Acórdão 2613/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]2.14 - Inexistência de processo de gestão de riscos de segurança da informação (GRSIC) [...]2.14.3 - Efeito/Consequência do achado:a) desconhecimento das ameaças e dos respectivos impactos relacionados à segurança da informação (efeito real).2.14.4 - Critérios:a) Instrução Normativa 1/2008, Gabinete de Segurança Institucional - Presidência da República, art. 5º, inciso VII;b) Norma Técnica - Gabinete de Segurança Institucional - Presidência da República - Norma Complementar 04/IN01/DSIC/GSIPR;c) Norma Técnica - ITGI - Cobit 4.1, PO9.4 - Avaliação de riscos;d) Norma Técnica - NBR - 27005 - Gestão de riscos de segurança da informação.[...]2.14.7 - Conclusão da equipe:Em que pese o Gestor ter manifestado nos comentários ao relatório preliminar que o MP realiza gestão de riscos de segurança da informação desde julho de 2010, não foram apresentadas evidências de qualquer dos elementos essenciais de um processo de gestão de riscos de segurança da informação (descrição dos papéis envolvidos no GRSIC, bem como atividades e artefatos previstos, tais como plano de análise e avaliação de risco ou plano de tratamento de riscos).Ademais, o Gestor já havia manifestado após a apresentação dos resultados da auditoria, que a gestão de riscos de segurança da informação estava apenas em discussão no âmbito do comitê de segurança da informação e comunicações do Ministério.Portanto, ante a contradição nas manifestações e ausência de evidências em contrário, conclui-se que o MP não dispõe de processo de gestão de riscos de segurança da informação e comunicações.Por oportuno, registra-se que a instituição do Cetra no MP, em 25/3/2011, evidencia adoção de medida que poderá contribuir para a realização da gestão de riscos de segurança da informação no Ministério.[...]"Acórdão:9.2. determinar à Secretaria Executiva do Ministério do Planejamento, Orçamento e Gestão que:[...]9.2.5. em atenção à IN GSI/PR 1/2008, art. 5º, VII, c/c a Norma Complementar 4/IN01/DSIC/ GSIPR, implemente processo de gestão de riscos de segurança da informação;