Acórdão 1328/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica (doc. 111), com manifestação de acordo do Diretor e do Secretário (docs. 112 e 113), nos seguintes termos:"[...]Inexistência de política de controle de acessoA Eletrobrás não possui política de controle de acesso em conformidade com o que dispõem a Norma Complementar 07/IN01/DSIC/GSI/PR e as boas práticas da Norma Técnica ABNT NBR ISO/IEC 27.002:2005.[...]Análise das evidênciasA Norma Técnica ABNT NBR ISO/IEC 27.002:2005, em sua seção 11.1 - Requisitos de negócio para controle de acesso, recomenda que o acesso à informação seja controlado com base em requisitos de negócio e de segurança da informação.No item 11.1.1 - Política de controle de acesso, a norma recomenda que regras de controle de acesso e direitos de usuário ou grupos de usuários sejam expressas claramente em uma política que leve em consideração, dentre outros aspectos, os requisitos de segurança de aplicações de negócios individuais, os riscos aos quais as informações estão expostas e a classificação da informação. A norma recomenda também que essas regras sejam apoiadas por procedimentos formais e responsabilidades claramente definidas.Além disso, a Norma Complementar 07/IN01/DSIC/GSIPR estabelece diretrizes para implementação de controles de acesso relativos à Segurança da Informação e Comunicações nos órgãos e entidades da Administração Pública Federal, direta e indireta.[...]Efeitos e riscos decorrentes da manutenção da situação encontrada- risco de descumprimento dos requisitos de negócio e comprometimento da segurança de sistemas críticos;- falta de especificação clara de requisitos de segurança para os sistemas;- elevação do risco de realização de operações não autorizadas por falta de processo estabelecido que discipline a segregação de funções;- potencial comprometimento de informações do sistema ERP.[...]."Voto:Trata-se de auditoria de natureza operacional associada ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais), cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras do sistema integrado de gestão das Centrais Elétricas Brasileiras S.A. (Eletrobras). Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas. A fiscalização pautou-se no planejamento do TMS 7, que, por sua vez, baseou-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology  (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005.Acórdão:9.1. determinar à Eletrobras, [...], que:[...]9.1.3. elabore e aprove formalmente política de controle de acesso, em atendimento à Norma Complementar nº 7 do Gabinete de Segurança Institucional da Presidência da República, observando as práticas do item 11.1 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005.