Política de Segurança da Informação

AR Consultoria tem a missão de Desenvolver sistemas que possam promover novos benefícios organizacionais e maior rentabilidade para nossos clientes, valorizamos cada um e entendemos o quanto a Segurança da Informação que tratamos é importante para usufruírem dos nossos serviços com tranquilidade.

Você precisa conhecer e estar de acordo com a nossa Política de Segurança da Informação. Nela você vai encontrar as diretrizes que seguimos.

Esta política se aplica a todos os nossos produtos e serviços.

Objetivos

Nossa Política de Segurança da Informação baseia-se nos três pilares fundamentais da segurança:

1. Confidencialidade: garantimos que o acesso à informação seja obtido somente por pessoas autorizadas e quando ele for de fato necessário;
2. Disponibilidade: garantimos que as pessoas autorizadas tenham acesso à informação sempre que necessário;
3. Integridade: garantimos a exatidão e a completude da informação e que apenas alterações autorizadas possam ser realizadas na informação.

Diretrizes

A Segurança da Informação da AR Consultoria estabelece as seguintes diretrizes:

1. As informações da Contratante, de seus clientes e do público em geral devem ser tratadas de forma ética, sigilosa, de acordo com as leis vigentes e normas internas, evitando-se mau uso e exposição indevida.
2. A informação deve ser utilizada apenas para a finalidade para a qual foi coletada.
3. O acesso às informações e recursos só deve ser feito se devidamente autorizado.
4. A identificação de qualquer colaborador deve ser única, pessoal e intransferível, qualificando-o como responsável pelas ações realizadas. Sua senha é utilizada como assinatura eletrônica e deve ser mantida secreta, sendo proibido seu compartilhamento.
5. A concessão de acessos deve obedecer ao critério de menor privilégio, no qual os usuários têm acesso somente aos recursos de informação imprescindíveis para o pleno desempenho de suas atividades.
6. Todo colaborador deve reportar os riscos às informações a seu superior hierárquico.
7. A AR Consultoria divulgará amplamente as responsabilidades sobre Segurança da Informação aos seus Colaboradores, que devem entender e assegurar estas diretrizes.

Processos de Segurança da Informação

Os Sistemas da AR Consultoria operam de forma híbrida, isso significa que é possível a Contratante ter uma junção dos dois principais modelos para o uso de tecnologia em sua empresa: uma infraestrutura própria de hardware (Servidores Locais), somada ao uso da computação em Nuvens.

Nesse modelo, a empresa Contratante mantém suas informações com um controle de acesso mais próximo a sua equipe de TI, enquanto a AR Consultoria mantém junto a AWS (Amazon Web Services) a Disponibilidade/Integridade desses dados para utilização em aplicativos sincronizados com os servidores em Nuvem.

Para assegurar que as informações tratadas estejam adequadamente protegidas, a AR Consultoria adota os seguintes processos:

1. Acesso e Armazenamento de dados de servidores em Nuvem

1.1 O acesso a estes servidores será o mais restrito possível.

• Será permitido apenas para colaboradores autorizados, mediante uso de credenciais individuais e auditoria de acessos.
• Utilizaremos serviços gerenciados pelo provedor de serviços de nuvem sempre que possível com objetivo de reduzir nossa interface de atuação.

1.2 Os dados dos clientes são armazenados em servidores contratados de empresas prestadoras de serviço de computação em nuvem, seguros, que possibilitem continuidade dos negócios e recuperação de desastres, sejam monitorados e tenham o acesso físico controlado, além de atenderem a normas de Governança e risco.

1.3 A Amazon WebServices (AWS), é a empresa encarregada por nossa Infraestrutura em nuvem, utilizamos seus serviços EC2 (Amazon Elastic Compute Cloud) e o RDS (Relational Database Service). Para obter maiores esclarecimentos sobre segurança e compliance, consulte Amazon WebServices: Visão geral dos processos de Segurança

1.4 A AR Consultoria compromete-se a armazenar os dados de seus clientes pelo período máximo de 3 (Três) meses após o encerramento do Contrato. Ao fim deste período, os mesmos serão excluídos definitivamente.

1.5 Para que a Contratante tenha acesso a dados armazenados em servidores em nuvens, se faz necessária a prévia autorização de seus supervisores e liberação junto à AR Consultoria.
O Acesso se dará através de:

• Aplicativos Mobile:
  • AR Mobile, Meu Gestor;
• Sistemas Web:
  • AR Plus Web, AR Mobile Web;

Todos os aplicativos e sistemas listados acima, são desenvolvidos pela AR Consultoria.

2. Acesso e Armazenamento de dados de Servidores Locais

2.1 O acesso aos dados armazenados em servidores locais, exigirá autenticação e se dará através de:

• Sistemas desenvolvidos pela AR Consultoria para ambiente de Desktop, mediante criação de credenciais de acesso dos usuários, que deverão ser cadastrados pela Contratante, possibilitando o controle de permissões que cada usuário possui e informando qual tipo de informação pode ser acessada por cada usuário.
• Acesso direto ao banco de dados em situações excepcionais, por colaboradores autorizados da AR Consultoria, para execução de rotinas em lote (scripts).

2.2 É comum a utilização de dados durante o desenvolvimento de customizações ou para simulações de problemas, esse acesso será feito apenas quando realmente necessário para atingir sua finalidade.

• O Acesso será restrito à menor quantidade de colaboradores possível e passará por critérios de registro de acessos.

2.3 Durante processos de migração de dados, os colaboradores envolvidos farão acesso a dados fornecidos pelo cliente, realizando extração e tratamento para inserção nos bancos de dados da AR Consultoria.

• Este processo será realizado nas estações de trabalho dos colaboradores em função da natureza da tarefa, mas os dados serão descartados mediante conclusão da mesma.

Modelo de responsabilidade de segurança compartilhada

• Da mesma forma que a AR Consultoria divide com a AWS a responsabilidade pela segurança dos dados armazenados na nuvem, a Contratante é responsável por armazenar seus dados em servidores locais e responde pela disponibilidade, integridade e confidencialidade dessas informações.

Política de Backup

Os Bancos de Dados precisam ter rotinas de backup e retenção que permitam restauração em caso de perdas ou necessidade de análises retroativas.

• Os Backups dos Bancos de Dados do Webservice dos servidores RDS (Relational Database Service), são realizados com rotinas automáticas e armazenados de forma criptografada. Esses dados de backup são copiados do servidor original para outro dispositivo, evitando risco de perda por pane física, preferencialmente em outra região geográfica.
• Os Backups dos Bancos de Dados dos servidores Locais, são de responsabilidade única e exclusiva da contratante.

Treinamento dos colaboradores da AR Consultoria

• A AR Consultoria garante que os objetivos e as diretrizes desta política de segurança sejam apresentados para todos os seus colaboradores. Destacando-se as seguintes regras:

• Utilizar exclusivamente equipamentos fornecidos pela AR Consultoria durante atividades profissionais.
• Não utilizar os equipamentos fornecidos pela AR Consultoria para fins pessoais, evitando risco de infecção por vírus.
• Responsabilidade sobre Sigilo e Confidencialidade.
• Nunca compartilhar credenciais de acesso a sistemas (logins, senhas, e-mail, etc) com outras pessoas.

• Não armazenar os arquivos inerentes à AR Consultoria em local alheio ao determinado pela empresa.

Aderência à LGPD

A Lei Geral de Proteção de Dados Pessoais – LGPD, Lei 13.709/2018, objetiva garantir a segurança e a privacidade dos titulares de dados pessoais, e controlar a atuação das empresas, públicas e privadas, no tratamento desses dados, desde sua coleta, utilização e armazenamento, tanto em meios físicos como digitais.

• Os produtos desenvolvidos pela AR Consultoria devem possibilitar aos Clientes o atendimento aos direitos dos titulares de dados, conforme determina o Art. 18 da Lei 13.709/2018, tais como:

• Consulta às suas informações.
• Revogação de uso de dados pessoais, dentro de possibilidades técnicas.
  • Documentos Fiscais: o prazo para armazenamento de documentos Fiscais (NFe / NFCe) é de 5 anos, de acordo com a Lei 5.172, Código Tributário Nacional, Art. 173. Isso significa que dados pessoais utilizados para a emissão destes documentos não deverão ser alterados ou removidos dos bancos de dados durante esse prazo.

• Além disto, disponibilizamos um canal de contato para atendimento a solicitações ou dúvidas através do e-mail seguranca@ar-consultoria.com

Política de tratamento de incidentes cibernéticos

• Os colaboradores são orientados a reportar imediatamente aos seus supervisores qualquer incidente, mesmo que ainda confirmado o vazamento de dados.
• Caso ocorra um incidente, ele deverá ser analisado e, após análise, será elaborado um plano de ação para corrigir e/ou melhorar o ambiente e/ou processo com o objetivo de minimizar a possibilidade de uma nova ocorrência.

---

www.ar-consultoria.com