Acórdão 594/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos (fls. 95/128):"3 - ACHADOS DE AUDITORIA[...]3.11 - Inexistência de inventário dos ativos de informação.3.11.1 - Situação encontrada: (...) foi solicitada amostra mais recente do inventário dos ativos de informação do FNDE. Como resposta, foi encaminhada planilha que conteria amostra do inventário de ativos de informação, com os itens de hardware e software da entidade (...). Após o exame da documentação entregue, verificou-se que constam da lista apresentada alguns sistemas operacionais, bem como a versão do navegador da Internet. Entretanto, não constam informações sobre ativos de software, como sistemas informatizados e suas bases de dados.Além disso, o inventário não contém os seguintes elementos essenciais, de acordo com a Norma ABNT NBR ISO/IEC 27002:2005: tipo do ativo, formato, informações sobre cópia de segurança, importância do ativo para o negócio e proprietário do ativo.Cabe registrar ainda que o documento apresentado não está em conformidade com a Norma de Segurança NS-003-2002-SEXEC do FNDE, que define ativo como tudo que manipula a informação, inclusive ela própria, e determina que se defina um proprietário responsável para cada ativo; que se identifiquem os ativos, atribuindo-lhes valores e importância para o fornecimento dos níveis de proteção; além de outras orientações.[...]3.11.4 - Efeitos/Conseqüências do achado:Dificuldade de recuperação de ativo de informação. (efeito potencial) [...]3.11.8 - Conclusão da equipe:A documentação apresentada pelo FNDE não constitui inventário de ativos de informação, tendo em vista a ausência da maior parte das informações requeridas para o documento. Isso contraria disposições do art. 5º, inc. VII, da Instrução Normativa GSI/PR nº 01/2008, e do item 5.2.1 da Norma Complementar 04/IN01/DSIC/GSI/PR, o que justifica a expedição de determinação à autarquia.[...]"Acórdão:9.4. determinar ao FNDE que:[...]9.4.4. em atenção à IN GSI/PR 01/2008, art. 5º, VII, c/c a Norma Complementar 04/IN01/DSIC/GSIPR, item 5.2.1, estabeleça procedimento de inventário de ativos de informação, de maneira a que todos os ativos de informação sejam inventariados e tenham um proprietário responsável, observando as práticas contidas no item 7.1 da NBR ISO/IEC 27002:2005 e no item 1 da Norma de Segurança do FNDE NS-003-2002-SEXEC;