1. Objetivo

Prover orientação e apoio para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações pertinentes, contribuindo assim para a sustentabilidade financeira da organização.

2. Escopo

Esta “Política de Segurança” mantém a integridade na prestação do serviço em todas as unidades da Algar Tech de acordo com as estratégias da empresa, legislação vigente e requisitos contratuais.

As diretrizes aqui estabelecidas devem ser seguidas por todos os associados, prestadores de serviços, fornecedores, estagiários, contratados, parceiros, e clientes que utilizam informações da Algar Tech.

Nota 01: Exceções somente quando aprovado pelo corpo diretivo.

3. Princípios de Segurança da Informação

Confidencialidade: garantir que as informações são disponibilizadas ou divulgadas apenas a indivíduos, entidades ou processos autorizados, assegurando o sigilo dos dados.

Integridade: garantir a veracidade, precisão e consistência das informações, garantindo que não sejam comprometidas, alteradas intencionais ou acidentais;

Disponibilidade: garantir que as informações estejam sempre acessíveis quando necessários sob demanda por indivíduos, entidades ou processos autorizados.

4. Diretrizes

4.1. Pessoas

Associados Algar Tech

• Todo associado deve assinar o “Termo de Confidencialidade” no ato de sua admissão ou sempre que for solicitado pela empresa.
• É vedado a qualquer associado à utilização indevida de informações da empresa e/ou de seus clientes, transmitirem-nas para a concorrência, utilizá-las para benefício próprio e/ou armazenar arquivos e e-mails de forma imprópria.
• Qualquer ID de autenticação (usuário e senha) na rede corporativa ou em aplicativos fornecidos pela Algar Tech é pessoal e intransferível e cada usuário será responsável pelo armazenamento e uso do mesmo.

4.2. Fornecedor e Terceiros

• Toda criação, invenção e desenvolvimento de ideias, processos, sistemas, produtos e serviços realizados durante a prestação de serviço na Algar Tech devem ser transferidos à mesma.
• É vedado a qualquer pessoa prestadora de serviço utilizar indevidamente informações da empresa e de seus clientes, transmiti-las para concorrência, utilizá-las para benefício próprio e/ou armazenar arquivos e e-mails de forma imprópria.
• Recebendo acesso a qualquer recurso da Algar Tech, o prestador de serviço estará sujeito às políticas e diretrizes internas da organização e a todos os critérios estabelecidos nas cláusulas de confidencialidade disponíveis no contrato de prestação de serviço assinado no ato da contratação.

4.3. Ativos

• Todo produto ou equipamento da Algar Tech que se faça necessário transportar, deve ser acomodado de forma segura, garantindo assim sua integridade física e lógica quando aplicável.
• Na rede corporativa, não é permitida a utilização de computadores pessoais. Salvo exceções previamente autorizadas pela área de segurança da informação.
• Toda entrada, movimentação e saída de ativos das unidades da Algar Tech devem obedecer aos procedimentos internos da empresa.

4.4. Processos

• A empresa deve mapear todos os processos críticos ao negócio e realizar uma avaliação de riscos com controles e tratativas. Os mesmos devem ser conhecidos, aprovados e aceitos pelo corpo diretivo.
• O mapeamento dos processos críticos deve ser revisado sempre que mudanças de impacto ocorram no ambiente.

4.5. Risco

• A empresa deve definir e aplicar um processo de avaliação de riscos de segurança da informação para os processos e tecnologias existentes e seus resultados devem ser comparáveis e reproduzíveis, compondo o Mapa de Risco Corporativo.
• A avaliação de risco deve ser capaz de identificar as vulnerabilidades, ameaças, impactos e níveis de risco aceitáveis para os ativos, pessoas, informação, sistemas, aplicação e mapeamento dos principais processos do negócio de acordo com as estratégias da empresa, legislação vigente e requisitos contratuais.
• A avaliação de risco deve ser revisada pelo menos uma vez a cada ano, ou sempre que mudanças de impacto ocorram no ambiente.

4.6. Informação

• O acesso a informações da Algar Tech ou de seus clientes em seu ambiente empresarial e computacional é restrito e será disponibilizado somente ao perfil de pessoas formalmente autorizadas.
• Todas as cláusulas de confidencialidade acordadas com os clientes em relação às suas informações devem ser respeitadas pelos associados Algar Tech ou terceiros a serviços que porventura venham a ter acesso a estas informações.
• É expressamente proibido para todo usuário que não possua autorização formal de uso, o acesso a quaisquer sistemas e aplicativos ou mesmo a simples tentativa de acesso.
• Toda e qualquer informação gerada dentro da Algar Tech ou em seu nome, que seja fruto de trabalho dos associados, fornecedores ou prestadores de serviço são de direito da Algar Tech e somente ela pode determinar seu destino e finalidade.
• Toda criação, invenção e desenvolvimento de ideias, processos, sistemas, produtos e serviços, criados no âmbito do trabalho ou das responsabilidades e missão da função ou cargo do associado na empresa, devem ser transferidos à Algar Tech.
• É proibida a divulgação de qualquer informação da empresa ou de seus clientes para outrem que não pertença ao mesmo grupo de trabalho, em meios de comunicação públicos (incluindo fotos/filmagens em redes sociais) ou internos, sem autorização prévia ou que esteja vinculado ao Termo de Responsabilidade e Confidencialidade, salvo exceções quando previstas em contrato.
• A informação gerada no âmbito da organização deve ser armazenada em um processo de backup com garantia de restore em local seguro validados pela equipe competente.
• Não é permitido o uso de pendrives, HD externo ou qualquer outro tipo de dispositivo removível para o transporte ou armazenamento de dados. Exceções devem ser formalmente autorizadas pela área de segurança da informação.
• Ao final do vínculo contratual com o cliente ou prestador de serviços, toda informação armazenada nos equipamentos da Algar Tech deve ser apagada ou repassada para o mesmo quando previsto em contrato;
• Ao final do vínculo empregatício e/ou contratual, os associados e/ou prestadores de serviço que porventura tenham permissão de acesso a equipamentos ou mídias de armazenamento devem eliminar quaisquer vestígios físicos e/ou lógicos de informações geradas ou adquiridas dentro da Algar Tech.

4.7. Sistemas e Aplicativos

• Não será permitida a instalação de software shareware, freeware ou equivalentes que não esteja previsto na lista de soluções homologadas.
• Todas as atualizações e correções de segurança devem ser implantadas conforme regra de cada aplicação é homologada pela equipe de segurança e tecnologia da informação.
• Todos os equipamentos (servidores, desktops, notebooks dentre outros) que permitam a instalação de antivírus, devem tê-los instalados e atualizados de forma online, não podendo o usuário desabilitar ou desinstalar.
• Todo e-mail e acesso à internet deve ser monitorado e protegido com antivírus e regras de firewall.
• O e-mail corporativo da Algar Tech deve ser utilizado apenas para tratar assuntos relacionados à empresa, sendo as informações armazenadas ou transmitidas de propriedade da organização, cabendo ao usuário garantir sua correta classificação e tratamento conforme procedimento da organização.
• A utilização do e-mail corporativo para fins pessoais, cadastro em sites de compras e outros formulários não é permitida.
• Nenhum acesso aos sistemas e aplicativos da Algar Tech ou de seus clientes pode ser compartilhado, sendo o associado dono do usuário, o único responsável por manter a confidencialidade de suas senhas de logon, usuário de rede, internet, arquivos de trabalho e demais aplicativos da Algar Tech.
• É vedado o uso de ferramentas de Instant Messaging não homologadas pela equipe de segurança e tecnologia, salvo exceções, quando comprovado o seu uso efetivo nas atividades desempenhadas pelo associado ou cliente.
• É vedada a transferência de arquivos por qualquer ferramenta de Instant Messaging e compartilhamento de arquivos, salvo exceções autorizadas e/ou ferramentas homologadas e autorizadas.

4.8. Violação das Políticas e Diretrizes

As violações de segurança devem ser informadas à área de Segurança da Informação imediatamente. Toda violação ou desvio deve ser investigado para a determinação das medidas necessárias, visando à correção da falha ou reestruturação de processos.

São consideradas violações de segurança:

• Uso ilegal de software;
• Introdução (intencional ou não) de vírus de informática;
• Compartilhamento de informações sensíveis do negócio;
• Compartilhamento de dados pessoais;
• Exposição indevida de dados relacionados a contratos e clientes;
• Quebra de sigilo de informações confidenciais e/ou dados sensíveis;
• Divulgação de informações de clientes e das operações contratadas.
• Compartilhamento de: Conteúdo adulto, discriminatório, ofensivo, difamatório, abusivo, pornográfico, obsceno, violento e os demais que venham a causar, incitar ou promover atitudes que impliquem em violação de privacidade, propriedades intelectual e industrial;
• Demais violações previstas no Código de Conduta do Grupo Algar, Política de Segurança da Informação do Grupo Algar e legislações vigentes.

Os princípios de segurança estabelecidos na presente política possuem total aderência da presidência e diretoria da Algar Tech e devem ser observados por todos na execução de suas funções.

4.9. Auditoria

• Todos os associados, bem como os terceiros que utilizem o ambiente tecnológico da Algar Tech, estão sujeitos a auditoria de rede, telefonia e utilização das aplicações.
• Os procedimentos de auditoria e monitoramento serão realizados periodicamente pela área de segurança da informação ou empresa contratada, com o objetivo de observar o cumprimento das diretrizes estabelecidas nesta política pelos usuários e com vistas a gestão de performance da rede.
• Havendo evidência de atividades que possam comprometer a segurança da rede, ser permitido a área de segurança da informação auditar e monitorar as atividades de um usuário, além de inspecionar seus arquivos e registros de acesso, a bem do interesse da Algar Tech, sendo o fato imediatamente comunicado à Alta Direção.

5. Disposições gerais

A presente Política de Segurança da Informação está sujeita a alterações regulares para garantir que esteja atualizada conforme a legislação aplicável.