{"id":1319,"date":"2026-10-01T08:08:22","date_gmt":"2026-10-01T12:08:22","guid":{"rendered":"https:\/\/artit.com.br\/?page_id=1319"},"modified":"2026-10-01T08:24:11","modified_gmt":"2026-10-01T12:24:11","slug":"politica-de-seguranca-da-informacao","status":"publish","type":"page","link":"https:\/\/artit.com.br\/en_us\/politica-de-seguranca-da-informacao\/","title":{"rendered":"Pol\u00edtica de Seguran\u00e7a da Informa\u00e7\u00e3o"},"content":{"rendered":"
\n\t\t\t\t
\n \t\t
\n\t\t\t\t\t\t\t\t\t

1. Objetivo<\/b><\/p>\n

\nEsta pol\u00edtica de seguran\u00e7a da informa\u00e7\u00e3o tem como principal objetivo documentar e proteger as informa\u00e7\u00f5es consideradas importantes para a continuidade e manuten\u00e7\u00e3o dos objetivos de neg\u00f3cio da organiza\u00e7\u00e3o e \u00e9 realizada com o fim de atender os princ\u00edpios b\u00e1sicos da seguran\u00e7a da informa\u00e7\u00e3o, conhecidos pelo acr\u00f4nimo CID: confidencialidade, integridade e disponibilidade.<\/p>\n


2. Abrang\u00eancia<\/b><\/p>\n

\nTodos os colaboradores, fornecedores, visitantes, clientes, pessoas de modo geral que possuem alguma troca de informa\u00e7\u00f5es com a ART IT.<\/p>\n


3. Defini\u00e7\u00f5es<\/b><\/p>\n

\nEssa pol\u00edtica deve ser divulgada a todos os colaboradores da ART, ela n\u00e3o abrange somente os sistemas computacionais, o conceito deve ser aplicado a todos os aspectos de prote\u00e7\u00e3o relacionada a tecnologia, procedimentos e pessoas.<\/p>\n


4. Acesso \u00e0 Informa\u00e7\u00e3o<\/b><\/p>\n

4.1 Politica de Senhas<\/b><\/p>\n

\nA senha a forma mais convencional de identifica\u00e7\u00e3o e acesso do usu\u00e1rio, \u00e9 um recurso pessoal e intransfer\u00edvel que protege a identidade do colaborador.<\/p>\n

\nSeguem abaixo regras que devem ser seguidas para elabora\u00e7\u00e3o de senhas seguras:<\/p>\n

    \n
  1. A senha \u00e9 de total responsabilidade do colaborador, sendo expressamente proibida sua divulga\u00e7\u00e3o ou empr\u00e9stimo, devendo ser imediatamente alterada no caso de suspeita de divulga\u00e7\u00e3o;<\/span><\/li>\n
  2. A senha inicial s\u00f3 ser\u00e1 fornecida ao pr\u00f3prio colaborador, que dever\u00e1 efetuar sua altera\u00e7\u00e3o para que tenha acesso aos sistemas;<\/span><\/li>\n
  3. \u00c9 proibido o compartilhamento de login para fun\u00e7\u00f5es de administra\u00e7\u00e3o de sistema;<\/span><\/li>\n
  4. As senhas n\u00e3o devem ser anotadas;<\/span><\/li>\n
  5. \u00c9 proibido o compartilhamento de senha com terceiros;<\/span><\/li>\n
  6. \u00c9 proibido utilizar a senha em equipamentos de terceiros;<\/span><\/li>\n
  7. As senhas dever\u00e3o seguir os seguintes pr\u00e9-requisitos: <\/span>a. Tamanho m\u00ednimo de oito caracteres; b. Possuir pelo menos 3 caracteres dos seguintes tipos: letras mai\u00fasculas, letras min\u00fasculas, n\u00fameros e caracteres especiais; c. N\u00e3o devem ser baseadas em informa\u00e7\u00f5es pessoais de f\u00e1cil dedu\u00e7\u00e3o (aniversario, nome do pai, etc…); d. As senhas precisar\u00e3o ter validade de 60 dias; e. N\u00e3o poder\u00e3o repetir senhas anteriores (\u00faltimas 3 senhas).<\/span><\/li>\n
  8. O acesso do colaborador dever\u00e1 ser imediatamente cancelado nas seguintes situa\u00e7\u00f5es: a. Desligamento do colaborador; b. Mudan\u00e7a de fun\u00e7\u00e3o do colaborador; c. Quando, por qualquer raz\u00e3o, cessar a necessidade de acesso do colaborador ao sistema ou informa\u00e7\u00e3o.<\/li>\n
  9. Para os cancelamentos acima mencionados, a \u00e1rea de Recursos Humanos ficar\u00e1 respons\u00e1vel por informar prontamente a equipe de Infra Estrutura acerca dos desligamentos e mudan\u00e7a de fun\u00e7\u00e3o dos colaboradores.<\/li>\n<\/ol>\n


    4.2 E-mail<\/b><\/p>\n

    \nO e-mail \u00e9 uma das principais ferramentas de comunica\u00e7\u00e3o. No entanto, tamb\u00e9m \u00e9 uma das principais vias de dissemina\u00e7\u00e3o de malwares, v\u00edrus e SPAMs, por isso surge a necessidade de normatiza\u00e7\u00e3o de seu uso.<\/p>\n

      \n
    1. O e-mail corporativo \u00e9 destinado a fins profissionais, relacionados \u00e0s atividades dos colaboradores;<\/span><\/li>\n
    2. Os e-mails enviados ou recebidos de endere\u00e7os externos poder\u00e3o ser monitorados com o intuito de bloquear spams, malwares, v\u00edrus ou outros conte\u00fados maliciosos que violem a Pol\u00edtica de Seguran\u00e7a da Informa\u00e7\u00e3o;<\/span><\/li>\n
    3. \u00c9 proibido enviar, com endere\u00e7o eletr\u00f4nico corporativo, mensagens com an\u00fancios particulares, propagandas, v\u00eddeos, fotografias, m\u00fasicas, mensagens do tipo \u201ccorrente\u201d, campanhas ou promo\u00e7\u00f5es;<\/span><\/li>\n
    4. \n4.\t\u00c9 proibido abrir arquivos com origens desconhecidas anexadas a mensagens eletr\u00f4nicas;<\/li>\n
    5. \u00c9 proibido falsificar informa\u00e7\u00f5es de endere\u00e7amento, adulterar cabe\u00e7alhos para esconder a identidade de remetentes e\/ou destinat\u00e1rios;<\/span><\/li>\n
    6. Produzir, transmitir ou divulgar mensagem que: a. Contenha amea\u00e7as eletr\u00f4nicas, como: spam, phishing, mail bombing, mailwares; b. Contenha arquivos com c\u00f3digo execut\u00e1vel: .exe, .cmd, .pif, .js, .hta, .src, .cpl, .reg, .dll, .inf, ou qualquer extens\u00e3o que represente risco \u00e0 seguran\u00e7a; c. Vise obter acesso n\u00e3o autorizado a outro computador, servidor ou rede; d. Vise interromper um servi\u00e7o, servidores ou rede de computadores por meio de qualquer m\u00e9todo il\u00edcito ou n\u00e3o autorizado; e. Vise burlar qualquer sistema de seguran\u00e7a; f. Vise vigiar secretamente ou assediar outro colaborador; g. Vise acessar informa\u00e7\u00f5es confidenciais sem explicita autoriza\u00e7\u00e3o do propriet\u00e1rio; h. Tenha conte\u00fado impr\u00f3prio, obsceno ou ilegal; i. Seja de car\u00e1ter calunioso, difamat\u00f3rio, degradante, infame, ofensivo, violento, amea\u00e7ador, pornogr\u00e1fico entre outros; j. Inclua material protegido por direitos autorais sem a permiss\u00e3o do detentor dos direitos; k. Dados pessoais tanto de colaboradores da ART IT quanto de terceiros.<\/span><\/li>\n
    7. O uso de e-mails pessoais \u00e9 aceit\u00e1vel, se usado com modera\u00e7\u00e3o, em caso de necessidade e quando: a. N\u00e3o contrariar as normas aqui estabelecidas; b. N\u00e3o interferir, negativamente, nas atividades profissionais individuais ou na de outros colaboradores.<\/li>\n<\/ol>\n


      4.3 Acesso a rede<\/b><\/p>\n

      \nO acesso a rede interna da ART IT deve ser devidamente controlado para que os riscos de acessos n\u00e3o autorizados e\/ou indisponibilidade das informa\u00e7\u00f5es sejam minimizados. Assim, \u00e9 preciso que sejam instauradas algumas regras, listadas abaixo:<\/p>\n

        \n
      1. A Internet sem fio dever\u00e1 ser acessada utilizando usu\u00e1rio e senha de rede;<\/li>\n
      2. \u00c9 proibido visitantes terem acesso a rede sem fio da ART IT, para este tipo de acesso ser\u00e1 disponibilizada uma rede espec\u00edfica que n\u00e3o ter\u00e1 conectividade com a rede local da ART IT;<\/li>\n
      3. O uso, a c\u00f3pia ou a distribui\u00e7\u00e3o n\u00e3o autorizada de softwares que tenham direitos autorais, marca registrada ou patente s\u00e3o expressamente proibidos;<\/li>\n
      4. Os colaboradores e visitantes n\u00e3o poder\u00e3o utilizar os recursos da ART IT para fazer o download ou distribui\u00e7\u00e3o de software ou dados pirateados, atividade considerada delituosa de acordo com a legisla\u00e7\u00e3o nacional;<\/li>\n
      5. Como regra geral, materiais de cunho sexual n\u00e3o poder\u00e3o ser expostos, armazenados, distribu\u00eddos, editados, impressos ou gravados por meio de qualquer recurso;<\/li>\n
      6. Documentos digitais de condutas consideradas il\u00edcitas, como por exemplo, apologia ao tr\u00e1fico de drogas e pedofilia, s\u00e3o expressamente proibidos e n\u00e3o devem ser acessados, expostos, armazenados, distribu\u00eddos, editados, impressos ou gravados por meio de qualquer recurso;<\/li>\n
      7. Os colaboradores e visitantes n\u00e3o poder\u00e3o usar os recursos da ART IT para deliberada ou inadvertidamente propagar qualquer tipo de v\u00edrus, worms, cavalos de troia, spam, ou programas de controle remoto de outros computadores;<\/li>\n
      8. N\u00e3o ser\u00e3o permitidos software peer-to-peer;<\/li>\n
      9. N\u00e3o ser\u00e3o permitidas tentativas de burlar os controles de acesso \u00e0 rede, tais como utiliza\u00e7\u00e3o de proxies an\u00f4nimos e estrat\u00e9gias de by pass de firewall;<\/li>\n
      10. N\u00e3o ser\u00e3o permitidos o uso de aplicativos de reconhecimento de vulnerabilidades, an\u00e1lise de tr\u00e1fego, ou qualquer outro que possa causar sobrecarga ou prejudicar o bom funcionamento e a seguran\u00e7a da rede interna, salvo os casos em que o objetivo for realizar auditorias de seguran\u00e7a.<\/li>\n<\/ol>\n

        5. Classifica\u00e7\u00e3o da Informa\u00e7\u00e3o<\/b><\/p>\n

        A classifica\u00e7\u00e3o da informa\u00e7\u00e3o consiste na defini\u00e7\u00e3o de n\u00edveis de prote\u00e7\u00e3o que cada dado deve receber, ela serve para garantir que nenhum dado seja divulgado indevidamente e que apenas as pessoas que tem direito recebam acesso \u00e0 informa\u00e7\u00e3o.<\/p>\n

        Dever\u00e1 estar alinhada com as defini\u00e7\u00f5es da LGPD, que define as normas como se dar\u00e1 a coleta, tratamento, prote\u00e7\u00e3o e publica\u00e7\u00e3o de dados pessoais e sens\u00edveis.<\/p>\n

        5.1. Responsabilidade e Princ\u00edpios da Classifica\u00e7\u00e3o da Informa\u00e7\u00e3o<\/b><\/p>\n

          \n
        1. Gestor da seguran\u00e7a da informa\u00e7\u00e3o \u00e9 o respons\u00e1vel por solicitar a classifica\u00e7\u00e3o do sigilo das informa\u00e7\u00f5es aos colaboradores ao qual foi delegada esta autoridade;<\/li>\n
        2. A classifica\u00e7\u00e3o da informa\u00e7\u00e3o deve levar em considera\u00e7\u00e3o: a. A necessidade de proteger as informa\u00e7\u00f5es de acordo com sua import\u00e2ncia e suas conseq\u00fc\u00eancias, caso estas sejam comprometidas; b. As regulamenta\u00e7\u00f5es e exig\u00eancias legais; c. As obriga\u00e7\u00f5es contratuais.<\/li>\n
        3. A classifica\u00e7\u00e3o da informa\u00e7\u00e3o deve existir independentemente do formato, local e da m\u00eddia de armazenamento;<\/li>\n
        4. As concess\u00f5es de acesso aos ambientes computacionais, pastas de rede, dispositivos de rede e outros que possibilitem acesso \u00e0s informa\u00e7\u00f5es da ART IT, devem ter aprova\u00e7\u00e3o dos seus respectivos gestores da informa\u00e7\u00e3o;<\/li>\n
        5. O respectivo gestor da informa\u00e7\u00e3o de cada \u00e1rea deve realizar periodicamente um processo de an\u00e1lise de classifica\u00e7\u00e3o, para avaliar se a informa\u00e7\u00e3o permanece com o mesmo n\u00edvel de sigilo ou se deve ser solicitada sua reclassifica\u00e7\u00e3o.<\/li>\n
        6. Os direitos de acesso dos colaboradores \u00e0s informa\u00e7\u00f5es devem ser periodicamente revistos e atualizados pelos seus respectivos gestores da informa\u00e7\u00e3o;<\/li>\n
        7. Nos casos em que houver a combina\u00e7\u00e3o de v\u00e1rias informa\u00e7\u00f5es diferentemente classificadas, as informa\u00e7\u00f5es resultantes devem ser classificadas adotando-se ao n\u00edvel de classifica\u00e7\u00e3o mais alto de restri\u00e7\u00e3o.<\/li>\n<\/ol>\n

          5.2. N\u00edveis de Classifica\u00e7\u00e3o<\/b><\/p>\n

            \n
          1. A designa\u00e7\u00e3o do n\u00edvel de seguran\u00e7a de uma determinada classifica\u00e7\u00e3o constitui a pilastra que vai possibilitar determinar as salvaguardas m\u00ednimas necess\u00e1rias para proteger informa\u00e7\u00f5es sens\u00edveis e garantir a continuidade operacional cr\u00edtica da capacidade de processamento das informa\u00e7\u00f5es.<\/li>\n
          2. Confidencial: \u00e9 o n\u00edvel mais alto de seguran\u00e7a dentro deste padr\u00e3o, as informa\u00e7\u00f5es confidenciais s\u00e3o aquelas que, se divulgadas interna ou externamente, tem potencial para trazer grandes preju\u00edzos financeiros ou a imagem da ART IT. Portanto, nessa classifica\u00e7\u00e3o incluem-se todos os dados pessoais e sens\u00edveis (definido como DP na ABNT NBR ISO\/IEC 27701) que se encontram descritos na LGPD (LEI N\u00ba 13.709, DE 14 DE AGOSTO DE 2018).<\/li>\n
          3. Confidencial-DP: \u00e9 uma subclassifica\u00e7\u00e3o da classifica\u00e7\u00e3o Confidencial para dados pessoais e\/ou sens\u00edveis (DP) para dar tratamento adequado e, seguir os processos destinados a DP, conforme LGPD;<\/li>\n
          4. Restrita: \u00e9 o n\u00edvel m\u00e9dio de confidencialidade, s\u00e3o informa\u00e7\u00f5es estrat\u00e9gicas que devem estar dispon\u00edveis apenas para colaboradores previamente autorizados;<\/li>\n
          5. Uso interno: representa baixo n\u00edvel de confidencialidade, informa\u00e7\u00f5es de uso interno s\u00e3o aquelas que n\u00e3o podem ser divulgadas para fora da ART IT, mas que, caso isso aconte\u00e7a, n\u00e3o causar\u00e3o grandes preju\u00edzos. A preocupa\u00e7\u00e3o neste n\u00edvel est\u00e1 relacionada principalmente \u00e0 integridade da informa\u00e7\u00e3o;<\/li>\n
          6. P\u00fablica: s\u00e3o dados que n\u00e3o necessitam de prote\u00e7\u00e3o sofisticada contra vazamentos, pois podem ser de conhecimento p\u00fablico.<\/li>\n<\/ol>\n

            5.3. Ciclo de Vida da Informa\u00e7\u00e3o<\/b><\/p>\n

            O ciclo de vida da informa\u00e7\u00e3o corresponde aos momentos vividos pela informa\u00e7\u00e3o e que s\u00e3o evidentes quando os ativos f\u00edsicos, tecnol\u00f3gicos e humanos fazem uso da informa\u00e7\u00e3o, garantindo processos que suportam a opera\u00e7\u00e3o da organiza\u00e7\u00e3o.<\/p>\n

            Neste sentido, o ciclo de vida da informa\u00e7\u00e3o merece aten\u00e7\u00e3o, pois corresponde \u00e0s situa\u00e7\u00f5es em que a informa\u00e7\u00e3o \u00e9 exposta a amea\u00e7as, colocando em risco sua integridade. Assim, podemos destacar quatro fases relativas ao ciclo de vida:<\/p>\n

              \n
            • 1\u00aa Fase: quando a informa\u00e7\u00e3o \u00e9 criada e manipulada, seja ao folhear pap\u00e9is, digitar informa\u00e7\u00f5es recebidas ou at\u00e9 mesmo o uso de senha de acesso para autentica\u00e7\u00e3o;<\/li>\n
            • 2\u00aa Fase: quando a informa\u00e7\u00e3o \u00e9 armazenada, seja em banco de dados, anota\u00e7\u00f5es em papel, m\u00eddia \u00f3tica, etc.;<\/li>\n
            • 3\u00aa Fase: quando a informa\u00e7\u00e3o \u00e9 transportada, seja por e-mail, postal, telefone, etc.;<\/li>\n
            • 4\u00aa Fase: quando a informa\u00e7\u00e3o j\u00e1 n\u00e3o \u00e9 mais \u00fatil e deve ser descartada (ex: depositada em uma lixeira, apagada do banco de dados, etc.).<\/li>\n<\/ul>\n

              Considerando o ciclo de vida da informa\u00e7\u00e3o em rela\u00e7\u00e3o ao descarte, deve-se observar os prazos m\u00e1ximos de restri\u00e7\u00e3o de acesso, conforme descri\u00e7\u00e3o a seguir:<\/span>
              <\/p>\n

                \n
              1. Informa\u00e7\u00e3o Confidencial: 30 anos;<\/li>\n
              2. Informa\u00e7\u00e3o Confidencial-DP: conforme tabela de Guarda de documentos Trabalhistas, Previdenci\u00e1rios e FGTS, dispon\u00edvel no Departamento Pessoal da ART IT;<\/li>\n
              3. Informa\u00e7\u00e3o Restrita: 10 anos;<\/li>\n
              4. Uso interno: conforme determinar o gestor da informa\u00e7\u00e3o;<\/li>\n
              5. Uso p\u00fablico: conforme determinar o gestor da informa\u00e7\u00e3o.<\/li>\n<\/ol>\n

                O n\u00edvel de classifica\u00e7\u00e3o poder\u00e1 mudar durante o ciclo de vida, de forma que uma informa\u00e7\u00e3o \u201cconfidencial\u201d poder\u00e1 ser considerada \u201crestrita\u201d posteriormente, por exemplo, desde que a autoridade delegada respons\u00e1vel assim estabele\u00e7a, respeitando o ciclo de vida da reclassifica\u00e7\u00e3o.<\/p>\n

                5.4. Boas Pr\u00e1ticas<\/b><\/p>\n

                  \n
                1. \u00c9 preciso aten\u00e7\u00e3o especial para evitar que informa\u00e7\u00f5es sens\u00edveis n\u00e3o sejam solicitadas erroneamente, pelo gestor da informa\u00e7\u00e3o, como classifica\u00e7\u00e3o p\u00fablica, de forma que devem ser adotados crit\u00e9rios para se decidir quais informa\u00e7\u00f5es podem ser classificadas como p\u00fablicas;<\/li>\n
                2. As informa\u00e7\u00f5es de car\u00e1ter confidencial devem ter sua classifica\u00e7\u00e3o estampada;<\/li>\n
                3. As informa\u00e7\u00f5es que n\u00e3o possu\u00edrem classifica\u00e7\u00e3o de forma expl\u00edcita, n\u00e3o eximem o gestor da informa\u00e7\u00e3o da responsabilidade de avalia-las e solicitar para que sejam classificadas adequadamente;<\/li>\n
                4. A utiliza\u00e7\u00e3o e o acesso das informa\u00e7\u00f5es produzidas ou recebidas devem ser feitos de acordo com sua classifica\u00e7\u00e3o, atribuindo aos respectivos usu\u00e1rios as permiss\u00f5es m\u00ednimas necess\u00e1rias ao desempenho de suas atividades;<\/li>\n
                5. O processamento, armazenamento, transmiss\u00e3o e elimina\u00e7\u00e3o da informa\u00e7\u00e3o devem ser feitos de acordo com sua classifica\u00e7\u00e3o, nos moldes da legisla\u00e7\u00e3o vigente;<\/li>\n
                6. O armazenamento da informa\u00e7\u00e3o deve considerar medidas de prote\u00e7\u00e3o l\u00f3gica e f\u00edsica, de acordo com sua classifica\u00e7\u00e3o, de forma que a informa\u00e7\u00e3o seja acessada apenas por usu\u00e1rios autorizados;<\/li>\n
                7. A elimina\u00e7\u00e3o da informa\u00e7\u00e3o deve ocorrer de forma permanente, seguindo procedimentos determinados, e que podem abranger a utiliza\u00e7\u00e3o de fragmentadores de papel, desmagnetizadores de disco r\u00edgido, dentre outros recursos;<\/li>\n
                8. A informa\u00e7\u00e3o deve ser classificada antes de ser divulgada, sob o risco de perder o car\u00e1ter sigiloso, se for o caso.<\/li>\n<\/ol>\n

                  6. Conscientiza\u00e7\u00e3o e Treinamento<\/b><\/p>\n

                  O objetivo \u00e9 que todos os colaboradores tenham um n\u00edvel adequado de conhecimento sobre seguran\u00e7a, al\u00e9m de um senso apropriado de responsabilidade. A ideia \u00e9 estar sempre estimulando e motivando os colaboradores a se preocuparem com a seguran\u00e7a e privacidade.<\/p>\n

                  Deve fazer parte do cronograma de treinamento corporativo, treinamentos espec\u00edficos sobre seguran\u00e7a da informa\u00e7\u00e3o e LGPD, manter um controle de quantos colaboradores participaram de treinamentos, visto que colaboradores novos podem chegar na empresa.<\/p>\n

                  Al\u00e9m dos treinamentos, avisos, lembretes ou boletins informativos de boas pr\u00e1ticas devem ser utilizados constantemente para fixar os itens mais importantes.<\/p>\n

                  O calend\u00e1rio de conscientiza\u00e7\u00e3o deve ser anual, definido no inicio do ano e divulgado para toda a empresa.<\/p>\n

                  7. Continuidade do Neg\u00f3cio<\/b><\/p>\n

                  O processo de gest\u00e3o de continuidade de neg\u00f3cios relativo a seguran\u00e7a da informa\u00e7\u00e3o, \u00e9 implementado para minimizar os impactos e recuperar perdas de ativos da informa\u00e7\u00e3o, ap\u00f3s um incidente cr\u00edtico, retornando a opera\u00e7\u00e3o a um n\u00edvel aceit\u00e1vel, atrav\u00e9s da combina\u00e7\u00e3o de requisitos como opera\u00e7\u00f5es, colaboradores chaves, mapeamento de processos cr\u00edticos, an\u00e1lise de impacto nos neg\u00f3cios e testes peri\u00f3dicos de recupera\u00e7\u00e3o de desastres.<\/p>\n

                  Referido processo seguir\u00e1 o quanto estabelecido na Pol\u00edtica de Continuidade de Neg\u00f3cios da ART IT e dever\u00e1 considerar, ao menos, os seguintes cen\u00e1rios para a realiza\u00e7\u00e3o de testes de continuidade de neg\u00f3cios:<\/p>\n

                    \n
                  1. Explora\u00e7\u00e3o de poss\u00edveis vulnerabilidades que permitam o acesso, a c\u00f3pia e\/ou a extra\u00e7\u00e3o de informa\u00e7\u00f5es e dados internos e\/ou confidenciais do ambiente l\u00f3gico da ART IT;<\/li>\n
                  2. Realiza\u00e7\u00e3o de testes de intrus\u00e3o a base de dados contendo informa\u00e7\u00f5es sens\u00edveis da ART IT;<\/li>\n
                  3. Tempo de recupera\u00e7\u00e3o de acesso a informa\u00e7\u00f5es de backup em caso de perda de informa\u00e7\u00f5es sens\u00edveis (RTO);<\/li>\n
                  4. Estrat\u00e9gias de recupera\u00e7\u00e3o de informa\u00e7\u00f5es sens\u00edveis e servi\u00e7os relevantes;<\/li>\n
                  5. Defini\u00e7\u00e3o da quantidade de recursos m\u00ednimos a serem recuperados em caso de falha grave de perda de dados (RPO).<\/li>\n<\/ol>\n

                    8. Acesso F\u00edsico<\/b><\/p>\n

                    Todo acesso f\u00edsico \u00e0 ART IT ser\u00e1 identificado, de forma eletr\u00f4nica para os colaboradores e manual para visitantes.<\/p>\n

                    C\u00e2meras dever\u00e3o estar espalhadas nos pontos estrat\u00e9gicos e as grava\u00e7\u00f5es armazenadas em nuvem, retendo imagens por m\u00ednimo 2 meses.<\/p>\n

                    Fornecedores externos dever\u00e3o estar sempre acompanhados por algum colaborador da ART IT.<\/p>\n

                    Todos os servidores de produ\u00e7\u00e3o da ART IT dever\u00e3o estar instalados no datacenter, onde possui controle de acesso para apenas colaboradores previamente autorizados, apenas servidores de testes poder\u00e3o estar instalados fisicamente nas depend\u00eancias da ART IT.<\/p>\n

                    9. Plano de Resposta a Incidentes<\/b><\/p>\n

                    O plano de resposta a incidentes de seguran\u00e7a e privacidade \u00e9 basicamente um processo. Descreve como a ART IT responder\u00e1 \u00e0s situa\u00e7\u00f5es de emerg\u00eancia e exce\u00e7\u00e3o. Pela gravidade, a resposta deve ser r\u00e1pida e confi\u00e1vel, ao mesmo tempo resguardando evid\u00eancias forenses que podem ajudar a prevenir novos incidentes e atendendo as exig\u00eancias legais de comunica\u00e7\u00e3o e transpar\u00eancia. Para o processo funcionar e ser estabelecido \u00e9 pr\u00e9-requisito a prepara\u00e7\u00e3o pr\u00e9via de cont\u00ednua, atendendo os seguintes itens:<\/p>\n

                      \n
                    1. Forma\u00e7\u00e3o do Time de Resposta a Incidentes (TRI). Este \u00e9 um grupo de colaboradores que deve ser designado atrav\u00e9s de Resolu\u00e7\u00e3o da diretoria, com acessos, habilidades, responsabilidades, treinamento e conhecimentos chave para responder aos mais variados tipos de incidentes. O TRI deve ter reuni\u00f5es peri\u00f3dicas para definir melhorias neste plano, verifica\u00e7\u00e3o de pr\u00e9-requisitos, mecanismos, atribui\u00e7\u00f5es, necessidade de preparo, bem como divulga\u00e7\u00e3o e treinamentos para os membros e demais colaboradores. O encarregado pelo tratamento de dados pessoais (DPO) e pelo menos um representante da equipe de seguran\u00e7a da informa\u00e7\u00e3o devem fazer parte desse grupo;<\/li>\n
                    2. Instala\u00e7\u00e3o de divulga\u00e7\u00e3o dos mecanismos de comunica\u00e7\u00e3o de incidente. Devem ser criadas, disponibilizadas e publicadas as formas de notifica\u00e7\u00e3o \u00e0 ART IT quando ocorrerem incidentes. O \u00a71\u00b0, do Artigo 41, da Lei 13709\/2018, a LGPD, estabelece: \u201cA identidade e as informa\u00e7\u00f5es de contato do encarregado dever\u00e3o ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sitio eletr\u00f4nico do controlador.\u201d Portanto, devem ser divulgados os e-mails: dpo@artit.com.br e seguranca@artit.com.br.<\/li>\n<\/ol>\n

                      9.1 Processo Resposta a Incidentes<\/span>
                      <\/b><\/p>\n

                      1. Inicio
                      <\/b>a. Um novo incidente \u00e9 notificado, por pessoa externa ou n\u00e3o a ART IT ou por alarme de monitora\u00e7\u00e3o, usando um dos mecanismos de comunica\u00e7\u00e3o definidos. Notifica\u00e7\u00e3o \u00e9 recebida pelo time do TRI;<\/p>\n

                      2. Triagem<\/b><\/p>\n

                      a. O time do TRI deve fazer a avalia\u00e7\u00e3o preliminar, descartando as notifica\u00e7\u00f5es nulas ou claramente improcedentes, tomando os devidos cuidados;<\/p>\n

                      b. Na avalia\u00e7\u00e3o preliminar, devem ser buscadas informa\u00e7\u00f5es sobre os sistemas que foram alegadamente impactados, sua criticidade, quais os danos aparentes e o risco da situa\u00e7\u00e3o se agravar se n\u00e3o houver resposta imediata;<\/p>\n

                      c. Conforme a avalia\u00e7\u00e3o preliminar, incidentes que n\u00e3o envolvem sistemas online e que seguramente n\u00e3o apresentam riscos aumentados pela falha de a\u00e7\u00e3o imediata podem ser reencaminhados para tramites regulares da ART IT pela equipe de seguran\u00e7a da informa\u00e7\u00e3o e DPO, caso o incidente envolva dados pessoais;<\/p>\n

                      d. Em caso de incidentes que exijam resposta imediata ou melhor avalia\u00e7\u00e3o, o TRI deve ser acionado e passamos \u00e0s fases seguintes:<\/p>\n

                      3. Avalia\u00e7\u00e3o<\/b><\/p>\n

                      a. Nesta fase deve ser iniciada uma avalia\u00e7\u00e3o mais detalhada do incidente. Deve-se procurar identificar a causa do incidente, endere\u00e7os IP e credenciais envolvidas, transa\u00e7\u00f5es e transfer\u00eancias de dados irregulares, m\u00e9todos e vulnerabilidades exploradas, visando determinar a\u00e7\u00f5es para as demais fases. Pode ser importante engajar especialistas dos sistemas afetados para colaborar e isso deve ser feito a crit\u00e9rio do TRI a qualquer momento que julgar adequado e vi\u00e1vel.<\/p>\n

                      4. Conten\u00e7\u00e3o e Erradica\u00e7\u00e3o<\/b><\/p>\n

                      a. O objetivo das medidas de conten\u00e7\u00e3o e erradica\u00e7\u00e3o \u00e9 limitar o dano e isolar os sistemas afetados para evitar mais danos. Conforme a necessidade e a autoriza\u00e7\u00e3o obtida ser\u00e1 realizado o desligamento dos sistemas inteiros ou de funcionalidades espec\u00edficas, comunica\u00e7\u00e3o de avisos de indisponibilidade para manuten\u00e7\u00e3o, sempre que poss\u00edvel tomando cuidados para n\u00e3o impactar evid\u00eancias que poderiam ser utilizadas para identificar autoria, origem e m\u00e9todo usado para quebrar a seguran\u00e7a.<\/p>\n

                      5. Recupera\u00e7\u00e3o<\/b><\/p>\n

                      a. Iniciar o plano de continuidade do neg\u00f3cio imediatamente conforme especificado;<\/p>\n

                      b. A recupera\u00e7\u00e3o \u00e9 o conjunto de medidas para restaurar os servi\u00e7os completamente, mas pode ser feita de forma gradual, conforme viabilidade e decis\u00e3o do respons\u00e1vel pelo sistema;<\/p>\n

                      c. O TRI tem a responsabilidade de passar as informa\u00e7\u00f5es que obteve para o desenvolvimento da solu\u00e7\u00e3o e sua instala\u00e7\u00e3o; d. Para a recupera\u00e7\u00e3o devem ser tomadas medidas identificadas na avalia\u00e7\u00e3o, tais como: restaura\u00e7\u00e3o de backups, clonagem de m\u00e1quinas virtuais, reinstala\u00e7\u00e3o de sistemas, etc.;<\/p>\n

                      e. Pode ser necess\u00e1rio o desenvolvimento e instala\u00e7\u00e3o de atualiza\u00e7\u00f5es de aplica\u00e7\u00e3o ou do Sistema Operacional, por isso esta fase pode ser prolongada, de acordo com a prioriza\u00e7\u00e3o dada.<\/p>\n

                      6. Li\u00e7\u00f5es Aprendidas<\/b><\/p>\n

                      a. Com o incidente contido e sua resolu\u00e7\u00e3o encaminhada, o TRI deve agendar e conduzir uma reuni\u00e3o de Li\u00e7\u00f5es Aprendidas, com convidados a seu crit\u00e9rio, com o objetivo de discutir erros e dificuldades encontradas, propor melhorias para os sistemas e processos (inclusive deste plano de resposta a incidentes);<\/span><\/p>\n

                      b. As melhorias sugeridas na reuni\u00e3o, com o devido consenso, devem ser encaminhadas aos respons\u00e1veis para defini\u00e7\u00e3o sobre sua ado\u00e7\u00e3o.<\/p>

                      7. Documenta\u00e7\u00e3o<\/b><\/p>

                      a. O TRI deve documentar o incidente em base de conhecimento apropriada, detalhando as informa\u00e7\u00f5es obtidas, linha do tempo, atores envolvidos, evidencias, conclus\u00f5es, decis\u00f5es, autoriza\u00e7\u00f5es e a\u00e7\u00f5es tomadas, inclusive as da reuni\u00e3o de li\u00e7\u00f5es aprendidas.<\/p>

                      8. Comunica\u00e7\u00f5es<\/b><\/p>

                      a. No caso de incidente com vazamento de dados pessoais, o DPO deve avaliar se h\u00e1 risco ou dano relevante aos titulares, deve fazer as comunica\u00e7\u00f5es obrigat\u00f3rias por lei, na maior brevidade poss\u00edvel, no m\u00e1ximo em at\u00e9 dois dias \u00fateis. Essas comunica\u00e7\u00f5es podem incluir agradecimentos ao notificador e\/ou informa\u00e7\u00f5es para os titulares dos dados.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>","protected":false},"excerpt":{"rendered":"

                      1. Objetivo Esta pol\u00edtica de seguran\u00e7a da informa\u00e7\u00e3o tem como principal objetivo documentar e proteger as informa\u00e7\u00f5es consideradas importantes para a continuidade e manuten\u00e7\u00e3o dos objetivos de neg\u00f3cio da organiza\u00e7\u00e3o e \u00e9 realizada com o fim de atender os princ\u00edpios b\u00e1sicos da seguran\u00e7a da informa\u00e7\u00e3o, conhecidos pelo acr\u00f4nimo CID: confidencialidade, integridade e disponibilidade. 2. Abrang\u00eancia […]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"elementor_theme","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"class_list":["post-1319","page","type-page","status-publish","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t