Política de Segurança da Informação

1 Objetivo e abrangência

O objetivo desta Política de Segurança da Informação (PSI) é definir diretrizes para proteger as informações tratadas pela Security Energy contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Ela se aplica a todos os colaboradores, estagiários, prestadores de serviço e operadores que acessem informações, sistemas ou instalações da Security Energy, e abrange dados em qualquer formato — digital, físico ou imagem — incluindo os sistemas de monitoramento de alarmes e de videomonitoramento (CFTV).

2 Princípios

• Confidencialidade, integridade e disponibilidade: a informação é acessada apenas por quem é autorizado, mantida correta e completa, e disponível quando necessária.
• Menor privilégio e necessidade de conhecer: cada pessoa acessa apenas o estritamente necessário às suas funções.
• Defesa em camadas: controles combinados (físicos, técnicos e administrativos) reduzem o risco de falha única.
• Segurança e privacidade desde a concepção: a proteção de dados é considerada na contratação de sistemas e na definição de processos.

3 Classificação da informação

As informações são classificadas para receber proteção proporcional à sua sensibilidade:

• Pública: pode ser divulgada livremente.
• Interna: de uso da operação, sem divulgação externa.
• Confidencial: dados de clientes, cadastros, eventos de alarme e registros de acesso.
• Restrita: imagens de CFTV, credenciais, chaves de segurança e registros de incidentes — acesso limitado e sempre registrado.

4 Controle de acesso

• O acesso a sistemas e dados é nominal, individual e concedido conforme a função, com revisão periódica e revogação imediata no desligamento.
• A autenticação utiliza credenciais individuais; senhas seguem requisitos mínimos de complexidade e não são compartilhadas. Onde aplicável, adota-se autenticação em duas etapas.
• O acesso às imagens de CFTV e à central de monitoramento é restrito aos profissionais autorizados, mediante justificativa, e fica registrado em trilha de auditoria.

5 Segurança física

As instalações da central de monitoramento e os equipamentos que armazenam dados são mantidos em ambiente controlado, com acesso físico restrito a pessoas autorizadas e medidas de proteção contra incêndio, falha de energia e intrusão.

6 Segurança lógica

• Criptografia dos dados em trânsito e, quando aplicável, em repouso.
• Proteção contra códigos maliciosos e atualização regular de sistemas e correções de segurança.
• Segregação de ambientes e de redes, separando os sistemas críticos de monitoramento.
• Cópias de segurança (backups) periódicas, testadas e armazenadas de forma protegida, permitindo a recuperação dos serviços.

7 Registros e monitoramento

Os acessos e as operações relevantes são registrados em logs, que constituem trilha de auditoria para detecção e investigação de incidentes. Os prazos de guarda desses registros seguem a Política de Retenção e Descarte — em especial, registros de acesso a aplicações por no mínimo 6 meses (Marco Civil da Internet, art. 15).

8 Gestão de incidentes de segurança

Mantemos processo para identificar, conter, tratar e registrar incidentes de segurança envolvendo dados pessoais. Quando um incidente puder acarretar risco ou dano relevante aos titulares, a Security Energy comunica a ANPD e os titulares afetados, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024. O registro de cada incidente é mantido por no mínimo 5 anos.

9 Terceiros e operadores

Prestadores que tratam dados em nome da Security Energy passam por avaliação prévia e são vinculados por contrato que impõe obrigações de segurança e de proteção de dados compatíveis com esta política e com a LGPD, tratando os dados apenas conforme as nossas instruções.

10 Responsabilidades

• Todos os usuários devem zelar pela proteção das informações, proteger as suas credenciais e comunicar de imediato qualquer suspeita de incidente.
• Gestores garantem a aplicação desta política nas suas áreas e a concessão adequada de acessos.
• A área de Tecnologia implementa e mantém os controles técnicos.
• O Encarregado (DPO) orienta sobre proteção de dados e atua como ponto de contato com titulares e com a ANPD.

11 Conformidade, revisão e sanções

O descumprimento desta política pode ensejar medidas administrativas e contratuais cabíveis, sem prejuízo das responsabilidades legais. Esta PSI é revisada periodicamente e sempre que houver mudança relevante de cenário, tecnologia ou legislação. A versão vigente e a data de atualização constam no início deste documento.