PSI-009 - Política de Gestão de Vulnerabilidades

Controle Documental

Campo	Informação
Código	PSI-009
Versão	1.1
Data de Emissão	Abril/2025
Próxima Revisão	Março/2027
Aprovado por	Diretoria / DPO
Responsável	DPO / Coordenador de Tech
Classificação	Uso Interno
Referências	Context.md; ISO/IEC 27001:2022; ISO/IEC 27002:2022; LGPD quando aplicável
ISO 27001:2022	Controle 8.8

Histórico de Revisões

Versão	Data	Autor	Descrição
1.0	Abr/2025	DPO / Coordenador de Tech	Emissão inicial
1.1	Mar/2026	DPO / Coordenador de Tech	Revisão periódica do documento

1. Objetivo

Estabelecer processo para identificar, avaliar, priorizar e tratar vulnerabilidades em ativos tecnológicos.

2. Escopo

Aplica-se às três unidades da METRA, colaboradores, terceiros, fornecedores e ativos de informação relacionados à execução dos processos de medicina ocupacional, SST, administração, TI e privacidade.

3. Diretrizes

Vulnerabilidades devem ser acompanhadas em servidores, estações, firewall, VPN, Microsoft 365 e sistemas corporativos.
Correções devem ser priorizadas conforme criticidade, exposição e impacto em dados pessoais ou continuidade.
Vulnerabilidades críticas em ativos expostos ou com dados sensíveis devem ter tratamento prioritário.
Quando não for possível corrigir imediatamente, controles compensatórios devem ser documentados.

4. Responsabilidades

Papel	Responsabilidade
Diretoria	Aprovar diretrizes e recursos necessários
DPO	Avaliar impactos em privacidade e LGPD
Coordenador de Tech	Implementar controles e manter evidências
Gestores	Aplicar regras nas áreas
Usuários	Cumprir a política e reportar desvios

5. Revisão

Esta política deve ser revisada anualmente ou após incidente, auditoria, mudança operacional relevante ou alteração legal.