Política de Resposta a Incidentes

Esta Política define como o Lucras (Finxi Tecnologia LTDA) detecta, responde e comunica incidentes de segurança da informação, com papéis e responsabilidades claros e canais de comunicação definidos. Integra o programa de Segurança da Informação.

1. Objetivo e escopo

Reduzir o impacto de incidentes que afetem a confidencialidade, integridade ou disponibilidade dos dados e serviços, e assegurar comunicação tempestiva às partes cabíveis. Aplica-se a todo o ambiente do Lucras.

2. Papéis e responsabilidades

• Responsável por Segurança / Encarregado (DPO) — Ponto de Contato de Gestão de Incidentes (IMPOC): coordena a resposta, decide sobre contenção e comunicação, e mantém o registro do incidente — clique para ver o e-mail.
• Apoio técnico/operacional: executa as ações de contenção, erradicação e recuperação sob coordenação do responsável.
• Suboperadores (ex.: provedores de hospedagem e banco) são acionados conforme seus próprios canais quando o incidente os envolver.

3. Classificação de severidade

• Alta: exposição ou comprometimento confirmado de dados restritos/pessoais, ou indisponibilidade grave.
• Média: risco relevante sem comprometimento confirmado.
• Baixa: eventos de menor impacto, tratados na rotina operacional.

4. Ciclo de resposta

1. Detecção e registro do evento e dos indícios.
2. Triagem e classificação de severidade.
3. Contenção (ex.: revogação de credenciais, isolamento do vetor).
4. Erradicação e recuperação do serviço a um estado seguro.
5. Análise pós-incidente, com lições aprendidas e ações de melhoria.

5. Comunicação e notificação

• Canal de reporte: clique para ver o e-mail (interno e externo, incluindo divulgação responsável de vulnerabilidades).
• Marketplaces: notificação ao marketplace afetado quando exigido pelos seus termos, observado o prazo aplicável (por exemplo, até 24 horas, quando assim requerido).
• Amazon (programas de SP-API): quando o incidente envolver dados obtidos via Amazon Selling Partner API, notificação a security@amazon.com em até 24 horas da detecção.
• LGPD: comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares quando o incidente puder acarretar risco ou dano relevante, nos prazos e critérios da lei.

6. Revisão

Esta Política é mantida pelo responsável pela segurança/Encarregado e revisada a cada 6 meses (semestralmente) ou após incidente relevante, com esforços comercialmente razoáveis proporcionais ao porte da operação. Cada revisão é registrada (data e responsável).