Acórdão 2938/2010
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]3.13 - Inexistência de classificação da informação.3.13.1 - Situação encontrada:Não há procedimentos padronizados adotados no órgão auditado para classificação das informações. No entanto, a classificação da informação é um dos aspectos que devem ser considerados no processo de segurança da informação, pois as informações, tanto em meio físico quanto eletrônico, possuem necessidades de proteção quanto à confidencialidade, integridade e disponibilidade. Em geral, a classificação dada à informação é uma maneira de determinar como esta informação vai ser tratada e protegida. Assim, sabendo o nível de classificação de cada informação com que o órgão trabalha, este pode gerar políticas de segurança da informação otimizadas e específicas para cada recurso.[...]3.13.4 - Efeitos/Consequências do achado:Acesso a informações por parte de pessoas não autorizadas (efeito potencial) Risco de divulgação indevida de informação restrita (efeito potencial) [...]"Acórdão:9.2. recomendar ao TRT/SP que:[...]9.2.5 - em consonância com o princípio constitucional da eficiência, estabeleça critérios de classificação das informações, a fim de que possam ter tratamento diferenciado conforme seu grau de importância, criticidade e sensibilidade, observando o disposto no item 7.2 (Classificação da informação) da NBR ISO/IEC nº 27002 e no item PO2.3 (Esquema de Classificação de Dados) do Cobit 4.1 (item 3.13);