REQUISITO DE SEGURANÇA DA INFORMAÇÃO E PRIVACIDADE

CONTRATAÇÃO DE SERVIÇOS DE TERCEIROS- WEBSITES EXTERNOS

CONTROLE DE VERSÃO :

• Este documento está alinhado à PL-SEG-023 antigo (NR-SEG-009) Requisitos de Segurança da Informação e de Privacidade para Contratação de Serviços de Terceiros

SUMÁRIO

1. OBJETIVO ..... 4
2. APLICAÇÃO ..... 4
3. REFERÊNCIAS ..... 4
4. REQUISITOS DE SEGURANÇA PARA CONTRATAÇÃO DE SERVIÇOS DE TERCEIROS – Websites Externos ..... 5 4.1. Aspectos Gerais ..... 5 4.2. Organização de Segurança da Informação e Proteção de Dados Pessoais ..... 6 4.3. Desenvolvimento ..... 7 4.3.1. Segurança para Sistemas Web ..... 7 4.3.2. Identidade do Site / Aplicativo ..... 14 4.3.3. Utilização de E-Mail ou E-Mail Marketing ..... 16 4.3.4. Tempo de Armazenamento ..... 17 4.4. Proteção de Dados ..... 17 4.5. Testes de Segurança ..... 18 4.6. Gestão de Vulnerabilidade

1. OBJETIVO

Apresentar os requisitos de Segurança da Informação e Privacidade obrigatórios que deverão ser observados pela CONTRATADA, para desenvolver websites (sites) para anúncio, comercialização de produtos, serviços ou promoções, dentre outras necessidades que se façam necessárias, considerando o processamento, transmissão e/ou armazenamento de informações de clientes e colaboradores da CLARO.

Aplica-se à Claro S.A. e suas Controladas/Coligadas, bem como para todos aqueles que, mesmo não sendo colaboradores próprios, trabalhem dentro ou fora das instalações das Empresas ou ainda que tenham acesso às informações dos processos da Organização.

3. REFERÊNCIAS

Os seguintes documentos referenciados, no todo ou em parte, são normativas e padrões de mercado:

Para o desenvolvimento deste documento, foram considerados:

• ABNT NBR ISO/IEC 27001:2022 Versão Corrigida:2023: Segurança da informação, segurança cibernética e proteção à privacidade - Sistemas de gestão da segurança da informação – Requisitos;
• ABNT NBR ISO/IEC 27002:2022: Segurança da informação, segurança cibernética e proteção à privacidade - Controles de segurança da informação;
• ABNT NBR ISO/IEC 27005:2023: Segurança da informação, segurança cibernética e proteção à privacidade — Orientações para gestão de riscos de segurança da informação;
• CÓDIGO DE ÉTICA do Grupo América Móvil;
• CÓDIGO DE AUTORREGULAMENTAÇÃO PARA PRÁTICA DE E-MAIL MARKETING (http://www.capem.org.br);
• DECRETO Nº 8.771/2016 – Decreto que regulamenta o Marco Civil da Internet;
• LEI Nº 12.965/2014 – Marco Civil da Internet;
• LEI Nº 13.709/18 - Lei Geral de Proteção de Dados Pessoais;
• NORMA DE SEGURANÇA DA CLARO.

4. REQUISITOS DE SEGURANÇA PARA CONTRATAÇÃO DE SERVIÇOS DE TERCEIROS – Websites Externos

4.1. Aspectos Gerais

1. Todos os requisitos de segurança indicados nesta política devem ser incluídos na Especificação Técnica pelas áreas requisitantes da contratação para envio à Diretoria de Compras visando à elaboração das RFPs;
2. A manutenção dos requisitos de segurança, bem como seu fiel cumprimento é de responsabilidade exclusiva da CONTRATADA, por isso cabe a este instituir procedimentos regulares de inspeções e auditorias relacionadas à segurança da sua operação;
3. A CONTRATADA deve apresentar recursos de segurança física e lógica que possibilitem a efetiva proteção da finalidade, necessidade, confidencialidade, integridade, disponibilidade e autenticidade das informações da Empresa, desde a fase de desenvolvimento até a efetiva entrega do site;
4. Em linhas gerais, a CONTRATADA deve observar, considerar, implementar, manter, se comprometer e garantir alta qualidade para os recursos de segurança especificados no contrato ao longo de todo o desenvolvimento do site;
5. [...]

4.2. Organização de Segurança da Informação e Proteção de Dados Pessoais

1. Para fins de organização da Segurança da Informação e da privacidade e proteção de dados pessoais, a CONTRATADA deve:
   • a) Possuir um modelo de gestão de Segurança da Informação e Privacidade, com o papel de elaborar, divulgar e atualizar as políticas e diretrizes de segurança e proteção de dados pessoais, que deverão ser apresentadas à Claro em caso de solicitação nesse sentido;
   • b) Designar um responsável pelo modelo de gestão de Segurança da Informação, que deverá atuar na gestão e no cumprimento das diretrizes e, se aplicável, um DPO, responsável pela estrutura e governança do programa de privacidade e proteção de dados pessoais;
   • c) Possuir uma política de Segurança da Informação (ou documento similar) revisada periodicamente e divulgada a todos os funcionários e terceiros, em que conste diretrizes de segurança e privacidade;
   • d) Documentar e manter atualizados os processos e procedimentos internos relacionados à prestação do serviço e aos requisitos de Segurança da Informação e Privacidade (ISO 27701:2019);
   • e) Realizar durante a contratação e periodicamente treinamentos de conscientização para seus funcionários sobre os aspectos de Segurança da Informação e Privacidade exigidos neste documento;
   • f) Cumprir a legislação e regulamentações aplicáveis à prestação de serviço, particularmente a Lei Geral das Telecomunicações e a LGPD;
   • g) Designar responsáveis, custodiantes e usuários das informações de seus sistemas internos.

4.3. Desenvolvimento

4.3.1. Segurança para Sistemas Web

A) Autenticação

1. Requerer autenticação para todas as páginas e recursos, exceto para aqueles que são intencionalmente públicos;
2. Utilizar apenas requisições POST para transmitir credenciais de autenticação;
3. Desabilitar a funcionalidade de lembrar a senha (autocomplete) nos campos de senha do navegador;
4. Adicionar controle de Captcha em páginas onde houver entradas de usuário/senhas;
5. Definição de complexidade mínima na criação de senhas:
   • Tamanho mínimo de 8 caracteres;
   • Senha não deve começar com caractere de espaço;
   • Senha deve conter caractere minúsculo;
   • Senha deve conter caractere maiúsculo;
   • Senha deve conter caractere numeral;
   • Senha deve conter caractere especial.
6. Solicitar a troca periódica da senha a cada 150 dias.

B) Validação de Entradas

1. Validar todos os dados provenientes dos clientes antes do processamento, incluindo todos os parâmetros, campos de formulário, consentimentos, conteúdo das URLs e cabeçalhos HTTP;
2. Verificar os valores de cabeçalho, tanto das requisições, como das respostas;
3. Validar dados provenientes de redirecionamentos.

C) Gerenciamento de Sessão

1. Definir o domínio e o caminho para os cookies que contém identificadores de sessão;
2. Disponibilizar a funcionalidade de logout em todas as páginas que requerem autenticação;
3. Não expor os identificadores de sessão em URLs;
4. Gerar um novo identificador de sessão em mudança de segurança;
5. Utilizar mecanismos complementares ao gerenciamento de sessão para operações sensíveis do lado do servidor;
6. Configurar o atributo "secure" para cookies transmitidos através de uma conexão TLS;
7. Configurar os cookies com o atributo HttpOnly.

D) Controle de Acesso

1. Restringir o acesso às URLs protegidas somente aos usuários autorizados;
2. Usar o campo “referer” do cabeçalho como verificação suplementar;
3. Não disponibilizar Servlets que controlem através de parâmetros.

E) Proteção de Dados

1. Os controles de segurança de TI devem ser aplicados adequadamente;

4.4. Proteção de Dados

As informações e dados de clientes, prospects etc. devem ser classificados conforme critérios e criptografados no armazenamento e transporte; o CONFIDENCIAL: Informação de alto impacto deve ser protegida por: a) sua relevância sobre decisões estratégicas, impacto financeiro, oportunidades de negócio, potencial de fraude ou requisitos legais;

4.5. Testes de Segurança

1. A CONTRATADA deve permitir que a área de Segurança da Informação da Claro (ou terceiro por ela designado) realize os testes de segurança necessários;
2. O resultado do teste será enviado à CONTRATADA que deverá retornar um plano de ação.

4.10. Gestão de Continuidade de Negócios

1. A CONTRATADA deve assegurar a disponibilidade de seus ambientes;
2. Deve ser incluída capacitação e orientação de todos os envolvidos nos planos de continuidade de processos.

5. ENCERRAMENTO DO CONTRATO DE SERVIÇOS

1. A substituição ou mesmo o encerramento dos serviços contratados pode ocorrer a qualquer momento, respeitando alguns itens de segurança;
2. Notificação de rescisão e/elaboração de termo de distrato e quitação, caso encerramento amigável.