Acórdão 309/2009
Relatório:Achado 2.3 - Falhas no controle de acesso ao sistema DOF.[...]93. [...], constatou-se que não há política de controle de acesso formalmente definida que consolide diretrizes, detalhe procedimentos e defina outros requisitos necessários à PCA, [...]. Da mesma forma, verificou-se que não existe Norma de Uso do Serviço para o sistema DOF, [...].94. [...]. Ficou constatado que não há procedimento formal definido para concessão e revogação de acesso ao sistema e não é assinado termo de responsabilidade pelos usuários informando seus direitos e deveres e indicando que eles entendem as condições de acesso.Voto:Paralelamente, os aspectos técnicos do sistema evidenciam falta de conformidade com as normas internacionais de boas práticas de gestão da segurança da informação, que podem comprometer, de modo isolado ou em conjunto com outros fatores, toda a segurança e integridade dos dados.Acórdão:9.1. recomendar ao Ibama que:[...]9.1.30. elabore, aprove formalmente, divulgue e implemente política de controle de acesso, conforme item 11.1.1 da NBR ISO/IEC 17799:2005;9.1.31. defina processo de autorização formal para concessão e revogação de acesso, conforme item 11.2.2 da NBR ISO/IEC 17799:2005;9.1.32. torne obrigatória, no processo de concessão de acesso, a assinatura de termo de compromisso pelos usuários do sistema DOF, conforme item 11.2.1, alíneas 'd' e 'e' da NBR ISO/IEC 17799:2005;