– PSI –
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

Documento de uso interno, cabível a todas as pessoas que se relacionam com a TopMed, sejam elas colaboradores, funcionários, sócios, diretores, parceiros ou fornecedores

1. Introdução

1.1 A TOPMED ASSISTÊNCIA A SAÚDE LTDA (TopMed) é especializada em atendimento em saúde à distância, com soluções inovadoras em serviços de assistência, gestão em saúde e terceirização de processos. Atende operadoras e autogestões, setor público, corporativo, seguradoras e outros. É a empresa privada de maior relevância em telessaúde no Brasil, operando desde 2008 com serviços de saúde remoto.

1.2 A TopMed entende que a informação corporativa é um bem essencial para suas atividades e para resguardar a qualidade e garantia dos produtos e serviços ofertados a seus clientes.

1.3 A TopMed compreende que a manipulação de sua informação passa por diferentes ativos, meios de suporte, armazenamento e comunicação, sendo estes vulneráveis a fatores externos e internos que podem comprometer a segurança das informações corporativas.

1.4 Dessa forma, a TopMed estabelece sua Política de Segurança da Informação, como parte integrante do seu sistema de gestão corporativo, alinhada as boas práticas e normas internacionalmente aceitas, com o objetivo de garantir níveis adequados de proteção a informações da organização ou sob sua responsabilidade.

1.5 O objetivo deste documento é definir diretrizes de Segurança da Informação da TopMed, garantindo que os recursos de informática e respectivas informações sejam usados de maneira adequada, conforme as normas desta empresa, a fim de manter o controle e nortear comportamentos para garantir a proteção das informações desta organização. As orientações, ações, responsabilidades e determinações foram aprovadas e divulgadas por decisão e aprovação da Diretoria Executiva, que apoia e fomenta as iniciativas necessárias ao alcance dos objetivos de segurança estabelecidos.

1.6 Todos os usuários dos sistemas, plataformas e ativos de tecnologia da TopMed devem conhecer as regras para utilização das informações, evitando a exposição de qualquer informação confidencial, que possa prejudicar a TopMed e respectivas partes interessadas.

2. Propósito

2.1 Esta política tem por proposito estabelecer diretrizes e normas de Segurança da Informação que permitam aos colaboradores da TopMed adotar padrões de comportamento seguro, adequados às metas e necessidades da TopMed.

2.2 Orientar quanto à adoção de controles e processos para atendimento dos requisitos para Segurança da Informação.

2.3 Resguardar as informações da TopMed, garantindo requisitos básicos de confidencialidade, integridade e disponibilidade.
2.4 Prevenir possíveis causas de incidentes e responsabilidade legal da instituição e seus colaboradores, clientes e parceiros.

2.5 Minimizar os riscos de perdas financeiras, de participação no mercado, da confiança de clientes ou de qualquer outro impacto negativo no negócio da TopMed como resultado de falhas de segurança.

2.6 Buscar atender os cinco princípios da segurança da informação: confidencialidade, disponibilidade, integridade, autenticidade e legalidade.

3. Documentos de referência

3.1 As diretrizes que norteiam a Política de Segurança da Informação se baseiam no COBIT – Conjunto de Conceitos Dirigidos para Gestão de Tecnologia da Informação, mantido pela ISACA (Information Systems Auditand Control Association); e Normas da família ISO2/IEC3 27001 que apontam os padrões internacionais de boas práticas para gestão de segurança da informação, diretrizes e princípios gerais, assim como requisitos mandatórios e recomendações; e na Lei Geral de Proteção de Dados – LGPD4.

3.2 Esta política visa preservar a integridade, confidencialidade de todas as informações dos documentos recebidos, criados, emitidos, impressos e/ou reproduzidos no âmbito da TopMed, incluindo informações contidas em formato físico, eletrônico ou magnético, e informações que não são diretamente reveladas, tais como: informações técnicas, escopos de projetos, relatórios, ativos físicos, e conteúdo gerado em decorrência das atribuições da função; além dos respectivos equipamentos de tecnologia da informação, utilizando-se de mecanismos de controles, boas práticas e procedimentos.

4.Abrangência

4.1 A abrangência desta política aplica-se para todas as pessoas que se relacionam com a TopMed, sejam elas colaboradores, funcionários, sócios, diretores, parceiros ou fornecedores. Deve ser lida e conhecida por todos os usuários de equipamentos, softwares, aplicativos, ativos de tecnologia e telecomunicações e meios de tecnologia.

5. Glossário, conceitos e definições

5.1 TI ou TIC: Sigla de “Tecnologia da Informação” ou “Tecnologia da Informação e Comunicação”.

5.2 Serviços e Recursos: equipamentos utilizados, a rede lógica, os aplicativos de disseminação de informação, e-mails do domínio, link de internet, sistemas e afins.

5.3 Informação Confidencial: Refere-se a informações que devem ficar restritas ao ambiente da empresa e acessível apenas àqueles autorizados a ter acesso.

5.4 Autenticidade: A autenticidade é a medida de proteção de um serviço ou informação contra a personificação por intrusos. O controle de autenticidade está associado com identificação de um usuário ou computador.

5.5 Integridade: É a proteção da exatidão da informação e dos métodos de processamento.

5.6 Disponibilidade: É a garantia de que as pessoas autorizadas tenham acesso às informações, bem como aos bens associados, quando requerido.

5.7 Usuário: pessoa que acessa ou utiliza de forma legítima e autorizada as informações.

5.8 Negócio, Empresa ou TopMed: Referem-se a TopMed e respectivas Unidades de Negócios.

5.9 Encriptar ou Criptografia: converter informações, usando um código ou algoritmo matemático, em algo incompreensível por meio de uma chave, resultando em que apenas o possuidor da chave possa reconverter as informações a um estado compreensível.

5.10 Informações Confidenciais: são todas as informações reveladas ou fornecidas, direta ou indiretamente em uma relação comercial ou de negócios, à CONTRATADA, pela CONTRATANTE e suas respectivas pessoas autorizadas, independentemente de expressa classificação como “Confidencial”, incluindo informações verbais, ou contidas em formato físico, eletrônico ou magnético, e informações que não são diretamente reveladas, tais como: informações técnicas, escopos de projetos, relatórios, ativos físicos, e conteúdo gerado em decorrência da disponibilização da solução.

5.11 Legislação Aplicável: toda lei ou norma relativa à segurança da informação, proteção e tratamento de dados e privacidade, incluindo, mas sem limitar-se, a Constituição Federal do Brasil, o Marco Civil da Internet (Lei nº 12.965), o Decreto do Marco Civil da Internet (Decreto nº 8.771/16), a Lei do Software (Lei nº 9.609) e a Lei que versa sobre Propriedade Industrial (Lei nº 9.279) e a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

5.12 Metadado: dado ou conjunto de dados necessários para identificar o escopo, autenticidade e integridade de informações ou registros, tais como nome de arquivo, localização de arquivo, formato do arquivo, tipo do arquivo, tamanho do arquivo, cronologia do arquivo, permissões de segurança do arquivo, autor, data de criação, local de criação, conteúdo, forma, dimensões, assim como informações inteligíveis por sistemas computacionais.

5.13 Segurança da Informação: medidas preventivas tecnológicas, físicas, administrativas e processuais do fornecedor, incluindo, mas não limitadas às políticas, procedimentos, padrões, controles, hardware, software, firmware e medidas de segurança física, que visam proteger e garantir a confidencialidade, a integridade, a disponibilidade ou a acessibilidade de informações e dados, através de tecnologia, processos e pessoas, detectando, prevenindo e respondendo às ameaças digitais, além de práticas que mantém os dados informações em sigilo, e à defesa do que não é público.

5.14 Violação de Segurança da Informação: qualquer suspeita real ou razoável de acesso, utilização, alteração, divulgação ou compartilhamento não autorizado de informações de propriedade ou sob a responsabilidade das Partes, evento no qual uma informação confidencial ou não, é colocada em risco, seja no formato eletrônico ou em papel, tendo como causa, mas não se limitando isso, como: ataques maliciosos ou criminosos, erro humano, falha no sistema ou na plataforma. Violação de Segurança da Informação está também atrelado a vazamento de dados, originadas também por descuido humano, ataques de engenharia social, phishing dentre outros meios que hackers e criminosos digitais fazem uso.

5.15 Incidente de segurança: evento não planejado que pode acarretar prejuízos a TopMed ou mesmo violar as regras de segurança.

5.16 Equipamento de TI: hardware e seus periféricos, ativos de TI e aparelhos.

5.17 Recursos de TI ou Recursos de Informática: Recursos eletrônicos físicos e lógicos, periféricos e softwares relacionados com a Informática ou Tecnologia da Informação, telefonia e telecomunicação, banco de dados e rede de comunicação e suas partes.

5.18 Área de TI: Compreende o setor, tecnologias e pessoas de Tecnologia da Informação da TopMed.

5.19 Áreas sensíveis: são áreas ou setores que concentram uma quantidade considerável de informações estratégicas para o negócio.

5.20 PSI: Política de Segurança da Informação.

5.21 PCN: Plano de Continuidade de Negócios.

5.22 Confidencialidade: garantia de que a informação é acessível somente por pessoas autorizadas a terem acesso.

5.23 Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes.

5.24 Firewall: é um dispositivo de segurança da rede que monitora o tráfego de rede de entrada e saída e decide permitir ou bloquear tráfegos específicos de acordo com um conjunto definido de regras de segurança.

5.25 Software: conjunto de componentes lógicos de um computador, dispositivo ou sistema que processa dados; programa, script, rotina ou conjunto de instruções que controlam o funcionamento de um computador ou aplicação.

Backup: é a cópia de dados de um dispositivo de armazenamento a outro para que possa ser restaurado em caso da perda dos dados originais, o que pode envolver apagamentos acidentais ou corrupção de dados, como documentos, planilhas, arquivos, fotos, scripts, softwares ou qualquer arquivo digital.

5.26 VPN (Virtual Private Network): Modalidade de acesso à rede corporativa, que possibilita a conectividade, via internet, de um equipamento externo à rede interna da TopMed, provendo funcionalidades e privilégios como se o mesmo estivesse conectado diretamente à rede interna.

6. Conformidade

6.1 Aos usuários de ativos e meios de TI, e usuários de dados e informações, não é facultado o direito de desconhecimento da Política de Segurança da Informação, devendo seguir rigorosamente o disposto nas regras.

6.2 A inobservância das políticas e normas de segurança sujeita o usuário a sanções internas e, nos casos cabíveis, às leis vigentes. Verificações para assegurar o nível e elaborar projetos para melhoria dos índices de conformidade ou correções de não conformidade.

7.Princípios

As ações relacionadas com a PSI na TopMed são norteadas pelos seguintes princípios, assim definidos:

7.1 Autenticidade: Garantia de que a informação foi produzida, expedida, modificada ou instituída dentro de preceitos legais e normativos, por pessoa física, ou por sistema, órgão ou entidade vinculado a TopMed.

7.2 Celeridade: As ações de Segurança da Informação devem oferecer respostas rápidas a incidentes e falhas de segurança.

7.3 Confidencialidade: Garantia de que a informação não esteja disponível ou revelada às pessoas, sistemas, órgão ou entidade não autorizada pela TopMed.

7.4 Conhecimento: Principalmente os usuários, colaboradores, funcionários da TopMed devem conhecer e respeitar a PSI e demais regulamentações sobre Segurança da Informação.

7.5 Clareza: As regras de Segurança da Informação, documentação e comunicações devem ser precisas, concisas e de fácil entendimento.

7.6 Disponibilidade: Garantia de que a informação esteja acessível e utilizável sob demanda por uma pessoa ou determinado sistema, órgão ou entidade vinculada a TopMed.

7.7 Ética: Os direitos e interesses legítimos dos usuários devem ser preservados, sem comprometimento da Segurança da Informação.

7.8 Integridade: Garantia de que a informação não foi modificada ou destruída de maneira não autorizada ou acidental, seja na sua origem, no trânsito e no seu destino.

7.9 Legalidade: As ações de segurança devem levar em consideração as atribuições regimentais, bem como as leis, normas e políticas organizacionais, administrativas, técnicas e operacionais da TopMed.

7.10 Privacidade: Garantia ao direito pessoal e coletivo, à intimidade e ao sigilo da correspondência e das comunicações individuais.

7.11 Publicidade: Transparência no trato da informação, observados os critérios legais.

7.12 Responsabilidade: As responsabilidades primárias e finais pela segurança dos ativos da TopMed e pelo cumprimento de processos de segurança devem ser claramente definidas.

8. Diretrizes

8.1 A Presidência, Diretoria Executiva e o Comitê Gestor de Segurança da Informação estão comprometidos com uma gestão efetiva de Segurança da Informação na TopMed. Desta forma, adotam todas medidas cabíveis para garantir que esta política seja adequadamente comunicada, entendida e seguida em todos os níveis da organização. Revisões periódicas serão realizadas para garantir sua contínua pertinência e adequação as necessidades da TopMed.

8.2 É política da TopMed

8.2.1 Elaborar, implantar e seguir por completo políticas, normas e procedimentos de segurança da informação, garantindo que os requisitos básicos de confidencialidade, integridade e disponibilidade da informação da TopMed sejam atingidos através da adoção de controles contra ameaças provenientes de fontes tanto externas quanto internas.

8.2.2 Disponibilizar políticas, normas e procedimentos de segurança a todas as partes interessadas e autorizadas, tais como: Colaboradores, terceiros contratados e, onde pertinente, clientes.

8.2.3 Garantir a educação e conscientização sobre as práticas adotadas pela TopMed de segurança da informação para Colaboradores, terceiros contratados e, onde pertinente, clientes.

8.2.4 Atender integralmente requisitos de segurança da informação aplicáveis ou exigidos por regulamentações, leis e/ou cláusulas contratuais.

8.2.5 Anonimizar dados em bases de testes e homologações, atendendo as regras de segurança e proteção de dados vigente, observando e monitorando possíveis incidentes de segurança da informação, garantindo que eles sejam adequadamente registrados, classificados, investigados, corrigidos, documentados e, quando necessário, comunicando as autoridades apropriadas.
8.2.6 Garantir a continuidade dos negócios através da adoção, implantação, testes e melhorias contínuas de planos de continuidade e recuperação de desastres.

9. Deveres e responsabilidades diretas

9.1 Comitê Gestor de Segurança da Informação – CGSI

9.1.1 Fica constituído o COMITÊ GESTOR DE SEGURANÇA DA INFORMAÇÃO, pelos seguintes membros: – CEO – Diretor de Tecnologia – Diretora de Telemedicina e Saúde Digital
– Gerente de Tecnologia – Coordenador de Tecnologia
– Gerente de Desenvolvimento de Sistemas – Encarregado de Proteção de Dados – DPO

9.1.2 É responsabilidade do CGSI:

9.1.2.1 Analisar, revisar e propor a aprovação de políticas e normas relacionadas à segurança da informação.

9.1.2.2 Garantir a disponibilidade dos recursos necessários para uma efetiva Gestão de Segurança da Informação.

9.1.2.3 Garantir que as atividades de segurança da informação sejam executadas em conformidade com a PSI.

9.1.2.4 Promover a divulgação da PSI e tomar as ações necessárias para disseminar uma cultura e segurança da informação no ambiente da TopMed.

9.2 Dos colaboradores, prestadores de serviços, aprendizes e estagiários

9.2.1 Preservar a integridade e guardar sigilo das informações de que fazem uso, bem como zelar e proteger os equipamentos e ativos de informática disponibilizados para a realização do seu trabalho.

9.2.2 Cumprir as determinações desta Política, sob pena de incorrer nas sanções disciplinares e legais cabíveis.

9.2.3 Utilizar recursos e sistemas de informações da TopMed somente para os fins profissionais.

9.2.4 Todas as informações que forem transitadas internamente e externamente devem ser feitas através de mecanismos corporativos (e-mails e plataformas da empresa).

9.2.5 As informações/documentos de cunho estratégico que forem necessários transitar fora da corporação devem ter a aprovação do responsável da área.

9.2.6 Responder, por todo e qualquer acesso, aos recursos bem como pelos efeitos desses acessos efetivados através do seu login, ou outro atributo para esse fim utilizado.

9.2.7 Comunicar por escrito ao seu superior imediato o conhecimento de qualquer irregularidade ou desvio.

9.3 Dos diretores e gestores

9.3.1 Gerenciar o cumprimento desta Política, por parte de seus supervisionados.

9.3.2 Identificar os desvios praticados e adotar as medidas corretivas apropriadas.

9.3.3 Zelar pelos ativos de informação e de processamento da TopMed relacionados com sua área de atuação.

9.3.4 Garantir que o pessoal sob sua supervisão compreenda e desempenhe a obrigação de proteger as informações.

9.3.5 Comunicar formalmente à TI para efetuar ou negar a concessão de privilégios em sistemas e plataformas, ou mudanças nos acessos e permissões dos colaboradores, sob sua supervisão.

9.4 Dos prestadores de serviço

9.4.1 Devem estar previstas nos contratos, cláusulas que contemplem a responsabilidade dos funcionários e prestadores de serviços no cumprimento desta Política de Segurança da Informação, suas normas e procedimentos.

10. Diretrizes

Este documento define as diretrizes para a Segurança da Informação da TopMed e descreve a conduta considerada adequada para o manuseio, controle e proteção das informações contra destruição, modificação, divulgação indevida e acessos não autorizados, sejam acidentais ou intencionais.

10.1 Definições Gerais

10.1.1Gestão da Segurança da Informação e Comunicação

10.1.1.1 Os critérios de validação éticos e morais seguem as diretrizes do Código de Conduta da TopMed que é soberano a qualquer definição apresentada nesta política.

10.1.1.2 Toda informação gerada pelos usuários, nas rotinas e atividades corporativas, utilizando integralmente ou parcialmente recursos da TopMed, é de propriedade exclusiva da TopMed.

10.1.1.3 Os sistemas, as informações e os serviços da TopMed utilizados pelos usuários, no exercício de suas atividades, são de exclusiva propriedade da TopMed não podendo ser interpretados como de uso pessoal e devem ser protegidos, segundo as diretrizes descritas nesta Política e demais regulamentações em vigor.

10.1.1.4 Todos os ativos, dispositivos, meios e sistemas de informação estão sujeitos a monitoração e auditoria, e que os registros assim obtidos poderão ser utilizados para detecção de violações da Política de Segurança e demais regulamentações em vigor.

10.1.1.5 É assegurado às empresas o direito à propriedade, pelo artigo 5º, da Constituição Federal, no inciso XXII. Ainda, a empresa tem o direito de proteger seu patrimônio, pelo Código Civil, artigo 1.228. A Lei Geral de Proteção de Dados, por sua vez, determina que os agentes de tratamento de dados, no caso as empresas, devem, dentre outras coisas, adotar medidas administrativas para garantir a segurança de dados pessoais, o que justifica, também, a adoção de medidas de controle quanto ao exercício do trabalho de seus funcionários, haja vista que muitos dos casos de acessos indevidos e vazamentos de dados acontecem de dentro da organização para fora. Além do mais, a TopMed reserva o direito de cuidar de sua imagem e marca na internet, além de ter responsabilidade sobre as atitudes de seus empregados em determinadas situações.

10.1.1.5.1 A gerência e coordenação operacional tem a prerrogativa de utilizar o Distribuidor Automático de Chamadas (DAC) para monitorar agentes e operadores em tempo real, funcionalidade disponível e contratada na plataforma, seja para dimensionamento de recursos (pessoas) para as operações, seja para acompanhamento de atividades, ou para demandas específicas.

10.1.1.5.2 A pedido da Presidência, CEO e do Diretor de Tecnologia, somente a pedidos destes, o time de TI poderá monitorar ativamente os meios, equipamentos, dispositivos, acessos e sistemas; utilizando para isso softwares específicos, capturando telas, imagens, vídeos, logs, registros, informações digitadas e acessadas. Todo conteúdo monitorado e capturado será tratado como sigiloso e confidencial.

10.1.1.6 As normas descritas não constituem uma relação exaustiva e podem ser atualizadas dinamicamente quando se fizer necessário. Porém, a qualquer nova modificação adicionada às normas atuais, os usuários serão informados em tempo hábil para remodelação (se necessário) do ambiente.

10.1.1.7 A TopMed poderá avaliar, independentemente das definições constantes neste documento, condutas de utilização dos recursos de TI do usuário, tendo como parâmetro os princípios das leis em vigor e/ou necessidade estratégica do negócio.

10.1.1.8 Quando neste documento for reforçada a necessidade de comunicação formal para com o setor de TI, entende-se que o canal de comunicação inicial entre as áreas dos Negócios e a área de TI deverá ser realizado através do e-mail [email protected]

10.1.1.9 A área de TI poderá tomar o direito de não aprovar uma solicitação realizada quando entender que ela venha a ferir as condições dispostas nesta política
, ou criar vulnerabilidades que possam vir a ser exploradas resultando em violação de segurança da informação ou vazamento de dados e informações.

10.1.2 Tratamento da informação

10.1.2.1 Os sistemas de controles internos, em todos os níveis administrativos e operacionais, devem ser continuamente reavaliados e aprimorados, principalmente quanto ao risco de segurança das informações, com procedimentos apropriados nos processos de cada área.

10.1.2.2 As informações devem ser classificadas quanto a confidencialidade e identificadas de forma a serem adequadamente armazenadas, copiadas, transmitidas, manuseadas, descartadas ou destruídas. Esta classificação deve estar coerente com a importância estratégica para o negócio da TopMed.

10.1.2.2.1 As medidas de proteção aos recursos devem ser aplicadas de forma compatível com o risco e com o valor da informação para os negócios.

10.1.2.3 Deve-se manter um processo que visa conscientizar os usuários da necessidade da segurança das informações e aspectos previstos na Política de Segurança da Informação.

10.1.2.4 Um Plano de Continuidade do Negócio, cujo objetivo é manter em funcionamento os processos e serviços críticos, na ocorrência de desastres, atentados, falhas e intempéries, deve ser mantido atualizado, testado e documentado.

10.1.3 Admissão de colaboradores

10.1.3.1 Caberá ao gestor imediato do novo colaborador, solicitar à área de TI os equipamentos necessários, tais como, computador, celular, tablet, monitor, telefone de mesa e demais recursos, incluindo os perfis e níveis de acesso aos sistemas, com antecedência mínima de 15 dias.

10.1.3.2 Demais itens seguem conforme estabelecido no Manual do Lider, publicado na Intranet da empresa.

10.1.4 Demissão / desligamento de colaboradores

10.1.4.1 No caso de desligamento de um colaborador da empresa, é de responsabilidade do gestor imediato:

10.1.4.1.1 Recolher todos os equipamentos eletrônicos que estejam em posse do usuário, como computador, notebook, smartphone, webcam, tablet dentre outros, assim como os periféricos, mouse, adaptadores ou chips contendo linhas móveis.

10.1.4.1.2 Comunicar ao Setor de Recursos Humanos para realizar o bloqueio do acesso as portas que contém biometria ou dispositivo eletrônico de abertura, e registro de ponto.

10.1.4.1.3 Solicitar ao Setor de TI acerca do acesso ao e-mail, direcionamento, desvios e backup dos arquivos.

10.1.4.1.4 Comunicar os fornecedores e terceiros que se relacionam com sua respectiva área, sobre o desligamento do colaborador e os contatos a serem modificados.

10.1.4.2 É de responsabilidade do Setor de Recursos Humanos, comunicar o Setor de TI para realizar os bloqueios de acesso à rede, sistemas, e-mail, internet e demais quesitos necessários.

10.1.5 Credenciais, logins e senhas

10.1.5.1 O usuário, login, conta de acesso, código de identificação, código de acesso, contas de acesso e respectivas senhas, de qualquer recurso de TI, são de uso pessoal e intransferível, para uso específico, sendo de responsabilidade do usuário alterar a senha periodicamente. Não é permitido compartilhar a utilização de logins e senhas ou códigos de identificação.

10.1.5.1.1 Recomenda-se que todas as senhas tenham mais de 15 caracteres, incluindo letras minúsculas, maiúsculas, números e símbolos. Recomenda-se também que a periodicidade para troca/substituição da senha não ultrapasse 90 dias.

10.1.5.1.2 Para as contas em aplicativos e serviços na internet, recomenda-se a ativação de verificação de duas etapas, que é um recurso opcional oferecido por diversos serviços na internet, como webmail, redes sociais, internet banking, armazenamento em nuvem e aplicativos. Ao habilitar, você aumentará a segurança da sua conta e consequentemente será mais difícil de ser invadida, pois o invasor precisa saber a sua senha na primeira etapa e as informações da segunda etapa, como por exemplo: respostas secretas para perguntas que só você sabe, códigos gerados por tokens ou SMS, número PIN etc.
10.1.5.1.2.1 Exceções são para plataformas onde a mesma credencial de acesso é utilizada por mais de uma pessoa, de departamento ou área distinta, e a verificação de duas etapas não é obrigatória pela plataforma. Neste caso as credenciais de acesso continuam sendo intransferíveis à demais não autorizados.

10.1.5.1.2.2 Excetua-se ainda aquelas plataformas onde a verificação de duas etapas não se faz presente.

10.1.5.1.3 As senhas das plataformas de uso corporativo, ou seja, aquelas plataformas que são de uso comum em todos os setores, a exemplo: Plataforma DAC, Microsoft 365; poderão conter validade de senha de 60 a 180 dias, forçando assim que o usuário substitua a senha atual por uma nova.

10.1.5.1.4 As credenciais de acesso administrativo nas plataformas que contenham dados sensíveis, exceto o sistema interno de gestão de vidas o qual possui segmentação por nível e perfil, devem ser armazenadas preferencialmente em Cofre de Senhas (KeePass).

10.1.5.1.5 É vetado o armazenamento de credenciais de acesso em arquivos da rede, arquivo local na estação de trabalho, mídias removíveis, blocos de anotações (em papel ou digital), em navegadores de internet e outros meios, exceto no Cofre de Senhas (KeePass) e na solução avançada de proteção contra vírus, spam, trojans e spywares e demais ameaças (kaspersky) que possui o módulo de Segurança de Senhas.

10.1.5.2 Para garantias extras dos processos de Segurança da Informação, o acesso à porta USB dos equipamentos, leitor e gravador de CD e DVD poderão ser bloqueados por padrão. Não é permitido utilizar HD Externo conectado aos equipamentos de TI, salvo exceções autorizadas pela Diretoria Executiva.

10.1.5.3 O compartilhamento de arquivos entre os usuários deverá ser através da rede de servidores, ou em caso excepcional, aprovado pelo superior imediato, o compartilhamento em nuvem homologada pela TI e acessível apenas por conta corporativa da TopMed.

10.1.5.3.1 Na concessão de quaisquer acessos aos recursos, físicos ou lógicos, deve ser observado o princípio do menor privilégio, que consiste em conceder somente os acessos e recursos estritamente necessários ao desempenho das atividades autorizadas.

10.1.5.4 É de responsabilidade da área de TI, em conjunto com a área Financeira, a aquisição de equipamentos e softwares corporativos. Todo e qualquer processo de aquisição e/ou adequação destes serviços/produtos deverá ser realizado através da área de Tecnologia da Informação.

10.1.5.5 A comunicação de rede entre as unidades de negócio, Home Office, Administrativo e operações de Contact Center será permitida somente em rede VPN (Virtual Private Network) a qual é uma rede de comunicação privada, que permite o tráfego de dados de forma segura, em cima de uma rede pública, como a internet.

10.1.6 Controle de acesso

10.1.6.1
Qualquer necessidade de liberação que seja identificada como exceção das regras aqui estabelecidas, deverá ser feita através do respectivo Gerente ou Diretor. Qualquer solicitação de acesso á recursos tecnológicos físicos ou lógicos deverá estar alinhado com as necessidades de informação da função desempenhada pelo usuário.

10.1.6.2 Não é permitida a veiculação de arquivos, dados, elementos ou informações estratégicas e/ou sensíveis da TopMed para terceiros sem o consentimento da diretoria executiva.

10.1.6.3 Todo acesso a dados e informações da TopMed por terceiros, deve ser precedido de assinatura de um Termo de Confidencialidade (NDA), modelo de documento mantido pelo Setor Jurídico.

10.1.6.4 Todos os usuários têm a obrigação de utilizar senhas seguras e protegê-las de forma apropriada. Contudo, suas responsabilidades não se limitam a isso. Devem ter consciência de que um controle de acesso efetivo depende também da proteção dos equipamentos, mídias de armazenamento e documentos utilizados no ambiente de trabalho.

10.1.6.5 Os usuários não devem, por exemplo, deixar informações sensíveis sobre suas mesas, ou em seus dispositivos móveis, pois cada informação deve ser protegida de acordo com o nível de segurança exigido por ela.

10.1.6.6 O Setor de TI manterá controles que identificam os equipamentos conectados à rede com o objetivo de barrar conexões efetuadas por equipamentos não autorizados.

Havendo ponto de dúvida quanto a conduta ou meio de comunicação sobre qualquer ponto desta política, é de responsabilidade do usuário inteirar-se junto a área de Tecnologia da Informação.

11. Dos Recursos de TI

11.1 Utilização da Internet

11.1.1 O acesso aos endereços, o perfil de utilização, downloads, uploads e streaming deverão estar 100% vinculados com a necessidade de informação e execução para a função exercida pelo usuário.

11.1.2 É vedado o acesso a conteúdo de cunho erótico, racistas, de violência, ódio, armas, ocultismo, drogas ilegais, jogatina, consumo de álcool e fumo, corretagem online, extremismo ou de temas que vão contra os valores éticos, morais e aqueles estabelecidos no código de conduta da TopMed

11.1.3 O uso de Redes Sociais é permitido apenas ao time de Marketing Corporativo, time de Gestão de Pessoas, Comercial e Inovação, para uso exclusivo às atividades relacionadas a TopMed, como prospecção de clientes, divulgações, campanhas, publicações ou atendimentos a serviços públicos. Todo conteúdo trafegado deve ser condizente com os negócios da TopMed. A veiculação de informação deve sempre ser autorizada pela diretoria executiva.

11.2 Utilização de Ferramentas de Conversação

11.2.1 É homologado a utilização da ferramenta Microsoft Teams, sempre e somente através de acesso a contas corporativas.

11.2.2A utilização deste tipo de ferramentas deve ser focada em assuntos que digam respeito e sejam pertinentes aos negócios da TopMed e execução dos trabalhos diários.

11.2.3 A utilização de WhatsApp deve ser feita somente através do respectivo número de telefone corporativo e deverá seguir as mesmas regras aplicadas nesta política e respectivas normas. O uso de linhas particulares deve passar pela aprovação da Diretoria Executiva.

11.3 Utilização de E-mail (correio eletrônico corporativo)

11.3.1 O e-mail corporativo é identificado através do domínio @topmed.com.br e @topmedsaude.com.br disponibilizado para uso exclusivo em assuntos pertinentes da TopMed e somente estes domínios deverão ser utilizados para comunicação.

11.3.2 A utilização de e-mail está vinculada com a liberação do respectivo gestor hierárquico à função do funcionário, e seu endereço de e-mail seguirá com PrimeiroNome.UltimoNome@

11.3.3 Está homologado o uso de comunicadores e clientes de e-mail apenas da Microsoft e Mozilla.

11.3.4 Ao término do texto do e-mail somente é permitido a assinatura corporativa, no formato conforme estabelecido pela área de Marketing.

11.3.5 É vedado a veiculação ou distribuição de conteúdo não condizente com a rotina de trabalho, Tais como:

11.3.5.1 informações não autorizadas ou imagens de tela, sistemas, documentos e afins sem autorização expressa e formal concedida pelo proprietário desse ativo de informação;

11.3.5.2 falsificar informações de endereçamento, adulterar cabeçalhos para esconder a identidade de remetentes e/ou destinatários, com o objetivo de evitar quaisquer punições;

11.3.5.3 produzir, transmitir ou divulgar mensagem que contenha qualquer ato ou forneça orientação que conflite ou contrarie os interesses da TopMed;

11.3.5.4 apresente ameaças eletrônicas, como spam, mail phishing ou vírus de computador; possua arquivos com código executável (.exe, .com, .bat, .pif, .js, .vbs, .hta, .src, .cpl, .reg, .dll, .inf) ou qualquer outra extensão que represente um risco à segurança;

11.3.5.5 vise obter acesso não autorizado a outro computador, servidor ou rede;

11.3.5.6 intencione interromper um serviço, servidores ou rede de computadores por meio de qualquer método ilícito ou não autorizado;

11.3.5.7 intente burlar qualquer sistema de segurança; objetive vigiar secretamente ou assediar outro usuário;

11.3.5.8 aspire acessar informações confidenciais sem explícita autorização do proprietário;

11.3.5.9 vise acessar indevidamente informações que possam causar prejuízos a qualquer pessoa;

11.3.5.10 tenha conteúdo considerado impróprio, obsceno ou ilegal;

11.3.5.11 seja de caráter calunioso, difamatório, degradante, infame, ofensivo, violento, ameaçador, pornográfico entre outros;

11.3.5.12 contenha perseguição preconceituosa baseada em sexo, raça, incapacidade física, mental entre outras; possua fins políticos locais ou do país (propaganda política);

11.3.5.13 inclua material protegido por direitos autorais sem a permissão do detentor dos direitos.

11.4 Utilização da rede corporativa

11.4.1 Somente mantenha nos seus equipamentos corporativos (notebook, desktop, tablet e celular) os arquivos relacionados ao trabalho, e ainda aqueles que forem de uso temporário. Tudo aquilo que for de uso constante, diário, ou permanente, deve estar armazenado na rede.

11.4.1.1 Por padrão, utilize e rede corporativa para armazenar documentos. Os servidores de rede possuem backup diário e semanal e são mais seguros.

11.4.2 É de responsabilidade do gestor imediato do usuário solicitar para o setor de TI o acesso as pastas da rede e os níveis de permissões que cada colaborador sob sua gestão precisa ter, como: apenas listagem das pastas, apenas leitura, leitura e gravação, controle total na pasta.

11.4.3 Os arquivos mantidos na rede são salvos semanalmente em cópias de segurança, podem ser recuperados em eventuais necessidades, seja de sinistro ou levantamento de histórico.

11.4.4 Somente a área de TI poderá alterar/configurar a Rede.

11.4.5 Toda conexão realizada nas redes da TopMed é autenticada por usuário e senha. O meio de conexão é por rede cabeada, rede Wi-Fi ou rede VPN em alguns casos quando aprovado pela Diretoria Executiva.

11.4.6 O uso de recursos de Computação em Nuvem para suprir demandas de transferência e armazenamento de documentos da empresa, processamento de dados, aplicações, sistemas e demais tecnologias da informação da empresa, deve ser feito apenas com autorização da Diretoria Executiva, e devem atender as orientações desta Política e normas internas da empresa, visando garantir a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações hospedadas na nuvem, em especial aquelas sob custódia e gerenciamento de um prestador de serviço.

11.4.6.1 É vedado armazenar documentos da empresa em nuvens públicas não gerenciadas pela TI, nuvens particulares e dispositivos de armazenamento removível.

11.5 Utilização de Equipamentos Eletrônicos

11.5.1 É vedado o uso de equipamentos particulares nas redes Corporativas. O equipamento particular só poderá estar conectado na rede Visitantes. A liberação da utilização de equipamentos pessoais ou de pessoas externas à organização, para fins corporativos, deverá ser aprovada pela diretoria executiva.

11.5.1.1.1 Terá a liberação de uso, os equipamentos que, após auditados pelo setor de TI, estiverem utilizando softwares originais, legais e antivírus atualizados. Caso estas condições não forem identificadas, o acesso será negado.

11.5.2 Todo equipamento eletrônico de propriedade da TopMed, cedido para uso do usuário, é de responsabilidade do utilizador para emprego e uso exclusivo nas atividades profissionais diretamente ligadas a TopMed.

11.5.2.1 O utilizador tem ciência que compete zelar pelo bom uso e guarda do(s) mesmo(s), usando-o(s) sempre com boa conduta segundo as normas e políticas da empresa, conforme manual de integração, Política de Segurança da Informação e, no que se refere à instalação, licenciamento e uso de softwares e aplicativos.

11.5.2.2 Não é autorizado o usuário a ceder, emprestar, vender e alugar o(s) equipamento(s) para outros, salvo autorização expressa da diretoria executiva; sob pena de ressarcir à TopMed todos os prejuízos havidos.

11.5.2.3
Em caso de perda ou extravio, o usuário compromete-se em abrir Boletim de Ocorrência junto aos órgãos competentes, no prazo máximo de 24 (vinte e quatro) horas do ocorrido, enviando cópia dele ao departamento Administrativo e de Tecnologia da Informação, sob pena de ressarcir o valor total de mercado do(s) equipamento(s).

11.5.2.4 Compromete-se o usuário a devolver o(s) equipamento(s) no prazo máximo de 1 (um) dia útil após solicitado pela cedente ou no ato do desligamento da empresa ou cancelamento do contrato de prestação de serviços, sob pena de ressarcir à TopMed o valor total de mercado do(s) equipamento(s) não devolvidos, e no caso de não atendimento de qualquer um dos compromissos acima descritos, será descontado em folha de pagamento ou rescisão de contrato de trabalho nos termos da Legislação Trabalhista em vigor.

11.5.2.5 Será descontado ainda, o valor de acessórios faltantes, como fontes de alimentação, cabos USB, carregadores e fones de ouvido, dentre outros periféricos, por consequência da devolução parcial dos itens.

11.5.2.6 Os valores empregados no ressarcimento serão conforme publicados no site do(s) fabricante(s) para acessórios originais. Em caso de má utilização do equipamento, de quebra e de outras situações correlatas, fica desde já pactuado que os custos de conserto ou reposição do ativo serão de responsabilidade única e exclusiva do usuário do equipamento.

11.5.2.7 É vedado utilizar os recursos tecnológicos em períodos de férias, folgas, suspensão de serviços por período temporário, licenças médicas, faltas justificadas ou injustificadas ou em circunstâncias de afastamentos, mesmo que temporários. Casos excepcionais devem ser aprovados pelo Setor de Recursos Humanos.

11.5.3 A abertura de equipamentos de TI para qualquer tipo de reparo, por terceiros, só poderá ser realizada após autorização da TI.

11.5.4 Os aparelhos móveis, como tablets e celulares, os quais possuem SIM Card de operadora, fornecidos pela TopMed, são para uso exclusivamente profissional e todos os usuários que possuírem tais equipamentos devem manter apenas contas corporativas nos aparelhos.

11.5.4.1 Aplicativos de mensagens, como WhatsApp e Telegram poderão ser utilizados após aprovação do gestor imediato, e desde que estejam com uma conta corporativa vinculada com a linha ou e-mail corporativo.

11.6Utilização de Impressoras, fotocopiadoras e scanners

11.6.1 A impressão deverá ser realizada prioritariamente utilizando frente e verso e monocromático (preto e branco). Impressões coloridas, quando estas forem obrigatórios, somente devem ser impressas para versão final de trabalhos.

11.6.2 O usuário que originou a impressão é responsável pelo conteúdo do documento e respectivo direcionamento ou destruição do mesmo.

11.6.3 É vedado imprimir documentos para uso particular bem como textos e imagens com o intuito de fazer brincadeiras, promover desordem e baixa produtividade. Não deve ser deixado impressões erradas junto da/ou na impressora, na mesa de outras pessoas e tampouco sobre a estufa ou na bandeja de impressão.

11.6.4 Ao deixar ou se ausentar do local de trabalho, não mantenha exposto documentos que contenham eventuais assuntos confidenciais, para livre acesso de outros usuários que não dizem respeito ao conteúdo.

11.7 Outras responsabilidades de usuários

11.7.1.1 É responsabilidade do usuário, fechar os aplicativos ou bloquear a estação de trabalho, ou sessão remota quando se ausentar do setor ao seu término de expediente. Ao sair das áreas de trabalho remota (WTS) nas operações do Contact Center, é imprescindível fazer logoff. Ao término do expediente, o usuário obrigatoriamente deverá fechar os aplicativos, encerrar a sessão e desligar os equipamentos.

11.7.1.2 É de responsabilidade do usuário, proceder periodicamente com a manutenção do e-mail e diretório pessoal de armazenamento no servidor e arquivos evitando o acúmulo de arquivos desnecessários.

11.7.1.3 Apenas o setor de TI está autorizado a realizar download ou instalação de softwares e aplicativos em estações de trabalho. O usuário do colaborador terá acesso limitado.

11.7.1.4 Nenhum documento criado, emitido, impresso ou copiado dentro do ambiente da TopMed pode ser disponibilizado para fora deste ambiente sem a prévia autorização da respectiva gerência ou diretoria responsável pela informação. O mesmo vale para todo e qualquer conteúdo apresentado e discutido em reuniões dentro deste mesmo ambiente, ou em feiras, eventos, congressos e exposições

11.7.1.5 No caso de dúvida, toda informação computacional, impressa, acessível, armazenada ou falada deverá ser tratada como informação confidencial.

11.7.1.6 Em caso de dúvida ou identificação de eventual violação o usuário deverá enviar previamente um e-mail para [email protected] solicitando esclarecimentos ou informando sobre o ocorrido.

11.7.1.7 A padronização de equipamentos, celulares, telefonia, espaço em disco, tamanho da caixa de e-mail e demais itens seguirão conforme determinação da Diretoria Executiva.

11.7.1.8 Este documento poderá ser alterado sem aviso prévio buscando o bom andamento dos trabalhos da TopMed. Quando realizado alteração, deverá ser enviado ao Setor de Recursos Humanos para difusão aos colaboradores da empresa.

11.8 Concessão e revogação de acessos às contas de pessoas desligadas

11.8.1 Após formalização do RH referente ao desligamento de um colaborador, a TI realizará o bloqueio da conta de acesso à rede, e-mail e plataformas de sistema, imediatamente ou o mais rápido possível.

11.8.2 Para as contas de e-mail @topmed.com.br, o processo padrão adotado, após desligamento de um colaborador, é: bloquear a conta, alterar a senha, direcionar os e-mails ao superior imediato ou a pessoa por ele designada. Manter o direcionamento do e
-mails por 30 (trinta) dias, e após este período, fazer o backup da caixa de e-mail e remove-la da plataforma web, com isso, o direcionamento dos e-mails será interrompido e o superior imediato ou a pessoa por ele designada terá acesso total aos e-mails do colaborador desligado através do backup.

11.8.3 Para as contas de e-mail @topmedsaude.com.br, o processo padrão adotado, após desligamento de um colaborador, é: bloquear a conta, alterar a senha, disponibilizar acesso ao superior imediato e manter a conta ativa por 10 (dez) dias. Após este período, excluir a caixa de e-mail.

11.8.3.1 Se a conta de e-mail do colaborador desligado precisar, por algum motivo, ficar ativa por maior tempo cabe ao gestor imediato solicitar para a TI que mantenha a conta ativa, indicando os motivos e o período necessário.

11.9 Licenciamento de software e acessos administrativos

11.9.1 Cabe apenas a TI realizar a instalação dos softwares em servidores e estações de trabalho a fim de garantir que estejam devidamente licenciados e válidos.

11.9.2 É terminantemente proibido manter ativo usuários administradores de domínio em qualquer estação de trabalho. A TI não poderá liberar ou conceder acesso administrativo, exceto com aprovação da Diretoria Executiva, ou para uso temporário por ocasião da formatação de estações de trabalho, cabendo a TI remover o usuário administrativo antes de entregar o equipamento ao destinatário.
A aquisição de sistemas de terceiros, programas, softwares, aplicativos e equipamentos de TI, devem passar pela aprovação da Diretoria Financeira após realizada três cotações de mercado.

11.9.3 Toda e qualquer necessidade, deve passar pela avaliação técnica, de segurança, e integração, pelo setor de TI, incluindo contratos que envolvam aquisição de serviço/produto e que estejam vinculados com tecnologias de informação.

11.9.4 A área de TI poderá tomar o direito de vetar e/ou não aprovar a aquisição/renovação de licença, caso esta, esteja em desalinhamento com as diretrizes emanadas.
11.9.5
Para que a TI possa atender à entrega de equipamentos, como desktops, notebooks, smartphones e similares, e licenças de softwares, por ocasião da contratação de novos colaboradores, é imprescindível que as áreas de RH e Operações comuniquem a TI por e-mail para [email protected] sobre a contratação com no mínimo 10 (dez) dias úteis de antecedência.

11.9.5.1 A necessidade se dá pelo fato do tempo de aquisição de qualquer equipamento/software ser regido pela disponibilidade e pelas políticas de entrega e prazos de fornecedores; em função do tempo necessário para as negociações a serem feitas com fornecedores e fabricantes, os quais nem sempre possuem produtos em estoque; pelo tempo/prazo de entrega; pelas necessidades de aprovações em sistemas; e pelo tempo necessário para preparação/configuração a ser realizada pela TI.

11.10 Auditorias

11.10.1 Todos os serviços e recursos de TI poderão sofrer auditoria por software, hardware ou presencial, e como garantia de continuidade dos processos, periodicamente o setor de TI ou diretoria executiva poderão escolher de forma aleatória contas ou equipamentos de usuários para auditar.

11.10.2 A participação do usuário durante o processo de auditoria será uma escolha do usuário. Durante a auditoria se for solicitado ao usuário informar as respectivas senhas de acesso, a ação de entregar a senha não caracterizará quebra da segurança, sendo que as mesmas deverão ser alteradas pelo usuário logo após o término da auditoria.

11.10.3 Caso exista a necessidade de algum levantamento de informação específica, o resgate destas informações pode ser solicitado pelo respectivo gestor imediato ou diretor, através de solicitação formal para a área de TI.

11.10.4 A solicitação somente poderá ser realizada estando dentro da respectiva hierarquia de gestão. Por força das atividades inerentes do setor de TI, àquelas pessoas que estiverem ligadas com a área de tecnologia, por organograma ou mediante contrato de prestação de serviço, deverão manter sigilo absoluto de toda e qualquer informação observada, manipulada, utilizada ou recebida.

11.10.5 Caso seja detectada a utilização em desconformidade com esta política, a área de TI iniciará o processo formal de documentação, os acessos aos recursos de TI deste usuário poderão ser bloqueados e gestor hierárquico direto poderá ser notificado para tomar as providências cabíveis.

11.10.5.1 Dependendo do grau de gravidade, o respectivo diretor será comunicado, podendo se dar sem o conhecimento prévio do respectivo gestor hierárquico. Caso a direção julgue necessário, haverá bloqueios de acesso aos arquivos, e-mails ou domínios que comprometam o uso da banda de comunicação de dados ou prejudiquem o bom andamento dos trabalhos.

11.11 Engenharia Social

11.11.1 Engenharia social é uma técnica empregada por criminosos virtuais para induzir usuários a enviar dados confidenciais, infectar seus computadores com malware ou abrir links para sites infectados. Além disso, os hackers podem tentar explorar a falta de conhecimento dos usuários.

11.11.2 Phishing é uma técnica de engenharia social usada para enganar usuários de internet usando fraude eletrônica para obter informações confidenciais, como nome de usuário, senha e detalhes financeiros. São comunicações falsificadas praticada por criminosos chamados phishers que parecem vir de uma fonte confiável.

11.11.3 A TI envia seguidamente comunicados e informações por e-mail a fim de conscientizar e nortear ações de boas práticas de segurança. Treinamentos presenciais e/ou online poderão ser realizados quando necessário.

11.11.3.1 Diante do exposto, cabe a cada usuários estar atento, principalmente ao uso e retorno de informações por e-mail. Nunca clicar em links suspeitos e a sempre proteger suas credenciais de login, seja em casa ou no trabalho.
As credenciais de acesso são pessoais e intransferíveis.

11.11.3.2 É vetado repassar informações confidenciais da TopMed à terceiros, dados sensíveis, informações estratégicas, incluindo, sem limitação, dados pessoais, seus processos, procedimentos, planos e estratégias, e ainda, dados e informações que constituem propriedade intelectual e/ou industrial, e todas as outras informações e conhecimentos não públicos.

11.12 Implantação, Implementação e demais responsabilidades

11.12.1 A implantação desta política será realizada através de ampla divulgação, por e-mail e na plataforma Weduka. A TI ao longo do tempo enviará por e-mail, dicas e comentários sobre a Política de Segurança da Informação e sobre assuntos para ajudar os usuários e manterem o ambiente mais estável e seguro, assim como adotar ações e medidas contra vazamento de dados. Apresentações e outras publicações poderão ser feitas se necessário.

11.12.2 Esta política entra em vigor a partir da data da sua aprovação pela Diretoria Executiva, sendo que no período de 05 (cinco) dias, a TopMed tratará esta política no modelo de adaptação, e após este prazo estará totalmente em vigor.

11.12.3 É de responsabilidade dos usuários cumprirem integralmente a política especificada e solicitar esclarecimentos ou treinamentos para o entendimento, caso o treinamento ainda não tenha sido realizado com o respectivo setor.

12. Registro do Documento

Elaborado por:
Leonardo Henrique Kappes
Gerente de TI

Revisado por:
Cael London Vieira
Analista de Sistemas e Especialista em Telecomunicações

Autorizado e aprovado por:
Valda Stange

CEO

– PSI –POLÍTICA DE SEGURANÇA DA INFORMAÇÃO