Acórdão 1775/2012
Relatório:"[...]7.2 Inexistência de política de segurança da informação (PSI) 252. A direção da ECT não aprovou nem publicou política de segurança da informação que estabeleça o enfoque da empresa para gerenciar a segurança da informação de modo alinhado aos objetivos do negócio.Critériosa) Norma Técnica ABNT NBR ISO/IEC 27.002:2005, seção 5 - Política de Segurança da Informação, categoria 5.1 - Política de Segurança da Informação, item 5.1.1 - Documento da Política de segurança da informação;b) Cobit 4.1, processo DS5 - Garantir a Segurança dos Sistemas, objetivo de controle DS 5.2 - Plano de Segurança de TI;c) Norma Complementar 03/IN01/DSIC/GSI/PR.Análise das evidências[...]256.[...], foi solicitada a política de segurança da informação vigente na ECT.257. Em resposta [...], a ECT declarou que o documento estava em fase final de elaboração.Causasa) falhas no processo de gestão de segurança da informação.Efeitos e riscos decorrentes da manutenção da situação encontradaa) processos de negócio expostos a ameaças não são tratados;b) baixa compreensão dos usuários quanto aos aspectos de segurança da informação;c) potenciais falhas ou atrasos no tratamento de incidentes de segurança de informação;d) falta de clareza dos papéis e responsabilidades dos envolvidos no processo de gestão da segurança da informação.Conclusão258. A ECT não tem política de segurança da informação estabelecida."Voto:Trata-se de auditoria de natureza operacional associada ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais), cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras do sistema integrado de gestão da Empresa Brasileira de Correios e Telégrafos (ECT).Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas.A fiscalização pautou-se no planejamento do TMS 7, que, por sua vez, baseou-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005.Por meio de entrevistas, pesquisa de satisfação, teste substantivo de controles, observação direta, análise documental e análise de dados, foram avaliados aspectos de gestão e planejamento, processos e métodos de tecnologia da informação (TI), aspectos legais em contratos com fornecedores de serviços, controles de segurança da informação, bem como a atuação da auditoria interna, a satisfação dos usuários e a implementação do processo de negócio de aquisições públicas no sistema integrado de gestão.A equipe de fiscalização concluiu que a ECT possui ambiente organizado e boas práticas para sustentação do sistema integrado de gestão, porém com oportunidades de melhoria, destacadas como achados de auditoria no relatório que acompanha este voto. O sistema é estável e possui grau razoável de aceitação e satisfação entre os usuários.Como achados de auditoria destacam-se falhas nos processos de planejamento estratégico de TI e na gestão de riscos dessa área. Não foram definidos papéis e responsabilidades relativos à sustentação, à evolução, ao gerenciamento de riscos e à segurança do sistema integrado de gestão, nem há regulamentos que normatizem a atuação de consultorias e contratados. Os processos de gestão de requisitos, mudanças, configuração e testes associados a mudanças também foram objeto de ressalvas.Não há mecanismos para avaliação de custo-benefício dos investimentos empreendidos no sistema integrado de gestão, definição de níveis mínimos de serviços nem critérios de aceitabilidade. A métrica utilizada no modelo de remuneração do contrato de serviços de manutenção funcional do sistema integrado de gestão, embora vinculada a resultados, não está prevista ou descrita no contrato ou no respectivo edital. No caso do contrato de suporte técnico e atualização de versão do software prestado pela fabricante, a métrica de mensuração dos serviços adotada não é vinculada a resultados.Sob o aspecto de segurança, a equipe de fiscalização observou falhas na política de controle de acesso, bem como na aplicação de controles de acesso ao sistema integrado de gestão, controles físicos de proteção das informações no ambiente de produção e controles sobre atividades conflitantes. Não há plano de continuidade de TI nem política de segurança da informação.Foram identificadas boas práticas na atuação da auditoria interna, tais como a realização de auditorias, profissionais com formação na área de TI e acompanhamento de deliberações. Mesmo assim, há falhas na obtenção de dados do sistema integrado de gestão necessários aos trabalhos de auditoria e no planejamento das ações da auditoria interna por não contemplar avaliação periódica de controles de segurança e de segregação de funções associados ao sistema integrado de gestão.Na pesquisa de satisfação com 5.833 respondentes (aproximadamente 27% do total de 21.604 funcionários da ECT), 59% afirmaram que o sistema contribui para melhorar sua produtividade, 49% estão satisfeitos com o sistema, ao passo que apenas 5% estão insatisfeitos. Parcela relevante dos entrevistados (25%) reclamou de lentidão no seu uso. As causas da lentidão - se por deficiência resultante do ambiente de rede e de processamento de dados, ou de aspectos relacionados à usabilidade do sistema - não foram avaliadas. A necessidade de recadastramento de informações por falta de integração entre os dados dos sistemas legados internos e o sistema integrado de gestão foi uma das falhas apontadas pelos respondentes da pesquisa.O processo de elaboração e implementação do plano de capacitação na ECT e a divulgação de conhecimento também apresentam falhas, tendo em vista a baixa execução dos treinamentos previstos no plano de capacitação e a falta de atualização dos manuais de uso após mudanças que geram novas versões do sistema.Registro que as falhas observadas pela equipe de fiscalização quanto à implementação do processo de aquisições públicas no sistema integrado de gestão da ECT serão tratadas no processo consolidador do TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais.Ante o exposto, concordo com as determinações e recomendações propostas pela unidade técnica e voto no sentido de que seja aprovado o Acórdão que ora submeto à deliberação deste Colegiado.Acórdão:9.1. determinar à Empresa Brasileira de Correios e Telégrafos, com fundamento no art. 43, inciso I, da Lei nº 8.443/92, que elabore e aprove formalmente política de segurança da informação, em atendimento à Norma Complementar nº 3 do Gabinete de Segurança Institucional da Presidência da República, observando as práticas do item 5 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005 e à semelhança das orientações do Cobit 4.1, DS5.2 - Plano de segurança de Tecnologia da Informação (TI);