Política de gerenciamento de ativos
Brask Inc
Finalidade
O objetivo desta política é definir os requisitos para gerenciar e rastrear adequadamente os ativos pertencentes, gerenciados e sob o controle da Rask AI durante todo o seu ciclo de vida, desde a aquisição inicial até o descarte final.
Funções e responsabilidades
O chefe de equipe da Rask AI é responsável por manter e atualizar esta política. O CEO e o departamento jurídico são responsáveis pela aprovação desta política e aprovarão todas as alterações feitas.
Política
Padrão de inventário de ativos
Um processo de inventário de ativos deve ser implementado para dar suporte ao gerenciamento de processos comerciais essenciais e atender aos requisitos legais e regulamentares. Esse processo também facilitará a descoberta, o gerenciamento, a substituição e o descarte de todos os ativos, bem como a identificação e a remoção de qualquer software, ativo ou processo ilegal ou não autorizado. Todos os ativos físicos e virtuais sob gerenciamento ou controle da Rask AI serão listados em um inventário que inclui:
- Identificador exclusivo ou nome do ativo
- Descrição do ativo
- Finalidade do ativo no suporte a processos críticos de negócios e no atendimento a requisitos legais ou regulamentares, se aplicável
- Entidade responsável pelo ativo
- Classificação do ativo, se aplicável
Propriedade de ativos
Cada ativo receberá um proprietário quando for criado ou transferido para a Rask AI. O proprietário do ativo pode ser um indivíduo ou uma entidade com responsabilidade de gerenciamento aprovada; a propriedade não implica direitos de propriedade.
O proprietário do ativo é responsável por:
- Garantir que os ativos sejam inventariados
- Garantir que os ativos sejam classificados e protegidos adequadamente
- Definir e revisar periodicamente as restrições e classificações de acesso, considerando as políticas de controle de acesso aplicáveis
- Garantir o manuseio adequado quando o ativo for excluído ou destruído
Padrões de proteção do sistema
Práticas recomendadas e padrões de proteção de dispositivos
- Empregue o endurecimento fornecido pelo fabricante e os guias de práticas recomendadas para proteger as instalações do dispositivo contra vulnerabilidades e acesso não autorizado.
- Utilize os benchmarks do Center for Internet Security (CIS) para obter orientação sobre o fortalecimento do sistema sempre que possível.
- Altere os padrões fornecidos pelo fornecedor, incluindo nomes de usuário, senhas e configurações comuns, para evitar acesso não autorizado.
- Desative protocolos de comunicação inseguros e desnecessários.
- Gerar aleatoriamente e armazenar com segurança as senhas locais no sistema de gerenciamento de senhas aprovado.
- Instale os patches atuais.
- Implemente proteção contra malware.
- Ativar o registro.
Configuração e manutenção da infraestrutura
Patches internos para estações de trabalho e servidores
- Avalie e instale periodicamente patches/upgrades do sistema operacional com base em sua importância.
- Instale correções/atualizações fora dos horários de pico para minimizar a interrupção dos negócios.
Patches de infraestrutura interna
- Avalie e instale patches/atualizações de infraestrutura (roteadores, switches, hosts virtuais etc.) com base em sua importância.
- Revisar e aprovar patches/atualizações por meio de um ambiente de laboratório, quando possível.
- Instale remendos/atualizações fora dos horários de pico para minimizar a interrupção.
- Faça o patch/upgrade de sistemas redundantes, um dispositivo de cada vez, para garantir que não haja impacto nos serviços compartilhados.
- Siga os procedimentos regulares de gerenciamento de mudanças para atualizações de hardware/software de rede.
Documentação de suporte à infraestrutura
- Mantenha um diagrama de rede atualizado e acessível à equipe de serviço apropriada.
- Documentar os padrões de configuração para a instalação de todos os dispositivos de infraestrutura.
Segurança de endpoint/detecção de ameaças
- Restrinja o uso de mídia removível ao pessoal autorizado.
- Implante ferramentas antivírus e antimalware em dispositivos de endpoint (por exemplo, estações de trabalho, laptops, dispositivos móveis).
- Configure ferramentas antivírus e antimalware para receber automaticamente atualizações, executar varreduras e alertar a equipe apropriada sobre ameaças.
Gerenciamento de capacidade
Os requisitos de capacidade dos sistemas serão identificados com base na importância comercial do sistema.
- Ajuste e monitoramento do sistema: Aplicado para garantir e melhorar a disponibilidade e a eficiência dos sistemas.
- Controles de detecção: Implementados para identificar problemas à medida que eles ocorrem.
- Projeções de capacidade futura: Considere os novos requisitos comerciais e de sistema, bem como as tendências atuais e projetadas dos recursos de processamento de informações da empresa.
- Mitigação de gargalos e dependências: Os gerentes devem monitorar os principais recursos do sistema, identificar as tendências de uso e considerar os recursos com longos prazos de aquisição ou altos custos.
O fornecimento de capacidade suficiente será obtido por meio do aumento da capacidade ou da redução da demanda. Isso inclui:
- Exclusão de dados obsoletos (espaço em disco)
- Desativação de aplicativos, sistemas, bancos de dados ou ambientes
- Otimização de processos e programações em lote
- Otimizar a lógica do aplicativo ou as consultas ao banco de dados
- Negar ou restringir a largura de banda para serviços que consomem muitos recursos não críticos para os negócios (por exemplo, streaming de vídeo)
- Gerenciamento da demanda de capacidade
- Provisionamento de novas instâncias de servidor quando os limites de capacidade são atingidos
Gerenciamento de mídia
Mídia removível
Atualmente, não autorizamos mídias removíveis para fins comerciais.
Transferência de mídia física
Atualmente, não autorizamos a transferência de mídia física para fins comerciais.
Devolução de ativos em caso de rescisão
- O processo de rescisão inclui a devolução de todos os ativos físicos e eletrônicos emitidos anteriormente de propriedade da Rask AI ou confiados a ela, conforme descrito nos Termos e Condições de Emprego e na Política de Gerenciamento de Ativos.
- Se o equipamento da Rask AI tiver sido comprado por um funcionário ou usuário terceirizado, ou se tiver sido usado equipamento pessoal, todas as informações relevantes deverão ser transferidas para a Rask AI e apagadas com segurança do equipamento.
- A cópia não autorizada de informações por funcionários e prestadores de serviços será monitorada e controlada durante o período de rescisão.
Descarte de mídia
As etapas para o descarte seguro de mídia contendo informações confidenciais serão proporcionais à sensibilidade dessas informações. As diretrizes a seguir serão aplicadas de acordo:
- Identificação de itens que precisam ser descartados.
- Uso de serviços terceirizados adequados de coleta e descarte.
- Descarte seguro por incineração ou trituração, ou apagamento de dados para reutilização dentro da empresa.
- Avaliação de risco de mídias danificadas para determinar o descarte ou reparo.
- Criptografia de todo o disco para reduzir o risco de divulgação de informações confidenciais, de acordo com a Política de criptografia da Rask AI.
- Registro de cada descarte para manter uma trilha de auditoria.