1. Objetivo e abrangência
A Política de Segurança da Informação estabelece compromissos para proteger informações e ativos da Newsupri e de terceiros contra acesso, alteração, divulgação, destruição ou indisponibilidade indevidos. Aplica-se a colaboradores, administradores, prestadores e terceiros autorizados, em meios físicos e digitais.
2. Princípios
- Confidencialidade: acesso somente por pessoas autorizadas e para finalidade legítima.
- Integridade: informações e sistemas devem permanecer completos, corretos e protegidos contra alteração indevida.
- Disponibilidade: recursos relevantes devem estar acessíveis quando necessários, de acordo com sua criticidade.
- Autenticidade e rastreabilidade: acessos e ações devem permitir identificação e verificação apropriadas.
- Proporcionalidade: os controles consideram o valor da informação, o risco, a criticidade do serviço, o porte da empresa e as obrigações aplicáveis.
3. Classificação e tratamento da informação
As informações são classificadas de acordo com o público autorizado e o impacto de eventual exposição, em categorias como pública, destinada a terceiros identificados, interna e restrita. Armazenamento, compartilhamento, transporte, retenção e descarte devem ser compatíveis com a classificação. Informações confidenciais não devem ser mantidas em contas pessoais ou canais não autorizados.
4. Identidades, acessos e credenciais
- Acessos são concedidos por necessidade de função, com menor privilégio e revisão proporcional ao risco.
- Contas individuais e autenticação reforçada são utilizadas quando apropriado; acessos são revogados quando deixam de ser necessários.
- Credenciais temporárias recebidas de clientes são protegidas, não reutilizadas e encerradas ao final do atendimento.
- Acessos técnicos remotos a ambientes de clientes ocorrem por mecanismos controlados e rastreáveis, reduzindo acesso direto e persistente.
5. Controles tecnológicos e continuidade
A Newsupri mantém controles proporcionais para proteção de redes e dispositivos, gestão de atualizações e vulnerabilidades, cópias de segurança, recuperação, criptografia quando aplicável, registros de atividade, proteção de credenciais, monitoramento e continuidade dos serviços críticos. Ferramentas, configurações, topologias, frequências e parâmetros operacionais não são divulgados publicamente.
6. Limites da atuação nos ambientes dos clientes
O cliente mantém o controle sobre a finalidade de uso do ambiente, seus usuários, suas credenciais administrativas, suas bases de dados e o conteúdo armazenado, inclusive quando a infraestrutura é fornecida ou locada pela Newsupri.
- O escopo ordinário da Newsupri não inclui receber, hospedar, copiar ou explorar bases de dados de negócio do cliente, nem prestar suporte a usuários finais.
- Para monitoração, diagnóstico e suporte, a Newsupri pode receber ou acessar logs, alertas, telemetria, capturas, relatórios e identificadores técnicos limitados, como nome de usuário, e-mail corporativo, IP, hostname e metadados de sessão.
- O acesso e a retenção desses artefatos são limitados à finalidade do serviço, ao período necessário e aos canais autorizados.
- Plantas, diagramas, topologias, configurações e regras de rede ou segurança são tratados como informações confidenciais, ainda que não constituam dados pessoais.
- Evidências encaminhadas a fabricantes ou parceiros são reduzidas ao necessário e protegidas por obrigações de sigilo e segurança.
- Na devolução de equipamentos locados, o cliente é responsável pela sanitização prévia conforme o contrato; eventual informação residual é isolada e tratada de acordo com as instruções do cliente.
7. Terceiros e fornecedores
Terceiros recebem apenas os acessos necessários e devem assumir obrigações proporcionais de confidencialidade, segurança, continuidade, comunicação de incidentes e encerramento de acesso. Requisitos podem variar conforme a natureza do serviço e o risco envolvido.
8. Incidentes e melhoria contínua
Eventos de segurança são analisados, contidos, corrigidos e registrados conforme sua relevância. Clientes são comunicados pelos canais e prazos contratuais quando o evento estiver relacionado ao ambiente sob sua responsabilidade. Quando houver dados pessoais, aplicam-se também as regras de proteção de dados.
A Newsupri promove conscientização, revisões e melhorias contínuas sem divulgar informações que reduzam a efetividade de suas defesas.
Referências principais
- Lei nº 13.709/2018 (LGPD).
- Lei nº 12.965/2014 e regulamentação aplicável.
- Boas práticas das normas ABNT NBR ISO/IEC 27001 e 27002.