Acórdão 594/2011
Relatório:"3 - ACHADOS DE AUDITORIA[...]3.13 - Falhas no Comitê de Segurança da Informação e Comunicações.3.13.1 - Situação encontrada:[...]Segundo as normas do Gabinete de Segurança Institucional da Presidência da República, a criação de um Comitê de Segurança da Informação e Comunicações integra a implantação da Política de Segurança da Informação e Comunicações no âmbito dos órgãos e entidades da Administração Pública Federal.Segundo o GSI, as atribuições básicas desses Comitês são: assessorar na implementação das ações de segurança da informação e comunicações no órgão ou entidade; constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação e comunicações; e propor normas e procedimentos internos relativos à segurança da Informação e comunicações, em conformidade com as legislações existentes sobre o tema.No FNDE, o Comitê de Segurança da Informação tem suas competências estabelecidas pela Norma NS-001-2002-SEXEC, competências essas que não estão sendo desempenhadas pela entidade.[...]Do exame da documentação, observou-se que apenas dois membros do Comitê, tal como instituído atualmente, participaram dessa reunião. Dessa forma, verifica-se que não há deliberações desse Comitê, embora esteja instituído formalmente.[...]3.13.3 - Causas da ocorrência do achado:Deficiências de controles3.13.4 - Efeitos/Conseqüências do achado:Não otimização das ações de segurança da informação. (efeito potencial) [...]3.13.8 - Conclusão da equipe:A documentação obtida nos trabalhos de auditoria indica que o Comitê de Segurança da Informação não está atuando conforme a Norma de Segurança do FNDE NS-001-2002-SEXEC (item 2.1), que define suas responsabilidades, e a legislação aplicável. Essa situação demanda a proposição de determinação àquela autarquia, para que aperfeiçoe seu processo de segurança da informação.[...]"Acórdão:9.4. determinar ao FNDE que:[...]9.4.6. em atenção à IN GSI/PR 1/2008, art. 5º, VI, e art. 6º, assegure o funcionamento do Comitê de Segurança da Informação e Comunicações, especialmente no tocante ao monitoramento da segurança corporativa, à expedição de normas de segurança da informação, à realização de reuniões periódicas, com registro de deliberações em ata, e a outras atribuições correlatas constantes da mencionada IN;