Acórdão 380/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos (...):"[...]3.18 - Inexistência de inventário dos ativos de informação.[...]3.18.4 - Efeitos/Conseqüências do achado:Dificuldade de recuperação de ativo de informação. (efeito potencial) [...]3.18.7 - Conclusão da equipe:O Inventário de Ativos faz o levantamento dos ativos de informação mais relevantes da organização, assim entendidos como as informações propriamente ditas, os hardwares, os softwares e as pessoas envolvidas.Assim, nota-se que o inventário de ativos possui alcance além de um inventário meramente tecnológico, como apresentou o MCT, nos trabalhos de campo. No mais, o inventário define responsabilidades, subsidia a classificação dos ativos e fornece informações para a política de segurança do órgão.Logo, a correta definição do inventário de ativos é importante, pois serve de base para o desenvolvimento dos controles de segurança. Mais uma vez, a governança de TI apresenta-se falha no âmbito do MCT, onde a ausência de controles gerais ligados à segurança da informação demonstra uma série de vulnerabilidades na regular consecução dos objetivos da Entidade.[...]"Acórdão:9.2. determinar ao MCT que:[...]9.2.10. em atenção ao disposto na Instrução Normativa - GSI/PR 1/2008, art. 5º, VII, c/c a Norma Complementar 04/IN01/DSIC/GSIPR, item 5.2.1, estabeleça procedimento de inventário de ativos de informação, de maneira a que todos os ativos de informação sejam inventariados e tenham um proprietário responsável, com observância das práticas contidas no item 7.1 da NBR ISO/IEC 27.002;