Revisão 6.0 aprovada pelo Chief Product & Technology Officer (CTPO) em 03/05/2024
1. Objetivo
A informação é o principal elemento de negócio da Neogrid e, dessa forma, deixar de manter a sua confidencialidade, integridade e disponibilidade são fatores críticos para o negócio.
Esta política tem como objetivo principal determinar as diretrizes estabelecidas para parceiros e terceiros na aderência às políticas corporativas da Neogrid.
Esta política não sobrepõe as diretrizes estabelecidas na Política de Segurança da Neogrid, que tem aplicabilidade interna.
2. Abrangência
Todos os parceiros e terceiros que possuem algum tipo de contratação com a Neogrid, independentemente do tipo de relacionamento, incluindo, mas não se limitando a prestadores de serviços, fornecedores, distribuidores de software, parceiros de tecnologia etc.
3. Documentos Relacionados
ISO/IEC 27001:2013 Sistema de gestão da segurança da informação
ISO/IEC 27002:2013 Código de prática para controles de segurança da informação
POL-TEC-001 Política de Segurança da Informação
PRD-GPR-001 Procedimento Controle de Documentos e Registros
4. Responsabilidades
4.1. Gestores de Contratos (Gestor da área)
• Quando da contratação de parceiros ou terceiros que venham a acessar a rede interna e os dados da Neogrid, o Gestor do contrato deverá garantir, de preferência contratualmente, que todos estejam cientes das políticas corporativas da Neogrid, incluído esta Política e a POL-TEC-001 Política de Segurança da Informação.
• Solicitar requisição de acesso de terceiro para: concessão/remoção de direito de acesso, alteração de nível de acesso, desativação/ativação de login.
4.2. Parceiro ou Terceiro Contratado
É de responsabilidade dos parceiros e terceiros, observar e seguir as diretrizes estabelecidas nas políticas e procedimentos corporativos da Neogrid que sejam pertinentes para o desenvolvimento do trabalho, destacando esta política;
Todas as atividades executadas devem observar a legislação vigente e a normatização de órgãos e entidades reguladoras com relação à Segurança da Informação e Proteção de Dados.
5. Diretrizes
5.1. Gerais
Os parceiros ou terceiros devem cumprir com todos os requisitos das legislações aplicáveis e devem comprometer-se a seguir, integralmente, os seguintes itens:
• Proteger as informações contra acesso, modificação, destruição ou divulgação não autorizada, mantendo a sua confidencialidade;
• Preencher e atender os requisitos de segurança da informação e privacidade acordados em contrato firmado entre as partes a fim de mitigar os riscos associados;
• Respeitar NDA (Non Disclosure Agreement);
• Assegurar que os recursos colocados à sua disposição sejam utilizados apenas para as finalidades acordadas e aprovadas pela Neogrid;
• Assegurar que os sistemas e as informações sob sua responsabilidade estejam adequadamente protegidos;
• Assegurar a continuidade do processamento das informações críticas de negócios;
• Cumprir as leis e normas que regulamentam os aspectos de propriedade intelectual;
• Responder, sempre que solicitado, o formulário de Due Diligence disponibilizado pela Neogrid com questões relacionadas à Segurança da Informação, Governança de TI e Privacidade de dados;
• Cumprir as Políticas e Procedimentos da Neogrid, e esta Política;
• Comunicar imediatamente a área de Segurança da Informação da Neogrid através do e-mail infosec@neogrid.com, na identificação de qualquer incidente ou não conformidade de segurança da informação e, na identificação de qualquer incidente relacionado a privacidade de dados, comunicar também o DPO da Neogrid através do e-mail dpo@neogrid.com;
5.2. Acesso lógico e uso aceitável
• Um NDA (Non Disclosure Agreement) com a empresa parceira deve ser providenciado, antes do início do processo de gestão de acessos a fim de mitigar os riscos associados com o acesso de terceiro aos ativos da Neogrid. O gestor do contrato tem a responsabilidade de buscar a assinatura deste termo, caso ele ainda não exista;
• A requisição de acesso lógico de terceiros aos ativos da Neogrid para: concessão ou remoção de direto de acesso, alteração no nível de acesso, desativação/ativação de login de terceiro, é feita pelo ‘Gestor da área’, que também é o gestor do contrato, por meio da ferramenta de chamados da Neogrid, conforme procedimento vigente. A solicitação será avaliada e aprovada de acordo com a necessidade, seguindo as diretrizes corporativas de Segurança da Informação e as políticas internas;
• É dever do gestor do contrato informar a validade da contratação no momento da solicitação do acesso, bem como solicitar a exclusão do acesso quando não houver mais necessidade;
• Os computadores de parceiros e terceiros não podem ser conectados na rede interna da Neogrid, deverão utilizar apenas da rede convidados (guests), ou servidor intermediário (jumper) com as devidas aprovações da TI Corporativa ou Cloud Service, sendo que estes equipamentos deverão estar protegidos por software antivírus/anti-malware e demais softwares devidamente licenciados, sendo que essa conformidade deve ser apresentada a Neogrid sempre que solicitado;
• O acesso a infraestrutura e sistemas internos da Neogrid devem ser acessados de maneira segura, conforme procedimentos de segurança estabelecidos pela Neogrid;
• É proibido o acesso, download ou distribuição de qualquer conteúdo que viole direitos autorais e de propriedade da Neogrid. Da mesma forma, não é permitido acesso ou distribuição de conteúdo pornográfico de qualquer natureza ou conteúdo que viole o Estatuto da Criança e Adolescente;
• As credenciais de acesso disponibilizadas, quando aplicáveis, são de uso pessoal e intransferível, não podem ser divulgadas ou compartilhadas. O colaborador terceiro deve manter suas credenciais de acesso seguras, sendo de sua responsabilidade qualquer utilização indevida;
• É responsabilidade da empresa terceira comunicar ao gestor do contrato da Neogrid qualquer desligamento de seus colaboradores para que as devidas revogações de acesso sejam executadas.
6. Segurança no uso dos ativos
O terceiro é responsável:
• Pela proteção dos dispositivos físicos contendo informação da Neogrid que estão sob sua guarda;
• Garantir a segurança e a integridade do recurso de TI em uso, mantendo-o nas condições originais. É de responsabilidade do terceiro zelar pela conservação e boas condições da Infraestrutura e equipamentos;
• Comunicar imediatamente ao setor de TI da Neogrid e ao Gestor da área a ocorrência de qualquer anomalia no uso dos recursos de TI;
• Utilizar senhas que contenham, pelo menos, oito caracteres, compostos de letras números e símbolos, evitando o uso de nomes, sobrenomes, número de documentos, placas de carros, números de telefone, datas que possam ser relacionadas com o colaborador. As senhas temporárias devem ser alteradas imediatamente. As senhas são sigilosas, individuais e intransferíveis, não podendo ser divulgadas em nenhuma hipótese.
6.1. Segurança da Informação e Privacidade
Os contratos com Parceiros e Terceiros deverão estar contemplados com cláusulas com referências aos requisitos de Segurança da Informação e Privacidade a ser seguido pelos contratados, bem como a obrigatoriedade do cumprimento das Políticas, Procedimentos e Normas da Neogrid que sejam pertinentes à Segurança da informação, Privacidade e para o desenvolvimento do trabalho.
7. Término de Contrato de Serviço/Produto
O término do contrato de prestação de serviço por terceiros é acompanhado por Suprimentos.
8. Violação de Conduta
São consideradas violações à Política as seguintes situações, não se limitando as:
• Quaisquer ações ou situações que possam expor a Neogrid à perda financeira e de imagem, direta ou indiretamente, potenciais ou reais, comprometendo seus ativos de informação;
• Uso indevido ou acesso indevido a dados corporativos, divulgação não autorizada de informações, segredos comerciais ou outras informações sem a permissão expressa da Neogrid;
• Uso de dados, informações, equipamentos, software, sistemas ou outros recursos tecnológicos, para propósitos ilícitos, que possam incluir a violação de leis, de regulamentos internos e externos, da ética ou de exigências de organismos reguladores da área de atuação da Neogrid;
• A não-comunicação imediata de quaisquer descumprimentos desta Política ou qualquer outra determinada pela Neogrid.
9. Avaliações Periódicas
A Neogrid poderá realizar, sempre que achar necessário, avaliações para atestar a efetividade da implementação de controles de segurança baseados nas boas práticas determinadas pela ISO/IEC 27001:2013 e ISO/IEC 27002:2013, devendo para isso, comunicar o parceiro com antecedência.
10. Sanções
A violação a um controle ou a não-aderência a essa Política e a outras Políticas e Procedimentos da Neogrid e suas definições são consideradas violações graves, podendo ser aplicadas penalidades pecuniárias de acordo com os termos contratuais, sem prejuízo da apuração de todos os danos causados e eventual indenização.
11. Vigência
Essa Política entra em vigor a partir da data de sua publicação e sua revisão deve ocorrer no máximo a cada doze meses, ou sempre que se fizer necessária.
As alterações desta Política e das normas complementares devem ser devidamente comunicadas as partes interessadas.