Acórdão 1609/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]7.5 Falha na aplicação de controles de segurança relacionados ao acesso ao sistema ERP251. No âmbito da Petrobras Distribuidora, constatou-se que os acessos ao sistema ERP por funcionários desligados da empresa ou que mudaram de lotação não são imediatamente removidos ou bloqueados, conforme preconiza a norma ABNT NBR ISO/IEC 27.002:2005. Além disso, nos casos em que o empregado tem a sua lotação alterada, o prazo para exclusão dos acessos, definido na política de gestão dos perfis de acesso ao SAP, é incompatível com o prazo adotado na prática.[...]Efeitos e riscos decorrentes da manutenção da situação encontradaa) potenciais falhas de segurança em razão da não eliminação tempestiva de acessos de contas de usuários não mais utilizadas;b) risco de o sistema ERP ter informações comprometidas;c) possíveis brechas de segurança no sistema ERP.Conclusão262. A Petrobras Distribuidora possui normas que tratam do controle de acesso aos recursos de TI da empresa. No entanto, convém atentar para as melhores práticas contidas na ABNT NBR ISO/IEC 27.002:2005 no que diz respeito à remoção imediata de direitos de acesso quando do desligamento ou alteração de lotação de funcionário, pois isso pode comprometer as informações do sistema ERP da BR. Também é recomendável que a companhia revise o item 6.10 da Política para Gestão dos Perfis de Acesso ao SAP R/3, visando determinar que os direitos de acesso de um usuário sejam imediatamente removidos quando este tiver sua lotação alterada, conforme dispõe o item 11.2.1.h da ABNT NBR ISO/IEC 27.002:2005.Acórdão:9.2. recomendar à Petrobras Distribuidora que:[...]9.2.13. aperfeiçoe os controles de segurança relacionados ao acesso ao sistema integrado de gestão, considerando as práticas do item 11.2 da ABNT NBR ISO/IEC 27.002:2005;9.2.14. revise o item 6.10 da política para gestão dos perfis de acesso ao sistema integrado de gestão, de forma que direitos de acesso sejam imediatamente removidos na ocorrência de alteração de lotação do usuário, conforme o item 11.2.1.h da ABNT NBR ISO/IEC 27.002:2005.