Acórdão 380/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos (fls. 66/105):"[...]3.14 - Inexistência de Política de Segurança da Informação e Comunicações (POSIC).[...]3.14.4 - Efeitos/Conseqüências do achado:Falhas nos procedimentos de segurança. (efeito potencial) [...]3.14.7 - Conclusão da equipe:Segundo o inciso II, art. 2 da Instrução Normativa n 01, [de 13/6/2008], do Gabinete de Segurança Institucional da Presidência da República - GSI/PR, Política de Segurança da Informação e Comunicações - POSIC é o documento aprovado pela autoridade responsável pelo órgão ou entidade da Administração Pública Federal, direta e indireta, com o objetivo de fornecer diretrizes, critérios e suporte administrativo suficientes à implementação da segurança da informação e comunicações.O MCT apresentou a minuta do seu Plano Diretor de Segurança da Informação, datado de agosto de 2008, em que consta, no item 11.1.1 do citado plano, a justificativa de que a alta direção deve estabelecer uma política clara e demonstrar apoio e comprometimento com a segurança da informação por meio da emissão e manutenção de uma política de segurança da informação para todo o Ministério da Ciência e Tecnologia. O documento da política deve ser aprovado pela direção, publicado e comunicado, de forma adequada, para todos os usuários.Com isso, resta evidente a inexistência, no âmbito do MCT, da POSIC, conforme normatização efetuada pela IN GSI/PR n 01, de 2008.Conforme a norma complementar n 3, de 30 de junho de 2009, do GSI/PR, a Política de Segurança da Informação e Comunicações declara o comprometimento da alta direção organizacional com vistas a prover diretrizes estratégicas, responsabilidades, competências e o apoio para implementar a gestão de segurança da informação e comunicações nos órgãos ou entidades da Administração Pública Federal, direta e indireta.Logo, a ausência da POSIC impede o estabelecimento e implementação das diretrizes de segurança, com vistas a viabilizar e assegurar a disponibilidade, integridade, confidencialidade e autenticidade da informação, o que deixa o órgão ou entidade vulnerável aos riscos inerentes à utilização e contratação de serviços de TI, a exemplo de ausência de normas de segurança para contratos de prestação de serviço, segurança dos ativos da entidade, classificação da informação e normas sobre gestão da continuidade operacional.[...]"Acórdão:9.2. determinar ao MCT que:[...]9.2.7. em atenção ao disposto na Instrução Normativa - GSI/PR 1/2008, art. 5º, VII, implante política de segurança da informação e comunicações, com observância das práticas contidas na Norma Complementar 03/IN01/DSIC/GSIPR;