Acórdão 1609/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]3.3 Falhas na gestão de riscos de TI70. A Petrobras Distribuidora dispõe de normativos que não estabelecem plenamente um processo de gestão de riscos de TI. Os relatórios de riscos encaminhados pela empresa consideram apenas os eventos associados ao impacto que eventuais falhas em ativos de TI - tais como equipamentos servidores, firewall, sistemas operacionais, entre outros - possam ocasionar nos serviços de TI fornecidos pela empresa. O relatório enviado abstém-se de avaliar outros tipos de ameaças que possam impactar a disponibilidade de sistemas importantes da organização, a exemplo do sistema ERP. Ademais, os riscos de TI não estão claramente identificados, tampouco sua forma de tratamento.[...]Causaa) metodologia de análise de risco de TI empregada pela empresa contratada considera apenas riscos relacionados a falhas nos ativos de hardware.Efeitos e riscos decorrentes da manutenção da situação encontradaa) proteção potencialmente insuficiente dos ativos de informação;b) provável falta de comprometimento da gestão na segurança organizacional;c) prováveis dificuldades no entendimento do apetite a risco da organização;d) riscos de TI e organizacionais podem ser gerenciados independentemente;e) impacto de um risco de TI para o negócio pode não ser considerado;f) risco pode ser notado como uma ameaça única ao invés de ser tratado como parte de um contexto geral;g) suporte insuficiente para a avaliação do risco pelos gestores;h) tratamentos podem ser ineficazes para os riscos identificados;i) riscos de negócio residuais podem não ser identificados;j) provável uso ineficiente dos recursos para responder aos riscos;k) controles de mitigação de riscos podem não funcionar apropriadamente;l) controles compensatórios podem ficar desassociados dos riscos identificados.Acórdão:9.2. recomendar à Petrobras Distribuidora que:[...]9.2.3. aperfeiçoe a gestão de riscos de Tecnologia da Informação, à semelhança das orientações do Cobit 4.1, PO4.8 - Responsabilidade por riscos, segurança e conformidade, e objetivos de controle do processo PO9 - Avaliar e gerenciar os riscos de TI;