Acórdão 2613/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]2.8 - Inexistência do processo de gestão de incidentes[...]2.8.3 - Efeitos/Consequências do achado:a) ocorrência de incidentes sem o devido gerenciamento (efeito potencial);b) paralisação dos serviços de TI (efeito potencial);c) paralisação das atividades da organização (efeito potencial).2.8.4 - Critérios:a) Norma Técnica - ITGI - Cobit 4.1, DS8 - Gerenciar a Central de Serviço e os Incidentes;b) Norma Técnica - NBR - ISO/IEC 27002, item 13 - Gestão de incidentes de segurança da informação;c) Norma Técnica - NBR - ISO/IEC 20000, item 8.2 - Gerenciamento de incidentes;d) Norma Técnica - OGC - ITIL versão 2 - Livro Suporte a Serviços.[...]2.8.7 - Conclusão da equipe:No que tange à manifestação do Gestor [...], convém ressaltar que os incidentes tratados por equipe de tratamento e resposta a incidentes em redes computacionais são incidentes de segurança da informação, e não incidentes sob a ótica de gestão de serviços de TI, que trata de uma gama mais ampla de incidentes (vide NBR 20.000).Portanto, como declarado inicialmente pelo Gestor, o MP não possui processo de gestão de incidentes no contexto da gestão de serviços de TI.Novamente registra-se que ainda que os serviços sejam contratados com o Serpro, o controle e a responsabilidade pelos processos de gestão e governança de TI são dos gestores do MP.A existência de equipes para atender acionamentos de incidentes em sistemas, não constitui, por si só, um processo de gestão de incidentes no contexto da gestão de serviços de TI, o qual demandaria a descrição dos papéis dos profissionais envolvidos, das atividades e dos artefatos previstos, tal como a lista de incidentes, que deve conter pelo menos a classificação dos incidentes, datas de abertura e de fechamento do incidente e histórico das ações realizadas em virtude do incidente.[...]"Acórdão:9.1. recomendar à Secretaria Executiva do Ministério do Planejamento, Orçamento e Gestão que:[...]9.1.8. implemente processo de gestão de incidentes de serviços de tecnologia da informação, à semelhança do Cobit 4.1, processo DS8 - Gerenciar a central de serviços e incidentes, e de outras boas práticas de mercado, como NBR ISO/IEC 20000, ITIL e NBR 27002;