Política de segurança da Informação Pública
1. Objetivo
Esta Política de Segurança da Informação Pública comunica, a clientes, parceiros, fornecedores, titulares de dados e demais partes interessadas, os compromissos e as diretrizes da MILVUS.COM LTDA ("Milvus") para a proteção das informações que trata, em conformidade com a norma ABNT NBR ISO/IEC 27001:2022 e com a legislação aplicável, em especial a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 - LGPD).
2. Escopo
Aplica-se à infraestrutura tecnológica dedicada ao desenvolvimento, à operação e ao suporte da plataforma SaaS Milvus para clientes corporativos, abrangendo pessoas, processos, sistemas, instalações e serviços em nuvem que suportam essas atividades, bem como todas as informações tratadas nesse contexto - de clientes, colaboradores, parceiros e da própria organização.
3. Declaração de Compromisso da Alta Direção
A Alta Direção da Milvus reconhece a informação como ativo estratégico do negócio e assume o compromisso de proteger a sua confidencialidade, integridade e disponibilidade, provendo os recursos necessários para o Sistema de Gestão de Segurança da Informação (SGSI), promovendo a melhoria contínua e assegurando que a segurança da informação seja parte da cultura e das decisões da organização. A Milvus mantém um SGSI certificado na ISO/IEC 27001:2022 por organismo de certificação independente.
4. Princípios de Segurança da Informação
• Confidencialidade: a informação é acessada somente por pessoas autorizadas, com base no menor privilégio e na necessidade de conhecer;
• Integridade: a informação é protegida contra alterações não autorizadas, mantendo-se exata e completa;
• Disponibilidade: a informação e os serviços estão acessíveis quando necessários, com redundância, backups e planos de continuidade testados;
• Legalidade e privacidade: o tratamento de informações e dados pessoais observa a legislação vigente, os contratos e os princípios da LGPD;
• Responsabilidade: todos que atuam em nome da Milvus respondem formalmente pela proteção das informações a que têm acesso.
5. Diretrizes
• Gestão de riscos: os riscos de segurança da informação são identificados, avaliados e tratados formalmente, com critérios de aceitação definidos e acompanhamento pela Direção;
• Classificação da informação: as informações são classificadas e tratadas conforme sua sensibilidade e criticidade;
• Controle de acesso: os acessos são concedidos formalmente, protegidos por autenticação multifator, revisados periodicamente e revogados imediatamente no desligamento;
• Criptografia: os dados trafegam por canais criptografados (HTTPS/TLS) e os dados sensíveis são criptografados em repouso, com gestão formal de chaves;
• Segurança de pessoas: contratação com verificação de antecedentes, termos de confidencialidade, treinamentos periódicos de conscientização e processo disciplinar formal;
• Segurança física e em nuvem: instalações protegidas e infraestrutura hospedada em data centers certificados no Brasil, com segregação de redes e ambientes;
• Operações seguras: gestão formal de mudanças, vulnerabilidades e patches, capacidade, backups testados, logs e monitoramento contínuo com proteção contra vazamento de dados
(DLP);
• Desenvolvimento seguro: requisitos de segurança desde a concepção, revisão de código, testes de segurança e testes de intrusão periódicos;
• Fornecedores: avaliação de segurança na contratação e monitoramento contínuo, com cláusulas contratuais de segurança e privacidade;
• Gestão de incidentes: processo formal de detecção, resposta, comunicação - inclusive à ANPD e aos titulares, quando aplicável - e aprendizado com incidentes;
• Continuidade de negócios: análise de impacto (BIA), planos de continuidade e de recuperação de desastres (PCN/DRP) testados periodicamente;
• Conformidade: atendimento contínuo aos requisitos legais, regulatórios e contratuais aplicáveis, verificado por auditorias internas e externas.
6. Responsabilidades
• Alta Direção: aprovar a política, prover recursos e analisar criticamente o SGSI em intervalos planejados;
• Comitê de Segurança da Informação: supervisionar o SGSI, deliberar sobre riscos e promover a melhoria contínua;
• Segurança da Informação (CISO): manter, operar e melhorar o SGSI, e conduzir a resposta a incidentes;
• Encarregado de Dados (DPO): atender os titulares e assegurar a conformidade com a LGPD;
• Colaboradores, prestadores e parceiros: cumprir as políticas internas, proteger credenciais e informações, e reportar imediatamente eventos ou fragilidades de segurança.
7. Comunicação de Eventos de Segurança
Qualquer pessoa - cliente, parceiro, fornecedor ou cidadão - que identifique evento, fragilidade ou incidente que possa comprometer a segurança das informações tratadas pela Milvus deve comunicá-lo imediatamente pelo e-mail sec.info@milvus.com.br, descrevendo o ocorrido com o máximo de detalhes. Todos os relatos são tratados com confidencialidade e analisados pela equipe de Segurança da Informação.
8. Violações e Sanções
O descumprimento desta política e das normas internas dela decorrentes sujeita colaboradores e prestadores às medidas disciplinares e contratuais cabíveis, sem prejuízo das responsabilidades civis e penais previstas em lei.
9. Documentos relacionados
Esta política pública é derivada da Política de Segurança da Informação interna (POL.001) e do corpo normativo do SGSI da Milvus, cujos documentos completos são classificados como de uso interno. A Política de Privacidade está disponível em https://milvus.com.br/politica-de-privacidade.
Referências: ABNT NBR ISO/IEC 27001:2022; Lei nº 13.709/2018 (LGPD).
10. Vigência e Revisão
Esta política entra em vigor na data de sua aprovação e é revisada no mínimo anualmente, ou sempre que mudanças significativas o exigirem. Dúvidas podem ser encaminhadas a sec.info@milvus.com.br (segurança) ou dpo@milvus.com.br (privacidade).
11. Aprovação
O fluxo de elaboração, revisão e aprovação é registrado abaixo:
Elaboração:
Nome: Cássio Campos
Cargo: Segurança da Informação (CISO)
Revisão:
Nome: Cassiano Oliveira
Cargo: Tecnologia da Informação
Aprovação:
Nome: Félix Schultz
Cargo: Diretoria Executiva