POLÍTICA DE SEGURANÇA DA INFORMAÇÃO (PSI) MUZZI ASSOCIADOS

INTRODUÇÃO
Este documento tem por finalidade estabelecer as diretrizes de segurança da informação que adotadas pelo Muzzi Associados. Tais diretrizes fundamentam as normas e procedimentos de segurança implementados, cujo cumprimento é exigido de todos os sócios, advogados, funcionários, estagiários, prestadores de serviços, consultores, colaboradores ou correspondentes. As regras e diretrizes de segurança e todas as suas determinações são obrigatórias e devem ser integralmente cumpridas.

ABRANGÊNCIA
A Política de Segurança do Muzzi Associados abrange os seguintes aspectos:

• Requisitos de Segurança Humana;

• Requisitos de Segurança Física; e

• Requisitos de Segurança Lógica.

OBJETIVOS
A Política de Segurança do Muzzi Associados conta com os seguintes objetivos específicos:

• Definir o escopo da segurança do Muzzi Associados;

• Orientar, por meio de suas diretrizes, todas as ações de segurança, para reduzir riscos e garantir a integridade, sigilo e disponibilidade das informações dos sistemas de informação e recursos;

• Permitir a adoção de soluções de segurança integradas; e

• Assegurar o cumprimento de todas as obrigações legais aplicáveis, atendendo aos requisitos regulamentares e contratuais pertinentes às atividades empreendidas.

PREMISSAS
O Muzzi Associados tem como prioridade o compromisso com a excelência dos serviços prestados e a com a segurança das informações e dos dados sob nossa responsabilidade. A Política de Segurança da Informação (“PSI” ou “política”) visa proteger e evitar riscos comuns de segurança da informação, tais quais:

• Disponibilização de dados sensíveis;

• Disponibilização de dados pessoais;

• Mutações indevidas de dados pessoais ou sensíveis;

• Extravio de dados;

• Perda de informações sigilosas;

• Suspensão parcial ou total das interrupções de serviços;

• Ataques cibernéticos a propriedades intelectuais;

• Utilização indevida dados; e

• Acessos não autorizados.

Esse compromisso está incorporado à nossa PSI, que é baseada nas seguintes premissas:

• As informações sob responsabilidade do escritório são todas aquelas tratadas, armazenadas física ou digitalmente, processadas nos sistemas e infraestrutura tecnológica ou presentes nos espaços utilizados pelas pessoas;

• Independentemente do cargo, função, área ou privilégios concedidos, deve-se proteger a privacidade dos dados e garantir a segurança da informação buscando sempre: (i) manter a confidencialidade das informações, garantindo que o acesso seja obtido somente por pessoas autorizadas e quando for, de fato, necessário; (ii) manter a integridade das informações, visando a sua exatidão e completude, bem como dos respectivos métodos processamento; e (iii) garantir que as informações estejam disponíveis para quem delas precise e esteja autorizado a acessá-las; e

• Independentemente do cargo, função, área ou privilégios concedidos, deve-se respeitar a Política de Privacidade e o Código de Conduta do Muzzi Associados, a fim de garantir a execução das atividades no que diz respeito ao tratamento de informações e de dados pessoais.

DEFINIÇÕES
Aplicam-se os conceitos abaixo no que se refere à Política de Segurança do Muzzi Associados:
a) Ativo de Informação: é o patrimônio composto por todos os dados e informações geradas e manipuladas pelo Muzzi Associados;
b) Ativo de Processamento: é o patrimônio composto por todos os elementos de hardware e software necessários para a execução dos sistemas e processos do Muzzi Associados, tanto os produzidos internamente quanto os adquiridos ou terceirizados (sistemas);
c) Controle de Acesso: são restrições ao acesso às informações de um sistema exercido pelo Muzzi Associados;
d) Custódia: consiste na responsabilidade de se guardar um ativo para terceiros. Entretanto, a custódia não permite automaticamente o direito de conceder acesso a outros;
e) Direito de Acesso: é o privilégio associado a um cargo, pessoa ou processo para ter acesso a um ativo;
f) Ferramentas: é o conjunto de equipamentos, programas, procedimentos, normas e demais recursos por meio dos quais se aplica a Política de Segurança da Informação do Muzzi Associados;
g) Incidente de Segurança: é qualquer evento ou ocorrência que promova uma ou mais ações que comprometa ou que seja uma ameaça à integridade, autenticidade, ou disponibilidade de qualquer ativo do Muzzi Associados;
h) Política de Segurança: é o conjunto de diretrizes destinadas a definir a proteção adequada dos ativos produzidos pelos Sistemas de Informação do Muzzi Associados;
i) Responsabilidade: é definida como as obrigações e os deveres da pessoa que ocupa determinada função em relação ao acervo de informações; e
j) Senha Fraca ou Óbvia: é aquela onde se utilizam caracteres de fácil associação com o dono da senha, ou que seja muito simples ou pequena, tais como: datas de aniversário, casamento, nascimento, o próprio nome, o nome de familiares, sequências numéricas simples, palavras e unidades léxicas que constem de dicionários de qualquer língua, dentre outras.

REGRAS GERAIS
A Política de Segurança do Muzzi Associados é aplicável a todos os seus recursos humanos, administrativos e tecnológicos, neles incluídos todos os sócios, advogados, funcionários, estagiários, prestadores de serviços, consultores, colaboradores ou correspondentes, independentemente do tipo de vínculo, se permanente ou temporário. Todos recebem as informações necessárias para o adequado cumprimento do que está fixado nessa PSI, considerando-se proibido tudo aquilo que não esteja previamente autorizado por ela.

REQUISITOS DE SEGURANÇA DE PESSOAL
O Muzzi Associados conta com um conjunto de medidas e procedimentos de segurança necessários à proteção de seus ativos, medidas estas que devem ser obrigatoriamente observadas pelos todos os sócios, advogados, funcionários, estagiários, prestadores de serviços, consultores, colaboradores ou correspondentes.
As medidas e procedimentos de segurança visam, em primeiro lugar, reduzir os riscos de erros humanos, furto, roubo, apropriação indébita, fraude ou uso não apropriado dos ativos do Muzzi Associados, servindo, também, para orientar e capacitar todo o pessoal envolvido nas atividades empreendidas pela sociedade, conforme especificado a seguir:

• Processo de Admissão: São adotados critérios rígidos para o processo seletivo de candidatos, com o propósito de selecionar, para os quadros do Muzzi Associados, pessoas reconhecidamente idôneas e capacitadas, sem histórico que possa comprometer a segurança ou credibilidade do Muzzi Associados. O admitido, seja advogado, colaborador ou estagiário, assina termo de compromisso assumindo o dever de manter sigilo, mesmo quando desligado, sobre todos os ativos do Muzzi Associados. O escritório orienta todos os colaboradores, em qualquer nível, a não discutir ou comentar assuntos confidenciais, citar nomes ou tratativas, dentro ou fora do ambiente de trabalho, em locais públicos, ou próximos de visitantes, seja ao telefone ou com algum colega, parente ou fornecedor.

• Controles de acesso físico: O acesso físico nas dependências da sociedade é realizado apenas por pessoas devidamente autorizadas, mediante prévio cadastramento biométrico e facial, que dá acesso individual às catracas que levam aos elevadores e escadas. No andar onde é localizado o escritório, os funcionários ou visitantes são identificados na recepção ou ingressam mediante senha específica, tendo acesso à área interna e as estações de trabalho tão somente os sócios, funcionários e estagiários devidamente autorizados e cadastrados.

• Política da mesa limpa: O escritório não conta com estações fixas de trabalho e adota a política da mesa limpa, segundo a qual nenhuma informação ou documentos confidenciais devem ser deixados à vista, seja em papel ou em quaisquer dispositivos, eletrônicos ou não. Incentivamos nossos colaboradores a realizarem apenas impressões estritamente necessárias, sendo que, quando da utilização da impressora coletiva, o documento impresso deve ser imediatamente recolhido. Documentos confidenciais eventualmente impressos devem ser imediatamente arquivados nas respectivas pastas de destino, ou destruídos na fragmentadora para posterior descarte, não podendo ser utilizados como rascunhos.

• Desempenho da função: O Muzzi Associados dá a seus colaboradores acesso às informações necessárias e limitadas ao exercício de suas funções, sempre fornecendo instruções e orientações sobre as medidas e procedimentos de segurança. Os colaboradores têm o desempenho avaliado e acompanhado periodicamente com o propósito de detectar a necessidade de atualização técnica e de segurança. Comportamentos incompatíveis ou que possam gerar comprometimentos à segurança são averiguados e comunicados imediatamente aos sócios responsáveis por cada área.

• Processo de desligamento: A Muzzi Associados conta com domínios próprios, realizando internamente a gestão dos endereços de e-mail utilizados em suas atividades. Assim, no caso de extinção de vínculo ou rescisão contratual, por qualquer motivo, os acessos aos e-mails, sistemas, bem como instalações são imediatamente retirados. Além disso, o envolvido deve necessariamente devolver, no ato da rescisão contratual ou extinção de vínculo, as máquinas e equipamentos porventura fornecidos pelo escritório. É realizada entrevista de desligamento para orientar o empregado sobre suas responsabilidades na manutenção do sigilo de dados e/ou conhecimentos sigilosos de sistemas críticos aos quais teve acesso durante sua permanência no Muzzi Associados.

• Deveres dos colaboradores: São deveres dos colaboradores: (i) preservar a integridade e guardar sigilo das informações de que fazem uso, bem como zelar e proteger os respectivos recursos de processamento de informações; (ii) cumprir esta Política de Segurança, sob pena de incorrer nas sanções disciplinares e legais; (iii) utilizar os e-mails e ferramentas do Muzzi Associados e os recursos a elas relacionados somente para os fins previstos para a função; (iv) cumprir as regras específicas de proteção estabelecidas aos ativos de informação; (v) manter o caráter sigiloso da senha de acesso aos recursos e sistemas do Muzzi Associados; (vi) não compartilhar, sob qualquer forma, informações confidenciais com outros que não tenham a devida autorização de acesso; (vii) respeitar a proibição de não usar, inspecionar, copiar ou armazenar programas de computador ou qualquer outro material, em violação da legislação de propriedade intelectual pertinente; (viii) respeitar a Política de Privacidade e o Código de Conduta do Muzzi Associados, a fim de garantir a execução das atividades no que diz respeito ao tratamento da informação e dos dados pessoais; (ix) comunicar ao seu superior imediato o conhecimento de qualquer irregularidade ou desvio.

• Responsabilidade dos sócios: São deveres dos sócios: (i) gerenciar o cumprimento desta política de segurança, por parte de seus empregados; (ii) identificar os desvios praticados e adotar as medidas corretivas apropriadas; (iii) impedir o acesso de empregados demitidos ou demissionários aos ativos de informações, utilizando-se dos mecanismos de desligamento contemplados pelo respectivo processo de desligamento do empregado; (iv) proteger, ao nível físico e lógico, os ativos de informação e de processamento do Muzzi Associados; e (v) garantir que o pessoal sob sua supervisão compreenda e desempenhe a obrigação de proteger os ativos do Muzzi Associados.

• Responsabilidades dos prestadores de serviço (incluídos sistemas contratados): Todos os contatos firmados pelo Muzzi Associados contam com cláusulas relativas ao cumprimento das disposições consignadas na Lei Geral de Proteção de Dados (Lei nº 13.709/2018), bem como com disposições atinentes às normas contra a lavagem de dinheiro e trabalho escravo. Assim, os contratos firmados pelo escritório contemplam a responsabilidade dos prestadores de serviço pelo cumprimento desta Política de Segurança da Informação, suas normas e procedimentos, bem como da legislação, regulamentos e demais normas relacionadas à proteção dos ativos.

• Sanções: Uma vez identificado o descumprimento ou observadas ameaças às regras de segurança previstas nessa política, serão aplicadas as sanções previstas na legislação vigente, nelas incluídas rescisão contratual, demissão por justa causa ou exclusão do quadro societário.

REQUISITOS DE SEGURANÇA DO AMBIENTE FÍSICO
O escritório é localizado em empresarial moderno, dotado de sistema de acesso mediante identificação biométrica ou facial, com segurança em tempo integral. O acesso eventual às instalações do edifício, seja via portaria principal ou estacionamentos, só é possível mediante autorização expressa da unidade destinatária.
O cadastro biométrico ou facial só é feito após o sócio responsável enviar e-mail para a administração do condomínio contendo a autorização expressa para o cadastro, período da permissão, bem como os dados do autorizado. Na ocasião do desligamento/rescisão contratual o acesso é imediatamente revogado, ficando bloqueado o acesso às instalações do empresarial.

REQUISITOS DE SEGURANÇA DO AMBIENTE LÓGICO
O ambiente lógico é composto por todos os ativos de informações do Muzzi Associados. Considerando as atividades inerentes a um escritório de consultoria e advocacia, todos os ativos do Muzzi Associados são protegidos de acordo com o seu valor, sensibilidade e criticidade, evitando que as informações e papéis de trabalho do escritório sejam acessados por pessoas não autorizadas. Os processos e ações para a manutenção da segurança dos ativos do escritório compreendem:

• Os sistemas possuem controle de acesso de modo a assegurar o uso apenas a usuários ou processos autorizados;

• Os softwares e aplicativos instalados nos computadores são mantidos atualizados, em conformidade com as recomendações dos fabricantes;

• Eventuais acessos remotos só são realizados, mediante agendamento prévio, pelo colaborador responsável pelo TI do Muzzi Associados;

• As informações armazenadas em meios eletrônicos são protegidas contra danos, furtos ou roubos, sendo adotados procedimentos de backup. Os procedimentos de cópia de segurança (backup) e de recuperação são documentados, mantidos atualizados, de modo a garantir a disponibilidade das informações;

• Os componentes da rede local são mantidos protegidos e com acesso físico e lógico controlado, sendo protegidos contra danos, furtos, roubos e intempéries;

• São observadas as questões envolvendo propriedade intelectual quando da cópia de software ou arquivos de outras localidades;

• Informações sigilosas, corporativas ou que possam causar prejuízo ao Muzzi Associados são protegidas e não são enviadas para outras redes, sem proteção adequada, sendo acessadas apenas pelos sócios.

• Os usuários e aplicações que necessitem ter acesso a recursos do Muzzi Associados são identificados e autenticados;

• Cada usuário conta com seus próprios dados para acesso aos sistemas e aplicações utilizadas pelo Muzzi Associados;

• As autorizações são definidas de acordo com a necessidade de desempenho das funções (acesso motivado) e considerando o princípio dos privilégios mínimos (ter acesso apenas aos recursos ou sistemas necessários para a execução de tarefas);

• As senhas são individuais, secretas, intransferíveis e são protegidas com grau de segurança compatível com a informação associada;

• Os sócios responsáveis realizam a gestão das ferramentas contratadas pela sociedade, garantindo que apenas colaboradores ativos tenham acesso aos ativos do Muzzi Associados e sempre na medida necessária ao desempenho de suas atribuições; e

• Os procedimentos de combate a processos destrutivos (vírus, cavalo-de-tróia e worms) estão sistematizados.

DIREITO DE PROPRIEDADE
Todos os produtos resultantes do trabalho dos sócios, advogados, funcionários, estagiários, prestadores de serviços, consultores, colaboradores ou correspondentes (coleta de dados e documentos, sistema, metodologia, dentre outros) é propriedade exclusiva do Muzzi Associados. Em caso de extinção de vínculo ou rescisão contratual, por qualquer motivo, o envolvido deverá devolver todas as informações confidenciais geradas e manuseadas em decorrência da atividade ou emitir declaração de que as destruiu.

DA RESPONSABILIDADE E DAS DISPOSIÇÕES FINAIS

• É dever de todos os colaboradores e associados zelar pelo compromisso com a segurança das informações e dos dados pessoais sob a responsabilidade da Muzzi Associados, sinalizando situações que possam trazer riscos, com o intuito de propiciar melhoria contínua nos processos de segurança da informação e proteção de dados pessoais. As violações de segurança devem ser imediatamente comunicadas aos sócios, que deverão apurar a ocorrência, determinando as medidas necessárias, visando à correção das falhas ou a reestruturação de processos, com o fim de solucionar a questão e minimizar seus efeitos.