Documentos legais
Gestão de Incidentes
1. OBJETIVO
1.1. Este documento tem por objetivo estabelecer os controles para assegurar que os
incidentes de segurança de informação e potenciais incidentes sejam tratados de
forma efetiva, permitindo o adequado registro, investigação e tomada de ação
corretiva em tempo hábil para mitigar o impacto negativo sobre os ativos de rede e
sistemas de informação (tanto físicos como lógicos) da Freedom.AI, bem como
mitigar os riscos aos titulares de dados pessoais, ao negócio e aos ativos da
empresa.
2. ABRANGÊNCIA
2.1. Este Procedimento é um documento interno, com valor jurídico e aplicabilidade
imediata e indistinta, a partir de sua publicação, aos colaboradores, parceiros e
fornecedores da Freedom.AIdiretamente relacionados à Gestão dos Incidentes de
Segurança com Dados Pessoais.
3. DEFINIÇÕES
3.1. Ampla divulgação do incidente em meios de comunicação: Providência que
pode ser determinada pela ANPD ao controlador, no âmbito do processo de
comunicação de incidente de segurança, como a publicação no sítio eletrônico, nas
redes sociais do controlador ou em outros meios de comunicação;
3.2. Agente de Tratamento: O controlador e o operador;
3.3. Ameaça: Causa potencial de um incidente indesejado, que pode resultar em
danos a Freedom.AIou à privacidade dos Titulares;
3.4. ANPD: Agência Nacional de Proteção de Dados. É uma Agência Reguladora
vinculada ao Ministério da Justiça e Segurança Pública, que tem como missão zelar
pela proteção de dados pessoais orientada pela Lei nº 13.709/2018, a Lei Geral de
Proteção de Dados (LGPD), e zelar pela aplicação da Lei nº 15.211/2025, Estatuto
Digital da Criança e do Adolescente (ECA Digital).
3.5. Ativo: É qualquer coisa que tenha valor e precisa ser adequadamente
protegido;
3.6. Autenticidade: Propriedade pela qual se assegura que a informação foi
produzida, expedida, modificada ou destruída por uma determinada pessoa física,
equipamento, sistema, órgão ou entidade;
3.7. Colaborador: Empregado, estagiário, prestador de serviço, terceirizado,
fornecedor, menor aprendiz ou qualquer outro indivíduo ou organização que venham
a ter relacionamento profissional, direta ou indiretamente, com a Freedom.AI;
3.8. Comunicação de incidente de segurança: Ato do controlador que comunica à
ANPD e ao titular de dados a ocorrência de incidente de segurança que possa
acarretar risco ou dano relevante aos titulares;
3.9. Confidencialidade: Propriedade pela qual se assegura que o dado pessoal não
esteja disponível ou não seja revelado a pessoas, empresas, sistemas, órgãos ou
entidades não autorizados;
3.10. Controlador: Pessoa física ou jurídica, de direito público ou privado, a quem
competem as decisões referentes ao tratamento de dados pessoais;
3.11. Dado pessoal: Informação relacionada à pessoa física identificada ou
identificável;
3.12. Dado pessoal sensível: Dado pessoal sobre a origem racial ou étnica,
convicção religiosa, opinião política, filiação a sindicato ou a organização de
caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual,
dado genético ou biométrico, quando vinculado a uma pessoa física;
3.13. Disponibilidade: Propriedade pela qual se assegura que o dado pessoal esteja
acessível e utilizável, sob demanda, por uma pessoa natural ou determinado
sistema, órgão ou entidade devidamente autorizados;
3.14. Encarregado pelo tratamento de dados pessoais: Pessoa indicada pela
Freedom.AI e que atua como canal de comunicação entre a Freedom.AI com os
Titulares dos dados pessoais ou a ANPD;
3.15. Evento: é qualquer ocorrência visível em uma rede ou sistema de informação.
Exemplos: um usuário que acessa um arquivo compartilhado, um servidor que recebe
uma solicitação para uma página da Web, um usuário que envia um e-mail ou um
firewall que faz um bloqueio de uma tentativa de conexão, entre outros.
3.16. Evento adverso (ou ofensivo): é um evento com consequências negativas.
Exemplos: falhas do sistema de informação, uso não autorizado de privilégios de
sistema de informação, acesso não autorizado a dados confidenciais ou execução
de malware que destrói dados, entre outros.
3.17. Incidente de Segurança com Dados Pessoais: Qualquer evento adverso
confirmado, relacionado à violação das propriedades de confidencialidade,
integridade, disponibilidade e autenticidade da segurança de dados pessoais;
3.18. Incidente de Segurança da Informação: Ocorrência identificada de um estado
de sistema, dados, informações, serviço ou rede, que indica possível violação à
Política de Segurança da Informação ou Normas Complementares, falha de
controles ou situação previamente desconhecida, que possa ser relevante à
segurança da informação.
3.19. Informação: É o conjunto de dados que, processados ou não, podem ser
utilizados para produção, transmissão e compartilhamento de conhecimento,
contidos em qualquer meio, suporte ou formato.
3.20. Integridade: Propriedade pela qual se assegura que o dado pessoal não foi
modificado ou destruído de maneira não autorizada ou acidental.
3.21. Operador: Pessoa física ou jurídica, de direito público ou privado, que realiza o
tratamento de dados pessoais em nome do Controlador;
3.22. Risco: Combinação dos impactos advindos da ocorrência de um evento
indesejado relacionado à segurança da informação e da probabilidade de sua
ocorrência;
3.23. Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
quando constatada, deve ser tratada como uma violação;
3.24. Violação de Dados Pessoais: Destruição, perda, alteração, divulgação
acidental ou ilegal, não autorizada ou acesso a dados pessoais transmitidos,
armazenados ou de outra forma processados, resultante de incidente de segurança;
3.25. Violação: Qualquer atividade que desrespeite as regras estabelecidas nos
documentos normativos.
4. GESTÃO DOS INCIDENTES
4.1. A gestão dos incidentes de segurança da informação deve ser realizadas com
base nas seguintes etapas:
5. IDENTIFICAÇÃO DO INCIDENTE
5.1. Consiste em detectar ou identificar de fato a existência de um incidente de
segurança. A Equipe de resposta ao incidente baseia-se na identificação de
incidentes internos ou externos, seja na detecção de alertas provenientes dos
sistemas de monitoramento da rede da Freedom.AI ou por notificações realizadas
por qualquer pessoa relatando ser de seu conhecimento ou mesmo vítima de
atividade suspeita ou em desacordo com a Política de Segurança da Informação ou
Política de Governança de Privacidade.
5.2. As notificações internas ou externas devem ser realizadas por meio de:
a) Pelo Help Desk/Service Desk por meio do telefone < inserir telefone>;
b) Diretamente para Área de Tecnologia da Informação pelo endereço de e-mail:
<inserir e-mail> ou telefone: <inserir telefone>
c) Pelo canal de denúncias <inserir o link>
5.3. Toda notificação ou denúncia deve ser formalmente registrada pela Área de
Tecnologia da Informação. Este registro deve estar associado a alguma referência
numérica (ID único) para que possa ser gerenciado pela Equipe de resposta ao
incidente conforme modelo de formulário ANEXO II.
5.3.1. A Área de Tecnologia da Informação ao recepcionar a ocorrência do incidente
deverá imediatamente acionar o Encarregado pelo Tratamento dos Dados Pessoais
para conhecimento do relato e adoção das providências necessárias.
5.4. Em relação a agentes de tratamento terceiros contratados (operador ou
controlador), os contratos devem prever a obrigação que este notifique a empresa
em até 24 horas contadas a partir da ciência do incidente de segurança.
6. REGISTRO DO INCIDENTE
6.1. O gerente responsável pela área/recurso do qual foi originado o incidente deve
preencher o ANEXO I e enviar ao Encarregado pelo Tratamento de Dados Pessoais
imediatamente.
6.1.1. O responsável pelo preenchimento do Formulário poderá contar com o apoio
da Área de Tecnologia para fornecimento das informações relativas à ocorrência.
6.2. Incidentes ocorridos no âmbito de agentes de tratamento terceiros contratados
da Freedom.AI(sejam operadores ou controladores) devem ser registrados no
ANEXO I pelo próprio agente de tratamento e encaminhado ao Encarregado pelo
Tratamento de Dados Pessoais em tempo hábil.
6.3. O Encarregado pelo Tratamento de Dados Pessoais deverá receber o ANEXO I,
verificar se as informações prestadas são suficientes e avaliar se o incidente
acarretou risco ou dano relevante aos titulares de dados pessoais.
6.3.1. Se os dados envolvidos no incidente estiverem anonimizados, não serão
considerados dados pessoais e deverá ser seguido o processo normal de gestão de
incidentes de segurança da informação e não mais tratado o caso em questão
como incidente de segurança com dados pessoais.
6.4. A Freedom.AI deve manter o registro do incidente de segurança, inclusive
daquele não comunicado à ANPD, pelo prazo mínimo de 05 (cinco) anos, contado a
partir da data do exceto se constatadas obrigações adicionais que demandem
maior prazo de manutenção.
7. TRIAGEM DO INCIDENTE
7.1. Etapa onde a Equipe de resposta ao incidente deve realizar a análise inicial do
evento, notificação ou denúncia visando a sua confirmação como incidente e
classificando a sua relevância sobre as atividades da Freedom.AI. Nesta Etapa deve
ser identificados os sintomas do evento, suas características e os potenciais danos
causados.
7.2. Confirmado que um incidente foi detectado, ele deve ser analisado antes de
qualquer ação seja tomada, principalmente para confirmar se é um incidente válido.
7.3. A análise realizada pela Equipe de resposta ao incidente consiste na coleta,
aquisição e análise de dados, informações e demais evidências sobre o incidente
para investigar o ativo de rede ou sistema de informação que gerou o incidente
detectado ou denunciado.
7.4. Essa investigação passa pela identificação de ativos compreendendo
endereços IP, endereços MAC da interface de rede, nomes, switches e portas de
acesso, bem como prédio, departamento, salas e usuários. Essas informações devem
ser levantadas pelas trilhas de auditoria dos diversos sistemas e serviços disponíveis
pela Freedom.AI.
7.5. Confirmado o incidente, a Equipe de resposta ao incidente deve categorizar e
priorizar com base: (i) no impacto potencial conforme avaliação de risco em
segurança da informação realizada em conjunto com a Tabela de Classificação de
severidade de incidente de segurança – ANEXO I que pode ter sobre a Freedom.AI;
(ii) no tempo e recursos necessários para recuperar ativos impactados.
7.6. Todo incidente categorizado como sendo de severidade crítica deve ser
notificado imediatamente ao Diretor de Tecnologia, que pode realizar a escalação
deste incidente e realizar a alocação dos profissionais necessários para resolução
do incidente.
7.7. Caso o incidente detectado envolva ou tenha a suspeita de envolver o
tratamento não autorizado de dados pessoais, a Equipe de resposta ao incidente
deve notificar imediatamente o Encarregado pelo Tratamento de Dados Pessoais
para avaliar se o incidente informado se trata de uma violação de dados pessoais.
7.8. Confirmado que o incidente é uma violação de dados pessoais, o Encarregado
pelo Tratamento de Dados Pessoais deve ser adicionado na Equipe de resposta ao
incidente para orientar e acompanhar as medidas a serem tomadas.
7.9. Se mais de um incidente estiver ocorrendo ao mesmo tempo, os incidentes
devem ser priorizados, pois não haverá o tempo e recursos para atuar
simultaneamente.
7.10. Nesta etapa, a Equipe de resposta ao incidente deve apresentar as ações que
serão priorizadas com base na categoria e no impacto do cenário encontrado e
realizar as comunicações necessárias.
8. ANÁLISE DE RISCO DO INCIDENTE
8.1. A Freedom.AI deve analisar o risco do incidente, que consiste em avaliar os
critérios de impacto e probabilidade.
8.2. Para análise do impacto, o Encarregado pelo Tratamento de Dados Pessoais
deve avaliar:
8.2.1. Tipo e natureza do incidente;
8.2.2. Afetação significativa de interesses e direitos fundamentais dos titulares;
8.2.3. Categoria dos dados pessoais e volumetria;
8.2.4. Existência de dados pessoais sensíveis e/ou de crianças, adolescentes e/ou
idosos, considerados dados de alto risco;
8.2.5. Existência de dados financeiros;
8.2.6. Existência de dados de autenticação em sistemas;
8.2.7. Existência de dados protegidos por sigilo legal, judicial ou profissional;
8.2.8. Duração, frequência e extensão geográfica do tratamento de dados
realizado;
8.3. O Encarregado pelo Tratamento de Dados Pessoais deve considerar como
agravantes na análise do impacto ao Titular de dados pessoais a possibilidade do
incidente:
8.3.1. Acarretar danos morais e/ou materiais ao titular de dados pessoais ou se já
acarretou;
8.3.2. Implicar risco à vida dos titulares, ou efeitos discriminatórios ilícitos ou
abusivos;
8.3.3. Afetar significativamente o exercício dos direitos dos titulares (considerada a
relevância do direito) ou uso do serviço (considerada sua essencialidade ao titular);
8.3.4. A ausência de hipótese legal para o tratamento, também é considerada
agravante.
8.4. Para análise da probabilidade, o Encarregado pelo Tratamento de Dados
Pessoais deve considerar as medidas de controles implementadas pela Freedom.AI
anteriormente e posteriormente ao incidente.
8.5. O Encarregado pelo Tratamento de Dados Pessoais deve informar o Comitê de
Privacidade do resultado da avaliação de risco do incidente e, caso seja
identificado que o incidente acarretou dano ou risco relevante aos titulares de
dados pessoais, a Freedom.AI realizará, com apoio do jurídico e do Encarregado, a
comunicação à ANPD e aos titulares de dados afetados.
9. RESPOSTA AO INCIDENTE
9.1. A Equipe de resposta ao incidente deve documentar e arquivar as conclusões do
tratamento do incidente, descrevendo:
d) o que aconteceu;
e) como o incidente foi detectado, ou seja, foi relatado por pessoal natural ou por
um alerta de sistema automatizado;
f) as etapas tomadas pela Equipe de resposta ao incidente a partir da detecção do
evento até o estágio de recuperação dos ativos;
g) o status do incidente à medida que ele se move ao longo do processo de
solução;
h) qualquer dado que seja coletado durante o processo de solução que possa ser
usado como evidência;
i) definir a categorização final do incidente;
j) comentários e sugestões da Equipe de Resposta ao Incidente.
9.2. Esta documentação deve servir como referência para pós-incidente.
9.3. A coleta e preservação de provas, sejam digitais ou não, na etapa de solução
do incidente, bem como dados e informações que possibilitaram a identificação do
incidente são importantes e devem ser documentadas no registro final do incidente.
A coleta de provas deve ser avaliada conforme a necessidade pela Equipe de
Resposta ao Incidente, devendo acionar o Jurídico em caso de dúvidas quanto à sua
necessidade.
9.4. Quando um incidente for categorizado como severidade crítica deve ser
realizada a coleta e preservação das provas envolvidas.
10. CONTENÇÃO DO INCIDENTE
10.1. As áreas técnicas e de negócio envolvidas, em conjunto com o Encarregado
pelo Tratamento de Dados Pessoais, devem orientar os gestores e áreas
responsáveis/afetadas pelo incidente quanto às medidas corretivas a serem
tomadas.
10.2. O Gerente da Área originária do incidente de segurança com dados pessoais
deve tentar recuperar qualquer dado que tenha sido comprometido de forma a
mitigar o risco ao máximo possível, com o apoio do Encarregado pelo Tratamento de
Dados Pessoais e da Área de Tecnologia da Informação.
10.3. O Encarregado pelo Tratamento de Dados Pessoais deve estabelecer quem
precisa ser informado internamente acerca do incidente e quais ações devem ser
tomadas por quem foi informado.
10.4. A Área de Tecnologia da Informação deve apoiar com as medidas técnicas
necessárias para contenção/recuperação do incidente.
11. COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA À ANPD
11.1. A Freedom.AI deve comunicar à ANPD a ocorrência de incidente de segurança
que possa acarretar risco ou dano relevante aos titulares, no prazo de 03 (três) dias
úteis contados do conhecimento pela Freedom.AI de que o incidente afetou dados
pessoais, ressalvada a existência de prazo para comunicação previsto em
legislação específica.
11.2. O incidente de segurança acarreta risco ou dano relevante aos titulares
quando puder afetar significativamente interesses e direitos fundamentais dos
titulares e, cumulativamente, envolver, pelo menos, um dos seguintes critérios:
11.2.1. dados pessoais sensíveis;
11.2.2. dados de crianças, de adolescentes ou de idosos;
11.2.3. dados financeiros;
11.2.4. dados de autenticação em sistemas;
11.2.5. dados protegidos por sigilo legal, judicial ou profissional; ou
11.2.6. dados em larga escala.
11.3. O incidente de segurança que possa afetar significativamente interesses e
direitos fundamentais será caracterizado, dentre outras situações, naquelas em que
a atividade de tratamento puder:
• Impedir o exercício de direitos ou a utilização de um serviço;
• Ocasionar danos materiais ou morais aos titulares, tais como discriminação,
violação à integridade física, ao direito à imagem e à reputação, fraudes
financeiras ou roubo de identidade.
11.4. O incidente com dados em larga escala será considerado quando abranger
número significativo de titulares, e, ainda, o volume de dados envolvidos, bem como
a duração, a frequência e a extensão geográfica de localização dos titulares.
11.5. A comunicação de incidente de segurança deverá conter as seguintes
informações:
11.5.1. A descrição da natureza e da categoria de dados pessoais afetados;
11.5.2. O número de titulares afetados, discriminando, quando aplicável, o número
de crianças, de adolescentes ou de idosos;
11.5.3. As medidas técnicas e de segurança utilizadas para a proteção dos dados
pessoais, adotadas antes e após o incidente, observados os segredos comercial e
industrial;
11.5.4. Os riscos relacionados ao incidente com identificação dos possíveis impactos
aos titulares;
11.5.5. Os motivos da demora, no caso de a comunicação não ter sido realizada no
prazo previsto;
11.5.6. As medidas que foram ou que serão adotadas para reverter ou mitigar os
efeitos do incidente sobre os titulares;
11.5.7. A data da ocorrência do incidente, quando possível determiná-la, e a de seu
conhecimento pelo controlador;
11.5.8. Os dados do encarregado ou de quem represente o controlador;
11.5.9. A identificação do controlador e, se for o caso, declaração de que se trata
de agente de tratamento de pequeno porte;
11.5.10. A identificação do operador, quando aplicável;
11.5.11. A descrição do incidente, incluindo a causa principal, caso seja possível
identificá-la; e
11.5.12. O total de titulares cujos dados são tratados nas atividades de tratamento
afetadas pelo incidente.
11.6. As informações acima referidas poderão ser complementadas, de maneira
fundamentada, no prazo de 20 (vinte) dias úteis, a contar da data da comunicação.
11.7. A comunicação do incidente à ANPD deve ocorrer por meio de formulário
eletrônico disponibilizado no sítio da Autoridade.
12. COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA AO TITULAR DE
DADOS
12.1. A Freedom.AI deve comunicar aos titulares afetados a ocorrência de incidente
de segurança que possa acarretar risco ou dano relevante, no prazo de 03 (três)
dias úteis contado do conhecimento pela Freedom.AI de que o incidente afetou
dados pessoais, ressalvada a existência de prazo para comunicação previsto em
legislação específica.
12.2. A comunicação deve conter as seguintes informações:
12.2.1. A descrição da natureza e da categoria de dados pessoais afetados;
12.2.2. As medidas técnicas e de segurança utilizadas para a proteção dos dados,
observados os segredos comercial e industrial;
12.2.3. Os riscos relacionados ao incidente com identificação dos possíveis
impactos aos titulares;
12.2.4. Os motivos da demora, no caso de a comunicação não ter sido feita no
prazo do caput deste artigo;
12.2.5. As medidas que foram ou que serão adotadas para reverter ou mitigar os
efeitos do incidente, quando cabíveis;
12.2.6. A data do conhecimento do incidente de segurança; e
12.2.7. O contato para obtenção de informações e, quando aplicável, os dados de
contato do encarregado.
12.3. A Freedom.AI deve comunicar os titulares afetados de forma direta e
individualizada, caso seja possível identificá-los, pelos meios já usualmente
utilizados, e fazer uso de uma linguagem simples e de fácil entendimento.
12.3.1. Caso a comunicação direta e individualizada não seja possível, por se mostrar
inviável ou não ser possível identificar, parcial ou integralmente, os titulares
afetados, a Freedom.AIdeve comunicar a ocorrência do incidente, pelos meios de
divulgação disponíveis, de modo que a comunicação permita o conhecimento
amplo, com direta e fácil visualização, pelo período de, no mínimo, três meses.
12.3.2. A Freedom.AI pode incluir, na comunicação ao titular, recomendações
específicas, serviços ou benefícios, aptos a reverter ou mitigar os efeitos do
incidente.
13. PROCEDIMENTO DE COMUNICAÇÃO DE INCIDENTE DE
SEGURANÇA À ANPD
13.1. Identificada a necessidade de reporte do incidente, deve ser protocolado
formulário por peticionamento eletrônico, por meio de sistema disponibilizado pela
própria ANPD em seu site.
13.1.1. Para fins de peticionamento eletrônico, a Freedom.AI deve realizar o seu
cadastramento no site da ANPD.
13.2. Caso a ANPD determine a ampla divulgação do incidente em meios de
comunicação, ela poderá acorrer em meio físico ou digital, considerada sempre a
necessidade de se atingir o maior número possível de titulares afetados, admitidos
os seguintes meios de veiculação:
• Mídia escrita impressa;
• Radiodifusão de sons e de sons e imagens; ou
• Transmissão de informações pela Internet.
13.3. O não atendimento das determinações da ANPD pela Freedom.AI poderá
motivar a instauração de processo administrativo sancionador.
14. NOTIFICAÇÃO AO CONTROLADOR
14.1. Se os dados pessoais envolvidos no incidente estiverem sendo tratados pela
Freedom.AI na qualidade de operador, o controlador dos dados deverá ser
notificado sem demora injustificada e nos termos do disposto em contrato
estabelecido entre as partes.
15. DECISÃO DE NÃO NOTIFICAÇÃO
15.1. A Freedom.AI deverá avaliar, com o apoio do Encarregado pelo Tratamento de
Dados Pessoais, a relevância do risco ou dano do incidente para determinar se
deverá ser feita a comunicação à ANPD e ao titular afetado. Se for tomada a
decisão de não comunicar, a justificativa para essa decisão deve ser documentada
no ANEXO I.
15.1.1. A Freedom.AI deve continuar a monitorar as circunstâncias e os efeitos do
incidente de segurança e pode precisar fazer ou atualizar comunicações à ANPD ou
aostitulares de dados pessoais à medida que novas informações surgirem.
16. ANÁLISE DA POSSIBILIDADE DE CONCILIAÇÃO DIRETA
16.1. A Freedom.AI deverá analisar, em conjunto com o Jurídico, a possibilidade da
realização de conciliação direta com o titular afetado no incidente de segurança
com dados pessoais.
16.1.1. A conciliação direta observará, no mínimo, os princípios da independência, da
imparcialidade, da autonomia da vontade, da confidencialidade, da oralidade, da
informalidade e da decisão informada, podendo ainda incluir outros princípios que
estão implícitos dentro do ordenamento jurídico.
16.1.2. Em toda tentativa de conciliação deve ser priorizada a separação das pessoas
em relação às controvérsias, com foco nos interesses individuais dos envolvidos e não
nas suas posições particulares, além de critérios objetivos para legitimar a
viabilização da composição das partes.
16.1.3. Diante da possibilidade de conciliação direta, deverá haver a formalização do
acordo, mediante termo que deverá ser elaborado pelo Jurídico, e assinado pelos
titulares de dados pessoais envolvidos.
17. PÓS DO INCIDENTE
17.1. A etapa de pós incidente tem o seu início após a resolução e encerramento do
incidente, onde serão analisadas pela Equipe de resposta ao incidente as causas que
motivaram a sua ocorrência e quais são as medidas que podem ser tomadas com
objetivo que o fato não ocorra novamente.
17.2. O objetivo desta etapa é melhorar os procedimentos realizada na etapa de
resposta e aprimorar os ativos para protegê-los de futuros incidentes.
17.3. A Equipe de resposta ao incidente deve comunicar as partes interessadas do
resultado da análise.
17.4. Os incidentes ocorridos devem ser analisados em conjunto com os
procedimentos de continuidade de negócio e governança de dados pessoais da
Freedom.AI. Esta análise visa identificar aprimoramento dos indicadores de
probabilidade e consequência dos incidentes previstos e as ocorrências reais de
incidentes.
17.5. Com base no relatório e nas informações obtidas durante a solução do
incidente, a Equipe de resposta ao incidente deve criar um plano de ação que
incluam os responsáveis, datas de vencimento e entregas para garantir que todas as
partes interessadas saibam o que se espera delas. As ações devem ser categorizadas
como curto ou longo prazo.
17.6. Após a correção de um incidente de segurança, o Comitê de Segurança da
Informação deve se reunir para discutir as medidas ou procedimentos que precisam
ser implementados ou aperfeiçoados visando promover a segurança dos dados com
base nas lições aprendidas, além de refletir sobre a resposta geral à incidentes e
políticas ou protocolos atualizados, conforme necessário, para melhorar as reações
futuras à eventuais novos incidentes.
17.6.1. Todos os incidentes e as ações de resposta devem ser totalmente
documentados, inclusive as evidências, mesmo que nenhuma comunicação seja
necessária, e registradas no ANEXO I.
18. ACORDOS DE NÍVEIS DE SERVIÇOS (SLA)
18.1. De acordo com a severidade do incidente de segurança da informação, o mesmo
terá um prazo para o seu tratamento.
19. RESPONSABILIDADES
19.1. Encarregado pelo Tratamento De Dados Pessoais
• Analisar as notificações de incidentes de segurança da informação que
possivelmente envolvam o tratamento não autorizado de dados pessoais e dados
pessoais sensíveis;
• Receber o ANEXO I, devidamente preenchido pelas das áreas envolvidas;
• Avaliar o risco e/ou dano do incidente aos titulares e apoiar na definição da
necessidade de comunicação para a Autoridade Nacional de Proteção de Dados
(ANPD) e aos titulares de dados pessoais afetados;
• Apoiar na comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos
titulares de dados pessoais;
• Liderar as salas de crise no caso de incidentes quem envolvam o tratamento não
autorizado de dados pessoais;
• Iniciar processo de gestão de incidentes envolvendo dados pessoais;
• Apoiar na notificação ao controlador, quando cabível;
• Apoiar na análise e recomendação de ações de melhoria.
14.4 Responsável pela Tecnologia da Informação
• Informar o Encarregado pelo Tratamento de Dados Pessoais assim que tiver
conhecimento sobre suspeitas ou ocorrência confirmada de um incidente com dados
pessoais;
• Apoiar no preenchimento do Formulário de Registro Interno de Incidente de
Segurança com Dados Pessoais;
• Apoiar, sempre que necessário, na interação e no escalonamento com as demais
áreas a fim de prover um atendimento mais rápido ao processo;
• Auxiliar na análise dos incidentes de segurança com dados pessoais por meio da
apresentação das trilhas de auditoria dos sistemas;
• Auxiliar nos processos de investigação do incidente;
• Apoiar com as medidas técnicas necessárias para contenção/recuperação do
incidente;
• Recomendar ações e medidas de melhoria de segurança e de resposta a
incidentes.
• Caso o tratamento do incidente envolva impactos no ambiente de produção a
equipe de gerenciamento de mudanças deve ser comunicada para notificar os
gestores e usuários do recurso em questão sobre o ocorrido.
14.5 Equipe de Resposta a Incidentes
k) Monitorar continuamente o ambiente tecnológico do ponto de vista de segurança
da informação, visando eventos que possam causar impacto na disponibilidade,
integridade e confidencialidade dos sistemas críticos e dos dados sensíveis da
Freedom.AI.
l) Seguir todas as fases descritas neste documento desde a Identificação até a
solução;
m) Comunicar as áreas responsáveis pelo gerenciamento de mudanças em caso de
incidentes de segurança da informação que envolvam impactos no ambiente de
produção;
14.6 Jurídico
• Comunicar, com o apoio do Encarregado pelo Tratamento de Dados Pessoais,
incidente de segurança que possa acarretar risco ou dano relevante aos titulares à
Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares de dados afetados
sem demora injustificada;
• Estabelecer, quando necessário, contato com os órgãos responsáveis pela
apuração e aplicação de penalidades (Agências Reguladoras e/ou Delegacias, se for
o caso) para relato dos fatos e a apresentação de indícios relativos ao incidente;
• Acompanhar e auxiliar nas hipóteses de conciliação direta com o Titular de dados
pessoais;
• Se o incidente tiver consequências legais deve ser estabelecido um contato com os
órgãos responsáveis pela apuração e aplicação de penalidades (Agências
Reguladoras e/ou Delegacias, se for o caso) para relato dos fatos e a apresentação
de indícios relativos ao incidente.
• Tomar as necessárias providências, em consonância com as diretrizes da Diretoria
da Freedom.AI, no caso de incidentes que tiverem desdobramentos para fora da
empresa, e que envolvam a imprensa ou comunidade externa.
14.7 Área de Recursos Humanos
• Apoiar na investigação e contenção de incidentes de segurança com dados
pessoais que envolvam desvio de conduta do colaborador ou em desacordo com o
Código de Ética.
• Elaborar comunicados internos e direcionamentos aos colaborados.
• Para os incidentes de segurança da informação que envolva desvio de conduta do
colaborador ou em desacordo com o código de ética, o mesmo será encaminhado
para área de recursos humanos, a qual poderá se aprofundar na investigação.
14.8 Área de Marketing
• Tomar as necessárias providências, em consonância com as diretrizes da Alta
Gestão da Freedom.AI, no caso de incidentes que tiverem desdobramentos para fora
da Freedom.AI, de modo a assegurar que uma mensagem coerente quanto ao
incidente seja transmitida para a imprensa ou público externo.
• No caso de incidentes que tiverem desdobramentos para fora da Freedom.AI e que
envolvam a imprensa ou comunidade externa.
14.9 Área de Auditoria
• Para os incidentes de segurança da informação que envolvam indícios de fraude ou
vazamento de informação, o mesmo será encaminhado para área de auditoria, a qual
poderá se aprofundar na investigação.
14.10 Gestores
• Gerenciar o cumprimento deste Procedimento e demais documentos
complementares pelos seus colaboradores;
• Reportar imediatamente incidentes de segurança com dados pessoais ao
Encarregado pelo Tratamento de Dados Pessoais;
• Iniciar o preenchimento do ANEXO I e o encaminhar ao Encarregado pelo
Tratamento de Dados Pessoais, quando cabível;
• Garantir e gerenciar o cumprimento desta Norma e demais documentos
complementares pelos seus colaboradores;
• Auxiliar nos processos de investigação do incidente.
14.11 Colaboradores
• Estar ciente e manter-se atualizado com este Procedimento e demais documentos
complementares;
• Reportar imediatamente os incidentes de segurança com dados pelo e-mail
<<emaildaempresa>>;
• Cumprir, estar ciente e manter-se atualizado com essa Norma e documentos
complementares;
• Auxiliar no preenchimento do ANEXO I e nos processos de investigação do
incidente, quando requerido.
20. PENALIDADES
20.1. Violações: Qualquer atividade que desrespeite as disposições estabelecidas
neste Procedimento ou em quaisquer dos documentos complementares da
Freedom.AI deve ser considerada como uma violação e tratada pela Freedom.AI, a
fim de apurar as responsabilidades dos envolvidos de acordo com as “Medidas
Disciplinares” da Freedom.AI visando aplicação de sanções cabíveis previstas em
cláusulas contratuais e na legislação vigente.
20.2. Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
quando constatada, deve ser tratada como uma violação.
21. DISPOSIÇÕES FINAIS
21.1. Este Procedimento deve ser revisado, no mínimo, anualmente, ou sempre que
existir a necessidade de alterações nos critérios definidos nas demais normas e
políticas específicas da Freedom.AI.
21.2. O presente Procedimento deve ser lido e interpretado sob a égide das leis
brasileiras, no idioma português, em conjunto com as normas e procedimentos
aplicáveis pela Freedom.AI.
21.3. Este Procedimento bem como os demais documentos que a complementam
encontram-se disponíveis na intranet ou, em caso de indisponibilidade, podem ser
solicitadas a Área de Tecnologia da Informação da Freedom.AI.
21.4. Qualquer dúvida relativa a esta Norma deve ser encaminhada a Área de
Tecnologia da Informação da Freedom.AI por meio do e-mail dpo@freedomai.com.br.
22. ANEXOS
ANEXO I – Formulário de Registro Interno de Incidentes de Segurança com Dados
Pessoais (Excel)
ANEXO II – Fluxograma (Excel)
ANEXO III – Tabela de Classificação de Severidade de Incidente
Classificação de Incidente de Segurança
SEVERI- LEGALIDADE CONFIDENCIALIDADE INTEGRIDADE DISPONIBILIDADE REPUTACIO- FINANCEI SLA
DADE NAL -RO
CRÍTICA Falta legal de Em caso de um Em caso de um Em caso de um incidente de Alta Prejuízo De 0 a
alto impacto incidente que afete incidente de segurança segurança que afete preocupação financeiro 8hrs
que pode sistemas ou serviços que afete sistemas ou sistemas ou serviços por todas as acima de
resultar em considerados como serviços considerados considerados como Partes 50 MM.
processo e relevantes pela como relevantes pela relevantes pela Freedom.AI, interessadas e
multas altas. Freedom.AI, há Freedom.AI, há há consequência para um ou envolvidas nos
Não consequências para consequências para mais processos de negócio processos
atendimento a vários processos de um ou mais processos interno e/ou externo, (sistêmico).
dispositivos negócio internos e/ou de negócio internos parcialmente previsível e de Cobertura
legais. externos, não previsíveis e/ou externos, difícil gerenciamento. negativa da
Possibilidade e de difícil parcialmente mídia.
de litígio de gerenciamento. previsíveis e de difícil Paralisação das atividades de Dano à imagem
grande Possibilidade de gerenciamento. uma unidade de negócio da da Freedom.AI
impacto. exploração de Possibilidade de Freedom.AI ou de várias junto ao
Ocorrência de vulnerabilidades por tomada de decisão Áreas. público interno
descumprime atacantes decorrente do errônea por parte da e externo.
nto contratual uso de informações Freedom.AI devido à Descontentamento dos
com terceiros tornadas públicas falta de integridade de colaboradores e clientes.
e clientes. devido a incidente de informações afetadas (> 50 %).
segurança. por incidente de
segurança.
ALTA Falta legal de Em caso de um Em caso de um Em caso de um incidente de Alta Prejuízo Um dia
alto impacto incidente de segurança incidente de segurança segurança que afete preocupação financeiro útil
que pode que afete sistemas ou que afete sistemas ou sistemas ou serviços pela por todas as entre 20
resultar em serviços pela serviços pela Freedom.AI, há Partes MM e 50
processo e Freedom.AI, há Freedom.AI, há consequências para um ou interessadas e MM
multas altas. consequências para consequências para mais processos de negócio envolvidas nos
Não vários processos de um ou mais processos internos e/ou externos, processos
atendimento a negócio interno e/ou de negócio internos parcialmente previsíveis e de (sistêmico).
dispositivos externo, não previsíveis e/ou externos, difícil gerenciamento. Cobertura
legais. e de difícil parcialmente negativa da
Possibilidade gerenciamento. previsíveis e de difícil Paralisação das atividades de mídia.
de litígio de Possibilidade de gerenciamento. uma unidade de negócio da Dano à imagem
alto impacto. exploração de Possibilidade de Freedom.AI ou de várias da Freedom.AI
Ocorrência de vulnerabilidades por tomada de decisão Áreas. junto ao
descumprime atacantes decorrente do errônea por parte da público interno
nto contratual uso de informações Freedom.AI devido à Descontentamento dos e externo.
com terceiros tornadas públicas falta de integridade de colaboradores e clientes
e clientes. devido a incidente de informações afetadas (> 50 %).
segurança. por incidente de
segurança.
MÉDIA Falta legal de Em caso de um Em caso de um Em caso de um incidente de Preocupação Prejuízo Três
alto impacto incidente de segurança incidente de segurança segurança que afete por todas as financeiro dias
que pode que afete sistemas ou que afete sistemas ou sistemas ou serviços pela Partes entre 10 úteis
resultar em serviços pela serviços pela Freedom.AI, há interessadas e MM e 20
processo e Freedom.AI, há Freedom.AI, há consequências para um ou envolvidas nos MM
multas altas. consequências para um consequências para mais processos de negócio processos
Falta Legal ou mais processos de um ou mais processos internos e/ou externos, (sistêmico).
com negócio internos e/ou de negócio internos parcialmente previsíveis e
procedimento externos, parcialmente e/ou externos, gerenciáveis.
s de previsíveis e parcialmente
investigação gerenciáveis. previsíveis e Paralisação das atividades de
de incidentes gerenciáveis. uma unidade de negócio da
e/ou ilícitos. Freedom.AI.
Descontentamento dos
colaboradores e clientes
(> 25 %).
BAIXA Falta legal de Em caso de um Em caso de um Em caso de um incidente de Baixa Prejuízo Cinco
baixo impacto incidente de segurança incidente de segurança segurança que afete preocupação financeiro dias
que pode que afete sistemas ou que afete sistemas ou sistemas ou serviços pela pelas partes entre 1 úteis
resultar em serviços pela serviços pela Freedom.AI, há envolvidas MM e 10
processo e Freedom.AI, há Freedom.AI, há consequências para um ou responsáveis MM
multas baixas. consequências para um consequências para mais processos de negócio pelo processo.
ou mais processos de um ou mais processos internos e/ou externos,
negócio internos e/ou de negócio internos previsíveis e facilmente
externos, previsíveis e e/ou externos, gerenciáveis.
facilmente gerenciáveis. previsíveis e facilmente
gerenciáveis. Paralisação das atividades de
um pequeno grupo de
usuários.
Descontentamento dos
colaboradores e clientes
(> 25 %).