Resposta a Incidentes & Vulnerabilidades

Introdução

A Codgital ("nós", "nossa empresa" ou "organização") estabelece esta política para definir procedimentos claros de resposta a incidentes de segurança e gerenciamento contínuo de vulnerabilidades, garantindo a continuidade dos negócios e minimização de riscos operacionais.

01Objetivo e Escopo

1.1. Objetivo: Estabelecer procedimentos formais para identificação, resposta, contenção e recuperação de incidentes de segurança, bem como implementar um programa contínuo de gerenciamento de vulnerabilidades.

1.2. Escopo: Esta política aplica-se a todos os sistemas, funcionários, parceiros, fornecedores e terceiros que tenham acesso à infraestrutura da Codgital.

02Política de Resposta a Incidentes

2.1. Política Publicada: Esta política de resposta a incidentes é formalmente publicada e disponível a todos os colaboradores, parceiros e partes interessadas, definindo claramente funções, responsabilidades e canais de comunicação.

2.2. Funções e Responsabilidades Definidas:

2.3. Canais de Comunicação e Relatórios Oficiais:

03Avaliação de Impacto nos Negócios (BIA)

3.1. Identificação de Ativos Críticos: Realizamos anualmente avaliação de impacto nos negócios para identificar e categorizar nossos principais ativos de TI e suas criticidades.

3.2. Objetivos de Tempo de Recuperação (RTO) Definidos:

3.3. Objetivos de Ponto de Recuperação (RPO) Definidos:

04Exercícios e Testes de Incidentes

4.1. Exercícios Anuais Obrigatórios: Realizamos no mínimo um exercício completo de resposta a incidentes por ano, simulando cenários reais de ataques e falhas de sistema.

4.2. Tipos de Exercícios:

4.3. Relatórios e Documentação: Todos os exercícios são documentados com relatórios detalhados mantidos em arquivo por no mínimo 5 anos, incluindo lições aprendidas e melhorias implementadas.

05Gerenciamento de Vulnerabilidades

5.1. Procedimento Formal de Gerenciamento: A Codgital possui procedimentos formais de gerenciamento de vulnerabilidades em vigor, com monitoramento contínuo de ameaças à segurança.

5.2. Monitoramento Contínuo de Ameaças:

5.3. Varreduras de Vulnerabilidade:

5.4. Testes de Penetração:

5.5. Processo de Correção:

06Exigências para Parceiros

6.1. Política de Resposta a Incidentes: Todos os parceiros DEVEM comprovar possuir política de resposta a incidentes publicada OU política de continuidade de negócios equivalente, com procedimentos claros e testados.

6.2. Gerenciamento de Vulnerabilidades: Parceiros DEVEM implementar medidas contínuas de monitoramento, rastreamento e correção de ameaças à segurança, incluindo:

6.3. Verificação e Auditoria: A Codgital reserva-se o direito de auditar e verificar o cumprimento dessas exigências pelos parceiros antes e durante a vigência dos contratos.

07Procedimentos de Resposta a Incidentes

7.1. Classificação de Incidentes:

7.2. Tempos de Resposta:

7.3. Fases do Processo:

08Declaração de Conformidade Legal

✓ Política de Resposta a Incidentes Publicada: Mantemos política formal publicada com funções, responsabilidades e canais de comunicação claramente definidos.

✓ Avaliação de Impacto nos Negócios: Realizamos BIA anual para identificar ativos críticos e definir RTO/RPO apropriados para cada categoria de sistema.

✓ Exercícios Anuais de Incidentes: Conduzimos exercícios de resposta a incidentes no mínimo uma vez por ano, mantendo relatórios documentados em arquivo.

✓ Procedimento de Gerenciamento de Vulnerabilidades: Possuímos procedimentos formais para monitoramento contínuo, rastreamento e correção de ameaças à segurança.

✓ Varreduras e Testes de Penetração: Realizamos varreduras mensais de vulnerabilidade e testes anuais de penetração, mantendo todos os relatórios em arquivo.

✓ Exigências para Parceiros: Todos os parceiros são obrigados contratualmente a possuir políticas equivalentes de resposta a incidentes ou continuidade de negócios.

09Revisão e Atualização

Esta política é revisada e atualizada anualmente ou sempre que necessário devido a mudanças no cenário de ameaças, ambiente tecnológico ou regulatório. As atualizações são comunicadas a todos os envolvidos e requerem aprovação da alta direção.

10Contato e Reporte de Incidentes

Para reportar incidentes de segurança ou vulnerabilidades, fale com nosso time de emergência.

Para questões gerais sobre esta política: [email protected]

Consulte também nossa Política de Segurança da Informação para diretrizes gerais de segurança.

Aprovado por: Gabriel Ramalho e Marcon Willian, fundadores da Codgital.