Esta página apresenta as diretrizes públicas da Política de Segurança da Informação da Midnal. Ela mostra como protegemos as informações da empresa, dos nossos clientes e das pessoas que confiam em nós, e explica como reportar uma vulnerabilidade de forma responsável.
Objetivos: os três pilares
| Pilar | O que significa | Exemplo |
|---|---|---|
| Confidencialidade | Só quem tem autorização acessa a informação. | Um chamado de suporte é visto apenas pela equipe que atende o cliente. |
| Integridade | A informação é correta e completa e só é alterada por quem pode alterá-la. | Registros e relatórios não podem ser modificados sem rastreabilidade. |
| Disponibilidade | A informação e os sistemas estão acessíveis quando necessário. | Backups permitem restaurar um serviço após uma falha. |
A quem se aplica
- Colaboradores, gestores e diretoria da Midnal.
- Fornecedores, prestadores de serviço e parceiros que acessam informações ou sistemas da Midnal ou de seus clientes.
- Todas as informações, em qualquer formato: digital, impresso ou falado.
- Todos os ambientes: escritório, trabalho remoto, nuvem e instalações de clientes.
Quando atuamos em ambientes de clientes, seguimos também as regras de segurança previstas no contrato e nas normas internas do cliente.
Princípios
- Menor privilégio: cada pessoa recebe apenas os acessos necessários para sua função.
- Necessidade de conhecer: informação sensível só circula entre quem precisa dela.
- Segurança desde a concepção: a segurança e a privacidade entram no projeto desde o início, não no fim.
- Defesa em camadas: combinamos controles técnicos, processos e pessoas para que uma falha isolada não comprometa tudo.
- Rastreabilidade: ações relevantes em sistemas ficam registradas.
Diretrizes
Classificação da informação
As informações são classificadas conforme o nível de sensibilidade. Cada nível tem regras próprias de acesso, armazenamento, compartilhamento e descarte.
Controle de acesso
- Contas individuais e intransferíveis. Contas compartilhadas não são permitidas, salvo exceção formalmente aprovada.
- Concessão de acesso mediante solicitação e aprovação.
- Revisão periódica dos acessos e remoção imediata em desligamentos ou mudanças de função.
- Acessos administrativos restritos e monitorados.
Autenticação multifator (MFA) e senhas
- MFA obrigatório em e-mail, sistemas críticos, acessos remotos e painéis administrativos.
- Senhas fortes, únicas e guardadas em gerenciador de senhas aprovado.
- Nunca compartilhe senhas ou códigos de verificação, nem com colegas.
Cópias de segurança (backups)
- Backups periódicos dos sistemas e dados essenciais.
- Cópias protegidas contra alteração e acesso indevido, mantidas separadas do ambiente principal.
- Testes de restauração para confirmar que os backups funcionam.
Gestão de vulnerabilidades e atualizações
- Sistemas, plugins, bibliotecas e equipamentos mantidos atualizados.
- Correções de segurança priorizadas conforme a gravidade.
- Verificações periódicas para identificar vulnerabilidades.
- Proteção contra códigos maliciosos nos equipamentos.
Monitoramento e registros
Registramos e monitoramos eventos relevantes de segurança para detectar comportamentos suspeitos e apoiar a investigação de incidentes.
Desenvolvimento seguro
- Requisitos de segurança e privacidade definidos desde o início dos projetos.
- Revisão de código e testes antes de publicar em produção.
- Separação entre ambientes de desenvolvimento, teste e produção.
- Dados reais de produção não são usados em testes sem proteção adequada.
Dispositivos e trabalho remoto
- Equipamentos com bloqueio de tela, criptografia quando disponível e software atualizado.
- Acesso remoto apenas por meios seguros e aprovados.
- Cuidado com redes públicas e com conversas sobre assuntos confidenciais em locais abertos.
Fornecedores e serviços em nuvem
- Avaliamos a segurança de fornecedores antes da contratação, conforme o risco.
- Os contratos incluem cláusulas de sigilo, segurança, proteção de dados e comunicação de incidentes.
- Acompanhamos a atuação dos fornecedores durante a relação.
Continuidade
Mantemos planos para recuperar serviços essenciais em caso de falhas graves, desastres ou ataques.
Gestão de incidentes
Incidente de segurança é qualquer evento que comprometa, ou possa comprometer, a confidencialidade, a integridade ou a disponibilidade de informações ou sistemas.
- Comunicar: qualquer pessoa que identificar um incidente deve comunicá-lo imediatamente.
- Avaliar: a equipe responsável confirma o incidente e estima o impacto.
- Conter: isolamos o problema para limitar os danos.
- Eliminar e recuperar: removemos a causa e restauramos os serviços com segurança.
- Notificar: quando houver dados pessoais envolvidos e risco ou dano relevante, comunicamos a ANPD e as pessoas afetadas, nos prazos da LGPD e da regulamentação da ANPD. Clientes afetados são informados conforme os contratos.
- Aprender: registramos o ocorrido e ajustamos controles para evitar que se repita.
Conscientização
- Treinamentos periódicos sobre segurança, privacidade e uso responsável de tecnologia, inclusive de inteligência artificial.
- Orientações sobre golpes de engenharia social, como phishing, mensagens falsas e áudios ou vídeos manipulados.
- Comunicação rápida de alertas sobre novas ameaças.
Papéis e responsabilidades
| Quem | Responsabilidade |
|---|---|
| Alta direção | Aprovar a Política e garantir recursos para a segurança. |
| Equipe de segurança e TI | Implementar controles, monitorar ambientes e coordenar a resposta a incidentes. |
| Encarregado de dados (DPO) | Orientar sobre proteção de dados e atuar na comunicação de incidentes com dados pessoais. |
| Gestores | Garantir que suas equipes conheçam e sigam as diretrizes. |
| Colaboradores e terceiros | Cumprir a Política, proteger suas credenciais e comunicar incidentes. |
O descumprimento desta Política pode gerar medidas disciplinares e contratuais, conforme o Código de Conduta.
Divulgação responsável de vulnerabilidades
Valorizamos a colaboração de pesquisadores e usuários que nos ajudam a manter nossos sistemas seguros. Se você encontrar uma vulnerabilidade em sites ou serviços da Midnal, siga as orientações abaixo.
Como reportar
- E-mail: suporte@midnal.com.br, com o assunto “Vulnerabilidade”.
- Se houver dados pessoais envolvidos: dpo@midnal.com.br.
O que incluir
- Endereço (URL) ou sistema afetado.
- Tipo de vulnerabilidade e impacto possível.
- Passos para reproduzir o problema.
- Data em que você identificou a falha.
- Seu contato, se quiser receber retorno.
O que pedimos
| Faça | Não faça |
|---|---|
| Reporte assim que identificar a falha. | Não acesse, altere, copie ou apague dados de terceiros. |
| Use apenas o mínimo necessário para demonstrar o problema. | Não faça testes de negação de serviço nem sobrecarregue os sistemas. |
| Mantenha sigilo até a correção. | Não use engenharia social, phishing ou ataques físicos. |
| Interrompa o teste se encontrar dados pessoais e nos avise. | Não divulgue a falha publicamente antes da correção. |
Nosso compromisso
- Confirmar o recebimento do seu relato.
- Avaliar e corrigir o problema conforme a gravidade.
- Manter você informado sobre o andamento, se você deixar um contato.
- Não adotar medidas legais contra quem agir de boa-fé e seguir estas regras.
- Dar crédito pela descoberta, se você quiser e quando for apropriado.
Fora do escopo
- Serviços de terceiros, como provedores de hospedagem, redes sociais e serviços do Google ou da Meta. Reporte diretamente a eles.
- Testes ativos em plataformas que a Midnal opera para clientes, que dependem de autorização formal do cliente. Se você notar um problema nelas por acaso, reporte-o a nós sem fazer testes.
- Relatos sem impacto demonstrável na segurança.
Última atualização: 17 de outubro de 2026.