Acórdão 906/2009
Relatório:2. Transcrevo abaixo, o relatório produzido pela Sefti, com os devidos ajustes de forma:'[...]Inexistência de políticas de segurança da informação formalmente definidas no âmbito do MDS[...]5.4 O item 2.3 da cartilha Boas Práticas em Segurança da Informação do TCU define que política de segurança da informação (PSI) é `um conjunto de princípios que norteiam a gestão de segurança de informações e que deve ser observado pelo corpo técnico e gerencial e pelos usuários internos e externos. As diretrizes estabelecidas nesta política determinam as linhas mestras que devem ser seguidas pela organização para que sejam assegurados seus recursos computacionais e suas informações'.[...]5.6 A PSI é a política mais importante quando se fala sobre segurança da informação de uma instituição, pois define as diretrizes para a formulação das demais políticas. A inexistência de PSI no MDS sinaliza o baixo comprometimento da organização quanto às questões de segurança da informação.[...]Efeitos reais e potenciaisa) Procedimentos de segurança não padronizados;b) Deficiência nos controles internos;c) Dificuldade de responsabilização;d) Comprometimento do processo de disseminação da cultura de segurança da informação;e) Possibilidade de exposição de dados e informações a acessos não autorizados.Conclusão5.7 Apesar de prevista no Regimento Interno do MDS, não existe no órgão PSI aprovada que contemple a definição de responsabilidades quanto às questões relativas à segurança da informação, o que concorre para a criação de procedimentos de segurança não padronizados no âmbito do Ministério.'Voto:129. Os achados de auditoria relativos às políticas estabelecidas pelo MDS e pela CAIXA para a gestão de segurança da informação, no âmbito dos sistemas que suportam a operacionalização do Cadastro Único e do pagamento de benefícios a ele vinculados foram, em síntese, a inexistência de políticas de segurança da informação formalmente definidas e a ocorrência de falhas no controle de acesso aos sistemas do CadÚnico Offline, Sibec e Siiso.130. Consoante destacado pela equipe, a Política de Segurança da Informação (PSI) representa a essência das práticas a serem seguidas pela instituição na busca da preservação dos seus recursos computacionais e informações.131. Embora haja previsão no Regimento Interno do MDS, foi apurado que o órgão ainda não implementou a PSI, o que possibilita a ocorrência de procedimentos de segurança não padronizados no âmbito daquele MinistérioAcórdão:9.1. determinar ao Ministério do Desenvolvimento Social e Combate [MDS] à Fome que:9.1.1. elabore e formalize política de segurança da informação adequada às necessidades do órgão, que estabeleça os princípios norteadores da gestão de segurança da informação, em consonância com a Instrução Normativa nº 1 do Gabinete de Segurança Institucional da Presidência da República, de 13 de junho de 2008, bem como com o inciso VIII do artigo 24 do Capítulo III ' Competência das Unidades ' do Anexo II do Regimento Interno do Ministério do Desenvolvimento Social, e à semelhança dos itens 5.1 da NBR ISO/IEC 27002:2005 e PO6.1 do Cobit 4.1;