Política de Segurança da Informação

1. Objetivo

O Programa de Privacidade representa uma medida estratégica essencial para as operações do Serviço Nacional de Aprendizagem Comercial – SENAC no Pará ou simplesmente “SENAC-PARÁ”. A evolução contínua desse sistema requer iniciativas endossadas pela governança, alinhadas às diretrizes estratégicas e à legislação vigente. Essas iniciativas abrangem a avaliação da maturidade do ambiente de Segurança da informação, a gestão de riscos, a continuidade de negócios, o escopo de usuários e o crescimento organizacional, conforme especificado no controle 5.1, “Políticas de segurança da informação”, da seção 5, “Controles organizacionais”, da ABNT NBR ISO/IEC 27002:2022.

A Política de Segurança da Informação (PSI) estabelece os princípios corporativos para a Segurança da Informação dentro do SENAC-PARÁ, com o objetivo de proteger a confidencialidade, integridade e disponibilidade das informações. Todas as áreas de negócio têm a responsabilidade de ajustar seus processos de acordo com os requisitos desta política e com a Lei Geral de Proteção de Dados (LGPD).

Para a efetivação desta política, o SENAC-PARÁ adota os seguintes princípios de Segurança da Informação para proteger todos os ativos de segurança da informação sob sua propriedade ou guarda:

1. ) Confidencialidade: Assegura que as informações sejam acessíveis apenas a pessoas, sistemas, órgãos ou entidades autorizadas.
2. ) Integridade: Assegura que as informações nos recursos tecnológicos não sejam alteradas indevidamente ou destruídas sem autorização, seja de forma intencional ou acidental.
3. ) Disponibilidade: Assegura que as informações estejam acessíveis e utilizáveis para usuários autorizados sempre que necessário.
4. ) Autenticidade: Garantia de que a informação é procedente e fidedigna, sendo capaz de gerar evidências não repudiáveis da identificação de quem a criou, editou ou emitiu.

2. Escopo

Esta Política aplica-se a todos os ativos de informação do SENAC-PARÁ, incluindo pessoal, estrutura física, dados, sistemas e aplicativos, dispositivos e redes.

Seu cumprimento é obrigatório para todos os usuários que acessam, utilizam ou processam informações da organização, bem como para todas as instalações físicas sob administração ou uso do SENAC-PARÁ.

2.1. Institui-se a nova Política de Segurança da Informação do SENAC-PARÁ, com o propósito de definir princípios, diretrizes, responsabilidades e competências para a gestão da segurança da informação.

2.2 Esta Política aplica-se a todas as unidades do SENAC-PARÁ e deve ser observada por todos os usuários de informação, incluindo empregados, prestadores de serviços e demais pessoas autorizadas pela administração.

3. Termos e Definições

1. ) Presidente do Conselho Regional do Senac Pará: Trata-se do mais alto nível de liderança dentro da organização, responsável por estabelecer a direção estratégica e os objetivos de Segurança da Informação e Privacidade.
2. ) Ativo: Qualquer coisa que tenha valor e precisa ser adequadamente protegido.
3. ) Backup: Salvaguarda de informações realizada por meio de reprodução e/ou cópia de uma base de arquivos com a finalidade de recuperação em caso de incidente ou necessidade de restauração.
4. ) Usuário: Empregado, estagiário, prestador de serviço, terceirizado, fornecedor, aprendiz ou qualquer outro indivíduo ou organização que venham a ter relacionamento profissional, direta ou indiretamente com a organização.
5. ) Encarregado pelo Tratamento de Dados Pessoais: Trata-se do designado pela organização para atuar como ponto de contato entre o SENAC-PARÁ, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
6. ) Informação: Conjunto de dados que, processados ou não, podem ser utilizados para produção, transmissão e compartilhamento de conhecimento, contidos em qualquer meio, suporte ou formato.
7. ) Risco: Combinação da probabilidade da concretização de uma ameaça e seus potenciais impactos.
8. ) Segurança da Informação: É a preservação da confidencialidade, integridade, disponibilidade da informação. Visa proteger a informação dos diversos tipos de ameaças para garantir a continuidade dos negócios, minimizar os danos aos negócios, maximizar o retorno dos investimentos e de novas oportunidades de transação.
9. ) Recursos de Tecnologia da Informação e Comunicação: Englobam todos os meios tecnológicos utilizados para processar, armazenar, transmitir e acessar informações, como computadores, redes, sistemas de informação, dispositivos móveis, entre outros.
10. ) Violação: Qualquer atividade que desrespeite as regras estabelecidas nos documentos normativos.
11. ) Lei Geral de Proteção de Dados Pessoais: Conforme seu art. 1°, a LGPD “[...] Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.”

4. Disposições Gerais

Os objetivos da Política de Segurança da Informação são:

1. ) Definir princípios e diretrizes para a proteção dos ativos de informação e dos conhecimentos gerados ou recebidos.
2. ) Estabelecer orientações gerais de segurança da informação, contribuindo para uma gestão eficiente dos riscos e limitando-os a níveis aceitáveis, além de preservar os princípios de disponibilidade, integridade, confiabilidade e autenticidade das informações.
3. ) Determinar competências e responsabilidades relativas à segurança da informação.
4. ) Orientar a criação de normas para a efetiva implementação da segurança da informação.
5. ) Alinhar as ações de segurança da informação às estratégias de planejamento organizacional do SENAC-PARÁ.

5. Princípios e Diretrizes

5.1. É essencial que todos os usuários estejam cientes e comprometidos com o uso seguro e adequado dos ativos de informação do SENAC-PARÁ. Assim, devem assegurar o cumprimento desta Política, Procedimentos de Gestão, Instruções de Trabalho e das leis aplicáveis, quando pertinentes.

5.1. Todas as informações produzidas, acessadas, manipuladas, armazenadas ou descartadas para desenvolvimento das atividades contratadas pelo SENAC-PARÁ, bem como outros ativos tangíveis e intangíveis fornecidos, são propriedade ou estão sob a responsabilidade e uso exclusivo da instituição. Esses recursos devem ser utilizados estritamente para fins corporativos, com o objetivo de atender aos interesses do SENAC-PARÁ, e não podem ser divulgados ou compartilhados sem autorização.

5.1. É proibido o uso de recursos tecnológicos pessoais para manipulação de informações pertencentes ou sob a guarda do SENAC-PARÁ sem autorização. Todos os dados, independentemente de sua natureza, devem circular exclusivamente em ambientes seguros e sob controle do SENAC-PARÁ. Aplicativos, especialmente aqueles vinculados a redes sociais e utilizados em dispositivos pessoais, não devem conter informações confidenciais, evitando assim exposições a vulnerabilidades que possam resultar em incidentes.

5.1. A utilização de mídias sociais para desempenhar responsabilidades profissionais em nome do SENAC-PARÁ deve ser restrita e previamente autorizada, sendo permitida somente quando imprescindível e alinhada aos objetivos da instituição, conforme as diretrizes expostas nesta Política. Todas as atividades nesse contexto devem ser realizadas exclusivamente por meio dos recursos de Tecnologia da Informação e Comunicação (TIC) do SENAC-PARÁ.

5.1. É expressamente proibido utilizar, acessar, armazenar ou divulgar materiais discriminatórios, pornográficos, maliciosos, obscenos, ofensivos, ilegais ou que contrariem os princípios estabelecidos pelo SENAC-PARÁ e pela legislação vigente.

5.1. O SENAC-PARÁ se reserva o direito de monitorar ou auditar, sem aviso prévio, o uso dos recursos tecnológicos sob sua propriedade ou custódia, bem como as informações armazenadas em discos locais, na rede corporativa e nos serviços de armazenamento em nuvem corporativa.

5.1. Qualquer uso de documentos internos, softwares, desenhos industriais, marcas, identidade visual ou outros sinais distintivos presentes ou futuros do SENAC-PARÁ, em qualquer meio, incluindo a Internet e mídias sociais, deve ser previamente e expressamente autorizado pelo SENAC-PARÁ e estar alinhado aos seus interesses.

6. Gestão de Segurança da Informação

6.1. O Programa de Privacidade do SENAC-PARÁ é constituído, no mínimo, pelas seguintes diretrizes:

1. ) Privacidade e proteção de dados pessoais.
2. ) Tratamento da informação.
3. ) Segurança física e lógica dos ambientes.
4. ) Gestão de incidentes em segurança da informação e privacidade de dados pessoais.
5. ) Gestão de ativos.
6. ) Gestão do uso dos recursos de tecnologia da informação e comunicação (TIC).
7. ) Backup das informações.
8. ) Controles de acesso.
9. ) Gestão de riscos.
10. ) Avaliação de fornecedores.
11. ) Gestão de continuidade do negócio.
12. ) Gestão de mudanças.
13. ) Melhoria contínua.
14. ) Auditoria e conformidade.

6.2. Os controles de segurança da informação devem abordar, no mínimo, os seguintes aspectos:

1. ) Conformidade com as diretrizes dispostas na LGPD e com os normativos e orientações emitidos pela Autoridade Nacional de Proteção de Dados (ANPD).
2. ) Classificação da informação de acordo com seu nível de confidencialidade e criticidade, entre outros fatores, para definir os controles de segurança apropriados.
3. ) Proteção dos dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
4. ) Uso aceitável da informação e utilização de mídias de armazenamento.
5. ) Entrada e saída de ativos de informação das instalações do SENAC-PARÁ.
6. ) Perímetros de segurança de todas as unidades do SENAC-PARÁ.
7. ) Controles de acesso com base no princípio do menor privilégio.
8. ) Etapas de identificação, contenção, erradicação, recuperação e atividades pós-incidente.
9. ) Critérios para a comunicação de incidentes aos titulares de dados pessoais e à ANPD.
10. ) Plano de Gestão de Incidentes de Segurança, considerando diferentes cenários.
11. ) Política de Gestão de Ativos do SENAC-PARÁ, abrangendo a proteção dos ativos, classificação de acordo com a criticidade, manutenção de inventário atualizado, incluindo tipo, localização, responsável ou custodiante, e status de segurança; uso aceitável dos ativos, vedado o uso para fins pessoais; mapeamento de vulnerabilidades e ameaças, monitoramento conforme princípios de Segurança da Informação e privacidade; e investigação em caso de suspeita de violação de segurança e/ou privacidade.
12. ) Uso adequado dos recursos operacionais e de comunicação fornecidos pelo SENAC-PARÁ, exclusivamente para fins profissionais e em conformidade com os princípios éticos e profissionais da instituição, evitando comportamentos antiéticos, discriminatórios, ofensivos ou que possam comprometer sua reputação.
13. ) Regras para uso de e-mail, envio de informações confidenciais, instalação de software e antivírus.
14. ) Regras para acesso à internet, download de arquivos, uso restrito a sites adequados e proibição da instalação de software não autorizado.
15. ) Uso de mídias sociais, divulgação de informações, uso de contas pessoais para fins profissionais e interações com estranhos.
16. ) Regras para uso da computação em nuvem, seleção de provedores, segurança dos dados e conformidade com leis e regulamentos aplicáveis.
17. ) Regras de controle de acesso, incluindo o uso de Autenticação Multifatorial (MFA), controles de autorização com base no menor privilégio, segregação de funções, auditoria, rastreamento, verificação de acessos, e desligamento ou afastamento de empregados e parceiros que operam ativos de informação do SENAC-PARÁ.
18. ) Gestão dos riscos de segurança da informação, abrangendo a análise dos ambientes, dos ativos e das ameaças, adoção de metodologia para identificar e documentar riscos, incluindo descrição, origem, impacto potencial e probabilidade, avaliação de riscos para determinar prioridades e tratamento, que pode incluir mitigação com controles de segurança ou aceitação de riscos.
19. ) Gestão de Continuidade de Negócios, incluindo o Plano de Continuidade para garantir que o SENAC-PARÁ possa manter suas atividades em caso de incidente de segurança e a realização de testes periódicos para validar o plano.
20. ) Gestão de Mudanças nos ativos de informação, embasada nos relatórios de avaliação de riscos, com definição de papéis e responsabilidades para avaliação, aprovação, implementação de mudanças e criação de processo formal para solicitação e documentação de mudanças.
21. ) Auditoria e conformidade abrange as unidades do SENAC-PARÁ, aspectos a serem verificados, ações necessárias, documentos para fundamentação e responsabilidades, além de relatórios de conformidade detalhando status e recomendações.

6.2.1. O SENAC-PARÁ realizará auditorias internas periódicas de segurança da informação para assegurar a conformidade com esta Política e demais requisitos aplicáveis sempre que necessário.

7. Responsabilidades

7.1 Presidente do Conselho Regional do Senac Pará

1. ) Disponibilizar os recursos necessários para garantir o desenvolvimento e a implementação da Gestão de Segurança da Informação no SENAC-PARÁ, assegurando que as ações e decisões de segurança da informação sejam tratadas com a devida relevância e prioridade.
2. ) Submeter a Política de Segurança da Informação do SENAC-PARÁ para homologação do Conselho Regional, incluindo suas revisões e atualizações.

7.2 Comitê de Segurança da Informação e Privacidade de Dados (CSIPD)

1. ) Assessorar na implementação das ações de segurança da informação.
2. ) Formar grupos de trabalho para tratar de temas específicos e propor soluções direcionadas em segurança da informação.
3. ) Contribuir para a elaboração da Política de Segurança da Informação e das normas internas de segurança da informação.
4. ) Propor revisões na Política de Segurança da Informação e nas normas internas de segurança.
5. ) Deliberar sobre as normas internas de segurança da informação.
6. ) Avaliar as ações propostas pelo gestor de segurança da informação.

7.3 Gestor de Segurança da Informação

1. ) Coordenar a elaboração da Política de Segurança da Informação e dos demais controles documentados de segurança da informação, observando a legislação vigente e as melhores práticas sobre o tema.
2. ) Assessorar a Alta Direção na implementação da Política de Segurança da Informação.
3. ) Incentivar ações de capacitação e profissionalização de recursos humanos em temas relacionados à segurança da informação.
4. ) Promover a divulgação da política e dos demais controles documentados de segurança da informação para todos os usuários e prestadores de serviços do SENAC-PARÁ.
5. ) Fomentar estudos sobre novas tecnologias e avaliar seus possíveis impactos na segurança da informação.
6. ) Propor os recursos necessários para a execução das ações de segurança da informação.
7. ) Acompanhar as atividades da Equipe de Resposta a Incidentes de Segurança e Privacidade.
8. ) Avaliar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação.
9. ) Acompanhar a aplicação de ações corretivas e administrativas nos casos de violação da segurança da informação.

7.4 Encarregado pelo Tratamento de Dados Pessoais

1. ) Fiscalizar o cumprimento das normas estabelecidas na presente política no que se refere à proteção e à privacidade de dados pessoais.
2. ) Determinar aos setores responsáveis melhorias nos procedimentos relacionados à proteção e à segurança no tratamento de dados pessoais, traçando diretrizes mais protetivas quando se tratar de dados pessoais sensíveis.
3. ) Manter-se atualizado quanto às tecnologias empregadas pelo SENAC-PARÁ na proteção e privacidade dos dados pessoais, bem como sugerir ao Comitê de Segurança da Informação e Privacidade de Dados (CSIPD) novas tecnologias sempre que entender pertinente.
4. ) Informar o Comitê de Segurança da Informação e Privacidade de Dados (CSIPD) sempre que identificar qualquer falha de segurança, atual ou potencial, à privacidade, disponibilidade e/ou integridade de dados pessoais.
5. ) Manter planos de adequação à LGPD atualizados em conformidade com os controles documentados de segurança da informação.

7.5 Usuários

1. ) Proteger ativamente as informações confidenciais do SENAC-PARÁ, mantendo a confidencialidade, integridade, disponibilidade e autenticidade dos dados a que tenham acesso.
2. ) Seguir rigorosamente esta Política, os demais controles documentados de segurança da informação e o Programa de Privacidade estabelecidos pelo SENAC-PARÁ.
3. ) Reportar imediatamente quaisquer incidentes de Segurança da Informação, suspeitas de violação ou comportamentos inadequados.
4. ) Participar dos treinamentos e atividades de conscientização em Segurança da Informação e Privacidade para manter-se atualizado sobre as melhores práticas e ameaças emergentes, quando aplicável.
5. ) Usar apenas os recursos de tecnologia da informação e comunicação autorizados e não alterar quaisquer medidas de segurança em suas atividades cotidianas.

8. Vedações

8.1. É proibido utilizar os recursos de tecnologia da informação e comunicação disponibilizados pelo SENAC-PARÁ para acessar, armazenar ou divulgar material que seja incompatível com o ambiente de trabalho, infrinja direitos autorais ou viole a legislação vigente.

8.2. Não é permitido o uso ou a instalação de recursos de tecnologia da informação que não tenham sido homologados ou adquiridos pelo SENAC-PARÁ.

8.3. É vedada a divulgação a terceiros de mecanismos de identificação, autenticação e autorização, como contas, senhas ou certificações digitais, que sejam de uso pessoal e intransferível e fornecidos aos usuários.

8.4. É proibido explorar vulnerabilidades identificadas, que devem ser imediatamente comunicadas aos gestores departamentais.

8.5. Denúncias de violações a esta política devem ser feitas no canal de ética, cujo link é: https://www.contatoseguro.com.br/pt/senacpa.

8.6. O cumprimento desta Política e de seus normativos complementares deve ser avaliado periodicamente pelo SENAC-PARÁ através de verificações de conformidade, visando assegurar o cumprimento dos requisitos de segurança da informação e das cláusulas de responsabilidade e sigilo presentes em termos de responsabilidade, contratos, convênios, acordos e instrumentos afins.

8.7. O descumprimento desta política ou de seus instrumentos normativos correlatos sujeita o infrator a sanções administrativas conforme a legislação aplicável, sem prejuízo das responsabilidades civil e penal, assegurando-se o contraditório e a ampla defesa.

8.8. Esta política será revisada periodicamente, ao menos a cada quatro anos, ou com maior frequência, conforme necessário, para refletir alterações no ambiente do SENAC-PARÁ, nos riscos à segurança da informação e nas melhores práticas do setor.

9. Controle de Versionamento

Esta política será revisada conforme os critérios do item 8.8, levando em consideração a data de sua aprovação, a fim de manter sua relevância e eficácia contínuas.

10. Disposições Finais

10.1. O presente documento deve ser lido e interpretado sob a égide das leis brasileiras, no idioma português, em conjunto com as normas, políticas e procedimentos de gestão aplicáveis pelo SENAC-PARÁ.

10.2. Os casos omissos serão avaliados pelo Comitê de Segurança da Informação e Proteção de Dados (CSIPD) para posterior deliberação.

10.3. Qualquer dúvida relativa às disposições anteriores deve ser encaminhada para o endereço eletrônico gsi@pa.senac.br.

10.4. Esta política entra em vigor na data de sua publicação.

11. Documentos Complementares

12. Registros