Conformidade

Política de gerenciamento de ativos

Brask Inc

Finalidade

O objetivo desta política é definir os requisitos para a gestão e o acompanhamento adequado dos ativos de propriedade, administrados e sob o controle d Rask AI , ao longo de seu ciclo de vida, desde a aquisição inicial até o descarte final.

Funções e responsabilidades

O chefe de gabinete da Rask AI é responsável por manter e atualizar esta política. O diretor executivo e o departamento jurídico são responsáveis pela aprovação desta política e aprovarão quaisquer alterações feitas.

Política

Padrão de inventário de ativos

É necessário que haja um processo de inventário de ativos para apoiar a gestão de processos críticos de negócios e atender aos requisitos legais e regulatórios. Esse processo também facilitará a identificação, gestão, substituição e descarte de todos os ativos, bem como a identificação e remoção de qualquer software, ativo ou processo ilegal ou não autorizado. Todos os ativos físicos e virtuais sob gestão ou controlo d Rask AI e serão listados em um inventário, incluindo:

Identificador exclusivo ou nome do ativo
Descrição do ativo
Finalidade do ativo no suporte a processos críticos de negócios e no atendimento a requisitos legais ou regulamentares, se aplicável
Entidade responsável pelo ativo
Classificação do ativo, se aplicável

Propriedade de ativos

Cada ativo receberá um proprietário no momento de sua criação ou transferência para Rask AI. O proprietário do ativo pode ser uma pessoa física ou jurídica com responsabilidade de gestão aprovada; a propriedade não implica direitos de posse.

O proprietário do ativo é responsável por:

Garantir que os ativos sejam inventariados
Garantir que os ativos sejam classificados e protegidos adequadamente
Definir e revisar periodicamente as restrições e classificações de acesso, considerando as políticas de controle de acesso aplicáveis
Garantir o manuseio adequado quando o ativo for excluído ou destruído

Padrões de proteção do sistema

Práticas recomendadas e padrões de proteção de dispositivos

Empregue o endurecimento fornecido pelo fabricante e os guias de práticas recomendadas para proteger as instalações do dispositivo contra vulnerabilidades e acesso não autorizado.
- Utilize os benchmarks do Center for Internet Security (CIS) para obter orientação sobre o fortalecimento do sistema sempre que possível.
Altere os padrões fornecidos pelo fornecedor, incluindo nomes de usuário, senhas e configurações comuns, para evitar acesso não autorizado.
Desative protocolos de comunicação inseguros e desnecessários.
Gerar aleatoriamente e armazenar com segurança as senhas locais no sistema de gerenciamento de senhas aprovado.
Instale os patches atuais.
Implemente proteção contra malware.
Ativar o registro.

‍Configuração e manutenção da infraestrutura

Patches internos para estações de trabalho e servidores

Avalie e instale periodicamente patches/upgrades do sistema operacional com base em sua importância.
Instale correções/atualizações fora dos horários de pico para minimizar a interrupção dos negócios.

Patches de infraestrutura interna

Avalie e instale patches/atualizações de infraestrutura (roteadores, switches, hosts virtuais etc.) com base em sua importância.
Revisar e aprovar patches/atualizações por meio de um ambiente de laboratório, quando possível.
Instale remendos/atualizações fora dos horários de pico para minimizar a interrupção.
Faça o patch/upgrade de sistemas redundantes, um dispositivo de cada vez, para garantir que não haja impacto nos serviços compartilhados.
Siga os procedimentos regulares de gerenciamento de mudanças para atualizações de hardware/software de rede.

Documentação de suporte à infraestrutura

Mantenha um diagrama de rede atualizado e acessível à equipe de serviço apropriada.
Documentar os padrões de configuração para a instalação de todos os dispositivos de infraestrutura.

Segurança de endpoint/detecção de ameaças

Restrinja o uso de mídia removível ao pessoal autorizado.
Implante ferramentas antivírus e antimalware em dispositivos de endpoint (por exemplo, estações de trabalho, laptops, dispositivos móveis).
Configure ferramentas antivírus e antimalware para receber automaticamente atualizações, executar varreduras e alertar a equipe apropriada sobre ameaças.

Gerenciamento de capacidade

Os requisitos de capacidade dos sistemas serão identificados com base na importância comercial do sistema.

Ajuste e monitoramento do sistema: Aplicado para garantir e melhorar a disponibilidade e a eficiência dos sistemas.
Controles de detecção: Implementados para identificar problemas à medida que eles ocorrem.
Projeções de capacidade futura: Considere os novos requisitos comerciais e de sistema, bem como as tendências atuais e projetadas dos recursos de processamento de informações da empresa.
Mitigação de gargalos e dependências: Os gerentes devem monitorar os principais recursos do sistema, identificar as tendências de uso e considerar os recursos com longos prazos de aquisição ou altos custos.

O fornecimento de capacidade suficiente será obtido por meio do aumento da capacidade ou da redução da demanda. Isso inclui:

Exclusão de dados obsoletos (espaço em disco)
Desativação de aplicativos, sistemas, bancos de dados ou ambientes
Otimização de processos e programações em lote
Otimizar a lógica do aplicativo ou as consultas ao banco de dados
Negar ou restringir a largura de banda para serviços que consomem muitos recursos não críticos para os negócios (por exemplo, streaming de vídeo)
Gerenciamento da demanda de capacidade
Provisionamento de novas instâncias de servidor quando os limites de capacidade são atingidos

Gerenciamento de mídia

Mídia removível

Atualmente, não autorizamos mídias removíveis para fins comerciais.

Transferência de mídia física

Atualmente, não autorizamos a transferência de mídia física para fins comerciais.

Devolução de ativos em caso de rescisão

O processo de rescisão inclui a devolução de todos os bens físicos e eletrônicos anteriormente fornecidos, que sejam de propriedade ou tenham sido confiados à Rask AI, conforme descrito nos Termos e Condições de Trabalho e na Política de Gestão de Bens.
Caso um equipamen Rask AI e tenha sido adquirido por um funcionário ou por um usuário terceirizado, ou caso tenha sido utilizado equipamento pessoal, todas as informações relevantes devem ser transferidas para Rask AI e apagadas de forma segura do equipamento.
A cópia não autorizada de informações por funcionários e prestadores de serviços será monitorada e controlada durante o período de rescisão.

Descarte de mídia

As etapas para o descarte seguro de mídia contendo informações confidenciais serão proporcionais à sensibilidade dessas informações. As diretrizes a seguir serão aplicadas de acordo:

Identificação de itens que precisam ser descartados.
Uso de serviços terceirizados adequados de coleta e descarte.
Descarte seguro por incineração ou trituração, ou apagamento de dados para reutilização dentro da empresa.
Avaliação de risco de mídias danificadas para determinar o descarte ou reparo.
Criptografia de disco inteiro para mitigar o risco de divulgação de informações confidenciais, em conformidade com a Política de Criptografia da Rask AI.
Registro de cada descarte para manter uma trilha de auditoria.