Esta Política aborda as diretrizes, atribuições e responsabilidades no processo de Segurança Cibernética da Stone Instituicao de Pagamento S.A. “Stone”.

politica-de-seguranca-cibernetica

<h1 class="mb-24 lg:mb-32 font-sharon text-[32px] lg:text-[48px] font-bold leading-[40px] lg:leading-[56px] text-display-900">Política de Segurança Cibernética Stone</h1>

<ul><li>Ativo: são todos os elementos que detêm algum tipo de valor para a Companhia, podendo ser informações, hardwares (equipamentos), softwares (sistemas) e usuários.</li><li>Ativos de Informação: significa qualquer objeto que possa desenvolver, receber, transmitir, manusear, armazenar, trafegar e descartar informações.</li><li>Autenticidade: significa a possibilidade de avaliação da propriedade como genuína, verificada e confiável, assim como a confiança na validade de uma transmissão, mensagem ou do originador de uma mensagem. Possibilita que a veracidade dos usuários (são quem dizem ser) e que cada dado que chega ao sistema veio de uma fonte confiável.</li><li>Colaborador: corresponde a qualquer colaborador(a)/empregado(a) da Companhia, em regime CLT ou de estágio (aquele que possui um termo de compromisso firmado entre a empresa e a instituição de ensino).</li><li>Companhia: corresponde à Stone Instituição de Pagamento S.A. e suas subsidiárias (“Stone IP”), Stone Franchising Ltda.; Buy4 Processamento de Pagamentos S.A. e Stone Seguros S.A.</li><li>Custodiante: significa o Colaborador, setor ou área da Companhia que mantém Informação sob sua guarda.</li><li>Dado Pessoal: significa qualquer Informação que possa levar à identificação direta ou indireta de uma pessoa física. O conceito inclui nome, e-mail, RG, CPF, qualquer tipo de documento de identidade, telefone, dados cadastrais, endereço, imagem das pessoas captadas por câmeras, dados de Colaboradores (inclusive informações constantes no currículo), informações sobre cargos e salários, dados de geolocalização (GPS), endereço IP, identificação do dispositivo, hábitos, preferências, comportamentos, histórico de consumo, etc.</li><li>Dado Pessoal Sensível: corresponde a qualquer Dado Pessoal que diga respeito a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem como dado referente à saúde ou à vida sexual, dado genético ou biométrico.</li><li>Disponibilidade: significa a propriedade que garante (i) o funcionamento dos Ativos com prontidão, (ii) a confiabilidade e adequação temporal do acesso e do uso das Informações, e (iii) a utilização de serviços por usuários autorizados sem qualquer negação indevida.</li><li>Gestor: significa o Colaborador responsável por uma área, entidade, BU (“Business Unit”) ou Função.</li><li>Incidente de Segurança da Informação e/ou Privacidade: significa um simples evento ou uma série de eventos de segurança da informação e/ou privacidade indesejados ou inesperados, que tenham potencialidade de comprometer as operações do negócio e ameaçar a higidez da segurança da informação e da privacidade dos Titulares de Dados Pessoais no âmbito da Companhia.</li><li>Informação: significa o conjunto organizado de dados que constitui uma mensagem sobre um determinado fenômeno ou evento. A informação pode ser impressa ou escrita em papel, armazenada eletronicamente, transmitida por correio postal ou por meios eletrônicos, exibida em vídeos ou falada em conversas.</li><li>Integridade: significa a propriedade que garante a exatidão e completude na origem, no trânsito e no destino da Informação.</li><li>Não Repúdio: significa a capacidade de provar a ocorrência de um evento ou de uma ação reivindicada e suas entidades originárias.</li><li>Partes Interessadas: Correspondem a todos os elementos (pessoas, instituições, grupos, órgãos governamentais, etc.) que de alguma forma afetam ou são afetados pela Companhia (Exemplos: clientes, colaboradores, sócios, concorrentes, fornecedores, sociedade, entre outros).</li><li>Política: significa a presente Política de Segurança da Informação e Cibernética.</li><li>Segurança da Informação: significa a garantia de preservação de Disponibilidade, Integridade, Autenticidade e Sigilo da Informação existente em qualquer meio, suporte ou formato. Sigilo: significa que o proprietário da informação garante a sua não divulgação a indivíduos, entidades ou processos não autorizados.</li><li>Terceiros: Pessoas que não possuem vínculo empregatício com a Companhia e que não sejam estagiários. Entende-se tanto a entidade, quanto seu representante legal e/ou preposto que prestem ou estejam prestando serviços para a Companhia, exemplificativamente, prestadores de serviço em si, parceiros, franquias, fornecedores, auditores ou qualquer outro que se enquadre como trabalhador contratado por outra companhia que não a Stone Instituição de Pagamento S.A.</li><li>Time: significa o grupo de Colaboradores que desenvolvem atividades específicas dentro de uma mesma área (ex. time de monitoramento).</li></ul>

Termos e Definições

Esta Política tem como objetivo estabelecer as diretrizes para proteção das informações da Companhia, de modo a preservar a confidencialidade, a Integridade e a Disponibilidade dos Dados e dos sistemas de Informação utilizados, orientar quanto ao uso adequado de seus Ativos e garantir a capacidade da Companhia de prevenir, detectar e reduzir a vulnerabilidade a incidentes relacionados com o ambiente cibernético, observando os seguintes princípios da Companhia:

<ul><li>Confidencialidade: garantir que as informações tratadas sejam de conhecimento das pessoas autorizadas.</li><li>Integridade: garantir que as informações sejam íntegras, ou seja, que não sofrerão modificações que não sejam autorizadas.</li><li>Disponibilidade: garantir que as informações estejam disponíveis para as pessoas autorizadas.</li><li>Autenticidade: garantir que as informações sejam originais e não sofreram modificação.</li><li>Não Repúdio: garantir que o autor da informação seja identificado e não negue sua autoria.</li></ul>

Objetivo

Os princípios são os pilares para as ações ou condutas de Segurança da Informação que atuam como um guia para a sua implementação e gestão. Dessa forma, considerando os princípios de Confidencialidade, Integridade, Disponibilidade, Autenticidade e Não Repúdio, algumas ações, conforme descritas abaixo, deverão ser implementadas e continuamente aprimoradas para fins de controle da proteção das Informações da Companhia:

<ul><li>Alinhamento estratégico: Esta Política deve estar alinhada às normas e ações de Segurança da Informação, além dos objetivos de negócio e o planejamento estratégico da Companhia, verificados por meio das métricas e indicadores relacionados ao tema.</li><li>Promoção de um ambiente positivo de segurança: A Segurança da Informação é construída com base no observado comportamento humano. Este comportamento consiste no engajamento dos Colaboradores em desempenhar suas atividades conforme os parâmetros de segurança estipulados nesta Política.</li><li>Propriedade da Informação: Toda Informação produzida ou armazenada na Companhia é de sua propriedade e/ou controle, e não dos Colaboradores que nela trabalham e/ou qualquer Terceiro, exceto nos casos onde a Companhia atue como Custodiante da informação de outra organização.</li></ul>

Os procedimentos, controles, mecanismos e ações adotadas pela Companhia para alcançar os objetivos de Segurança da Informação contemplam:

Todos os produtos e serviços desenvolvidos, adquiridos, implementados ou disponibilizados devem ser submetidos a um processo formal de análise, avaliação e tratamento de riscos, visando atingir o grau de segurança adequado para a Companhia.

Gestão de Riscos

A Companhia deve implementar planos de continuidade de negócios documentados, testados e revisados periodicamente, de forma que seus serviços essenciais sejam devidamente identificados, contemplando os mecanismos de Segurança da Informação estabelecidos nos ambientes de produção. Deve haver redundância dos Ativos da Companhia, para que estes atendam aos requisitos de Disponibilidade.

Gestão de Continuidade

A Companhia deve implementar, seguir e aprimorar continuamente as diretrizes estabelecidas na Política de Governança em Proteção de Dados Pessoais e Política de Privacidade, que visam assegurar a privacidade e a segurança dos Dados Pessoais tratados no âmbito da oferta e disponibilização de soluções.

Governança em Proteção de Dados Pessoais

Conforme item 7 (sete) desta Política, todos os Colaboradores devem reportar quaisquer incidentes de Segurança, nos termos da Normativa de Gestão de Incidentes de Segurança da Informação e Privacidade, inclusive detectados a partir de informações recebidas de empresas prestadoras de serviços a terceiros, para que estes possam ser registrados, classificados, analisados, monitorados, comunicados e devidamente tratados conforme seu nível de criticidade, relevância e impacto, nos termos determinados no Plano de Resposta a Incidentes de Segurança da Informação.

Gestão de Incidentes de Segurança da Informação e/ou Privacidade

Em caso de incidentes de Segurança dos serviços de pagamento prestados que afetem Dados Pessoais, os Colaboradores devem seguir as orientações da Política de Resposta a Incidentes de Segurança da Informação, que tem por objetivo assegurar (i) o menor impacto aos Dados Pessoais e Titulares envolvidos no Incidente de Segurança; (ii) a notificação rápida aos Titulares de Dados Pessoais e à Autoridade Nacional e/ou ao Controlador, quando aplicável; e (iii) uma robusta resposta interna e externa ao Incidente de Segurança.

Plano de Resposta a Incidentes envolvendo Dados Pessoais

Todas as Informações e os Ativos que as suportam devem ser classificados de acordo com seu grau de sigilo e relevância, segundo os parâmetros delineados na Política de Classificação da Informação, recebendo o devido tratamento visando permitir sua proteção durante todo o ciclo de vida.

Classificação e Tratamento da Informação

No ato da contratação, mudança de área ou desligamento de Colaboradores ou finalização do vínculo de Terceiros, devem existir processos que registrem, revisem e ajustem os acessos físicos e lógicos de acordo com as novas funções desempenhadas, para que os mesmos tenham acessos somente as informações e recursos necessários ao seu novo cargo ou função ou tenham seu acesso cessado por conta do desligamento ou da finalização do vínculo. Deve ser obrigatória a utilização de um crachá de identificação nas dependências da Companhia, a fim de impedir o acesso não autorizado e, consequentemente, impedir a ocorrência de danos e interferências nos recursos de processamento de informações.

Gestão de Acessos

Devem ser identificados todos os Ativos ou grupos de Ativos da Companhia, classificando-os quanto ao nível de Confidencialidade da Informação, a fim possibilitar a criação, uso, monitoramento, e gestão de acessos privilegiados, os quais habilitam usuários autorizados a executar tarefas que usuários comuns não tem permissões para realizar. 

Gestão de Acesso Privilegiado

Todas as senhas dos Colaboradores devem ser confidenciais, pessoais e intransferíveis. As senhas devem conter requisitos mínimos de segurança, conforme descrito na Política de Senhas de Usuários.

Senhas de Usuários

As informações devem ser protegidas tanto no meio digital (notebooks, celulares, tablets e afins), quanto no físico (papel e afins). É de responsabilidade do Colaborador manter estas informações protegidas em qualquer ambiente. 

Mesa e Tela Limpa

Os Ativos de tecnologia da informação são recursos corporativos, de propriedade da Companhia, disponibilizados apenas para a execução das atividades funcionais dos Colaboradores. É de responsabilidade do Colaborador em posse dos Ativos de tecnologia da informação zelar pela proteção e pela informação contida nos Ativos sob sua responsabilidade. Devem ser utilizados somente Ativos homologados e autorizados pela Companhia.

Utilização dos Ativos de Tecnologia da Informação

As informações relevantes da Companhia devem ser armazenadas de forma redundante para garantir a disponibilidade e restauração de arquivos digitais de computadores e sistemas corporativos de acordo com as normas vigentes.

Backup

Os Ativos de tecnologia da informação, que possuam ou não dados armazenados, devem ser descartados ou destruídos de forma segura evitando revelação de informações sigilosas, perda de dados ou roubo de propriedade.

Descarte e Destruição

O uso efetivo e adequado de um sistema de criptografia deve ser estabelecido com o intuito de assegurar a Confidencialidade, Autenticidade e Integridade das informações, garantindo a transmissão segura entre os dispositivos e redes da Companhia, conforme descrito na Política de Uso de Controles Criptográficos.

Criptografia

Os ativos de redes de computadores, como Firewalls, Roteadores, switches e pontos de acesso sem fio, devem possuir controles para restringir o acesso a usuários e de segmentação de redes para garantir a segurança dos dados e das informações.

Segurança de Redes

Para garantir a proteção dos Ativos acessados por Terceiros, a Companhia realiza a disseminação da cultura de Segurança da Informação por meio de treinamentos específicos focados em garantir a confidencialidade, integridade e disponibilidade das informações.

Além disso, cabe a cada uma das áreas envolvidas a responsabilidade por assegurar que os requisitos de Segurança da Informação sejam implementados e acordados com os Terceiros, sobretudo aqueles que manuseiam dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais da Companhia. O objetivo é possibilitar a mitigação dos riscos associados aos acessos destes e a observância dos controles, procedimentos e parâmetros previstos em seus respectivos contratos de prestação de serviço, conforme descrito na Política de Segurança da Informação para Terceiros e Política de Homologação de Fornecedores.

Relacionamento com Terceiros

Todo sistema de propriedade da Companhia, seja ele adquirido ou desenvolvido internamente, deve ser submetido a um processo de avaliação de riscos antes de sua implantação, para garantir seu alinhamento com as práticas de Segurança da Informação estabelecidas nesta Política.

Aquisição, Desenvolvimento e Manutenção de Sistemas

A Companhia deve auditar periodicamente as práticas de Segurança da Informação de forma a avaliar a conformidade das ações de seus Colaboradores em relação ao estabelecido nesta Política e na legislação aplicável.

Auditoria e Conformidade

A Companhia deve, em conformidade com a legislação em vigor, monitorar o acesso e a utilização de seus Ativos, tais como ambientes, equipamentos e sistemas tecnológicos, de forma que ações indesejáveis ou não autorizadas sejam detectadas proativamente. 

Os controles voltados para a rastreabilidade da informação, que busquem garantir a segurança das informações sensíveis, são realizados através de infraestrutura de SIEM, possibilitando o gerenciamento  de registro, além da análise da causa e do impacto. O controle dos efeitos de incidentes relevantes para as atividades da Companhia é feito por meio de procedimentos que garantem o sucesso no gerenciamento de registro (logs) de eventos, quais sejam: transmissão, armazenamento, análise e descarte, nos termos da Política de Registro e Monitoramento.

Monitoramento

O processo de Gestão de Mudança tem como objetivo assegurar que as mudanças realizadas no ambiente de produção e homologação da Companhia sejam feitas de forma controlada, sendo avaliadas,  planejadas, testadas, comunicadas, implementadas e documentadas, mitigando os riscos envolvidos nas mudanças de tecnologia em ambientes operacionais.

Gestão de Mudança

O processo de Gestão de Patches é uma prática proativa destinada a prevenir, na infraestrutura de tecnologia da informação, a exploração de vulnerabilidades que poderiam comprometer a Confidencialidade, Integridade ou Disponibilidade das informações manipuladas por componentes dessa infraestrutura. Todos os Ativos de Informação de propriedade ou mantidos pela Companhia devem ter instalados os últimos patches estáveis, disponibilizados pelos respectivos fornecedores.

Gestão de Patches

A Companhia deve implementar controles para prevenção e detecção de softwares maliciosos em todos os Ativos de Tecnologia da Informação.

Controles contra Malware

Os procedimentos e os controles, inclusive a realização periódica de testes e varreduras, adotados para prevenir, detectar e reduzir a vulnerabilidade da Companhia a incidentes e atender aos demais objetivos de segurança cibernética são definidos pelo processo de Gestão de Vulnerabilidades indicado na Política de Gestão de Vulnerabilidades.

Gestão de Vulnerabilidades

O conjunto de documentos da Companhia que tratam da Segurança Cibernética encontram-se listados enquanto Documentação Relacionada e complementam a presente Política, estabelecendo parâmetros e orientações específicas a cada temática, inclusive por meio de eventual definição (i) dos processos e testes pertinentes, bem como, quando aplicável, (ii) a identificação e correção de eventuais deficiências. Essa documentação complementar deve passar por revisões e análises periódicas, visando manter a atualização e precisão de seus fluxos.

Documentação Interna Relacionada

Toda contratação de serviços de Cloud Computing deve ser regida por um contrato entre a Companhia e o fornecedor. Deve ser aprovada a disponibilização de qualquer dado, informação, aplicação ou processo da Companhia no ambiente cloud externo.

Cloud

Os Colaboradores que desejam utilizar os próprios dispositivos móveis para fins corporativos devem seguir as respectivas diretrizes, princípios e responsabilidades, estabelecendo práticas adequadas para  proteger informações confidenciais da Companhia.

Bring Your Own Device (BYOD)

Na existência de conflito entre os controles de segurança e eventual necessidade de negócio específica, um novo cenário de controle deve ser analisado e implementado a fim de viabilizar os objetivos da Companhia, havendo ainda a necessidade de registro da aceitação dos riscos remanescentes, conforme as diretrizes de assunção de riscos da Companhia.

Conflitos

Diretrizes

<ul><li>Aprovar a Política de Segurança da Informação e Cibernética;</li><li>Acompanhar periodicamente a evolução dos procedimentos, indicadores e resultados de segurança cibernética, visando sua melhoria contínua dos procedimentos relacionados com a segurança cibernética.</li></ul>

Diretoria

<ul><li>Gerenciar, coordenar, orientar, avaliar e implantar as ações, controles, atividades e projetos relativos à Segurança da Informação, promovendo ações de interesse da Companhia, programas educacionais, de conscientização e de capacitação e de avaliação periódica de pessoal;</li><li>Mitigar os Incidentes de Segurança que causam prejuízos financeiros, reputacionais e qualquer outra modalidade de impacto negativo, direto ou indireto, para o negócio da Companhia;</li><li>Analisar os desvios e as exceções às orientações desta Política;</li><li>Assegurar que o sistema de gestão da Segurança da Informação está conforme as principais práticas de Segurança da Informação do mercado, de acordo com a sua adequação e aplicabilidade;</li><li>Relatar sobre o desempenho do sistema de gestão da Segurança da Informação para a Diretoria;</li><li>Propor e apoiar iniciativas que visem a segurança dos Ativos;</li><li>Prestar informações a usuários finais sobre precauções na utilização de produtos e serviços oferecidos por meio de canais oficiais da Companhia;</li><li>Monitorar o acesso e a utilização dos Ativos tecnológicos, dos ambientes, equipamentos e sistemas da informação da Companhia, de forma que ações indesejáveis ou não autorizadas sejam detectadas proativamente.</li></ul>

Áreas de Segurança da Informação

<ul><li>Conhecer e cumprir as diretrizes estabelecidas nesta Política e demais regulamentos que derivam desta Política ou com ela se relacionam, bem como as boas práticas que contribuem para a Segurança da Informação, conforme disponíveis e aplicáveis;</li><li>Reportar possíveis Incidentes e eventuais desconformidades com esta Política ao seu Gestor imediato, entidades responsáveis e/ou aos canais estabelecidos nesta Política, conforme aplicável;</li><li>Proteger e salvaguardar os Ativos e Informações de que sejam usuários, dos ambientes físicos e computacionais a que tenham acesso, independentemente das medidas de segurança implantadas;</li><li>Manter sigilo de todas as Informações acessadas durante seu período contratual, bem como após o encerramento dele, conforme diretrizes estabelecidas em contrato.</li></ul>

Colaboradores e Partes Interessadas

Atribuições e Responsabilidades

Todas as garantias necessárias ao cumprimento desta Política estão estabelecidas formalmente com os Colaboradores e Terceiros da Companhia.O descumprimento da Política é considerado uma falta grave, podendo acarretar a aplicação de sanções previstas em lei, nos regulamentos internos e nas disposições contratuais.

Compromissos e Penalidades

Um programa de conscientização, educação e treinamento em Segurança da Informação necessário à garantia dos objetivos, princípios e diretrizes definidas nesta Política deverá ser realizado adequando-se às necessidades e responsabilidades específicas de cada Colaborador e, onde pertinente, Terceiros.

Treinamento

Considerações Finais

Na hipótese de dúvidas relativas aos temas tratados nesta Política ou a possíveis assuntos não contemplados, por favor, entre em contato com a Companhia. Quaisquer violações desta Política deverão ser reportadas à Companhia por meio do Orelhão, disponível em:

<ul><li>canalconfidencial.com.br/orelhaostone</li><li>Telefone: 0800-591-0579</li></ul>

A Companhia garante a confidencialidade e anonimato das informações reportadas, bem como a não retaliação a denunciantes que estiverem agindo de boa-fé