Política de Segurança da
Informação

As informações, sistemas e redes da SUMICITY devem ser classificados, protegidos e utilizados de maneira responsável, de forma a manter os princípios de confidencialidade, autenticidade, integridade e disponibilidade.

É obrigação de todos zelar pela segurança, integridade e preservação das informações e dados tratados pela SUMICITY para garantir a continuidade dos negócios, minimizando riscos e maximizando o retorno dos investimentos e as oportunidades de negócio.

As informações e recursos tecnológicos da SUMICITY devem somente ser utilizados pelos usuários autorizados, para execução de suas funções e atribuições profissionais. É permitido o uso para fins pessoais desde que não causem impacto em recursos tecnológicos ou na segurança da informação da SUMICITY.

Para acessos e privilégios, os usuários devem ter apenas o essencialmente necessário para a execução de suas funções respeitando, portanto, o princípio do mínimo privilégio.

Todo ambiente deve ser monitorado, auditado, e as informações obtidas podem ser utilizadas para procedimentos disciplinares ou legais.

É explicitamente proibido o uso dos recursos tecnológicos disponibilizados para acessar, transmitir, obter, apresentar, publicar, divulgar ou requerer os seguintes tipos de conteúdo:

• Pornografia e Pedofilia;

• Que viole direitos autorais ou licenciamento;

• Que promova, incite ou oriente crimes, violência e danos à propriedade; Que viole leis, regulamentações ou contratos de uso;

• Que ameace, difame ou ofenda pessoas, grupos ou entidades;

• Que dificulte, viole ou impossibilite a implementação de políticas e controles de segurança definidas;

• Que resulte em qualquer tipo de impacto negativo ou danos à imagem e aos recursos computacionais da SUMICITY;

A base autoritativa de fornecedores, parceiros e terceiros deverá ser mantida em base centralizada pela área de Suprimentos e deve ser a referência primária para informações de parceiros, fornecedores e terceiros em processos, sistemas e recursos computacionais.

O parceiro/ fornecedor devolverá os ativos de TI por ele utilizados nas mesmas condições que recebeu, observado o desgaste natural decorrente do uso, ao final do seu contrato com SUMICITY, mediante baixa do Termo de Responsabilidade, Uso e Cautela de Ativos de TI na área de Suprimentos e/ou TI.

Independentemente da forma que a informação se apresente (impressa, escrita, armazenada eletronicamente, transmitida por correio ou meios eletrônicos, imagens ou áudios), seu compartilhamento, integridade, armazenamento e até o descarte devem ser devidamente protegidos por todos os colaboradores.

Caso seja identificado o acesso ou presença de indivíduos não autorizados, sem identificação ou em atividade que viole os padrões de segurança da informação, comportamento ou mesmo que exponha outros e os equipamentos a riscos, deve ser imediatamente reportado às equipes de segurança patrimonial ou segurança da informação.

Toda comunicação eletrônica, que ocorra fora de ambientes controlados pela SUMICITY ou utilizando meios externos, deve permitir a implementação de recursos e ferramentas que possibilitem a segurança destas informações de forma a não depender de iniciativas de terceiros. O responsável pela segurança da informação deverá apoiar na definição e implementação desses recursos.

Toda disponibilização ou implantação de acesso remoto, seja individual ou dedicado, deve estar em conformidade com todos os requisitos de segurança definidos. No caso de funcionários, deverá ser autorizada pelo responsável de Segurança da Informação e pelo gestor da área funcional. Para fornecedores, terceiros ou parceiros é necessária, além das aprovações mencionadas anteriormente, a aprovação do gestor do contrato.

Todo serviço de suporte contratado, deverá disponibilizar recursos de acesso remoto supervisionado via internet pelo custodiante, sem a necessidade de liberação de acessos remotos adicionais.

Devem existir mecanismos formais de controle de acesso às informações, recursos tecnológicos e dependências físicas da SUMICITY, que sejam capazes de identificar, autenticar, autorizar e rastrear as atividades de usuários legítimos ou não.

Todos os privilégios de acessos concedidos, alterados ou revogados devem ocorrer de forma controlada e formalizada, conforme os princípios de mínimo privilégio, segregação de funções e estando devidamente autorizado, de acordo com as funções definidas a cada indivíduo.

São definidos três níveis de identidades, conforme listado abaixo:

• Contas individuais – Todo usuário possuirá uma identificação única, não podendo ser compartilhada com outros usuários. Subdivide-se em contas de colaboradores, contas de terceiros, contas de parceiros ou fornecedores e contas de visitantes.

• Contas de administração – São contas com privilégios administrativos ou especiais, utilizadas apenas por pessoas formalmente autorizadas.

• Contas de serviço – São contas utilizadas exclusivamente para execuções sistêmicas e equipamentos, não podendo ser utilizadas por qualquer usuário.

O responsável pela Segurança da Informação é o responsável pela gestão de contas de administração e de serviços.

Todas as informações devem ser classificadas e protegidas de acordo com seus requisitos específicos durante o ciclo de vida da informação (criação, obtenção, processamento, armazenamento, transporte e destruição), conforme Política de Classificação, Rotulação e Tratamento da Informação. O Encarregado deve avaliar de forma criteriosa toda classificação que envolvam dados pessoais.

Toda informação classificada em qualquer nível diferente de pública, que venha a ser disponibilizada, armazenada ou acessada por outros ambientes que não os de produção, deverá impreterivelmente ter os dados envolvidos mascarados e descaracterizados de forma a preservar a confidencialidade destas.

É de extrema importância evitar que qualquer tipo de informação, principalmente as confidenciais fiquem expostas ou de fácil acesso para o uso indevido. A SUMICITY preza pelo conceito de tela e mesa limpa ao fim do seu expediente como boa prática para assegurar que a informação, tanto em formato digital quanto físico (anotações em papel e impressos), e equipamentos (notebooks, celulares corporativos, tablets etc.) não sejam deixados desprotegidos em espaços de trabalho pessoais ou públicos quando não estão em uso ou o responsável esteja ausente.

Todas as aplicações, sistemas e recursos tecnológicos deverão ser avaliados pela área de Segurança da Informação quanto a controles e impactos em segurança e em tempo de projeto, permitindo a implantação de ajustes e correções que se façam necessárias antes da entrada em produção.

Os sistemas desenvolvidos ou adquiridos devem ser analisados em relação ao impacto à LGPD e a Segurança da Informação, incluindo a necessidade de planos de contingência, devem ser identificados na fase de levantamento de escopo de um projeto ou sistema, e justificados, acordados, documentados, implantados e testados durante a fase de execução.

Deverão ser criados e instituídos controles apropriados, trilhas de auditoria ou registros de atividades em todos os pontos e sistemas em que a SUMICITY julgar necessário para reduzir os riscos dos seus ativos de informação como, por exemplo, nas estações de trabalho, notebooks, nos acessos à internet, no correio eletrônico, nos sistemas comerciais e financeiros desenvolvidos pela SUMICITY ou por terceiros.

Os ambientes de produção devem ser segregados e rigidamente controlados, garantindo o isolamento necessário em relação aos ambientes de desenvolvimento, testes e homologação.

Devem ser testados os principais recursos tecnológicos da SUMICITY para assegurar que os controles de segurança continuem refletindo um ambiente seguro e que suporte seu crescimento.

Todos os sistemas sob a responsabilidade ou contratados pela SUMICITY estão sujeitos a testes de segurança sem aviso prévio. A equipe de segurança da informação ou parceiro apontado por essa é responsável pela realização de testes periódicos dos recursos tecnológicos da SUMICITY.

Um plano de contingência e a continuidade dos principais sistemas e serviços deverão ser implantados e testados no mínimo anualmente, visando reduzir riscos de perda de confidencialidade, integridade e disponibilidade dos ativos de informação.

Os desvios à política devem ser notificados ao responsável de Segurança da Informação. Após análise inicial, o responsável pelo desvio deve apresentar justificativa documentada e que necessita ser aprovada e assinada pelo proprietário da informação/gestor da área funcional. Os desvios devem ser endereçados ao Comitê de Segurança da Informação e Governança de Dados, para que sejam tomadas as medidas cabíveis.

No interesse de investigações conduzidas pela Comissão de Ética da SUMICITY, estão previamente autorizadas, independentemente da aprovação do CEO, (i) a análise de todo e qualquer arquivo contido em Equipamento de TI fornecido pela SUMICITY; (ii) a análise de imagens de circuito interno de segurança; e (iii) a realização de entrevistas pessoais com os envolvidos ou com quaisquer outros usuários, inclusive terceiros, conforme necessário, que possam auxiliar na apuração dos relatos. Portanto, os Usuários não devem ter expectativa de privacidade no que se refere a assuntos tratados através de e-mails corporativos e/ou armazenados em Equipamentos de TI da SUMICITY.