Gestão de Segurança Digital

1 - Objetivo

Estabelecer diretrizes para garantir a segurança das informações corporativas, buscando o equilíbrio entre performance e confiabilidade, objetivando a perenidade dos negócios do Grupo Almaviva do Brasil, fundamentadas nos seguintes itens:

• Alinhamento dos objetivos estratégicos de Segurança da Informação e Privacidade com os objetivos de negócio das empresas

• Redução dos impactos decorrentes de eventos de Segurança da Informação.

• Identificação dos principais riscos de segurança da informação e privacidade aplicáveis ao negócio.

• Disseminação das normas e diretrizes de segurança da informação e privacidade a todos os profissionais do Grupo Almaviva do Brasil, terceiros aplicáveis e qualquer pessoa relacionada a expansão dos negócios do Grupo Almaviva do Brasil.

Presidência, Diretoria Executiva e o Comitê de Segurança da Informação e Privacidade estão comprometidos com uma gestão efetiva de Segurança da Informação no Grupo Almaviva do Brasil. Desta forma, adotam todas medidas cabíveis para garantir que esta política seja adequadamente comunicada, entendida e seguida em todos os níveis da organização.

Revisões periódicas serão realizadas para garantir sua contínua pertinência e adequação às necessidades da companhia.

2 - Campo de aplicação

Esta política se aplica a todos os usuários da informação do Grupo Almaviva do Brasil, incluindo qualquer indivíduo ou organização que possui ou possuiu vínculo com a Almaviva, tais como empregados, ex-empregados, prestadores de serviço, ex-prestadores de serviço, colaboradores, ex-colaboradores, que possuíram, possuem ou virão a possuir acesso às informações da Almaviva e/ou fizeram, fazem ou farão uso de recursos computacionais compreendidos na infraestrutura do Grupo Almaviva do Brasil.

3 - Referências

• NBR ISO/IEC 27001:2022 - Segurança da informação, segurança cibernética e proteção à privacidade — Sistemas de gestão da segurança da informação — Requisitos.

• NBR ISO/IEC 27002:2022 - Segurança da informação, segurança cibernética e proteção à privacidade — Controles de segurança da informação.

• NBR ISO/IEC 27701:2019 - Técnicas de segurança - Extensão da ABNT NBR ISO/IEC 27002 para gestão da privacidade da informação – Requisitos e diretrizes

• Política de Privacidade do Grupo Almaviva do Brasil.

4 - Definições

• Segurança da Informação (SI): Proteção contra o uso ou acesso não-autorizado à informação, bem como a proteção contra a negação do serviço a usuários autorizados, enquanto a integridade e a confidencialidade dessa informação são preservadas. A SI não está confinada a sistemas de computação, nem à informação em formato eletrônico. Ela se aplica a todos os aspectos de proteção da informação ou dados, em qualquer forma. O nível de proteção deve, em qualquer situação, corresponder ao valor dessa informação e aos prejuízos que poderiam decorrer do uso impróprio da mesma. A SI também cobre toda a infraestrutura que permite o seu uso, como processos, sistemas, serviços, tecnologias e outros.

• Privacidade: Privacidade de dados é o direito de gerenciar como suas informações pessoais são coletadas e utilizadas.

5 - Responsabilidades

Compete Diretoria Executiva:

• Promover e aprovar as atividades do Sistema de Gestão de Segurança da Informação e Privacidade.

Compete ao Comitê de Segurança da Informação e Privacidade:

• Conduzir uma avaliação periódica sobre a Segurança da Informação

• Garantir a disponibilidade dos recursos necessários para uma efetiva gestão de segurança da informação

• Disseminar a cultura de Segurança de Informação e Privacidade

• Alinhar os objetivos estratégicos de Segurança da Informação e Privacidade com os objetivos de negócio do Grupo Almaviva do Brasil

• Apoiar e aprovar atividades de melhoria contínua do Sistema de Gestão da Segurança da Informação e Privacidade

• Deliberar sobre aplicação de sanções quando for observado o descumprimento desta política e demais políticas estabelecidas pela área de Segurança da Informação e Privacidade.

Compete aos Colaboradores, Terceiros, Fornecedores e demais partes interessadas pertinentes:

• Cumprir as orientações desta política e demais políticas estabelecidas pela área de Segurança da Informação e Privacidade

• Zelar pela segurança das informações das empresas, informando quaisquer anormalidades percebidas a área de Segurança da Informação e Privacidade.

Compete a área de Segurança da Informação e Privacidade:

• Estabelecer as diretrizes de segurança da informação e privacidade

• Conscientizar as partes interessadas pertinentes sobre a segurança da informação

• Identificar e reportar os riscos referentes à segurança das informações e Privacidade

• Estabelecer controles para mitigação dos riscos

• Manter e melhorar continuamente o sistema de gestão de segurança da informação.

6 - Diretrizes

6.1 - Diretrizes gerais

Esta política demonstra nossa capacidade e integridade em lidar com todas as partes interessadas. Portanto, essa política assegura que:

• As informações estão protegidas contra acesso não autorizado

• A confidencialidade da informação é mantida

• As informações não são divulgadas às entidades não autorizadas por meio de ações deliberadas ou descuidadas

• A integridade das informações é mantida para impedir modificações não autorizadas

• As informações estão disponíveis para usuários autorizados, quando necessário

• Sempre que ocorrer alterações legais, regulamentares, normativas ou contratuais que impactem o negócio do Grupo Almaviva do Brasil, uma análise crítica é realizada a fim de que as adequações, se necessário, sejam realizadas

• Cada indivíduo tenha conhecimento adequado dos controles de gestão, dos controles operacionais e técnicos que ajudam a proteger os recursos e bens tecnológicos de informação do Grupo Almaviva do Brasil

• As metas e objetivos são divulgados para as partes interessadas envolvidas, para que cada indivíduo tenha uma compreensão adequada de seu papel e responsabilidade em relação à segurança da informação e privacidade e à missão do Grupo Almaviva do Brasil

• As políticas, procedimentos e práticas são comunicados às partes envolvidas do Grupo Almaviva do Brasil.

6.2 - Regulamentação

O Grupo Almaviva do Brasil e as partes interessadas envolvidas se comprometem a atender integralmente aos requisitos de segurança da informação e privacidade aplicáveis ou exigidos por regulamentações, estatutos, leis e/ou cláusulas contratuais.

6.3 - Riscos e ameaças

Todos os ativos de informação e associados devem ser periodicamente avaliados e os respectivos riscos ao negócio do Grupo Almaviva do Brasil devem ser mapeados.

Os riscos e ameaças inerentes à segurança da informação e privacidade devem ser tratados através da implementação de controles específicos e devem ser periodicamente reavaliados.

A aceitação de riscos residuais deve ser aprovada pelo gestor e reavaliados periodicamente.

6.4 - Fornecedores

O Grupo Almaviva do Brasil dispõe de processo de avaliação de riscos dos fornecedores críticos.

Essa metodologia visa detectar, avaliar e gerenciar riscos nos serviços ou produtos prestados por fornecedores e que possam impactar diretamente no negócio do Grupo Almaviva do Brasil.

Todos os terceiros devem se comprometer a agir de acordo com a Política de Segurança da Informação, sendo imprescindível que o contrato firmado entre as empresas possua cláusula que assegure a confidencialidade das informações e a adesão à Política de Segurança da Informação.

6.5 - Auditorias

Periodicamente auditorias são realizadas para assegurar a eficácia do Sistema de Gestão de Segurança da Informação e Privacidade e de seus controles, bem como garantir a sua efetiva implementação e manutenção.

6.6 - Continuidade de negócios

Os planos de continuidade de negócios são produzidos, mantidos e testados de acordo com as expectativas da gestão.

6.7 - Classificação da informação

O processo de classificação da informação estabelecido pelo Grupo Almaviva do Brasil tem o objetivo de proteger a informação contra a revelação. Para isso, todo e qualquer tipo de informação criada e/ou armazenada dentro das instalações da empresa deverá ser classificada por uma das seguintes opções:

• Pública

• Interna

• Restrita

• Confidencial

6.8 - Treinamento e conscientização

O Grupo Almaviva do Brasil possui programa de comunicados e treinamentos para todos os colaboradores e partes interessadas apropriadas.

6.9 - Tratamento de incidentes

Os incidentes de segurança ocorridos no Grupo Almaviva do Brasil devem ser reportados para área de Segurança da Informação através dos canais oficiais da empresa, e-mail para Segurança da Informação e Privacidade: sip@almavivadobrasil.com.br, principalmente os casos de indisponibilidade de sistemas e vazamento de informação de clientes.

Considera-se incidente de Segurança da Informação qualquer evento de segurança da Informação que tenha impacto no Grupo Almaviva do Brasil, levando à necessidade de resposta e recuperação. São considerados incidentes de Segurança da Informação e Privacidade ocorrências da seguinte natureza:

• Perda, roubo ou furto de equipamento contendo informações corporativas

• Mau funcionamento ou sobrecarga de sistema devido a ataques internos ou externos

• Uso ou acesso aos sistemas de informação sem autorização

• Não conformidade com políticas e diretrizes de Segurança da Informação e Privacidade

• Desvio dos controles de Segurança da Informação implantados na Almaviva

• Violação de acesso a áreas críticas contendo informações corporativas ou a sistemas.

Os incidentes devem ser priorizados de acordo com a classificação de impacto e criticidade registrados. Dessa forma é possível decidir quando se faz necessário o acionamento do grupo de resposta a incidentes, que por sua vez, decidirá quanto ao acionamento do plano de continuidade de negócios.

6.10 - Segurança da Informação no gerenciamento de projetos

A Segurança da Informação é integrante participativa da elaboração e entrega de qualquer projeto especial ou não, que altere o padrão da infraestrutura do ambiente do Grupo Almaviva do Brasil.

Sendo responsável em avaliar os requisitos ou as necessidades solicitadas, se elas estão em conformidade com os objetivos e diretrizes da Segurança da Informação e estão sendo seguidas em todas as fases dos projetos.

A segurança da informação é responsável em avaliar e identificar os riscos e propor a melhor solução visando atender os objetivos da Segurança da Informação e Privacidade e os objetivos do projeto e/ou negócio.

6.11 - Desenvolvimento seguro de sistemas

O desenvolvimento seguro é um requisito para construir serviço, arquitetura, software e sistema seguros no Grupo Almaviva do Brasil. Para isso, devem ser considerados minimamente aspectos:

• Separação dos ambientes de desenvolvimento, teste e produção

• Segurança no ciclo de vida do desenvolvimento de software

• Requisitos de segurança na fase de especificação e design

• Pontos de verificação de segurança em projetos

• Repositórios seguros para código-fonte e configuração

• Segurança no controle de versão

• Conhecimento e treinamento necessários de segurança de aplicações

• Capacidade dos desenvolvedores para prevenir, encontrar e corrigir vulnerabilidade.

Para os testes de sistemas, selecionar, proteger e gerenciar as informações, considerando:

• Não copiar informações sensíveis nos ambientes de desenvolvimento e teste do sistema, a menos que sejam fornecidos controles equivalentes para os sistemas de desenvolvimento e teste

• Proteger informações sensíveis por remoção ou mascaramento, se usadas para testes.

Se o desenvolvimento for terceirizado, deve ser analisada a garantia de que o fornecedor está de acordo com as regras do Grupo Almaviva do Brasil para o desenvolvimento seguro.

6.12 - Segurança nas comunicações

Todas as comunicações entre os ambientes tecnológicos do Grupo Almaviva do Brasil e as partes interessadas pertinentes devem utilizar canais de comunicações criptografados, utilizando cifras e algoritmos reconhecidamente seguros.

6.12 - Segurança nas comunicações

Todas as comunicações entre os ambientes tecnológicos do Grupo Almaviva do Brasil e as partes interessadas pertinentes devem utilizar canais de comunicações criptografados, utilizando cifras e algoritmos reconhecidamente seguros.

6.13 - Cópias de segurança

Cópias de informações, configuração de softwares e sistemas devem ser mantidas e testadas regularmente de acordo com as políticas específicas sobre backup, permitindo a recuperação de dados ou sistemas, se necessário.

Para prevenir o vazamento de dados, devem ser usadas medidas como criptografia, controle de acesso e proteção física da mídia de armazenamento, quando aplicável.

6.14 - Proteção e privacidade de dados pessoais

Todos os processos existentes no Grupo Almaviva do Brasil que envolvam o tratamento de dados pessoais em qualquer base de dados devem seguir as diretrizes estabelecidas na Política de Privacidade.

6.15 - Análise crítica de segurança da informação

Anualmente, ou sempre que surgir uma mudança significativa no modelo de negócio, deve ser realizado um processo formal de análise crítica da política de segurança da informação.

6.16 - Melhoria contínua

A melhoria contínua do Sistema de Gestão da Segurança da Informação e Privacidade é um compromisso de todos no Grupo Almaviva do Brasil e partes interessadas.

7 - Disposições finais

Qualquer necessidade de ação em desacordo com as regras estabelecidas na Política de Segurança da Informação e na Política Privacidade e suas políticas complementares devem ser direcionadas à Segurança da Informação para análise do risco, seu registro, e envio para a apreciação pela alçada competente e/ou Comitê de Segurança da Informação e Privacidade.

O colaborador que fizer uso indevido ou não autorizado dos recursos das empresas, violar controle de segurança, ou de qualquer modo agir em desacordo com os termos dessa política, fica sujeito à aplicação de medidas disciplinares legalmente previstas, podendo haver responsabilização penal, civil e/ou administrativa, na forma da legislação em vigor.