Acórdão 758/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]3.7 - Inexistência de Política de Segurança da Informação e Comunicações (POSIC).3.7.1 - Situação encontrada:[...]Contudo, não foi apresentada a política de segurança da informação nos moldes definidos pela Norma Complementar 03/IN01/DSIC/GSIPR. Essa norma recomenda que na elaboração da POSIC sejam incluídos itens como escopo, conceitos e definições, referências legais, princípios, diretrizes gerais, penalidades, competências e responsabilidades e atualização.A definição da POSIC também pode ser encontrada no relatório que subsidiou o voto condutor do Acórdão 1603/08 - Plenário, da seguinte forma: `A política de segurança da informação é o documento que contém as diretrizes da instituição quanto ao tratamento da segurança da informação. Em geral, esse é o documento da gestão da segurança da informação a partir do qual derivam os documentos específicos para cada meio de armazenamento, transporte, manipulação ou tratamento específico da segurança da informação em TI.'Assim, a POSIC possui as diretrizes superiores, sendo um documento de gestão. A partir do qual, derivam todos os demais. O MRE apresentou, conforme mencionado, diversos documentos específicos, que tratam de segurança da informação, contudo, não apresentou a norma superior.[...]3.7.2 - Efeitos/Consequências do achado:Falhas nos procedimentos de segurança. (efeito potencial).[...]3.7.5 - Conclusão da equipe:Dessa forma, apesar de as evidências apresentadas tratarem diretamente de regras sobre segurança da informação, em especial da sua operacionalização, elas não substituem a Política de Segurança da Informação estabelecida na Norma Complementar 03/IN01/DSIC/GSIPR, a qual define as diretrizes superiores e orienta os demais normativos internos do órgão.[...]"Acórdão:9.2 - determinar ao Ministério das Relações Exteriores que: [...]9.2.6 - em atenção à Instrução Normativa GSI/PR 1/2008, art. 5º, VII, implante Política de Segurança da Informação e Comunicações, com observância das práticas da Norma Complementar 03/IN01/DSIC/GSIPR;