agosto de 2021.

Vereda Alimentos Ltda.

Diogo Carvalho Bellotti

Sócio Administrador