Política de Senhas e Credenciais

1. Introdução

Na D Informática, compreendemos que o acesso aos equipamentos, sistemas corporativos, contas de e-mail e plataformas de gestão representa um dos ativos mais sensíveis e valiosos de qualquer organização. Por essa razão, adotamos uma política baseada no conceito de Zero Trust (Confiança Zero), aliada a princípios de transparência, segurança da informação e controle rigoroso no tratamento de credenciais de acesso.

As credenciais de autenticação — compostas por usuário e senha — constituem mecanismos essenciais para validação de identidade e controle de acesso aos recursos tecnológicos disponibilizados. A utilização de senhas seguras reduz significativamente os riscos de acessos indevidos, fraudes e ações maliciosas que possam comprometer a integridade, a confidencialidade e a disponibilidade das informações. Em contrapartida, senhas frágeis ou inadequadamente gerenciadas podem expor todo o ambiente tecnológico da organização a vulnerabilidades, impactando diretamente a continuidade das operações e dos negócios.

Dessa forma, em conformidade com as boas práticas de mercado e os princípios de segurança cibernética, recomenda-se que toda criação, utilização e gerenciamento de credenciais observem os padrões estabelecidos nesta Política de Senhas.

Considera-se senha forte aquela que apresenta elevado grau de complexidade para dificultar tentativas de descoberta, sem comprometer a facilidade de memorização pelo usuário. Para isso, as senhas devem ser elaboradas utilizando combinações de caracteres, estratégias de composição e boas práticas que aumentem sua segurança, evitando, sempre que possível, o armazenamento em anotações físicas ou meios inseguros.

A presente Política de Senhas estabelece diretrizes, critérios e requisitos mínimos para a criação, utilização, armazenamento e gerenciamento seguro de credenciais no âmbito da D Informática, visando garantir a proteção dos ativos digitais, a privacidade das informações e a mitigação dos riscos relacionados a acessos não autorizados.

2. Objetivo

O objetivo desta Política de Senhas é promover a conscientização sobre a importância da segurança no uso de credenciais de acesso, bem como estabelecer diretrizes e padrões para a criação e utilização de senhas fortes e seguras, reduzindo os riscos de acessos não autorizados, fraudes e tentativas de personificação por terceiros mal-intencionados.

Além disso, esta política visa padronizar os critérios de criação, utilização e gerenciamento de senhas em todo o ambiente tecnológico da D Informática, fortalecendo os controles de segurança da informação e contribuindo para a proteção dos ativos digitais, sistemas e dados da organização.

3. A Abrangência

Esta Política de Senhas aplica-se a todos os usuários que utilizam, administram ou tenham acesso, direto ou indireto, aos recursos de tecnologia da informação da Organização D Informática, incluindo funcionários, estagiários, aprendizes, prestadores de serviços, terceiros, parceiros e demais colaboradores vinculados às operações da companhia.

Também estão abrangidos por esta política todos os indivíduos que, de qualquer forma, utilizem, suportem, administrem ou tenham acesso aos sistemas, infraestrutura tecnológica, redes, equipamentos, aplicações ou informações corporativas da organização.

Para fins desta política, todos os públicos mencionados serão tratados de forma abrangente como usuários dos recursos de tecnologia da informação, estando sujeitos às diretrizes, responsabilidades e obrigações aqui estabelecidas.

4. Criação e Manutenção de Senhas

Na criação de novas senhas, recomenda-se a adoção de boas práticas de segurança que aumentem a complexidade e reduzam os riscos de comprometimento das credenciais de acesso. Sempre que possível, as senhas deverão conter combinações variadas de caracteres e seguir os critérios abaixo:

Primeiro Acesso - Ao receber uma nova conta de usuário ou acessar um sistema pela primeira vez, o colaborador deverá definir imediatamente uma senha forte, segura e em conformidade com os critérios estabelecidos nesta política.

Alteração de Senhas - Recomenda-se que os colaboradores realizem a alteração periódica de suas senhas, conforme os prazos, requisitos e diretrizes de segurança definidos pela Organização, especialmente em casos de suspeita de comprometimento da credencial.

Esquecimento de Senha - Em caso de esquecimento da senha, o colaborador deverá solicitar sua redefinição por meio dos canais oficiais de suporte técnico, observando os procedimentos de validação de identidade e segurança estabelecidos pela Organização.

Compartilhamento de Contas e Credenciais - O compartilhamento de senhas, credenciais de acesso ou contas de usuário é expressamente proibido, salvo em situações previamente autorizadas, de forma formal, pela equipe de TI ou por representante legal da Organização.

Cada usuário é individualmente responsável pela guarda, sigilo e utilização adequada de suas credenciais de acesso, respondendo pelas ações realizadas por meio de sua conta.

5. Diretrizes do uso de Senhas

O usuário é integralmente responsável pela utilização e guarda de suas credenciais de acesso. Considerando que a senha constitui o principal mecanismo de autenticação e identificação nos sistemas corporativos, ela deverá ser de uso pessoal, individual, confidencial e intransferível, não podendo ser compartilhada, divulgada ou utilizada por terceiros sob qualquer circunstância.

O usuário responderá pelas ações, operações e transações realizadas mediante o uso de sua conta de acesso, devendo adotar todas as medidas necessárias para preservar o sigilo e a segurança de suas credenciais.

Senhas de uso Normal

Os sistemas, serviços, aplicações e dispositivos que compõem o ambiente tecnológico da companhia deverão ser configurados para exigir padrões mínimos de segurança na criação e utilização de senhas, observando, sempre que tecnicamente possível, os seguintes requisitos:

• Possuir no mínimo 8 (oito) caracteres (recomendável 12 (doze));
• Conter combinação de caracteres alfabéticos e numéricos, sendo recomendada também a utilização de letras maiúsculas, minúsculas e caracteres especiais;
• Não apresentar sequências simples, previsíveis ou repetição excessiva de caracteres, tais como 3 (três) ou mais letras ou números idênticos em sequência, por exemplo: “111”, “aaa” ou similares;
• Ser alteradas periodicamente, devendo a substituição ocorrer, preferencialmente, em intervalo não superior a 180 (cento e oitenta) dias de utilização, ou imediatamente em caso de suspeita de comprometimento da credencial.

As solicitações de criação, alteração ou concessão de acesso aos sistemas e recursos tecnológicos da Organização deverão ser formalmente encaminhadas ao setor de Tecnologia da Informação e previamente autorizadas pelo gestor imediato do solicitante.

Todas as requisições deverão ser registradas por meio de formulário, sistema ou procedimento específico definido pela Organização, devendo os respectivos registros ser mantidos arquivados para fins de controle interno, rastreabilidade, conformidade e auditoria.

As solicitações de recuperação, redefinição ou desbloqueio de senhas, seja por esquecimento, suspeita de comprometimento ou qualquer outro motivo, deverão ser realizadas exclusivamente por meio do setor responsável pela Tecnologia da Informação.

O procedimento de recuperação de acesso deverá seguir critérios de validação e confirmação da identidade do usuário solicitante, conforme os processos internos de segurança estabelecidos pela Organização, garantindo a confidencialidade das credenciais e prevenindo acessos não autorizados.

Após a validação das informações, poderá ser disponibilizada uma senha provisória ou inicial, devendo o usuário realizar sua substituição imediata no primeiro acesso ao sistema.

As senhas iniciais, temporárias ou provisórias deverão ser fornecidas diretamente ao usuário autorizado, por meio seguro e adequado, preservando sua confidencialidade durante o processo de comunicação.

Os sistemas deverão ser configurados, sempre que tecnicamente possível, para exigir a substituição imediata da senha no primeiro acesso, garantindo que apenas o próprio usuário tenha conhecimento de sua credencial definitiva.

Senhas de uso Privilegiado

Todas as contas privilegiadas e padrões de administração — tais como administrator, admin, sa, sys, sysadmin, root e equivalentes — deverão possuir suas credenciais alteradas imediatamente após a implantação dos sistemas, podendo ainda ser renomeadas, restringidas ou desabilitadas, sempre que tecnicamente possível, como medida de segurança preventiva.

Cada profissional da área de Tecnologia da Informação deverá possuir conta de acesso individual, nominal e rastreável para execução de suas atividades operacionais e administrativas, sendo vedada a utilização de contas privilegiadas genéricas para atividades rotineiras ou acessos comuns ao ambiente tecnológico.

O acesso a funções, sistemas e recursos privilegiados deverá ser restrito exclusivamente a usuários formalmente autorizados pela Organização, observando os princípios do menor privilégio e da necessidade de acesso.

Os usuários com permissões administrativas deverão possuir perfis específicos e segregados, compatíveis com suas atribuições funcionais, sendo seus acessos monitorados, controlados e auditáveis sempre que aplicável.

Senhas, credenciais de autenticação ou chaves de acesso não deverão ser armazenadas, expostas ou inseridas em texto aberto em linhas de comando, scripts, códigos-fonte, arquivos de configuração ou qualquer outro meio que possibilite sua visualização indevida.

Quando houver necessidade técnica de utilização dessas credenciais em integrações, automações ou conexões sistêmicas, elas deverão ser protegidas por mecanismos adequados de criptografia, cofres de credenciais ou soluções equivalentes de segurança, sendo tratadas como contas de serviço ou contas de conexão, conforme as boas práticas de segurança da informação.

6. Senhas Criadas pela D Informática

Quando nossa equipe é responsável por estruturar sua rede, configurar um novo servidor ou criar e-mails para seus funcionários, seguimos os mais altos padrões de segurança do mercado:

7. Senhas Fornecidas por Você

Em diversos serviços (como formatação com backup, configuração de e-mails corporativos ou suporte a servidores), nossos técnicos precisarão da sua senha atual para realizar o trabalho. Nestes casos, garantimos que:

• Acesso Estrito: A senha só será utilizada para a finalidade contratada e registrada na Ordem de Serviço.
• Não Armazenamento: Senhas pessoais de clientes (como PIN do Windows, senhas de e-mail e Apple ID) não são salvas em nossos bancos de dados após a conclusão e entrega do serviço.
• Recomendação de Troca: Nossa política orienta que, sempre que possível, o cliente crie uma "Senha Temporária" para o atendimento técnico e a altere imediatamente após a devolução do equipamento.

8. Como Entregamos as Senhas

O envio de senhas novas para clientes ou colaboradores obedece a um protocolo rigoroso para evitar interceptação:

• Evitamos texto claro: Nunca enviaremos um e-mail ou mensagem no WhatsApp contendo o usuário e a senha na mesma frase.
• Links de Uso Único: Utilizamos ferramentas de compartilhamento seguro (onde o link com a senha se autodestrói após ser lido a primeira vez).
• Troca no Primeiro Login: Para contas corporativas, configuramos o sistema para exigir que o usuário crie sua própria senha particular no primeiro acesso.

9. Conscientização

Todos os colaboradores deverão manter boas práticas relacionadas à segurança da informação e à proteção de credenciais de acesso, estando devidamente conscientizados sobre os riscos decorrentes da utilização de senhas fracas, reutilizadas, compartilhadas ou armazenadas de forma inadequada.

A Organização poderá promover ações de conscientização, treinamentos e orientações periódicas com o objetivo de fortalecer a cultura de segurança cibernética e reduzir riscos de acessos não autorizados, vazamentos de informações e incidentes de segurança.

Comunicação da Política de Senhas - Todos os colaboradores deverão ser formalmente comunicados sobre esta Política de Senhas, bem como sobre quaisquer alterações, atualizações ou revisões realizadas em seu conteúdo.

É responsabilidade dos usuários conhecer, compreender e cumprir as diretrizes e procedimentos estabelecidos nesta política.

Comunicação de Atividades Suspeitas - Os colaboradores deverão comunicar imediatamente à equipe de Tecnologia da Informação ou ao responsável designado pela Organização qualquer atividade, comportamento ou acesso considerado suspeito, incomum ou potencialmente indevido relacionado às suas contas, credenciais ou recursos tecnológicos.

A pronta comunicação de incidentes ou suspeitas de comprometimento de acesso é fundamental para a adoção de medidas preventivas, corretivas e de mitigação de riscos à segurança da informação.

10. Responsabilidades

Colaboradores - Os colaboradores são responsáveis pela criação, utilização e manutenção segura de suas credenciais de acesso, devendo observar integralmente as diretrizes estabelecidas nesta Política de Senhas e nas demais normas de segurança da informação da Organização.

É responsabilidade do usuário proteger suas informações de autenticação, mantendo suas senhas sob sigilo, evitando compartilhamentos indevidos e adotando práticas seguras de utilização e armazenamento de credenciais.

O uso inadequado, negligente ou não autorizado das credenciais de acesso poderá sujeitar o colaborador às medidas administrativas, disciplinares e legais cabíveis, conforme as políticas internas da Organização e a legislação aplicável.

Equipe de Tecnologia da Informação - A equipe de Tecnologia da Informação é responsável por implementar, administrar e manter os controles técnicos relacionados à Política de Senhas, garantindo a aplicação das diretrizes de segurança definidas pela Organização.

Compete ainda à equipe de TI monitorar atividades suspeitas, apoiar ações de prevenção e resposta a incidentes relacionados a credenciais de acesso, bem como prestar suporte técnico aos usuários em casos de redefinição, recuperação ou problemas relacionados a senhas, tanto no ambiente interno da Organização quanto nos ambientes tecnológicos de clientes atendidos pela companhia.

11. Conformidade e Avaliação

Esta política deverá ser revisada periodicamente, com o objetivo de assegurar sua contínua atualização, eficácia operacional e conformidade com as melhores práticas de segurança da informação, bem como com as legislações e regulamentações aplicáveis.

12. Resumo

Todos os cuidados e medidas estabelecidos nesta política são essenciais para mitigar riscos que possam comprometer a segurança dos dados, sistemas e informações da companhia, assegurando a preservação dos princípios de integridade, confidencialidade e disponibilidade das informações.

Em caso de dúvidas, necessidade de esclarecimentos ou identificação de qualquer situação relacionada à segurança da informação, os usuários deverão entrar em contato com o responsável pela equipe de Tecnologia da Informação da Organização.