Política de segurança da informação

A HCLSoftware é uma divisão da HCL Technologies que desenvolve e fornece um portfólio de última geração de ofertas baseadas em software de nível empresarial com modelos de consumo flexíveis, abrangendo software tradicional no local, PaaS baseada em nuvem, SaaS e serviços gerenciados em pacotes.

A HCLSoftware tem o compromisso de proteger os ativos de informação críticos, implementando e mantendo um Sistema de Gestão de Segurança da Informação (Information Security Management System, ISMS) para ajudar a garantir que seus objetivos de segurança da informação aplicáveis sejam cumpridos e que o ISMS seja capaz de se adaptar às mudanças internas e externas.

O objetivo do ISMS é proteger os ativos de informações da HCLSoftware e de seus clientes contra ameaças identificadas, internas ou externas, deliberadas ou acidentais.

Os objetivos da segurança da informação são:

• Manter a confidencialidade das informações de modo que apenas pessoas autorizadas tenham acesso.
• Garantir a integridade das informações.
• Providenciar a disponibilidade de informações de modo que apenas pessoas autorizadas acessem as informações, ativos e sistemas, sempre que necessário.

A HCL SW está em conformidade com a norma ISO/IEC 27001:2022 como padrão básico de segurança e se estende a outros padrões de segurança, como ISO 27017, ISO 27018, SOC 2 Tipo II, PCI e HIPAA.

A HCL SW tem uma estrutura de governança de segurança da informação estabelecida para gerenciar de forma eficaz e eficiente o ISMS, inclusive:

• Identificação de ativos de informação.
• Gerenciamento de riscos em um nível aceitável por meio de projeto, implementação e manutenção de planos de tratamento de risco.
• Comunicação dos objetivos de segurança da informação e do desempenho do seu alcance.
• Desenvolvimento de programas de conscientização sobre segurança e treinamento, conforme apropriado.
• Conformidade com as leis e regulamentos locais e obrigações contratuais, conforme relevante para a segurança da informação.

Esta Política de Segurança da Informação tem o respaldo de políticas internas específicas nos seguintes aspectos do gerenciamento de segurança:

• Gerenciamento de risco – os riscos são gerenciados em um ciclo de vida padrão, e seu status é relatado à alta administração em intervalos regulares.
• Recursos Humanos – inclui controles sobre cultura, treinamentos anuais obrigatórios, comunicação, processos de avaliação de desempenho e processos de rescisão.
• Segurança física e ambiental – inclui segurança de perímetro de construção, bem como mecanismos de proteção seguros para escritórios internos, infraestrutura, data center/salas de servidores.
• Gerenciamento de fornecedores – inclui avaliação de risco do fornecedor e acordos formais com detalhes de quaisquer SLAs necessários para o produto ou serviço fornecido.
• Gerenciamento de continuidade de negócios – inclui detalhes usados para dar suporte ao backup, recuperação de negócios e continuidade.
• Auditoria interna e conformidade – uma equipe dedicada para gerenciar a auditoria interna e o gerenciamento da conformidade.
• Gerenciamento de ativos – um registro formalmente gerenciado para todos os ativos nos ambientes da HCLSoftware. Cada ativo tem um conjunto estruturado de atributos como sua definição.
• Controles de acesso - inclui a definição de IDs de usuário exclusivos e controles formais de senha.
• Criptografia – aplicação de padrões de criptografia.
• Controles de comunicação [Redes e firewalls] – inclui detalhes dos níveis de proteção definidos e os controles restritos para esses recursos vitais.
• Aquisição, desenvolvimento e manutenção de sistemas – a aquisição, o desenvolvimento e a manutenção de sistemas de produtos e ambientes são gerenciados de acordo com a política.
• Gerenciamento de incidentes de segurança de informações – os incidentes de segurança são capturados e gerenciados em um ciclo de vida estruturado.
• Padrão de preparação de segurança, provisionamento e retirada – um padrão mínimo de segurança é aplicado a todos os dispositivos que são provisionados ou retirados da infraestrutura.
• Gerenciamento de patches – os patches são aplicados a um período com base na gravidade da vulnerabilidade.
• Monitoramento e registro de segurança – os registros são coletados e revisados pela equipe dedicada do Centro de Operações de Segurança (Security Operation Center, SOC) para identificar alertas de atividade não autorizada.
• Verificação de vulnerabilidades/testes de penetração – o teste de penetração independente é realizado, no mínimo, uma vez por ano.
• Verificação de integridade de ambientes/dispositivos – ação baseada nos controles do CIS Benchmark.