Política de Resposta a Incidentes da Plataforma Solomon

1. Introdução

Esta Política estabelece diretrizes, responsabilidades e procedimentos a serem observados na identificação, tratamento, contenção, comunicação e resolução de incidentes de segurança envolvendo a Plataforma, garantindo a continuidade operacional, a proteção de dados e a conformidade legal, incluindo normas de proteção de dados aplicáveis.

2. Aplicação

Esta Política se aplica a:

• a) toda a equipe interna da Solomon;
• b) prestadores terceirizados com acesso a dados ou infraestrutura;
• c) parceiros comerciais que operem integrações técnicas;
• d) sistemas, APIs e ambientes que componham a operação da Plataforma (produção, homologação e backups).

3. Definição de Incidente de Segurança

Considera-se incidente qualquer evento confirmado ou suspeito que:

• a) comprometa a confidencialidade, integridade ou disponibilidade de dados;
• b) afete o funcionamento da Plataforma ou de seus serviços;
• c) represente risco aos dados dos clientes, usuários ou parceiros;
• d) configure falha, ataque, vulnerabilidade explorada ou uso indevido de credenciais.

Exemplos: falhas operacionais, indisponibilidade, ataques DDoS, acesso não autorizado, vazamento de dados, alteração maliciosa de informações, erro sistêmico ou de configuração.

4. Classificação dos Incidentes

Os incidentes serão classificados conforme impacto:

• 4.1 Baixo Impacto: não afeta clientes. Risco mínimo ou interno. Prazo de resposta: até 48h.
• 4.2 Médio Impacto: afeta um ou poucos clientes, sem exposição de dados sensíveis. Prazo de resposta: até 24h.
• 4.3 Alto Impacto: afeta múltiplos clientes, expõe dados ou compromete de forma relevante a operação. Prazo de resposta: imediato (até 2h).
• 4.4 Crítico: incidente com risco jurídico relevante, exposição de dados pessoais, vazamento, invasão confirmada ou indisponibilidade generalizada. Prazo de resposta: imediato (até 1h) e comunicação à Autoridade de Proteção de Dados quando aplicável.

5. Equipe Responsável (CSIRT – Computer Security Incident Response Team)

Responsáveis e Funções:

• Líder de Segurança da Informação (LSI): coordenação geral, tomada de decisões críticas, comunicação com direção e autoridades;
• Equipe Técnica de Infraestrutura: identificação técnica, contenção, análise de logs, correções emergenciais;
• Equipe de Produto/Desenvolvimento: revisão de código, patches, ajustes estruturais;
• Departamento Jurídico/Compliance: avaliação de risco legal, comunicação obrigatória a clientes e autoridades;
• Atendimento ao Cliente / Suporte: comunicação operacional com clientes e registro de ocorrências.

6. Processo de Resposta a Incidentes

6.1 Identificação

• Detecção automática via ferramentas de monitoramento;
• Reporte interno via canal dedicado;
• Reporte externo por clientes, parceiros ou terceiros.

Prazo máximo de validação: 2h.

6.2 Análise Inicial

• Classificação do incidente;
• Identificação de escopo, impacto e ativos afetados;
• Registro formal no Sistema de Incidentes.

Prazo máximo: 4h após identificação.

6.3 Contenção Imediata

• Bloqueio de acessos suspeitos;
• Isolamento de serviços comprometidos;
• Aplicação de medidas preventivas emergenciais.

Prazo máximo: incidentes críticos: 1h; demais níveis: até 12h.

6.4 Erradicação e Recuperação

• Correção da causa raiz (patches, ajustes de configuração, restauração de backups);
• Testes de integridade e estabilidade;
• Monitoramento reforçado pós-restauração.

Prazo: conforme gravidade, preferencialmente dentro de 72h.

6.5 Comunicação e Transparência

A Plataforma se compromete a:

• Notificar clientes afetados em até 12h para incidentes críticos e 24h para incidentes de alto impacto;
• Enviar informações claras sobre impacto, medidas adotadas e recomendações;
• Quando envolver dados pessoais, avaliar necessidade de comunicação à ANPD e titulares.

6.6 Encerramento e Lições Aprendidas

• Elaboração de Relatório Final de Incidente com causa raiz, impacto e medidas permanentes aplicadas;
• Reunião interna de revisão;
• Atualização de políticas e controles de segurança.

Prazo: até 10 dias após encerramento técnico.

7. Obrigações dos Colaboradores e Prestadores

• Reportar imediatamente qualquer suspeita de incidente;
• Seguir orientações do CSIRT;
• Manter confidencialidade sobre dados e investigações;
• Apoiar processos de contenção e mitigação.

8. Penalidades e Responsabilidades

O descumprimento desta Política pode resultar em medidas disciplinares internas, responsabilização civil e demais efeitos previstos em contrato ou legislação aplicável.

9. Revisão da Política

Esta Política é revisada com periodicidade anual ou conforme o entendimento do Comitê Gestor de Segurança da Informação, ou:

• a) incidente relevante;
• b) mudança legislativa;
• c) alteração significativa da infraestrutura da Plataforma.

10. Gestão da Política

A Política de Segurança de Respostas a Incidentes é aprovada pelo Comitê Gestor de Segurança da Informação, em conjunto com a Diretoria da Solomon.

Anexo — Constituição do Comitê Gestor de Segurança da Informação

Membros:

• Daniel Fonseca Soares
• Gabriel de Oliveira Marques