Jurídico
Estabelecer regras para que o ambiente de todas as empresas fornecedoras, prestadoras de serviços, intermediárias e/ou parceiras, relacionadas à segurança da informação contratadas (“CONTRATADA” ou “CONTRATADAS”) pela Sinch Latam(“CONTRATANTE”), tenham o mínimo de requisitos de Segurança da Informação, com vistas à mitigação de riscos que possam ser causados à CONTRATANTE.
Desta forma, onde houver a palavra “deve” o requisito é obrigatório, devendo ser implementado pelo fornecedor, e quando for usada a palavra “recomendamos” o requisito é opcional, apenas uma boa prática.
Esse guia se aplica à todas empresas CONTRATADAS, Fornecedores e/ou Parceiros, que prestem serviço à Sinch Latam, cujo atividades abordam acesso a dados de colaboradores, operacionais, clientes ou financeiros da CONTRATANTE.
4.1.1. Atender todos os itens descritos nesse documento, armazenando-o em um local de comum acesso para todos os colaboradores envolvidos nos produtos ou serviços fornecidos para a Sinch Latam.
4.1.2. Evidenciar a conformidade com todos os itens descritos neste documento, aplicáveis ao seu negócio.
Recomendamos que a CONTRATADA possua uma Política de Segurança da Informação ou documento equivalente, ressaltando a importância da Segurança da Informação para a empresa. O documento precisa abordar os seguintes temas:
A CONTRATADA tem o papel e a responsabilidade de cada área com a segurança da informação. Nesse documento deve incluir a participação da alta diretoria e ter claro o seu envolvimento e compromisso com as atividades relacionadas à Segurança da Informação.
A CONTRATADA deve documentar explicando como as informações da CONTRATANTE devem ser classificadas, quais os tipos de classificação das informações e quando utilizar cada classificação, sendo que, as informações trocadas entre a Sinch Latam e seus parceiros, precisam ter uma classificação mínima, como confidencial.
A CONTRATADA deve documentar como são tratadas as informações dentro da empresa para com as informações da CONTRATANTE.
Esse documento precisa abordar o gerenciamento das informações físicas e lógicas, contendo explicações equivalentes a:
Seguem alguns pontos que os itens citados acima, devem seguir, sempre que possível:
A CONTRATADA deve implementar uma Política de Privacidade de Dados, abordando os principais aspectos da LGPD (Lei Geral de Proteção de Dados), incluindo os mecanismos de proteção dos dados e a lei de privacidade do país (GDPR, PDPA, etc..) caso armazene os dados fora do Brasil.
A CONTRATADA deve documentar o perímetro de segurança físicos existentes, considerando a classificação das áreas e/ou setores, informando:
A CONTRATADA deve fazer o uso de criptografia nos seguintes cenários:
Para situações onde não for possível realizar o uso de criptografia, favor considerar a utilização de HASH.
Para comunicações entre as aplicações, considerar sempre o uso do TLS 1.2 ou superior.
Realizar o monitoramento da rede de dados através de dispositivos como:
Garantir que esses equipamentos estejam gerando logs e emitindo alertas quando necessário. Deve ser realizada a revisão periódica dos logs. Recomendamos que se registre e comunique os incidentes que forem alertados por esses dispositivos, assim como, as medidas realizadas para evitar sua reincidência.
A CONTRATADA deve documentar ter documentado como a criptografia deve ser utilizada sobre os dados da CONTRATANTE e, exemplificar sua utilização em determinados dispositivos, como Notebooks e Aplicações. Assim como, também deve ser utilizada em discos de armazenamento.
O documento deve conter recomendações sobre quais tipos de algoritmos criptográficos são devem ser utilizados e o que fazer em casos onde não se aplicam a criptografia ou seu uso se torna inviável.
A CONTRATADA deve realizar a gestão dos ativos da empresa através de uma planilha ou de um sistema automatizado, desde que contenham as seguintes informações:
Importante que haja também, o registro de trocas efetuadas quando o ativo contiver informações da CONTRATANTE. Ter um documento informando qual o processo de solicitação de um ativo dentro da CONTRATADA.
A CONTRATADA deve realizar a gestão dos acessos lógicos e físicos, fazendo uso dos princípios de Need to Know e Least Privilege para evitar que pessoas não autorizadas tenham acesso a informações confidenciais.
É preciso garantir que as contas de acesso tenham um tempo máximo de 90 dias para inativação em caso de não uso. Também é necessário ter identificado e segmentado as contas que são usadas somente para serviços, evitando que essas sejam utilizadas para realização de login. É importante que todos os acessos sejam registrados e que os usuários possam ter IDs únicos, visando facilitar sua identificação.
A revisão dos acessos deve ser no mínimo realizada anualmente, para assim garantir que nenhum colaborador desligado ou que tenha mudado de função, continue com acessos indevidos à algum sistema e/ou funções. Quando um colaborador for desligado, ele deve ter seus acessos removidos imediatamente ou em um curto espaço de tempo.
O acesso remoto aos recursos da CONTRATADA, deve ser feito preferencialmente através de VPN ou da forma que a CONTRATADA julgar ser melhor, desde que esse acesso seja aprovado por um gestor e tenha os acessos monitorado.
A CONTRATADA deve documentar o procedimento, informando como são realizados os registros e tratamentos dos incidentes relacionados à segurança da informação, que envolverem ou não a CONTRATANTE.
A CONTRATADA deve realizar uma análise periódica dos incidentes relatados, para que se tenha conhecimento, se as medidas de prevenção estão sendo eficazes.
Ter um documento com os procedimentos adequados para a realização do backup dos dados, contendo:
A CONTRATADA também deve informar, quais os tipos de dados devem fazer parte das cópias e seus respectivos donos. Ela também deve ter, um documento com os procedimentos adequados para a realização da restauração dos dados, contendo:
Documentar todos os testes realizados e, fazer o registro de incidente sempre que houver um resultado fora do esperado. Para realização dos testes, os backups devem ser escolhidos de maneira aleatória.
É importante que a CONTRATANTE faça a gestão das atualizações, pertinentes aos sistemas por ela utilizados, onde se deve ter uma máxima atenção as atualizações que forem consideradas críticas e para os patches de segurança. Deve-se manter os registros, acompanhando através de listas de discussão, fóruns ou newsletter do fabricante.
Deve-se ter um procedimento documentado de como aplicar essas atualizações patches, de maneira que não venham a impactar no negócio.
A CONTRATADA deve definir um procedimento documentado, onde existam as ações necessárias para a realização da gestão de vulnerabilidades e pentests, contendo:
O documento ainda deve informar como são classificados os riscos, os impactos e levar em conta a probabilidade de exploração de uma falha encontrada. Importante conter a forma como os pontos encontrados são repassados para os times responsáveis.
A CONTRATANTE se dá o direito de realizar Pentest e scans de vulnerabilidade na infraestrutura da CONTRATADA, bem como, em seu produto e serviços prestados à CONTRATANTE. O processo será alinhado previamente e a CONTRATADA receberá um relatório final contendo status da análise, bem como, prazos para correção de possíveis vulnerabilidades identificadas.
A CONTRATADA deve realizar campanhas periódicas de conscientização de colaboradores, abordando temas do sistema de gestão da segurança da informação, tais como:
Abordando os principais vetores de ataques que são utilizados hoje, que são mensagens por SMS/WhatsApp, e-mails falsos, ligações se passando por outra pessoa, pendrives ou dispositivos de mídia removível que podem ser “achados” etc.
Importância de se utilizar um gerador de senhas, implementar um segundo fator de autenticação ou se atentar a utilizar no mínimo 8 caracteres para composição da senha e utilizar de espaços, números, caracteres especiais e letras maiúsculas e minúsculas.
No caso dos aplicativos que fazem a geração automática de senhas, temos alguns bem conhecidos, como:
Como segundo fator de autenticação, recomendamos que seja utilizado um aplicativo e não o envio de mensagens para celular. Existem alguns aplicativos como:
Alguns exemplos de senhas seguras que podem ser criadas sem a ajuda de um aplicativo, são as senhas criadas a partir de frases, letras de músicas ou coisas relacionadas às atividades comuns, como exemplo:
Não deixar documentos importantes sobre a mesa, se atentando principalmente aos que são classificados como confidencial e não sobrecarregar a área de trabalho com documentos ou ícones que possam facilitar a ação de um ataque de engenharia social.
A CONTRATADA deve aplicar treinamentos ao menos uma vez a cada ano e com um foco na segurança da informação como um todo, informando principalmente os objetivos e importância de se ter um ambiente seguro. É importante se ter o registro das campanhas e de suas eficácias.
A CONTRATADA deve fazer a gestão dos logs e dados de auditoria dos sistemas considerados críticos e armazená-los em um local adequado, que possa garantir sua integridade, confidencialidade e disponibilidade.
Todos os logs que forem gerados pelos sistemas/ativos que forem considerados críticos para a CONTRATANTE, devem conter o máximo de detalhes para facilitar sua rastreabilidade.
A CONTRATADA deve realizar a segregação dos ambientes com o intuito de manter os dados de teste, homologação e produção, separados. A CONTRATADA deve garantir que as informações oficiais da CONTRATANTE contidas no ambiente de produção não serão replicadas em ambiente de homologação, evitando que pessoas não autorizadas tenham acesso a dados confidenciais.
Importante também, que todas as alterações sejam realizadas nos ambientes de homologação e testes, antes de irem para o ambiente de produção, visando minimizar os impactos que podem ser gerados por tais alterações.
Mesmo estando em ambientes separados, todo tipo de alteração que for realizada, deve ser documentada.
A CONTRATADA deve documentar as melhores práticas a serem seguidas para um desenvolvimento seguro, contendo:
A CONTRATADA deve se deve-se comprometer a realizar e/ou indicar treinamentos ou workshops para os times de desenvolvimento, mostrando a importância de se manter um código seguro, mostrando as recorrentes exposições de dados que ocorrem por falha no processo de desenvolvimento.
A CONTRATADA deve documentar todos os fornecedores que estão diretamente relacionados os produtos ou serviços fornecidos à CONTRATANTE, e garantir que os requisitos de segurança da informação seja um requisito acordado com estes fornecedores, para minimizar os riscos de confidencialidade, disponibilidade e integridade das informações da CONTRATANTE.
A CONTRATADA deve documentar um plano de contingência, visando garantir a disponibilidade dos produtos ou serviços fornecidos à CONTRATANTE, descrevendo os procedimentos a serem seguidos em caso de desastres, evitando ou minimizando o impacto destes incidentes O documento deve conter:
Além disso, a CONTRATADA deve disponibilizar em locais de fácil acesso e visibilidade, uma lista com telefones de autoridades e pessoas que devem ser acionadas caso algum incidente ocorra.
A CONTRATADA deve identificar e garantir a conformidade com os requisitos legais relacionados aos produtos ou serviços fornecidos à CONTRATANTE.
Caso a CONTRATADA tome conhecimento ou suspeite de qualquer acontecimento que viole as regras desta Política ou coloque em risco a segurança das informações da Companhia, ele deverá imediatamente comunicar o ocorrido para security-latam@sinch.com ou security@sinch.com.
Última modificação: 28 de março de 2022