Acórdão 2831/2011
Relatório:4. A partir dos trabalhos realizados, foram encontrados os seguintes achados de auditoria, alguns deles, inclusive, não decorrentes das questões de auditoria formuladas (fls. 80/96):"[...]2.2 - Ausência de política de controle de acesso (PCA) e de gerenciamento de acesso do usuário2.2.1 - Situação encontrada:46. A norma NBR ISO/IEC 27002:2005, no item 11.1.1 - Política de controle de acesso recomenda que as regras de controle de acesso e direitos para cada usuário ou grupo de usuários sejam expressas em uma política de controle de acesso (PCA), estabelecendo regras para obtenção de acesso a informações e recursos de TI. Na sequência, em seu item 11.2 - Gerenciamento de acesso do usuário, a norma recomenda ainda que procedimentos formais sejam implementados para controlar a distribuição de direitos de acesso a sistemas de informação e serviços.47. No âmbito do Dnit, a situação encontrada foi de inexistência de PCA estabelecida, de procedimentos de gerenciamento de acesso de usuários do Siac ou de quaisquer procedimentos formais que disciplinem o controle de acesso lógico ao sistema.48. Por meio do Ofício de Requisição 11-491/2010 (fl. 35), solicitou-se a PCA estabelecida pelo Dnit, bem como procedimentos de gerenciamento de acesso de usuários do Siac. No Memorando-CGMI/Dnit 253/2010, de 17/6/2010 (anexo 1, fl. 95), encaminhado em resposta, a Autarquia informa de maneira genérica que não utiliza política de acesso ao Siac em conformidade com a norma NBR ISSO/IEC 27.002/2005, nem possui instrução de serviço interna disciplinando o acesso lógico ao sistema.49. Durante a execução da auditoria, verificou-se também que a inclusão de usuários e concessão de perfil, via de regra, ocorre após as unidades solicitarem à CGMI (Coordenação-Geral de Modernização e Informática) a criação de novo usuário com o perfil desejado. Assim sendo, como a CGMI sequer possui uma norma como referência para a criação de usuários e concessão de perfis, as permissões são concedidas a critério das unidades solicitantes.50. A ausência de procedimentos padronizados relativos a controle de acesso ao Siac é consequência da ausência de uma política de controle de acesso formalmente estabelecida, podendo trazer dificuldade de responsabilização, risco de acessos não autorizados e de vazamento de informações. Assim, para assegurar a proteção dos ativos de informação do Dnit, sobretudo no tocante ao Siac, uma política de controle de acesso deve ser formalmente aprovada e disseminada na entidade.51. Como será relatado adiante, a ausência de PCA e de procedimentos de gerenciamento de usuários resultou em um cenário de ex-servidores e ex-terceirizados com usuários do Siac ainda ativos, com direitos de acesso em desacordo com as regras de segregação de funções e incompatíveis com as competências da unidade a que pertencem, entre outras impropriedades.52. Com efeito, torna-se mandatória a edição, aprovação, formalização e disseminação de uma política de controle de acesso (PCA) a informações e recursos de TI, sobretudo ao Siac, além de procedimentos de gerenciamento de acesso dos usuários do Siac, que, conforme informado pela entidade, representa seu principal sistema informatizado. Registre-se que os temas estão positivados pela Norma Complementar 07/IN01/DSIC/GSI/PR, itens 2.6 e 5.1.[...]2.2.3 - Efeitos/Consequências do achado:56. procedimentos não padronizados relativos a controle de acesso (efeito real);57. deficiência nos controles de acesso aos sistemas e recursos de TI (efeito real);58. dificuldade de responsabilização (efeito potencial);59. risco de acessos não autorizados e de vazamento de informações (efeito potencial).[...]2.2.6 - Conclusão da equipe:66. O Dnit não possui procedimentos padronizados que controlem o acesso dos usuários ao Siac, nem uma política de controle de acesso a informações e recursos de TI, sendo então necessária a edição, aprovação, formalização e disseminação de uma política de controle de acesso a informações e recursos de TI, bem como a implementação de processos de registro de usuário, gerenciamento de senhas, gerenciamento de privilégios e análise crítica dos direitos de acesso, com vistas a garantir a efetividade dos procedimentos de controle de acesso operacionalizados para esses processos.[...]"Acórdão:9.2. determinar ao Dnit que:9.2.1. em atenção ao princípio da legalidade constante do art. 37, caput, da Constituição Federal:[...]9.2.2. em atenção à Norma Complementar 07/IN01/DSIC/GSI/PR, item 5.1, implante processos formais de registro de usuário, gerenciamento de senhas, gerenciamento de privilégios e análise crítica dos direitos de acesso, com vistas a garantir efetividade dos procedimentos de controle de acesso operacionalizados para esses processos, com observância das recomendações do item 11.2 e subitens da NBR ISO/IEC 27002:2005 (achado 2.2 do relatório de auditoria);9.2.3. em atenção à Instrução Normativa GSI/PR 1/2008, art. 5º, VII, in fine, e à Norma Complementar 07/IN01/DSIC/GSI/PR, item 2.6, defina política de controle de acesso a informações e recursos de TI, com base nos requisitos de negócio e de segurança da informação da entidade, com observância das orientações do item 11.1.1 da NBR ISO/IEC 27002:2005 (achado 2.2 do relatório de auditoria);