1. Objetivo
Estabelecer regras e controles para o acesso de técnicos da Hands On Tecnologia da Informacao LTDA a dados e informações pertencentes a clientes, garantindo:
-
proteção de dados pessoais;
-
confidencialidade das informações;
-
rastreabilidade das atividades;
-
conformidade com a Lei Geral de Proteção de Dados (LGPD).
2. Abrangência
Este procedimento aplica-se a:
-
técnicos de suporte
-
administradores de sistemas
-
analistas de infraestrutura
-
consultores técnicos
-
prestadores de serviço que atuem em nome da empresa
Aplica-se a qualquer atividade que envolva acesso a:
-
dados pessoais de clientes
-
bases de dados
-
sistemas hospedados ou administrados pela empresa
-
infraestrutura tecnológica do cliente.
3. Princípios de Acesso
O acesso a dados de clientes deverá observar os seguintes princípios:
Necessidade
Somente acessar dados estritamente necessários para execução da atividade.
Finalidade
O acesso deve estar vinculado a demanda técnica legítima.
Menor privilégio
Os técnicos devem possuir apenas os acessos mínimos necessários.
Rastreabilidade
Todas as ações devem ser registradas em logs.
Confidencialidade
Os dados acessados não podem ser divulgados ou utilizados para fins não autorizados.
4. Autorização de Acesso
O acesso a dados de clientes deverá ocorrer mediante:
-
abertura de chamado técnico ou solicitação formal;
-
aprovação do responsável técnico ou gestor da área;
-
registro da atividade a ser executada.
Sempre que possível, deve haver autorização prévia do cliente.
5. Controle de Acesso
Os acessos deverão observar as seguintes medidas:
-
uso de credenciais individuais;
-
autenticação segura;
-
registro de logs de acesso;
-
utilização de contas privilegiadas apenas quando necessário;
-
revisão periódica dos acessos concedidos.
É proibido:
-
compartilhamento de credenciais;
-
uso de contas genéricas;
-
acesso fora do escopo da atividade técnica.
6. Monitoramento e Registro
Todas as atividades realizadas pelos técnicos deverão ser registradas, incluindo:
-
identificação do técnico
-
data e horário do acesso
-
sistema ou ambiente acessado
-
atividade realizada
-
duração do acesso
Os registros deverão ser mantidos para fins de auditoria e rastreabilidade.
7. Acesso a Dados Pessoais
Quando houver acesso a dados pessoais de clientes, o técnico deverá:
-
limitar o acesso ao mínimo necessário;
-
evitar cópia ou extração de dados;
-
não armazenar dados localmente;
-
não compartilhar informações com terceiros.
Qualquer acesso a dados sensíveis deverá ser tratado com atenção adicional e, quando possível, supervisionado.
8. Uso de Ferramentas de Acesso Remoto
O acesso remoto deverá ocorrer por meio de ferramentas autorizadas pela empresa, preferencialmente com:
-
autenticação multifator;
-
criptografia de comunicação;
-
registro de sessões.
9. Incidentes de Segurança
Qualquer ocorrência envolvendo:
-
acesso indevido
-
suspeita de vazamento
-
falha de segurança
-
acesso não autorizado
deverá ser comunicada imediatamente ao responsável de segurança ou ao Encarregado de Dados.
10. Responsável pela Proteção de Dados
O acompanhamento das práticas de acesso e proteção de dados é realizado pelo Encarregado de Dados da empresa.
Encarregado (DPO):
Fabio Tadeu da Cruz Silva
Contato:
[email protected]
11. Sanções
O descumprimento deste procedimento poderá resultar em:
-
advertência
-
suspensão de acessos
-
medidas disciplinares
-
responsabilização contratual ou legal.
12. Revisão
Este procedimento será revisado:
-
anualmente;
-
quando houver alteração nos processos de acesso;
-
quando houver incidentes relevantes de segurança.
13. Vigência
Este procedimento entra em vigor na data de sua aprovação pela administração da Hands On Tecnologia da Informacao LTDA.