1. Objetivo e abrangência
A política protege a informação da IDEIA e a informação de clientes sob sua guarda.
Ela busca preservar confidencialidade, integridade, disponibilidade e autenticidade do dado.
Aplica-se a todos os colaboradores, estagiários, aprendizes, prestadores e parceiros com acesso.
Vale para sistemas internos, nuvem, rede, equipamentos, mídias removíveis e ambientes de clientes.
A política complementa o programa de privacidade e o código de ética da empresa.
2. Classificação da informação
Toda informação da empresa e de clientes recebe uma classificação antes de ser compartilhada.
A classificação define quem pode acessar, como guardar, como transmitir e quando descartar.
O rótulo é aplicado na criação do documento, do arquivo, da planilha ou do repositório.
- Pública: pode ser divulgada sem risco para a empresa, o cliente ou as pessoas.
- Interna: de uso interno, com divulgação limitada às equipes que precisam dela.
- Confidencial: de acesso restrito, com impacto relevante em caso de vazamento.
- Restrita: de acesso nominal, sujeita a controle reforçado e registro de uso.
3. Controle de acesso e verificação em duas etapas
O acesso é concedido por função, pelo princípio da menor permissão necessária.
Cada pessoa usa credencial individual e não compartilha login, senha nem código de verificação.
A verificação em duas etapas é obrigatória nos sistemas corporativos e nos serviços em nuvem.
Acessos são revisados periodicamente, e o desligamento revoga as permissões no mesmo dia.
Acesso de terceiro é temporário, nominal e aprovado pelo responsável da área.
4. Uso aceitável dos recursos
Recursos de tecnologia da empresa são fornecidos para a execução das atividades de trabalho.
Uso pessoal moderado é tolerado quando não gera custo relevante nem risco à segurança.
É vedado instalar programa não autorizado, usar rede clandestina ou burlar controle de segurança.
Também é vedado usar recurso da empresa para atividade ilícita, ofensiva ou de concorrência.
O e-mail corporativo é canal de trabalho e pode ser auditado nos limites da lei.
5. Dispositivos da empresa e pessoais
Equipamentos da empresa são entregues configurados, identificados e com disco criptografado.
O equipamento só é usado por quem o recebeu e não pode ser repassado a terceiros.
Dispositivo pessoal só acessa dado corporativo com autorização e com as proteções exigidas.
A empresa pode aplicar bloqueio e apagamento remoto em equipamento que contenha dado dela.
Perda, furto ou roubo de dispositivo deve ser comunicado imediatamente ao responsável de segurança.
6. Gestão de senhas
A senha é pessoal e não pode ser compartilhada, anotada em papel nem reutilizada em outros serviços.
Cada sistema tem senha própria, com tamanho mínimo e combinação de letras, números e símbolos.
A troca de senha é obrigatória quando houver suspeita de vazamento ou de acesso indevido.
O armazenamento de senhas ocorre em cofre digital aprovado pela área de tecnologia.
Contas de serviço e de administração seguem regra própria, com guarda restrita e registro de uso.
7. Backup e continuidade
Arquivos, sistemas e configurações críticas têm cópia de segurança conforme a criticidade.
A cópia é feita em ciclo definido e o resultado é monitorado pela área de tecnologia.
A restauração é testada periodicamente para confirmar que a cópia é utilizável.
Cada área conhece os sistemas críticos e o tempo máximo aceitável de interrupção.
Mídia de backup é guardada em ambiente protegido e com acesso controlado.
8. Tratamento de incidentes
Incidente de segurança é qualquer evento que ameace a confidencialidade, a integridade ou a disponibilidade.
Quem identifica o incidente comunica a área de tecnologia de imediato, sem tentar resolver sozinho.
A equipe registra o caso, contém o impacto e preserva as evidências para a análise.
A causa é investigada e medidas corretivas são aplicadas com prazo e responsável definidos.
O registro do incidente apoia a melhoria contínua e o relatório à direção.
9. Trabalho remoto
O trabalho remoto exige rede confiável, ambiente reservado e equipamento atualizado.
O acesso remoto ocorre por canal seguro, com verificação em duas etapas ativada.
É vedado usar rede pública aberta para acessar dado confidencial sem proteção adicional.
A tela não fica visível a terceiros, e o bloqueio automático permanece ativo.
Impressão de documento confidencial em ambiente doméstico deve ser evitada.
10. Descarte de equipamentos e mídias
Equipamento, disco, celular ou mídia removível só é descartado após apagamento seguro.
Quando o apagamento não for possível, a mídia é destruída fisicamente pela empresa.
O descarte é registrado, com data, responsável e número de patrimônio do item.
Documento em papel com dado confidencial é fragmentado antes do descarte.
Equipamento devolvido por colaborador passa por conferência e limpeza antes do reuso.
11. Resposta a vazamento de dados
Vazamento de dado pessoal segue o plano de resposta a incidentes da empresa.
A equipe avalia quais dados foram afetados, quantos titulares e qual o risco envolvido.
Quando o risco for relevante, a empresa comunica a ANPD e os titulares afetados.
O cliente controlador também é comunicado quando o dado tratado for dele.
O caso é documentado com as medidas adotadas e as lições aprendidas.
12. Papéis e responsabilidades
A direção aprova a política, define prioridades e provê os recursos necessários.
O responsável de segurança mantém a política, conduz a análise de risco e acompanha incidentes.
Os gestores garantem que a equipe conheça as regras e cumpra os controles da sua área.
Cada colaborador protege as credenciais, os equipamentos e os dados que manipula.
O descumprimento da política sujeita o responsável a medida disciplinar e às sanções cabíveis.
13. Revisão da política
Esta política é revisada a cada doze meses, no mínimo, pela área de tecnologia e conformidade.
A revisão também ocorre após incidente relevante, mudança de lei ou alteração de arquitetura.
A versão vigente é publicada nos canais internos e comunicada a todos os que têm acesso.
Dúvidas sobre a aplicação da política são enviadas para contato@grupoideia.inf.br.