Política de Segurança da Informação (PSI)

1. Apresentação

A presente Política de Segurança da Informação ("PSI") estabelece os princípios, diretrizes e controles adotados pela Musicalll Estúdios para proteger seus ativos de informação, garantir a continuidade de seus serviços e reduzir riscos relacionados à segurança cibernética.

Esta Política complementa:

• os Termos de Uso;
• a Política de Privacidade;
• a Política Antifraude e Compliance;
• o Acordo de Processamento de Dados (DPA);
• os demais documentos jurídicos da Musicalll.

2. Objetivos

São objetivos desta Política:

• proteger informações da Plataforma;
• preservar a confidencialidade dos dados;
• garantir a integridade das informações;
• assegurar a disponibilidade dos serviços;
• reduzir riscos operacionais;
• prevenir incidentes de segurança;
• fortalecer a confiança dos usuários.

3. Abrangência

Esta Política aplica-se a:

• colaboradores;
• sócios;
• administradores;
• prestadores de serviço;
• fornecedores que tenham acesso a sistemas da Musicalll;
• parceiros tecnológicos;
• demais pessoas autorizadas a acessar ativos da Plataforma.

4. Princípios da segurança da informação

A Musicalll adota como princípios:

• confidencialidade;
• integridade;
• disponibilidade;
• autenticidade;
• rastreabilidade;
• responsabilidade;
• melhoria contínua;
• conformidade legal.

5. Ativos de informação

São considerados ativos de informação, entre outros:

• banco de dados;
• código-fonte;
• servidores;
• APIs;
• documentação;
• credenciais;
• chaves criptográficas;
• backups;
• registros de auditoria;
• infraestrutura em nuvem;
• equipamentos corporativos;
• informações financeiras;
• dados pessoais.

Todos os ativos deverão receber proteção compatível com seu nível de criticidade.

6. Classificação das informações

As informações poderão ser classificadas como:

Pública: informações cuja divulgação não oferece riscos relevantes. Exemplos: páginas institucionais, materiais de divulgação, documentação pública.

Uso Interno: informações destinadas apenas ao ambiente operacional da Musicalll. Exemplos: procedimentos internos, documentação técnica, fluxos operacionais.

Confidencial: informações cujo acesso deve ser restrito. Exemplos: contratos, informações financeiras, dados comerciais, relatórios internos, estratégias de negócio.

Restrita: informações críticas que exigem proteção reforçada. Exemplos: credenciais administrativas, segredos comerciais, chaves criptográficas, backups criptografados, configurações críticas, dados protegidos por lei.

7. Controle de acesso

O acesso aos sistemas deverá observar o princípio do menor privilégio, garantindo que cada pessoa possua apenas as permissões estritamente necessárias ao desempenho de suas atividades.

Os acessos serão concedidos conforme funções e poderão ser revisados, alterados ou revogados sempre que necessário.

8. Autenticação

Sempre que tecnicamente viável, a Musicalll adotará mecanismos de autenticação robustos, incluindo:

• senhas fortes;
• autenticação multifator (MFA) para contas administrativas e outros acessos considerados críticos;
• gerenciamento seguro de sessões;
• políticas de redefinição de senha.

O compartilhamento de credenciais é proibido.

9. Gestão de senhas

As senhas deverão:

• possuir complexidade adequada;
• permanecer sob responsabilidade exclusiva do usuário;
• não ser reutilizadas entre serviços críticos, sempre que possível;
• ser armazenadas utilizando algoritmos de hash reconhecidos pelo mercado.

É vedado armazenar senhas em texto puro.

10. Criptografia

Sempre que apropriado, a Musicalll utilizará mecanismos criptográficos para proteção dos dados.

Poderão ser empregados:

• criptografia em trânsito (TLS ou equivalente);
• criptografia em repouso, quando tecnicamente e economicamente viável;
• armazenamento seguro de chaves criptográficas;
• certificados digitais válidos.

11. Desenvolvimento seguro

A Musicalll buscará adotar práticas de desenvolvimento seguro, incluindo:

• revisão de código;
• gerenciamento de dependências;
• correção de vulnerabilidades conhecidas;
• testes antes da implantação;
• separação entre ambientes de desenvolvimento, homologação e produção, sempre que possível;
• controle de versões.

12. Gestão de vulnerabilidades

A Plataforma poderá realizar:

• atualização periódica de sistemas;
• monitoramento de vulnerabilidades;
• aplicação de correções de segurança;
• análise de bibliotecas utilizadas;
• revisão de componentes críticos.

A prioridade de tratamento considerará a severidade do risco e o impacto potencial.

13. Backups

A Musicalll poderá manter rotinas de backup compatíveis com a criticidade dos serviços.

Sempre que possível, os backups observarão:

• execução periódica;
• armazenamento seguro;
• proteção contra acesso não autorizado;
• testes de restauração;
• retenção conforme necessidades legais e operacionais.

14. Monitoramento

Os sistemas poderão ser monitorados para:

• identificar falhas;
• detectar tentativas de invasão;
• prevenir fraudes;
• acompanhar disponibilidade;
• registrar eventos relevantes;
• apoiar investigações internas.

O monitoramento observará a legislação aplicável.

15. Registros (logs)

A Musicalll poderá manter registros técnicos relacionados ao funcionamento da Plataforma, incluindo:

• autenticações;
• acessos administrativos;
• alterações relevantes;
• eventos de segurança;
• operações críticas.

Os registros serão protegidos contra alterações não autorizadas e conservados pelo período compatível com as finalidades legais, operacionais e de segurança.

16. Incidentes de segurança

Considera-se incidente de segurança qualquer evento que possa comprometer:

• confidencialidade;
• integridade;
• disponibilidade;
• autenticidade das informações;
• funcionamento da Plataforma.

17. Resposta a incidentes

Ao identificar um incidente relevante, a Musicalll poderá adotar medidas como:

• contenção do evento;
• análise técnica;
• mitigação dos impactos;
• restauração dos serviços;
• preservação de evidências;
• comunicação às partes competentes, quando exigido por lei.

Após a resolução, poderão ser implementadas ações para reduzir a probabilidade de recorrência.

18. Continuidade de negócios

A Musicalll buscará manter medidas compatíveis com o porte da empresa para assegurar a continuidade de seus serviços diante de incidentes relevantes, incluindo:

• recuperação de backups;
• redundância de componentes críticos, quando aplicável;
• procedimentos de recuperação;
• revisão periódica das estratégias de continuidade.

19. Dispositivos corporativos

Os dispositivos utilizados para acesso aos sistemas da Musicalll deverão observar medidas razoáveis de segurança, tais como:

• bloqueio por senha ou biometria;
• atualização de software;
• proteção contra malware;
• uso autorizado.

Equipamentos comprometidos poderão ter seu acesso suspenso até a regularização.

20. Fornecedores

Sempre que fornecedores tiverem acesso a informações relevantes da Musicalll, buscar-se-á que observem padrões de segurança compatíveis com a natureza dos serviços prestados, mediante cláusulas contratuais, políticas específicas ou outras salvaguardas adequadas.

21. Conscientização

A Musicalll incentivará a conscientização sobre segurança da informação entre colaboradores e parceiros, promovendo, sempre que possível:

• orientações internas;
• treinamentos;
• divulgação de boas práticas;
• atualização sobre riscos relevantes.

22. Auditoria

A Musicalll poderá realizar auditorias internas ou externas, sempre que julgar necessário, para verificar:

• conformidade com esta Política;
• eficácia dos controles;
• identificação de vulnerabilidades;
• oportunidades de melhoria.

23. Descumprimento

O descumprimento desta Política poderá resultar em medidas proporcionais à gravidade da conduta, incluindo:

• orientação;
• advertência;
• revisão de acessos;
• suspensão de credenciais;
• rescisão contratual, quando aplicável;
• adoção das medidas legais cabíveis.

24. Revisão da Política

Esta Política será revisada periodicamente ou sempre que houver:

• alterações legislativas;
• mudanças significativas na infraestrutura;
• evolução tecnológica;
• novos riscos relevantes;
• incidentes que indiquem necessidade de atualização.

25. Disposições finais

Esta Política integra o programa de governança e segurança da Musicalll Estúdios e deverá ser interpretada em conjunto com os demais documentos jurídicos e operacionais da Plataforma.

Caso qualquer disposição seja considerada inválida ou inexequível, as demais permanecerão plenamente válidas.

26. Vigência

Esta Política entra em vigor na data de sua publicação e permanecerá válida até sua substituição por versão posterior.