Abrangência
Mantemos registros e procedimentos de verificação para apurar operações relevantes, proteger informações, analisar incidentes e prestar contas. A rastreabilidade abrange serviços digitais, acessos, projetos, integrações, tratamento de dados e mudanças nos ambientes e controles.
A abrangência dos registros acompanha o risco, as obrigações aplicáveis e a necessidade de reconstrução dos fatos, preservando privacidade e confidencialidade.
Informações registradas
As trilhas registram os eventos pertinentes à operação, incluindo autenticações e falhas, concessões e revogações de acesso, consultas, inclusões, alterações, exclusões, exportações, compartilhamentos, mudanças de configuração e ocorrências de segurança.
Os registros identificam o usuário ou serviço responsável, a operação, o recurso, a data e a hora com referência temporal consistente, a origem e o resultado. Identificadores correlacionáveis preservam o contexto das ações e a vinculação das contas técnicas às respectivas atividades.
Reconstrução das atividades
As trilhas permitem reconstruir as atividades de usuários e serviços, do acesso e da autorização ao processamento e ao resultado, inclusive a disponibilização ou exportação de informações. Nas apurações, delimitamos período e escopo, correlacionamos registros, verificamos sua integridade e documentamos conclusões e eventuais lacunas.
Em inteligência de dados, distinguimos a data do fato na fonte, a primeira observação, a obtenção dos dados e as decisões de tratamento ou classificação. O histórico pertinente, a origem e as versões dos procedimentos permitem compreender as alterações posteriores e o contexto dos resultados.
Integridade e acesso às evidências
Protegemos os registros contra acesso indevido, alteração, perda e eliminação não autorizada. Os controles incluem segregação de permissões, cópias e verificação de integridade compatíveis com o risco. A leitura e a exportação de evidências relevantes também são rastreáveis.
Limitamos os dados pessoais nos logs ao necessário e não registramos senhas, tokens ou chaves em seu conteúdo. O acesso às evidências é restrito às funções autorizadas e às solicitações legítimas. O compartilhamento preserva sigilo e finalidade.
Conservação e descarte
Os prazos de conservação consideram finalidade e obrigações legais, regulatórias e contratuais. Incidentes, investigações e exercício de direitos recebem preservação específica, documentada e com suspensão do descarte dos registros pertinentes.
Ao terminar o prazo, realizamos descarte seguro ou anonimização, respeitadas as condições de preservação. Registros de incidentes com dados pessoais seguem os prazos específicos aplicáveis, incluindo o mínimo de cinco anos nos casos sujeitos à regulamentação da autoridade de proteção de dados.
Verificação dos controles
As funções de tecnologia e controle verificam periodicamente a completude das trilhas e a reconstrução de atividades por amostragem. Falhas e divergências são registradas, apuradas e tratadas com acompanhamento da administração.
As revisões documentam escopo, critérios, evidências, conclusões, responsáveis funcionais e providências. Sua organização considera a independência compatível com a atividade e o risco. Solicitações externas de auditoria são tratadas conforme a lei, os contratos e a confidencialidade.
Atualização e contato
Revisamos esta política anualmente e quando há mudanças relevantes nos serviços, nas fontes ou nos controles. As políticas de Privacidade, Segurança da Informação e Gestão de Identidades e Acessos complementam esta proteção.
Recebemos dúvidas sobre rastreabilidade em contato@rituspartners.com.