Acórdão 1609/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]7.1 Falhas no plano de continuidade de TI200. A Petrobras Distribuidora dispõe de planos e estratégias de contingência que visam preparar a empresa para enfrentar variados riscos de interrupção de serviços de TI. No entanto, não há plano formal que reúna o conjunto de requisitos de continuidade e ações para garantia da manutenção dos serviços de TI utilizados pela companhia, em especial, que garanta a continuidade da disponibilidade do sistema ERP em caso de desastre ou dano significativo às operações. Ademais, os planos de recuperação de desastres (infraestrutura Active Directory e SAP), elaborados em 2006, não têm sido atualizados nem testados.[...]Análise das evidências201. O desenvolvimento de um plano de continuidade de TI (PCTI) visa organizar e projetar a estrutura de TI para reduzir os impactos decorrentes de interrupção em processos de negócio fundamentais. Os planos permitem estabelecer requisitos de continuidade, recursos disponíveis e processos para recuperação dos serviços de TI que suportam aqueles processos de negócio classificados como essenciais. De acordo com o DS4.2 do Cobit, os planos também devem abranger manuais de uso, papéis, responsabilidades, procedimentos, processos de comunicação e abordagens de teste. A Norma NBR ISO/IEC 27.002:2005, item 14.1.3, também apresenta disposições semelhantes e complementares relativas a planos de continuidade da segurança da informação. O item 8.7.2 da Norma NBR ISO/IEC 15.999-1:2007, por sua vez, dispõe a respeito do conteúdo desejável de um plano de continuidade de negócios (PCN).[...]Efeitos e riscos decorrentes da manutenção da situação encontradaa) planos de recuperação falham ao refletir as mudanças tecnológicas e de negócio;b) deficiências nos planos de recuperação;c) planos de recuperação desatualizados e que não refletem a arquitetura corrente;d) possíveis falhas na recuperação de sistemas e serviços de TI de maneira oportuna em caso de desastre real;e) falta de competências desenvolvidas para a recuperação no caso de desastre real.Conclusão211. Apesar de existirem diversos planos e estratégias de contingências, foram identificadas falhas tais que representam riscos em uma eventual utilização na prática. É recomendável que a BR elabore e aprove formalmente um Plano de Continuidade de TI, que contemple diretrizes e procedimentos relacionados à previsão e recuperação de desastres, bem como as estratégias de atualização e testes periódicos.Acórdão:9.2. recomendar à Petrobras Distribuidora que:[...]9.2.9. elabore e aprove formalmente plano de continuidade de Tecnologia da Informação, observando as práticas dos itens 8.7.2, da NBR ISO 15.999-1:2007, 14.1.3, da NBR ISO 27.002:2005, e à semelhança das orientações do Cobit 4.1, DS4.2 - Planos de continuidade de TI;