Política de Segurança da Informação

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

Esta política descreve as medidas de segurança implementadas pela OTH HOST para proteger a infraestrutura, dados e serviços oferecidos aos clientes.

1. Introdução

1.1 Objetivo

Estabelecer diretrizes e controles de segurança para:

• Proteger a confidencialidade, integridade e disponibilidade dos dados
• Garantir a segurança da infraestrutura e serviços
• Atender requisitos legais e regulatórios (LGPD, Marco Civil)
• Definir responsabilidades de segurança

1.2 Escopo

Aplica-se a:

• Toda a infraestrutura da OTH HOST
• Colaboradores, prestadores e parceiros
• Serviços oferecidos aos clientes
• Dados processados e armazenados

2. Segurança Física

2.1 Datacenters

2.2 Ambiente

3. Segurança Lógica

3.1 Proteção de Rede

3.2 Proteção contra DDoS

• Mitigação automática de ataques até 1Tbps+
• Scrubbing centers geograficamente distribuídos
• Detecção em tempo real (< 30 segundos)
• Proteção em camadas 3, 4 e 7
• Relatórios de ataques disponíveis no painel

3.3 Segmentação de Rede

• VLANs separadas por cliente (isolamento)
• Redes de gerenciamento segregadas
• DMZ para serviços públicos
• Micro-segmentação em ambientes cloud

4. Criptografia

4.1 Padrões de Criptografia

4.2 Gestão de Certificados

• Certificados SSL/TLS gratuitos (Let's Encrypt) ou comerciais
• Renovação automática antes da expiração
• Suporte a certificados wildcard e EV
• HSTS habilitado por padrão
• OCSP Stapling ativo

4.3 Cipher Suites Suportados

Apenas cipher suites seguras são permitidas:

• TLS_AES_256_GCM_SHA384
• TLS_CHACHA20_POLY1305_SHA256
• TLS_AES_128_GCM_SHA256

SSLv2, SSLv3, TLS 1.0 e TLS 1.1 estão desabilitados.

5. Controle de Acessos

5.1 Princípios

• Menor privilégio: Acesso mínimo necessário para a função
• Separação de funções: Divisão de responsabilidades críticas
• Necessidade de saber: Acesso apenas quando justificado
• Revisão periódica: Auditoria trimestral de acessos

5.2 Autenticação

5.3 Política de Senhas

5.4 Autenticação de Dois Fatores (2FA)

Métodos suportados:

• TOTP: Google Authenticator, Authy, etc.
• SMS: Códigos por mensagem (backup)
• E-mail: Códigos por e-mail (backup)
• Hardware Key: YubiKey, Titan (em breve)

6. Gestão de Vulnerabilidades

6.1 Processo

1. Identificação: Scans automatizados e manuais
2. Classificação: CVSS para priorização
3. Remediação: Patches e mitigações
4. Verificação: Teste pós-correção
5. Documentação: Registro de todas as ações

6.2 Prazos de Remediação

6.3 Atualizações

• Patches de segurança críticos: Aplicados em até 24h
• Atualizações de sistema: Janelas de manutenção programadas
• Firmware de hardware: Conforme recomendação do fabricante

7. Monitoramento e Logs

7.1 O Que é Monitorado

7.2 Retenção de Logs

7.3 Alertas

• Alertas em tempo real para eventos críticos
• Notificação por e-mail, SMS e/ou webhook
• Escalação automática para equipe de plantão

8. Gestão de Incidentes

8.1 Classificação de Incidentes

8.2 Processo de Resposta

1. Detecção: Identificação do incidente (automático ou manual)
2. Contenção: Limitar o impacto imediatamente
3. Erradicação: Remover a causa raiz
4. Recuperação: Restaurar serviços normais
5. Lições Aprendidas: Post-mortem e melhorias

8.3 Tempos de Resposta

8.4 Notificação ao Cliente

Clientes serão notificados de incidentes que afetem seus serviços:

• Incidentes P1/P2: Notificação imediata + atualizações
• Incidentes P3: Notificação em até 24h
• Incidentes de dados pessoais: Conforme LGPD (prazo razoável)

9. Responsabilidades do Cliente

9.1 Modelo de Responsabilidade Compartilhada

9.2 Boas Práticas para Clientes

• Manter sistemas e aplicações atualizados
• Usar senhas fortes e únicas
• Ativar 2FA em todas as contas
• Fazer backups regulares
• Revisar logs de acesso periodicamente
• Remover usuários e acessos não utilizados
• Usar firewall adequadamente

10. Compliance e Certificações

10.1 Conformidade

• LGPD (Lei nº 13.709/2018): Proteção de dados pessoais
• Marco Civil (Lei nº 12.965/2014): Princípios da internet
• PCI-DSS: Para clientes que processam cartões (sob consulta)

10.2 Certificações e Padrões

11. Testes de Segurança

11.1 Testes Realizados

11.2 Políticas para Clientes

• Clientes podem realizar testes em seus próprios serviços
• Testes de carga/stress: Agendar com antecedência
• Pentest em infraestrutura compartilhada: Proibido sem autorização

12. Treinamento e Conscientização

• Treinamento de segurança para todos os colaboradores
• Simulações de phishing periódicas
• Atualizações sobre novas ameaças
• Política de mesa limpa e tela bloqueada

13. Contato de Segurança

13.1 Reporte de Vulnerabilidades

Para reportar vulnerabilidades de forma responsável:

E-mail: [email protected]
PGP Key: Disponível em /security.txt

13.2 Incidentes de Segurança

E-mail: [email protected]
Emergência 24/7: +55 11 91359-7276 (para clientes Enterprise)

Reportar Problema de Segurança

Última atualização: Fevereiro de 2026
Versão: 1.0