Acórdão 592/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos (...):"2 - ACHADOS DE AUDITORIA[...]2.11 - Inexistência de inventário dos ativos de informação.2.11.1 - Situação encontrada:[...]Conforme dispõe a Norma Técnica NBR-ISSO/IEC 27002, no item 7.1.2, convém que todos os ativos sejam claramente identificados e um inventário de todos os ativos importantes seja estruturado e mantido. Segundo a norma 27002-2 (item 7.1), o inventário de ativos deve incluir todas as informações necessárias que permitam recuperar de um desastre, não se tratando apenas de bens constantes no patrimônio. Ainda segundo a referida norma, por Ativo entende-se qualquer componente (seja humano, tecnológico, software ou etc,) que sustenta um ou mais processos de negócio de uma unidade ou área de negócio. Dessa forma, os ativos englobam, além dos itens de hardware, os programas aplicativos, os sistemas operacionais, as instalações físicas e as pessoas, entre outros. São considerados elementos essenciais de inventário de ativos:a) lista de ativos;b) tipo do ativo:c) formato;d) localização;e) informações sobre cópia de segurança;f) importância do ativo para o negócio;g) proprietário do ativo.[...][...]2.11.3 - Causas da ocorrência do achado:Deficiências de controles2.11.4 - Efeitos/Consequências do achado:Dificuldade de recuperação de ativo de informação. (efeito potencial) [...]2.11.8 - Conclusão da equipe:A equipe evidenciou que o DNOCS não implementou formalmente processo corporativo de inventário de ativos de informação.[...]"Acórdão:9.1. determinar ao Dnocs que:[...]9.1.6. em atenção à Norma Complementar 4/IN01/DSIC/GSIPR, item 5.2.1, estabeleça procedimento de inventário de ativos de informação, de maneira a que todos os ativos de informação sejam inventariados e tenham um proprietário responsável, observando as práticas contidas no item 7.1 da NBR ISO/IEC 27002;