Acórdão 502/2009
Relatório:4. O trabalho realizado foi resumido pela equipe da unidade técnica na forma que segue.'[...]16. Adicionalmente, a equipe de auditoria analisou a documentação dos diversos sistemas informatizados da ANS relacionados direta ou indiretamente com o processo de ressarcimento ao Sistema Único de Saúde (SUS), oportunidade em que foi possível verificar que a Agência não dispõe atualmente de uma adequada política de segurança da informação. Ademais, observou-se fragilidades na área de sistemas da Agência, tais como lacunas nos termos de responsabilização, inexistência de mecanismos de controle de senha, entre os quais a não exigência de mudança periódica da senha, ausência de restrição vedando a utilização de senhas fracas ou reutilização de senhas pelo mesmo usuário e inexistência de revisão periódica das capacidades de acesso aos sistemas de informação da ANS.'Acórdão:9.2. DETERMINAR à Agência Nacional de Saúde Suplementar - ANS que:[...]9.2.9. institua adequada política de segurança da informação, mediante revisão da Resolução Administrativa nº 5, de 10 de maio de 2004, devendo implementar necessariamente mecanismos de controle de senha, restrição de acesso aos sistemas conforme perfis dos usuários e revisão periódica das capacidades de acesso, guiando-se, se assim o desejar, pelo manual `Boas práticas em Segurança da Informação', 2ª edição, do Tribunal de Contas da União;