Acórdão 609/2011
Proposta de Deliberação:17. Não há uma política de segurança de informação estabelecida e incentivada pela alta direção da autarquia. Os riscos de fraude, perda e manipulação de dados são potencializados:"[...]3.21. Outra ação importante na área de TI é a Política de Controle de Acesso - PCA. O controle de acesso é composto por uma série de medidas para autenticar, autorizar e auditar usuários de sistemas de informação. Autenticação é a funcionalidade que permite que apenas usuários devidamente cadastrados utilizem os sistemas. Autorização é garantir que usuários autenticados somente terão acesso às operações que lhes são permitidas. Por fim, auditagem é a função que permite que os administradores do sistema saibam o que cada usuário fez no sistema e quando alguma operação foi efetuada. (...) 3.23. Por meio de entrevistas com os usuários e técnicos dos sistemas, constatou-se que não há política de controle de acesso formalmente definida que consolide diretrizes, detalhe procedimentos e defina outros requisitos necessários à PCA, conforme recomendado pelo item 11.1.1 da NBR ISO/IEC 27002:2005. (...) "Acórdão:9.1. alertar ao Instituto Nacional de Colonização e Reforma Agrária que:[...]9.1.3. não está institucionalizada a política de controle de acesso (PCA), conforme estabelecido na NBR ISO/IEC 27002:2005, e que a inexistência dessa estrutura acarreta as impropriedades identificadas no item 17 da proposta de deliberação;