Acórdão 2296/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]3.2 Inexistência de processo de gestão de riscos de TI50. Inexiste processo de gestão de riscos formalmente definido na CMB.[...]Efeitos e riscos decorrentes da manutenção da situação encontradaa) proteção insuficiente dos ativos de informação;b) perda de informação confidencial;c) falta de comprometimento da gestão com a segurança organizacional;d) dificuldades no entendimento do apetite a risco da organização;e) riscos de TI e organizacionais gerenciados de maneira independente;f) não detecção do impacto de um risco de TI no negócio;g) ausência de controle dos custos para gestão de riscos;h) risco visto como uma ameaça única ao invés de ser tratado como parte de um contexto geral;i) eventuais incidentes de segurança da informação são tratados pontualmente, e não de maneira estruturada.j) suporte insuficiente para a avaliação do risco pelos gestores.Conclusão56. Não há processos definidos de gestão de riscos de TI. Eventuais incidentes são encaminhados ao Desec, entretanto não há atribuição de responsabilidade definida, nem área estruturada para avaliação sistemática (itens 51 a 53).[...]"Acórdão:9.2. recomendar à Casa da Moeda do Brasil que:[...]9.2.4. implante formalmente processo de gestão de riscos de tecnologida da informação, em atendimento à Norma Complementar nº 04/IN01/DSIC/GSIPR, observando os princípios e as diretrizes da NBR ISO/IEC 31000:2009 e à semelhança das orientações dos objetivos de controle PO4.8 e PO9.1 a PO9.6 do Cobit 4.1;