01Objetivo e alcance
A política vale para todos os colaboradores, prestadores de serviço e parceiros que acessam informações ou sistemas da UND3R ou dos nossos clientes, em escritório, em campo ou de forma remota.
02Princípios
- Confidencialidade: a informação só é acessada por quem precisa dela para trabalhar
- Integridade: a informação é mantida correta e completa, sem alterações indevidas
- Disponibilidade: sistemas e dados estão acessíveis quando o negócio precisa
03Controle de acesso
- Acesso concedido pelo princípio do menor privilégio e revisado periodicamente
- Credenciais individuais e intransferíveis, com autenticação em dois fatores nos sistemas críticos
- Remoção imediata de acessos no desligamento ou na troca de função
- Senhas e chaves guardadas em cofre, nunca em texto aberto
04Infraestrutura e redes
- Segmentação de redes, com redes de visitantes separadas das corporativas
- Atualização regular de sistemas operacionais, firmwares e aplicações
- Equipamentos pré-configurados e testados em bancada antes da instalação no cliente
- Monitoramento de disponibilidade e de eventos de segurança
05Desenvolvimento seguro
- Código versionado, com revisão antes de ir para produção
- Ambientes separados de desenvolvimento, homologação e produção
- Deploy automatizado e rastreável
- Dados de clientes nunca usados em ambientes de teste sem anonimização
06Backup e continuidade
- Cópias de segurança periódicas dos sistemas e dados críticos
- Testes de restauração para confirmar que os backups funcionam
- Procedimentos documentados para retomar a operação após falhas
07Fornecedores e parceiros
Prestadores que acessam informações sensíveis assinam termos de confidencialidade e seguem os mesmos requisitos desta política no que couber.
08Pessoas e conscientização
Colaboradores recebem orientação sobre boas práticas, como identificar tentativas de phishing, proteger dispositivos e reportar incidentes. A UND3R também produz campanhas de conscientização para os clientes.
09Incidentes de segurança
Todo incidente é registrado, analisado e tratado para conter o impacto e evitar que se repita. Quando um incidente envolver dados pessoais e puder gerar risco ou dano relevante aos titulares, comunicamos os clientes afetados e a ANPD, conforme a LGPD.
10Como reportar uma vulnerabilidade
Se você identificar uma possível falha de segurança em sistemas da UND3R, escreva para d.freitas@und3rnetworks.com com a descrição do problema. Pedimos que não divulgue a falha publicamente antes de analisarmos e corrigirmos.