Acórdão 1328/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]Inexistência de política de segurança da informaçãoA direção da Eletrobras não aprovou e publicou política de segurança da informação que estabelecesse o enfoque da empresa para gerenciar a segurança da informação de modo alinhado aos objetivos do negócio.[...]Análise das evidênciasDe acordo com o Cobit 4.1, processo DS5 - Garantir a Segurança dos Sistemas, para manter a integridade da informação e proteger os ativos de TI, é necessário implementar um processo de gestão de segurança da informação, que inclui o estabelecimento e a manutenção de papéis, responsabilidades, políticas, padrões e procedimentos de segurança de TI.Já a Norma Técnica ABNT NBR ISO/IEC 27.002:2005, em sua seção 5 - Política de segurança da informação, recomenda que a direção demonstre apoio e comprometimento com a segurança da informação por meio da publicação e manutenção de uma política de segurança para toda a organização.Além disso, a Norma complementar 03/IN01/DSIC/GSIPR estabelece diretrizes, critérios e procedimentos para elaboração, institucionalização, divulgação e atualização da Política de Segurança da Informação e Comunicações (Posic) nos órgãos e entidades da Administração Pública Federal, direta e indireta.[...]De acordo com as melhores práticas, a Política de Segurança da Informação (PSI) deve traduzir requisitos de negócio, de risco e conformidade por meio de políticas e procedimentos de segurança, juntamente com investimentos adequados em serviços, pessoal, software e hardware. A partir das diretrizes estabelecidas na PSI, deve ser elaborado um plano de segurança de tecnologia de informação que leve em consideração a infraestrutura de TI e a cultura de segurança.[...]Efeitos e riscos decorrentes da manutenção da situação encontrada- planos de segurança de TI não alinhados com os requisitos de negócio;- baixa compreensão dos usuários quanto aos aspectos de segurança da informação;- potenciais falhas ou atrasos no tratamento de incidentes de segurança de informação;- falta de clareza dos papéis e responsabilidades dos envolvidos no processo de gestão da segurança da informação;- maior risco de uso indevido ou exposição dos ativos de informação da empresa."Voto:Trata-se de auditoria de natureza operacional associada ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais), cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras do sistema integrado de gestão das Centrais Elétricas Brasileiras S.A. (Eletrobras).Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas.A fiscalização pautou-se no planejamento do TMS 7, que, por sua vez, baseou-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology  (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005.Acórdão:9.1. determinar à Eletrobras, [...], que:[...]9.1.2. elabore e aprove formalmente política de segurança da informação, em atendimento à Norma Complementar nº 3 do Gabinete de Segurança Institucional da Presidência da República, observando as práticas do item 5 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005 e à semelhança das orientações do Cobit 4.1, DS5.2 - Plano de Segurança de Tecnologia da Informação (TI);