Gestão de Acessos

1. OBJETIVO

1.1. Este documento tem por objetivo estabelecer as regras e restrições relativas à
gestão de identidade e controle de acesso lógico pelos colaboradores aos Recursos
de Tecnologia da Informação e Comunicação (Recursos de TIC) e informações da
Freedom.AI.

2. ABRANGÊNCIA

2.1. Este é um documento interno, com valor jurídico e aplicabilidade imediata e
indistinta, a partir de sua publicação, aos colaboradores, parceiros e fornecedores
da Freedom.AI.

3. DEFINIÇÕES

Autenticação: etapa necessária para validar a identificação de qualquer
colaborador ao acessar determinada informação ou Recursos de Tecnologia da
Informação e Comunicação

Conta de Acesso Genérica: contas de acesso que não estão atreladas à identidade
digital do colaborador e são usadas para fins específicos e em Recursos de
Tecnologia da Informação e Comunicação determinados.

Colaborador: Empregado, estagiário, prestador de serviço, terceirizado, fornecedor,
menor aprendiz ou qualquer outro indivíduo ou organização que venham a ter
relacionamento profissional, direta ou indiretamente com a organização.

Controle de Acesso: restrições ou direitos ao acesso às informações e Recursos de
Tecnologia da Informação e Comunicação.

Identidade Digital: é a identificação do colaborador em ambientes lógicos, sendo
composta por seu nome de usuário (login) e senha ou por outros mecanismos de
identificação e autenticação como crachá magnético, certificado digital, token e
biometria.

Incidente de Segurança da Informação: Ocorrência identificada de um estado de
sistema, dados, informações, serviço ou rede, que indica possível violação à Política
de Segurança da Informação ou Normas Complementares, falha de controles ou
situação previamente desconhecida, que possa ser relevante à segurança da
informação.

Informação: É o conjunto de dados que, processados ou não, podem ser utilizados
para produção, transmissão e compartilhamento de conhecimento, contidos em
qualquer meio, suporte ou formato.
Login: identificação única dos colaboradores para acessarem sistemas
computacionais ou Recursos de Tecnologia da Informação e Comunicação.

Recursos de Tecnologia da Informação e Comunicação (Recursos de TIC): hardware,
software, serviços de conexão e comunicação ou de infraestrutura física necessários
para criação, registro, armazenamento, manuseio, transporte, compartilhamento e
descarte de informações.

Segurança da informação: é a preservação da confidencialidade, integridade,
disponibilidade, legalidade e autenticidade da informação. Visa proteger a
informação dos diversos tipos de ameaças para garantir a continuidade dos
negócios, minimizar os danos aos negócios, maximizar o retorno dos investimentos e
de novas oportunidades de transação.

Senha: conjunto de caracteres que serve como prova de identidade digital do
USUÁRIO, cujo conhecimento deve ser exclusivo e único.

Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
quando constatada, deve ser tratada como uma violação.

Violação: Qualquer atividade que desrespeite as regras estabelecidas nos
documentos normativos.

4. DIRETRIZES GERAIS

4.1. A Freedom.AI fornece a seus colaboradores contas de acesso a sua rede
corporativa para que possam executar suas atividades contratadas e/ou laborais.

4.2. Os colaboradores só podem acessar as informações e Recursos de TIC
corporativos necessários e autorizados para o desenvolvimento de suas atividades
profissionais, de acordo as atividades exercidas para a Freedom.AI.

4.3. Os direitos de acesso podem ser alterados ou revogados a qualquer tempo
pela Freedom.AI, sem a necessidade de aviso prévio.

5. CRIAÇÃO E CONCESSÃO DE ACESSO

5.1. O processo inicial de concessão de acesso ocorre pela Área de Recursos
Humanos a partir de cadastro efetuado em ferramenta própria para realizar a
gestão de pessoas dentro da Freedom.AI.

5.1.1. O colaborador recebe a matrícula gerada pela Área de Recursos Humanos, e
informa o seu Gestor imediato, para abertura de Chamado solicitando a criação
dos acessos por meio da área responsável pela gestão de acesso.
5.1.2. A Área de Tecnologia da Informação Será a responsável pela execução.

5.1.3. Sempre que forem necessários acessos aos sistemas e Recursos de TIC, o
Gestor responsável pelo colaborador deve solicitar e/ou aprovar a solicitação
mediante justificativa.
a) A Área de Tecnologia da Informação deve analisar a solicitação de acordo com:
b) Justificativa da necessidade apresentada pelo Gestor responsável;
c) As atividades profissionais executadas, função, área e cargo;
d) Tipos de informações que podem ser acessadas de acordo com sua necessidade
de sigilo;
e) Qual o tipo do acesso, ou seja, se pode compreender visualização das
informações, inclusões, ou modificações e exclusões.

5.1.4. Após a análise, a área responsável pela gestão de acesso ou a Área de
Tecnologia da Informação aprova ou não a solicitação e:
f) Em caso de aprovação, solicita a criação ou liberação do acesso nos ambientes;
g) Em caso de reprovação, deve informar o Gestor responsável pelo colaborador.

5.2. A concessão de direitos de acesso a terceiros só é permitida após assinatura
de Termo de compromisso, sigilo e confidencialidade e/ou do Contrato contendo
cláusulas que assegurem a segurança das informações.

5.2.1. Quando necessária a criação de acesso a terceiros, o Gestor responsável pela
contratação deve solicitar a criação ou aprovar a criação do usuário, além de
anexar o termo preenchido e assinado.

5.2.2. O acesso é bloqueado a cada 06 (seis) meses e para permanecer ativo será
necessário o envio do chamado renovando a credencial por período igual ou
inferior.

5.2.3. A Área de Tecnologia da Informação deve analisar a solicitação de acordo
com o descrito abaixo e seguir as regras estabelecidas no item 5.2.1.:
h) Justificativa da necessidade apresentada pelo Gestor responsável;
i) As atividades profissionais executadas;
j) Tipos de informações que podem ser acessadas de acordo com sua necessidade
de sigilo;
k) Qual o tipo do acesso, ou seja, se pode compreender visualização das
informações, inclusões, ou modificações e exclusões.

5.3. O acesso concedido aos Recursos de TIC corporativos e às informações da
Freedom.AI são para uso estritamente profissional e para execução das atividades
contratadas, além disso, são intransferíveis e permitem o rastreio individual das
atividades realizadas pelo colaborador
6. MECANISMOS DE AUTENTICAÇÃO (SENHAS)

6.1. A Área de Tecnologia da Informação deve configurar o primeiro acesso do
colaborador atribuindo uma senha temporária de modo que seja obrigatória sua
alteração em seguida da autenticação.

6.2. A senha:
l) Deve ser tratada de forma individual, sigilosa e intransferível, não podendo ser
compartilhada, divulgada ou transmitida a terceiros;
m) Não deve ser baseada em nomes, datas especiais, sequencias óbvias de números
e letras, palavras de dicionário, números de telefones, meses do ano, etc.;
n) Não deve ser armazenada nos computadores ou dispositivos móveis, anotadas em
papel ou em qualquer outro suporte físico ou eletrônico;
o) Deve ser alterada periodicamente, ou em qualquer caso de suspeita do
comprometimento de seu sigilo.

6.3. As senhas:
p) Devem conter pelo menos, 8 (oito) caracteres, dentre letras maiúsculas e
minúsculas, números e símbolos;
q) Não devem repetir as últimas 10 (dez) senhas utilizadas;
r) Devem ser trocadas a cada 90 (noventa) dias.

7. REVOGAÇÃO, BLOQUEIO E EXCLUSÃO DO ACESSO

7.1. O acesso do colaborador deve ser revogado pela área responsável pela gestão
de acesso e pela Área de Tecnologia da Informação:

7.1.1. Quando solicitado pelo Gestor, pela Área de Tecnologia da Informação ou pela
Área de Recursos Humanos;

7.1.2. Após um período de 90 dias sem qualquer indicação de uso para o acesso à
informação ou ao Recurso de TIC corporativo;

7.1.3. Depois de expirado o prazo estabelecido para utilização, sem que tenha
solicitado a prorrogação de acesso;

7.1.4. Imediatamente em caso de encerramento das atividades ou término do
contrato entre a Freedom.AI e o colaborador/terceiro.

7.2. Todo caso de encerramento das atividades ou término do contrato de:

7.2.1. Colaborador - a Área de Recursos Humanos deve revogar o acesso no sistema
de Gestão de Pessoal e enviar e-mail à área responsável pela gestão de acesso e
demais áreas ou Departamentos relacionados solicitando a revogação do acesso;
7.2.2. Terceiro- o Gestor responsável pela contratação deve enviar chamado à Área
de Tecnologia da Informaçãosolicitando a revogação do acesso.

7.3. O acesso do colaborador deve ser bloqueado automaticamente, após cinco
tentativas malsucedidas de autenticação que denotem tentativa de quebra de
acordo com cada sistema adotado.

7.4. Em caso de encerramento das atividades ou término do contrato, os acessos
serão excluídos pela Área de Tecnologia da Informação após 1 (um) ano contado
como início do período janeiro do ano subsequente ao encerramento da
atividade/término do contrato. Dessa forma, colaboradores demitidos em 2026, por
exemplo, somente poderão ser excluídos em 2028.

7.4.1. No entanto, podem ser definidos prazos superiores em razão da atividade,
função, ação judicial, procedimento interno ou administrativo, ou quaisquer outros
motivos, inclusive quando formalmente solicitado e justificado pelas
Áreas/Departamentos da Freedom.AI.

8. REVISÃO DO ACESSO

8.1. Na ocorrência de uma alteração em função ou área do colaborador, cabe a
Área de Recursos Humanos alterar no sistema de Gestão de Pessoal e informar à
área responsável pela gestão de acesso sobre as alterações de acesso necessárias.

8.2. A Área de Tecnologia da Informação deve revisar em período não superior a 6
(seis) meses se há alguma identidade digital fora dos padrões estabelecidos e
elaborar um relatório interno com as inconformidades encontradas, com o objetivo
de corrigi-las e servir de subsídio para eventuais auditorias

9. PERMISSÕES DIFERENCIADAS

9.1. Alguns colaboradores, de acordo com a definição de alçadas, cargos ou
funções, podem ter permissões diferenciadas para o acesso e uso das informações
ou dos Recursos de TIC corporativos a fim de atender aos objetivos do negócio da
Freedom.AI.

9.2. As solicitações devem ser submetidas à área responsável pela gestão de
acesso e a Área de Tecnologia da Informação, para análise de acordo com os
normativos da Freedom.AI, o perfil do colaborador e a necessidade justificada pelo
seu Gestor responsável.

9.2.1. Perfis que contiverem permissões diferenciadas devem ser criados pela área
responsável pela gestão de acesso e devidamente documentados, relacionando as
responsabilidades e as permissões de acesso atribuídas a cada perfil.
9.3. As permissões diferenciadas são concedidas a critério único e exclusivo da
Freedom.AI e apenas por prazo determinado, podendo ser revogados a qualquer
momento e sem aviso prévio.

9.3.1. Caso haja remanejamento, promoção ou outro evento que afaste o
colaborador dessa atividade, tais autorizações devem ser automaticamente revistas

10. RESPONSABILIDADES

10.1. Área de Tecnologia da Informação
s) Revisar em período não superior a 6 (seis) meses se há alguma identidade digital
fora dos padrões estabelecidos e elaborar um relatório interno com as
inconformidades encontradas
t) Autorizar a criação e uso de contas de acesso genéricas somente em casos de
exceção e nos termos desta Norma;
u) Aprovar a criação e documentar quaisquer perfis que contiverem permissões
diferenciadas;
v) Estabelecer mecanismos de identificação e autenticação de acordo com os
critérios descritos nesta Norma e de forma que possibilite a rastreabilidade dos
acessos realizados;
w) Manter em conformidade os acessos autorizados;
x) Fornecer as senhas de forma segura, sigilosa e de maneira que a sua alteração
seja exigida no primeiro acesso;
y) Manter o registro das solicitações de criação, concessão, alteração e revogação
de acesso, juntamente com a identidade digital do colaborador de forma segura;
z) Excluir os acessos após 1 (um) ano contado do encerramento das atividades ou
término do contrato, a partir de janeiro do ano subsequente ao encerramento da
atividade/término do contrato;
aa) Manter os acessos por prazos superiores sempre que solicitado em razão da
atividade, função, ação judicial, procedimento interno ou administrativo, ou
quaisquer outros motivos, inclusive quando formalmente solicitado e justificado
pelas Áreas da Freedom.AI

10.2. Infraestrutura de TI
ab) Analisar as solicitações de acesso, inclusive do acesso remoto, realizadas pelos
Gestores e nos termos desta Norma;
ac) Estabelecer mecanismos de identificação e autenticação de acordo com os
critérios descritos nesta Norma e de forma que possibilite a rastreabilidade dos
acessos realizados;
ad) Assegurar que não sejam atribuídos identificadores (ID) redundantes a nenhum
colaborador;
ae) Ajustar, bloquear ou revogar contas de acesso, quando solicitado pela Área de
Recursos Humanos, pela Área de Tecnologia da Informação ou pelo Gestor;
af) Bloquear os acessos em todo caso de encerramento das atividades ou término
do contrato, sempre que solicitado pela Área de Recursos Humanos ou pelo Gestor;
ag) Revisar os acessos dos colaboradores em caso de alteração em função ou área
do colaborador, conforme informação encaminhada pela Área de Área de Recursos
Humanos;
ah) Manter o registro das solicitações de criação, concessão, alteração e
revogação de acesso, juntamente com a identidade digital do colaborador de
forma segura;
ai) Aprovar a criação e documentar quaisquer perfis que contiverem permissões
diferenciadas

10.3. Área de Recursos Humanos
aj) Cadastrar na ferramenta de Gestão de Pessoal todo novo colaborador da
Freedom.AI;
ak) Informar e solicitar o bloqueio/revisão de acesso à Helpdesk todo caso de
encerramento das atividades ou término do contrato, alteração de área, cargo ou
função do colaborador

10.4. Área responsável pela contratação de terceiros
al) Garantir que a concessão de direitos de acesso a terceiros ocorram somente
após assinatura de Termo de Compromisso, Sigilo e Confidencialidade e/ou do
Contrato contendo cláusulas que assegurem a segurança das informações;
am) Solicitar, somente quando necessário e mediante justificativa, além de autorizar
a liberação e a concessão de acesso aos Recursos de TIC corporativos e
informações da Freedom.AI para terceiros;
an) Inserir a data de encerramento do contrato sempre quando necessária a
criação de acesso a terceiros;
ao) Informar à Área de Tecnologia da Informação todo caso de encerramento das
atividades ou término do contrato do terceiro.

10.5. Gestores
ap) Garantir e gerenciar o cumprimento desta Norma e demais documentos
complementares pelos seus colaboradores;
aq) Solicitar, mediante justificativa, e autorizar a liberação e a concessão de acesso
aos Recursos de TIC corporativos e informações da Freedom.AI para seus
colaboradores;
ar) Solicitar o bloqueio/revogação do acesso à área responsável pela gestão de
acesso sempre que considerar necessário para proteção da Freedom.AI;
as) Informar a Área de Recursos Humanos todo caso de encerramento das
atividades ou término do contrato, alteração de área, cargo ou função do
colaborador;
at) Informar a Área de Tecnologia da Informação sempre que for necessária a
manutenção dos acessos por mais de 1 (um) ano após o encerramento das
atividades/término do contrato
10.6. Colaboradores
au) Cumprir, estar ciente e manter-se atualizado com essa Norma e documentos
complementares;
av) Acessar somente informações ou fazer uso dos Recursos de TIC necessários e
autorizados pela Freedom.AI, e apenas para finalidades profissionais de acordo
com sua função;
aw) Manter a confidencialidade da senha, não utilizando ou compartilhando com
terceiros;

11. PENALIDADES

11.1. Violações: Qualquer atividade que desrespeite as disposições estabelecidas
nesta Norma ou em quaisquer dos documentos complementares da Freedom.AI deve
ser considerada como uma violação e tratada pela Freedom.AI a fim de apurar as
responsabilidades dos envolvidos de acordo com as “Medidas Disciplinares” da
Freedom.AI visando aplicação de sanções cabíveis previstas em cláusulas
contratuais e na legislação vigente

11.2. Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
quando constatada, deve ser tratada como uma violação.

12. DISPOSIÇÕES FINAIS

12.1. Esta Norma deve ser revisada, no mínimo, anualmente, ou sempre que existir a
necessidade de alterações nos critérios definidos nas demais normas e políticas
específicas da Freedom.AI.

12.2. O presente documento deve ser lido e interpretado sob a égide das leis
brasileiras, no idioma português, em conjunto com as normas e procedimentos
aplicáveis pela Freedom.AI.

12.3. Este documento bem como os demais documentos que a complementam
encontram-se disponíveis na intranet ou, em caso de indisponibilidade, podem ser
solicitadas a Área de Tecnologia da Informação da Freedom.AI.

12.4. Qualquer dúvida relativa a esta Norma deve ser encaminhada a Área de
Tecnologia da Informação da Freedom.AI por meio do e-mail
dpo@freedomai.com.br.