Área: Gestão Administrativa

Relatório: Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos: "[...] Inexistência de política de segurança da informação A direção da Eletrobras não aprovou e publicou política de segurança da informação que estabelecesse o enfoque da empresa para gerenciar a segurança da informação de modo alinhado aos objetivos do negócio. [...] Análise das evidências De acordo com o Cobit 4.1, processo DS5 - Garantir a Segurança dos Sistemas, para manter a integridade da informação e proteger os ativos de TI, é necessário implementar um processo de gestão de segurança da informação, que inclui o estabelecimento e a manutenção de papéis, responsabilidades, políticas, padrões e procedimentos de segurança de TI. Já a Norma Técnica ABNT NBR ISO/IEC 27.002:2005, em sua seção 5 - Política de segurança da informação, recomenda que a direção demonstre apoio e comprometimento com a segurança da informação por meio da publicação e manutenção de uma política de segurança para toda a organização. Além disso, a Norma complementar 03/IN01/DSIC/GSIPR estabelece diretrizes, critérios e procedimentos para elaboração, institucionalização, divulgação e atualização da Política de Segurança da Informação e Comunicações (Posic) nos órgãos e entidades da Administração Pública Federal, direta e indireta. [...] De acordo com as melhores práticas, a Política de Segurança da Informação (PSI) deve traduzir requisitos de negócio, de risco e conformidade por meio de políticas e procedimentos de segurança, juntamente com investimentos adequados em serviços, pessoal, software e hardware. A partir das diretrizes estabelecidas na PSI, deve ser elaborado um plano de segurança de tecnologia de informação que leve em consideração a infraestrutura de TI e a cultura de segurança. [...] Efeitos e riscos decorrentes da manutenção da situação encontrada - planos de segurança de TI não alinhados com os requisitos de negócio; - baixa compreensão dos usuários quanto aos aspectos de segurança da informação; - potenciais falhas ou atrasos no tratamento de incidentes de segurança de informação; - falta de clareza dos papéis e responsabilidades dos envolvidos no processo de gestão da segurança da informação; - maior risco de uso indevido ou exposição dos ativos de informação da empresa." Voto: Trata-se de auditoria de natureza operacional associada ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais) , cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras do sistema integrado de gestão das Centrais Elétricas Brasileiras S.A. (Eletrobras) . Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas. A fiscalização pautou-se no planejamento do TMS 7, que, por sua vez, baseou-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005. Acórdão: 9.1. determinar à Eletrobras, [...], que: [...] 9.1.2. elabore e aprove formalmente política de segurança da informação, em atendimento à Norma Complementar nº 3 do Gabinete de Segurança Institucional da Presidência da República, observando as práticas do item 5 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005 e à semelhança das orientações do Cobit 4.1, DS5.2 - Plano de Segurança de Tecnologia da Informação (TI) ;