8.3 SG4.3 - Sistemas, Acessos e Segurança da Informação

Acessos, acesso a sites, rede corporativa, classificação da informação, senhas, dispositivos e LGPD.

Este macroprocesso estabelece controles para funcionamento dos sistemas corporativos, concessão e revisão de acessos, gestão de usuários, proteção de dados e resposta a incidentes de segurança da informação.

e controles de Segurança da Informação adotados pela Elinsa do Brasil deverão estar alinhados às políticas, normas e diretrizes corporativas do Grupo Amper, observando os requisitos corporativos aplicáveis e sua implementação no âmbito das operações da empresa.

Acessos devem ser concedidos mediante solicitação formal, aprovação da liderança e aderência ao perfil da função.

A alteração de função, desligamento, afastamento ou mudança de contrato deve gerar revisão ou bloqueio de acessos em prazo adequado.

É proibido compartilhar senhas, tokens, contas de usuário ou credenciais corporativas.

Sistemas e bases de dados devem possuir perfis de acesso compatíveis com a necessidade de uso e com a confidencialidade da informação.

Incidentes de segurança, suspeitas de vazamento, acesso indevido, perda de equipamento ou comportamento anormal devem ser comunicados imediatamente à TI e à liderança.

A TI deve manter práticas de conscientização, orientação e comunicação sobre uso seguro dos recursos tecnológicos.

8.3.1 Permissão de Acesso a Sites

Com o objetivo de preservar a segurança das tecnologias de informação e a produtividade das equipes, a liberação de acesso a sites seguirá o critério abaixo, podendo também ser solicitada por meio do sistema de chamados disponibilizado pela empresa.

O colaborador deverá enviar um e-mail solicitando a liberação do site (informando o endereço/URL), com cópia (Cc) para o seu gestor imediato e para um dos agentes da equipe de TI.
Uma vez aprovado, o site será incluído no conjunto de sites de acesso liberado. No caso de sites normalmente bloqueados, a liberação ocorrerá como exceção, restrita ao usuário solicitante.
A relação de sites liberados deve ser revisada periodicamente (recomenda-se periodicidade anual) pela TI, em conjunto com os gestores, a fim de remover liberações que não sejam mais necessárias.

8.3.2. Rede Corporativa

O uso e o acesso à rede corporativa pelo colaborador devem se restringir a finalidades profissionais, voltadas à execução das atividades e ao alcance dos objetivos da empresa. Qualquer exceção depende de autorização expressa do superior hierárquico.

A Elinsa do Brasil se reserva o direito de inspecionar as estações de trabalho e quaisquer arquivos armazenados, bem como de monitorar o volume de tráfego na rede, com a finalidade de assegurar o cumprimento desta política, observados os princípios de finalidade, necessidade e transparência previstos na Lei Geral de Proteção de Dados (LGPD), conforme ciência dada ao colaborador nesta norma.

Não é permitida a exposição, o armazenamento, a distribuição, a edição ou a gravação, por meio dos recursos computacionais e de comunicação da empresa, de:

Material sexualmente explícito ou contrário à moral e aos bons costumes;
Material de conteúdo impróprio, ofensivo, preconceituoso ou discriminatório;
Conteúdo que viole direitos autorais (pirataria);
Qualquer tipo ou forma de fraude;
Arquivos estranhos às atividades da empresa e não autorizados pelo superior hierárquico;
Arquivos de vídeo ou música para fins pessoais;
Programas, jogos ou similares transferidos para a rede interna sem autorização específica do superior hierárquico;
Arquivos executáveis ou de mídia não relacionados às atividades profissionais (ex.: .exe, .mp3, .wav, .bat, .com, .sys, .scr, .mpeg, .avi, .rmvb, .dll), bem como softwares de entretenimento ou jogos, exceto quando estritamente relacionados às atividades do colaborador.

O uso de qualquer recurso da empresa para atividades ilegais constitui motivo para demissão por justa causa ou rescisão imediata de contrato, e a empresa cooperará ativamente com as autoridades policiais e judiciais nesses casos.

8.3.3. Classificação da informação e criptografia

A informação corporativa deve ser classificada em níveis de confidencialidade (pública, interna, confidencial e restrita), definindo regras de acesso, armazenamento e compartilhamento para cada nível.
Dados classificados como confidenciais ou restritos devem ser protegidos por criptografia quando armazenados ou transmitidos, incluindo discos de notebooks, backups e comunicações sensíveis.
Mídias removíveis (pendrives, HDs externos e similares) devem ter uso restrito e autorizado pela TI, sendo vedado o armazenamento de dados corporativos sensíveis sem controle adequado.
A contratação ou uso de serviços de nuvem (armazenamento, aplicações, SaaS) deve ser previamente avaliada e aprovada pela TI, evitando o uso de soluções não homologadas (“shadow IT”).

8.3.4. Gestão de senhas, autenticação e dispositivos

Senhas de acesso devem observar requisitos mínimos de complexidade e periodicidade de troca definidos pela TI, sendo vedado seu reaproveitamento entre sistemas críticos.
A autenticação multifator (MFA) deve ser adotada para acessos remotos, sistemas críticos e contas com permissões privilegiadas.
O uso de dispositivos pessoais (BYOD) para acesso a dados corporativos deve seguir requisitos mínimos de segurança, incluindo senha, criptografia e possibilidade de bloqueio ou apagamento remoto em caso de perda ou desligamento.
O acesso remoto a sistemas corporativos deve ser realizado por meio de conexões seguras (VPN ou equivalente), homologadas pela TI

8.3.5. Proteção de Dados pessoais (LGPD)

O tratamento de dados pessoais pela Elinsa do Brasil deve observar a Lei Geral de Proteção de Dados (LGPD) e demais normas aplicáveis, com base legal definida para cada finalidade de tratamento.
A empresa deve manter, quando aplicável, um Encarregado de Proteção de Dados (DPO) responsável por orientar colaboradores e atender solicitações de titulares de dados.
Incidentes que envolvam vazamento, perda ou acesso indevido a dados pessoais devem ser tratados conforme plano específico, incluindo avaliação de risco e, quando exigido, comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados.
Dados pessoais devem ser retidos apenas pelo prazo necessário à finalidade do tratamento, sendo descartados de forma segura ao final do período de retenção.