TCU - Acordão sobre Auditoria de TI

Pessoal como tenho recebido alguns pedidos, transcrevi abaixo um acordão interessante que pode servir de base para estudo => cargo de Auditoria de TI no TCU. O acordão trata de um relatório de auditoria feito na Secretaria Nacional de Segurança Pública - Senasp/MJ

Sumário

RELATÓRIO DE AUDITORIA. AVALIAÇÃO DA SEGURANÇA E CONSISTÊNCIA DAS INFORMAÇÕES DO SISTEMA NACIONAL DE INTEGRAÇÃO DE INFORMAÇÕES EM JUSTIÇA E SEGURANÇA PÚBLICA-INFOSEG. DETERMINAÇÕES E RECOMENDAÇÕES. ENCAMINHAMENTO DE CÓPIAS. CHANCELA DE SIGILO. MONITORAMENTO.


Identificação: Acórdão 71/2007 - Plenário
Número Interno do Documento: AC-0071-04/07-P
Assunto: Relatório de Auditoria
Ministro Relator: AUGUSTO SHERMAN CAVALCANTI
Unidade Técnica:ADFIS - Secretaria Adjunta de Fiscalização
Dados Materiais:Sigiloso

Relatório do Ministro Relator


Trata-se de Relatório de Auditoria realizada pela Secretaria Adjunta de Fiscalização - Adfis na Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ com o objetivo de avaliar aspectos relacionados com a segurança e a consistência das informações gerenciadas pelo sistema Infoseg (Sistema Nacional de Integração de Informações em Justiça e Segurança Pública), em cumprimento ao disposto no item 9.4 do Acórdão 724/2005-TCU-Plenário.

2. Mediante a aludida deliberação, o Plenário desta Corte determinou à Adfis que verificasse a conveniência de incluir, nos próximos planos de fiscalização, auditorias nos sistemas informatizados Infoseg, Afis (Sistema Automatizado de Identificação por Impressões Digitais) e Terracrime (Sistema de Avaliação e Controle da Criminalidade em Ambiente Urbano).

2.1. Considerando que estava prevista a realização, no segundo semestre de 2006, de uma auditoria no Departamento de Polícia Federal - DPF, órgão gestor do sistema Afis (Acórdão TCU 1738/2005 - Plenário), foi acordado que esse sistema seria incluído no escopo daquele trabalho. Quanto ao sistema Terracrime, a equipe de auditoria registra que, ainda na fase de planejamento, foi identificada a descontinuidade daquele sistema e, portanto, os trabalhos de fiscalização se concentraram no sistema Infoseg.

3. O relatório (fls. 50/104), elaborado pelos Analistas de Controle Externo Carlos Renato Araujo Braga e Harley Alves Ferreira, apresenta, em sua introdução, o histórico do sistema Infoseg, a visão geral e arquitetura da rede, os objetivos e questões de auditoria, a metodologia utilizada, as limitações aos trabalhos de fiscalização, o volume de recursos fiscalizados e os benefícios estimados.

3.1. Após, são apresentados os achados de auditoria e outros fatos considerados relevantes pela equipe responsável pela fiscalização, os quais transcrevo a seguir.

?2. Achados de Auditoria

2.1. Insuficiência de legislação aplicável -

Situação encontrada

O Índice Nacional - IN, núcleo do Infoseg, é composto por informações oriundas de diversos órgãos de segurança pública, citados no art. 144 da Constituição Federal (polícia federal, polícia rodoviária federal, polícias civis e militares estaduais e distritais), bem como de órgãos do Poder Judiciário (STJ, Tribunais de Justiça e Justiça Federal), que chamaremos de entes participantes do sistema.

Com vistas a identificar os objetivos a serem atendidos pelo Infoseg, bem como as atribuições e responsabilidades dos órgãos participantes do sistema, solicitamos, por meio do subitem 2.1, do Ofício de Requisição nº 01-75/2006 (fls. 5/6), o normativo que teria instituído o sistema. Por meio do item 2.1, Ofício nº 885/06 - Senasp/MJ (anexo 1, v. 0, fl. 83), o gestor encaminhou o Decreto s/n, de 26.09.1995 (anexo 1, v.0, fl. 85), e um histórico da transferência do sistema da Cia. de Processamento de Dados do Rio Grande do Sul - Procergs - para a Senasp (anexo1, v.0, fls. 86/91), onde identificamos a Portaria do Ministro da justiça nº 1.542, de 08.12.1995 (anexo 1, v. 0, fls. 86/87).

O Decreto s/n, de 26.09.1995, dispõe o seguinte:

Art. 1º Fica criado, no âmbito do Ministério da Justiça, o Programa de Integração das Informações Criminais, que tem por objetivos:

I - Integrar as informações criminais, por intermédio de rede informatizada;

II - estreitar a cooperação com os estados.

Art. 2º Participarão do Programa os órgãos de segurança federais e, mediante convênio de cooperação técnica entre a União e os estados, os demais órgãos previstos no art. 144, da Constituição , para consecução dos objetivos de que trata o artigo anterior.

Art. 3º O Programa será constituído pelos Cadastros Nacionais e Estaduais de Informações Criminais, de Mandados de Prisão, de Armas de Fogo e de Veículos Roubados e Furtados.

Art. 4º O Programa contará com recursos da União e apoio técnico dos órgãos públicos envolvidos diretamente com os cadastros descritos no artigo anterior.? (grifamos)

Observamos que o Decreto supra define, para o programa:

a) seus objetivos (art. 1º);

b) seus participantes (art. 2º);

c) os cadastros que o constituirão (art. 3º) e

d) os recursos para seu desenvolvimento (art. 4º).

A Portaria do Ministro da Justiça nº 1.542, de 08.12.1995 (anexo 1, v.0, fls. 86/87), atribuiu (art. 1º) ao Departamento de Assuntos de Segurança Pública, da Secretaria de Planejamento de Ações Nacionais de Segurança Pública do Ministério da Justiça (hoje Senasp), a coordenação do Programa criado pelo Decreto supra, especificando ainda que (art. 2º):

a) a concepção do programa deveria ser descentralizada;

b) deveria ser respeitada a autonomia de cada ente participante;

c) as bases de dados de cada ente participante continuaria sob sua (do ente) gerência e responsabilidade.

Identificamos que a competência para desenvolver o Infoseg foi atribuída à Senasp, conforme consta do inciso X, do art. 12, do Decreto 5.834, de 06.07.2006 - Regimento do Ministério da Justiça (anexo 1, v.1, fl. 525/526).

Com relação aos convênios previstos no art. 2º, Decreto s/n, de 26.09.1995, identificamos termos de convênio firmados entre a Senasp e os 26 estados e o Distrito Federal (exemplo às fls. 92/102, v.0, anexo 1) para repasses de recursos do Fundo Nacional de Segurança Pública - FUSP -, os quais prevêem a viabilização do acesso ao Infoseg por diversos entes (letra ?k?, do item II, da Cláusula Quarta, à fl. 95, v.1, anexo 1) e a obrigação de o convenente atualizar o Índice Nacional pelo menos duas vezes por mês (letra ?l?, do item II, da Cláusula Quarta, à fl. 95, v.0, anexo 1). Não há outras cláusulas nos convênios tratando do Infoseg.

Ainda que exista normatização para o Programa de Integração das Informações Criminais, com relação ao sistema Infoseg identificamos que apenas dois pontos foram normatizados:

a) a competência da Senasp para desenvolvê-lo;

b) a obrigação de os convenentes que recebem recursos do FUSP viabilizarem o acesso ao sistema e atualizarem-no pelo menos duas vezes por mês.

Registre-se a precariedade dos escassos dispositivos existentes, visto que não é definido ?o que é o sistema Infoseg? que a Senasp deve desenvolver, o que é ?viabilizar o acesso? ao sistema e o que é considerado ?atualizar? o Índice Nacional, obrigações estabelecidas nos termos de convênio mencionados.

Destarte, fica evidente a ausência de regulamentação para o funcionamento de um sistema de grande importância para a segurança pública do país. Não existem definições formais e claras do que é o sistema Infoseg, quem deve fornecer suas informações, quem são seus usuários, tampouco o estabelecimento de atribuições e responsabilidades.

A equipe de auditoria constatou que, devido à ausência de normatização, o sistema foi desenvolvido e encontra-se em execução por causa da cooperação, muitas vezes informal, entre a Senasp e os órgãos de segurança pública do país.

Há registros no Ministério da Justiça de que a participação de diversos estados na alimentação do Índice Nacional ocorreu apenas após a comunicação da possibilidade de suspensão do repasse de verbas do FUSP para os estados conveniados, sendo este o único mecanismo identificado por esta equipe que permite ao órgão responsável pelo sistema (Senasp) cobrar responsabilidade dos entes participantes. Não há qualquer atribuição ou responsabilidade formalmente estabelecidas para os órgãos do Poder Judiciário, que são detentoras de informações de interesse do sistema (mandados de prisão e processo).

As informações constantes do Índice Nacional são provenientes de órgãos de diferentes poderes (Executivo e Judiciário) e de diferentes esferas de governo (Federal, Estadual e Distrital). Considerando os princípios da Legalidade, da Federação e da Separação de Poderes, o sistema Infoseg deve ser instituído por lei, por ser esta a espécie capaz de institucionalizá-lo nos diversos entes, e não por legislação infralegal, como precariamente ocorre hoje.

A título de exemplo, registre-se que o Registro Nacional de Carteiras de Habilitação - RENACH - e o Registro Nacional de Veículos Automotores - RENAVAM - são sistemas cujos participantes são entes de diversas esferas de governo e que são institucionalizados por lei, no caso, o Código Brasileiro de Trânsito - CBT (Lei 9.503/97). Seguem-se os dispositivos da Lei 9.503/97 de interesse para esta exemplificação:

?Art. 12. Compete ao CONTRAN:

I - estabelecer as normas regulamentares referidas neste Código e as diretrizes da Política Nacional de Trânsito;

II - coordenar os órgãos do Sistema Nacional de Trânsito, objetivando a integração de suas atividades;

...

Art. 19. Compete ao órgão máximo executivo de trânsito da União:

...

VIII - organizar e manter o Registro Nacional de Carteiras de Habilitação - RENACH;

IX - organizar e manter o Registro Nacional de Veículos Automotores - RENAVAM;

...

XIV - fornecer aos órgãos e entidades do Sistema Nacional de Trânsito informações sobre registros de veículos e de condutores, mantendo o fluxo permanente de informações com os demais órgãos do Sistema? (grifamos)

Observamos que o Sistema Nacional de Trânsito, sendo instituído por lei (CBT), pôde estabelecer atribuições e responsabilidades (inclusive quanto à regulamentação) aos entes participantes do sistema sem prejudicar o princípio Federativo, o que não ocorre com o Sistema Único de Segurança Pública - SUSP.

Registremos que há previsão na Constituição Federal (art. 144, §7º) de lei regulamentando a atuação dos órgãos de segurança pública, nos seguintes termos:

?Art. 144. A segurança pública, dever do estado, direito e responsabilidade de todos, é exercida para a preservação da ordem pública e da incolumidade das pessoas e do patrimônio, através dos seguintes órgãos:

I - polícia federal;

II - polícia rodoviária federal;

III - polícia ferroviária federal;

IV - polícias civis;

V - polícias militares e corpos de bombeiros militares.

...

§ 7º - A lei disciplinará a organização e o funcionamento dos órgãos responsáveis pela segurança pública, de maneira a garantir a eficiência de suas atividades.? (grifamos)

Entendemos que a institucionalização do Infoseg, com formalização das atribuições e responsabilidades dos entes participantes, inclusive a competência para a regulamentação infralegal necessária, poderia ocorrer no bojo da lei prevista no dispositivo constitucional acima, de forma análoga ao anotado no CBT.

(...)

Conclusão

Como participam do Infoseg entes de diferentes esferas de governo e de diferentes poderes, há necessidade de institucionalizar o Infoseg por meio de lei federal com conteúdo nacional, de forma análoga ao que ocorre com outros sistemas, como por exemplo com o RENAVAN e com o RENACH, sob pena de não haver mecanismos outros capazes de criar atribuições e responsabilidades para os entes participantes do sistema. Considerando a falta de legislação, devem ser comunicadas as Casas Legislativas Federais, por intermédio das suas comissões temáticas, e a Casa Civil da Presidência da República.

Consideramos ainda que, ante a lacuna deixada pela ausência de lei institucionalizando o Infoseg, a Senasp deve criar dispositivos que regulamentem o Infoseg por meio do aperfeiçoamento dos termos de convênio firmados no âmbito do FUSP, ainda que esta seja uma forma precária.

Proposta de Encaminhamento

Recomendar à Senasp que, em atenção ao Princípio da Legalidade constante do art. 37, caput, da Constituição Federal, estude a viabilidade de apresentar à Casa Civil da Presidência da República anteprojeto de lei que regulamente o § 7º, do art. 144, da Constituição Federal, de forma a institucionalizar o sistema Infoseg, contendo, entre outros, dispositivos que contemplem atribuições e responsabilidades dos entes que detêm informações de interesse do sistema.

Determinar a Senasp que, em atenção ao Princípio da Legalidade constante do art. 37, caput, da Constituição Federal, crie dispositivos que regulamentem o Infoseg, estabelecendo atribuições e responsabilidades para os entes participantes do sistema, ainda que por meio do aperfeiçoamento dos termos de convênio firmados no âmbito do Fundo Único de Segurança Pública - FUSP.

Encaminhar cópia do relatório, voto e decisão que vier a ser proferida à Subcomissão Permanente de Segurança Pública, da Comissão de Constituição, Justiça e Cidadania do Senado Federal - CCJSSP -, à Comissão de Segurança Pública e Combate ao Crime Organizado da Câmara dos Deputados - CSPCCO - e à Casa Civil da Presidência da República.

2.2. Inconsistências entre as bases de dados criminais e o Índice Nacional

Situação encontrada

Durante os trabalhos de campo, a equipe de auditoria realizou visita a 6 (seis) dos 29 (vinte e nove) entes que atualizam informações no Índice Nacional - IN -, quais sejam:

- Secretaria de Segurança Pública do estado do Ceará;

- Agência de Tecnologia da Informação do estado de Pernambuco;

- Secretaria de Segurança Pública do Distrito Federal;

- Secretaria de Justiça e de Segurança Pública do estado do Rio Grande do Sul;

- Secretaria-Executiva de Segurança Pública do estado do Pará;

- Coordenação de Tecnologia da Informação do Departamento de Polícia Federal.

O principal objetivo das visitas foi a realização de cruzamento das informações constantes das bases de dados criminais desses entes com as constantes do Índice Nacional, com vistas a identificar possíveis inconsistências.

Em todos os entes visitados, a equipe de auditoria constatou inconsistências entre as informações constantes das bases dos entes e da base do Índice Nacional - IN -, conforme evidenciado nos Ofícios de Requisição 05-75/2006 (fls. 9/14) , 07-75/2006 (fls. 17/18), 12-75/2006 (fls. 25/26), 14-75/2006 (fls. 28/29), 16-75/2006 (fls. 31/32) e 17-75/2006 (fl. 34), que contêm os resultados dos trabalhos realizados durante as visitas aos entes no Ceará, Pernambuco, Distrito Federal, Rio Grande do Sul, Pará e Departamento de Polícia Federal, respectivamente. Considerando a existência de inconsistência nas informações sobre mandados de prisão em aberto, as notificações supra foram encaminhadas tanto ao Secretário Nacional de Segurança Pública quanto ao interlocutor do ente visitado (normalmente o coordenador-administrativo do Infoseg) de forma a permitir maior agilidade nas eventuais correções.

Registre-se que todos os entes visitados já realizaram, pelo menos uma vez, a operação de recarga da base, onde foi solicitado à Senasp que excluísse todos os registros daquele ente, para que pudessem ser incluídas informações consistentes.

As inconsistências encontradas evidenciam controles de processamento insuficientes (item 12.2.2 , da NBR ISO/IEC 17799:2005), e podemos dividi-las em três grupos:

- registros constantes do IN sem correspondência nas bases do ente;

- registros constantes das bases do ente sem correspondência no IN;

- registros constantes das bases do ente e do IN, porém com conteúdos divergentes.

A solução de atualização para o Índice Nacional que os entes visitados desenvolveram é função da plataforma que cada um deles utiliza nos seus sistemas criminais. A tabela a seguir apresenta estas diferentes soluções:

Ente participante-SGBD -Linguagem de programação

CE-Oracle-Delphi

PE-Oracle-Java

DF-SQL Server-Java

RS-DMS/2-COBOL

PA-MySQL-Java

DPF-ADABAS-Natural

Ainda que com diferentes tecnologias, todos os entes visitados utilizam basicamente o mesmo paradigma na solução de atualização, a qual podemos dividir em duas etapas:

1) quando ocorre no sistema criminal do ente uma operação que insere, altera ou remove uma informação que é de interesse do Infoseg, a informação é colocada em uma tabela que genericamente é chamada de ?espelho do Infoseg? ;

2) posteriormente uma aplicação lê a informação da tabela ?espelho do Infoseg? e realiza a atualização do IN.

Conforme descrito na metodologia utilizada (item 1.4), a equipe realizou diferentes procedimentos de cruzamento de dados nos diversos entes visitados, o que não nos permite comparar os resultados obtidos. Desta forma não vemos possibilidade de inferir se há entes cuja solução seja melhor que a de outros (este também não está no escopo da fiscalização), sem prejuízo de afirmarmos que todas as soluções vistas apresentam falhas que geram informações de baixa confiabilidade na base do Índice Nacional, o que prejudica a qualidade da informação que é disponibilizada aos agentes de segurança pública por meio do Infoseg para tomada de decisão.

Os resultados registrados nos Ofícios de Requisição supra não constituem a totalidade das inconsistências nas informações constantes do Índice Nacional. As informações do IN sobre mandados de prisão e processos, originadas nos Tribunais de Justiça dos estados, chega à Senasp encaminhada pelo ente do poder Executivo Estadual que alimenta o Infoseg. Nas Unidades da Federação visitadas, as informações sobre mandados de prisão não chegam em meio magnético aos órgãos de segurança pública, sendo necessária a sua digitação para constar dos sistemas criminais estaduais (que por sua vez alimentam o Infoseg). Há possibilidade de falha humana na digitação, que pode ocasionar erros na identificação dos indivíduos e, ainda que não fosse causa de inconsistências, o lapso temporal entre a emissão dos mandados nos Tribunais de Justiça e sua inclusão nos sistemas criminais estaduais pode chegar a dias, prejudicando a tempestividade da ação policial. Em atenção ao princípio da eficiência, as informações originadas nos Tribunais de Justiça das Unidades da Federação deveriam ser enviadas em meio magnético diretamente ao Infoseg.

Por meio de observação , identificamos ainda casos particulares em cada ente visitado que agravam a situação, como:

a) no Ceará, apenas quando se consegue identificar o indivíduo em sua base criminal a informação de processo é enviada ao Infoseg;

b) em Pernambuco, a base de dados de mandados de prisão fica na Delegacia de Capturas (base em ACCESS), e não alimenta o Infoseg;

c) a solução de integração no Distrito Federal é desconhecida dos atuais gestores distritais, que possuem escassa documentação da mesma;

d) a Justiça Estadual do Rio Grande do Sul retirou sua base de dados da Procergs e atualmente não alimenta mais o Infoseg com informações sobre processos;

e) no Pará, apenas quando se consegue identificar o indivíduo em sua base criminal a informação de mandado e processo é enviada ao Infoseg;

f) o Departamento de Polícia Federal não está informando os mandados de prisão que recebe da Justiça Federal. Por fim, registramos que até o fim dos trabalhos desta equipe, nenhum tipo de auditoria na consistência dos dados do Índice Nacional havia sido empreendida, em desconformidade com o preconizado na diretriz ?d? , do item 12.2.2, da NBR ISO/IEC 17799:2005.

(...)

Conclusão

Devem ser implementados mecanismos que garantam a consistência das informações entre as bases de dados criminais dos entes participantes do Infoseg e a base do Índice Nacional, e as soluções adotadas devem ser auditadas periodicamente.

Há necessidade de integrar diretamente os Tribunais de Justiça das Unidades da Federação à rede Infoseg para que as informações que lá se originam (processos e mandados de prisão) sejam encaminhadas diretamente ao Infoseg por meio eletrônico.

Para avaliar a gravidade das inconsistências anotadas, registre-se que, em pesquisa realizada por meio de questionário eletrônico, acessado a partir da página do Infoseg (anexo 1, vol.2, fls. 455/456), buscamos conhecer o quanto os usuários confiam nas informações constantes do Índice Nacional (ver subitem 2.17), perguntando o quanto eles concordam com a seguinte afirmação: ?Confio nas informações recebidas para tomar decisões?. O resultado da pesquisa (anexo 1, v.2, fl. 460) registrou que 77,1% dos usuários tomariam decisões com base em informações da base indivíduos (37,3% deles concorda mais do que discorda e 39,8% deles concorda totalmente com a afirmação proposta).

Outro ponto a considerar em nossa análise é a sensibilidade das informações constantes do Índice Nacional, como a existência ou não de mandados de prisão em aberto, que podem levar o agente de segurança pública a decidir prender ou não um indivíduo consultado no Infoseg. Encontramos inconsistências em dados sobre mandados de prisão em todos os entes visitados que atualizam esta informação .

Considerando as inconsistências entre as bases de dados dos entes que alimentam o Infoseg e o Índice Nacional evidenciadas nos trabalhos de campo; que, segundo a pesquisa realizada durante a auditoria, percentual expressivo dos agentes de segurança pública que utilizam o Infoseg tomam decisões com base na informação constante do Índice Nacional; e a sensibilidade das informações constantes do Índice Nacional, que podem levar, por exemplo, a prisão ou não de um indivíduo; consideramos que esta impropriedade é gravíssima, necessitando de providências urgentes a fim de evitar as situações descritas como efeitos reais e potenciais anotadas neste subitem.

Proposta de Encaminhamento

Determinar à Senasp que:

a) adote as providências necessárias para resolver as inconsistências entre as bases de dados estaduais e o Índice Nacional constantes dos arquivos do CD-ROM em anexo;

b) institua mecanismos que garantam a consistência entre o Índice Nacional - IN - e as bases dos entes que alimentam o IN, verificando periodicamente a eficácia dos mecanismos implementados, de acordo com o previsto no item 12.2.2, da NBR ISO/IEC 17799:2005;

c) estude, em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, a viabilidade de integrar diretamente à rede Infoseg todos os órgãos que devem fornecer informações ao Índice Nacional, em especial os Tribunais de Justiça das Unidades da Federação, órgãos responsáveis pelas informações sobre mandados de prisão e processos.?

2.3. Indefinição da semântica das informações que compõem o IN

Situação encontrada

O art. 3º, do Decreto s/n, de 26.09.1995, dispõe sobre quais informações devem constar dos cadastros contidos no Infoseg, in verbis:

?Art. 3º O Programa será constituído pelos Cadastros Nacionais e Estaduais de Informações Criminais, de Mandados de Prisão, de Armas de Fogo e de Veículos Furtados e Roubados?

Como se descreverá a seguir, não identificamos a definição do conteúdo das ?Informações Criminais? que devem constar do Infoseg.

Por meio do item 1, do Ofício de Requisição nº 02-75/2006 (fl. 7), solicitamos o dicionário de dados do Índice Nacional, e nos foi fornecida a tabela constante do anexo 1, v.1, fls.324/325. Posteriormente solicitamos, por meio do item 4, do Ofício de Requisição nº 03-75/2006 (fl. 7-A), o documento que teria formalizado, entre a Senasp e os agentes que alimentam o Infoseg, quais os dados que deveriam compor o Índice Nacional e as consultas detalhadas, sendo encaminhada, por meio do item 12, do Ofício de 1285/06-Senasp/MJ (anexo1, v.1, fl. 363) a mesmo tabela anteriormente recebida (anexo 1, v.2, fl. 416). Em reunião para esclarecer nosso pedido, o gerente do Infoseg informou não existir tal documento formalizando entre os participantes do Infoseg a semântica dos campos do Índice Nacional.

A indefinição da semântica dos campos do IN prejudica o entendimento comum dos dados entre o setor de TI e os usuários, e, principalmente entre os diversos usuários do Infoseg (os agentes de UF diferentes entendem a informação de forma diferente). A seguir seguem-se exemplos de dúvidas com relação à semântica dos campos do IN, dúvidas que transitam entre os gestores dos entes visitados (relação exemplificativa).

Campo: NARCOTRAFICO.

Descrição : Identificador de envolvimento com narcotráfico.

Dúvidas: O envolvimento é caracterizado por um inquérito, por um processo, por um mandado de prisão, por uma condenação ou por qualquer uma destas espécies?

Campo: PROCESSO.

Descrição: Identificador de Processo.

Dúvidas: Quais são os tipos de processos que devem ser encaminhados? Todos? Só os penais? E os de pensão alimentícia, que podem gerar mandados de prisão?

Campo: INQUERITO.

Descrição: Identificador de Inquérito.

Dúvidas: Quais tipos de inquéritos devem ser enviados? Em quais situações? Inquéritos em andamento ou que tenham sido encaminhados ao Ministério Público? Os inquéritos encerrados também devem ser enviados?

Campo: MANDADO_PRISAO.

Descrição: Identificador de Mandado de Prisão.

Dúvidas: Somente os mandados de prisão que estão em aberto devem constar do IN, ou em qualquer outra situação (revogado, suspenso, cumprido, etc.)? O que fazer quando as informações constante do mandado que identificam o indivíduo são insuficientes para identificá-lo na base criminal?

Campo: ARMA

Descrição: Identificador de ?Possui Arma?

Dúvidas: O indivíduo foi indiciado por porte de arma, tem arma registrada, possui inquérito por porte de arma ou possui processo por porte de arma?

Campo: FORAGIDO

Descrição: Identificador de ?Foragido?

Dúvidas: Foragido é somente quem é fugitivo de presídio? Quem está sendo indiciado em um inquérito e não é localizado é foragido? Quem responde a processo e não é localizado quando intimado é foragido?

Identificamos ainda problemas com a sintaxe dos campos: na tela de consulta de indivíduos não é possível consultar identidades com caracteres alfabéticos, entretanto, existem identidades no IN contendo esses caracteres, conforme evidência obtida por meio de consulta realizada em 18.06.06 (anexo 1, vol.2, fl. 520).

(...)

Conclusão

Há necessidade de definir formalmente, em conjunto com todos os entes que participam do sistema, o significado das informações que integram o Índice Nacional.

Proposta de Encaminhamento

Determinar à Senasp que defina formalmente junto a todos os entes que alimentam o Infoseg o significado preciso de todas as informações que compõe o IN, à semelhança das orientações contidas no item PO2.2 do COBIT 4.0.

2.4. Inexistência de políticas formalmente definidas

Situação encontrada

Para responder a questão de auditoria Q.2 - ?As Políticas de Segurança da Informação estabelecidas pelo MJ contribuem para uma boa gestão de segurança da informação na rede Infoseg?? - , solicitamos, por meio do item 2.6 e subitens, do Ofício de Requisição 01-75/2006 (fl. 5), e da letra (a), do Ofício de Requisição nº 08-75/2006 (fl. 20), a Política de Segurança da Informação - PSI - e a Política de Controle de Acesso - PCA - do Infoseg. Em resposta recebemos uma minuta de PSI (fls. 109/136, anexo 1, v. 0) e documento ?Controle de acesso Usuários Web - Infoseg? (anexo 1, v. 0, fls. 137/154), ambos encaminhados por meio do Ofício nº 885/06 - Senasp/MJ (fl. 35/36).

A minuta de PSI é datada de 23.10.2003, quando a arquitetura do sistema era bem diferente da atual (p.e., o sistema funcionava em uma Intranet e hoje as consultas ocorrem pela Internet). Além de desatualizado, o documento não foi formalmente aprovado nem divulgado às partes interessadas, conforme prescreve o item 5.1.1 da NBR ISO/IEC 17799:2005. Identificamos ainda a existência de uma PSI para o Ministério da Justiça - MJ -, instituída recentemente por meio da Portaria do Ministro nº 279, de 10.03.2006. Ocorre que, como nem todos os usuários do Infoseg estão na estrutura do MJ, a PSI do MJ não é instrumento hábil para o Infoseg.

A Política de Controle de Acesso - PCA - para usuários Web apresentada é difundida e utilizada no âmbito do Infoseg, entretanto falha por não ser formalmente institucionalizada e não contemplar uma análise crítica periódica dos direitos de acesso dos usuários (não é previsto, por exemplo, o procedimento para cancelamento de contas de usuários). Além de não ter sido aprovada formalmente, a PCA encaminhada não contempla outras duas categorias de usuários: host de atualização (usados pelas aplicações que executam nos módulos remotos e que atualizam o Índice Nacional) e os usuários da rede interna da gerência do Infoseg.

Verificamos ainda a inexistência de Metodologia de Desenvolvimento de Sistemas - MDS - formalmente aprovada para utilização no âmbito do Infoseg (há uma minuta incompleta acostada aos autos (anexo 1, vol. 2, fls. 489/505), em desconformidade com o previsto no item PO 8.3 do COBIT 4.0, fato agravado pelo grande número de terceirizados da equipe (item 2.10).

Por fim, diante da insuficiência de normatização aplicável (item 2.1), não se pode identificar a responsabilidade quanto aos assuntos de segurança da informação no âmbito do Infoseg, conforme prevê o item 6.1.3 da NBR ISO/IEC 17799:2005.

(...)

Conclusão

Concluímos pela inexistência de PSI e MDS para o Infoseg. Verificamos também a incompletude da PCA, haja visto que:

a) não contempla os usuários ?host de atualização? nem os usuários da rede interna da gerência do Infoseg;

b) não contempla itens importantes recomendados pela NBR ISO/IEC 17799:2005;

c) não foi aprovada formalmente.

Proposta de Encaminhamento

Determinar à Senasp que :

a) estabeleça formalmente responsabilidades quanto às questões relativas à segurança das informações do Infoseg, de acordo com o previsto no item 6.1.3 da NBR ISO/IEC 17799:2005;

b) defina formalmente uma Política de Segurança da Informação - PSI - para o Infoseg, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005;

c) defina formalmente uma Política de Controle de Acesso - PCA - para o Infoseg, contemplando usuários Web, ?host de atualização? e da rede interna da gerência do Infoseg, de acordo com o previsto no item 11.1.1 da NBR ISO/IEC 17799:2005;

d) conduza, a intervalos regulares, a análise crítica dos direitos de acesso dos usuários do Infoseg, por meio de um processo formal, de acordo com o previsto no item 11.2.4 da NBR ISO/IEC 17799:2005;

e) defina formalmente padrões para desenvolvimento de sistemas no âmbito do Infoseg, à semelhança das orientações contidas no item PO8.3 do COBIT 4.0;

f) crie mecanismos para que as políticas e normas se tornem conhecidas, acessíveis e observadas por todos os usuários e gestores do Infoseg, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005;

g) implemente os procedimentos informatizados necessários no sentido de ajudar a garantir a observância das políticas acima.

2.5. Procedimento de controle de mudanças no sistema inadequado

Situação encontrada

De acordo com o item 03, do Ofício nº 1.797/06 - Senasp/MJ (fl.40), não existe procedimento formal de controle sobre as solicitações de alteração ou correção do sistema. Os usuários fazem as demandas diretamente à gerência do Infoseg ou aos coordenadores administrativos, via e-mail ou por telefone. Não há um processo de análise qualitativa, nem priorização dessas demandas, havendo aprovação informal do diretor do projeto Infoseg. Essas demandas vão sendo atendidas de acordo com a disponibilidade da equipe de desenvolvimento. Porém, como a equipe é bastante reduzida, tal situação tem gerado um acúmulo de demandas não atendidas ou atendidas intempestivamente.

Dessa forma, inexiste mecanismo que permita aos usuários que originam as demandas de TI acompanharem os seus pedidos, não sendo possível saberem quais desses estão sendo atualmente atendidos, quais estão aguardando ainda por serem iniciados, quais estão paralisados, qual é a prioridade e a ordem de atendimento e qual o tempo e o custo previstos e executados.

Além disso, devem ser estabelecidos critérios de aceitação de novos sistemas, atualizações e novas versões e devem ser efetuados testes apropriados dos sistemas antes da sua aceitação e implantação. Os gestores devem garantir que os requisitos e critérios para aceitação de novos sistemas estejam claramente definidos, acordados, documentados e testados. No entanto, assim como não existe procedimento formal de controle das demandas, não existem critérios de aceitação definidos nem procedimento formal de homologação das versões implantadas do Infoseg.

(...)

Conclusão

Há necessidade do estabelecimento de uma sistemática de registro, controle, aprovação, priorização e alocação de recursos para o atendimento das demandas de alteração ou correção do sistema, avaliando, dentre as opções possíveis, quais são as que oferecem maiores benefícios para os usuários, direcionando os recursos para otimizar os resultados.

Para que o procedimento de controle de mudanças possa ser feito de maneira eficaz, visando o aperfeiçoamento do Infoseg, é necessário o estabelecimento de um procedimento formal de controle sobre a solicitação, a alocação de recursos, o desenvolvimento, os testes e a aceitação/homologação das novas versões do sistema, permitindo aos usuários acompanharem o andamento de suas demandas, aumentando com isso o controle sobre a eficiência dos serviços prestados.

Proposta de Encaminhamento

Determinar à Senasp que:

a) estabeleça procedimentos formais de controle de demandas e de mudanças no Infoseg, de acordo com o previsto no item 12.5.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no item AI6.2 do COBIT 4.0;

b) estabeleça critérios formais para homologação e aceitação de atualizações e novas versões do Infoseg, de acordo com o previsto no item 10.3.2 da NBR ISO/IEC 17799:2005.

2.6. Inexistência de Plano de Continuidade do Negócio

Situação encontrada

De acordo com o subitem 2.6.c, do ofício 885/2006 - Senasp/MJ (fl.35/36), não existe, no âmbito da gerência do Infoseg, um Plano de Continuidade do Negócio - PCN - ou procedimentos definidos que garantam, em caso de falhas ou desastres naturais significativos, a retomada em tempo hábil das atividades do sistema, protegendo os processos críticos. É conveniente que o PCN inclua controles para identificar e reduzir riscos, limitar as conseqüências e danos em caso de incidentes e garanta que as informações requeridas para os processos críticos do negócio sejam recuperadas a contento.

Atualmente, existe apenas uma replicação da base de dados do IN em Recife. No entanto, não há nenhum tipo de redundância dos serviços de atualização e consulta dessas bases, ou seja, não há um local alternativo que garanta a continuidade do sistema caso ocorra algum problema nas instalações da gerência do Infoseg. Esta estrutura totalmente centralizada aumenta a dificuldade de restauração e recuperação da operação do sistema em caso de uma falha, tornando ainda mais preocupante a inexistência do PCN.

(...)

Conclusão

Há a necessidade da elaboração e aprovação formal de um PCN específico para o Infoseg, que deverá ser testado e atualizado periodicamente, e ser divulgado a todos os envolvidos, de acordo com os itens 14.1.4 e 14.1.5, da NBR ISO/IEC 17799:2005.

Proposta de Encaminhamento

Determinar à Senasp que defina formalmente um Plano de Continuidade do Negócio - PCN - específico para o Infoseg de acordo com o previsto nos itens 14.1.4 e 14.1.5 da NBR ISO/IEC 17799:2005.

2.7. Gestão insatisfatória das cópias de segurança

Situação encontrada

É conveniente que um documento formal defina os procedimentos de rotina para gerar cópias de segurança dos dados que possibilitem sua recuperação em um tempo aceitável em caso de perda. Apesar de gerar cópias de segurança periodicamente, a gerência do Infoseg não possui uma política formal de geração dessas cópias. Assim, não há um padrão definido sobre como e quando efetuá-las, podendo gerar dúvidas quanto a sua execução.

Além disso, foi detectado que as mídias de backup são armazenadas no mesmo local físico da operação do sistema, contrariando o que preconiza a NBR ISO/IEC 17799:2005, item 10.5.1, diretriz ?d?, que diz que ?as cópias de segurança devem ser armazenadas em uma localidade remota, a uma distância suficiente para escapar dos danos de um desastre ocorrido no local principal?.

(...)

Conclusão

Há necessidade da elaboração e aprovação de documento formal que defina os procedimentos de rotina para gerar cópias de segurança dos dados que possibilitem sua recuperação em um tempo aceitável em caso de perda dos dados do negócio e que seja definido um local remoto onde possam ser armazenadas as mídias de backup.

Proposta de Encaminhamento

Determinar à Senasp que:

a) formalize política de geração de cópias de segurança para o Infoseg, de acordo com o previsto no item 10.5.1 da NBR ISO/IEC 17799:2005;

b) armazene as mídias contendo cópias de segurança do Infoseg em local diverso da operação do sistema, de acordo com a diretriz ?d? do item 10.5.1 da NBR ISO/IEC 17799:2005.

2.8. Deficiências na segurança física da gerência do Infoseg

Situação encontrada

O acesso às dependências da gerência do Infoseg é feito por um sistema de identificação por biometria (impressão digital e senha) para os funcionários e por identificação por meio de interfone e câmera de vídeo para as demais pessoas. O sistema funciona bem no controle de acesso dos funcionários da gerência do Infoseg, mas não é feito nenhum registro dos acessos de visitantes que possibilite uma identificação futura no caso de ocorrer um incidente de segurança.

Além disso, não foi estabelecido um perímetro de segurança para as instalações do Infoseg. Dessa forma, a porta de acesso está em contato direto com a rua e na parte dos fundos, onde funciona um estacionamento, há uma porta de vidro que torna a segurança vulnerável.

(...)

Conclusão

Deve ser estabelecido um perímetro de segurança adequado que garanta a integridade física dos seus funcionários e equipamentos. É recomendável que esse perímetro seja compatível com os riscos identificados no ambiente externo da gerência do Infoseg.

Proposta de Encaminhamento

Determinar à Senasp que:

a) estabeleça um perímetro de segurança nas instalações da gerência do Infoseg, em conformidade com o item 9.1.1 da NBR ISO/IEC 17799:2005;

b) realize as obras necessárias de forma que se constituam barreiras físicas suficientes nas instalações da gerência do Infoseg que impeçam o acesso de pessoas não autorizadas, em conformidade com a diretriz ?b? do item 9.1.1 da NBR ISO/IEC 17799:2005 .

2.9. Indefinição dos proprietários de alguns ativos

Situação encontrada

É conveniente que todos os ativos de software e hardware sejam inventariados , tenham um proprietário identificado e a eles seja atribuída a responsabilidade pela proteção adequada desses ativos . Esse inventário deve ser constantemente atualizado para refletir a situação exata dos ativos. No caso do Infoseg, não há inventário dos ativos do sistema.

Além disso, a gerência do Infoseg disponibilizou equipamentos para os estados implementarem as soluções de integração e ainda não conseguiu colher assinaturas nas cautelas de custódia dos referidos equipamentos. No caso de Pernambuco, a situação é mais grave, pois lá se encontram os equipamentos de redundância das bases de dados e não há nenhum documento que formalize essa situação e estabeleça cláusulas de sigilo e responsabilização pelo uso indevido dos equipamentos ou divulgação não autorizada dos dados.

(...)

Conclusão

Há necessidade de elaboração de um inventário completo dos ativos de software e hardware do Infoseg, incluindo os equipamentos da gerência e os alocados nos estados, onde devem ser identificados os responsáveis que deverão assinar as respectivas cautelas.

Proposta de Encaminhamento

Determinar à Senasp que:

a) formalize o inventário dos ativos do Infoseg, em conformidade com o previsto no item 7.1.1 da NBR ISO/IEC 17799:2005;

b) defina formalmente o proprietário de cada ativo constante do inventário acima, em conformidade com o item 7.1.2 da NBR ISO/IEC 17799:2005, atentando para a assinatura das cautelas que se fizerem necessárias;

c) formalize, junto à Agência Estadual de Tecnologia da Informação do estado de Pernambuco - ATI -, um termo de compromisso que contemple de maneira específica a cópia das bases de dados do Infoseg que se encontram naquelas instalações, estabelecendo cláusulas de sigilo e responsabilização pelo uso indevido dos equipamentos ou divulgação não autorizada dos dados.

2.10. Estrutura insatisfatória de recursos humanos

Situação encontrada

A estrutura organizacional do Ministério da Justiça, definida pelo Decreto 5.535, de 13 de setembro de 2005 (anexo1, v.2, fls.521/537), demonstra que a gerência do Infoseg não está formalmente definida como unidade integrante do Ministério. Isso gera dificuldades na alocação de pessoal, pois não há remunerações específicas (cargos comissionados) para assumir atividades de chefia que envolvem maior responsabilidade.

Atualmente, a gerência do Infoseg conta com uma equipe de 13 pessoas (anexo1, vol.1, fl.327), sendo um servidor com contrato temporário atuando como gerente de projeto e doze terceirizados, contratados pelo Ministério da Justiça (nove da empresa Politec e três da empresa Conservo) e alocados ao Infoseg, exercendo as seguintes funções: duas administradoras de banco de dados, um analista de sistemas, três analistas de redes, uma gerente de desenvolvimento, três programadores e dois atendentes. Esse número de funcionários é insuficiente para manter a produção e atender às demandas corretivas e evolutivas do sistema. Na realidade faltam pessoas para desempenhar papéis importantes na equipe, como o de gerente de segurança da informação e o de responsável pela elaboração e estabelecimento de normas, políticas e metodologias. É difícil até mesmo encontrar substitutos dentro da própria equipe no caso de férias e outros afastamentos.

Recentemente, a gerência do Infoseg fez um estudo e estimou em 36 o número ideal de pessoas para compor a equipe, sendo 28 para operação e manutenção e 8 para implantar um serviço de atendimento ao usuário (help desk) ininterrupto (ver item 2.11).

Outro aspecto importante relativo à gestão e à segurança de TI é o exercício de funções sensíveis ou estratégica por terceirizados. Com apenas um servidor do MJ (e ainda por cima com contrato temporário) é impossível que funções estratégicas de TI não sejam exercidas por prestadores de serviços, como as atividades de administrador da rede de telecomunicações, de banco de dados e de gerente de desenvolvimento.

As conseqüências diretas dessa desproporção entre o número de servidores efetivos e de prestadores de serviço (92,31% da equipe são terceirizados) é o risco de descontinuidade da manutenção do sistema, devido a uma possível saída dos terceirizados, e a dependência em relação à empresa contratada, uma vez que a Senasp não detém o conhecimento tecnológico do sistema.

(...)

Conclusão

O número reduzido de funcionários e o grande percentual de terceirizados no quadro de analistas e programadores responsáveis pelo Infoseg deixam a Senasp numa situação vulnerável, com forte dependência desses profissionais.

A Senasp necessita aumentar o número de servidores efetivos de forma que atividades estratégicas e sensíveis passem a ser exercidas por servidores públicos, tornando, assim, os ambientes de desenvolvimento e de produção do sistema mais estáveis e minimizando o risco de descontinuidade do Infoseg.

Proposta de Encaminhamento

Determinar à Senasp:

a) envide esforços no sentido de dotar a gerência do Infoseg dos recursos humanos necessários à garantia da continuação do desenvolvimento, manutenção e operação do sistema, à semelhança das orientações contidas no item PO 4.12 do COBIT 4.0;

b) avalie a situação de terceirização de pessoal na gerência do Infoseg e envide esforços no sentido de diminuir o nível de terceirização, principalmente para ocupar cargos sensíveis com pessoal de carreira dentro da Administração Pública;

Recomendar ao Ministério da Justiça que defina formalmente a estrutura organizacional da gerência do Infoseg, definindo suas competências e responsabilidades, à semelhança das orientações contidas no item PO4.6 do COBIT 4.0.

2.11. Serviço de atendimento ao usuário não funciona adequadamente

Situação encontrada

Os usuários do Infoseg não possuem uma central de atendimento - help desk - que permita o esclarecimento de dúvidas, a resolução de problemas de funcionamento e a informação de incidentes de segurança. A gerência do Infoseg possui dois atendentes que ?funcionam? como help desk, atendendo nos dias úteis das 08:00hs às 12:00hs e das 14:00hs às 18:00hs. Porém, como o sistema de segurança pública funciona 24 horas por dia, o Infoseg é um sistema de âmbito nacional e conta hoje com aproximadamente quarenta e sete mil usuários de consulta, esse serviço não atende adequadamente às necessidades dos usuários.

(...)

Conclusão

Há necessidade de implantação de uma central de atendimento aos usuários (help desk) que funcione 24 horas por dia com atendentes capacitados para auxiliá-los em relação à utilização do Infoseg e que possibilite o registro das falhas e dúvidas verificadas, bem como indique as possíveis soluções, permitindo, assim, a construção de uma base de conhecimento sobre as dificuldades e dúvidas mais freqüentes e o registro dos incidentes de segurança ocorridos.

Proposta de Encaminhamento

Determinar à Senasp que implemente serviço de atendimento ao usuário do Infoseg (help desk) adequado às suas necessidades, em conformidade com o previsto no item 13.1.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no DS8.1 do COBIT 4.0, avaliando a conveniência de implantá-lo em regime ininterrupto (24 horas por dia e 7 dias por semana).

2.12. Falhas nos contratos de locação de mão-de-obra

Situação encontrada

A Senasp não possui quadro próprio de servidores efetivos para desempenhar as atividades relacionadas à tecnologia da informação. Dessa forma, para suprir essa deficiência, foram alocados para a gerência do Infoseg doze prestadores de serviço, sendo dez do contrato nº 02/2003 celebrado pelo Ministério da Justiça com a empresa Politec Informática Ltda. (anexo 1, fls. 155/168).

Apesar de não ter sido celebrado com a Senasp, esse contrato está relacionado indiretamente ao Infoseg e por isso foi avaliado para verificar se contempla os requisitos de segurança da informação estabelecidos pela NBR ISO/IEC 17799, item 6.2.3 (Identificando segurança da informação nos acordos com terceiros). Esses aspectos se tornam ainda mais relevantes devido ao caráter sigiloso das informações criminais constantes do IN. Conforme já mencionamos no item 1.4, a legalidade do contrato não faz parte do escopo deste trabalho e nesta avaliação verificamos se foram ou não contemplados no contrato requisitos de segurança da informação.

O quadro a seguir resume os principais aspectos verificados no contrato:

VIDE TABELA NO DOCUMENTO ORIGINAL

(...)

Conclusão

O contrato de locação de mão-de-obra atinente à TI analisado não contempla todas as cláusulas necessárias à preservação da confidencialidade, da integridade e da disponibilidade da informação e que permitam um acompanhamento eficiente de toda sua execução.

Proposta de Encaminhamento

Determinar à Coordenação-Geral de Logística do Ministério da Justiça - CGL/MJ - que nos contratos de locação de mão-de-obra relativos à área de TI, defina claramente, tanto nos editais de licitação como nos contratos, cláusulas contemplando requisitos de segurança da informação como os previstos no item 6.2.3 da NBR ISO/IEC 17799:2005.

2.13. Inexistência de controles compensatórios para as operações dos administradores do sistema

Situação encontrada

Por meio de entrevistas, identificamos as seguintes impropriedades:

- os administradores de banco de dados - DBA - da Senasp já realizaram operações diretamente na base de dados com utilitários (ferramenta SQL), com autorização do gerente do Infoseg, porém sem autorização documental e sem registro dos procedimentos realizados na operação;

- há dois DBA na Senasp compartilhando a mesma senha com privilégios absolutos de acesso às bases de dados do Infoseg.

Ainda por meio de entrevistas, fomos informados que as exclusões dos registros no IN (tabela INDIVIDUOS) são lógicas e não físicas . Entretanto, evidenciamos que:

- o maior valor da chave primária (207.184.358) é (muito) maior que o número de registros na base (15.736.120), sendo este fato indício da possibilidade de ter havido exclusões físicas, pois, como o valor da chave primária é gerado seqüencialmente, o valor da última chave primária deveria ser igual ao número de registros;

- há registros na tabela INDIVÍDUOS com a chave primária fora de ordem, o que é indício da possibilidade de exclusões e posteriores inclusões.

Por meio dos itens 3 e 4, do Ofício de Requisição 08-75/2006 (fl. 19), solicitamos esclarecimentos para as evidências supra. A resposta encaminhada (anexo 1, v. 1, fl. 364) não logrou afastar a possibilidade levantada por esta equipe de que não há como garantir que não houve exclusão física de registros da tabela INDIVIDUOS, possibilidade ratificada com a equipe técnica da Senasp por meio de reunião.

Em geral, não se pode evitar que um DBA realize as operações que desejar sobre as bases de dados, como se faz com um usuário comum ao simplesmente negar-lhe privilégios sobre os dados que se quer proteger. Devido ao acesso completo que o DBA tem que ter sobre os dados da base, o controle das suas operações é dos mais complexos de serem implementados. Entretanto, ainda que não se possa impedir que ele modifique os dados, devem-se prover controles compensatórios para possibilitar o rastreamento de suas operações.

(...)

Conclusão

Há compartilhamento de senhas entre os DBA e não há controles compensatórios sobre suas operações nas bases de dados. É preciso estabelecer procedimentos formais para a execução de operações diretamente sobre a base de dados com utilização de utilitários e documentar os procedimentos realizados.

Proposta de Encaminhamento

Determinar à Senasp que:

a) implemente controles compensatórios (autorização formal, registro e monitoramento das alterações) para as operações dos administradores de banco de dados do Infoseg de forma a permitir o rastreamento das operações realizadas com privilégios, em conformidade com o previsto no item 10.10.4 da NBR ISO/IEC 17799:2005;

b) utilize identificadores de usuários únicos para o Infoseg de forma a assegurar a responsabilidade de cada usuário, inclusive quanto aos usuários com privilégios de administração, em conformidade com o previsto no item 11.2.1 da NBR ISO/IEC 17799:2005;

c) estabeleça procedimentos formais para a execução de operações diretamente sobre as bases de dados do Infoseg com a utilização de utilitários, documentando os procedimentos realizados, em conformidade com o previsto no item 11.5.4 da NBR ISO/IEC 17799:2005.

2.14. Falha no gerenciamento de privilégios dos usuários

Situação encontrada

Identificamos na tabela de privilégios dos usuários sobre as tabelas do IN (anexo 1, vol.2, fls.521/522) que eles possuem mais privilégios que o necessário para suas operações. Vejamos alguns casos:

- o usuário Infoseg é o responsável por fazer as consultas ao IN, necessitando apenas do privilégio ?SELECT? sobre a tabela INDIVIDUOS, porém possui outros sete privilégios;

- o usuário MASTER é o responsável por fazer as atualizações por meio do Módulo Remoto, necessitando apenas dos privilégios ?SELECT?, ?INSERT? e ?UPDATE?, porém possui outros cinco privilégios;

- segundo entrevistas com gestores, a exclusão de registros é lógica, e não física, porém há usuários com privilégios ?DELETE? sobre as tabelas.

(...)

Conclusão

Os usuários do banco de dados têm mais privilégios do que necessitam para realizar suas operações. Os privilégios devem ser concedidos sobre a base do ?menor privilégio? e da ?necessidade de fazer ou saber?.

Proposta de Encaminhamento

Determinar à Senasp que atribua a cada usuário do banco de dados do Infoseg somente os privilégios mínimos necessários ao desempenho de suas funções, conforme previsto no item 11.2.2 da NBR ISO/IEC 17799:2005.

2.15. Insuficiência de trilhas de auditoria

Situação encontrada

Identificamos que as trilhas de auditoria existentes no Infoseg contemplam apenas as consultas realizadas pelos usuários Web (quem consultou o que, e quando). Não há registros sobre:

- a data da atualização (data do sistema) dos registros no Índice Nacional - IN;

- os dados alterados no Índice Nacional - IN;

- as concessões e revogações das contas de HOST.

Observa-se que houve preocupação, por parte da equipe do Infoseg, de permitir auditoria nas consultas, mas não nas alterações realizadas no sistema. Tal fato deve-se à intenção de disponibilizar a auditoria das consultas ao Infoseg como ferramenta para corregedorias das polícias (por exemplo, para investigar o motivo de um policial, após consultar uma placa de veículo roubado no Infoseg, não ter registrado boletim de ocorrência).

As trilhas de auditoria são, portanto, insuficientes e não se alinham ao previsto no item 10.10.1 (Registros de auditoria) da NBR ISO/IEC 17799:2005.

- (...)

Conclusão

Faz-se necessário implementar trilhas de auditoria mais completas que permitam auditorias nas alterações do sistema.

Proposta de Encaminhamento

Determinar à Senasp que:

a) implemente trilhas de auditoria para as atualizações no Índice Nacional do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005, contendo, no mínimo, a data-hora da alteração, o dado alterado e o responsável pela alteração;

b) implemente trilhas de auditoria para as concessões e revogações das contas de HOST do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005.

2.16. Ausência de otimização do tráfego na rede Infoseg

Situação encontrada

O fluxo de dados na rede Infoseg para a atualização do IN pode ser acompanhado pela figura 1 - Arquitetura do Infoseg (fl.56). Os dados para atualização do IN são gerados pelo Host de atualização do estado e entregues, em formato XML, ao Módulo Remoto. O Módulo Remoto, por sua vez, trafega o pacote XML até o Hub Server, que realiza o desempacotamento do XML e efetua a operação de atualização na base de dados do Índice Nacional. Após a operação, o Hub Server encaminha uma mensagem XML de sucesso ou erro ao Módulo Remoto, que a repassa ao Host de atualização do estado.

Utilizar uma interface bem definida em XML (padrão aberto) para a comunicação entre o Host de atualização do estado e o Módulo Remoto foi uma solução simples e eficaz para permitir a interoperação dos sistemas das UF (heterogêneos) com o Infoseg. Ocorre que a comunicação entre os componentes do Infoseg que estão sob o domínio da Senasp, no caso o Módulo Remoto e o Hub Server, não necessita se dar por meio de pacotes XML, já que este elo do sistema não é heterogêneo (tudo é desenvolvido em Java pela Senasp que detém a definição precisa dos dados permutados entre os componentes).

Os pacotes XML carregam informações de controle que identificam com marcas (tags) os dados transportados, como se pode ver na descrição de um pacote para inclusão de um indivíduo no IN (anexo 1, vol.2, fl.523). Observa-se que a quantidade de informação de controle (em bytes, considerando cada caracter representado por um byte) é bem superior à quantidade de informação sobre o indivíduo(que é o que se encontra em negrito no texto).

É mais eficiente realizar o desempacotamento do XML entregue pelo Host de atualização do estado no próprio Módulo Remoto, pois com esta medida:

a) diminui-se a quantidade de bytes transmitida pela rede;

b) descentraliza-se o processamento do desempacotamento do XML nos diversos módulos remotos (cada Módulo Remoto atende um Host de atualização do estado), diminuindo o trabalho de verificação realizado no Hub Server (que atende todos os host de atualização dos estados).

Ainda que atualmente não haja gargalos no processamento do Hub Server nem no tráfego de rede, com o aumento da demanda do sistema estes gargalos podem surgir, e a otimização proposta poderá retardar a necessidade de aumentar os links de comunicação bem como a capacidade de processamento do Hub Server.

(...)

Conclusão

Além das atualizações no IN, o tráfego de rede gerado pelas consultas detalhadas aos indivíduos também podem sofrer otimização pelo empacotamento e desempacotamento dos XML nos Módulos Remotos, de forma que os dados trafeguem na rede Infoseg em formato mais compacto que o XML, como por exemplo, no formato TXT.

Proposta de Encaminhamento

Determinar à Senasp que estude a viabilidade de trafegar os dados pela rede Infoseg em formato mais compacto que o formato XML usado atualmente, como por exemplo no formato TXT, em atendimento ao Princípio da Eficiência constante do art. 37, caput, da Constituição Federal.

2.17. Usabilidade do sistema insatisfatória

Situação encontrada

Visando conhecer a opinião dos usuários da rede Infoseg, a equipe elaborou um questionário eletrônico (anexo1, v.2, fls.455/466) contendo dezessete perguntas sobre a satisfação dos usuários na utilização dos quatro módulos de consulta da Rede. O questionário ficou disponível para resposta entre os dias 10/04/2006 e 03/05/2006 e obteve 4.238 respostas ?brutas?. Após a exclusão de algumas respostas repetidas chegou-se ao número final de 3.717 respostas válidas que foram usadas como base para as conclusões das impressões do usuário sobre o sistema. Para se obter os percentuais a seguir explicitados foram consideradas apenas as respostas não deixadas em branco de cada pergunta.

O primeiro ponto questionado foi a disponibilidade da rede Infoseg.

- Pergunta: ?Ao tentar acessar a rede Infoseg o site estava fora do ar ??

- Respostas: 5% responderam ?com freqüência?, 38% ?às vezes? e 57% ?raramente?.

- Comentário: o percentual acumulado de 43% para as respostas ?com freqüência? e ?às vezes? reforça a necessidade de se criar uma estrutura alternativa para os componentes da rede Infoseg, haja visto que o sistema é utilizado ininterruptamente pelos agentes de segurança pública no país (ver item 2.6).

No que diz respeito ao IN, foi pedido aos usuários: ?Por favor, marque até que ponto você concorda ou discorda com cada uma das frases a seguir, relativas a uma consulta na base de INDIVÍDUOS?.

- Afirmação: ?Consigo a informação que preciso?.

- Respostas: 3,5% responderam ?Discordo totalmente?, 24,1% ?Discordo mais que concordo?, 54,4% ?Concordo mais que discordo? e 18% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 27,6% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não conseguem encontrar as informações sobre indivíduos que precisam. Devido à baixa complexidade das consultas do sistema, consideramos esse índice elevado, cabendo à gerência do Infoseg adotar medidas para aumentar o número de informações disponíveis ou melhorar a qualidade das já existentes.

- Afirmação: ?É fácil encontrar a informação que procuro?.

- Respostas: 3,4% marcaram ?Discordo totalmente?, 23,3% ?Discordo mais que concordo?, 46,9% ?Concordo mais que discordo? e 26,4% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 26,6% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não acham fácil encontrar as informações que precisam, mostrando coerência com os resultados da pergunta anterior. Devido à baixa complexidade das consultas do sistema, consideramos esse índice elevado, cabendo à gerência do Infoseg adotar medidas para tornar as consultas mais claras.

- Afirmação: ?Confio nas informações recebidas para tomar decisões?.

- Respostas: 4,4% assinalaram ?Discordo totalmente?, 18,4% ?Discordo mais que concordo?, 37,3% ?Concordo mais que discordo? e 39,8% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 77,1% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? se analisados isoladamente mostram resultados positivos, pois demonstram um bom índice de confiança na rede Infoseg. Entretanto, se levarmos em conta as inconsistências encontradas entre os dados constantes do IN e das bases estaduais (ver item 2.2), veremos que há risco potencial de um agente de segurança pública ser induzido ao erro, quer seja prendendo alguém indevidamente ou deixando de prender algum suspeito com mandado de prisão em aberto. Cabe à gerência do Infoseg adotar medidas necessárias para acabar com as inconsistências existentes, minimizando a possibilidade de ocorrerem os eventos mencionados acima.

- Afirmação: ?Para consultas, utilizo a rede Infoseg em substituição aos sistemas criminais estaduais.?

- Respostas: 13,5% responderam ?Discordo totalmente?, 24,8% ?Discordo mais que concordo?, 32,2% ?Concordo mais que discordo? e 29,5% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 61,7% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? demonstra um bom índice de utilização da rede Infoseg, que está sendo utilizada não apenas para consultas interestaduais, mas também para consultas locais em substituição aos sistemas estaduais.

- Afirmação: ?Entendo completamente o significado das informações (inquérito, narcotráfico, armas, etc.) que são apresentadas sobre os indivíduos consultados?.

- Respostas: 3,8% disseram ?Discordo totalmente?, 12,9% ?Discordo mais que concordo?, 28,6% ?Concordo mais que discordo? e 54,6% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 83,3% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? demonstra um bom índice de entendimento do significado dos dados por parte dos usuários.

Com relação ao módulo Veículos, foi pedido aos usuários: ?Por favor, marque até que ponto você concorda ou discorda com cada uma das frases a seguir, relativas a uma consulta na base de VEÍCULOS?.

- Afirmação: ?Consigo a informação que preciso?.

- Respostas: 3,7% disseram ?Discordo totalmente?, 17,7% ?Discordo mais que concordo?, 43,5% ?Concordo mais que discordo? e 35,1% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 21,4% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não conseguem encontrar as informações sobre veículos que precisam. Nesse caso, como a Senasp não é o órgão responsável pela base de dados, não cabe à gerência do Infoseg adotar nenhuma medida imediata.

- Afirmação: ?É fácil encontrar a informação que procuro?.

- Respostas: 3,2% marcaram ?Discordo totalmente?, 16,5% ?Discordo mais que concordo?, 41% ?Concordo mais que discordo? e 39,3% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 19,7% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não acham fácil encontrar as informações sobre veículos que precisam, mostrando coerência com os resultados da pergunta anterior. Nesse caso, apesar da Senasp não ser o órgão responsável pela base de dados, é possível que a gerência do Infoseg adote medidas para tornar as consultas mais claras.

- Afirmação: ?Confio nas informações recebidas para tomar decisões?.

- Respostas: 3,3% assinalaram ?Discordo totalmente?, 13,7% ?Discordo mais que concordo?, 35,5% ?Concordo mais que discordo? e 47,6% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 83% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? demostram resultados positivos, pois mostram um bom índice de confiança nas informações disponíveis sobre veículos na rede Infoseg, com números bem parecidos aos encontrados para o IN.

Para o módulo Condutores, foi perguntado: ?Por favor, marque até que ponto você concorda ou discorda com cada uma das frases a seguir, relativas a uma consulta na base de CONDUTORES?.

- Afirmação: ?Consigo a informação que preciso?.

- Respostas: 3,1% disseram ?Discordo totalmente?, 17,1% ?Discordo mais que concordo?, 44,5% ?Concordo mais que discordo? e 35,3% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 20,2% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não conseguem encontrar as informações sobre condutores que precisam. Nesse caso, como a Senasp não é o órgão responsável pela base de dados, não cabe à gerência do Infoseg adotar nenhuma medida imediata.

- Afirmação: ?É fácil encontrar a informação que procuro?.

- Respostas: 2,7% marcaram ?Discordo totalmente?, 16,2% ?Discordo mais que concordo?, 41,8% ?Concordo mais que discordo? e 39,2% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 19% para ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não acham fácil encontrar as informações sobre condutores que precisam, mostrando coerência com os resultados da pergunta anterior. Nesse caso, apesar da Senasp não ser o órgão responsável pela base de dados, é possível que a gerência do Infoseg adote medidas para tornar as consultas mais claras.

- Afirmação: ?Confio nas informações recebidas para tomar decisões?.

- Respostas: 2,3% assinalaram ?Discordo totalmente?, 12,7% ?Discordo mais que concordo?, 35,6% ?Concordo mais que discordo? e 49,4% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 85% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? demostram resultados positivos, pois mostram um bom índice de confiança nas informações disponíveis sobre condutores na rede Infoseg, seguindo a tendência dos números encontrados para o IN e o módulo Veículos.

Sobre módulo o Armas, foi perguntado: ?Por favor, marque até que ponto você concorda ou discorda com cada uma das frases a seguir, relativas a uma consulta na base de ARMAS?.

- Afirmação: ?Consigo a informação que preciso?.

- Respostas: 6,5% marcaram ?Discordo totalmente?, 22,6% ?Discordo mais que concordo?, 43,8% ?Concordo mais que discordo? e 27,1% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 29,1% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não conseguem encontrar as informações sobre armas que precisam. Nesse caso, como a Senasp não é o órgão responsável pela base de dados, não cabe à gerência do Infoseg adotar nenhuma medida imediata.

- Afirmação: ?É fácil encontrar a informação que procuro?.

- Respostas: 5,9% marcaram ?Discordo totalmente?, 22% ?Discordo mais que concordo?, 41,4% ?Concordo mais que discordo? e 30,7% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 27,9% para as respostas ?Discordo totalmente? e ?Discordo mais que concordo? demonstra o número de pessoas que não acham fácil encontrar as informações sobre armas que precisam, mostrando coerência com os resultados da pergunta anterior. Nesse caso, apesar da Senasp não ser o órgão responsável pela base de dados, é possível que a gerência do Infoseg adote medidas para tornar as consultas mais claras.

- Afirmação: ?Confio nas informações recebidas para tomar decisões?.

- Respostas: 6,0% assinalaram ?Discordo totalmente?, 17,5% ?Discordo mais que concordo?, 36% ?Concordo mais que discordo? e 40,5% ?Concordo totalmente?.

- Comentário: o percentual acumulado de 76,5% para as respostas ?Concordo mais que discordo? e ?Concordo totalmente? demostram resultados positivos, pois mostram um bom índice de confiança nas informações disponíveis sobre armas na rede Infoseg, apesar dos números um pouco inferiores aos encontrados para os outros módulos.

Outro aspecto perguntado foi sobre o atendimento prestado pela equipe da gerência do Infoseg.

- Pergunta: ?Você ficou satisfeito ou insatisfeito com o atendimento a dúvidas prestado pela equipe da Senasp ??

- Respostas: 5% responderam ?Muito insatisfeito?, 7,2% ?Insatisfeito?, 22,7% ?Nem satisfeito Nem Insatisfeito?, 56% ?Satisfeito? e 9,1% ?Muito Satisfeito?.

- Comentário: o percentual acumulado de 34,8% para as respostas ?Muito insatisfeito?, ?Insatisfeito? ou ?Nem satisfeito Nem Insatisfeito?, reforça a necessidade de se implantar um serviço de atendimento ao usuário - help desk - em tempo integral (ver item 2.11).

Ao final do questionário, foi deixado um campo aberto para sugestões. Todas as sugestões feitas foram repassadas para a gerência do Infoseg juntamente com o restante das respostas.

Os resultados finais da pesquisa demonstram que, em geral, os usuários confiam nas informações da rede Infoseg e entendem bem seu significado. Porém, um percentual em média um pouco acima de 20% não encontra ou não acha fácil encontrar as informações que precisa, mostrando que há espaço para a gerência do Infoseg melhorar a efetividade do sistema.

- (...)

Conclusão

A gerência do Infoseg deve analisar as sugestões enviadas pelos usuários no questionário e estudar quais alterações são necessárias para melhorar os pontos fracos apontados.

Proposta de Encaminhamento

Determinar à Senasp que, em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, avalie os resultados da pesquisa realizada com os usuários do Infoseg no curso deste trabalho (CD-ROM em anexo), implementando melhorias no sistema que minimizem os pontos fracos apontados, em especial quanto à facilidade de busca das informações.

3. OUTROS FATOS RELEVANTES

3.1. Descontinuidade do desenvolvimento do sistema Terracrime

O Sistema de Avaliação e Controle da Criminalidade em Ambiente Urbano - Terracrime - é um sistema de georreferenciamento, que tem o objetivo de prover os gestores da área de segurança pública de informações estatísticas sobre a distribuição das ocorrências criminais nos logradouros das áreas urbanas. Assim, as polícias poderiam contar com valiosas informações para o planejamento do policiamento preventivo e repressivo, racionalizando a alocação de recursos humanos e materiais.

O Terracrime versão 1.0 foi originalmente desenvolvido, em plataforma de software livre, pelo Laboratório de Estatística Espacial da Universidade Federal de Minas Gerais, por meio de parceria firmada com a Senasp em julho de 2003. O projeto teve um custo de R$ 100.000,00 e envolveu a realização de cinco produtos que eram: avaliação dos dados, avaliação dos recursos computacionais, implementação do sistema piloto, capacitação de usuários e técnicos e avaliação do desempenho do sistema.

Segundo o relatório de atividades do Terracrime (anexo1, fls. 04/83), produzido pela Senasp, os cinco produtos estipulados foram executados entre julho de 2003 e julho de 2004. Uma vez desenvolvido, o software foi implantado em caráter piloto na cidade de Porto Alegre/RS e avaliado entre outubro de 2003 e maio de 2004.

Durante o projeto piloto, foi observada a existência de alguns problemas técnicos a serem solucionados para garantir a implantação nacional do software. No dia 15 de dezembro de 2003, houve o evento de lançamento da primeira versão do Terracrime para todos os secretários estaduais de Segurança Pública. Neste evento, foram detalhadas as dificuldades existentes na primeira versão e foi proposto o seguinte conjunto de atividades necessárias para suas correções: desenvolvimento da versão 2.0 do software Terracrime, correção de problemas identificados do software Terracrime 1.0, estruturação e manutenção de uma equipe de apoio ao usuário, documentação do software Terracrime 2.0 e cursos de capacitação em gestão de segurança pública utilizando análises espaciais.

Entre janeiro de 2004 e fevereiro de 2006, algumas ações foram empreendidas no sentido de continuar o processo de execução do Projeto Terracrime, mas em função do contingenciamento de recursos da Senasp, este projeto perdeu seu caráter prioritário e foram buscadas formas menos ousadas de executá-lo. Porém, embora a Senasp tivesse feito um planejamento para a implantação nacional do sistema até o fim do primeiro semestre de 2004, o Terracrime foi utilizado de forma experimental apenas na cidade de Porto Alegre - RS.

Após algumas tentativas fracassadas de resolver os problemas da primeira versão do Terracrime com recursos da Senasp, foi verificado que os responsáveis pela sua elaboração estão fazendo os aperfeiçoamentos no software com recursos próprios auferidos de outras organizações. Esta evolução do Terracrime se denomina Terraview e possui todas as ferramentas de análise previstas no Terracrime e algumas outras mais novas agregadas por eles. A primeira versão do Terracrime e a versão mais nova do Terraview estão disponíveis gratuitamente na página do Laboratório de Estatísticas Espaciais/UFMG (www.est.ufmg.br/leste).

Tendo em vista a situação relatada acima, foi decidido restringir a ação da Senasp à execução dos cursos de capacitação em gestão de segurança pública utilizando análises espaciais, seguindo o modelo proposto. Dessa forma, a Senasp pretende executar, durante o ano de 2006, seis cursos em regiões metropolitanas caracteristicamente violentas (Belo Horizonte, Região do Entorno de Brasília, Porto Alegre, Campinas, Baixada Santista e Recife), capacitando 180 gestores em segurança pública. Estes cursos não serão dedicados a trabalhos técnicos com o software, mas sim à difusão de conhecimentos necessários para implantação e utilização do geoprocessamento como ferramenta de gestão na área de segurança pública. Assim sendo, consideramos que a decisão da Senasp de descontinuar o desenvolvimento do Terracrime atendeu ao princípio da razoabilidade.

3.2. Inexistência ou inadequação da documentação da solução de integração

Entender o funcionamento das soluções de integração com a Senasp desenvolvidas pelos entes federados era um dos pontos a serem verificados durante as visitas feitas pela equipe aos estados. No entanto, não foi possível alcançar esse objetivo devido à inexistência ou inadequação da documentação apresentada. Além disso, em alguns lugares onde as pessoas diretamente responsáveis pelo desenvolvimento ou manutenção não estavam presentes, os substitutos não sabiam quase nada sobre o sistema.

Os estados de Pernambuco, Rio Grande do Sul e Pará não apresentaram nenhuma documentação . O Ceará apresentou um documento de uma folha (anexo1,v.2,fl.454) que descreve de forma precária o fluxo de eventos da aplicação. O Distrito Federal entregou um documento (anexo1,v.2,fls.467/471) desatualizado e incompleto sobre as rotinas de atualização do Infoseg. Já o Departamento de Polícia Federal disponibilizou um documento intitulado ?Estudo e Definição dos Procedimentos para Integração dos Sistemas SINIC e Infoseg? (anexo1,v.2,fls.475/488) que é elucidativo em relação ao entendimento da solução adotada, mas insuficiente para possibilitar manutenção corretiva ou evolutiva do sistema.

Devido à falta de documentação adequada, os gestores estaduais tiveram grande dificuldade em apontar as possíveis causas das inconsistências encontradas entre os dados constantes do IN e das bases estaduais (ver 2.2), pois não sabiam descrever todo o fluxo de dados das aplicações envolvidas nas operações de atualização do Infoseg.

Também foi observado alto nível de terceirização de prestadores de serviço de informática nos estados, agravando a falta da documentação, devido à grande rotatividade dos contratados.

Os sistemas de informática são dinâmicos e devem estar sempre evoluindo para se adaptarem às novas necessidades dos usuários. Portanto, é fundamental que haja documentação completa e atualizada das aplicações, visando possibilitar manutenções corretivas e evolutivas necessárias para o aperfeiçoamento do Infoseg.

Face ao exposto, apesar dos estados não estarem subordinados à Senasp, por causa do princípio Federativo, a gerência do Infoseg deve buscar entendimentos com os mesmos buscando a elaboração ou atualização das documentações existentes (Lote 0000425265411).

3.3. Indícios de superfaturamento em contrato

Em que pese não estar no escopo desta fiscalização a verificação da conformidade das contratações, a equipe de auditoria se deparou com indícios de superfaturamento no contrato nº 02/2003 (anexo 1, v.0, fls. 155/168) firmado entre a União, por intermédio da Coordenação-Geral de Logística do Ministério da Justiça - CGL/MJ -, e a empresa Politec, para locação de mão-de-obra para prestação de serviços de informática. Os indícios de superfaturamento devem-se ao variável e elevado percentual de encargos sociais que se percebeu da observação dos valores constantes da tabela constante do anexo I do contrato (anexo 1, v. 0, fl. 169).

Consoante previsto no art. 237, inciso V, c/c art. 246, todos do Regimento Interno do TCU, esta equipe proporá Representação para tratar do assunto.

3.4. Desenvolvimento, manutenção e operação de sistema sem supervisão

O Anexo I ao Decreto 5.834, de 06.07.2006, que define a Estrutura Regimental do Ministério da Justiça, prescreve que:

?Art. 4º À Secretaria-Executiva compete:

...

II - supervisionar e coordenar as atividades de organização e modernização administrativa, bem como as relacionadas com os sistemas federais de planejamento e de orçamento, de contabilidade, de administração financeira, de administração dos recursos de informação e informática, de recursos humanos e de serviços gerais, no âmbito do Ministério; e

...

Art. 5º À Subsecretaria de Planejamento, Orçamento e Administração compete:

I - planejar, coordenar e supervisionar a execução das atividades relativas à organização e modernização administrativa, assim como as relacionadas com os sistemas federais de planejamento e de orçamento, de contabilidade e de administração financeira, de administração de recursos de informação e informática, de recursos humanos e de serviços gerais, no âmbito do Ministério;?

Apesar de não constar do Regimento Interno do Ministério da Justiça, o órgão executor das atividades de tecnologia da informação no Ministério é a Coordenação-Geral de Tecnologia da Informação - CGTI, subordinada à Subsecretaria de Planejamento, Orçamento e Administração.

O Infoseg, sistema de extrema relevância para uma das atividades-fim do Ministério da Justiça, foi desenvolvido, é mantido e operado pela Senasp, portanto, fora da CGTI/MJ, com estrutura própria de equipamentos, contratos de prestação de serviço e pessoal (terceirizados).

Não se observou, durante os trabalhos de campo, evidência de qualquer supervisão ou coordenação das atividades de tecnologia da informação desenvolvidas pela Senasp no que diz respeito ao Infoseg .

A descentralização da execução das atividades ligadas à tecnologia da informação dentro de um órgão, por si só, não representa impropriedade, mas uma faculdade do administrador. Entretanto, a ausência de supervisão e coordenação destas atividades executadas de forma descentralizada pode gerar problemas na alocação de recursos (humanos, financeiros e outros) e problemas nos controles relativos à segurança da informação, além de disputas políticas internas. Registre-se, por oportuno, que vários dos achados desta auditoria consistem na ausência ou deficiência de controles fora do Infoseg (políticas, metodologias, normas) que deveriam ser estabelecidas pelo principal órgão executor das atividades de tecnologia da informação do Ministério.

Em que pese o Infoseg estar implantado e com utilização crescente, conforme demonstrativos de números de usuários e de acessos costados aos autos (anexo1, .2, fl. 524), o fato de sua implantação, manutenção e operação ocorrerem sem supervisão ou coordenação sugere a existência de problemas na gestão das atividades de tecnologia da informação no Ministério.

Boas práticas

Foram observadas boas práticas executadas pela gerência do Infoseg e que serão relatadas a seguir:

- Solução de integração mantendo soluções estaduais

A rede Infoseg é composta pela integração de um conjunto de bases de dados distribuídas pelos estados da Federação e por órgãos do governo federal, sendo sua finalidade disponibilizar as informações contidas em qualquer base integrante ao usuário que dela necessite, facilitando o trabalho dos profissionais de segurança pública, justiça e fiscalização em todo o país.

A forma definida de alimentação dos dados na base do Índice Nacional do sistema é feita por uma solução de atualização, onde, à medida que a base de dados do estado sofre uma atualização, é gerado um registro atualizado no Índice Nacional da base de Indivíduos da rede Infoseg, que deve refletir a realidade das bases descentralizadas, preferencialmente de forma on line.

Porém, como cada unidade da federação trabalha com soluções tecnológicas diferentes, ficou a cargo dos estados desenvolverem módulos de integração com a base da Senasp. Esses módulos têm a função de extrair os dados das bases estaduais e do DPF e entregá-los em um formato definido - XML schemas - ao equipamento da Senasp alocado em cada unidade. A solução de atualização para o Índice Nacional que os entes desenvolveram é função da plataforma que cada um deles utiliza nos seus sistemas criminais, não sendo necessário modificar suas bases originais nem adquirir novas tecnologias.

Para permitir a integração de tantas tecnologias diferentes com sua base de dados, a arquitetura adotada pela Senasp atende aos padrões de interoperabilidade do governo eletrônico federal (E-ping) e visa à difusão do acesso aos dados por meio de outros dispositivos, tais como viaturas policiais, palms e celulares.

Dessa forma, foi desenvolvido o módulo central do sistema na nova plataforma, denominado módulo integrador, e um módulo de atualização on-line foi liberado para os estados a fim de que se iniciasse a integração da nova forma de atualização nas 27 Unidades da Federação a partir de junho de 2004.

Até maio de 2006, 26 estados e o Departamento de Polícia Federal estavam atualizando os dados de forma on-line. O estado de São Paulo estava em fase final para fazer a atualização on-line e a Justiça Federal também estava trabalhando nesse sentido.

A possibilidade de cada ente desenvolver sua solução de integração com a Senasp sem precisar modificar suas bases nem alterar sua plataforma tecnológica foi uma boa iniciativa da SENASP, sendo fator crítico de sucesso para a implantação do projeto.

- Motivação dos gestores estaduais

As informações que alimentam o Índice Nacional são provenientes de órgãos de diferentes Poderes (Executivo e Judiciário) e de diferentes esferas de governo (Federal, Estadual e Distrital). Considerando os princípios da Legalidade, da Federação e da Separação de Poderes, previstos na Constituição Federal, e que a rede Infoseg não foi instituída por lei, que seria o único instrumento legal capaz de institucionalizá-lo nos diversos entes citados, chega-se à conclusão que os entes envolvidos não têm obrigação legal de alimentar o sistema.

Registre-se também, que desde o lançamento da primeira versão do Infoseg, em janeiro de 1997, houve vários fracassos em diversas tentativas de se implantar o projeto, tornando-o desacreditado e chegando a ser cogitado seu encerramento. A atual equipe de gestores assumiu a gerência do Infoseg em novembro de 2004 com a missão de colocá-lo definitivamente em funcionamento.

Em que pesem as dificuldades elencadas acima e as inconformidades encontradas durante a auditoria, ficou claro para esta equipe que os gestores atuais estão efetuando um excelente trabalho de conscientização dos entes federados sobre a importância de alimentarem o sistema, pois todos os locais visitados a postura da atual gerência do Infoseg foi elogiada. O clima atual é de cooperação e confiança e isso vem sendo apontado por todos como um dos principais fatores de sucesso da implantação da rede Infoseg.

- Gestão da execução de contrato com SLA (Embratel)

O acordo de nível de serviço - SLA (sigla em inglês para Service Level Agreement) é um conjunto de cláusulas contratuais por meio do qual são definidos os níveis de qualidade, prazo e estrutura mínimos necessários para que um sistema atenda seus objetivos, além de estabelecer as responsabilidades de cada envolvido quando ocorrer uma interrupção na prestação do serviço previsto no contrato. Para que haja um efetivo cumprimento do SLA, o fiscal do contrato precisa ter instrumentos para avaliar e mensurar a qualidade do serviço prestado pela empresa contratada. Assim, é necessária a previsão de critérios para medição de desempenho a fim de que seja possível avaliar se o prestador está efetivamente disponibilizando o serviço com a qualidade e disponibilidade esperadas. É necessário que esses critérios sejam objetivos, estejam claramente definidos no contrato e, quando utilizados, sejam registrados, comprovados e permaneçam disponíveis para controle. A medição de desempenho deve proporcionar condições para o estabelecimento dos motivos que respaldariam requisições de descontos nas faturas enviadas pela contratada.

A gerência do Infoseg vem efetuando uma fiscalização eficiente do Contrato nº111/2005 (anexo1, v.1, fls.304/319) firmado com a Empresa Brasileira de Telecomunicações S/A - Embratel - para o fornecimento dos serviços de comunicação de dados da rede Infoseg. O acompanhamento tem sido rigoroso e sempre que há quedas nos serviços tem sido feitos os descontos nas faturas previstos no contrato, a exemplo do que aconteceu no Relatório Mensal de Acompanhamento Contratual (anexo1, v.2, fls.446/449) do mês de fevereiro de 2006, onde há um desconto de R$ 13.410,30 sob a rubrica AJUSTE POR RECLAMAÇÃO (anexo 1, vol.2, fl.447).

CONCLUSÃO

O objetivo desta fiscalização foi avaliar aspectos relacionados com a segurança e a consistência das informações gerenciadas pelos sistemas Infoseg.

Como a funcionalidade primitiva do sistema é integrar as informações criminais espalhadas pelos diversos órgãos de segurança pública e de justiça do país, evidenciamos que há diversas inconsistências entre as informações daqueles órgãos e as constantes do Índice Nacional (item 2.2), fato grave que depõe contra a finalidade do sistema e que necessita de medidas corretivas imediatas, sob pena de os agentes de segurança pública do país utilizarem informações incorretas para a tomada de decisões e, por exemplo, prenderem cidadãos inocentes ou deixarem em liberdade foragidos da justiça.

Outra impropriedade considerada grave nesta fiscalização é a estrutura insatisfatória de recursos humanos na gerência do Infoseg (item 2.10). O fato de a gerência do Infoseg não constar da estrutura orgânica no Ministério da Justiça dificulta a alocação dos recursos necessários ao seu bom funcionamento. Quanto à quase completa terceirização, materializada pela existência de um único servidor com contrato temporário nos termos da Lei 8.745/93, identificamos que este fato gera dependência de empresas terceirizadas, risco de descontinuidade dos trabalhos e comprometimento das questões relativas à segurança da informação, visto que atividades estratégicas e sensíveis da gerência são exercidas por pessoas estranhas ao órgão (p.e., o gerente do Infoseg é substituído em suas ausências por um funcionário terceirizado). Contribui para o comprometimento das questões relativas à segurança da informação as falhas detectadas no contrato de locação de mão-de-obra que fornece pessoal para a gerência, que não contem cláusulas recomendadas pelas boas práticas de segurança da informação (item 2.12).

Em caso de incidentes de segurança, verificamos que haveria complicações para retomada da operação do sistema em tempo hábil, visto que há deficiências na segurança física da gerência do Infoseg (item 2.8), a gestão das cópias de segurança é insatisfatória (item 2.7), o serviço de atendimento ao usuário não funciona adequadamente (item 2.11) e não há Plano de Continuidade do Negócio para o Infoseg (item 2.6). Estas falhas também são consideradas graves.

Identificamos que a fragilidade da regulamentação do Infoseg (item 2.1) impede o estabelecimento de atribuições e responsabilidades para os entes que alimentam o sistema e, considerando que estes pertencem a diferentes esferas de Governo e a diferentes Poderes, concluímos pela necessidade de Lei Federal, com conteúdo Nacional, para disciplinar o sistema. A ausência de regulamentação pode implicar falta de comprometimento dos entes que participam do sistema. Ainda com relação à impossibilidade de responsabilização, identificamos a indefinição dos proprietários de alguns ativos (item 2.9), nos termos preconizados belas boas práticas de segurança da informação.

Constatou-se que não há definição da semântica das informações que compõem o IN (item 2.3), o que contribui para que os agentes de segurança pública tenham interpretações distintas dos significados dos campos que compõem o Índice Nacional.

Observou-se que não existem para o Infoseg políticas ou normas formalizadas que concorram para uma boa gestão da segurança da informação (item 2.4). A principal delas seria a Política de Segurança da Informação - PSI -, documento que expressa as orientações da organização quanto à gestão de segurança da informação. Da PSI nascem as demais políticas, como a Política de Controle de Acesso - PCA -, que estabelece as regras que devem ser seguidas para obtenção de acesso às informações. Identificamos também a ausência de padrões formalmente definidos para desenvolvimento de sistemas, o que compromete a continuidade do desenvolvimento e a manutenção do sistema em caso de troca da equipe de analistas e programadores atualmente alocada. A inexistência destes padrões formalizados conduziu ao achado de que o procedimento de controle de mudanças no sistema é inadequado (item 2.5).

Foram anotadas ainda outras falhas, quais sejam a inexistência de controles compensatórios para as operações dos administradores do sistema (item 2.13), a ausência de gerenciamento de privilégios dos usuários do BD (item 2.14) e a insuficiência de trilhas de auditoria (item 2.15)

Verificamos a possibilidade de aperfeiçoamento da solução de integração adotada, pelo tráfego de informações em formato mais compacto que o XML atualmente utilizado, o que otimizaria o tráfego na rede Infoseg e evitaria problemas de desempenho com o aumento da demanda do sistema (item 2.16).

Por fim, considerando a importância do Infoseg para o sistema de segurança pública do país, identificou-se, por meio de pesquisa junto a agentes de segurança pública, que a usabilidade do sistema ainda é insatisfatória (item 2.17).

Após a reunião de encerramento, o gerente do Infoseg encaminhou seus comentários aos achados de auditoria da equipe (fls. 45/49). Em síntese, concordou com a existência das falhas detectadas e informou que as medidas necessárias às correções das impropriedades serão tomadas.

Em razão da gravidade dos fatos detectados e das disposições contidas no Decreto 5.408/2005, será proposto o envio do Acórdão que vier a ser proferido, bem como do Relatório e Voto que o fundamentarem, ao Gabinete de Segurança Institucional - GSI - da Presidência da República, para que tome providências no seu âmbito de competência.

Proporemos ainda o apensamento deste processo ao TC 011.659/2004-1, Relatório de Auditoria Operacional que originou este trabalho, com objetivo de subsidiar os monitoramentos que vierem a ser realizados no âmbito daquele processo.

Por fim, porém não menos importante, registramos que as impropriedades relativas a segurança da informação registradas neste trabalho não são as únicas a comprometer a segurança do Infoseg. A segurança da informação no Infoseg depende também da segurança da informação nos entes que acessam o sistema (Secretarias de Justiça das UF, Tribunais de Justiça, Departamento de Polícia Federal, etc.), pois uma falha de segurança nesses entes afetará diretamente a credibilidade do Infoseg.

PROPOSTA DE ENCAMINHAMENTO

Ante o exposto, submetemos os autos à consideração superior, com as propostas a seguir.

I. Recomendar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso III, do Regimento Interno do TCU, à Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ que em atenção ao Princípio da Legalidade constante do art. 37, caput, da Constituição Federal, estude a viabilidade de apresentar à Casa Civil da Presidência da República anteprojeto de lei que regulamente o § 7º, do art. 144, da Constituição Federal, de forma a institucionalizar o sistema Infoseg, contendo, entre outros, dispositivos que contemplem atribuições e responsabilidades dos entes que detêm informações de interesse do sistema (subitem 2.1).

II. Determinar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso II, do Regimento Interno do TCU, à Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ que:

1. em atenção ao princípio da legalidade constante do art. 37, caput, da Constituição Federal, crie dispositivos que regulamentem o Infoseg, estabelecendo atribuições e responsabilidades para os entes participantes do sistema, ainda que por meio do aperfeiçoamento dos termos de convênio firmados no âmbito do Fundo Único de Segurança Pública - FUSP (subitem 2.1);

2. adote as providências necessárias para resolver as inconsistências entre as bases de dados estaduais e o Índice Nacional constantes dos arquivos do CD-ROM em anexo (subitem 2.2);

3. institua mecanismos que garantam a consistência entre o Índice Nacional - IN - e as bases dos entes que alimentam o IN, verificando periodicamente a eficácia dos mecanismos implementados, de acordo com o previsto no item 12.2.2, da NBR ISO/IEC 17799:2005 (subitem 2.2);

4. estude, em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, a viabilidade de integrar diretamente à rede Infoseg todos os órgãos que devem fornecer informações ao Índice Nacional, em especial os Tribunais de justiça das Unidades da Federação, órgãos responsáveis pelas informações sobre mandados de prisão e processos (subitem 2.2);

5. defina formalmente junto a todos os entes que alimentam o Infoseg o significado preciso de todas as informações que compõe o IN, à semelhança das orientações contidas no item PO2.2 do COBIT 4.0 (subitem 2.3);

6. estabeleça formalmente responsabilidades quanto às questões relativas à segurança das informações do Infoseg, de acordo com o previsto no item 6.1.3 da NBR ISO/IEC 17799:2005 (subitem 2.4);

7. defina formalmente uma Política de Segurança da Informação - PSI - para o Infoseg, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.4);

8. defina formalmente uma Política de Controle de Acesso - PCA - para o Infoseg, contemplando usuários Web, ?host de atualização? e da rede interna da gerência do Infoseg, de acordo com o previsto no item 11.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.4);

9. conduza, a intervalos regulares, a análise crítica dos direitos de acesso dos usuários do Infoseg, por meio de um processo formal, de acordo com o previsto no item 11.2.4 da NBR ISO/IEC 17799:2005 (subitem 2.4);

10. defina formalmente padrões para desenvolvimento de sistemas no âmbito do Infoseg, à semelhança das orientações contidas no item PO8.3 do COBIT 4.0 (subitem 2.4);

11. crie mecanismos para que as políticas e normas se tornem conhecidas, acessíveis e observadas por todos os usuários e gestores do Infoseg, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.4);

12. implemente os procedimentos informatizados necessários no sentido de ajudar a garantir a observância dos itens 7 a 10 acima (subitem 2.4);

13. estabeleça procedimentos formais de controle de demandas e de mudanças no Infoseg, de acordo com o previsto no item 12.5.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no item AI6.2 do COBIT 4.0 (subitem 2.5);

14. estabeleça critérios formais para homologação e aceitação de atualizações e novas versões do Infoseg, de acordo com o previsto no item 10.3.2 da NBR ISO/IEC 17799:2005 (subitem 2.5);

15. defina formalmente um Plano de Continuidade do Negócio - PCN - específico para o Infoseg de acordo com o previsto nos itens 14.1.4 e 14.1.5 da NBR ISO/IEC 17799:2005 (subitem 2.6);

16. formalize política de geração de cópias de segurança para o Infoseg, de acordo com o previsto no item 10.5.1 da NBR ISO/IEC 17799:2005 (subitem 2.7);

17. armazene as mídias contendo cópias de segurança do Infoseg em local diverso da operação do sistema, de acordo com a diretriz ?d? do item 10.5.1 da NBR ISO/IEC 17799:2005 (subitem 2.7);

18. estabeleça um perímetro de segurança nas instalações da gerência do Infoseg, em conformidade com o item 9.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.8);

19. realize as obras necessárias de forma que se constituam barreiras físicas suficientes nas instalações da gerência do Infoseg que impeçam o acesso de pessoas não autorizadas, em conformidade com a diretriz ?b? do item 9.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.8);

20. formalize o inventário dos ativos do Infoseg, em conformidade com o previsto no item 7.1.1 da NBR ISO/IEC 17799:2005 (subitem 2.9);

21. defina formalmente o proprietário de cada ativo constante do inventário acima, em conformidade com o item 7.1.2 da NBR ISO/IEC 17799:2005, atentando para a assinatura das cautelas que se fizerem necessárias (subitem 2.9);

22. formalize, junto à Agência Estadual de Tecnologia da Informação do estado de Pernambuco - ATI -, um termo de compromisso que contemple de maneira específica a cópia das bases de dados do Infoseg que se encontram naquelas instalações, estabelecendo cláusulas de sigilo e responsabilização pelo uso indevido dos equipamentos ou divulgação não autorizada dos dados (subitem 2.9);

23. envide esforços no sentido de dotar a gerência do Infoseg dos recursos humanos necessários à garantia da continuação do desenvolvimento, manutenção e operação do sistema, à semelhança das orientações contidas no item PO 4.12 do COBIT 4.0 (subitem 2.10);

24. avalie a situação de terceirização de pessoal na gerência do Infoseg e envide esforços no sentido de diminuir o nível de terceirização, principalmente para ocupar cargos sensíveis com pessoal de carreira dentro da Administração Pública (subitem 2.10);

25. implemente serviço de atendimento ao usuário do Infoseg (help desk) adequado às suas necessidades, em conformidade com o previsto no item 13.1.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no DS8.1 do COBIT 4.0, avaliando a conveniência de implantá-lo em regime ininterrupto (24 horas por dia e 7 dias por semana) (subitem 2.11);

26. implemente controles compensatórios (autorização formal, registro e monitoramento das alterações) para as operações dos administradores de banco de dados do Infoseg de forma a permitir o rastreamento das operações realizadas com privilégios, em conformidade com o previsto no item 10.10.4 da NBR ISO/IEC 17799:2005 (subitem 2.13);

27. utilize identificadores de usuários únicos para o Infoseg de forma a assegurar a responsabilidade de cada usuário, inclusive quanto aos usuários com privilégios de administração, em conformidade com o previsto no item 11.2.1 da NBR ISO/IEC 17799:2005 (subitem 2.13);

28. estabeleça procedimentos formais para a execução de operações diretamente sobre as bases de dados do Infoseg com a utilização de utilitários, documentando os procedimentos realizados, em conformidade com o previsto no item 11.5.4 da NBR ISO/IEC 17799:2005 (subitem 2.13);

29. atribua a cada usuário do banco de dados do Infoseg somente os privilégios mínimos necessários ao desempenho de suas funções, conforme previsto no item 11.2.2 da NBR ISO/IEC 17799:2005 (subitem 2.14);

30. implemente trilhas de auditoria para as atualizações no Índice Nacional do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005, contendo, no mínimo, a data-hora da alteração, o dado alterado e o responsável pela alteração (subitem 2.15);

31. implemente trilhas de auditoria para as concessões e revogações das contas de HOST do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005 (subitem 2.15);

32. estude a viabilidade de trafegar os dados pela rede Infoseg em formato mais compacto que o formato XML usado atualmente, como por exemplo no formato TXT, em atendimento ao Princípio da Eficiência constante do art. 37, caput, da Constituição Federal (subitem 2.16);

33. em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, avalie os resultados da pesquisa realizada com os usuários do Infoseg no curso deste trabalho (CD-ROM em anexo), implementando melhorias no sistema que minimizem os pontos fracos apontados, em especial quanto à facilidade de busca das informações (subitem 2.17).

III. Recomendar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso III, do Regimento Interno do TCU, ao Ministério da Justiça que defina formalmente a estrutura organizacional da gerência do Infoseg, definindo suas competências e responsabilidades, à semelhança das orientações contidas nos itens PO4.5 e PO4.6 do COBIT 4.0 (subitem 2.10).

IV. Determinar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso II, do Regimento Interno do TCU, à Coordenação-Geral de Logística do Ministério da Justiça - CGL/MJ que nos contratos de locação de mão-de-obra relativos à área de TI, defina claramente, tanto nos editais de licitação como nos contratos, cláusulas contemplando requisitos de segurança da informação como os previstos no item 6.2.3 da NBR ISO/IEC 17799:2005 (subitem 2.12);

V. Encaminhar cópia do Acórdão que vier a ser proferido, bem como do Relatório e Voto que o fundamentarem:

1. à Subcomissão Permanente de Segurança Pública, da Comissão de Constituição, Justiça e Cidadania do Senado Federal - CCJSSP -, à Comissão de Segurança Pública e Combate ao Crime Organizado da Câmara dos Deputados - CSPCCO - e à Casa Civil da Presidência da República (subitem 2.1);

2. ao Gabinete de Segurança Institucional - GSI - da Presidência da República (item 4).

VI. Apensar os presentes autos ao TC 011.659/2004-1 (item 4).?

4. Manifestaram-se de acordo com as propostas apresentadas a Diretora de Auditoria de Tecnologia da Informação e o Secretário Adjunto de Fiscalização (fl.105).

É o relatório.


Voto do Ministro Relator


Por dever de justiça, devo inicialmente louvar o bem elaborado trabalho apresentado pela equipe de auditoria.

2. O Sistema Nacional de Integração de Informações em Justiça e Segurança Pública - Infoseg tem por finalidade integrar e disponibilizar informações dos órgãos de segurança pública, justiça e fiscalização da União, dos Estados e do Distrito Federal.

3. Aos agentes públicos cadastrados no sistema, são disponibilizadas, via internet, informações acerca de inquéritos, processos, mandados de prisão, armas de fogo, veículos e condutores, organizadas em quatro módulos de consulta.

4. O foco da auditoria realizada pela Adfis, que ora trago à apreciação deste Plenário, concentrou-se no módulo Indivíduos, considerado o mais complexo do Infoseg e cuja base de dados (Índice Nacional-IN) é de responsabilidade da Secretaria Nacional de Segurança Pública - Senasp/MJ.

5. O Índice Nacional-IN, consoante a equipe técnica, consiste em um indexador das informações básicas sobre indivíduos de todo país. Após a pesquisa inicial no Índice Nacional, pode-se obter o detalhamento das informações por meio de um link que acessa as bases estaduais de origem.

6. Conforme consignado no relatório precedente, a equipe verificou, no Infoseg, graves impropriedades, sobretudo no que concerne à sua gestão, que indicam a necessidade imperiosa de aperfeiçoamento. Dentre elas, registro as seguintes: insuficiência de regulamentação, inconsistências entre as bases de dados criminais e o IN, indefinição da semântica das informações que compõem o IN, inexistência de política de segurança de informação formalmente definida, estrutura de recursos humanos e usabilidade do sistema insatisfatória, indefinição dos proprietários de alguns ativos, inexistência de plano de continuidade do negócio, gestão deficiente das cópias de segurança, procedimento inadequado de controle de mudanças no sistema, deficiências na segurança física da gerência do Infoseg, funcionamento inadequado do serviço de atendimento ao usuário, insuficiência de trilhas de auditoria, falhas nos contratos de locação de mão-de-obra, entre outras.

7. Entre as ocorrências apontadas, merece destaque a existência de inconsistências entre os dados constantes do Índice Nacional e os constantes das bases dos órgãos que alimentam o sistema.

8. Conforme salientou a equipe de auditoria, a consistência dos dados é fator considerado crítico para o sucesso do Infoseg. No entanto, em todos os órgãos de segurança visitados, nos estados do Ceará, Pernambuco, Rio Grande do Sul e Pará, no Distrito Federal e no Departamento de Polícia Federal, foram constatadas inconsistências, nas três espécies possíveis: registros constantes do IN sem correspondência nas bases do órgão alimentador; registros constantes das bases do órgão alimentador sem correspondência no IN; e registros constantes das bases do órgão alimentador e do IN, porém com conteúdos divergentes.

9. Considerando que os agentes de segurança pública do país utilizam as informações desse sistema para a tomada de decisões, como por exemplo, acerca da prisão ou não de um indivíduo, as inconsistências apuradas constituem fato gravíssimo, devendo ser objeto de medidas corretivas urgentes pelo órgão responsável, pois, além de desacreditar a confiabilidade do sistema, podem provocar conseqüências sérias, como a prisão indevida de um cidadão.

10. Observo que, durante os trabalhos de fiscalização, a equipe elaborou um questionário eletrônico com o objetivo de conhecer a opinião dos usuários da rede Infoseg. Com base nas respostas obtidas (3.717 respostas válidas), concluiu a equipe, no que diz respeito ao Índice Nacional, que 77,1% dos usuários demonstraram confiança nas informações da rede para a tomada de decisões. Isso, talvez, porque desconheçam a fragilidade do mesmo. Esse elevado percentual de confiança exige como contrapartida que a gerência do Infoseg adote de imediato as medidas necessárias para eliminar as inconsistências existentes.

11. Como falha mais relevante, destaco a precária estrutura de recursos humanos verificada na gerência do Infoseg. Conforme constatado na auditoria, a gerência do Infoseg conta com uma equipe de 12 funcionários, sendo um servidor com contrato temporário, nos termos da Lei 8.745/93, e doze terceirizados. Portanto, nenhum servidor efetivo.

12. Além do número reduzido de componentes da equipe, salienta-se, nessa estrutura de pessoal, a sua precariedade, ou seja a excessiva dependência em relação à mão de obra terceirizada. Essa situação, por si só preocupante, em razão das possíveis implicações negativas para a continuidade dos serviços, torna-se mais relevante ao se considerar a natureza estratégica do Infoseg e o caráter sigiloso das informações por ele processadas, que estão sendo geridas por pessoas sem vínculo firme com a Administração Pública. E mal geridas, haja vista as graves falhas indicadas no item 5 deste voto.

13. Embora não se descarte, por ora, a necessidade de utilização de funcionários terceirizados na ?execução? de serviços no âmbito do Infoseg, é imprescindível, a meu ver, que a equipe conte com núcleo de servidores efetivos que possa realizar a gestão do sistema, é dizer, é de todo necessário a alocação de servidores ocupantes de cargo efetivo, capacitados e treinados, para planejar, coordenar, controlar, definir e supervisionar a operação do sistema. O Estado não pode prescindir de exercer, por meio de seus servidores, as funções sensíveis, estratégicas e as de gestão. Não se pode admitir ou entender que tais funções estejam sendo atribuídas a empregados terceirizados. Urge a solução dessa questão.

14. Além disso, registro que a equipe de auditoria apontou também a existência de falhas no contrato de locação de mão-de-obra terceirizada examinado, que não contempla todas as cláusulas necessárias à preservação da confidencialidade, da integridade e da disponibilidade da informação, nem as que permitam um acompanhamento eficiente de toda sua execução. Não é crível tal situação em área tão sensível atualmente no Brasil, como a segurança pública. Ou se trata de trabalho de amadores ou de heróis que, sobrepujando todo tipo de obstáculos, procuram manter sobre toda dificuldade, ainda que precariamente, um sistema de informações de segurança mínimo. Penso que os amadores devam ser banidos e os heróis devam receber a estrutura de recursos humanos e materiais adequadas para gerir (planejar, coordenar, estruturar, controlar, supervisionar) com competência o Infoseg, de modo a reduzir-lhes o sacrifício pessoal e a exigir-lhes apenas o dever de acuidade e a dedicação profissional.

15. Deve ser ressaltado que a situação ora verificada na gerência do Infoseg não constitui exceção na Administração Pública, sobretudo na área de Tecnologia da Informação. Em diversas ocasiões, este Tribunal vem constatando a insuficiência de pessoal e a inadequação de contratos de prestação de serviço e locação de mão-de-obra nesse setor estratégico, que não vem recebendo o tratamento devido pelos responsáveis por exercê-las.

16. No TC 011.525/2000-5, de minha relatoria, registrei, no voto que fundamentou o Acórdão 140/2005 - TCU-Plenário, então exarado, o seguinte comentário:

?91. É certo que há amparo em lei para que se busque atenuar as deficiências de pessoal por meio da terceirização de diversas atividades, como o desenvolvimento de sistemas e o suporte ao usuário, entre outras. Lembre-se, contudo, que, antes de se desenvolver os sistemas, é necessário especificá-los; antes de se licitar a prestação de serviços de informática, é necessário elaborar um projeto básico que atenda aos interesses da Administração; antes de se dar por executado um contrato, é necessário que se tenha realizado seu acompanhamento e fiscalização; e, antes que todas essas tarefas se iniciem, é necessário formular um planejamento estratégico, que oriente as ações do setor.

92. Existe, pois, um núcleo de atividades de informática que são estratégicas: ou porque lidam com informações privilegiadas, ou porque tratam da fiscalização dos contratos, ou porque delas depende o funcionamento do próprio setor e das demais unidades que utilizam seus serviços, ou porque envolvem a tomada de decisão sobre a realização de despesas de vulto na aquisição de bens e contratação de serviços. Quando essas atividades não são regularmente executadas, as chances de serem causados prejuízos à Administração aumentam consideravelmente. Portanto, não é razoável que esses encargos sejam exercidos por servidores sem qualificação ou, dado o conflito de interesses, sejam ?delegados? a pessoal terceirizado em razão das deficiências no quadro do órgão público.?.

17. Naquela ocasião, mediante o item 9.4 do aludido Acórdão, foi determinado à Secretaria Geral de Controle Externo que adotasse providências para realizar, por intermédio das unidades técnicas competentes, auditoria nos órgãos da Administração Direta do Poder Executivo com vistas a avaliar a estrutura de recursos humanos dos respectivos setores de informática.

18. Também por meio do Acórdão 786/2006 - TCU - Plenário, este Tribunal manifestou preocupação acerca da estrutura organizacional e do quadro de pessoal dos setores de informática dos órgãos da Administração, decidindo nos termos do item 9.8 do referida deliberação ?alertar o Ministério do Planejamento, Orçamento e Gestão sobre a necessidade de prover os setores de informática dos órgãos e entidades da Administração Pública Federal com estrutura organizacional e quadro permanente suficientes para realizar, de forma independente das empresas prestadoras de serviços, o planejamento, a definição, a coordenação, a supervisão e o controle das atividades de informática, com a finalidade de garantir a autoridade e o controle da Administração sobre o funcionamento daqueles setores;?

19. Não me parece minimamente razoável que os serviços de tecnologia da informação, estratégicos que são para a Administração Pública e para o Estado Brasileiro, não estejam a receber o tratamento que lhes é pertinente.

20. Nos presentes autos, considerando as constatações da equipe, entendo que deva ser expedida determinação à Senasp para que aquela Secretaria avalie a situação de terceirização de pessoal na gerência do Infoseg e envide esforços para dotar aquela gerência de servidores efetivos especializados e treinados para exercer as atividades estratégicas e sensíveis, minimizando riscos à segurança das informações e à continuidade dos serviços. Além disso, a Coordenação Geral de Logística do Ministério da Justiça deverá atentar para que os contratos de locação de mão-de-obra, relativos à área de TI, contenham cláusulas que contemplem os requisitos de segurança de informação, consoante proposto pela unidade técnica. É quase inacreditável a ausência de cláusulas nessa natureza num contrato em que a segurança da informação é essencial.

21. Cumpre observar que não foi incluído no escopo da fiscalização o exame de legalidade dos contratos. Assim, com relação aos indícios de superfaturamento constatados no Contrato 002/2003, firmado com a empresa Politec, visando à locação de mão-de-obra para prestação de serviços de informática, foi constituído o TC 019.500/2006-1 para apurar a matéria.

22. Um outro aspecto relevante discutido no relatório diz respeito às normas legais que dispõem sobre o Infoseg, consideradas insuficientes pela equipe de auditoria para disciplinar atribuições e responsabilidades dos participantes da rede.

23. A equipe identificou que apenas dois pontos foram objeto de normatização: a competência da Senasp para desenvolver o Infoseg (inciso X, do art. 12, do Decreto 5.834, de 06.07.2006 - Regimento do Ministério da Justiça); e a obrigação de os convenentes que recebem recursos do Fundo Nacional de Segurança Pública -FUSP viabilizarem o acesso ao sistema e atualizarem-no pelo menos duas vezes por mês (conforme cláusulas dos convênios previstos no art. 2º, Decreto s/n, de 26.09.1995). Não foram identificadas definições formais e claras do que é o sistema Infoseg, quem deve fornecer suas informações, quem são seus usuários, tampouco o estabelecimento de atribuições e responsabilidades.

24. Ante a constatação mencionada e considerando a importância do sistema para a segurança pública do país, propôs a equipe técnica que fosse dada ciência da matéria às Casas Legislativas, por meio de suas comissões temáticas, e a Casa Civil da Presidência da República, sem prejuízo de determinações de providências à Senasp, proposta com a qual me ponho de acordo.

25. A equipe também constatou a existência de boas práticas no âmbito do Infoseg. Dentre elas, cabe salientar a possibilidade de cada órgão desenvolver sua solução de integração com a Senasp sem precisar modificar suas bases de dados nem alterar sua plataforma tecnológica, o que foi considerado uma boa iniciativa da Senasp e um fator crítico de sucesso para a implantação do projeto. É observado que, até maio de 2006, vinte e seis estados e o Departamento de Polícia Federal estavam atualizando os dados de forma on-line. O Estado de São Paulo estava em fase final para fazer a atualização on-line e a Justiça Federal estava trabalhando nesse sentido.

26. Finalmente, observo que a rede Infoseg constitui um poderoso instrumento cuja utilização poderá contribuir para a tempestividade, eficiência e eficácia das ações de fiscalização, de segurança pública e de justiça. Dessa forma, considero que a presente auditoria, ao apontar falhas na consistência de dados e na segurança do sistema e indicar medidas corretivas, está contribuindo para o seu aperfeiçoamento e consolidação.

27. No tocante às proposições da unidade técnica, entendo que aquelas constantes dos subitens 4, 25, 32 e 33, todos do item II da proposta de encaminhamento, devem ser endereçadas ao órgão na forma de recomendação, uma vez que correspondem a oportunidades de melhoria de desempenho. Acolho as demais propostas com pequenos ajustes de forma.

28. Em razão das graves deficiências encontradas no Infoseg, entendi necessário, por ora, manter sob sigilo os achados de auditoria, vez que a publicidade delas poderia, de algum modo, favorecer aos agentes que atuam no mundo do crime, o que me parece, neste momento, temerário e inconveniente. Fica-se, portanto, no aguardo das correções necessárias no Infoseg por parte das autoridades competentes, para que, na apreciação do monitoramento que será proposto, possa-se decidir sobre conferir publicidade aos fatos ora narrados já devidamente corrigidos.

29. Não obstante a equipe proponha o apensamento destes autos ao TC 011.659/2004-1, creio que em razão das inúmeras recomendações e determinações ora propostas é de melhor alvitre que o acompanhamento e monitoramento seja feito nos próprios autos.

Face ao exposto, VOTO por que o Tribunal aprove o acórdão que ora submeto a este Plenário.

Sala das Sessões, em 31 de janeiro 2007.

Augusto Sherman Cavalcanti


Acórdão


VISTOS, relatados e discutidos estes autos de Relatório de Auditoria realizada na Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ com o objetivo de avaliar aspectos relacionados com a segurança e a consistência das informações gerenciadas pelo sistema Infoseg (Sistema Nacional de Integração de Informações em Justiça e Segurança Pública), em cumprimento ao disposto no item 9.4 do Acórdão 724/2005-TCU-Plenário,

ACORDAM os Ministros do Tribunal de Contas da União, reunidos em sessão do Plenário, diante das razões expostas pelo Relator, em:

9.1. recomendar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso III, do Regimento Interno do TCU, à Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ que:

9.1.1. em atenção ao Princípio da Legalidade, constante do art. 37, caput, da Constituição Federal, estude a viabilidade de apresentar à Casa Civil da Presidência da República anteprojeto de lei que regulamente o § 7º, do art. 144, da Constituição Federal, de forma a institucionalizar o sistema Infoseg, contendo, entre outros, dispositivos que contemplem atribuições e responsabilidades para os entes que detêm as informações de interesse do sistema;

9.1.2. estude, em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, a viabilidade de virem a integrar diretamente à rede Infoseg todos os órgãos que possam fornecer informações ao Índice Nacional, em especial os Tribunais de Justiça das unidades da federação, órgãos responsáveis pelas informações sobre mandados de prisão e andamento de processos;

9.1.3. implemente serviço de atendimento ao usuário do Infoseg (help desk) adequado às suas necessidades, em conformidade com o previsto no item 13.1.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no DS8.1 do COBIT 4.0, avaliando a conveniência de implantá-lo em regime ininterrupto (24 horas por dia e 7 dias por semana);

9.1.4. estude a viabilidade de trafegar os dados pela rede Infoseg em formato mais compacto que o formato XML usado atualmente, como por exemplo no formato TXT, em atendimento ao Princípio da Eficiência constante do art. 37, caput, da Constituição Federal;

9.1.5. em atenção ao Princípio da Eficiência contido no caput, do art. 37, da Constituição Federal, avalie os resultados da pesquisa realizada com os usuários do Infoseg no curso deste trabalho (CD-ROM em anexo), visando a implementar melhorias no sistema que minimizem os pontos frágeis apontados, em especial quanto à facilidade de busca das informações;

9.2. determinar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso II, do Regimento Interno do TCU, à Secretaria Nacional de Segurança Pública do Ministério da Justiça - Senasp/MJ que:

9.2.1. em atenção ao princípio da legalidade constante do art. 37, caput, da Constituição Federal, crie dispositivos que melhor regulamentem o Infoseg, estabelecendo atribuições e responsabilidades para os entes participantes do sistema, ainda que por meio do aperfeiçoamento dos termos de convênio firmados no âmbito do Fundo Único de Segurança Pública - FUSP;

9.2.2. adote as providências necessárias para resolver as inconsistências entre as bases de dados estaduais e o Índice Nacional, constantes dos arquivos do CD-ROM em anexo;

9.2.3. institua mecanismos que garantam a consistência entre o Índice Nacional - IN - e as bases dos entes que alimentam o IN, verificando periodicamente a eficácia dos mecanismos implementados, de acordo com o previsto no item 12.2.2, da NBR ISO/IEC 17799:2005;

9.2.4. defina formalmente junto a todos os entes que alimentam o Infoseg o significado preciso de todas as informações e termos que compõe o IN, à semelhança das orientações contidas no item PO2.2 do COBIT 4.0, de modo a evitar ambigüidades de entendimento acerca deles;

9.2.5. estabeleça e identifique formalmente responsabilidades relativas às questões de segurança das informações do Infoseg, de acordo com o previsto no item 6.1.3 da NBR ISO/IEC 17799:2005;

9.2.6. defina formalmente uma Política de Segurança da Informação - PSI - para o Infoseg, que forneça orientação e apoio para a segurança da informação da rede, promovendo-se ampla divulgação do documento para todos os usuários, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005;

9.2.7. defina formalmente uma Política de Controle de Acesso - PCA - para o Infoseg, contemplando usuários Web, ?host de atualização? e da rede interna da gerência do Infoseg, de acordo com o previsto no item 11.1.1 da NBR ISO/IEC 17799:2005;

9.2.8. conduza, a intervalos regulares, a análise crítica dos direitos de acesso dos usuários do Infoseg, por meio de um processo formal, de acordo com o previsto no item 11.2.4 da NBR ISO/IEC 17799:2005;

9.2.9. defina formalmente padrões para desenvolvimento de sistemas no âmbito do Infoseg, à semelhança das orientações contidas no item PO8.3 do COBIT 4.0;

9.2.10. crie mecanismos para que as políticas e normas se tornem conhecidas, acessíveis e observadas por todos os usuários e gestores do Infoseg, de acordo com o previsto no item 5.1.1 da NBR ISO/IEC 17799:2005;

9.2.11. implemente os procedimentos informatizados, ou não, necessários no sentido de ajudar a garantir a observância dos itens 9.2.6 a 9.2.9 acima;

9.2.12.estabeleça procedimentos formais de controle de demandas e de mudanças no Infoseg, de acordo com o previsto no item 12.5.1 da NBR ISO/IEC 17799:2005 e à semelhança das orientações contidas no item AI6.2 do COBIT 4.0;

9.2.13. estabeleça critérios formais para homologação e aceitação de atualizações e novas versões do Infoseg, de acordo com o previsto no item 10.3.2 da NBR ISO/IEC 17799:2005;

9.2.14. defina formalmente um Plano de Continuidade do Negócio - PCN - específico para o Infoseg, que garanta em caso de falhas ou desastre natural significativo, a retomada em tempo hábil das atividades do sistema, protegendo os processos críticos, de acordo com o previsto nos itens 14.1.4 e 14.1.5 da NBR ISO/IEC 17799:2005;

9.2.15. formalize política de geração de cópias de segurança para o Infoseg, de acordo com o previsto no item 10.5.1 da NBR ISO/IEC 17799:2005;

9.2.16. armazene as mídias contendo cópias de segurança do Infoseg em local diverso da operação do sistema, de acordo com a diretriz ?d? do item 10.5.1 da NBR ISO/IEC 17799:2005;

9.2.17. estabeleça um perímetro de segurança nas instalações da gerência do Infoseg (barreiras tais como paredes, portões de entrada controlados por cartão ou balcão com recepcionista), em conformidade com o item 9.1.1 da NBR ISO/IEC 17799:2005;

9.2.18. realize as obras necessárias de forma que se constituam barreiras físicas suficientes nas instalações da gerência do Infoseg que impeçam o acesso de pessoas não autorizadas, em conformidade com a diretriz ?b? do item 9.1.1 da NBR ISO/IEC 17799:2005;

9.2.19. formalize o inventário dos ativos do Infoseg, em conformidade com o previsto no item 7.1.1 da NBR ISO/IEC 17799:2005;

9.2.20 defina formalmente o proprietário de cada ativo constante do inventário acima, em conformidade com o item 7.1.2 da NBR ISO/IEC 17799:2005, atentando para a assinatura das cautelas que se fizerem necessárias;

9.2.21. formalize, junto à Agência Estadual de Tecnologia da Informação do Estado de Pernambuco - ATI -, um termo de compromisso que contemple de maneira específica a cópia das bases de dados do Infoseg que se encontra naquelas instalações, estabelecendo nele cláusulas de sigilo e responsabilização pelo uso indevido dos equipamentos ou divulgação não autorizada dos dados;

9.2.22. envide esforços no sentido de dotar a gerência do Infoseg dos recursos humanos especializados e treinados, necessários à garantia da continuação do desenvolvimento, manutenção e operação do sistema, à semelhança das orientações contidas no item PO 4.12 do COBIT 4.0;

9.2.23. avalie a situação de terceirização de pessoal na gerência do Infoseg, de modo a dotar aquela gerência de servidores ocupantes de cargos efetivos suficientes, capacitados e treinados para exercer as atividades estratégicas e sensíveis, sobretudo as de gestão do sistema (planejamento, coordenação, organização, supervisão e controle);

9.2.24. implemente controles compensatórios (autorização formal, registro e monitoramento das alterações) para as operações dos administradores de banco de dados do Infoseg de forma a permitir o registro e rastreamento das operações realizadas na base de dados com privilégios, em conformidade com o previsto no item 10.10.4 da NBR ISO/IEC 17799:2005;

9.2.25. utilize identificadores de usuários únicos para o Infoseg (senha única não compartilhada) de forma fixar a responsabilidade de cada usuário, inclusive para os usuários com privilégios de administração, em conformidade com o previsto no item 11.2.1 da NBR ISO/IEC 17799:2005;

9.2.26. estabeleça procedimentos formais para a execução de operações diretamente sobre as bases de dados do Infoseg com a utilização de utilitários, documentando os procedimentos realizados, em conformidade com o previsto no item 11.5.4 da NBR ISO/IEC 17799:2005;

9.2.27. atribua a cada usuário do banco de dados do Infoseg somente os privilégios mínimos necessários ao desempenho de suas funções, conforme previsto no item 11.2.2 da NBR ISO/IEC 17799:2005;

9.2.28. implemente trilhas de auditoria para as atualizações no Índice Nacional do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005, contendo, no mínimo, a data-hora da alteração, o dado alterado e a identificação do responsável pela alteração;

9.2.29. implemente trilhas de auditoria para as concessões e revogações das contas de HOST do Infoseg, em conformidade com o previsto no item 10.10.1 da NBR ISO/IEC 17799:2005;

9.3. recomendar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso III, do Regimento Interno do TCU, ao Ministério da Justiça que defina formalmente a estrutura organizacional da gerência do Infoseg, definindo suas competências e responsabilidades, à semelhança das orientações contidas nos itens PO4.5 e PO4.6 do COBIT 4.0;

9.4. determinar, com fulcro no art. 43, inciso I, da Lei 8.443/92 c/c o art. 250, inciso II, do Regimento Interno do TCU, à Coordenação-Geral de Logística do Ministério da Justiça - CGL/MJ que nos contratos de serviços relativos à área de TI, defina claramente, tanto nos editais de licitação como nos contratos, cláusulas contemplando requisitos de segurança da informação como os previstos no item 6.2.3 da NBR ISO/IEC 17799:2005;

9.5. encaminhar cópia da presente deliberação, bem como do relatório e voto que o fundamentam: à Subcomissão Permanente de Segurança Pública, da Comissão de Constituição, Justiça e Cidadania do Senado Federal - CCJSSP; à Comissão de Segurança Pública e Combate ao Crime Organizado da Câmara dos Deputados - CSPCCO; à Casa Civil da Presidência da República; e ao Gabinete de Segurança Institucional - GSI - da Presidência da República;

9.6. determinar à Adfis que, no prazo de 180 dias, promova monitoramento, de modo a verificar o cumprimento das recomendações e determinações constantes deste acórdão.


Quorum

13. Especificação do quórum:

13.1. Ministros presentes: Walton Alencar Rodrigues (Presidente), Marcos Vinicios Vilaça, Ubiratan Aguiar, Benjamin Zymler, Augusto Nardes e Aroldo Cedraz.
13.2. Auditores convocados: Augusto Sherman Cavalcanti (Relator) e Marcos Bemquerer Costa.


Publicação
Ata 04/2007 - Plenário
Sessão 31/01/2007
Aprovação 01/02/2007
Dou 02/02/2007 - Página 0
Referências (HTML)
Documento(s):TC-003-293-2006-3.doc


Comentários

Postagens mais visitadas deste blog

Redação Ti Nota 10 - Klauss

Prova Discursiva nota 10 - Banca Cespe

Portugues - Orações