Acórdão 2523/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica (doc. 19), com manifestação de acordo do Diretor e do Secretário (docs. 20 e 21), nos seguintes termos:"[...]182. A política de controle de acesso também é considerada um controle importante no âmbito da segurança da informação das corporações. Foi avaliada, no escopo deste trabalho, e a exemplo dos planos de continuidade de TI e de segurança da informação, a existência formal de política de controle de acesso e, caso existisse, algumas características do seu conteúdo.183. Nesse caso, verificou-se situação praticamente idêntica às anteriores. Em duas empresas fiscalizadas, não existia política de controle de acesso formal estabelecida e divulgada no âmbito corporativo. Nas outras três unidades fiscalizadas, foram encontrados problemas relacionados basicamente à atualização da política e à ausência de conteúdo recomendado pelas boas práticas e considerado relevante pela equipe de auditoria.[...]185. Ressalta-se também o fato de as equipes de auditoria terem evidenciado, em três das cinco fiscalizações, falhas nos controles de acesso físico ao datacenter das empresas, tratando-se basicamente de desconformidades nos controles de acesso ao ambiente de produção dos sistemas ERP em relação às melhores práticas sugeridas pela Norma NBR ISO/IEC 27.002:2005.186. Destaque negativo surge do fato de que todas as fiscalizações constataram falhas na aplicação de controles de segurança relacionados ao acesso e ao controle de atividades conflitantes no sistema ERP.187. Na verificação do funcionamento dos controles de segurança relacionados ao sistema ERP, foram testados a existência de acesso indevido aos recursos do sistema ERP, o procedimento de concessão e revogação de direitos de acesso, a existência de logs e a quantidade de usuários com perfil de gerenciamento de usuários. Esses controles visam primordialmente mitigar os riscos de acesso indevido e de execução de operações errôneas ou suspeitas no ambiente do sistema ERP.188. Preocupações com a rastreabilidade e o efetivo controle do acesso dos usuários às operações do sistema devem ser considerados não somente no caso dos sistemas integrados do tipo ERP, mas em todos os grandes sistemas corporativos. O risco de dano em virtude de operação executada de maneira errônea por erro, culpa ou dolo do usuário deve ser mitigado com a elaboração e monitoramento de ferramentas que permitam rastrear as atividades do usuário no sistema, bem como garantir o acesso aos recursos estritamente necessários para a execução de suas tarefas.189. Também foram constatadas nas fiscalizações falhas nos controles de segregação das funções executadas pelos usuários do sistema ERP. Verificou--se a existência e suficiência de mapa para identificar operações previstas no sistema ERP conflitantes com outras.[...]"Acórdão:9.1. determinar ao Departamento de Coordenação e Governança das Empresas Estatais, [...], que exija dos órgãos e entidades sob sua jurisdição, com sistemas integrados de gestão já implantados ou com implantação planejada:[...]9.1.2. política de controle de acesso formalmente aprovada, em obediência à Norma Complementar nº 7, item 2.6, do Gabinete de Segurança Institucional da Presidência da República, observando as diretrizes e recomendações dessa norma e do item 11.1.1 da NBR ISO/IEC 27002:2005;