Acórdão 309/2009
Relatório:95. Em acesso direto ao sistema DOF, utilizando perfil de acesso criado para a equipe de auditoria, foi verificado que não existem limitações na quantidade de tentativas de acesso sem sucesso ao sistema, o que contraria o item 11.5.1 da NBR ISO/IEC 17799:2005. Isso permite que sejam feitas várias tentativas de acesso com o perfil de um mesmo usuário até que se consiga descobrir a sua senha, por meio de aplicativos facilmente conseguidos no mercado, em procedimento conhecido como "ataque de força bruta".[...]97. Para o primeiro acesso ao sistema, é fornecida uma senha temporária padrão, cuja regra de formação, disponível no site de acesso ao sistema DOF, é composta pelos seis primeiros dígitos do cadastro de pessoa física (CPF) do usuário. Dessa maneira, caso algum usuário tenha um perfil de acesso cadastrado e não troque a senha temporária no sistema de forma tempestiva, uma pessoa com más intenções pode acessar seu perfil, utilizando a senha temporária padrão (seis primeiros dígitos do CPF), e efetuar operações indevidas em nome daquele usuário.98. Ainda com relação às senhas dos usuários, o sistema DOF não verifica sua qualidade e permite, assim, que senhas fracas, de fácil dedução, sejam utilizadas para acesso. Outra situação encontrada foi a não-exigência de troca periódica de senhas e o uso de uma mesma senha por tempo indeterminado, o que vai contra as diretrizes do item 11.5.3 da NBR ISO/IEC 17799:2005.Voto:Paralelamente, os aspectos técnicos do sistema evidenciam falta de conformidade com as normas internacionais de boas práticas de gestão da segurança da informação, que podem comprometer, de modo isolado ou em conjunto com outros fatores, toda a segurança e integridade dos dados.Acórdão:9.1. recomendar ao Ibama que:[...]9.1.34. defina formalmente política de gerenciamento das senhas dos usuários do sistema DOF e adote sistema que assegure a sua qualidade, conforme itens 11.2.3 e 11.5.3 da NBR ISO/IEC 17799:2005;