Política de segurança da informação

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO – USINA CERRADÃO S.A.

1. OBJETIVO
Garantir a disponibilidade, integridade, confidencialidade, legalidade e autenticidade das informações necessárias para a realização dos negócios da Usina Cerradão S.A.

2. ABRANGÊNCIA
Aplica-se a todo e qualquer usuário de recursos computacionais da empresa, incluindo trabalhos executados externamente ou por terceiros, que utilize infraestrutura, ambiente de dados ou com acesso às informações descritas nesta Política de Segurança.

3. CONCEITOS
A segurança da informação é aqui caracterizada pela preservação dos seguintes conceitos:

• Confidencialidade: Garante que a informação seja acessível somente pelas pessoas autorizadas, pelo período necessário;
• Disponibilidade: Garante que a informação esteja disponível para as pessoas autorizadas sempre que se faça necessário;
• Integridade: Garante que a informação esteja completa e íntegra e que não tenha sido modificada ou destruída de maneira não autorizada ou acidental durante o seu ciclo de vida.

4. DEFINIÇÕES
Informação: Organização de dados (eletrônicos ou físicos) ou registros de um sistema.

Ativos de Informação: Conjunto de informações, armazenado de modo que possa ser identificado e reconhecido como valioso para a empresa.

Sistemas de informação: São sistemas computacionais utilizados pela empresa para suportar suas operações.

Segregação de funções: consiste na separação entre as funções de autorização, aprovação de operações, execução, controle e contabilização, de tal maneira que nenhum colaborador, estagiário ou prestador de serviço detenha poderes e atribuições em desacordo com este princípio.

5. CLASSIFICAÇÃO DA INFORMAÇÃO
Toda informação produzida no desenvolvimento das atividades da empresa deve ser classificada de acordo com os níveis de confidencialidade abaixo:

1. Pública: É toda informação que pode ser acessada por usuários da organização, clientes, fornecedores, prestadores de serviços e público em geral. Por exemplo: informações disponíveis na página da Internet ou no jornal distribuído nas dependências da empresa.
2. Interna: É toda informação que só pode ser acessada por colaboradores da organização e que possui um grau de confidencialidade que pode comprometer a imagem da organização. Exemplo: boletim diário de produção.
3. Confidencial: É toda informação que pode ser acessada por usuários da organização e por parceiros da organização especificamente autorizados. A divulgação não autorizada dessa informação pode causar impacto (financeiro, de imagem ou operacional) ao negócio da organização ou ao negócio do parceiro. Exemplo: propostas comerciais.
4. Restrita: É toda informação que pode ser acessada somente por usuários da organização explicitamente indicados pelo nome ou por área de atuação. A divulgação não autorizada dessa informação pode causar graves danos ao negócio e/ou comprometer a estratégia de negócio da organização. Exemplo: dados da folha de pagamento são de acesso restrito apenas ao setor de RH.

6. RESPONSABILIDADES
De forma geral, cabe a todos os administradores, colaboradores, estagiários e prestadores de serviços:

• Cumprir fielmente a Política de Segurança da Informação da Usina Cerradão S.A.;
• Proteger as informações contra acessos, modificação, destruição ou divulgação não autorizados;
• Assegurar que os recursos tecnológicos, as informações e sistemas à sua disposição sejam utilizados apenas para as finalidades aprovadas pela Usina Cerradão S.A;
• Cumprir as leis e as normas que regulamentam a propriedade intelectual;
• Não discutir assuntos confidenciais de trabalho em ambientes públicos ou em áreas expostas (aviões, transporte, restaurantes, encontros sociais etc.), incluindo a emissão de comentários e opiniões em blogs e redes sociais;
• Não compartilhar informações confidenciais de qualquer tipo;
• Comunicar imediatamente à área de Gestão de Segurança da Informação qualquer descumprimento ou violação desta Política e/ou de suas Normas e Procedimentos.

É dever de todos dentro da Usina Cerradão S.A.: Considerar a informação como sendo um ativo da organização, um dos recursos críticos para a realização do negócio, que possui grande valor para a empresa e deve sempre ser tratada profissionalmente.

É de responsabilidade do Gerente/Coordenador de cada área: Classificar a informação (relatórios, documentos, modelos, procedimentos, planilhas) gerada por sua área de acordo com o nível de confidencialidade estabelecido neste documento e repassar ao Comitê de LGPD quais as operações de dados tem relacionamento com dados pessoais.

São boas práticas:

• Bloquear o acesso ao computador sempre que sair da sua mesa de trabalho, mesmo que por alguns minutos;
• Manter mesas organizadas e documentos com informações confidenciais trancados, quando não os estiver utilizando.

7. DIRETRIZES GERAIS
1. DADOS PESSOAIS DE COLABORADORES
A Usina Cerradão se compromete em não acumular ou manter intencionalmente dados pessoais de colaboradores além daqueles relevantes na condução do seu negócio. Todos os dados pessoais de colaboradores serão considerados confidenciais.

Os dados pessoais de colaboradores sob a responsabilidade da Usina Cerradão S.A não serão usados para fins diferentes daqueles para os quais foram coletados.

Dados pessoais de colaboradores não serão transferidos para terceiros, exceto quando exigido pelo nosso negócio, e desde que tais terceiros mantenham a confidencialidade dos referidos dados.

2. PROGRAMAS ILEGAIS
É terminantemente proibido o uso de programas ilegais (software pirata) na Usina Cerradão S.A. Os usuários não podem, em hipótese alguma, instalar ou acessar este tipo de programa nos equipamentos da empresa.

Periodicamente, o Departamento de Tecnologia da Informação fará verificações nos dados dos servidores e/ou nos computadores dos usuários, visando garantir a correta aplicação desta diretriz.

8. ADMISSÃO/DEMISSÃO DE COLABORADORES
Na admissão de colaboradores, para que os mesmos possam ser cadastrados nos sistemas da empresa, o gestor da área deve informar o Departamento de Tecnologia da Informação através de chamado no help-desk, informando quais acessos e privilégios serão necessários.

Departamento de Tecnologia da Informação fará o cadastramento e informará ao novo usuário qual será a sua primeira senha, que deverá ser trocada pelo usuário no seu primeiro acesso.

No desligamento de colaboradores, o RH deve informar ao Departamento de Tecnologia da Informação para que sejam feitos retirados os privilégios e excluídas as contas do colaborador a ser desligado.

Cabe ao setor de RH dar conhecimento e obter as devidas assinaturas de concordância dos novos contratados em relação à Política de Segurança da Informação.

9. CONCESSÃO E REVOGAÇÃO DE ACESSOS
Quando houver necessidade de concessão ou revogação de acesso aos sistemas, repositórios de arquivos de trabalho e/ou equipamentos de informática, o setor solicitante comunicará esta necessidade ao Departamento de Tecnologia da Informação, por meio de chamado via help-desk.

10. POLÍTICA DE SENHAS
Recomendamos que as senhas tenham sempre no mínimo de 8 (oito) caracteres alfanuméricos, contendo pelo menos uma letra maiúscula e um caractere especial.

Recomendamos que as senhas também sejam ser trocadas pelos usuários a cada 3 meses, não devendo se repetir as senhas definidas nos últimos 12 meses.

Sempre que um usuário é desligado da organização, todas as suas senhas e acessos são revogados no mesmo dia.

11. ARQUIVOS DE TRABALHO
Os arquivos de trabalho, considerados dados essenciais ao desenvolvimento do negócio, são mantidos nos servidores de arquivos.

O acesso fora das dependências Usina Cerradão S.A. é bloqueado e proibido, salvo se realizado através de VPN, com a devida permissão do Grupo Gestor da Segurança da Informação.

12. ARQUIVOS INDIVIDUAIS
São considerados arquivos individuais aqueles criados, copiados ou desenvolvidos pelos usuários, que não sejam parte integrante do produto entregável pelo seu trabalho, seja ele interno ou para clientes.

Alguns exemplos são: rascunhos ou lembretes, memórias de cálculo, mensagens, diagramas ou instruções técnicas. A cópia de segurança destes arquivos é de responsabilidade dos próprios usuários.

Não é permitido aos usuários o uso ou armazenamento dos tipos de arquivos abaixo relacionados em suas estações de trabalho:

• Programas não licenciados ou não homologados para uso na Usina Cerradão S.A.;
• Músicas, filmes, séries, programas de TV;
• Vídeos não relacionados à atividade profissional;
• Conteúdo pornográfico ou relacionado a sexo.

13. COMPARTILHAMENTO DE PASTAS E DADOS
O compartilhamento de pastas e arquivos de trabalho cujo conteúdo seja classificado como sendo de informação CONFIDENCIAL ou RESTRITA é proibido através os seguintes meios:

• Google Talk, WhatsApp, Viber ou qualquer outro comunicador de mensagens instantâneas;
• Compartilhamento de pastas do Windows;
• Bluetooth;
• Cópia via pen drive ou qualquer outro dispositivo removível;
• Google Drive, Dropbox, iCloud, OneDrive ou qualquer outro drive virtual.

Havendo necessidade de se realizar o compartilhamento de dados entre usuários internos, deve ser utilizado o caminho de rede: p:\publico ou em caso de dados confidenciais entre departamentos, o caminho a ser utilizado será G:\”nome do departamento”

14. CÓPIAS DE SEGURANÇA, RECUPERAÇÃO E INTEGRIDADE DOS SISTEMAS E DE SEUS BANCOS DE DADOS

Cópias de segurança dos sistemas, repositórios de arquivos de trabalho, bancos de dados e configurações dos equipamentos e servidores de rede são de responsabilidade exclusiva do Departamento de Tecnologia da Informação.

15. USO DA INTERNET
O uso da Internet, nos equipamentos ou nas dependências da empresa, será monitorado pelo Departamento de Tecnologia da Informação, através do uso de sistema de registro de navegação que informa qual usuário está conectado, o tempo que usou a Internet e qual página acessou.

Os usuários devem se assegurar de que não estão executando ações que possam infringir direitos autorais, marcas, licença de uso de software ou de patentes de terceiros.

Quando navegando na Internet, é proibido a visualização, transferência (downloads), cópia ou qualquer outro tipo de acesso a sites:

• Estações de rádio (*);
• De jogos on-line;
• De conteúdo pornográfico ou relacionados a sexo;
• Que defendam atividades ilegais;
• Que menosprezem, depreciem ou incitem o preconceito a determinadas classes ou indivíduos;
• Que promovam a participação em salas de discussão de assuntos relacionados aos negócios da Usina Cerradão S.A., que não contenham informações que agreguem conhecimento profissional e/ou para o negócio.

Qualquer acesso às redes sociais que não seja relacionado com a área de interesse da empresa não é permitido e, sendo assim, será passível de punição.

16. USO DO CORREIO ELETRÔNICO – (“e-mail”)
O correio eletrônico fornecido pela Usina Cerradão S.A. é um instrumento de comunicação interna e externa para a realização dos negócios da empresa.

As mensagens devem ser escritas em linguagem profissional, não devem comprometer a imagem da Usina Cerradão S.A. e não podem ser contrárias à legislação vigente.

O uso do correio eletrônico e toda mensagem enviada é de reponsabilidade do usuário da conta.

Não é permitido o cadastro de contatos pessoais nos sistemas de mensagens instantâneas (ao utilizar a conta profissional @usinacerradao.com.br ou @usinacerradao.com); e nem a utilização de contas pessoais.

É terminantemente proibido o envio de mensagens que:

• Contenham declarações difamatórias e linguagem ofensiva;
• Possam trazer prejuízos a outras pessoas;
• Sejam hostis;
• Sejam relativas a “correntes” de conteúdos pornográficos ou ofensivos;
• Possam prejudicar a imagem da Usina Cerradão S.A. e/ou de outras empresas;
• Sejam incoerentes com as políticas estabelecidas no “Código de Ética e Conduta” da Usina Cerradão S.A.

Não será permitido o uso de e-mail gratuitos (Yahoo!, Hotmail, etc.), nos computadores da Usina Cerradão S.A.

17. NECESSIDADES DE NOVOS SISTEMAS, APLICATIVOS E/OU EQUIPAMENTOS
Qualquer necessidade de novo “software” ou “hardware” deverá ser discutida com os responsáveis pelo Departamento de Tecnologia da Informação. Não é permitida a compra ou o desenvolvimento de “softwares” diretamente pelos usuários.

18. USO DE EQUIPAMENTOS DE PROPRIEDADE DA EMPRESA
Os usuários que estiverem de posse de qualquer equipamento (desktop, notebook, celular ou tablet) de propriedade da Usina Cerradão S.A. devem estar cientes de que:

• Os recursos de tecnologia da informação, disponibilizados para os usuários, têm como objetivo a realização de atividades profissionais;
• A proteção do recurso computacional de uso individual é de responsabilidade do próprio usuário;
• É de responsabilidade de cada usuário assegurar a integridade do equipamento, a confidencialidade e disponibilidade da informação contida no mesmo;
• O usuário não deve alterar a configuração do equipamento recebido;
• O usuário não deve instalar ou remover nenhum programa do equipamento recebido e também não deve alterar a configuração de nenhum programa previamente instalado.

Fora do trabalho:

• Mantenha o equipamento sempre com você;
• Atenção em hall de hotéis, aeroportos, aviões, táxi e etc.
• Quando transportar o equipamento em automóvel utilize sempre o porta-malas ou lugar não visível;
• Atenção ao transportar o equipamento na rua.

Em caso de furto

• Registre a ocorrência em uma delegacia de polícia;
• Comunique ao seu superior e o Departamento de Tecnologia da Informação o mais rápido possível;
• Envie uma cópia do boletim de ocorrência para o RH.

19. RESPONSABILIDADES DOS GERENTES/COORDENADORES
Os gerentes e supervisores são responsáveis pelas definições dos direitos de acesso de seus subordinados aos sistemas e informações da empresa, cabendo a eles verificarem se os mesmos estão acessando exatamente os sistemas e as áreas de dados compatíveis com as suas respectivas funções, usando e conservando adequadamente os equipamentos, e mantendo cópias de segurança de seus arquivos individuais, conforme estabelecido nesta política.

20. SISTEMA DE TELECOMUNICAÇÕES
O controle de uso, a concessão de permissões e a aplicação de restrições em relação aos ramais telefônicos da Usina Cerradão S.A., assim como, o uso de eventuais ramais virtuais instalados nos computadores, é responsabilidade do Departamento de Tecnologia da Informação, de acordo com as definições da administração da empresa.

21. USO DE ANTIVÍRUS
Todo arquivo obtido através da Internet ou recebido de entidade externa à Usina Cerradão S.A. deve ser verificado por programa antivírus.

Todas as estações de trabalho possuem software antivírus instalado. A sua atualização será automática, agendada pelo Departamento de Tecnologia da Informação, via rede.

Não é permitido ao usuário, em hipótese alguma, desabilitar o programa antivírus instalado nas estações de trabalho.

22. VIOLAÇÃO DA POLÍTICA DE SEGURANÇA
É qualquer ato que:

• Exponha a empresa a uma perda monetária ou informacional efetiva ou potencial por meio do comprometimento da segurança dos dados ou de informações ou ainda da perda de equipamento;
• Envolva a revelação de dados ou informações confidenciais ou uso não autorizado de dados corporativos;
• Envolva o uso de dados para propósitos ilícitos, que venham a incluir a violação de qualquer lei, regulamento ou qualquer outro dispositivo governamental.

23. PENALIDADES
O não cumprimento desta Política de Segurança da Informação implica em falta grave e poderá resultar nas seguintes ações: advertência formal, suspensão, rescisão do contrato de trabalho, sem prejuízo das devidas responsabilizações cíveis e criminais.

24. VIGÊNCIA
O disposto no presente documento entrará em vigor na data de publicação do comunicado que o anunciar e a exigibilidade de seu cumprimento se dará a partir da assinatura do “TERMO DE COMPROMISSO PARA SEGURANÇA DA INFORMAÇÃO E PROTEÇÃO DE DADOS PESSOAIS”.