Política de Segurança da Informação

O presente manual de políticas aplica-se a funcionários, contratados, terceiros, usuários e visitantes da ATOM CHAT S.A.S. que, por qualquer razão, tenham qualquer tipo de interação com os ativos de informação, bancos de dados, infraestrutura digital ou se relacionem de qualquer forma com nossas plataformas digitais.

1. OBJETIVO:

Estabelecer diretrizes relacionadas à segurança da informação abordando temáticas específicas, como complemento ao definido pela equipe de segurança da informação da Companhia, a fim de preservar a confidencialidade, integridade e disponibilidade dos ativos da ATOM CHAT S.A.S. (Doravante a Companhia, que inclui todas as suas filiais e/ou matriz).

2. DEFINIÇÕES:

Para a correta interpretação deste Manual, devem-se levar em conta as seguintes definições:

Ativo de Informação: refere-se a qualquer informação ou elemento relacionado ao tratamento desta (sistemas, documentos, suportes, pessoas) que tenha valor para a Companhia.
Confidencialidade: Propriedade da informação que a torna não disponível ou não divulgada a indivíduos, entidades ou processos não autorizados.
Integridade: Propriedade da informação que busca preservar sua exatidão e completude.
Disponibilidade: Propriedade da informação de ser acessível e utilizável sob demanda por uma parte interessada.
Circulação restrita: Refere-se ao tratamento de informação que permite que ela circule (transite de um lado a outro) de maneira controlada, sem que a informação se torne um arquivo de livre acesso e consulta.
Controles: Medida que permite reduzir ou mitigar um risco.

3. DIRETRIZES BÁSICAS:

A Companhia estabelece a seguir as seguintes diretrizes básicas de segurança da informação, que deverão ser cumpridas por todos os funcionários, contratados, terceiros, usuários e visitantes. As diretrizes de segurança estão classificadas em diferentes temáticas, levando em conta o contexto interno e externo da Companhia:

A. RH (recrutamento e gestão):

Durante o processo de seleção de pessoal, será realizada a verificação de antecedentes criminais dos candidatos, independentemente do cargo ou posição ao qual se candidatem.
Todo o pessoal que trabalhe na Companhia deverá assinar um acordo de confidencialidade e um documento de conhecimento e aceitação das políticas definidas para a segurança da informação e o bom uso dos ativos de informação.
Todo o pessoal que trabalhe na Companhia ou preste algum tipo de serviço que possa ter contato com os ativos de informação receberá uma jornada de formação sobre a legislação aplicável ao tratamento de dados pessoais e cibersegurança. O departamento de recursos humanos se encarregará de indicar na ficha técnica de cada cargo as pessoas que entrarão em contato com as informações pessoais de terceiros, a fim de que essas pessoas recebam um treinamento adicional.
A Companhia manterá uma política de "mesa limpa". No ambiente digital e de contexto de trabalho da Companhia, isso significa que todo computador ou equipamento digital deverá possuir senha, os arquivos devem estar todos armazenados e classificados, os bancos de dados terão acessos restritos e não será permitido fazer cópias de informação sem justificativa pertinente. A equipe de RH é responsável pela capacitação nesse sentido.
Sempre que os funcionários se desligarem da Companhia, deve-se fazer um inventário da informação armazenada nos dispositivos, número de cópias de informação e integridade dos dispositivos.

B. CONTROLE DE ACESSO:

Para a proteção dos ativos de informação, serão estabelecidos procedimentos e políticas para o controle de acesso à rede, sistemas de informação e infraestrutura física (instalações, se for o caso), com o fim de mitigar os riscos associados ao acesso não autorizado à informação.
Todos os usuários deverão assumir a responsabilidade sobre a informação física ou digital que acessam e processam, dando-lhe um uso adequado, a fim de salvaguardar a confidencialidade, integridade e disponibilidade da informação.
Para esse efeito, todo acesso aos sistemas de informação da Companhia deve contar com uma senha segura, confidencial e com padrões adequados de segurança definidos pela Companhia.
A Companhia implementará ferramentas de criptografia com o fim de proteger a confidencialidade e integridade da informação quando considerar necessário. Da mesma forma, determinará os equipamentos nos quais deverão ser instalados controles criptográficos adicionais quando assim for exigido.

C. SEGURANÇA PARA O USO DE DISPOSITIVOS:

Com o fim de assegurar as operações realizadas nos recursos tecnológicos que suportam a operação do negócio da Companhia, esta última planeja, gere, faz backup e monitora a infraestrutura tecnológica a fim de detectar atividades incomuns ou suspeitas.
Deverá ser realizada manutenção preventiva em todos os equipamentos, softwares e sistemas pelo menos uma vez por ano.
Os Ativos de Informação não devem circular sem controle por parte da Companhia. Deverá haver registro de cada banco de dados: onde se encontra, quem tem acesso, sua finalidade e vigência.
Todo site visitado deve contar com certificado de autenticação seguro SSL - Secure Sockets Layer - (https://) para verificar se a informação é comunicada de forma segura.
Não se poderá publicar ou circular informações da Companhia ou de seus clientes, mesmo que não estejam rotuladas como confidenciais. Sua divulgação deverá estar autorizada pelo superior hierárquico.
O uso de computador pessoal para executar as atividades da Companhia não é permitido.
O uso dos dispositivos da Companhia por parte de terceiros alheios a ela não é permitido.
Está proibido o download de programas, fotos, músicas, vídeos e qualquer outro formato de informação que seja alheio à Companhia nos dispositivos e sistemas da mesma.
É proibido usar as senhas de acesso de um colega de trabalho.

D. ESCOLHA DE FORNECEDORES:

A Companhia, através da equipe de compras e tecnologia, zelará para que os sistemas de informação implementados na Companhia cumpram os requisitos de segurança e boas práticas estabelecidas pela Superintendência de Indústria e Comércio em tudo relacionado ao tratamento de dados pessoais; da mesma forma, estabelecerão um padrão de acordo com a indústria, os riscos iminentes e as recomendações fornecidas por parceiros comerciais.
Todas as equipes de trabalho da Companhia deverão informar à área de compras e tecnologia sobre seus projetos de aquisição de sistemas de informação ou software, a fim de fornecer as observações correspondentes e revisar os aspectos técnicos necessários para seu desenvolvimento e implementação.
Antes de iniciar a execução de contratos que impliquem o acesso à infraestrutura tecnológica da Companhia, deverão ser assinados os respectivos acordos de confidencialidade que incluam protocolos de segurança da informação para as etapas contratual e pós-contratual.

E. CONDUTA MÍNIMA ESPERADA NA INTERNET:

A internet é um recurso valioso e necessário para o desenvolvimento do objeto social da Companhia, portanto, definem-se as seguintes diretrizes para seu uso adequado, o que constitui um padrão mínimo de conduta:

Enquanto as pessoas estiverem usando os dispositivos eletrônicos da Companhia e os sistemas de informação estiverem abertos, o uso da internet está limitado à execução das tarefas atribuídas.
Estará limitado o acesso a portais de: Jogos, pornografia, substâncias psicoativas, terrorismo, segregação racial, hacking, malware, software gratuito ou ilegal e/ou qualquer outra página que vá contra as leis vigentes na Colômbia, portais de nuvem e troca de informação massiva (excetuando a nuvem corporativa).
A Companhia poderá verificar os logs ou registros de navegação quando solicitado ou necessário para investigações ou requisitos que possam ser gerados.

F. USO DO E-MAIL:

As caixas de correio eletrônico atribuídas aos colaboradores da Companhia pertencem à Companhia, portanto, seu conteúdo também é propriedade da Companhia.
O e-mail só deverá ser empregado para uso corporativo e o desempenho das funções correspondentes a cada cargo.
A Companhia poderá verificar o conteúdo das caixas de e-mail e telefones corporativos, tablets ou qualquer outro dispositivo nos casos em que seja necessário acessar informações para continuar com a prestação do serviço ou para investigações específicas.
Deve-se evitar a todo custo cair em práticas de phishing ou similares. Para tanto, todos os colaboradores devem levar em conta que, se desconhecerem o remetente de um e-mail ou se o domínio não coincidir com a empresa ou serviço que diz ser, se o assunto contiver um enunciado alarmista, se a redação for estranha ou tiver erros de ortografia, se carecer de dados personalizados, solicitar dados pessoais ou o download/acesso a um link, devem abster-se de continuar visualizando tal conteúdo e devem contatar a equipe de segurança informática.

G. CONTRATOS

Os contratos com clientes deverão conter:

Uma menção clara da existência de transferência ou transmissão de informações, de modo que a Companhia possa verificar sua responsabilidade.
Meios de comunicação eficientes.
Os Controles que deverão ser empregados para as atividades de transferência ou transmissão de informações e a Disponibilidade que se aplicará à informação compartilhada.
Os escopos do tratamento de dados pessoais, ou seja, em relação à coleta, uso, armazenamento, circulação e/ou exclusão dos mesmos.
As atividades que a Companhia realizará por conta do cliente.

4. GRUPO DE PESQUISA E VIGILÂNCIA LEGISLATIVA:

A equipe de RH designará uma equipe de trabalho de pesquisa e vigilância legislativa, que definirá um plano de formação e atualização contínua, onde se planejará ANUALMENTE a maneira como serão comunicadas recomendações ou dicas de segurança da informação por diferentes meios a todos os colegas de trabalho, com o fim de socializar as políticas corporativas em segurança da informação ou as boas práticas em segurança que se desejam socializar para aumentar as capacidades de todas as áreas e processos da Companhia.

Esta equipe de trabalho velará pelo cumprimento da legislação vigente em relação aos requisitos estabelecidos na segurança e privacidade da informação, direitos de propriedade intelectual e proteção de dados pessoais.

Da mesma forma, esta equipe de trabalho terá a obrigação de acompanhar de perto toda mudança nas políticas de privacidade dos parceiros comerciais envolvidos na prestação dos serviços da Companhia, a fim de verificar se estas estão de acordo com a jurisdição onde se encontram seus clientes.

5. INCIDENTES DE SEGURANÇA:

Todos os colaboradores deverão reportar qualquer incidente, vulnerabilidade ou risco potencial aos Ativos de Informação, sem exceção alguma.

O colaborador que tiver conhecimento do incidente deverá cooperar com o encarregado da investigação e deverá verificar se este incidente tem a capacidade de afetar ou interessar de qualquer modo a um fornecedor e/ou cliente.

Os envolvidos na investigação devem verificar se o incidente deve ser reportado às autoridades. Em todo caso, notificar-se-á o fornecedor ou cliente a quem este incidente possa interessar ou afetar de qualquer modo, mesmo que o dano não tenha se consumado e tenha sido apenas potencial. Nos contratos de prestação de serviços corporativos, sempre se deverão estabelecer vias de comunicação rápidas e efetivas para estes casos.

A Companhia deve contar com um protocolo de incidentes de segurança. O protocolo de incidentes de segurança basear-se-á no seguinte:

Contenção do incidente e proteção dos ativos. Deverão ser ativadas todas as rotas de proteção e selagem da infraestrutura tecnológica.
Avaliar-se-ão os riscos e impactos associados ao incidente de segurança.
Deverão ser identificados os danos que puderam ser causados aos titulares da informação e aos terceiros interessados (clientes e fornecedores).
Notificar-se-ão as autoridades quando necessário, de acordo com a legislação.
Comunicar-se-á aos Titulares da informação a ocorrência do evento, em parceria com os demais envolvidos. Este passo é fundamental, pois permite que os afetados diretos possam empregar medidas úteis frente às consequências de um incidente de segurança.
Realizar-se-á um plano de melhoria.

Após a investigação do incidente de segurança, será necessário responder às seguintes perguntas:

Quais foram os protocolos ou medidas que não tiveram o efeito esperado?

Quais foram os ativos vulneráveis?

Que ações poderiam ter sido adotadas? Por que não foram adotadas?

A quais riscos estiveram expostos os titulares da informação? São exemplos de riscos: Risco para a integridade física das pessoas, extorsão econômica, falsidade ideológica/suplantação de identidade, perfilamento com fins ilícitos, perda de oportunidades, discriminação, humilhação, danos à reputação.

6. ATUALIZAÇÃO CONTÍNUA:

As políticas aqui definidas tornar-se-ão efetivas a partir da sua aprovação pelo Gerente Geral da Companhia e serão revisadas pelo menos anualmente, a fim de assegurar sua vigência.

7. OBRIGATORIEDADE E DESCUMPRIMENTO:

O descumprimento desta política é uma violação grave dos deveres de todos os colaboradores e pode gerar a rescisão da relação contratual, além de denúncia criminal perante as entidades correspondentes quando constituir crime. A esse respeito, tem-se que:

Código Penal Colombiano - Artigo 269F. Violação de dados pessoais

Aquele que, sem estar facultado para isso, com proveito próprio ou de um terceiro, obtenha, compile, subtraia, ofereça, venda, troque, envie, compre, intercepte, divulgue, modifique ou empregue códigos pessoais, dados pessoais contidos em fichários, arquivos, bancos de dados ou meios semelhantes, incorrerá em pena de prisão de quarenta e oito (48) a noventa e seis (96) meses e em multa de 100 a 1000 salários mínimos legais mensais vigentes.

ATOM CHAT

Última atualização: 02/04/2023