Política de Segurança da Informação

Propósito

A Progic compromete-se a proteger suas informações e dados pessoais, assegurando confidencialidade, integridade e disponibilidade, em conformidade com requisitos legais, contratuais e normativos, para garantir a continuidade do negócio e a proteção da marca.

Princípios e compromissos

·       Proteção integral da informação: A informação deve ser protegida ao longo de todo o seu ciclo de vida, assegurando confidencialidade, integridade e disponibilidade.

·       Privacidade e proteção de dados pessoais: O tratamento de dados pessoais deve atender aos requisitos legais e contratuais, garantindo os direitos dos titulares e a transparência no papel da empresa, seja como controladora ou operadora.

·       Segurança e privacidade por design: A segurança da informação e a proteção de dados devem ser incorporadas desde a concepção de soluções, sistemas e infraestruturas tecnológicas.

·       Controle, rastreabilidade e gestão de riscos: O acesso às informações deve ser controlado, monitorado e auditável, com gestão contínua de ameaças, vulnerabilidades e incidentes.

·       Resiliência e continuidade do negócio: A segurança da informação deve suportar a continuidade dos serviços e a capacidade de recuperação diante de eventos adversos.

·       Responsabilidade compartilhada e cultura de segurança: A segurança da informação é responsabilidade de todos, sustentada por conscientização, capacitação contínua e governança adequada, inclusive na cadeia de fornecedores.

·       Conformidade e melhoria contínua: A Progic compromete-se a atender aos requisitos de clientes, legais, regulamentares e normativos aplicáveis, bem como a perseguir a melhoria contínua do Sistema de Gestão Integrada.

Controles Implementados

Contato com Autoridades

A Progic mantém uma lista atualizada de contatos de emergência e autoridades competentes, disponível no SharePoint e fisicamente na sede, para consulta e acionamento imediato quando necessário.

Contato com Grupos de Interesse Especial

A Progic estabelece e mantém contato com grupos de interesse especial, fóruns especializados, associações profissionais, comunidades de segurança e fornecedores relevantes para ampliar seus conhecimentos e acompanhar informações relacionadas à segurança da informação. Para isso, deve:

·       Identificar os grupos, fóruns, associações, comunidades e fontes especializadas relevantes ao contexto, às tecnologias e aos riscos da Progic.

·       Definir responsáveis por acompanhar e manter os contatos e as inscrições aplicáveis.

·       Acompanhar periodicamente alertas, orientações, boas práticas, ameaças, vulnerabilidades e mudanças relevantes divulgadas por essas fontes.

·       Avaliar as informações recebidas e, quando aplicável, encaminhá-las às áreas responsáveis para tratamento de riscos, vulnerabilidades, incidentes ou melhorias nos controles de segurança.

·       Manter registros dos contatos estabelecidos e das informações relevantes utilizadas pela Progic.

·       Compartilhar informações externas somente por pessoas autorizadas, respeitando os requisitos de confidencialidade, proteção de dados e comunicação da empresa.

Ativos de Informação

Os controles implementados partem do princípio de que primeiro é necessário identificar e gerenciar os ativos de informação (informações, equipamentos, sistemas, dispositivos, software, responsáveis etc.) a partir dos quais os demais controles passam a ter contexto. As práticas envolvem:

·       Inventariar os ativos relevantes para a operação e manter responsável definido durante todo o ciclo de vida.

·       Permitir o uso de equipamento próprio para trabalho, quando aplicável, desde que atenda aos requisitos mínimos de desempenho, segurança, monitoramento e seja tratado como parte do perímetro de segurança da informação.

·       Adquirir e utilizar equipamentos, softwares e demais ativos conforme padrões homologados, requisitos de segurança, direitos autorais e licenciamento aplicável, proibindo softwares piratas ou não licenciados.

·       Bloquear mídias de armazenamento portátil removível em estações de trabalho da Progic e vedar a cópia de dados corporativos em mídias de armazenamento portátil removível em equipamentos próprios de colaboradores.

·       Executar limpeza segura em ativos de armazenamento antes de reutilização, doação ou descarte, garantindo que dados corporativos ou pessoais não possam ser recuperados.

·       No encerramento do vínculo, devolver ativos da Progic e remover acessos, dados e softwares corporativos de ativos pessoais.

Controle de Acesso

Depois de identificar os ativos de informação, define-se quem pode acessá-los e sob quais condições. Controle de acesso é um dos controles fundamentais para proteção dos ativos e requer:

·       Conceder acessos pelo princípio do menor privilégio, com separação de funções conflitantes e aprovação formal antes da liberação.

·       Usar identificação única por usuário, proibir compartilhamento de credenciais e exigir senhas fortes, complementadas por autenticação de múltiplos fatores quando aplicável, especialmente para acessos remotos e contas administrativas.

·       Aplicar controles compensatórios em sistemas legados que não suportem integralmente os requisitos de segurança.

·       Revisar acessos periodicamente conforme o cronograma interno, incluindo contas privilegiadas e acessos administrativos.

·       Aprovar contas administrativas pela alta direção e gerenciá-las de forma restrita, rastreável e revisada periodicamente.

·       Bloquear ou ajustar acessos prontamente em desligamentos, término de contrato, afastamentos ou férias, salvo exceção aprovada.

·       Usar apenas rede privada virtual homologada para acesso externo à rede corporativa do produto.

·       Bloquear estações de trabalho após período de ausência.

·       Usar rede corporativa, internet e correio eletrônico corporativo de forma ética, profissional e compatível com as finalidades da empresa.

·       Armazenar arquivos corporativos apenas em locais homologados, proibindo o armazenamento de conteúdo da Progic em computador próprio.

·       Permitir o monitoramento dos recursos tecnológicos para fins de conformidade, rastreabilidade e proteção dos ativos.

Criptografia e Gestão de Chaves

Uma vez definidos os acessos, estabelece-se a proteção das informações sensíveis por meio de criptografia e da gestão adequada das chaves por meio de:

·       Usar criptografia para proteger informações sensíveis e confidenciais em trânsito e em repouso, por meio de mecanismos criptográficos homologados pela empresa.

·       Proibir o uso de tecnologia criptográfica não autorizada.

·       Proteger chaves criptográficas contra acesso não autorizado, alteração indevida, perda e destruição não autorizada, restringindo seu acesso a pessoas formalmente designadas.

·       Renovar chaves na periodicidade definida pela Progic.

·       Obter autorização da diretoria para alterações de chaves que impactem transações e serviços críticos.

·       Proibir credenciais, senhas, chaves de interface de programação de aplicações ou segredos diretamente no código-fonte, aplicando práticas de gestão de segredos nos documentos aplicáveis.

Transferência de Informações

Após definir quem acessa e como as informações são protegidas, a Progic define como elas podem ser compartilhadas interna ou externamente, regrando:

·       Usar apenas ferramentas oficiais homologadas pela Progic para transferências profissionais, ou “Sistemas Autorizados”. Fica proibido o uso de contas pessoais ou ferramentas de transferência não homologadas para enviar, armazenar ou compartilhar arquivos e informações da empresa.

·       Realizar transferências externas conforme a matriz de autorização aplicável à classificação da informação.

·       Considerar previamente autorizadas as transferências recorrentes mapeadas em registros de operações ou contratos vigentes.

·       Obter autorização específica para novos destinatários, novos fluxos ou transferências não previstas na rotina, validando fluxos de dados pessoais com o Encarregado pelo Tratamento de Dados Pessoais quando aplicável.

·       Usar rede privada virtual corporativa em transferências técnicas, conexões administrativas ou cenários que exijam túnel seguro.

·       Solicitar e documentar exceções técnicas junto à Tecnologia da Informação.

Backup

Com os ativos identificados e protegidos, entram os controles de disponibilidade e recuperação, incluindo cópias de segurança e restauração. As práticas devem:

·       Manter backups automáticos e periódicos para todos os ativos críticos, com frequência definida conforme criticidade, volatilidade dos dados e Objetivo de Ponto de Recuperação aceitável para o negócio.

·       Armazenar backups em localidade física distinta da produção e protegê-los com criptografia em repouso, controle de acesso restrito e medidas contra alteração indevida, como versionamento ou imutabilidade.

·       Manter backups pelo período de retenção definido, compatível com os requisitos legais e operacionais da Progic, e verificar periodicamente sua integridade e capacidade de restauração.

·       Proteger backups que contenham dados pessoais no mesmo nível aplicado aos dados em produção.

·       Reexecutar exclusões de dados pessoais após restauração, quando aplicável e tecnicamente viável, salvo obrigação legal.

Logs

Os registros de log fornecem rastreabilidade, monitoramento e evidências dos controles anteriores. Servem para detectar desvios e apoiar investigações. Para isso, é necessário:

·       Configurar sistemas críticos, aplicações web e serviços de infraestrutura para gerar registros de eventos relevantes, incluindo atividades de usuários, erros de sistema, transações de segurança e operações sobre dados pessoais quando aplicável.

·       Sincronizar os relógios dos sistemas com uma fonte de tempo única e confiável.

·       Proteger registros contra acesso não autorizado, adulteração, falsificação e perda.

·       Evitar o registro de dados sensíveis em texto claro, como senhas, dados financeiros ou outras informações que aumentem o risco em caso de exposição.

·       Definir a retenção dos registros conforme requisitos legais, normativos e de negócio.

·       Analisar registros regularmente para identificar anomalias, apoiar investigações e evidenciar a efetividade dos controles.

Gestão de Vulnerabilidades

A gestão de vulnerabilidades implementa controles contínuos de melhoria e proteção do ambiente já identificado, protegido e monitorado. Aqui, a Progic fecha o ciclo de tratamento de riscos técnicos, ao exigir:

·       Seguir ciclo contínuo de detecção, avaliação, tratamento e medição de vulnerabilidades.

·       Classificar vulnerabilidades por nível de risco e priorizar o tratamento conforme severidade técnica, impacto em segurança, privacidade e exposição do ambiente.

·       Tratar vulnerabilidades altas ou críticas conforme prazo definido, não mantendo vulnerabilidades críticas em produção sem plano formal de tratamento.

·       Tratar vulnerabilidades críticas com exploração pública de forma emergencial.

·       Corrigir, acompanhar ou aceitar formalmente vulnerabilidades médias ou baixas conforme prazo e ciclo definidos para o nível de risco.

·       Testar correções em ambiente de homologação antes da produção.

·       Formalizar, pelo gestor da área técnica, a justificativa e o plano de mitigação paliativa para o aceite de riscos médios que não puderem ser corrigidos no prazo.

·       Obter aprovação formal da Diretoria/Alta Direção para o aceite de riscos altos ou críticos, assumindo a responsabilidade pelo risco residual.

·       Avaliar fragilidades de segurança em sistemas, integrações e parcerias de terceiros.

Desenvolvimento Seguro de Software

O desenvolvimento seguro de software incorpora requisitos de segurança da informação e privacidade em todo o ciclo de vida das soluções, desde a concepção até a descontinuação. Para isso, é necessário:

·       Integrar requisitos e controles de segurança e privacidade às etapas de planejamento, design, implementação, testes, implantação, manutenção e descontinuação do software.

·       Registrar todas as mudanças do produto, incluindo funcionalidades, melhorias, refinamentos e correções de bugs, e avaliar seus riscos de segurança durante o planejamento e a priorização.

·       Aplicar privacidade por padrão, minimizando o tratamento de dados pessoais e utilizando somente os dados necessários para cada finalidade.

·       Manter segregados os ambientes de Desenvolvimento, Homologação e Produção, impedindo alterações diretas por desenvolvedores em Produção, salvo acessos emergenciais formalmente autorizados e auditados.

·       Proibir o uso de dados pessoais reais em ambientes de Desenvolvimento e Homologação, utilizando dados sintéticos ou anonimizados; eventuais exceções devem ser formalizadas e aprovadas pelo Encarregado pelo Tratamento de Dados Pessoais, com aplicação dos mesmos controles de segurança da Produção.

·       Armazenar códigos-fonte em repositórios oficiais centralizados, com controle de versão e acesso restrito conforme a necessidade de saber.

·       Manter repositórios de código-fonte e artefatos críticos do processo de desenvolvimento cobertos por rotinas de backup e restauração.

·       Adotar práticas de codificação segura para mitigar vulnerabilidades comuns, incluindo validação de entradas, criptografia de dados sensíveis, autenticação forte quando aplicável e tratamento adequado de erros e logs.

·       Gerar logs que apoiem a rastreabilidade, a detecção de falhas e as investigações, evitando dados pessoais desnecessários, e executar escaneamento automático de código no pipeline de integração e entrega contínuas.

·       Permitir o uso de inteligência artificial corporativa para produtividade somente com revisão humana obrigatória do código antes do commit, proibindo o uso de inteligências artificiais pessoais ou gratuitas.

·       Reconhecer como propriedade exclusiva da Progic todo código-fonte, documentação e modelagem desenvolvidos, proibindo sua disponibilização, cópia ou utilização externa sem autorização expressa.

Responsabilidade

A Alta Administração define e comunica a Política de Segurança da Informação, garantindo alinhamento à estratégia, recursos adequados e eficácia do SGI.

A equipe de infraestrutura e segurança da informação implementa, opera e mantém controles de segurança da informação, como proteção de sistemas, gestão de acessos, monitoramento, tratamento de vulnerabilidades e suporte à continuidade dos serviços, seguindo as políticas estabelecidas.

Os colaboradores e terceiros devem cumprir a Política de Segurança da Informação, usar recursos tecnológicos com segurança, proteger as informações sob sua responsabilidade e reportar incidentes ou eventos de segurança ou privacidade imediatamente.

Comunicação e disponibilidade

Esta política é comunicada internamente e disponibilizada às partes interessadas no website oficial da empresa.

Sua revisão ocorre periodicamente para garantir a contínua adequação e pertinência à estratégia da empresa.