Política de Gestão de Incidentes de Segurança da Informação
| Versão | Data | Autor | Alterações realizadas | Aprovado por | Data aprovação |
| 1.0 | 10/01/2024 | Vanderson Andrade | Criação | Direção Geral | 16/01/2024 |
| 2.0 | 15/07/2024 | Vanderson Andrade | Nenhuma alteração necessária | Direção Geral | 23/07/2025 |
Proxima revisao: 01/2025
As políticas da empresa são revisadas semestralmente, conforme calendário estabelecido. Todas as revisões são documentadas e aprovadas pelos responsáveis, garantindo que as práticas estejam sempre atualizadas e em conformidade com as normas vigentes.
1. Introdução
A Política de Gestão de Incidentes de Segurança da Informação visa garantir que a empresa, especializada na construção de agentes virtuais e chatbots, esteja preparada para responder de maneira rápida e eficaz a qualquer incidente que possa comprometer a segurança das informações e a continuidade dos serviços prestados. Esta política define os procedimentos para identificar, gerenciar, e responder a incidentes de segurança, minimizando o impacto sobre os sistemas, dados, e operações.
2. Objetivos
- Detecção Rápida: Identificar rapidamente qualquer incidente de segurança da informação que possa comprometer a integridade, confidencialidade, ou disponibilidade dos dados e sistemas.
- Resposta Eficaz: Garantir uma resposta imediata e eficaz para mitigar os impactos dos incidentes.
- Recuperação: Restaurar as operações normais o mais rápido possível após um incidente.
- Prevenção: Identificar e corrigir as causas raiz dos incidentes para prevenir recorrências.
3. Escopo
Esta política aplica-se a todos os sistemas, redes, e dados da empresa, incluindo informações confidenciais de clientes, infraestrutura de TI, APIs de chatbot, e qualquer outro ativo de informação. Todos os funcionários, contratados, e terceiros que tenham acesso aos sistemas da empresa devem cumprir esta política.
4. Definição de Incidente de Segurança
Um incidente de segurança da informação é qualquer evento que comprometa a confidencialidade, integridade, ou disponibilidade dos dados e sistemas da empresa. Exemplos incluem, mas não se limitam a:
- Ataques Cibernéticos: Malware, ransomware, ataques de phishing, DDoS, e outros.
- Acessos Não Autorizados: Qualquer acesso não autorizado a sistemas ou dados sensíveis.
- Falhas de Segurança: Vulnerabilidades exploradas em software ou hardware.
- Perda ou Roubo de Dados: Perda de dispositivos ou mídias contendo informações confidenciais.
- Erros Humanos: Configurações incorretas que exponham dados ou sistemas.
5. Responsabilidades
- Equipe de Segurança da Informação (ESI): Responsável pela coordenação da resposta a incidentes, investigação, comunicação interna e externa, e documentação dos incidentes.
- Todos os Funcionários: Devem estar atentos e reportar qualquer suspeita de incidente de segurança imediatamente à ESI.
- Gestores de Departamento: Garantir que suas equipes estejam cientes e cumpram os procedimentos de segurança da informação.
6. Procedimentos de Gestão de Incidentes
-
Detecção e Notificação:
- Monitoramento Contínuo: Uso de ferramentas de monitoramento para detectar anomalias e atividades suspeitas.
- Notificação Imediata: Todos os funcionários devem reportar incidentes suspeitos ou confirmados imediatamente à ESI através de canais estabelecidos (e.g., e-mail, telefone de emergência).
-
Avaliação e Classificação:
- Avaliação Inicial: A ESI deve avaliar a natureza e a gravidade do incidente, classificando-o de acordo com seu impacto potencial.
- Classificação de Impacto: Incidentes são classificados como Baixo, Médio, Alto, ou Crítico, baseados no impacto sobre os sistemas, dados, e operações.
-
Resposta ao Incidente:
- Mitigação Imediata: Ações para conter o incidente e minimizar danos (e.g., desconectar sistemas comprometidos, bloquear acessos).
- Comunicação: Notificar as partes interessadas internas e, se necessário, clientes afetados sobre o incidente e as medidas tomadas.
- Investigação: Conduzir uma investigação detalhada para identificar a causa raiz e o escopo do incidente.
-
Recuperação:
- Restaurar Sistemas: Implementar ações para restaurar os sistemas e dados afetados à sua operação normal.
- Validação de Segurança: Garantir que todas as vulnerabilidades foram corrigidas antes de voltar à operação normal.
-
Documentação e Análise Pós-Incidente:
- Registro Completo: Documentar detalhadamente o incidente, a resposta, e as ações de recuperação.
- Revisão e Aprendizado: Analisar o incidente para identificar lições aprendidas e ajustar políticas e procedimentos conforme necessário.
-
Comunicação com Autoridades:
- Conformidade Legal: Se o incidente envolver a violação de dados pessoais ou outras informações regulamentadas, a ESI deve notificar as autoridades competentes conforme as leis e regulamentos aplicáveis.
7. Prevenção e Melhoria Contínua
- Análise de Riscos: Realizar análises periódicas de riscos para identificar potenciais ameaças e vulnerabilidades.
- Treinamento e Conscientização: Treinamentos regulares para todos os funcionários sobre práticas de segurança e gestão de incidentes.
- Testes de Vulnerabilidade: Realizar testes de penetração e auditorias de segurança para identificar e corrigir vulnerabilidades antes que possam ser exploradas.
8. Revisão e Atualização da Política
- Revisões Regulares: A política deve ser revisada anualmente ou após qualquer incidente significativo, para assegurar que continue eficaz e relevante.
- Responsabilidade pela Revisão: A ESI é responsável por revisar e propor atualizações à política conforme necessário.
9. Consequências de Não Conformidade
- Medidas Disciplinares: Funcionários que não cumprirem esta política podem estar sujeitos a ações disciplinares, que podem incluir advertências, suspensão, ou demissão, dependendo da gravidade da violação.
10. Aprovação e Vigência
- Data de Vigência: Esta política entra em vigor a partir de [data específica].
- Aprovação: Assinaturas dos responsáveis pela aprovação da política, incluindo o diretor de operações e o chefe de segurança da informação.
Conclusão
A Política de Gestão de Incidentes de Segurança da Informação garante que a empresa esteja pronta para responder de maneira eficaz a qualquer ameaça à segurança da informação, protegendo os dados dos clientes e mantendo a continuidade dos serviços. A implementação rigorosa desta política é fundamental para mitigar riscos e manter a confiança dos clientes e parceiros comerciais.