Política de Segurança da Informação e Segurança Cibernética

Esta Política estabelece princípios, responsabilidades e diretrizes para proteger informações, sistemas, aplicações, infraestrutura, dados pessoais, credenciais, ativos tecnológicos e recursos utilizados pela Lucraria. Seus objetivos são:

• a)preservar a confidencialidade das informações;
• b)manter a integridade dos dados e sistemas;
• c)promover a disponibilidade dos Serviços;
• d)reduzir riscos de incidentes, fraudes e acessos indevidos;
• e)proteger dados pessoais e informações empresariais;
• f)orientar a prevenção, a detecção, a resposta e a recuperação de incidentes;
• g)estabelecer responsabilidades mínimas para pessoas autorizadas e fornecedores;
• h)promover a conformidade com a legislação aplicável e com os contratos firmados.

Esta Política aplica-se, na medida pertinente:

• a)aos administradores e responsáveis pela Lucraria;
• b)aos colaboradores, contratados, estagiários e prestadores;
• c)aos fornecedores de tecnologia, hospedagem, suporte e infraestrutura;
• d)aos parceiros e operadores que tratem informações em nome da Lucraria;
• e)aos sistemas, aplicativos, bancos de dados, dispositivos, redes e ambientes utilizados pela Empresa;
• f)às informações físicas e digitais relacionadas às atividades da Lucraria;
• g)aos usuários que acessam os Serviços, quanto às obrigações de sua responsabilidade.

Regras mais específicas poderão ser estabelecidas em normas internas, contratos, manuais, procedimentos e instrumentos de tratamento de dados.

As informações da Lucraria poderão ser classificadas em:

As informações deverão ser tratadas de acordo com sua classificação, respeitando obrigações contratuais, legais e regulatórias.

• O acesso aos sistemas deverá ser concedido com base em necessidade legítima, função, autorização e mínimo privilégio.
• Cada pessoa deverá utilizar sua própria conta, sendo proibido compartilhar credenciais individuais, salvo mecanismos técnicos expressamente autorizados e controlados.
• Contas privilegiadas deverão ser restritas, protegidas e utilizadas apenas quando necessário.
• A Lucraria deverá revisar permissões relevantes periodicamente e remover ou ajustar acessos quando houver desligamento, mudança de função, alteração contratual ou perda de necessidade.
• Sempre que tecnicamente disponível e proporcional ao risco, deverá ser utilizada autenticação multifator em contas administrativas, sistemas críticos e acessos remotos relevantes.
• Senhas deverão ser únicas, robustas e armazenadas por mecanismos adequados. Não deverão ser mantidas em texto simples em locais não autorizados.
• O Usuário deverá comunicar imediatamente qualquer suspeita de comprometimento de sua conta.

• Os dispositivos utilizados para atividades da Lucraria deverão manter medidas de proteção compatíveis com o risco, incluindo atualizações, bloqueio de tela e proteção contra códigos maliciosos, quando aplicável.
• O acesso administrativo deverá ocorrer por canais autorizados e protegidos.
• Sistemas críticos deverão ser separados, quando tecnicamente viável, de ambientes de desenvolvimento, testes e uso comum.
• Ambientes de desenvolvimento e testes não deverão utilizar dados pessoais reais sem avaliação, autorização e controles adequados.
• O acesso remoto deverá utilizar mecanismos de autenticação, autorização e proteção compatíveis com a sensibilidade do ambiente.
• Equipamentos perdidos, furtados ou comprometidos deverão ser comunicados imediatamente.

• Alterações em sistemas deverão seguir procedimentos proporcionais ao risco, incluindo avaliação, revisão, testes e registro quando aplicável.
• O código e as configurações deverão ser protegidos contra acesso não autorizado.
• Segredos, senhas, tokens e chaves não deverão ser armazenados em código-fonte público ou em repositórios sem proteção adequada.
• Dependências e componentes de terceiros deverão ser acompanhados conforme sua relevância e risco.
• Vulnerabilidades identificadas deverão ser avaliadas, priorizadas e tratadas dentro de prazos compatíveis com seus riscos.
• O desenvolvimento deverá aplicar boas práticas e normativas vigentes na área de segurança da informação.

• A Lucraria implementará medidas de criptografia conforme aplicável, garantindo a proteção de dados durante o armazenamento e transmissão.
• As chaves criptográficas deverão ser geridas de forma rigorosa, garantindo seu acesso limitado a pessoas ou sistemas autorizados.
• A proteção dos dados pessoais será priorizada com base em sua classificação e sensibilidade.
• Relatórios de acesso e solicitações de alteração em dados sensíveis deverão ser auditados periodicamente.
• Medidas de segurança adicionais serão aplicadas quando houver alterações em leis ou regulamentos que requerem apreço maior pela privacidade e segurança.

• Todos os registros de acesso a sistemas e informações devem ser mantidos de modo a permitir a rastreabilidade das atividades realizadas.
• Monitoramento contínuo será realizado para detectar e responder a acessos não autorizados ou incidentes de segurança.
• Auditorias periódicas serão realizadas para garantir a conformidade e a efetividade das medidas de segurança adotadas.
• Relatórios de auditoria serão gerados e revisados conforme a natureza do incidente ou vulnerabilidade detectada.

• Cópias de segurança das informações devem ser realizadas regularmente, conforme a criticidade dos dados e serviços.
• Os backups devem ser armazenados em locais seguros e de fácil acesso em caso de necessidade de restauração.
• Procedimentos de recuperação devem ser testados periodicamente para garantir sua eficácia e prontidão.
• A continuidade das operações deve ser assegurada por meio de planejamento e simulações periódicas.
• Planos de continuidade devem incluir a comunicação clara e as responsabilidades de cada equipe envolvida no processo.
• Os planos devem ser atualizados conforme necessário, na sequência de incidentes ou alterações operacionais significativas.

• A Lucraria deve implementar um programa de gestão de vulnerabilidades que inclua identificação, avaliação e tratamento das mesmas.
• As vulnerabilidades identificadas devem ser registradas, e ações corretivas adotadas conforme prioridade e riscos associados.
• Atualizações de segurança devem ser aplicadas em tempo hábil, visando minimizar a exposição a riscos conhecidos.
• Treinamentos e informações sobre vulnerabilidades devem ser disponibilizadas a todos os colaboradores e prestadores.
• Relatórios de gestão de vulnerabilidades devem ser disponibilizados para revisão pela administração.

• Os fornecedores devem ser avaliados quanto à segurança da informação antes da contratação e periodicamente após a mesma.
• Devem ser estabelecidas cláusulas contratuais que garantam a proteção das informações tratadas por fornecedores.
• As auditorias e revisões de segurança devem ser realizadas em fornecedores com acesso a dados sensíveis.

• Incident reports devem ser conduzidos para documentar e analisar as causas e consequências de incidentes de segurança.
• Uma resposta rápida é imprescindível para mitigar os impactos e restaurar a normalidade das operações.
• A comunicação interna e externa deve ser bem estruturada e precisa, conforme a gravidade do incidente.
• A administração deve ser informada sobre incidentes significativos e ações corretivas implementadas.

• Práticas de conscientização devem ser implementadas para alertar colaboradores sobre ameaças relacionadas à engenharia social.
• Teste de phishing e outros simulados devem ser realizados para verificar a eficácia do treinamento e conscientização.
• Protocolos e procedimentos claros relativos à identificação e verificação de usuários devem ser aplicados.
• Relatórios de incidentes relacionados a fraudes devem ser mantidos e analisados para promover melhorias.
• A empresa deve manter um canal de comunicação para denúncias sobre tentativas de fraudes ou comportamentos suspeitos.

• Os locais onde as informações e ativos são mantidos devem ser seguros e com acesso controlado.
• Os meios de armazenamento obsoletos devem ser descartados de maneira que garanta a irreversibilidade da recuperação de dados.
• Registros de acesso e movimentação de ativos de informação devem ser mantidos e monitorados.
• As políticas de segurança física devem ser rigorosamente cumpridas por todos os colaboradores e visitantes.

• A privacidade dos dados deve ser garantida em conformidade com a legislação aplicável, em particular a LGPD.
• Dados pessoais devem ser acessados apenas quando necessário e sob autorização, respeitando a finalidade original de coleta.
• Todos os colaboradores e prestadores devem ser treinados quanto ao manejo correto de dados pessoais.
• Procedimentos de minimização de dados devem ser implementados para limitar a coleta ao mínimo necessário.
• Qualquer incidente que comprometa dados pessoais deve ser comunicado imediatamente ao responsável pela segurança da informação.

• Os colaboradores devem utilizar os recursos da Lucraria de forma ética e responsável, respeitando as normas estabelecidas.
• Qualquer uso inadequado ou ilegal dos recursos deve ser reportado imediatamente ao responsável pela segurança da informação.
• O acesso a redes e sistemas deve ser monitorado a fim de prevenir abusos e garantir a conformidade.

• Todos os colaboradores devem ser treinados sobre a política de segurança da informação e sobre boas práticas de segurança cibernética.
• Programas de conscientização devem ser realizados anualmente para reforçar a importância da segurança da informação.
• Os novos colaboradores devem passar por cursos de onboarding que incluam aspectos de segurança da informação.

• O descumprimento desta Política pode resultar em medidas disciplinares que podem incluir demissão por justa causa.
• Casos de incidente de segurança resultantes de negligência serão tratados com seriedade e podem levar a responsabilidades legais.
• As consequências para o descumprimento serão avaliadas de acordo com as normas internas e leis aplicáveis.

• Exceções a esta política devem ser documentadas e aprovadas pela administração da Lucraria.
• Exceções devem ser revisadas periodicamente para garantir que ainda sejam necessárias e justas.
• As exceções não devem comprometer a segurança da informação ou a compliance com regulamentos aplicáveis.

• Esta Política será revisada periodicamente e sempre que uma mudança significativa em procedimentos ou regulamentações ocorrer.
• A revisão deve considerar os feedbacks e incidentes registrados para garantir a melhoria contínua das diretrizes de segurança.
• As atualizações deverão ser comunicadas a todos os colaboradores e prestadores.

As comunicações sobre segurança da informação devem ser direcionadas a suporte@lucraria.com.br.

Esta Política entra em vigor em 14 de setembro de 2026 e permanecerá vigente até a sua atualização ou revogação.