Ref.: MR-PSI-001
Versão: 1.0
Emissão: Mai/2025
Norma: ISO/IEC 27001:2022 · LGPD
Responsável: M1 Risk
1. Declaração de Comprometimento da Diretoria
A M1 Risk reconhece que a segurança da informação é ativo estratégico fundamental para a confiança dos clientes, continuidade dos negócios e cumprimento de obrigações legais. A Diretoria compromete-se a:
- Implementar e manter um Sistema de Gestão de Segurança da Informação (SGSI) alinhado à ABNT NBR ISO/IEC 27001:2022;
- Garantir a confidencialidade, integridade e disponibilidade das informações processadas na plataforma PRO-RISK;
- Cumprir a Lei nº 13.709/2018 (LGPD) e demais legislações aplicáveis;
- Promover cultura de segurança da informação em toda a organização;
- Prover os recursos necessários para implementação e melhoria contínua do SGSI.
2. Objetivo e Escopo
Objetivo: Estabelecer diretrizes, responsabilidades e controles para proteção dos ativos de informação da M1 Risk e de seus clientes, assegurando conformidade legal e gestão eficaz de riscos de segurança.
Escopo: Esta política aplica-se a todos os colaboradores, prestadores de serviços, fornecedores e terceiros que processem, acessem ou gerenciem informações pertencentes à M1 Risk ou à plataforma PRO-RISK, independentemente do meio de acesso (físico ou digital).
3. Princípios de Segurança — Tríade CID
- Confidencialidade: Garantir que a informação seja acessível somente às pessoas autorizadas, por meio de controles de acesso, autenticação e criptografia.
- Integridade: Assegurar a exatidão e completude das informações e dos métodos de processamento, prevenindo alterações não autorizadas.
- Disponibilidade: Garantir que usuários autorizados tenham acesso às informações quando necessário, por meio de redundância, backups e planos de continuidade.
4. Responsabilidades
4.1 Diretoria
Aprovar e revisar anualmente esta política; prover recursos para o SGSI; definir apetite de risco; patrocinar programas de conscientização.
4.2 Comitê de Segurança da Informação
Coordenar a implementação dos controles; avaliar incidentes; revisar políticas e procedimentos; reportar à Diretoria.
4.3 Gestores e Líderes de Equipe
Garantir que suas equipes conheçam e sigam esta política; reportar incidentes; participar de treinamentos.
4.4 Usuários e Colaboradores
Utilizar os ativos de informação conforme as diretrizes desta política; proteger credenciais de acesso; reportar incidentes ou vulnerabilidades ao Comitê de SI.
5. Controles de Segurança Implementados
5.1 Controle de Acesso
Autenticação por credenciais individuais; controle de acesso baseado em perfis (RBAC); revisão periódica de privilégios; autenticação multifator (MFA) para acesso à plataforma.
5.2 Criptografia
Transmissão de dados protegida por TLS 1.2+; senhas armazenadas com hash bcrypt; dados sensíveis criptografados em repouso nos servidores Supabase.
5.3 Segurança Física e Ambiental
Infraestrutura hospedada em data centers certificados ISO 27001 (Supabase/AWS); controle de acesso físico; proteção contra desastres naturais e interrupções de energia.
5.4 Gestão de Incidentes
Procedimento documentado de resposta a incidentes; notificação à ANPD em até 72 horas em caso de violação de dados pessoais; registro e análise pós-incidente.
5.5 Continuidade de Negócios
Backups automáticos diários do banco de dados; teste periódico de recuperação; RTO e RPO definidos conforme acordo de nível de serviço.
5.6 Desenvolvimento Seguro
Revisão de código com foco em segurança; sanitização de entradas (DOMPurify); políticas RLS no banco de dados para isolamento multi-tenant; testes de vulnerabilidade periódicos.
6. Gestão de Riscos de Segurança da Informação
A M1 Risk adota metodologia de gestão de riscos alinhada à ISO 31000 e ao Anexo A da ISO 27001:2022, contemplando:
- Identificação e classificação de ativos de informação;
- Avaliação de ameaças e vulnerabilidades;
- Análise de impacto e probabilidade;
- Tratamento de riscos (mitigar, aceitar, transferir, evitar);
- Monitoramento e revisão contínua do registro de riscos.
7. Gestão de Terceiros e Fornecedores
Todo fornecedor ou prestador de serviço que acesse informações da M1 Risk ou de seus clientes deve:
- Assinar cláusula de confidencialidade e proteção de dados;
- Demonstrar conformidade com controles de segurança equivalentes;
- Ser avaliado periodicamente quanto ao cumprimento dos requisitos de segurança;
- Reportar imediatamente qualquer incidente que afete dados da M1 Risk ou clientes.
8. Treinamento e Conscientização
Todos os colaboradores e usuários da plataforma devem:
- Realizar treinamento de segurança da informação ao iniciar as atividades;
- Participar de reciclagem anual obrigatória;
- Ser comunicados sobre atualizações relevantes nesta política;
- Conhecer os procedimentos de reporte de incidentes.
9. Conformidade e Revisão
O descumprimento desta política sujeita o infrator às medidas disciplinares previstas no contrato, podendo incluir rescisão e responsabilização civil ou criminal.
Esta política será revisada anualmente ou sempre que ocorrerem mudanças significativas no ambiente de negócios, tecnológico ou legal. A versão vigente estará sempre disponível na plataforma PRO-RISK.
Aprovada pela Diretoria da M1 Risk — Mai/2025
Próxima revisão: Mai/2026 · Documento: MR-PSI-001 v1.0
