Políticas
Nossas políticas
Os links a seguir constituem as políticas em vigência na 2clix.
A 2CLIX sabe que sua segurança e privacidade são importantes e se preocupa muito com isso.
É importante para a organização garantir que os pilares da Segurança da Informação mantidos internamente sejam respeitados em suas relações externas. Desse modo, a contratação de serviços externos deve ser feita com cuidado e o conhecimento de que toda parte externa trazida para o negócio é um risco em potencial para a Segurança da Informação.
Todo fornecedor deverá funcionar de acordo com as restrições e escopos definidos em contrato sendo a duração dos seus acessos definidos pela duração definida em contrato.
Durante o primeiro contato com um fornecedor deve-se ser apresentado quais os serviços que pretende-se contratar em conjunto com os requisitos de segurança aos quais o fornecedor deverá seguir durante o cumprimento dos serviços. Nesta fase somente pode-se ser compartilhado documentos auxiliares e uma visão superficial da estrutura onde o fornecedor irá trabalhar.
Após definidos e acordados os requisitos, um NDA e o Contrato devem ser assinados para finalizar e oficializar a contratação, somente após essas assinaturas que os acessos devem ser criados. Para isso, o fornecedor deve providenciar uma lista de acessos que vai precisar, juntamente com o nome dos funcionários que irão exercer as funções contratadas.
Durante o prazo do Contrato extensões podem ser formalizadas, assim como mudanças caso necessário. Sejam ela para expansão dos serviços contratados assim como no caso de mudanças nas políticas de segurança da organização que deverão ser adaptadas e consequentemente seguidas pelo fornecedor.
Ao fim do contrato, caso não haja extensão, os acessos serão removidos assim que as transições necessárias finalizem com o prazo de remoção de todos os acessos até o dia final definido no contrato.
Os fornecedores devem ser avaliados conforme o nível real e potencial de acessos aos dados que o fornecedor terá para o cumprimento dos serviços contratados.
Todos os fornecedores devem seguir os requisitos de segurança definidos em contrato. Embora diferentes serviços vão exigir diferentes níveis de risco à segurança da informação é correto imaginar que os riscos aumentam junto com o nível do acesso, dessa forma os requisitos básicos de segurança da informação para cada nível serão gradativamente maiores.
O monitoramento do cumprimento dos requisitos pode ser realizado com base nas trilhas de auditoria internas tanto da organização quanto do fornecedor, a equipe de Segurança pode ser acionada para a realização de uma auditoria no fornecedor com o escopo dos requisitos acordados em contratos.
Relatórios também podem ser gerados pela equipe de Segurança a partir da avaliação dos serviços prestados e seus resultados para a organização.
A organização deverá realizar treinamentos com seus colaboradores em relação ao uso dos serviços do fornecedor, assim como quais os tipos de informação e acessos que o pessoal do fornecedor deverá ter ciência e quais tipos de dados e acesso não estão no escopo dos serviços do fornecedor. Dessa forma, visa-se garantir que o escopo das funções e acessos seja mantido por todos os colaboradores assim como o acesso a informações seja restrito apenas àquilo que foi acordado em contrato.
Nos casos em que há a mudança de fornecedor, um período de adaptação deve ser adotado para que não haja perda de dados ou indisponibilidade do Portal da Qualidade durante a transição. Caso seja necessário uma extensão de contrato com o fornecedor anterior pode ser feita para garantir que os dados e processos tenham sido completamente transferidos para a plataforma do novo fornecedor.
Os contratos de fornecedores devem conter os requisitos básicos de segurança de informação baseados no nível de acesso que o fornecedor terá, assim como requisitos particulares relacionados ao serviço contratado.
Nesses requisitos deve-se deixar claro quais as os serviços contratados, qual o nível de acesso que o fornecedor terá assim como quais as informações que o fornecedor poderá acessar e principalmente quais as informações que não deverão ser acessadas pelo fornecedor.
O aceite da Política de Segurança da Informação poderá ser incluída no processo contratual assim como conformidades com as Leis locais referentes à segurança da informação e proteção de dados.
As entregas do fornecedor devem ser avaliadas pelas equipes de Segurança e Administração que devem a intervalos regulares avaliar a eficácia dos serviços prestados, os riscos apresentados durante o fornecimento dos serviços e o impacto com a disponibilidade, integridade e confiabilidade do Portal da Qualidade.
Deve-se também avaliar a adequação do fornecedor com os requisitos de segurança acordados, assim como fazer uma revisão geral do uso dos acessos cedidos ao fornecedor. Dessa forma espera-se que, junto com o processo de melhoria contínua dos demais processos de segurança da organização, os requisitos de segurança aplicados ao fornecedor evoluam conjuntamente.
No caso de subfornecedores deve-se garantir que os requisitos de segurança da informação sejam seguidos em toda cadeira, de forma que, todo subfornecedor envolvido com os serviços prestados à 2CLIX TECNOLOGIA EIRELLI devem possuir no mínimo os requisitos de segurança acordados no contrato com o fornecedor.
Relatórios devem ser solicitados aos fornecedores quanto às trilhas de auditoria e controles de segurança, assim como auditorias podem ser realizadas pela equipe de segurança caso a organização veja a necessidade.
Por fim, espera-se que haja transparência quanto aos incidentes de segurança ocorridos no fornecedor para que uma análise correta de riscos seja efetuada assim como mudanças sejam feitas no contrato de modo a minimizar riscos observados.
Além da previsão quando há troca de fornecedores ainda há a possibilidade de haver mudanças quanto ao escopo dos serviços do fornecedor conforme a necessidade da organização.
Desta forma, a revisão dos acordos devem ser feitas não somente quando há necessidade quanto aos processos e controles de segurança, mas também quanto aos serviços prestados de modo que a organização pode solicitar por melhorias nos serviços atuais, mudança ou melhoria na infraestrutura, mudança na tecnologia utilizada para tecnologias, frameworks ou versões mais novos, mudança de local físico tanto do fornecedor quanto da organização e mudança na cadeira de subfornecedores.
A requisição de mudanças pode vir por parte do fornecedor assim como da organização e as mudanças devem ser acordadas com ambas as partes e finalizadas em um adendo ou ajuste no contrato formalizado por ambas as partes.
Este documento é válido a partir da sua aprovação mais recente e é de responsabilidade da equipe de administração da 2CLIX TECNOLOGIA EIRELI. O ciclo de atualização deste documento é anual e deve ser realizado sempre a partir da avaliação de eficácia e adequação deste documento com as demais políticas e processos da empresa.
Para garantir uma avaliação concisa e clara, os seguintes critérios de avaliação serão utilizados: