POLÍTICA · VERSÃO 1.0
Política de Segurança da Informação
1. Objetivo
Esta Política estabelece os compromissos e as diretrizes da NESS Processos e Tecnologia Ltda. para proteger as informações próprias e as que recebe de clientes, parceiros e pessoas, de acordo com os riscos do negócio, a lei e os contratos.
Esta é a versão pública da Política. As práticas da NESS são alinhadas aos requisitos da ABNT NBR ISO/IEC 27001:2022, em especial o controle 5.1 (políticas de segurança da informação), da ISO/IEC 27002, que orienta a implementação dos controles, e da ISO/IEC 27701, que trata da gestão da privacidade. Normas e procedimentos internos detalham a aplicação de cada diretriz.
2. Abrangência
A Política vale para as três marcas da NESS: ness., trustness. e forense.io. Abrange todas as pessoas que atuam em nome da NESS, como sócios, empregados, estagiários e terceiros; todas as informações, em qualquer formato ou meio; os sistemas, serviços, equipamentos e ambientes, próprios ou contratados, inclusive em nuvem; e os fornecedores que tratam informações da NESS ou dos seus clientes.
3. Princípios
Confidencialidade: a informação só é acessada por quem tem autorização e necessidade.
Integridade: a informação é exata e completa, e só é alterada por quem tem autorização, de forma rastreável.
Disponibilidade: a informação e os sistemas estão acessíveis a quem precisa, quando precisa, de acordo com o que foi acordado.
Privacidade: dados pessoais são tratados com finalidade definida, na medida do necessário, com transparência para o titular e em conformidade com a LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018).
A segurança é tratada com base em risco: os controles são proporcionais à importância da informação e às ameaças a que ela está exposta.
4. Papéis e responsabilidades
Diretoria: aprova esta Política, define o apetite a risco, provê os recursos necessários e acompanha periodicamente o desempenho da segurança da informação.
Responsável por segurança da informação: coordena a gestão de riscos, propõe normas e controles, conduz a resposta a incidentes, acompanha o cumprimento desta Política e reporta à Diretoria.
Gestores: aplicam a Política nas suas áreas, autorizam e revisam os acessos das suas equipes e asseguram que as pessoas sob sua gestão conheçam as suas responsabilidades.
Empregados e estagiários: cumprem esta Política e as normas que a detalham, protegem as informações a que têm acesso e comunicam imediatamente qualquer incidente ou suspeita.
Terceiros: cumprem as obrigações de segurança e privacidade previstas em contrato e nesta Política, na medida em que se apliquem ao serviço prestado.
5. Classificação da informação
Toda informação é classificada de acordo com o seu valor, a sua sensibilidade e as exigências legais e contratuais, e protegida conforme a classificação ao longo de todo o ciclo de vida, da criação ao descarte. Informações de clientes e dados pessoais recebem, no mínimo, o tratamento de informação confidencial.
6. Controle de acesso
O acesso a informações e sistemas segue os princípios do menor privilégio e da necessidade de conhecer. Cada acesso é individual, autorizado formalmente e removido quando deixa de ser necessário, inclusive na mudança de função e no desligamento.
É obrigatório o uso de autenticação multifator nos acessos a sistemas corporativos, a ambientes de clientes e a contas com privilégio administrativo, sempre que a tecnologia permitir. Contas privilegiadas são restritas e de uso controlado. Os acessos são revisados periodicamente pelos gestores responsáveis.
7. Gestão de ativos
A NESS mantém o inventário dos ativos de informação, com responsável definido para cada um. Os ativos são usados de acordo com as regras de uso aceitável, devolvidos ao fim do vínculo ou do contrato e descartados de forma segura, com eliminação dos dados que contêm.
8. Criptografia
A NESS adota criptografia para proteger informações confidenciais em trânsito e, conforme a classificação e o risco, em repouso. As chaves criptográficas são geradas, guardadas, trocadas e revogadas de forma controlada, com acesso restrito.
9. Desenvolvimento seguro
Sistemas desenvolvidos ou contratados pela NESS seguem um ciclo de desenvolvimento seguro (SSDLC): requisitos de segurança e privacidade desde o início, revisão de código, testes de segurança antes da entrada em produção, separação entre os ambientes de desenvolvimento, teste e produção, e proibição de dados reais de clientes ou de pessoas em ambientes de desenvolvimento e teste. Segredos, como senhas e chaves, nunca ficam no código-fonte.
10. Gestão de vulnerabilidades
A NESS identifica, avalia e trata as vulnerabilidades técnicas dos seus sistemas de forma contínua, com prioridade definida pelo risco. Atualizações de segurança são aplicadas em prazo compatível com a criticidade, e as exceções são registradas e aprovadas.
11. Registro e monitoramento
Eventos relevantes para a segurança, como acessos, alterações de privilégio e falhas, são registrados, protegidos contra alteração e mantidos pelo tempo definido nas normas internas e na lei. Os registros são monitorados para detectar atividade anormal e apoiar a investigação de incidentes.
12. Cópias de segurança e continuidade
A NESS mantém cópias de segurança das informações e dos sistemas necessários, protegidas e testadas periodicamente quanto à restauração. Planos de continuidade definem como os serviços críticos são mantidos ou retomados em caso de interrupção e são testados e revisados de forma periódica.
13. Gestão de incidentes
Qualquer pessoa que identifique um incidente ou suspeita de incidente de segurança da informação deve comunicá-lo imediatamente pelo canal definido nas normas internas, ou ao responsável por segurança da informação. Clientes, parceiros e o público podem relatar incidentes e vulnerabilidades pelos canais de contato do site.
Os incidentes são registrados, classificados, contidos, investigados e tratados até a sua resolução, com preservação das evidências. Quando um incidente afetar clientes ou titulares de dados, a NESS os comunica, e comunica a Autoridade Nacional de Proteção de Dados (ANPD) e as demais autoridades quando a lei ou o contrato exigir. As lições aprendidas alimentam a melhoria dos controles.
14. Fornecedores
Fornecedores que tratam informações da NESS ou dos seus clientes são avaliados quanto à segurança e à privacidade antes da contratação, de forma proporcional ao risco. Os contratos preveem obrigações de sigilo, de proteção de dados e de comunicação de incidentes, e o cumprimento dessas obrigações é acompanhado durante a relação.
15. Conscientização e treinamento
Todas as pessoas que atuam em nome da NESS recebem orientação sobre esta Política ao ingressar e participam de ações periódicas de conscientização e treinamento em segurança da informação e privacidade, adequadas às suas funções.
16. Segurança física
Os locais onde há informações ou equipamentos da NESS têm acesso controlado e proteção compatível com o risco. Equipamentos fora das instalações, inclusive no trabalho remoto, são protegidos contra perda, furto e acesso indevido. Mesas e telas devem ficar livres de informações confidenciais quando não houver ninguém presente.
17. Uso aceitável
Os recursos da NESS, como computadores, celulares, contas, e-mail e sistemas, são usados para o trabalho, de forma ética e de acordo com as normas internas. É proibido instalar software não autorizado, contornar controles de segurança, compartilhar credenciais e usar os recursos para atividades ilícitas ou contrárias ao Código de Ética e Conduta. A NESS pode monitorar o uso dos seus recursos, nos limites da lei.
18. Uso de inteligência artificial
Ferramentas de inteligência artificial só são usadas quando aprovadas pela NESS para a finalidade pretendida. É proibido inserir informação confidencial de cliente, dado pessoal ou informação interna em ferramenta não aprovada. Toda decisão que afete clientes, pessoas ou a própria NESS é tomada por uma pessoa, que revisa o resultado da ferramenta antes de usá-lo e responde por ele.
19. Conformidade e sanções
A NESS cumpre a legislação aplicável, como a LGPD e o Marco Civil da Internet, e as obrigações contratuais de segurança e privacidade. O cumprimento desta Política é verificado periodicamente, inclusive por auditorias internas.
O descumprimento desta Política sujeita o responsável a medidas disciplinares proporcionais à gravidade, nos termos do Código de Ética e Conduta e da lei, e, no caso de terceiros, às medidas previstas em contrato.
20. Revisão
Esta Política é revisada pelo menos uma vez por ano, ou antes, quando houver mudança significativa no negócio, nos riscos, na tecnologia ou na lei. As revisões são aprovadas pela Diretoria.
Versão 1.0, vigente a partir de 11 de outubro de 2026.