Acórdão 2296/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica (doc. 78), com manifestação de acordo do Diretor e do Secretário (docs. 79 e 80), nos seguintes termos:"[...]7.4 Inexistência de política de controle de acesso278. A CMB não dispõe de Política de Controle de Acesso (PCA) para seus sistemas.[...]Efeitos e riscos decorrentes da manutenção da situação encontradaa) gestão do acesso que não atende aos requisitos de negócio, comprometendo a segurança de sistemas críticos;b) falta de especificação de requisitos de segurança para os sistemas;c) violações na segregação de funções;d) comprometimento de informações no sistema ERP;e) falhas em eliminar, de maneira tempestiva, contas não utilizadas, o que pode impactar na segurança da informação.Conclusão285. A CMB, em desatendimento ao item 2.6 da NC 7 GSI/PR, não possui documento consolidado e que aborde as melhores práticas administrativas relacionadas ao controle de acesso (item 281). Assim sendo, cabe determinação para formalização de PCA na estatal.[...]"Voto:Trata-se de auditoria de natureza operacional associada ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais), cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras do sistema integrado de gestão da Casa da Moeda do Brasil.Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas.A fiscalização pautou-se no planejamento do TMS 7, que, por sua vez, baseou-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005.Por meio de entrevistas, pesquisa de satisfação, teste substantivo de controles, observação direta, análise documental e análise de dados, foram avaliados aspectos de gestão e planejamento, processos e métodos de tecnologia da informação, aspectos legais em contratos com fornecedores de serviços, controles de segurança da informação, bem como a atuação da auditoria interna, a satisfação dos usuários e a implementação do processo de negócio de aquisições públicas no sistema integrado de gestão.A equipe de fiscalização concluiu que a Casa da Moeda do Brasil possui boas práticas, como por exemplo, a atuação dos comitês de governança de tecnologia da informação e da unidade de auditoria interna, porém com oportunidades de melhoria nas áreas de planejamento e processos sustentadores de tecnologia da informação, segurança da informação e análise de riscos, destacadas como achados de auditoria no relatório que acompanha este voto.Foi constatado que, no contrato do sistema integrado de gestão, não há especificação de níveis mínimos de serviços nem remuneração vinculada a resultados, enquanto que no processo de acompanhamento técnico do contrato, há falhas que contrariam a jurisprudência deste Tribunal e a Lei de Licitações, entre outros dispositivos legais. Ainda na área de contratos, foram observadas impropriedades na contratação de serviços por inexigibilidade de licitação, e no cadastramento de informações e consulta a sistemas informatizados da Administração Pública.Como achados de auditoria destacam-se também inexistência ou informalidade de processos para gestão de riscos de tecnologia da informação, gerenciamento de requisitos, gerenciamento de mudanças, testes e implantação, e configuração. Não há processo formal de avaliação de custo-benefício do investimento para contratação de novos serviços e produtos relacionados ao sistema integrado de gestão.Sob o aspecto de segurança, a equipe de fiscalização observou que não há plano de continuidade de tecnologia da informação nem políticas de segurança da informação e de controle de acesso. Não há normativos referentes a segurança física do ambiente de produção, medidas de contingência contra falta de energia elétrica e falhas em instalações, descarte de mídias, procedimentos de geração de cópias de segurança e recuperação de dados.Há falhas na aplicação de controles de acesso ao sistema integrado de gestão, no armazenamento de registros de autenticação e de transações, e no controle sobre atividades conflitantes.Para verificar as assinaturas, acesse www.tcu.gov.br/autenticidade, informando o código 48968153. TRIBUNAL DE CONTAS DA UNIÃO TC 015.574/2011-3 2A equipe de fiscalização considerou que podem ser aperfeiçoados os processos de suporte aos usuários do sistema integrado de gestão e de auditoria interna da Casa da Moeda do Brasil.Na pesquisa de satisfação com 317 respondentes (36% do total de 883 usuários do sistema integrado de gestão), 53% afirmaram que o sistema contribui para melhorar sua produtividade, 43% estão satisfeitos com o sistema, ao passo que 8% estão insatisfeitos. Parcela relevante dos entrevistados (22%) reclamou de lentidão no seu uso. As causas dessa lentidão, entretanto, não foram avaliadas pela equipe. A necessidade de recadastramento de informações por falta de integração entre os dados dos sistemas legados internos e o sistema integrado de gestão foi uma das falhas apontadas pelos respondentes da pesquisa.A incompletude do manual de usuário do sistema integrado de gestão, que não considera as customizações realizadas pela contratante para a Casa da Moeda do Brasil, também foi objeto de recomendação. Quanto à capacitação, a equipe relatou que quase metade dos respondentes da pesquisa não recebeu treinamento formal no uso do sistema integrado de gestão.Registro que as falhas observadas pela equipe de fiscalização quanto à implementação do processo de aquisições públicas no sistema integrado de gestão da Casa da Moeda do Brasil serão tratadas no processo consolidador do TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais.Ante o exposto, concordo com as determinações e recomendações propostas pela unidade técnica e voto no sentido de que seja aprovado o Acórdão que ora submeto à deliberação deste Colegiado.Acórdão:9.1. determinar à Casa da Moeda do Brasil, [...], que:[...]9.1.11. elabore, aprove formalmente e dê ampla divulgação a uma política de controle de acesso, em obediência à Norma Complementar nº 7, item 2.6, do Gabinete de Segurança Institucional da Presidência da República, observando as diretrizes e recomendações dessa norma e do item 11.1.1 da NBR ISO/IEC 27002:2005;