Política do Sistema de Gestão de Segurança da Informação

FARENIO ECOSSISTEMA

ARTIGO 1 – OBJETIVO

Esta Política do Sistema de Gestão de Segurança da Informação (“ISMS”) estabelece a estrutura de governança para proteger a confidencialidade, integridade, disponibilidade, autenticidade e resiliência das informações processadas pelo Ecossistema FARENIO.

Os objetivos desta Política são:

• Proteger as informações do cliente;
• Proteger informações comerciais;
• Apoiar operações seguras de Saas;
• Proteja as transações do Marketplace;
• Serviços seguros habilitados para AI;
• Gerenciar riscos de segurança cibernética;
• Satisfazer as obrigações contratuais;
• Cumprir os requisitos legais e regulamentares aplicáveis.

ARTIGO 2 – ESCOPO

Esta Política se aplica a:

• Funcionários;
• Diretores;
• Empreiteiros;
• Desenvolvedores;
• Consultores;
• Fornecedores;
• Provedores de serviços em nuvem;
• Provedores de Serviços Gerenciados;
• Fornecedores terceirizados com acesso a FARENIO sistemas.

Abrange:

• Ativos de informação;
• SaaS Plataforma;
• Mercado;
• Portal de Hospedagem;
• Portal mais limpo;
• Portal do Fornecedor;
• Portal de administração;
• APIs;
• Aplicativos Móveis;
• Infraestrutura em Nuvem;
• AI Sistemas;
• Ambientes de Desenvolvimento;
• Sistemas de Produção;
• Sistemas de backup.

ARTIGO 3 – PRINCÍPIOS DE SEGURANÇA

FARENIO protegerá as informações implementando controles projetados para garantir:

Confidencialidade

As informações são acessíveis apenas a pessoas autorizadas.

Integridade

As informações permanecem completas, precisas e protegidas contra modificações não autorizadas.

Disponibilidade

Os sistemas permanecem disponíveis para usuários autorizados quando necessário.

Autenticidade

Usuários e sistemas são devidamente autenticados.

Responsabilidade

As atividades relevantes para a segurança são atribuíveis e auditáveis.

Resiliência

Os serviços críticos podem resistir e recuperar de interrupções.

ARTIGO 4 – GOVERNANÇA

A alta administração é responsável pela eficácia global do ISMS.

As responsabilidades operacionais podem ser atribuídas a:

• Gerente de Segurança da Informação;
• Diretor de Conformidade;
• Responsável pela Proteção de Dados (quando nomeado);
• Operações de TI;
• Engenharia;
• DevSecOps;
• AI Função de Governança.

As responsabilidades de segurança devem ser documentadas e revisadas periodicamente.

ARTIGO 5 – GESTÃO DE RISCOS

Os riscos de segurança da informação devem ser:

• Identificado;
• Avaliado;
• Priorizado;
• Tratado;
• Monitorado;
• Revisado.

O tratamento dos riscos deve ser proporcional a:

• Impacto nos Negócios;
• Probabilidade;
• Obrigações Legais;
• Necessidades Operacionais.

ARTIGO 6 – CONTROLE DE ACESSO

O acesso à informação seguirá o princípio do menor privilégio.

O acesso será concedido:

• De acordo com a necessidade do negócio;
• Aprovado por pessoal autorizado;
• Revisado Periodicamente;
• Prontamente revogado quando não for mais necessário.

O acesso privilegiado estará sujeito a monitorização reforçada.

ARTIGO 7 – GESTÃO DE INCIDENTES

Os incidentes de segurança serão:

• Relatado;
• Avaliado;
• Contido;
• Investigado;
• Documentado;
• Remediado;
• Revisado.

Quando necessário, os incidentes que envolvam dados pessoais serão geridos de acordo com o Procedimento de Resposta a Violação de Dados Pessoais.

ARTIGO 8 – CONTINUIDADE DOS NEGÓCIOS

FARENIO manterá medidas adequadas para apoiar:

• Resiliência Operacional;
• Recuperação de Desastres;
• Restauração de backups;
• Continuidade do Serviço;
• Recuperação de incidentes.

Os acordos de continuidade das atividades serão testados periodicamente.

ARTIGO 9 – CONSCIENTIZAÇÃO DE SEGURANÇA

O pessoal deve receber conscientização sobre segurança da informação adequada às suas responsabilidades.

O treinamento pode incluir:

• Conscientização sobre Phishing;
• Segurança de senha;
• Relatório de Incidentes;
• Tratamento Seguro de Informações;
• Conscientização sobre segurança de IA;
• Engenharia Social.

ARTIGO 10 – CONFORMIDADE

O ISMS apoia a conformidade com:

• GDPR;
• Lei Francesa de Proteção de Dados;
• Obrigações Contratuais;
• Padrões reconhecidos de segurança da informação;
• Legislação de Segurança Cibernética Aplicável.

ARTIGO 11 – MELHORIA CONTÍNUA

O ISMS deverá ser revisado periodicamente.

As revisões devem considerar:

• Incidentes de Segurança;
• Resultados da Auditoria;
• Tendências de Vulnerabilidade;
• Desenvolvimentos Tecnológicos;
• Mudanças regulatórias.

As ações corretivas devem ser documentadas e monitoradas.

ARTIGO 12 – CONTATO

Consultas de segurança podem ser direcionadas para:

Função de Segurança da Informação

GQ VENTURES SAS

E-mail: security@farenio.com

ARTIGO 13 – ACEITAÇÃO

Todo o pessoal e terceiros relevantes deverão cumprir esta Política.

O uso do Ecossistema FARENIO constitui reconhecimento das obrigações de segurança da informação aplicáveis.

ANEXO A

POLÍTICA DE GESTÃO DE ATIVOS

Propósito

Garantir que todos os ativos de informação sejam identificados, possuídos, classificados, protegidos, mantidos e descartados com segurança durante todo o seu ciclo de vida.

Inventário de ativos

FARENIO deverá manter um inventário central de ativos de informação, incluindo:

• Ferragens;
• Servidores;
• Dispositivos do usuário final;
• Dispositivos móveis;
• Serviços em nuvem;
• Bancos de dados;
• Repositórios de código-fonte;
• APIs;
• AI modelos;
• Documentação;
• Backups;
• Chaves criptográficas;
• Aplicativos de terceiros.

Propriedade de ativos

Cada ativo de informação deverá ter um proprietário designado responsável por:

• Classificação;
• Uso Autorizado;
• Proteção;
• Revisão Periódica;
• Decisões do Ciclo de Vida.

Classificação de informações

As informações devem ser classificadas, no mínimo, como:

• Público;
• Interno;
• Confidencial;
• Restrito.

A classificação determina os requisitos de manuseio, armazenamento, transmissão e descarte.

Ciclo de vida dos ativos

Os controles serão aplicados a partir de:

• Aquisição;
• Cadastro;
• Uso Operacional;
• Manutenção;
• Arquivo;
• Descarte seguro.

Disposição

Os ativos de informação devem ser eliminados de forma segura, utilizando métodos apropriados ao meio e à sensibilidade da informação.

ANEXO B

PADRÃO DE CONTROLES CRIPTOGRÁFICOS

FARENIO utilizará criptografia adequada aos riscos e requisitos legais aplicáveis.

Criptografia

As informações sensíveis devem ser protegidas:

• Em trânsito;
• Em repouso;
• Durante o backup, quando apropriado.

Gerenciamento de Chaves

Os controles regerão:

• Geração de Chaves;
• Armazenar;
• Distribuição;
• Rotação;
• Revogação;
• Destruição.

O acesso às chaves criptográficas será restrito ao pessoal e aos sistemas autorizados.

Gerenciamento de certificados

Os certificados digitais deverão ser:

• Inventariado;
• Monitorado;
• Renovado antes do vencimento;
• Revogado quando comprometido.

Ciclo de vida criptográfico

Os controles criptográficos devem ser revisados ​​periodicamente para lidar com ameaças em evolução e desenvolvimentos tecnológicos.

ANEXO C

PADRÃO DE GESTÃO DE VULNERABILIDADE

FARENIO implementará um programa estruturado de gestão de vulnerabilidades.

Identificação

As vulnerabilidades podem ser identificadas através de:

• Verificação Automatizada;
• Revisões de código;
• Teste de penetração;
• Avisos de fornecedores;
• Inteligência de Ameaças;
• Divulgação Responsável.

Priorização

As vulnerabilidades serão priorizadas com base em:

• Gravidade;
• Explorabilidade;
• Impacto nos Negócios;
• Criticidade dos ativos.

Correção

Ações corretivas apropriadas devem ser atribuídas e rastreadas.

Verificação

A eficácia da remediação deve ser verificada antes do encerramento.

Relatórios

A administração receberá relatórios periódicos abrangendo:

• Vulnerabilidades pendentes;
• Status de Remediação;
• Tendências;
• Exposição ao risco.

ANEXO D

POLÍTICA DE GESTÃO DE SEGURANÇA DO FORNECEDOR

Os fornecedores deverão passar por due diligence de segurança adequada aos serviços prestados.

Due diligence

A avaliação pode incluir:

• Certificações de Segurança;
• Conformidade com privacidade;
• Estabilidade Financeira;
• Capacidades Técnicas;
• Histórico de incidentes.

Controles Contratuais

Os contratos deverão abordar:

• Confidencialidade;
• Proteção de Dados;
• Obrigações de Segurança;
• Direitos de Auditoria;
• Notificação de Incidentes;
• Subcontratação.

Monitoramento

O desempenho do fornecedor deve ser revisado periodicamente.

Desativação

Após a rescisão:

• O acesso será revogado;
• Ativos Devolvidos;
• Informações confidenciais excluídas com segurança ou devolvidas conforme exigido contratualmente.

ANEXO E

PADRÃO DE REGISTRO E MONITORAMENTO

Os eventos relevantes para a segurança devem ser registados para apoiar a gestão operacional, a resposta a incidentes e a conformidade.

Registro de eventos

Os registros podem incluir:

• Eventos de Autenticação;
• Tentativas de Acesso;
• Ações Administrativas;
• Mudanças no Sistema;
• API Atividade;
• Alertas de Segurança;
• AI Ações administrativas quando apropriado.

Monitoramento

Os registros devem ser monitorados para:

• Comportamento Suspeito;
• Anomalias Operacionais;
• Incidentes de Segurança;
• Problemas de desempenho.

Retenção

Os registros devem ser retidos de acordo com os requisitos legais, operacionais e de segurança.

Análise

As revisões periódicas deverão verificar:

• Completude do registro;
• Integridade;
• Eficácia do monitoramento.

Alerta

Mecanismos de alerta apropriados apoiarão a investigação oportuna de eventos significativos.

ANEXO F

PADRÃO DE BACKUP E RECUPERAÇÃO DE DESASTRES

FARENIO deverá manter arranjos de backup e recuperação apropriados aos requisitos comerciais e regulatórios.

Estratégia de backup

Os backups devem ser:

• Agendado;
• Protegido contra acesso não autorizado;
• Testado Periodicamente;
• Armazenado de acordo com os objetivos de resiliência.

Objetivos de recuperação

O planejamento de recuperação deve definir:

• Objetivo de Tempo de Recuperação (RTO);
• Objetivo do Ponto de Recuperação (RPO);

para sistemas críticos com base no impacto nos negócios.

Restauração

Os procedimentos de restauração devem ser documentados e testados periodicamente para verificar a recuperabilidade.

Recuperação de desastres

O planejamento de recuperação de desastres deve incluir:

• Funções e responsabilidades;
• Procedimentos de Comunicação;
• Prioridades de Recuperação;
• Arranjos Operacionais Alternativos;
• Validação de serviços restaurados.

Resiliência

As capacidades de continuidade dos negócios e recuperação de desastres serão revistas e melhoradas através de exercícios periódicos, lições aprendidas e revisão da gestão.