Logs, Trilhas e Auditoria

1. OBJETIVO

1.1. Este documento tem por objetivo estabelecer as regras e restrições relativas ao
registro, a coleta e a preservação de logs, trilhas de auditoria e o monitoramento do
ambiente lógico da Freedom.AI.

2. ABRANGÊNCIA

2.1. Este é um documento interno, com valor jurídico e aplicabilidade imediata e
indistinta, a partir de sua publicação, aos colaboradores, parceiros e fornecedores
da Freedom.AI.

3. DEFINIÇÕES

   Ambiente lógico: rede corporativa ou Plataformas digitais disponibilizadas para
   uso interno e externo
   Auditoria: processo de exame sistemático das atividades realizadas, a fim de
   averiguar a conformidade destas com as regras e procedimentos previa e
   expressamente estabelecidas, aferindo-se sua implementação e eficácia.
   Colaborador: Empregado, estagiário, prestador de serviço, terceirizado,
   fornecedor, menor aprendiz ou qualquer outro indivíduo ou organização que
   venham a ter relacionamento profissional, direta ou indiretamente com a
   organização.
   Criptografia: Mecanismo de segurança que visa proteger as informações
   permitindo que somente o receptor da informação circulada leia-a com
   facilidade.
   Incidente de Segurança da Informação: Ocorrência identificada de um estado
   de sistema, dados, informações, serviço ou rede, que indica possível violação à
   Política de Segurança da Informação ou Normas Complementares, falha de
   controles ou situação previamente desconhecida, que possa ser relevante à
   segurança da informação.
   Informação: É o conjunto de dados que, processados ou não, podem ser
   utilizados para produção, transmissão e compartilhamento de conhecimento,
   contidos em qualquer meio, suporte ou formato.
   Log: registro de eventos relevantes em um Recurso de TIC ou ambientes lógicos
   da empresa.
   Recursos de Tecnologia da Informação e Comunicação (Recursos de TIC):
   hardware, software, serviços de conexão e comunicação ou de infraestrutura
   física necessários para criação, registro, armazenamento, manuseio, transporte,
   compartilhamento e descarte de informações.
   Segurança da informação: é a preservação da confidencialidade, integridade,
   disponibilidade, legalidade e autenticidade da informação. Visa proteger a
   informação dos diversos tipos de ameaças para garantir a continuidade dos
   negócios, minimizar os danos aos negócios, maximizar o retorno dos
   investimentos e de novas oportunidades de transação.
    Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
    quando constatada, deve ser tratada como uma violação.
    Tratamento dos Incidentes de Segurança da Informação: atividade que consiste
    em receber, registrar, classificar e responder às solicitações e alertas, além de
    realizar o tratamento dos incidentes de segurança da informação, procurando
    extrair informações que permitam impedir a continuidade da ação maliciosa e a
    identificação de tendências.
    Trilha de auditoria: técnica que permite o acompanhamento de atividades que
    compõem um conjunto de informações, desde o momento em que elas são
    originadas até o instante em que são finalizadas, identificando-se o autor, a
    data/horário de criação e alterações ocorridas.
    Violação: Qualquer atividade que desrespeite as regras estabelecidas nos
    documentos normativos.

4. DIRETRIZES GERAIS

4.1. Um log é um registro de eventos que ocorre nos sistemas e redes internas da
Freedom.AI. Logs são compostos de “log entries” (entrada de log), em que cada
entrada contém a informação relacionada a ocorrência de um evento específico.

4.2. Os ambientes lógicos e Recursos de TIC da Freedom.AI que armazenem
informações de sua propriedade e aceitem conexões à Internet devem:
a) Ser configurados de forma a registrar todos os eventos (logs) relevantes, de
acordo com as necessidades do negócio.
b) Ser monitoradas por meio de softwares previamente estabelecidos e
implementados.
c) Prover funcionalidades de trilha de auditoria (auditrail) com diferentes níveis de
detalhamento de acordo com as necessidades das operações realizadas pelo
sistema.
d) Conter controle estrito sobre o acesso aos dados pessoais somente por pessoas
autorizadas pelFreedom.AI.
e) Possuir sistemas de autenticação dupla de acesso aos registros.

4.3. Os registros de log e trilhas de auditoria podem ser:
f) Empregados no planejamento e implantação de novos controles e auxílio na
tomada de ações preventivas;
g) Considerados indícios para identificação e/ou análise de um evento de
Segurança da Informação;
h) Quando necessário, utilizados em procedimentos de análise computacional
forense e empregados como meio de prova em processos judiciais.

4.4. Os dados obtidos a partir do monitoramento, sempre que necessário, serão
utilizados em processos internos, administrativos e judiciais, e poderão ser
apresentados às autoridades em casos de investigações.
4.5. O horário dos ambientes lógicos e Recursos de TIC devem ser ajustados por
meio de mecanismos de sincronização de tempo, de forma a garantir que as
configurações de data, hora e fuso horário dos relógios internos estejam
sincronizados com a “Hora Legal Brasileira (HLB)”, de acordo com o serviço
oferecido e assegurado pelo Observatório Nacional (ON).

5. REGISTRO DE LOGS

5.1. Os ambientes lógicos e Recursos de TIC da Freedom.AI devem ser configurados
de forma a registrar um critério mínimo de informações de logging e auditoria, que
seja suficientes para responder as seguintes perguntas:
i) Que tipo de atividade ocorreu (tipo de evento/ação)?
j) Quem ou o que realizou a atividade (sujeito)?
k) Em que sistema a atividade ocorreu ou foi observada (logger/observador do
evento)?
l) No que a atividade foi realizada (objetivo)?
m) Quando a atividade foi realizada (tempo)?
n) Qual foi o status, resolução ou resultado da atividade (sucesso x falha)?

5.2. Todos os eventos relevantes e, no mínimo, os seguintes, devem ser registrados
em log quando sua execução for requisitada pelo sistema:
o) Autenticação inequívoca dos usuários, tanto os bem-sucedidos quanto os
malsucedidos nos ambientes lógicos e Recursos de TIC.
p) Criação, leitura, atualização ou exclusão de informações confidenciais.
q) Iniciar uma conexão à Internet.
r) Aceitar uma conexão à Internet.
s) Conceder, modificar ou revogar direitos de acesso, inclusive adicionar um novo
usuário ou grupo, realizando mudanças nos níveis de privilégio dos usuários,
modificar permissões para acesso de documentos, executar alterações na base de
dados, bem como alterar regras de firewall e senhas de usuários.
t) Mudanças de configurações no sistema, na rede ou em serviços, inclusive a
instalação de patches e atualizações de softwares.
u) Acesso aos Bancos de Dados da Freedom.AI de fonte interna e externa.
v) Falhas que resultem no fechamento anormal de uma aplicação, serviços de rede
ou hardware, especialmente devido à exaustão de recurso ou atingimento do limite
de um recurso (como memória do CPU, conexões de rede, espaço no disco, etc.).
w) Acesso e alteração de trilhas de auditoria.
x) Registros de tráfego de dados de fontes internas e externas.
y) Registros de processos internos relacionados às atividades do negócio.
z) Datas, horários e fuso horário.

5.3. Os registros dos eventos (logs) devem ser:
aa) Protegidos contra acesso não autorizados e alteração, devendo ser
armazenados de forma segura e com acesso restrito a colabores responsáveis pelo
seu gerenciamento.
ab) Gravados, acessados e analisados apenas em modo de leitura, de modo a
preservar sua integridade e autenticidade.

5.4. A Gerência de Tecnologia deve se valer de ferramenta única de gestão
automatizada de log para análise dos dados gerados em toda infraestrutura dos
ambientes lógicos da Freedom.AI.

5.5. As ameaças de segurança devem ser analisadas pela Área de Segurança da
Informação por meio da utilização de ferramentas de correlação de dados de logs e
eventos, que viabilizem a detecção e a geração de alertas relacionados a:
ac) Atividades que violem normativos e softwares.
ad) Ataques de vírus e malwares a rede corporativa, arquivos e softwares.
ae) Ataques de intrusão.
af) Acessos remotos.
ag) Vulnerabilidades previamente conhecidas e softwares desatualizados.
ah) Atividades de roteadores, firewalls e servidores de arquivos em quarentena.
ai) Eventos de softwares bem sucedidos ou interrompidos.

5.6. A Gerência de Tecnologia deve emitir relatórios de correlação com periodicidade
estabelecida de acordo com a criticidade do ambiente - diário, semanal e mensal -
para serem analisados pela Área de Segurança da Informação.

5.7. O período de armazenamento dos registros de log deve atender as necessidades
das áreas críticas e os requisitos de temporalidade estipulados conjuntamente com a
Área Jurídico, considerando um período mínimo de 01 (um) ano, caso lei especial não
defina como inferiores ou superiores.
5.7.1. Ambientes que fazem parte do escopo PCI-DSS devem manter os logs por 90
(noventa) dias online e 9 (nove) meses offline.

6. MONITORAMENTO

6.1. FREEDOM.AI realiza o monitoramento lógico de seus ambientes com o objetivo
de:
aj) Identificar e registrar as atividades realizadas em seus ambientes lógicos.
ak) Garantir a segurança e a integridade dos seus ativos.

6.2. Os dados obtidos a partir do monitoramento por meio de registro de logs devem
ser analisados periodicamente pela Área de Segurança da Informação e pelo
Gerência de Tecnologia, a fim de garantir a integridade dos ativos e detectar
quaisquer anormalidades ou atividades irregulares.

6.3. O monitoramento lógico deve ser realizado por meio de softwares estabelecidos
e implementados pela Gerência de Tecnologia de acordo com as necessidades da
Freedom.AI e os objetivos do negócio.
6.4. Quaisquer Recursos de TIC da Freedom.AI que estejam conectados à rede
corporativa ou utilizando suas informações para fins profissionais, devem ser
monitorados pela Gerência de Tecnologia.

6.5. Para monitoramento de ambientes lógicos e Recursos de TIC corporativos,
Freedom.AI deve cientificar todos os seus colaboradores por meio de políticas,
normas e avisos legais (disclaimers) disponíveis nos próprios ambientes digitais.

6.6. Os ambientes lógicos que coletam dados e registros de logs advindos de fonte
externa devem conter Termos de Uso e Condições de Navegação e Política de
Privacidade em suas Plataformas, com as seguintes informações sujeitas ao aceite
dos usuários:
al) Consentimento para a coleta de dados e registros logs gerados durante a
navegação.
am) Informações sobre a temporalidade do armazenamento dos dados e registros de
logs de monitoramento, bem como prever a exclusão destes mediante solicitação de
seus usuários.

7. TRILHAS DE AUDITORIA

7.1. Os ambientes lógicos e Recursos de TIC da Freedom.AI devem ser configurados
para armazenar registros históricos de eventos em formato que permita a completa
identificação dos fluxos de dados.

7.2. A geração de trilhas de auditoria, a análise e a forma de armazenamento devem
ser definidas de acordo com a necessidade de cada ambiente lógico e Recurso de
TIC para o planejamento de um sistema de auditoria.
7.2.1. O acesso adequado a uma trilha de auditoria é essencial para garantir a sua
auditabilidade, repetibilidade, reprodutibilidade e justificabilidade, o que contribuirá
para sua admissibilidade em processos judiciais, administrativos ou disciplinares.

7.3. O acesso à trilha de auditoria deve ser confidencial e restrito aos colaboradores
autorizados pelFreedom.AI.

7.4. Para garantir a confiabilidade da trilha de auditoria, os procedimentos de
identificação, coleta, aquisição e preservação de trilha de auditoria devem contar
com a:
a) Aplicação de controles de acesso, arquivamento e coleta de trilha de auditoria.
b) Informações sobre o ambiente lógico, Recurso de TIC ou dado de origem.
c) Documentação de todas as ações realizadas.
d) Indicação do(s) colaborador(es) qualificado(s), treinado(s) e autorizado(s)
pelFreedom.AIpara acessar e analisar as trilhas de auditor.
8. RESPONSABILIDADES

8.1. Área de Tecnologia da Informação
an) Auxiliar a Área de Recursos Humanos na publicidade e disponibilidade deste
Procedimento na Freedom.AI.
ao) Estabelecer os controles de acesso segredado e os critérios de registro de logs,
monitoramento e trilhas de auditoria dos ambientes lógicos da Freedom.AI.
ap) Enviar, sempre que necessário, os relatórios de monitoramento para análise do
Comitê.
aq) Elaborar e analisar periodicamente os relatórios e registros obtidos no
monitoramento, usando-os para os fins estabelecidos neste Procedimento.
ar) Enviar os relatórios de monitoramento para análise pela Área de Segurança da
Informação.
as) Manter o valor probatório dos registros para fins legais, preservando a
confidencialidade, integridade, autenticidade, legalidade e disponibilidade dos
dados.
at) Estabelecer os controles tecnológicos e os critérios de monitoramento, registro de
logs e trilhas de auditorias dos ambientes lógicos da Freedom.AI.
au) Estabelecer procedimentos formais para gestão de logs e infraestrutura adequada
e segura para seu armazenamento.
av) Manter o valor probatório dos registros para fins legais, preservando a
confidencialidade, integridade, autenticidade, legalidade e disponibilidade dos dados
e informações.
aw) Garantir a sincronização do relógio dos ambientes lógicos e Recursos de TIC da
Freedom.AI a partir de referências de tempo confiáveis.
ax) Configurar os ambientes lógicos e Recursos de TIC da Freedom.AI de forma a
registrar todos os eventos relevantes de segurança da informação e comunicação, nos
termos deste Procedimento.
ay) Mapear e documentar os ambientes lógicos e Recursos de TIC da Freedom.AI que
permitam e não permitam os registros de eventos, nos termos desse Procedimento, e
reportar à Área Operação de Segurança da Informação a cada 3 (três) meses;
az) Implementar nos ambientes lógicos e Recursos de TIC da Freedom.AI os avisos
legais de monitoramento lógico.

8.2. Jurídico
ba) Elaborar e implementar a Tabela de Temporalidade para a guarda de registros
obtidos por meio do monitoramento lógico dos ambientes.
9. PENALIDADES

9.1. Violações: Qualquer atividade que desrespeite as disposições estabelecidas nesta
Norma ou em quaisquer dos documentos complementares da Freedom.AI deve ser
considerada como uma violação e tratada pelFreedom.AI a fim de apurar as
responsabilidades dos envolvidos de acordo com as “Medidas Disciplinares” da
Freedom.AI visando aplicação de sanções cabíveis previstas em cláusulas contratuais
e na legislação vigente

9.2. Tentativa de Burla: A tentativa de burlar as diretrizes e controles estabelecidos,
quando constatada, deve ser tratada como uma violação.

10. DISPOSIÇÕES FINAIS

10.1. Esta Norma deve ser revisada, no mínimo, anualmente, ou sempre que existir a
necessidade de alterações nos critérios definidos nas demais normas e políticas
específicas da Freedom.AI.

10.2. A presente Norma deve ser lida e interpretada sob a égide das leis brasileiras, no
idioma português, em conjunto com as normas e procedimentos aplicáveis pela
Freedom.AI.

10.3. Esta Norma bem como os demais documentos que a complementam encontram-
se disponíveis na intranet ou, em caso de indisponibilidade, podem ser solicitadas a
Área de Tecnologia da Informação da Freedom.AI.

10.4. Qualquer dúvida relativa a esta Norma deve ser encaminhada a Área de
Tecnologia da Informação da Freedom.AI por meio do e-mail dpo@freedomai.com.br.