Acórdão 2938/2010
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]3.18 - Inexistência de processo de gestão de riscos de segurança da informação (GRSIC).3.18.1 - Situação encontrada:Não há, no âmbito do TRT/2ª Região, medologia formal para gestão de riscos de segurança da informação. Ressalte-se que a análise de riscos na área de TI contribui para garantir a eficiência da instituição ao identificar os principais riscos e possíveis impactos. É importante definir controles para mitigar a ocorrência de incidentes sobre as áreas vulneráveis e estabelecer processos a serem executados caso os riscos venham a se tornar realidade.[...]3.18.4 - Efeitos/Consequências do achado:Desconhecimento das ameaças e respectivos impactos relacionados à segurança da informação (efeito real) [...]"Acórdão:9.2. recomendar ao TRT/SP que:[...]9.2.7 - em atenção ao disposto na Resolução nº 90/2009, art. 10, do CNJ, implemente processo de gestão de riscos de segurança da informação, a fim de, entre outros objetivos, avaliar regularmente a probabilidade e o impacto dos risco identificados, utilizando métodos qualitativos e quantitativos, observando as práticas contidas no Cobit 4.1, PO9.4 - Avaliar e gerenciar riscos de TI e na NBR 27005 - Gestão de Riscos de Segurança da Informação (item 3.18);