Acórdão 465/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]3.16 - Inexistência de processo de gestão de riscos de segurança da informação (GRSIC) 3.16.1 - Situação encontrada:A Anatel declarou, [...], que não implementou formalmente o processo de análise dos riscos aos quais a informação crítica para o negócio está submetida, considerando, pelo menos, confidencialidade, integridade e disponibilidade [...].[...]3.16.2 - Objetos nos quais o achado foi constatado:Processos corporativos de segurança da informação.3.16.3 - Efeitos/Conseqüências do achado:Desconhecimento das ameaças e respectivos impactos relacionados à segurança da informação (efeito potencial).[...]3.16.7 - Conclusão da equipe:Diante das ocorrências verificadas, pode-se concluir que a Anatel não implementou formalmente e não executa um GRSIC.[...]"Voto:8. Assim, por considerar papel deste Tribunal a constante indução de melhoria da gestão estatal e por estar integralmente de acordo com as medidas aventadas pela [Unidade Técnica do TCU] - especialmente no tocante ao crucial tema da segurança da informação, que reputo essencial para adequado funcionamento das organizações públicas e para defesa da intimidade dos cidadãos que com elas interagem - acolho as manifestações daquela [Unidade] e voto pela adoção da minuta de acórdão que trago ao escrutínio deste colegiado.Acórdão:9.1. determinar à Anatel que:[...]9.1.7. em atenção à Instrução Normativa GSI/PR 01/2008, art. 5º, VII, c/c a Norma Complementar 04/IN01/DSIC/GSIPR, implemente processo de gestão de riscos de segurança da informação;