Políticas de segurança de informação

• • O acesso a sistemas, recursos e outros deve ser concedido com base em:

1. Necessidade de negócios;

2. O princípio do menor privilégio;

3. Segregação de deveres;

• • Os acessos devem ser gerenciados por meio de um ciclo de vida, desde a criação até a desativação, incluindo revisões periódicas para precisão e adequação;
  • As senhas devem seguir os requisitos de complexidade e ser exclusivas, não devem ser reutilizadas, compartilhadas, armazenadas em arquivos ou gravados em qualquer lugar.

• • Logs e trilhas de auditoria devem ser habilitadas em ambientes de produção, protegidos de acessos não autorizados e alterações e registro:

1. Qual atividade foi realizada;

2. Quem realizou a atividade;

3. Quando a atividade foi realizada;

4. Em que atividade foi realizada;

• • Criptografia (256bits) deve ser utilizada em dados em repouso, trânsito e em qualquer forma de armazenamento;

• • API e endpoints de aplicativos utilizam apenas protocolos TLS / SSL e obtêm uma classificação “A” nos testes da Qualys SSL Labs. Isso significa que são utilizados apenas pacotes de criptografia fortes e recursos como HSTS e Perfect Forward Secrecy totalmente ativados;

• • Utilização de ferramentas e processos que buscam evitar que informações confidenciais saiam do ambiente interno da OmniChat sem autorização;

• • Soluções que permitam a prevenção, detecção e identificação de ataques da infraestrutura da OmniChat devem estar implementadas;

• • Soluções de software de detecção, prevenção e recuperação de antimalware devem estar disponíveis e implementadas para proteger o ambiente do OmniChat;

• • Os ativos de informação considerados críticos ou que armazenam e/ou processam informações sensíveis, devem ser restritos a áreas segregadas da rede com controles de acesso apropriados;

• • O ambiente de produção deve ter backups suficientes para restaurar sistemas e serviços para funcionar em caso de perda de dados ou interrupção do serviço;

• • Durante o ciclo de vida de desenvolvimento do software, os requisitos de segurança devem ser aplicados para garantir a confidencialidade, integridade e disponibilidade das informações;

• • Uma avaliação de segurança deve ser realizada antes da implementação de qualquer nova tecnologia, ferramenta ou solução em produção;

• • Devem ser implementados os procedimentos e controles destinados a prevenir, tratar e reduzir as vulnerabilidades da OmniChat a incidentes de segurança da informação, além de diretrizes para registro, análise de causa e impacto e avaliação da relevância dos incidentes;

• • As informações devem ser classificadas para auxiliar no mapeamento consistente dos ativos de informação e para estabelecer o nível de proteção que deve ser aplicado em seu armazenamento, transmissão e uso;

• • O Plano de Continuidade de Negócios (PCN) visa garantir que, em situação de crise, os processos essenciais e críticos sejam devidamente mantidos, preservando assim a continuidade das funções, operações e serviços críticos do negócio. O PCN deve ser testado e documentado duas vezes ao ano.

• • Os treinamentos de conscientização devem ser obrigatórios e realizados anualmente, apresentando os princípios de segurança da informação para auxiliar os colaboradores a reconhecer situações de risco e agir corretamente;

• • O consumo e o compartilhamento de informações sobre incidentes e ameaças com outras instituições locais e globais devem ser feitos por meio de canais seguros;

• • A Política de Segurança da Informação da OmniChat se divide em dois documentos, sendo uma externa e uma interna, ambas devem ser revisadas pelo menos uma vez por ano.