1. Introdução
A NeuronUP depende dos sistemas de TIC (Tecnologias da Informação e Comunicação) para alcançar seus objetivos. Esses sistemas devem ser administrados com diligência, adotando-se as medidas adequadas para protegê-los contra danos acidentais ou deliberados que possam afetar a disponibilidade, a integridade ou a confidencialidade das informações tratadas ou dos serviços prestados.
O pessoal da NeuronUP deve assegurar que a segurança seja uma parte integrante de cada etapa do ciclo de vida do sistema, desde a sua concepção até a sua retirada de serviço, incluindo as decisões de desenvolvimento ou aquisição e as atividades de operação.
Os departamentos da NeuronUP, de acordo com o desempenho das funções atribuídas, devem estar preparados para prevenir, detectar, reagir e se recuperar de incidentes, de acordo com a legislação vigente.
Para garantir o cumprimento desta política, o Comitê de Segurança desenvolve e avalia regularmente os sistemas e assegura que todo o pessoal da NeuronUP conheça e cumpra suas funções de acordo com a segurança da informação.
2. Âmbito de aplicação
A presente política aplica-se a todas as pessoas, processos, sistemas e ativos envolvidos no tratamento da informação dentro da NeuronUP.
Isso abrange o pessoal interno, colaboradores externos, fornecedores e terceiros que tenham acesso às informações ou aos sistemas, bem como todos os ativos de informação.
O cumprimento desta política é obrigatório e constitui a base sobre a qual são estabelecidas as normas, procedimentos e controles do Sistema de Gestão de Segurança da Informação (SGSI) da organização.
3. Objetivo desta política
Esta política tem como objetivo estabelecer o marco de atuação para garantir a segurança da informação e a prestação contínua dos serviços.
Esta política é desenvolvida por meio da documentação e das normas de segurança disponibilizadas a todos os membros da organização que necessitem conhecê-la, em especial aqueles que utilizam, operam ou administram os sistemas de informação e comunicações, por meio de procedimentos, processos, instruções técnicas etc.
A normativa de segurança está disponível para todos os colaboradores da organização em seu gestor documental.
4. Marco normativo
A NeuronUP compromete-se a cumprir todas as leis, regulamentos e normas aplicáveis em matéria de Segurança da Informação.
5. Organização da segurança
A Direção da empresa assume a responsabilidade de promover e apoiar o estabelecimento de medidas técnicas, organizacionais e de controle que garantam os níveis de qualidade e segurança necessários para as operações da empresa, comprometendo-se com a melhoria contínua do Sistema de Gestão da Segurança da Informação.
A responsabilidade por essa tarefa é delegada ao Comitê de Segurança, criado pela NeuronUP como um órgão colegiado transversal composto por:
- O Responsável pela Segurança da Informação, que também exerce a função de Presidente do Comitê de Segurança.
- O Administrador de Sistemas, que também assume o papel de Secretário do Comitê de Segurança.
- O Diretor de Tecnologias.
As atribuições específicas desses cargos estão incluídas nas descrições de cargo de seus respectivos responsáveis. O procedimento para sua designação e/ou renovação é aprovado pela Direção.
As nomeações serão revisadas a cada 2 anos ou quando um cargo ficar vago, por proposta do próprio Comitê de Segurança.
5.1. Funções do Comitê de Segurança
A principal função do Comitê de Segurança é definir a Política de Segurança da Informação e os objetivos do SGSI.
O Comitê de Segurança estabelecerá os níveis de risco considerados aceitáveis, determinando as ações apropriadas para reduzir aqueles riscos que excedam esses limites.
Será responsabilidade do Comitê de Segurança a revisão anual desta política e a proposta de revisão ou manutenção da mesma. Da mesma forma, esta política será complementada por meio de normas e recomendações de segurança (outras políticas, protocolos, procedimentos, instruções técnicas etc.).
Em particular, os pontos de segurança a serem revisados serão:
- O estado das ações a serem desenvolvidas desde o último controle.
- Mudanças relevantes para o SGSI.
- Gestão de riscos, vulnerabilidades e ameaças.
- Tecnologias, produtos e serviços para a melhoria contínua.
6. Gestão de riscos
Para a harmonização das análises de risco, o Comitê de Segurança estabelecerá uma avaliação de referência para os diferentes tipos de informação tratados e os diferentes serviços prestados.
O Comitê de Segurança analisará a disponibilidade de recursos para atender às necessidades de segurança dos diferentes sistemas.
Todos os sistemas sujeitos a esta política deverão realizar uma análise de riscos, avaliando as ameaças e os riscos aos quais estão expostos. Essa análise será repetida:
- Regularmente, pelo menos uma vez por ano;
- quando ocorrer um incidente grave de segurança;
- quando forem reportadas vulnerabilidades graves.
Para garantir a disponibilidade dos serviços críticos diante de possíveis incidentes, a empresa dispõe de um Plano de Recuperação de Desastres que coordena todas as atividades de recuperação dos processos de negócio que possam ser afetados.
7. Obrigações do pessoal
Todos os membros da NeuronUP têm a obrigação de conhecer e cumprir a Política de Segurança da Informação e as normas de segurança, sendo responsabilidade do Comitê de Segurança disponibilizar os meios necessários para que a informação chegue aos envolvidos.
O descumprimento desta Política de Segurança e das normas que a desenvolvem poderá resultar em sanções disciplinares conforme o estabelecido no Estatuto dos Trabalhadores e no acordo coletivo aplicável. As diretrizes específicas para os trabalhadores estão descritas na Política de segurança para trabalhadores.
7.1. Conscientização e formação
De acordo com a Política de formação e conscientização em Segurança da Informação, todos os membros da NeuronUP receberão formação em segurança da informação pelo menos uma vez por ano. Além disso, será estabelecido um programa de conscientização contínua para garantir que todos os interessados compreendam e cumpram a Política de Segurança da Informação.
As pessoas com responsabilidade no uso, operação ou administração de sistemas receberão formação para o uso seguro dos sistemas na medida em que necessitem para realizar seu trabalho. A formação será obrigatória antes de assumir uma responsabilidade, tanto no caso de uma primeira atribuição quanto em caso de mudança de cargo ou de responsabilidades no mesmo.
7.2. Diretrizes básicas do SGSI
As diretrizes básicas para o tratamento seguro da informação e a estruturação da documentação de segurança do sistema, sua gestão e acesso, são desenvolvidas nos manuais, políticas, normas e procedimentos do SGSI.
Essas diretrizes são as seguintes:
- A informação deve ser classificada nas seguintes categorias: Pública, Uso Interno, Confidencial ou Reservada.
- Os suportes físicos que armazenam informações não públicas devem ser mantidos em local seguro.
- O acesso aos sistemas de informação será permitido com base no princípio da necessidade de conhecimento (need-to-know), garantindo que cada pessoa acesse apenas as informações necessárias para o desempenho de suas funções.
- Os acessos físicos às instalações da empresa são restritos exclusivamente ao pessoal autorizado.
- Todos os colaboradores devem registrar suas entradas e saídas por meio do sistema de controle de jornada e ponto.
- O acesso de pessoas externas à empresa deve ser registrado nos casos estabelecidos pela NeuronUP.
- Será seguida a Política de gestão de senhas indicada pela NeuronUP.
- Os computadores são configurados para que, após um período de inatividade, sejam bloqueados automaticamente com um protetor de tela protegido por senha. No entanto, cabe ao usuário bloqueá-lo manualmente sempre que se ausentar do posto de trabalho.
- Sempre que um colaborador deixar a empresa, seus direitos de acesso serão desativados.
- Os usuários disporão de e-mail corporativo para o desenvolvimento de seu trabalho.
- Nos contratos com terceiros, serão incluídas as cláusulas de segurança apropriadas.
- Os usuários nunca devem desativar os programas antivírus nem qualquer outra ferramenta ou controle instalado com o objetivo de melhorar a segurança.
- Os usuários não devem ter expectativas de privacidade ao acessar os sistemas de informação da empresa, uma vez que esta (dentro do marco legal estabelecido e com o objetivo de gerenciar os sistemas e fazer cumprir a segurança) pode revisar qualquer informação armazenada em seus sistemas.
- Qualquer consulta em matéria de segurança pode ser direcionada a [email protected].
- Ao detectar uma situação que afete a segurança da informação da NeuronUP, qualquer usuário (colaborador ou externo) deve comunicá-la ao responsável do departamento e/ou ao responsável pela segurança.
8. Dados de caráter pessoal
A NeuronUP somente coletará e tratará dados de caráter pessoal quando necessário e de acordo com a legislação de proteção de dados; para isso, dispõe de uma Política de proteção de dados pessoais, que se ajusta aos níveis de segurança exigidos pela normativa vigente.
Serão adotadas as medidas técnicas e organizacionais necessárias para garantir a proteção dos dados de caráter pessoal.
9. Terceiras partes
Quando a NeuronUP prestar serviços a outras organizações ou lidar com informações de terceiros, estes serão informados sobre esta Política de Segurança da Informação e sobre as normas e instruções dela decorrentes. Serão estabelecidos canais para reporte e coordenação dos respectivos Comitês de Segurança, bem como procedimentos de atuação para a resposta a incidentes de segurança.
Quando a NeuronUP utilizar serviços de terceiros ou compartilhar informações com terceiros, estes serão informados sobre esta Política e sobre a normativa de segurança relacionada a tais serviços ou informações. Esse terceiro ficará sujeito às obrigações estabelecidas na normativa, podendo desenvolver seus próprios procedimentos operacionais para cumpri-la. Serão estabelecidos procedimentos específicos de reporte e resolução de incidentes. Será garantido que o pessoal de terceiros esteja adequadamente conscientizado em matéria de segurança, pelo menos no mesmo nível estabelecido nesta Política.
Quando algum aspecto da Política não puder ser atendido por uma terceira parte conforme requerido nos parágrafos anteriores, será exigido um relatório do Responsável pela Segurança que especifique os riscos envolvidos e a forma de tratá-los. A aprovação desse relatório será exigida por parte dos responsáveis pelas informações e pelos serviços afetados antes de prosseguir.
Data da última revisão: 22 de novembro de 2025
