• Controle e Direitos de Acessos

A C2RV implementa controles rigorosos de acesso às suas informações e demais ativos, centralizando toda a gestão de acessos no Active Directory (AD). As diretrizes para controle de acesso incluem as seguintes práticas:

1. A definição de quais entidades possuem acesso às informações e demais ativos da organização está registrada e gerida no Active Directory (AD), garantindo rastreabilidade e controle centralizado de permissões.

1. A organização considera requisitos de negócios, riscos associados às informações, legislações pertinentes e potenciais conflitos de interesse para determinar e controlar os acessos, assegurando uma gestão de direitos de forma segura e adequada.

1. O Active Directory (AD) é atualizado sempre que ocorre a inserção ou remoção de entidades (usuários ou dispositivos) na organização, assegurando que apenas aqueles com necessidades e permissões adequadas mantenham acesso aos recursos.

1. A revisão dos acessos registrados no Active Directory (AD) é realizada, no mínimo, anualmente, com o objetivo de verificar a atualidade dos direitos concedidos às entidades e realizar ajustes conforme necessário para garantir a conformidade com as políticas da organização.

1. O processo de provisionamento e revogação de direitos de acesso é realizado por meio da abertura de um ticket para a Braga Soluções em TI, que atua em parceria com a empresa. A Braga valida o ticket e, após a autorização do gestor imediato, configura as permissões no Active Directory (AD), garantindo um fluxo seguro e rastreável para o gerenciamento de acessos aos recursos da organização.

• Transferência de Informações

A C2RV adota as seguintes diretrizes para a transferência de informações, tanto internamente quanto com partes externas:

1. Sempre que possível, as informações devem ser transferidas utilizando recursos de criptografia, visando à proteção dos dados em trânsito.

1. Os serviços de transferência considerados confiáveis incluem:
   • Gerenciador de e-mail: Outlook;
   • Plataformas de comunicação: WhatsApp Business e Microsoft Teams;
   • Plataforma de armazenamento e transferência: OneDrive;
   • Transferência de informações físicas: documentação protocolada.

1. As diretrizes de retenção e descarte de todos os registros de negócios estão definidas no Controle de Documentos, assegurando a conformidade com a política de ciclo de vida dos dados.

1. Todas as transferências de informações devem cumprir os requisitos legais, estatutários, regulamentares e contratuais aplicáveis, para garantir a integridade e conformidade das operações.

• Gestão de Ativos

A C2RV realiza o controle e a gestão de seus ativos de informação e recursos de processamento por meio de um inventário centralizado na plataforma Brasis. Esta plataforma é utilizada para registrar, atualizar e monitorar todos os ativos associados a dados e processos informacionais, assegurando uma visão abrangente e em tempo real dos recursos disponíveis. A plataforma Brasis permite identificar cada ativo, incluindo informações sobre seu status, localização, uso e responsável, facilitando a rastreabilidade e a segurança dos dados.

A atualização do inventário na Brasis é realizada de forma contínua, sendo responsabilidade da equipe de TI em conjunto com os gestores de cada área, que devem informar qualquer movimentação, inclusão ou exclusão de ativos. Esse processo garante que o inventário se mantenha sempre atualizado e aderente às necessidades de controle e proteção da informação.

• Diretrizes de Uso e Segurança do Ativos de Informação

Todos os colaboradores e partes externas que utilizam ou têm acesso aos ativos da organização são informados e cientes dos requisitos de segurança da informação definidos nesta política. Cada indivíduo é responsável pelo uso adequado de qualquer recurso de processamento da informação, e esse uso é realizado sob sua total responsabilidade.

• Comportamentos esperados e inaceitáveis em relação à segurança da informação:

1. • É proibida a utilização da internet para fins pessoais;
   • É proibido o uso de redes sociais em dispositivos e ambientes corporativos.

• Regras de uso permitido e proibido para informações e ativos associados:

1. • É proibido o uso de informações de negócios para fins pessoais;
   • É proibida a transferência de informações de negócios por canais não homologados pela organização.

• Atividades de monitoramento realizadas pela organização:

1. • Monitoramento por câmeras de segurança nas áreas comuns e de trabalho.
     

• Devolução de Ativos

Todos os colaboradores e partes externas devem devolver todos os ativos da organização que estejam em sua posse, após o encerramento de suas atividades, do contrato ou acordo.

A devolução dos ativos é registrada por meio Termo de Devolução.

• Gestão de Incidentes de Segurança da Informação

Os colaboradores e partes externas que usam os sistemas e serviços de informação da organização, devem registrar e notificar quaisquer fragilidades de segurança da informação, suspeita ou observada, nos sistemas ou serviços por meio do e-mail: [email protected].

A notificação é recebida pelo Diretor de Operações e posteriormente segue para avaliação.

Os eventos de segurança da informação são avaliados e é decidido se eles são classificados como incidentes de segurança da informação. Se classificado como incidente é realizado a abertura do Registro de Incidentes de Segurança da Informação.

Os incidentes de segurança da informação são reportados para pessoas relevantes da organização, ou ainda, partes externas.

Convém que a notificação, quando possível, inclua os seguintes itens:

1. contenção, se as consequências do incidente podem se espalhar, dos sistemas afetados pelo incidente;
2. coleta de evidências o mais rápido possível após a ocorrência;
   
3. escalonamento, conforme necessário, incluindo atividades de gestão de crises e possivelmente invocação de planos de continuidade de negócios;
4. garantia de que todas as atividades de resposta envolvidas sejam devidamente registradas para análise posterior;
5. comunicação da existência do incidente de segurança da informação ou quaisquer detalhes relevantes deles a todas as partes interessadas internas e externas relevantes seguindo o princípio da necessidade de conhecer;
6. coordenação com partes internas e externas, como autoridades, grupos de interesse externo e fóruns, fornecedores e clientes para melhorar a eficácia da resposta e ajudar a minimizar as consequências para outras organizações;
7. uma vez que o incidente foi tratado com sucesso, formalmente fechá-lo e registrá-lo;
8. análise forense de segurança da informação, conforme necessário;
9. análise pós-incidente para identificar a causa-raiz. Assegurar que seja documentada e comunicada de acordo com os procedimentos definidos;
10. identificação e gestão de vulnerabilidades e fragilidades de segurança da informação, incluindo aquelas relacionadas com os controles que causaram, contribuíram ou falharam em prevenir o incidente.

A C2RV usa o conhecimento adquirido com incidentes de segurança da informação para fortalecer e melhorar os controles, identificando incidentes recorrentes ou graves e suas causas para atualizar o processo de avaliação de risco de segurança da informação e determinar e implementar controles adicionais necessários para reduzir a probabilidade ou as consequências de futuros incidentes semelhantes.

A coleta de evidências deve considerar:

1. a cadeia de custódia;
2. a segurança da evidência;
3. a segurança das pessoas;
4. papéis e responsabilidades das pessoas envolvidas;
   
5. competência do pessoal;
6. documentação;
7. resumo do incidente.
8. os registros estão completos e não foram adulterados de forma alguma.
9. as cópias de evidências eletrônicas são provavelmente idênticas aos originais.
10. qualquer sistema de informação a partir do qual as evidências foram coletadas estava operando corretamente no momento em que a evidência foi registrada.

• Direitos de propriedade intelectual

A organização implementa os seguintes procedimentos para proteger os direitos de propriedade intelectual:

1. adquirir software somente por meio de fontes conhecidas e confiáveis, para assegurar que os direitos autorais não sejam violados;
2. manter registros apropriados de ativos e identificar todos os ativos com requisitos de proteção de direitos de propriedade intelectual;
3. manter provas e evidências de propriedade de licenças, manuais etc.;
4. assegurar que qualquer número máximo de usuários ou recursos (por exemplo, CPU) permitidos dentro da licença não seja excedido;
5. realizar análises críticas para assegurar que apenas softwares autorizados e produtos licenciados sejam instalados;
6. fornecer procedimentos para a manutenção das condições adequadas de licença;
7. fornecer procedimentos para descartar ou transferir software para terceiros;
8. manter o compliance dos termos e condições de software e informações obtidas de redes públicas e fontes externas;
9. não duplicar, converter para outro formato ou extrair de gravações comerciais (vídeo, áudio) outro além do permitido pela lei de direitos autorais e as licenças aplicáveis;
   
10. não copiar, total ou parcialmente, normas (por exemplo, normas internacionais ISO/IEC), livros, artigos, relatórios ou outros documentos, além do permitido pela lei de direitos autorais e as licenças aplicáveis.

• Classificação e Tratamentos de Informações

Todos os documentos gerados ou recebidos pela empresa são automaticamente considerados Confidenciais e recebem um nível adequado de proteção, de acordo com sua importância para a organização. A responsabilidade pela proteção e classificação de cada documento cabe ao proprietário do ativo, mas não há necessidade de rotulagem individual para documentos, visto que a confidencialidade é padrão para todos os registros.

• Confidencial: Informação cuja divulgação não autorizada pode ter um impacto sério nos objetivos estratégicos de longo prazo ou comprometer a continuidade da organização. Tais documentos exigem controle rigoroso de acesso e medidas de proteção contra vazamento.

As políticas e procedimentos da empresa são devidamente documentados e disponibilizados aos colaboradores de acordo com os níveis de acesso necessários para suas funções.

• Controles Físicos

• Segurança Física e o Ambiente

A segurança física é implementada através de controles que protegem as áreas onde informações confidenciais e ativos críticos são manipulados e armazenados. A organização adota um conjunto abrangente de medidas para prevenir acessos físicos não autorizados e garantir a proteção do ambiente físico.

O acesso aos escritórios e instalações é controlado a partir de uma recepção central do condomínio que impede o acesso direto do público. A entrada é monitorada e registrada por reconhecimento facial, garantindo que apenas pessoas autorizadas possam acessar as áreas internas. O edifício possui uma fachada discreta, evitando sinais externos de atividades sensíveis relacionadas ao tratamento de informações.

Para áreas classificadas como seguras, o acesso é restrito a colaboradores autorizados mediante fechaduras eletrônicas. Visitantes são sempre supervisionados por um colaborador, exceto quando uma exceção documentada for previamente concedida. Em casos de tentativas de violação, as fechaduras disparam automaticamente um alerta de segurança.

O monitoramento das instalações inclui um sistema de câmeras com detecção de movimento e guardas de segurança, visando identificar e impedir de forma ágil qualquer acesso não autorizado.

Documentos físicos são mantidos em armários trancados, com controle por chaves, assegurando a integridade e a proteção de informações sensíveis. Todos os procedimentos de controle físico são revisados periodicamente para garantir sua efetividade e alinhamento com as melhores práticas de segurança.

• Controles Tecnológicos

• Configuração e Manuseio Seguros de Dispositivos Endpoint do Usuário

Todos os ativos utilizados pela organização, quando aplicáveis, contam com controles de endpoints. Esses controles são implementados por meio do uso do Antivírus Acronis e do Firewall pfSense, que trabalham em conjunto para proteger a infraestrutura de TI contra ameaças e garantir a segurança dos dados.

• Segurança de Redes

As redes da C2RV são gerenciadas e controladas para proteger as informações nos sistemas e aplicações. Os controles são implementados para garantir a segurança da informação nessas redes e proteger os serviços a elas conectados contra acessos não autorizados, considerando os seguintes pontos:

1. A responsabilidade pelo gerenciamento dos equipamentos de rede é exclusiva da equipe de Tecnologia da Informação ou de terceiros autorizados, sendo a Braga Soluções responsável pela manutenção do Firewall pfSense.

1. Mecanismos apropriados de registro e monitoração são aplicados para habilitar a gravação e a detecção de ações que possam afetar ou ser relevantes para a segurança da informação.

1. Todos os sistemas conectados às redes são autenticados, garantindo que apenas usuários e dispositivos autorizados tenham acesso.

1. A conexão de sistemas à rede é restrita e, em alguns casos, controlada pelo Firewall, proporcionando uma camada adicional de segurança.

• Backup

As cópias de segurança de informações, softwares e imagens do sistema são efetuadas e testadas regularmente, em conformidade com as diretrizes estabelecidas na POL-004 Política de Backup.

• Comprometimento da Alta Administração

Esta política será formalmente assinada pelos principais responsáveis da organização, demonstrando o comprometimento da alta administração com as diretrizes e objetivos de segurança da informação estabelecidos.

• Violação

Qualquer violação desta política pode resultar em ação disciplinar, incluindo a rescisão do contrato de trabalho. A empresa reserva-se o direito de notificar as autoridades responsáveis pela aplicação da lei sobre qualquer atividade ilegal e de cooperar em qualquer investigação de tal atividade.

A empresa não considera que a conduta que viole esta norma esteja dentro do curso e âmbito das atividades de um funcionário, parceiro ou prestador de serviço, ou como consequência direta da execução de suas funções. Consequentemente, na medida do permitido por lei, a empresa reserva-se o direito de não defender ou pagar quaisquer danos concedidos aos funcionários, parceiros ou prestadores de serviços que resultem da violação desta norma.

• Revisão e Aprovação

Esta política será revisada anualmente, ou sempre que houver mudanças nos processos da empresa ou nos requisitos de segurança da informação. Ela entrará em vigor a partir da data de sua aprovação e assinatura pelos responsáveis.

• Conclusão

A Política de Segurança da Informação da C2RV Distribuidora Hospitalar representa um compromisso firme com a proteção dos dados sensíveis e a garantia da continuidade operacional. Através das diretrizes aqui estabelecidas, visamos promover uma cultura de segurança em todos os níveis organizacionais, garantindo que cada colaborador e prestador de serviço entenda e cumpra seu papel na proteção dos ativos informacionais.

A segurança da informação não é uma responsabilidade exclusiva de um setor, mas uma responsabilidade compartilhada que envolve todos os indivíduos e processos da organização. Com esta política, reforçamos nosso compromisso em cumprir as melhores práticas de mercado e as exigências legais, buscando constantemente a melhoria contínua de nossos controles de segurança para mitigar riscos e garantir a confiança de nossos clientes e parceiros.

A alta administração da C2RV reafirma sua dedicação em manter um ambiente seguro e estável, implementando revisões periódicas desta política para adaptá-la às mudanças e aos novos desafios no cenário da segurança da informação.