Acórdão 866/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]2.13 - Inexistência de classificação da informação[...]2.13.2 - Efeito/Consequência do achado:a) risco de divulgação indevida de informação restrita (efeito potencial).[...]2.13.5 - Conclusão da equipe:Não existe procedimento institucional de classificação da informação.Os ativos de informação precisam ser inventariados e classificados a fim de que sejam medidos os graus de importância, a prioridade, a criticidade e sensibilidade e, em consequência, possam receber o nível adequado de proteção, considerando, inclusive, a necessidade de conceder nível adicional de proteção ou tratamento especial. Os diferentes níveis de proteção exigirão diferentes procedimentos de tratamento dos ativos, quanto aos aspectos de cópia, armazenamento, retenção, transmissão e transporte, descarte e divulgação, conforme a NBR ISO/IEC 27002, item 7.[...]"Acórdão:9.2. determinar ao Departamento Nacional de Infraestrutura de Transportes que:[...]9.2.7. em atenção ao Decreto 4.553/2002, art. 6º, § 2º, II, e art. 67, crie critérios de classificação das informações, a fim de que possam ter tratamento diferenciado conforme seu grau de importância, criticidade e sensibilidade, observando o item 7.2 da NBR ISO/IEC 27.002;