Nossa abordagem de segurança
A segurança integra nossas atividades de consultoria, gestão, inteligência de dados, relacionamento e serviços digitais. Abrange documentos físicos e digitais, ambientes tecnológicos e o acesso de equipes, parceiros e prestadores autorizados.
Trabalhamos com confidencialidade, restringindo o acesso a quem tem autorização; integridade, protegendo informações contra alterações indevidas; autenticidade, verificando a origem e a legitimidade das informações e operações; e disponibilidade, sustentando a continuidade conforme a criticidade do serviço.
Governança e riscos
A administração aprova as diretrizes e acompanha riscos e medidas corretivas. As funções de tecnologia e segurança administram controles e resposta a ocorrências. Os responsáveis pelos projetos identificam informações, acessos, dependências e obrigações de cada atividade.
A avaliação de riscos considera sensibilidade, impacto, ameaças, fornecedores e obrigações legais e contratuais. Novos serviços e mudanças relevantes passam por avaliação antes da entrada em operação. Exceções são documentadas com justificativa, responsável, revisão e medidas compensatórias.
Proteção das informações
Classificamos as informações como públicas, de uso interno, confidenciais ou de acesso restrito e aplicamos proteção compatível com o risco. Dados de clientes, estratégias, documentos financeiros, credenciais e conteúdos sigilosos têm acesso limitado à finalidade autorizada.
Protegemos dados em trânsito e armazenados, com criptografia e controles compatíveis com a tecnologia e a sensibilidade da informação. Credenciais e segredos ficam em repositórios apropriados e restritos. Excluímos informações sensíveis de código público e evidências abertas e utilizamos canais adequados para materiais confidenciais.
Acessos e ambientes
Utilizamos identificação individual, menor privilégio e autenticação multifator nos acessos privilegiados e críticos. Contas técnicas têm finalidade, responsável e escopo delimitados. A Política de Gestão de Identidades e Acessos detalha esses controles.
Administramos configurações seguras, correções de vulnerabilidades, separação entre desenvolvimento, testes e produção e controle de mudanças. Alterações relevantes têm revisão, registro e procedimento de reversão. Os testes utilizam dados sintéticos ou protegidos e ocorrem em escopo autorizado.
Prestadores e trabalho remoto
Avaliamos prestadores e integrações quanto à proteção das informações, à finalidade, aos limites de acesso, à continuidade e à resposta a incidentes. Os instrumentos aplicáveis estabelecem responsabilidades, confidencialidade, comunicação de ocorrências e destinação dos dados ao encerrar a relação.
Equipamentos e acessos remotos recebem proteção de sessão, atualizações e controles compatíveis. Documentos físicos e mídias seguem procedimentos de guarda, transporte e descarte. Não autorizamos o compartilhamento de credenciais pessoais ou o envio de informações de clientes a ferramentas não autorizadas.
Monitoramento e incidentes
Registramos e acompanhamos eventos relevantes para identificar falhas, abuso e acessos indevidos. A resposta a incidentes inclui avaliação, contenção, preservação de evidências, correção, recuperação e análise das causas. A comunicação considera o impacto e as obrigações perante clientes, titulares, parceiros e autoridades.
Ocorrências com dados pessoais são avaliadas quanto ao risco ou dano relevante e comunicadas quando exigido, nos prazos e nas condições da regulamentação. Os registros são conservados pelo período aplicável, incluindo o mínimo de cinco anos nos casos sujeitos à regulamentação de incidentes da autoridade de proteção de dados.
Continuidade e contato
Mantemos planos de continuidade, cópias de segurança e procedimentos de recuperação para serviços e informações essenciais. Realizamos testes de restauração e registramos resultados e correções, conforme a Política de Continuidade e Disponibilidade.
Orientamos as pessoas autorizadas conforme suas funções e riscos. Revisamos esta política anualmente e após incidente ou mudança relevante. Recebemos dúvidas e relatos em contato@rituspartners.com, com o assunto Segurança da Informação. Não envie senhas ou segredos no relato inicial.