1. Introdução
A NeuronUP depende dos sistemas de TIC (Tecnologias da Informação e Comunicação) para alcançar seus objetivos. Esses sistemas devem ser administrados com diligência, adotando as medidas adequadas para protegê-los contra danos acidentais ou deliberados que possam afetar a disponibilidade, a integridade ou a confidencialidade das informações tratadas ou dos serviços prestados.
A equipe da NeuronUP deve garantir que a segurança seja parte integrante de cada etapa do ciclo de vida do sistema, desde a concepção até a retirada de serviço, passando pelas decisões de desenvolvimento ou aquisição e pelas atividades de operação.
Os departamentos da NeuronUP, de acordo com o desempenho das funções que lhes são atribuídas, devem estar preparados para prevenir, detectar, reagir e se recuperar de incidentes, em conformidade com a regulamentação vigente.
Para garantir o cumprimento desta política, o Comitê de Segurança desenvolve e avalia regularmente os sistemas e se encarrega de que toda a equipe da NeuronUP conheça e cumpra suas funções em relação à segurança da informação.
2. Âmbito de aplicação
Esta política se aplica a todas as pessoas, processos, sistemas e ativos envolvidos no tratamento das informações na NeuronUP.
Isso abrange a equipe interna, os colaboradores externos, os fornecedores e terceiros que tenham acesso às informações ou aos sistemas, além de todos os ativos de informação.
O cumprimento desta política é obrigatório e constitui a base sobre a qual são estabelecidas as normas, os procedimentos e os controles do Sistema de Gestão de Segurança da Informação (SGSI) da organização.
3. Objetivo desta política
Esta política tem como objetivo estabelecer o marco de atuação para garantir a segurança da informação e a prestação contínua dos serviços.
Esta política é desenvolvida por meio da documentação e das normas de segurança à disposição de todos os membros da organização que precisem conhecê-la, em particular aqueles que usam, operam ou administram os sistemas de informação e comunicação, por meio de procedimentos, processos, instruções técnicas etc.
As normas de segurança estão disponíveis para todos os funcionários da organização em seu gestor de documentos.
4. Marco regulatório
A NeuronUP se compromete a cumprir todas as leis, regulamentos e normas aplicáveis em matéria de segurança da informação.
5. Organização da segurança
A direção da empresa assume a responsabilidade de promover e apoiar o estabelecimento de medidas técnicas, organizacionais e de controle que garantam os níveis de qualidade e segurança necessários para as operações da empresa, comprometendo-se com a melhoria contínua do Sistema de Gestão de Segurança da Informação.
A responsabilidade por essa tarefa é delegada ao Comitê de Segurança, criado pela NeuronUP como um órgão colegiado transversal composto por:
- O Responsável pela Segurança da Informação, que também atua como Presidente do Comitê de Segurança.
- O Administrador de Sistemas, que também assume o papel de Secretário do Comitê de Segurança.
- O Diretor de Tecnologia.
As atribuições específicas dessas funções estão incluídas nas descrições de cargo de seus respectivos responsáveis. O procedimento para sua designação e/ou renovação é aprovado pela direção.
As nomeações serão revisadas a cada 2 anos ou quando um cargo ficar vago, por proposta do próprio Comitê de Segurança.
5.1. Funções do Comitê de Segurança
A principal função do Comitê de Segurança é definir a Política de Segurança da Informação e os objetivos do SGSI.
O Comitê de Segurança estabelecerá os níveis de risco considerados aceitáveis, determinando as ações oportunas para reduzir os riscos que ultrapassem esses limites.
Caberá ao Comitê de Segurança a revisão anual desta política e a proposta de revisão ou manutenção dela. Além disso, esta política será complementada por normas e recomendações de segurança (outras políticas, protocolos, procedimentos, instruções técnicas etc.).
Especificamente, os pontos de segurança a revisar serão:
- O estado das ações a desenvolver desde o último controle.
- Mudanças relevantes para o SGSI.
- Gestão de riscos, vulnerabilidades e ameaças.
- Tecnologias, produtos e serviços para a melhoria contínua.
6. Gestão de riscos
Para harmonizar as análises de riscos, o Comitê de Segurança estabelecerá uma avaliação de referência para os diferentes tipos de informação tratados e os diferentes serviços prestados.
O Comitê de Segurança estudará a disponibilidade de recursos para atender às necessidades de segurança dos diferentes sistemas.
Todos os sistemas sujeitos a esta política deverão realizar uma análise de riscos, avaliando as ameaças e os riscos a que estão expostos. Essa análise será repetida:
- regularmente, pelo menos uma vez por ano;
- quando ocorrer um incidente grave de segurança;
- quando forem relatadas vulnerabilidades graves.
Para garantir a disponibilidade dos serviços críticos diante de possíveis incidentes, a empresa dispõe de um Plano de Recuperação de Desastres que coordena todas as atividades de recuperação dos processos de negócio que possam ser afetados.
7. Obrigações da equipe
Todos os membros da NeuronUP têm a obrigação de conhecer e cumprir a Política de Segurança da Informação e as normas de segurança, cabendo ao Comitê de Segurança dispor dos meios necessários para que as informações cheguem às pessoas envolvidas.
O descumprimento desta Política de Segurança e das normas que a desenvolvem poderá resultar em sanções disciplinares, de acordo com o estabelecido no Estatuto dos Trabalhadores (Espanha) e na convenção coletiva aplicável. As diretrizes específicas para os funcionários são desenvolvidas na Política de segurança para funcionários.
7.1. Conscientização e treinamento
De acordo com a Política de treinamento e conscientização em segurança da informação, todos os membros da NeuronUP receberão treinamento em segurança da informação pelo menos uma vez por ano. Além disso, será estabelecido um programa de conscientização contínua para garantir que todas as partes interessadas compreendam e cumpram a Política de Segurança da Informação.
As pessoas com responsabilidade pelo uso, operação ou administração de sistemas receberão treinamento para o manejo seguro dos sistemas na medida em que precisarem dele para realizar seu trabalho. O treinamento será obrigatório antes de assumir uma responsabilidade, seja na primeira atribuição, seja em uma mudança de cargo ou de responsabilidades.
7.2. Diretrizes básicas do SGSI
As diretrizes básicas para o tratamento seguro das informações e para a estruturação da documentação de segurança do sistema, sua gestão e seu acesso são desenvolvidas nos manuais, políticas, normas e procedimentos do SGSI.
Essas diretrizes são as seguintes:
- As informações devem ser classificadas nas seguintes categorias: Pública, Uso Interno, Confidencial ou Reservada.
- Os suportes físicos que armazenam informações não públicas devem ser guardados em local seguro.
- O acesso aos sistemas de informação será permitido com base no princípio da necessidade de conhecer (need-to-know), garantindo que cada pessoa acesse apenas as informações necessárias para o desempenho de suas funções.
- O acesso físico às instalações da empresa é restrito apenas à equipe autorizada.
- Todos os funcionários devem registrar suas entradas e saídas no sistema de controle de ponto.
- O acesso de pessoas externas à empresa deve ser registrado nos casos estabelecidos pela NeuronUP.
- Será seguida a Política de gestão de senhas indicada pela NeuronUP.
- Os computadores estão configurados para, após um período de inatividade, serem bloqueados automaticamente com uma proteção de tela protegida por senha. No entanto, cabe ao usuário bloqueá-los manualmente sempre que deixar o posto de trabalho.
- Sempre que um funcionário deixar a empresa, seus direitos de acesso serão desativados.
- Os usuários terão e-mail corporativo para o desenvolvimento de seu trabalho.
- Os contratos com terceiros incluirão as cláusulas de segurança oportunas.
- Os usuários nunca devem desativar os programas antivírus nem qualquer outra ferramenta ou controle instalado com o objetivo de melhorar a segurança.
- Os usuários não devem ter expectativa de privacidade ao acessar os sistemas de informação da empresa, já que ela (dentro do marco legal estabelecido e com o objetivo de gerenciar os sistemas e garantir a segurança) pode revisar qualquer informação armazenada em seus sistemas.
- Qualquer dúvida em matéria de segurança pode ser enviada para [email protected].
- Ao detectar uma situação que afete a segurança da informação da NeuronUP, qualquer usuário (funcionário ou externo) deve comunicá-la ao responsável pelo departamento e/ou ao responsável pela segurança.
8. Dados pessoais
A NeuronUP só coletará e tratará dados pessoais quando for necessário e de acordo com a legislação de proteção de dados; por isso, dispõe de uma Política de proteção de dados pessoais, que se ajusta aos níveis de segurança exigidos pela legislação vigente.
Serão adotadas as medidas técnicas e organizacionais necessárias para garantir a proteção dos dados pessoais.
9. Terceiros
Quando a NeuronUP prestar serviços a outras organizações ou tratar informações de terceiros, eles serão informados desta Política de Segurança da Informação e das normas e instruções dela derivadas. Serão estabelecidos canais de comunicação e coordenação entre os respectivos Comitês de Segurança e procedimentos de atuação para a resposta a incidentes de segurança.
Quando a NeuronUP utilizar serviços de terceiros ou ceder informações a terceiros, eles serão informados desta Política e das normas de segurança relativas a esses serviços ou informações. Esse terceiro ficará sujeito às obrigações estabelecidas nas normas, podendo desenvolver seus próprios procedimentos operacionais para cumpri-las. Serão estabelecidos procedimentos específicos de comunicação e resolução de incidentes. Será garantido que a equipe de terceiros esteja adequadamente conscientizada em matéria de segurança, pelo menos no mesmo nível estabelecido nesta Política.
Quando algum aspecto da Política não puder ser cumprido por um terceiro conforme exigido nos parágrafos anteriores, será exigido um relatório do Responsável pela Segurança que especifique os riscos envolvidos e a forma de tratá-los. Esse relatório deverá ser aprovado pelos responsáveis pelas informações e pelos serviços afetados antes de prosseguir.
Data da última revisão: 22 de novembro de 2025