POLÍTICA · VERSIÓN 1.0
Política de Seguridad de la Información
1. Objetivo
Esta Política establece los compromisos y las directrices de NESS Processos e Tecnologia Ltda. para proteger la información propia y la que recibe de clientes, socios y personas, de acuerdo con los riesgos del negocio, la ley y los contratos.
Esta es la versión pública de la Política. Las prácticas de NESS están alineadas con los requisitos de la ISO/IEC 27001:2022, en especial el control 5.1 (políticas de seguridad de la información), de la ISO/IEC 27002, que orienta la implementación de los controles, y de la ISO/IEC 27701, que trata de la gestión de la privacidad. Normas y procedimientos internos detallan la aplicación de cada directriz.
2. Alcance
La Política se aplica a las tres marcas de NESS: ness., trustness. y forense.io. Abarca a todas las personas que actúan en nombre de NESS, como socios, empleados, pasantes y terceros; toda la información, en cualquier formato o medio; los sistemas, servicios, equipos y entornos, propios o contratados, incluso en la nube; y los proveedores que tratan información de NESS o de sus clientes.
3. Principios
Confidencialidad: solo accede a la información quien tiene autorización y necesidad.
Integridad: la información es exacta y completa, y solo la modifica quien tiene autorización, de forma rastreable.
Disponibilidad: la información y los sistemas están accesibles para quien los necesita, cuando los necesita, según lo acordado.
Privacidad: los datos personales se tratan con una finalidad definida, en la medida de lo necesario, con transparencia para el titular y de conformidad con la LGPD (Ley General de Protección de Datos de Brasil, Ley n.º 13.709/2018).
La seguridad se gestiona con base en el riesgo: los controles son proporcionales a la importancia de la información y a las amenazas a las que está expuesta.
4. Roles y responsabilidades
Dirección: aprueba esta Política, define el apetito de riesgo, provee los recursos necesarios y da seguimiento periódico al desempeño de la seguridad de la información.
Responsable de seguridad de la información: coordina la gestión de riesgos, propone normas y controles, conduce la respuesta a incidentes, da seguimiento al cumplimiento de esta Política e informa a la Dirección.
Gerentes: aplican la Política en sus áreas, autorizan y revisan los accesos de sus equipos y se aseguran de que las personas a su cargo conozcan sus responsabilidades.
Empleados y pasantes: cumplen esta Política y las normas que la detallan, protegen la información a la que tienen acceso y comunican de inmediato cualquier incidente o sospecha.
Terceros: cumplen las obligaciones de seguridad y privacidad previstas en el contrato y en esta Política, en la medida en que se apliquen al servicio prestado.
5. Clasificación de la información
Toda la información se clasifica según su valor, su sensibilidad y las exigencias legales y contractuales, y se protege conforme a su clasificación a lo largo de todo su ciclo de vida, desde la creación hasta la eliminación. La información de clientes y los datos personales reciben, como mínimo, el tratamiento de información confidencial.
6. Control de acceso
El acceso a la información y a los sistemas sigue los principios de mínimo privilegio y necesidad de saber. Cada acceso es individual, se autoriza formalmente y se retira cuando deja de ser necesario, incluso en el cambio de función y en la desvinculación.
Es obligatorio el uso de autenticación multifactor en los accesos a sistemas corporativos, a entornos de clientes y a cuentas con privilegios de administración, siempre que la tecnología lo permita. Las cuentas privilegiadas son restringidas y de uso controlado. Los accesos son revisados periódicamente por los gerentes responsables.
7. Gestión de activos
NESS mantiene el inventario de los activos de información, con un responsable definido para cada uno. Los activos se usan de acuerdo con las reglas de uso aceptable, se devuelven al final del vínculo o del contrato y se eliminan de forma segura, con el borrado de los datos que contienen.
8. Criptografía
NESS utiliza cifrado para proteger la información confidencial en tránsito y, según la clasificación y el riesgo, en reposo. Las claves criptográficas se generan, guardan, rotan y revocan de forma controlada, con acceso restringido.
9. Desarrollo seguro
Los sistemas desarrollados o contratados por NESS siguen un ciclo de desarrollo seguro (SSDLC): requisitos de seguridad y privacidad desde el inicio, revisión de código, pruebas de seguridad antes del paso a producción, separación entre los entornos de desarrollo, prueba y producción, y prohibición de datos reales de clientes o de personas en los entornos de desarrollo y prueba. Los secretos, como contraseñas y claves, nunca se guardan en el código fuente.
10. Gestión de vulnerabilidades
NESS identifica, evalúa y trata de forma continua las vulnerabilidades técnicas de sus sistemas, con prioridad definida por el riesgo. Las actualizaciones de seguridad se aplican en plazos compatibles con su criticidad, y las excepciones se registran y se aprueban.
11. Registro y monitoreo
Los eventos relevantes para la seguridad, como accesos, cambios de privilegios y fallas, se registran, se protegen contra alteraciones y se conservan durante el plazo definido en las normas internas y en la ley. Los registros se monitorean para detectar actividad anormal y apoyar la investigación de incidentes.
12. Copias de seguridad y continuidad
NESS mantiene copias de seguridad de la información y de los sistemas necesarios, protegidas y probadas periódicamente en cuanto a su restauración. Los planes de continuidad definen cómo se mantienen o se reanudan los servicios críticos en caso de interrupción, y se prueban y revisan de forma periódica.
13. Gestión de incidentes
Toda persona que identifique un incidente o una sospecha de incidente de seguridad de la información debe comunicarlo de inmediato por el canal definido en las normas internas, o al responsable de seguridad de la información. Los clientes, socios y el público pueden informar incidentes y vulnerabilidades por los canales de contacto del sitio web.
Los incidentes se registran, clasifican, contienen, investigan y tratan hasta su resolución, con preservación de la evidencia. Cuando un incidente afecte a clientes o a titulares de datos, NESS les informa, e informa a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) y a las demás autoridades cuando la ley o el contrato lo exijan. Las lecciones aprendidas se usan para mejorar los controles.
14. Proveedores
Los proveedores que tratan información de NESS o de sus clientes son evaluados en cuanto a seguridad y privacidad antes de su contratación, en proporción al riesgo. Los contratos prevén obligaciones de confidencialidad, de protección de datos y de comunicación de incidentes, y se da seguimiento a su cumplimiento durante la relación.
15. Concientización y capacitación
Todas las personas que actúan en nombre de NESS reciben orientación sobre esta Política al ingresar y participan en acciones periódicas de concientización y capacitación en seguridad de la información y privacidad, adecuadas a sus funciones.
16. Seguridad física
Los lugares donde hay información o equipos de NESS tienen acceso controlado y una protección acorde con el riesgo. Los equipos fuera de las instalaciones, incluso en el trabajo remoto, se protegen contra pérdida, robo y acceso indebido. Los escritorios y las pantallas deben quedar libres de información confidencial cuando no haya nadie presente.
17. Uso aceptable
Los recursos de NESS, como computadoras, celulares, cuentas, correo electrónico y sistemas, se usan para el trabajo, de forma ética y de acuerdo con las normas internas. Está prohibido instalar software no autorizado, eludir controles de seguridad, compartir credenciales y usar los recursos para actividades ilícitas o contrarias al Código de Ética y Conducta. NESS puede monitorear el uso de sus recursos, dentro de los límites de la ley.
18. Uso de inteligencia artificial
Las herramientas de inteligencia artificial solo se usan cuando NESS las ha aprobado para la finalidad prevista. Está prohibido ingresar información confidencial de clientes, datos personales o información interna en herramientas no aprobadas. Toda decisión que afecte a clientes, a personas o a la propia NESS la toma una persona, que revisa el resultado de la herramienta antes de usarlo y responde por él.
19. Cumplimiento y sanciones
NESS cumple la legislación aplicable, como la LGPD y el Marco Civil de Internet de Brasil, y las obligaciones contractuales de seguridad y privacidad. El cumplimiento de esta Política se verifica periódicamente, incluso mediante auditorías internas.
El incumplimiento de esta Política expone a la persona responsable a medidas disciplinarias proporcionales a su gravedad, en los términos del Código de Ética y Conducta y de la ley, y, en el caso de terceros, a las medidas previstas en el contrato.
20. Revisión
Esta Política se revisa al menos una vez al año, o antes, cuando haya un cambio significativo en el negocio, los riesgos, la tecnología o la ley. Las revisiones son aprobadas por la Dirección.
Versión 1.0, vigente desde el 11 de octubre de 2026.