Propósito e escopo
A Política de Segurança da Informação da Cloud Legion estabelece um conjunto de medidas destinadas a preservar a confidencialidade, a integridade e a disponibilidade da informação, os três componentes básicos da segurança da informação, e define os requisitos para proteger a informação, os equipamentos e os serviços tecnológicos que dão suporte aos nossos processos de negócio.
É a peça central do Corpo Normativo de Segurança da Cloud Legion: o conjunto de normas, padrões, procedimentos e guias que a desenvolvem. Faz parte do escopo do nosso Sistema de Gestão de Segurança da Informação (SGSI), certificado na norma ISO/IEC 27001, e abrange toda a informação da Cloud Legion, qualquer que seja sua forma, o meio que a contenha, quem a acesse ou onde se encontre.
Princípios
- Alcance estratégico: a segurança da informação conta com o compromisso de todos os níveis diretivos e se integra às demais iniciativas estratégicas.
- Segurança integral: é um processo que abrange elementos tecnológicos, humanos, materiais e organizacionais, presente no projeto, desenvolvimento e manutenção dos sistemas.
- Gestão de riscos: a análise e a gestão de riscos mantêm um ambiente controlado, reduzindo os riscos a níveis aceitáveis com medidas equilibradas entre impacto, probabilidade, eficácia e custo.
- Proporcionalidade: as medidas de proteção, detecção e recuperação são proporcionais aos riscos e à criticidade e ao valor da informação.
- Melhoria contínua: as medidas são avaliadas e atualizadas periodicamente, e a segurança é revisada e auditada por pessoal qualificado.
- Segurança por padrão: os sistemas são projetados e configurados para oferecer um grau suficiente de segurança desde o início.
Esses princípios seguem as boas práticas da norma ISO/IEC 27001, a legislação vigente de proteção de dados pessoais e as normas de segurança da informação aplicáveis à Cloud Legion. Esta política deve ser conhecida, compreendida e assumida por todo o pessoal.
Compromisso da Direção
A Direção, consciente da importância da segurança da informação para alcançar seus objetivos de negócio, compromete-se a:
- Promover na organização as funções e responsabilidades em segurança da informação.
- Prover os recursos adequados para alcançar os objetivos de segurança da informação.
- Promover a divulgação e a conscientização sobre esta política entre os colaboradores.
- Exigir o cumprimento da política, da legislação vigente e dos requisitos dos reguladores.
- Considerar os riscos de segurança da informação na tomada de decisões.
Organização da segurança
A Cloud Legion conta com um responsável por definir, implementar e monitorar as medidas de cibersegurança e segurança da informação, independente das áreas operacionais e com reporte à diretoria e ao Comitê de Cibersegurança. Entre suas funções estão aplicar a segregação de funções, manter contato com autoridades e grupos de interesse especializados e manter esta política atualizada. Toda política do SGSI é avaliada pelo Comitê de Cibersegurança e aprovada pela Alta Direção.
Pessoas
- Os requisitos de segurança se aplicam antes da contratação, durante a relação de trabalho e ao seu término.
- Todo o pessoal recebe formação e conscientização periódicas em segurança da informação, com foco especial na confidencialidade e na prevenção de vazamentos de informação, e é informado das atualizações de políticas e procedimentos.
- Aplicamos uma política de mesa e tela limpas: bloqueio de sessão ao deixar o posto (manual e automático) e documentos e mídias fora de vista, com os confidenciais trancados.
Gestão e classificação da informação
Os ativos de informação necessários aos nossos processos estão identificados e inventariados, e cada um tem um proprietário responsável por sua classificação e proteção durante todo o seu ciclo de vida: criação ou coleta, distribuição, uso, armazenamento e destruição segura ao término dos prazos de retenção definidos pelos requisitos legais, regulatórios e de negócio.
A informação é classificada em quatro níveis de acordo com sua sensibilidade:
- Pública
- Pode ser compartilhada dentro e fora da organização sem risco.
- Interna
- Para uso dos membros da organização.
- Confidencial
- Informação sensível, com medidas de proteção adicionais e acesso limitado.
- Estritamente confidencial
- Informação crítica, com acesso restrito à alta direção ou a grupos definidos e privilégio mínimo.
A informação é rotulada e manipulada conforme sua classificação, e a informação privilegiada é custodiada durante todo o seu ciclo de vida. As cópias de segurança da informação, do software e dos sistemas são automatizadas, com redundância na nuvem, e verificadas periodicamente.
Prevenção de vazamento de informação
Analisamos os possíveis vetores de vazamento conforme a criticidade e a classificação de cada ativo, e definimos procedimentos para preveni-los e para agir diante de um vazamento notificado. Isso abrange, entre outros, o uso de dispositivos removíveis e móveis, o e-mail, a Internet, a impressão e a saída de documentação, e os equipamentos desacompanhados.
Controle de acesso e identidades
- Todos os sistemas de informação contam com controle de acesso lógico e físico.
- As contas são nominais e não são compartilhadas; as contas de serviço exigem autorização do Comitê de Cibersegurança.
- Os acessos são concedidos por papéis, conforme a necessidade de conhecer, com privilégio mínimo e segregação de funções.
- A autenticação multifator (MFA) é usada sempre que possível e é obrigatória para os sistemas acessíveis a partir de redes públicas.
- Uma política de senhas alinhada às boas práticas é conhecida por todo o pessoal.
- O ciclo de vida das identidades (criação, revisão periódica, modificação e baixa) está alinhado aos processos de Recursos Humanos.
- Os acessos privilegiados são concedidos mediante um processo formal de autorização, registrados, com prazo de expiração e revisados regularmente.
- O trabalho remoto é realizado por conexões seguras e a partir de equipamentos que cumprem requisitos mínimos de segurança.
Segurança física e do ambiente
Nossa operação é distribuída, por isso cada colaborador é responsável pela segurança física dos dispositivos autorizados para acessar a informação, e deve informar imediatamente seu roubo ou perda para bloqueio ou apagamento remoto. A informação em papel é guardada em armários trancados.
Nuvem, operação e comunicações
- Mantemos uma política de trabalho em nuvem com medidas de segurança adequadas a cada modelo de serviço (infraestrutura, plataforma ou software), incluindo evidências de segurança dos fornecedores.
- Os sistemas que processam ou armazenam nossa informação contam com monitoramento, controle de mudanças e revisões periódicas.
- Aplicamos medidas de prevenção, detecção e resposta nas comunicações, com controles adicionais para os dados sensíveis que trafegam por redes públicas.
Desenvolvimento seguro
A aquisição, o desenvolvimento e a manutenção de sistemas incorporam requisitos de segurança alinhados às boas práticas do setor, junto com a gestão de testes, o acompanhamento de mudanças e o inventário de software.
Fornecedores
Avaliamos a criticidade dos serviços terceirizados e, para os relevantes em segurança, cuidamos da seleção, dos requisitos contratuais, do monitoramento dos níveis de serviço, da devolução de dados e das medidas de segurança do fornecedor, que devem ser no mínimo equivalentes às desta política.
Gestão de incidentes
Todos os colaboradores devem notificar ao responsável de segurança qualquer incidente que possa comprometer os ativos de informação. Contamos com um procedimento de resposta que define a categorização, a análise de impacto e o escalonamento dos incidentes.
Continuidade do negócio
Mantemos um Plano de Continuidade de Negócio e um Plano de Recuperação de Desastres, atualizados e testados periodicamente, e capacitamos o pessoal em sua aplicação.
Conformidade, auditorias e vulnerabilidades
Provemos os recursos necessários para cumprir a legislação e a regulamentação aplicáveis em segurança da informação. Identificamos periodicamente as vulnerabilidades técnicas dos nossos sistemas e aplicações e as corrigimos com uma abordagem baseada em riscos, conforme a criticidade e a exposição de cada ativo.
Exceções e descumprimento
Toda exceção a esta política é registrada, informada ao responsável pela segurança da informação e analisada conforme o risco que introduz. Seu descumprimento pode dar lugar a ações disciplinares conforme o processo interno, e todos os colaboradores devem informar qualquer situação que possa representar um descumprimento. Qualquer pessoa pode relatar de forma confidencial possíveis violações de segurança ou privacidade para grc@cloudlegion.com.ar.
Revisão
Esta política é revisada e aprovada anualmente pelo Comitê de Cibersegurança, e também quando ocorrem mudanças relevantes na organização ou no ambiente de ameaças, legal, regulatório ou contratual.