TRIBUNAL REGIONAL ELEITORAL DE RONDÔNIA COORDENADORIA DE AUDITORIA INTERNA

RELATÓRIO DE AUDITORIA
Auditoria no Processo de Gestão de Infraestrutura de TIC Enfoque na Gestão de Ativos

Processo SEI nº 0000070-57.2020.6.22.8000

Porto Velho, 06 de agosto de 2021

TRIBUNAL REGIONAL ELEITORAL DE RONDÔNIA COORDENADORIA DE AUDITORIA INTERNA RELATÓRIO DE AUDITORIA

PREÂMBULO

Processo SEI nº 0000070-57.2020.6.22.8000

Unidade de Auditoria: Coordenadoria de Auditoria Interna do Tribunal Regional Eleitoral de Rondônia – AUDI/TRE-RO

Modalidade de Auditoria: Auditoria Baseada em Riscos

Ato originário: Resolução TSE nº 23.500/2016 e Plano Anual de Atividades de Auditoria Interna e Fiscalizações PAAA, referente ao exercício de 2021, aprovado pela Presidência no Processo SEI nº 0003021-24.2020.6.22.8000.

Ato de designação: Comunicado de Auditoria 1 (evento 0493615)

Objeto da Auditoria: Auditoria no processo de gestão de infraestrutura de TIC – com ênfase na gestão de ativos

Período de realização da auditoria: Planejamento de janeiro de 2020 a abril/2020; Execução de maio a junho de2021 (1ª fase de execução) e de julho a agosto/2021 (2ª fase de execução)

Auditores responsáveis: William Augusto de Oliveira e Erick Oliveira Chaquian

Supervisora da Auditoria: Rejane Assis Lima da Fonseca

Unidade Auditada: Secretaria de Tecnologia da Informação e Comunicação - STIC

2

SUMÁRIO

I.	INTRODUÇÃO 	4
II.	VISÃO GERAL DO OBJETO AUDITADO 	4
III.	OBJETIVO DA AUDITORIA 	5
IV.	ESCOPO 	5
V.	CRITÉRIOS 	5
VI.	METODOLOGIA ABR 	6
VII.	ACHADOS DE AUDITORIA 	6
VIII.	RELAÇÃO DE ACHADOS DE AUDITORIA 	11 RISCO: AUSÊNCIA DE REGISTRO DE INFORMAÇÕES ATUALIZADAS DOS ATIVOS DE TIC DA INSTITUIÇÃO 	11 RISCO: AUSÊNCIA DE NORMATIZAÇÃO INTERNA E DE CONTROLES INSTITUÍDOS PARA REGULAMENTAR O PROCESSO DE DESFAZIMENTO DE ATIVOS DE TIC, BEM COMO DA  CLASSIFICAÇÃO DO REFERIDO ATIVO EM BENS INSERVÍVEIS 	14 RISCO: EVENTUAL PREJUÍZO À EXECUÇÃO DE ATIVIDADES FUNDAMENTAIS PARA O CUMPRIMENTO DOS OBJETIVOS DA INSTITUIÇÃO, POR RISCO DE INDISPONIBILIDADE DE RECURSOS CRÍTICOS DE TIC. 		16 RISCO: EVENTUAL PREJUÍZO À TRANSPARÊNCIA DAS INFORMAÇÕES AOS USUÁRIOS E À PRODUTIVIDADE DAS ATIVIDADES REALIZADAS PELAS UNIDADES ADMINISTRATIVAS POR AUSÊNCIA DE PLANO DE COMUNICAÇÃO PARA INDISPONIBILIDADE DE ATIVOS DE TIC 	17 RISCO: ACESSO INDEVIDO DE SERVIDORES E TERCEIROS A RECURSOS NÃO AUTORIZADOS DE ATIVOS TIC, OCASIONANDO DANO À SEGURANÇA INSTITUCIONAL. 	19 RISCO: POSSIBILIDADE DE OCORRÊNCIA DE DANOS A DISPOSITIVOS DE MÍDIA POR AUSÊNCIA DE POLÍTICA DE GERENCIAMENTO DE PROCESSOS, OCASIONANDO PERDA DE INFORMAÇÕES OU DIFICULDADES DE ACESSO. 	20
IX.	CONCLUSÃO 	22
X.	PROPOSTA DE ENCAMINHAMENTO 	24

I.	INTRODUÇÃO

1.	Em cumprimento ao disposto na Resolução TSE nº 23.500/2016 - que versa sobre as diretrizes das Auditorias Integradas a serem realizadas no âmbito da Justiça Eleitoral, bem como ao cronograma estabelecido no Plano Anual de Atividades de Auditoria deste Tribunal, referente ao exercício de 2021, devidamente aprovado pela Presidência no Processo SEI nº 0003021-24.2020.6.22.8000, foram executados procedimentos de AUDITORIA no processo de gestão de infraestrutura de TIC – com enfoque na gestão de ativos - no âmbito do Tribunal Regional Eleitoral de Rondônia.

2.	Com vistas à determinação do escopo desta auditoria, elaborou-se o Plano de Trabalho (Documento SEI nº 00502491), onde foram definidos os objetivos, a técnica a ser aplicada, o objeto dos exames, os meios e o tempo demandado para a sua concretização, sendo utilizado como parâmetro plano de trabalho previamente enviado pelo Tribunal Superior Eleitoral.

3.	Foram realizadas reuniões de abertura e de encerramento dos trabalhos entre a equipe de auditoria e os gestores responsáveis pelas áreas auditadas.

4.	Na reunião de abertura, foram apresentados os membros da equipe de auditoria, os objetivos do trabalho, o escopo e as questões de auditoria.

5.	Na reunião de encerramento, foram apresentados os principais achados resultantes dos testes aplicados. Na ocasião, foi possibilitada aos gestores manifestação sobre o exposto. As respostas foram consideradas e incluídas neste relatório final.

6.	Cabe salientar que a fase de execução da presente auditoria foi realizada em duas fases: a primeira consistiu na aplicação de testes e tratamento dos achados consolidados pelo TSE para toda Justiça Eleitoral (relatório encaminhado ao TSE para consolidação); a segunda tratou da aplicação de testes e tratamento de achados específicos, inerentes apenas a este Regional e não englobados na primeira fase de execução.

7.	O presente relatório, a ser apresentado para a Administração deste Regional, abrange os achados de auditoria encontrados na primeira e na segunda fase de execução.

II.	VISÃO GERAL DO OBJETO AUDITADO
8.	O objeto auditado consiste no gerenciamento dos ativos de TI ao longo do seu ciclo de vida para assegurar que o seu uso agregue valor por um custo ótimo, garantindo a sua integridade física e operacionalidade e também a confiabilidade e disponibilidade daqueles ativos fundamentais para apoiar a capacidade de serviço.

9.	O processo abrange também o gerenciamento das licenças de software para assegurar a adequação do número de licenças adquiridas, mantidas e utilizadas, além da conformidade dos softwares instalados em relação às licenças disponíveis.

10.	Para a avaliação dos ativos de TIC, importa analisar tanto os contratos de infraestrutura vigentes quanto os encerrados, referentes aos últimos 5 anos, pois, especialmente em relação a estes últimos, é necessário verificar se, entre os procedimentos de gestão, consta a previsão de atualização, substituição ou desfazimento de ativos.

11.	Os exames de auditoria, no presente caso, serão efetuados no âmbito da Coordenadoria responsável pelos ativos de TIC, vinculada à Secretaria de Tecnologia da Informação e Comunicação (STIC), e suas respectivas seções.

III.	OBJETIVO DA AUDITORIA
12.	Os trabalhos de auditoria no processo de gestão de ativos de TIC tiveram por objetivo:

a)	Verificar a existência e avaliar a qualidade dos controles internos instituídos no processo para tratar os riscos que impactem o alcance dos objetivos;
b)	Avaliar o alcance dos objetivos do processo quanto aos aspectos da eficiência, eficácia, efetividade, economicidade e legalidade;
c)	Avaliar o processo de identificação e registro dos ativos de TIC;
d)	Avaliar o processo de desfazimento dos ativos de TIC;
e)	Avaliar o processo de gerenciamento de licenças dos ativos de TIC, incluindo os controles para a adequação do quantitativo de licenças às necessidades do serviço;
f)	Verificar a existência de normativo regulamentando a gestão de ativos de TIC e sua efetividade.

IV.	ESCOPO
13.	Serão objeto de avaliação os contratos de aquisição e manutenção de ativos de TIC, vigentes e encerrados referentes aos últimos 5 anos, registrados no sistema de acompanhamento de contratos, bem assim o nível de maturidade em relação às etapas do ciclo de vida da gestão de ativos por parte das seções de TIC responsáveis.

14.	Em relação às etapas do ciclo de vida dos ativos de TIC, devem ser englobadas, no mínimo, as etapas de registro e de desfazimento.

15.	Quanto aos ativos, deverá fazer parte do escopo desta auditoria, no mínimo, os ativos de hardware e de software.

V.	CRITÉRIOS
16.	Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os normativos técnicos que regulamentam a prática das atividades inerentes ao processo auditado e normas e processos internos afeitos à matéria, a saber:

a)	CobIT 5 (enabling process)1;
b)	Itil v32;
c)	ABNT NBR ISO 270023;
d)	Política de Segurança da Informação4;

VI.	METODOLOGIA ABR
17.	Os trabalhos de auditoria foram fundamentados na aplicação de técnicas de Risk Assessment, Auditoria Baseada em Risco (ABR), direcionados aos processos de trabalho e à mitigação dos riscos relacionados à consecução das atividades de gestão de ativos de TIC no âmbito deste Regional.

18.	Essa metodologia permite ao auditor identificar os riscos inerentes ao processo (pontos críticos), por intermédio da realização de testes, utilizando técnicas de análise documental e de funcionalidade de sistemas, questionários e entrevistas, realização de testes de campo e visitas in loco, com vistas a otimizar a gestão de infraestrutura de TIC disponível no órgão.

VII.	ACHADOS DE AUDITORIA
19.	Os achados representam o resultado dos testes de auditoria aplicados e das informações coletadas junto à unidade auditada (entrevistas, questionários, análise de relatórios, análise de planilhas/sistemas e de regulamentos internos), sendo que a execução dos procedimentos guardou estrita consonância com o Plano de Trabalho apresentado por esta unidade de Auditoria Interna (Documento SEI n. 00502491).

1 Estudo sobre processos, controles, testes e critérios.
2 Estudo sobre controles e critérios. 3 Estudo sobre controles e critérios. 4 Portaria n. 55/2020 TRE RO.

20.	Os testes de campo efetivamente aplicados foram evidenciados na Matriz de Testes Consolidada pelo TSE e na Matriz de Testes Complementar (achados específicos do TRE de Rondônia).

21.	Os papéis de trabalho para aplicação de testes contemplaram os riscos mais relevantes apontados por todos os Regionais e os riscos específicos detectados no âmbito deste Regional.

22.	A aplicação dos testes de controle no processo de gestão de ativos de TIC foi realizada por intermédio de Papéis de Trabalho específicos, elaborados por esta Unidade Técnica, conforme PT
08.1.1 a PT 08.7.1 e PT 8.8.1 a PT 8.8.7 (testes complementares), perfazendo o total de 17 (dezessete) documentos elaborados, sendo todos colacionados nos respectivos autos de auditoria.

23.	Ao final de todo o processo, os exames de auditoria realizados revelaram ocorrências que se constituíram nas Matrizes de Achados abaixo reproduzidas (total de 08 achados de auditoria e 10 recomendações), sendo as referidas questões a seguir avaliadas à luz das manifestações da área auditada, conforme itens seguintes.

COORDENADORIA DE CONTROLE INTERNO E AUDITORIA - TRE DE RONDÔNIA	

AUDI TRE- RO	
Unidade Auditada: Secretaria de Tecnologia da Informação e Comunicaçã	Tipo de auditoria: Baseada em Riscos		
Processo auditato: Infraestrutura de TIC - Gestão de Ativos		
MATRIZ DE ACHADOS - PT 09.1		

ITEM DE REFERÊNCIA	
SITUAÇÃO ENCONTRADA	CRITÉRIOS DE AUDITORIA	
EVIDÊNCIA	
CAUSAS	CONSEQUÊNCIAS DOS ACHADOS	
RECOMENDAÇÕES	CONSIDERAÇÕES DO GESTOR	
C1 - Verificar a presença de dados existentes no
registro de ativos de TIC	Ao solicitar acesso aos mecanismos de controle de ativos (sistema	de gestão/planilhas) foi verificada a inexistência	de sistema de gestão  de ativos próprio  no âmbito da STI deste Regional	Manutenção		do registro	e	da identificação atualizada			e precisa de todos os ativos de TIC necessários		ao
fornecimento	de
serviços			à Administração, garantindo			o alinhamento com o gerenciamento de configurações e o gerenciamento financeiro,		bem como definindo as devidas responsabilidades pela proteção dos ativos	(Ref. CobIT 5 - BAI09.1 e  ABNT   NBR  ISO
27002:2013).	Teste	de Verificação de Conformidade de Registros de Ativos de TIC,
conforme	PT 08.1.1;

CobIT	5	- BAI09.1;

ABNT NBR ISO 27002:2013.	1. Não atribuir prioridade		à implementação  de	Mecanismo próprio		de
controle	de
ativos	com informações atualizadas, ocasionando:
a)	Prejuízo à atualização dos registros;
b)	Prejuízo ao acompanhamento do	ciclo	de vida do ativo;
c)	Prejuízo às informações gerenciais acerca	da
criticidade	e
do	status operacional dos	1.	Ausência de informações atualizadas	dos ativos de TIC da instituição, prejudicando		a
tomada         de
decisões       do
gestor         da
atividade, com vistas a otimizar a eficiência do valor esperado, a diminuição    dos
custos         de
manutenção/aquisi ção, bem como a modernização tecnológica	dos recursos de TIC empregados;
2.	Descontrole do
acervo de ativos pertencentes à	1. Recomendar à STIC que adote sistema de gestão de ativos próprio, contendo         o
registro		das informações atualizadas			do ativo, bem  como sua	precisa identificação, garantindo		seu alinhamento com o gerenciamento		de configurações			e
com	o
gerenciamento contábil/financeir o.	Concordamos com o achado detectado pela unidade de auditoria, sendo que a demanda  será formalizada pela CSCOR e encaminhada para análise         na
priorização de soluções a ser submetida ao CDTIC	
C2 - Monitorar o registro do ativo de hardware e de software para
verificar		a utilização efetiva	destes ativos	Ao	questionar acerca		da
realização	de
procedimentos	de
monitoramento	de
registro	de
hardware	e	de
software,  com vistas a  verificar a	efetiva
utilização destes ativos, fomos informados que as ações	de
monitoramento e a correção	de eventuais discrepâncias	no
registro	são
efetuadas			em situações específicas (inventário físico interno)	ou			à medida que os erros forem		sendo detectados.	Verificação	da
existência	de todos os ativos proprietários,  por	meio	da
execução	de verificações físicas e lógicas regulares	de inventário, incluindo		a
utilização	de
ferramentas	de
descoberta	de
software	(Ref.
CobIT	5	- BAI09.1.)	Teste	de Verificação de Conformidade de Registros de Ativos de TIC,
conforme	PT
08.1.1,	PT
08.1.2,	PT
08.1.3,	PT
08.2.1 e PT 08.2.2;

CobIT	5	- BAI09.1;	1.	Não
utilização de ferramentas de busca         de
software;
2.	Falta	de acompanhamento do	ciclo	de vida		útil do ativo de TIC;
3.	Prejuízo ao efetivo  controle	de
registro	de software desenvolvido na organização.	1.	Manutenção de ativos de TIC com expectativas	de produtividade abaixo	da
esperada	pelas unidades administrativas demandantes;
2.	Prejuízo às informações inerentes	à gestão de ativos de TIC;
3.	Manutenção de custos operacionais com ativos que não agregam valor à instituição;
4.	Manutenção de custos	com
licenças	de sofware desnecessárias;	1.	Recomendar à STIC que utilize periodicamente ferramentas		de busca de softwares para a atualização do registro das informações inerentes	aos ativos de TIC;
2.	Recomendar à STIC que acompanhe o ciclo de vida útil dos ativos de TIC, utilizando o histórico de informações para dimensionar      a
aquisição	e	o
desfazimento		do ativo de TIC, com vistas a  otimizar a produtividade  e a	eficácia	dos softwares			e hardwares utilizados.	Concordamos com o achado detectado pela unidade de auditoria, sendo que	as
inconsistências serão saneadas com a	futura
implantação	do
sistema	de
gerenciamento	de ativos	

C4 - Averiguar os critérios que tornam o ativo de TIC inservível (técnicos ou não técnicos)	Ao solicitar a regulamentação dos critérios        que
justifiquem	a
classificação			do ativo de TIC como inservível	fomos informados que a STIC	não possui argumentos formalizados		para tal situação.	1.	A Formalização de	norma		que estabeleça critérios para a classificação de um ativo de TIC como inservível é uma		importante ferramenta	para dar	suporte  ao seu processo de desfazimento;
2.	A formalização de procedimentos constitui importante mecanismo para a eficácia		das ações executadas na administração pública,	pois além de basilar a tomada			de
decisões, promove a	padronização
das	ações	e
minimiza	a
prática	do
empirismo	pelos
gestores	e	Teste	de Verificação de Conformidade de Registros de Ativos de TIC,
conforme	PT 08.4.1;

CobIT	5	- BAI09.2;	1.	Não
formalização de normas	e
procedimentos que sirvam de parâmetro  para a classificação de um ativo de TIC	em
inservível;
2.	Normatização interna	de controles instituídos deficiente.	1. Falta de padronização das atividades      e
rotinas        do
processo para classificação de ativos de  TIC como         bens
inservíveis, fragilizando   os
instrumentos de controle  interno a	serem
observados     na
execução do procedimento.	1. Recomendar a STIC que elabore norma	de
regulamentação estabelecendo critérios técnicos objetivos para a classificação	de ativos de TIC como bens	inservíveis no âmbito deste Regional.	Concordamos com o achado detectado pela unidade de auditoria, sendo que	as
inconsistências serão saneadas com o	encaminhamento de		minuta			de normativo a ser elaborada	pela STIC e submetida à aprovação		das instâncias superiores	

C6 - Verificar procedimentos técnicos		de desfazimento (exemplo: conferência	das funcionalidades, descaracterização das informações, quarentena		de
ativos	com informações sensíveis		ao Tribunal, dentre outros)	Ao	solicitar		a regulamentação formal	dos
procedimentos técnicos	de
desfazimento	de
ativos	de	TIC
fomos			informados que		o		referido instrumento regulatório não se encontra institucionalizado no	âmbito		deste Regional	1.	Formalização de normativo que estabeleça procedimentos técnicos	de
desfazimento de ativos de  TIC, com ênfase em aspectos        de
segurança       da
informação,     na
indicação		dos responsáveis pelo procedimento e na observância			da legislação ambiental (prevenir possíveis	danos
ao	meio
ambiente);
2.	A formalização de procedimentos constitui importante mecanismo para a eficácia		das ações executadas na administração pública,	pois	Teste	de Verificação de Conformidade de Registros de Ativos de TIC,
conforme	PT 08.6.1;

CobIT	5	- BAI09.2;	1.	Não
priorização pelos gestores de		parâmetros de padronização dos procedimentos  de desfazimento de	ativos de TIC;
2.	Execução com periodicidade inconstante dos procedimentos  de desfazimento de	ativos de TIC;	1.	Ausência de normatização interna	e	de controles instituídos para determinada unidade ou grupo de ativos de TIC (ativos inservíveis);
2.	Falta de padronização das atividades      e
rotinas	do processo, fragilizando	os
instrumentos de controle  interno a	serem
observados     na
execução do procedimento.	1. Recomendar a STIC que promova a regulamentação institucional dos procedimentos técnicos	de
desfazimento de ativos de TIC, devendo        ser
observada		a consonância com a legislação ambiental e com a política	de
segurança	da informação instituída	na organização.	Concordamos com o achado detectado pela unidade de auditoria, sendo que	as
inconsistências serão saneadas com o	encaminhamento de		minuta			de normativo a ser elaborada	pela STIC e submetida à aprovação		das instâncias superiores	

10

COORDENADORIA DE CONTROLE INTERNO E AUDITORIA - TRE DE RONDÔNIA	

AUDI TRE- RO	
Unidade Auditada: Secretaria de Tecnologia da Informação e Comunicação - STIC	Tipo de auditoria: Baseada em Riscos		
Processo auditato: Infraestrutura de TIC - Gestão de Ativos		
MATRIZ DE ACHADOS - PT 09.1		

ITEM DE REFERÊNCIA	
SITUAÇÃO ENCONTRADA	
CRITÉRIOS DE AUDITORIA	
EVIDÊNCIA	

CAUSAS	
CONSEQUÊNCIAS DOS ACHADOS	
RECOMENDAÇÕES	
CONSIDERAÇÕES DO GESTOR	
C11 - Elaborar plano de comunicação para indisponibilidade de ativos de TIC (público interno e externo)	Ao solicitar acesso ao plano de comunicação para indisponibilidade de ativos de TIC (público interno e externo) fomos informados que o referido procedimento não se encontra institucionalizado	no âmbito deste Regional;	1. Necessidade de comunicar aos usuários (internos e externos) o impacto advindo das atividades de manutenção de ativos (indisponibilidade, restrições de desempenho, etc.)	Teste de Verificação de  Conformidade de Registros de Ativos de TIC, conforme PT 08.8.6;	1.	Não	atribuir
prioridade	à
formalização	de procedimentos;	1.	Eventual prejuízo à transparência	das informações aos usuários;
2.	Eventual prejuízo à produtividade	das
atividades	realizadas
pelas	unidades administrativas.	1. Recomendar à STIC que formalize plano de comunicação para indisponibilidade de ativos de TIC, com vistas a minimizar o impacto advindo das atividades de manutenção dos referidos recursos.	Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências	serão
saneadas	com	o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores	
C8 - Registrar em relatórios e processos, base de dados com informações relacionadas ao nível de criticidade dos ativos, monitorando seu desempenho para eventual reparação ou substituição.	Ao questionar acerca da realização	de
procedimentos	de monitoramento de ativos críticos de TIC, por meio de base de dados e/ou formalização	de
informações	e procedimentos (ciclo de vida útil de ativos críticos) fomos informados que tal monitoramento não se encontra formalizado no âmbito deste Regional	1. Manter o registro dos ativos que são críticos no fornecimento de serviços fundamentais às atividades da instituição, com as devidas informações acerca do ciclo de vida útil desse ativo  (Ref. CobIT 5 - BAI09.2.)	Teste de Verificação de  Conformidade de Registros de Ativos de TIC, conforme PT 08.8.5;

CobIT 5 - BAI09.2;	1. Ausência de formalização de base de dados com informações acerca do nivel de criticidade dos ativos (classificação) em relatórios , processos, etc.	1. Eventual prejuízo à execução de atividades fundamentais	ao
cumprimento	dos objetivos da instituição, por	risco		de
indisponibilidade	de recursos críticos de TIC.	1. Recomendar à STIC que formalize os	procedimentos	de monitoramento de ativos críticos de TIC, com as devidas informações acerca do ciclo de vida útil desse ativo, com vistas a efetuar a avaliação de seu  desempenho para a implementação de mecanismos de atualização,	reparação	ou substituição, evitando, dessa forma, sua eventual indisponibilidade.	Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências	serão saneadas com a futura implantação do sistema de gerenciamento de ativos	
C12 - Atualizar os serviços de acesso remoto e dos perfis  de usuários de infraestrutura de TIC.	Ao realizar testes para verificar	os
procedimentos			de atualização regular de acesso remoto à rede interna do órgão  (perfis de	usuários)		foi constatado que estes não estão sendo executados de forma satisfatória em razão da falta de comunicação		das unidades responsáveis, conforme	critérios
estabelecidos	na Resolução n. 41/2007 do TRE-RO	1.	Prevenir o acesso indevido de servidores e terceiros a recursos não autorizados de ativos TIC, o que pode ocasionar danos à segurança institucional;
2.	Observância dos preceitos constantes nos artigos 18, 19 e
20 da Resolução TRE n. 41/2017;
3. Observância das orientações técnicas constantes na Seção
8.2.3 da Norma Técnica ABNT NBR ISO 27002 v4 (Classificação da Informação/Tratamento de Ativos)	Teste de Verificação de  Conformidade de Registros de Ativos de TIC, conforme PT 08.8.7;

ABNT NBR ISO 27002	1.	Não comunicação da alteração dos  perfis dos usuários à STIC pelas	unidades responsáveis;
2.	Descumprimento do disposto nos arts. 18,
19 e 20 da Resolução TRE - RO n. 41/2017;
3. Inobservância da política de segurança da informação vigente na instituição.	1. Acesso indevido de servidores e terceiros a recursos não autorizados de ativos TIC, ocasionando dano à segurança institucional.	1.	Recomendar à SGP e aos gestores/fiscais de contratação de terceirizados e estagiários, que observem o cumprimento do disposto nos arts. 18, 19 e 20 da Resolução TRE n. 41/2017, comunicando à STIC deste Regional, por meio de sistema de registro de chamados (Suporte 111), no prazo máximo de 10 (dez) dias consecutivos, contados a partir do ato de desligamento do agente, a revogação de acesso do perfil do usuário inativado, com vistas à preservação da política de segurança da informação vigente neste Regional;
2.	Recomendar aos gestores de unidades administrativas (Chefes de Cartório,	Coordenadores, Secretários, Assessores e Diretoria Geral) que atualizem, no prazo máximo de 20 (vinte) dias consecutivos, contados a partir da ciência desta recomendação, os perfis de usuários vinculados as suas unidades, informando à STIC deste	Concordamos com o achado detectado pela unidade de auditoria, ressaltando que o cumprimento integral da recomendação independe da atuação de servidores desta STIC, visto que a demanda inicial da solicitação deve ser promovida pelas unidades gestoras deste Tribunal (Pessoal, Estagiários e Terceirizados)	
C28 - Formalizar procedimentos para gerenciamento de mídias removíveis.	Ao	solicitar		a regulamentação formal dos		procedimentos técnicos e administrativos para o gerenciamento de mídias removíveis fomos informados que o referido instrumento regulatório não	se	encontra institucionalizado		no âmbito deste Regional	1.	Assegurar a integridade dos dispositivos de mídia e a preservação da informação armazenada;
2.	Necessidade	de formalização de norma que estabeleça critérios técnicos para o gerenciamento de midias removíveis, com  vistas a promover importante mecanismo de gestão da informação no âmbito institucional e contribuir para a observância da política de segurança da informação adotada pelo órgão;
3.	Observância dos critérios estabelecidos no CobIT 5 - BAI09.1;
4.	Observância das orientações técnicas constantes na Seção
8.2.3 da Norma Técnica ABNT NBR ISO 27002 v4 (Classificação da Informação/Tratamento de Ativos)	Teste de Verificação de  Conformidade de Registros de Ativos de TIC, conforme PT 08.8.3;

CobIT 5 - BAI09.1;	1.           Não         atribuir
prioridade	à
implementação de norma institucional para o gerenciamento de mídias removíveis;	1.	Eventual dano a dispositivos de mídia por ausência de política de gerenciamento	de processos, ocasionando perda de informações ou dificuldades de acesso;
2.	Eventual inobservância da política de segurança da informação vigente na instituição.	1. Recomendar a STIC  que promova a regulamentação institucional dos procedimentos	técnicos		e administrativos necessários ao gerenciamento	de		mídias removíveis no âmbito deste Tribunal,		considerando principalmente			aspectos relacionados à segurança da informação, aos registros de acesso e de saída, à proteção física, às técnicas de criptografia quando necessário, à atualização dos dispositivos de armazenagem e ao backup seguro, bem como aos termos estabelecidos na política de segurança da informação vigente no órgão.	Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências	serão
saneadas	com	o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores	

VIII.	RELAÇÃO DE ACHADOS DE AUDITORIA
RISCO: AUSÊNCIA DE REGISTRO DE INFORMAÇÕES ATUALIZADAS DOS ATIVOS DE TIC DA INSTITUIÇÃO

ACHADO (A1) – Inexistência de sistema de gestão de ativos próprio no âmbito da STIC deste Regional

1.	Situação Encontrada: Ao solicitar acesso aos mecanismos de controle de ativos (sistema de gestão/planilhas) foi verificada a inexistência de sistema de gestão de ativos próprio no âmbito da STI deste Regional;

2.	Critério: Prática de manutenção do registro e da identificação atualizada e precisa de todos os ativos de TIC necessários ao fornecimento de serviços à Administração, com vistas a garantir seu alinhamento com o gerenciamento de configurações e com o gerenciamento financeiro, bem como definir as devidas responsabilidades inerentes à proteção dos ativos (Ref. CobIT 5 - BAI09.1 e ABNT NBR ISO 27002:2013).;

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.1.1 (CobIT 5 - BAI09.1 e ABNT NBR ISO 27002:2013.

4.	Causas: Não atribuir prioridade à implementação de Mecanismo próprio de controle de ativos com informações atualizadas, ocasionando:

a)	Prejuízo à atualização dos registros;
b)	Prejuízo ao acompanhamento do ciclo de vida do ativo;
c)	Prejuízo às informações gerenciais acerca da criticidade e do status operacional dos ativos de TIC;
d)	Prejuízo ao efetivo registro sistematizado acerca da aferição do percentual de utilização do ativo de TIC;
e)	Prejuízo aos procedimentos de identificação do ativo de TIC.

5.	Consequências do Achado:

a)	Ausência de informações atualizadas dos ativos de TIC da instituição, prejudicando a tomada de decisões do gestor da atividade, com vistas a otimizar a eficiência do valor esperado, a diminuição dos custos de manutenção/aquisição, bem como a modernização tecnológica dos recursos de TIC empregados;
b)	Descontrole do acervo de ativos pertencentes à instituição;
c)	Prejuízo ao processo de gestão de ativos;
d)	Prejuízo à execução de atividades por risco de indisponibilidade de recursos críticos de TIC.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que a demanda será formalizada pela CSCOR e encaminhada para análise na priorização de soluções a ser submetida ao CDTIC”

7.	Avaliação da Auditoria: A implementação de sistema próprio para gestão de ativos de TIC constitui um importante mecanismo para a eficácia das ações de registro, controle e identificação dos referidos ativos, além de possibilitar o monitoramento do ciclo de vida útil do hardware e do software instalados, com vistas à análise de informações gerenciais que auxiliarão o gestor na tomada de decisões quanto aos aspectos relacionados à produtividade, eficácia, economicidade e legalidade de sua utilização.

8.	Conclusão da Equipe de Auditoria:

•	Recomendar à STIC que adote sistema de gestão de ativos próprio, contendo o registro das informações atualizadas do ativo, bem como sua precisa identificação, garantindo assim seu alinhamento com o gerenciamento de configurações e com o gerenciamento contábil/financeiro.

ACHADO (A2) – Deficiência nas ações de monitoramento e na correção de eventuais discrepâncias no registro de ativos de TIC

1.	Situação Encontrada: Ao questionar acerca da realização de procedimentos de monitoramento de registro de hardware e de software, com vistas a verificar a efetiva utilização destes ativos, fomos informados que as ações de monitoramento e a correção de eventuais discrepâncias no registro são efetuadas em situações específicas (inventário físico interno) ou à medida que os erros forem sendo detectados;

2.	Critério: Rotinas de verificação da existência de todos os ativos proprietários, por meio da execução de análises físicas e lógicas regulares de inventário, incluindo a utilização de ferramentas de descoberta de software (Ref. CobIT 5 - BAI09.1.)

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.1.1, PT 08.1.2, PT 08.1.3, PT 08.2.1 e PT 08.2.2; Norma de Referência: CobIT 5 - BAI09.1

4.	Causas:
a)	Não utilização de ferramentas de busca de software;
b)	Falta de acompanhamento do ciclo de vida útil do ativo de TIC;
c)	Prejuízo ao efetivo controle de registro de software desenvolvido na organização. Consequências do Achado:

5.	Consequências do Achado:

a)	Ausência de informações atualizadas dos ativos de TIC da instituição, prejudicando a tomada de decisões do gestor da atividade, com vistas a otimizar a eficiência do valor esperado, a diminuição dos custos de manutenção/aquisição, bem como a modernização tecnológica dos recursos de TIC empregados;
b)	Descontrole do acervo de ativos pertencentes à instituição;
c)	Prejuízo ao processo de gestão de ativos;
d)	Prejuízo à execução de atividades por risco de indisponibilidade de recursos críticos de TIC.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com a futura implantação do sistema de gerenciamento de ativos”

7.	Avaliação da Auditoria: A implementação de sistema próprio para gestão de ativos de TIC constitui um importante mecanismo para a eficácia das ações de registro, controle e identificação dos referidos ativos, além de possibilitar o monitoramento do ciclo de vida útil do hardware e do software instalados, com vistas à análise de informações gerenciais que auxiliarão o gestor na tomada de decisões quanto aos aspectos relacionados à produtividade, eficácia, economicidade e legalidade de sua utilização.

8.	Conclusão da Equipe de Auditoria:

•	Recomendar à STIC que utilize, periodicamente, ferramentas de busca de softwares para a atualização do registro das informações inerentes aos ativos de TIC;

•	Recomendar à STIC que acompanhe o ciclo de vida útil dos ativos de TIC, utilizando o histórico de informações para dimensionar sua aquisição e o seu desfazimento, com vistas a otimizar a produtividade e a eficácia dos softwares e hardwares utilizados.

RISCO: AUSÊNCIA DE NORMATIZAÇÃO INTERNA E DE CONTROLES INSTITUÍDOS PARA REGULAMENTAR O PROCESSO DE DESFAZIMENTO DE ATIVOS DE TIC, BEM COMO DA CLASSIFICAÇÃO DO REFERIDO ATIVO EM BENS INSERVÍVEIS

ACHADO (A3) – Ausência de regulamentação dos critérios técnicos que justifiquem a classificação do ativo de TIC como inservível.

1.	Situação Encontrada: Ao solicitar a regulamentação dos critérios que justificassem a classificação dos ativos de TIC como bens inservíveis fomos informados que a STIC não possui instrumentos formalizados para tal situação;

2.	Critérios:

a)	A formalização de norma que estabeleça critérios para a classificação de um ativo de TIC como inservível é uma importante ferramenta para dar suporte ao seu processo de desfazimento;

b)	A formalização de procedimentos constitui importante mecanismo para a eficácia das ações executadas na administração pública, pois além de basilar a tomada de decisões, promove a padronização das ações e minimiza a prática do subjetivismo pelos gestores e operadores das ferramentas de gestão.

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.4.1; CobIT 5 - BAI09.2;

4.	Causas:
a)	Falta de ação para formalizar normas e procedimentos que sirvam de parâmetro para a classificação de um ativo de TIC em inservível;
b)	Normatização interna de controles instituídos deficiente.

5.	Consequências do Achado: Falta de padronização das atividades e rotinas do processo para classificação de ativos de TIC como bens inservíveis, fragilizando os instrumentos de controle interno a serem observados na execução do procedimento.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores”

7.	Avaliação da Auditoria: A formalização dos procedimentos que delimitem os critérios técnicos para classificação de ativos de TIC na situação de bens inservíveis constitui importante mecanismo para subsidiar o gestor na atualização do status

operacional do hardware e/ou do software que tenha seu ciclo de vida útil analisado. A regulamentação das atividades desenvolvidas, além de basilar a tomada de decisões, promove a padronização das ações e minimiza a prática do empirismo pelos gestores, evitando resoluções baseadas em subjetivismos.

8.	Conclusão da Equipe de Auditoria:

•	Recomendar a STIC que elabore norma de regulamentação estabelecendo critérios técnicos objetivos para a classificação de ativos de TIC como bens inservíveis no âmbito deste Regional.

ACHADO (A4) – Ausência de regulamentação dos procedimentos técnicos de desfazimento de ativos de TIC.

1.	Situação Encontrada: Ao solicitar a regulamentação institucional dos procedimentos técnicos de desfazimento de ativos de TIC fomos informados que o referido instrumento regulatório não se encontra institucionalizado no âmbito deste Regional;

2.	Critérios;

a)	A formalização de normativo que estabeleça procedimentos técnicos de desfazimento de ativos de TIC, com ênfase em aspectos de segurança da informação, indicação de responsáveis pelo procedimento e na observância da legislação ambiental (prevenir possíveis danos ao meio ambiente) é um importante instrumento na busca de parâmetros que darão suporte à elaboração de um processo de desfazimento consonante com os regimentos legais estabelecidos e com as boas práticas administrativas;

b)	A formalização de procedimentos constitui importante mecanismo para a eficácia das ações executadas na administração pública, pois além de basilar a tomada de decisões, promove a padronização das ações e minimiza a prática do subjetivismo pelos gestores e operadores das ferramentas de gestão.

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.6.1; CobIT 5 - BAI09.2;

4.	Causas:

a)	Não atribuir prioridade aos procedimentos de implementação de parâmetros de padronização regulamentados, no que concerne aos procedimentos de desfazimento de ativos de TIC;

b)	Execução com periodicidade inconstante dos procedimentos de desfazimento de ativos de TIC;

5.	Consequências do Achado:

a)	Ausência de normatização interna e de controles instituídos para subsidiar os gestores na elaboração de procedimentos de desfazimento de ativos de TIC;

b)	Falta de padronização das atividades e rotinas do processo, fragilizando os instrumentos de controle interno a serem observados na execução do procedimento de desfazimento de ativos de TIC.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores”

7.	Avaliação da Auditoria: A formalização dos procedimentos que implementem parâmetros técnicos de padronização que subsidiem a elaboração de processo de desfazimento de ativos de TIC constitui elemento imprescindível para a conformidade da referida ação aos preceitos legais estabelecidos e às boas práticas de gestão administrativa, pois além de basilar a tomada de decisões pelo gestor, promove a padronização das ações e minimiza a prática do empirismo, evitando assim resoluções baseadas em subjetivismos

8.	Conclusão da Equipe de Auditoria:

•	Recomendar a STIC que promova a regulamentação institucional dos procedimentos técnicos de desfazimento de ativos de TIC, devendo ser observada a consonância com a legislação ambiental e com a política de segurança da informação instituída na organização.

RISCO: EVENTUAL PREJUÍZO À EXECUÇÃO DE ATIVIDADES FUNDAMENTAIS PARA O CUMPRIMENTO DOS OBJETIVOS DA INSTITUIÇÃO, POR RISCO DE INDISPONIBILIDADE DE RECURSOS CRÍTICOS DE TIC.

ACHADO (A5) – Ausência de Registros, em relatórios e processos, de base de dados com informações relacionadas ao nível de criticidade dos ativos, com vistas a monitorar seu desempenho para eventual atualização, reparação ou substituição.

1.	Situação Encontrada: Ao questionar acerca da realização de procedimentos de monitoramento de ativos críticos de TIC, por meio de base de dados e/ou formalização de informações e procedimentos (ciclo de vida útil de ativos críticos) fomos informados que tal monitoramento não se encontra formalizado no âmbito deste Regional;

2.	Critérios: Manter o registro dos ativos que são críticos no fornecimento de serviços fundamentais às atividades da instituição, com as devidas informações acerca do ciclo de vida útil desse ativo (Ref. CobIT 5 - BAI09.2.);

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.8.5 - CobIT 5 - BAI09.2;

4.	Causa: Ausência de formalização de base de dados com informações acerca do nível de criticidade dos ativos (classificação) em relatórios, processos, etc;

5.	Consequências do Achado: Eventual prejuízo à execução de atividades fundamentais ao cumprimento dos objetivos da instituição, por risco de indisponibilidade de recursos críticos de TIC;

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com a futura implantação do sistema de gerenciamento de ativos”

7.	Avaliação da Auditoria: A formalização do monitoramento do ciclo de vida útil dos ativos críticos de TIC constitui elemento imprescindível para assegurar o eficaz cumprimento das atividades fundamentais ao alcance dos objetivos estratégicos da instituição, visto que a adoção de tal prática mitigará consideravelmente o risco de indisponibilidade de recursos críticos de TIC e, consequentemente, eventuais prejuízos às atividades realizadas, garantindo assim que os ativos críticos de TIC sejam utilizados da maneira mais efetiva e eficiente possível;

8.	Conclusão da Equipe de Auditoria:

•	Recomendar à STIC que formalize os procedimentos de monitoramento de ativos críticos de TIC, com as devidas informações acerca do ciclo de vida útil desse ativo, com vistas a efetuar a avaliação de seu desempenho para a implementação de mecanismos de atualização, reparação ou substituição, evitando, dessa forma, sua eventual indisponibilidade.

RISCO: EVENTUAL PREJUÍZO À TRANSPARÊNCIA DAS INFORMAÇÕES AOS USUÁRIOS E À PRODUTIVIDADE DAS ATIVIDADES REALIZADAS PELAS UNIDADES ADMINISTRATIVAS POR AUSÊNCIA DE PLANO DE COMUNICAÇÃO PARA INDISPONIBILIDADE DE ATIVOS DE TIC

ACHADO (A6) – Ausência de formalização de plano de comunicação para indisponibilidade de ativos de TIC (público interno e externo)

1.	Situação Encontrada: Ao solicitar acesso ao plano de comunicação para indisponibilidade de ativos de TIC (público interno e externo) fomos informados que o referido procedimento não se encontra institucionalizado no âmbito deste Regional;

2.	Critérios: Necessidade de comunicar aos usuários (internos e externos) o impacto advindo das atividades de manutenção de ativos (indisponibilidade, restrições de desempenho, etc.);

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.8.6;

4.	Causa: Não atribuir prioridade à formalização de procedimentos;

5.	Consequências do Achado:

a)	Eventual prejuízo à transparência das informações aos usuários;

b)	Eventual prejuízo à produtividade das atividades realizadas pelas unidades administrativas.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores”

7.	Avaliação da Auditoria: A formalização de um plano de comunicação para indisponibilidade de ativos de TIC constitui um importante elemento para o fortalecimento dos mecanismos de governança interna da instituição, contribuindo para a transparência das informações e minimizando o impacto advindo das atividades de manutenção de ativos (indisponibilidade, restrições de desempenho, etc.);

8.	Conclusão da Equipe de Auditoria:

•	Recomendar à STIC que formalize plano de comunicação para indisponibilidade de ativos de TIC, com vistas a minimizar o impacto advindo das atividades de manutenção dos referidos recursos, promovendo a transparência das informações aos usuários e evitando, dessa forma, eventuais prejuízos à produtividade dos trabalhos.

RISCO: ACESSO INDEVIDO DE SERVIDORES E TERCEIROS A RECURSOS NÃO AUTORIZADOS DE ATIVOS TIC, OCASIONANDO DANO À SEGURANÇA INSTITUCIONAL.

ACHADO (A7) – Ausência de atualização dos serviços de acesso remoto e dos perfis de usuários de infraestrutura de TIC.

1.	Situação Encontrada: Ao realizar testes para verificar os procedimentos de atualização regular de acesso remoto à rede interna do órgão (perfis de usuários) foi constatado que estes não estão sendo executados de forma satisfatória em razão da falta de comunicação das unidades responsáveis, conforme critérios estabelecidos na Resolução n. 41/2007 do TRE-RO

2.	Critérios:

a)	Prevenir o acesso indevido de servidores e terceiros a recursos não autorizados de ativos TIC, o que pode ocasionar danos à segurança institucional;

b)	Observância dos preceitos constantes nos artigos 18, 19 e 20 da Resolução TRE n. 41/2017;

c)	Observância das orientações técnicas constantes na Seção 8.2.3 da Norma Técnica ABNT NBR ISO 27002 v4 (Classificação da Informação/Tratamento de Ativos).

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.8.7 e PT 08.8.7.1 - ABNT NBR ISO 27002;

4.	Causas:

a)	Não comunicação da alteração dos perfis dos usuários à STIC pelas unidades responsáveis;

b)	Descumprimento do disposto nos arts. 18, 19 e 20 da Resolução TRE - RO n. 41/2017;

c)	Inobservância da política de segurança da informação vigente na instituição.

5.	Consequências do Achado: Acesso indevido de servidores e terceiros a recursos não autorizados de ativos TIC, ocasionando danos à segurança institucional;

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, ressaltando que o cumprimento integral da recomendação independe da atuação de servidores desta STIC, visto que a demanda inicial da solicitação deve ser promovida pelas unidades gestoras deste Tribunal (Pessoal, Estagiários e Terceirizados).”

7.	Avaliação da Auditoria: A formalização de uma política de segurança da informação é um importante vetor para se medir o nível da maturidade de governança de uma instituição. Diante dessa primordial necessidade, este Regional publicou a Resolução n. 41/2017, que dispõe sobre a instituição de acesso físico e lógico relativo à segurança das informações e comunicações deste Regional, cujos preceitos estabelecidos devem ser adotados integralmente e de forma premente pelas unidades administrativas deste Regional, sob pena de risco à segurança institucional e prejuízo da imagem do órgão perante à sociedade;

8.	Conclusão da Equipe de Auditoria:

•	Recomendar à SGP e aos gestores/fiscais de contratação de terceirizados e estagiários, que observem o cumprimento do disposto nos arts. 18, 19 e 20 da Resolução TRE n. 41/2017, comunicando à STIC deste Regional, por meio de sistema de registro de chamados (Suporte 111), no prazo máximo de 10 (dez) dias consecutivos, contados a partir do ato de desligamento do agente, a revogação de acesso do perfil do usuário inativado, com vistas à preservação da política de segurança da informação vigente neste Regional;

•	Recomendar aos gestores das unidades administrativas (Chefes de Cartório, Coordenadores, Secretários, Assessores e Diretoria Geral) que atualizem, no prazo máximo de 20 (vinte) dias consecutivos, contados a partir da ciência desta recomendação, os perfis de usuários vinculados as suas unidades, informando à STIC deste Regional, por meio de sistema de registro de chamados (Suporte 111), os privilégios de acesso atualizados aos recursos de ativos de TIC.

RISCO: POSSIBILIDADE DE OCORRÊNCIA DE DANOS A DISPOSITIVOS DE MÍDIA POR AUSÊNCIA DE POLÍTICA DE GERENCIAMENTO DE PROCESSOS, OCASIONANDO PERDA DE INFORMAÇÕES OU DIFICULDADES DE ACESSO.

ACHADO (A8) – Ausência de formalização de procedimentos para gerenciamento de mídias removíveis.

1.	Situação Encontrada: Ao solicitar a regulamentação formal dos procedimentos técnicos e administrativos para o gerenciamento de mídias removíveis fomos informados que o referido instrumento regulatório não se encontra institucionalizado no âmbito deste Regional;

2.	Critérios:

a)	Assegurar a integridade dos dispositivos de mídia e a preservação da informação armazenada;

b)	Necessidade de formalização de norma que estabeleça critérios técnicos para o gerenciamento de mídias removíveis, com vistas a promover importante mecanismo de gestão da informação no âmbito institucional e contribuir para a observância da política de segurança da informação adotada pelo órgão;

c)	Observância dos critérios estabelecidos no CobIT 5 - BAI09.1;

d)	Observância das orientações técnicas constantes na Seção 8.2.3 da Norma Técnica ABNT NBR ISO 27002 v4 (Classificação da Informação/Tratamento de Ativos)

3.	Evidência: Teste de Verificação de Conformidade de Registros de Ativos de TIC, conforme PT 08.8.3 - CobIT 5 - BAI09.1;

4.	Causa: Não atribuir prioridade à implementação de norma institucional para o gerenciamento de mídias removíveis;

5.	Consequências do Achado:

a)	Eventual dano a dispositivos de mídia por ausência de política de gerenciamento de processos, ocasionando perda de informações ou dificuldades de acesso;

b)	Inobservância da política de segurança da informação vigente na instituição.

6.	Manifestação do Auditado:

“Concordamos com o achado detectado pela unidade de auditoria, sendo que as inconsistências serão saneadas com o encaminhamento de minuta de normativo a ser elaborada pela STIC e submetida à aprovação das instâncias superiores”

7.	Avaliação da Auditoria: A formalização de procedimentos que delimitem os critérios técnicos para o gerenciamento de mídias removíveis no âmbito deste Regional constitui importante mecanismo para subsidiar o gestor na execução de práticas administrativas que assegurem a integridade dos dispositivos de mídia, contribuindo para a preservação da informação armazenada.

8.	Conclusão da Equipe de Auditoria:

•	Recomendar a STIC que promova a regulamentação institucional dos procedimentos técnicos e administrativos necessários ao gerenciamento de mídias removíveis no âmbito deste Tribunal, considerando principalmente aspectos relacionados à segurança da informação, aos registros de acesso e de saída, à proteção física, às técnicas de criptografia quando necessário, à atualização dos dispositivos de armazenagem e ao backup seguro, bem como aos termos estabelecidos na política de segurança da informação vigente no órgão, com vistas a assegurar a integridade dos dispositivos de mídia utilizados e a preservação da informação armazenada.

IX.	CONCLUSÃO
24.	Diante do resultado dos trabalhos de Auditoria realizados, tendo por finalidade avaliar a medidas adotadas para mitigação dos riscos inerentes ao processo de gestão de infraestrutura de TIC – gestão de ativos, constatou-se insuficiência de medidas e/ou inobservância na implantação de regulamentos das seguintes atividades:

a)	Inexistência de sistema de gestão de ativos próprio no âmbito da STI deste Regional;

b)	Deficiência nas ações de monitoramento e na correção de eventuais discrepâncias no registro de ativos de TIC;

c)	Falta de formalização e/ou atualização de regulamentos que disciplinem os preceitos a serem observados na utilização de critérios técnicos que justifiquem a classificação de ativos de TIC como bens inservíveis;

d)	Falta de formalização e/ou atualização de regulamentos que disciplinem os preceitos a serem observados na utilização de procedimentos que sirvam como parâmetro de padronização do processo de desfazimento de ativos de TIC;

e)	Ausência de Registros, em relatórios e processos, de base de dados com informações relacionadas ao nível de criticidade dos ativos, com vistas a monitorar seu desempenho para eventual atualização, reparação ou substituição;

f)	Ausência de formalização de plano de comunicação para indisponibilidade de ativos de TIC (público interno e externo);

g)	Ausência de atualização dos serviços de acesso remoto e dos perfis de usuários de infraestrutura de TIC;

h)	Ausência de formalização de procedimentos para gerenciamento de mídias removíveis.

25.	Conclusão dos Achados de Auditoria:

Os trabalhos de Auditoria, realizados no processo de gestão de infraestrutura de TIC – gestão de ativos de TIC - deste Tribunal, evidenciaram que tal processo de trabalho não é executado de forma integrada e periódica no âmbito da STIC deste Tribunal, haja vista que restou constatado que as ações são realizadas à medida que situações específicas são detectadas pelos diversos setores que compõem a unidade administrativa, não havendo um compartilhamento macro das informações gerenciais de registro de ativos de TIC.

Tal situação é decorrente principalmente da ausência de um sistema de gestão próprio de ativos de TIC, fato que prejudica sensivelmente a tomada de decisões gerenciais, principalmente no que tange ao acompanhamento do ciclo de vida útil dos ativos, da atualização do seu status operacional e da atualização das informações de registro da base de dados gerencial.

Cabe salientar que a ausência do referido sistema não tem prejudicado ainda a eficácia de atuação dos agentes na entrega dos resultados esperados pela unidade, visto a atuação coesa da STIC, principalmente nos adventos decorrentes da pandemia, mas esta unidade de auditoria acredita que os resultados poderão ser alcançados de forma muito mais eficiente com a implantação de um sistema de gestão de ativos.

Outra inconsistência digna de reporte é a ausência de normativos institucionalizados que regulamentem os critérios e procedimentos técnicos a serem observados pela STIC na gestão de processos relacionados à execução de algumas atividades inerentes ao seu mister, fato que prejudica sobremaneira aspectos relacionados ao suporte de parâmetros que servirão de base para a elaboração de um processo de gestão de atividades consonante com os regimentos legais estabelecidos e com as boas práticas administrativas (aderência aos regulamentos vigentes, à legislação ambiental, à política de segurança da informação, etc.), impactando também no fortalecimento das práticas de governança a serem observadas.

Registra-se também que o quadro de pessoal disponível na STIC encontra-se com quantitativo defasado em relação ao número mínimo de servidores estipulado nos critérios estabelecidos no art. 13, §1º da Resolução CNJ n. 211/2015, situação que já foi abordada na Auditoria de Governança e Gestão de TIC (PSEI n. 0000308-47.2018.6.22.8000), realizada por esta unidade, sendo detectada a insuficiência de 02 (dois) servidores para compor o número mínimo de lotação funcional da unidade, fato que pode ter contribuído para a ocorrência dos achados enumerados na presente auditoria.

Cabe salientar ainda que a Secretaria de Gestão de Pessoas está ciente do problema e já incluiu em seu plano de ação medidas para solucionar a defasagem de pessoal detectada no quadro de pessoal disponibilizado para STIC, conforme processo SEI acima mencionado.

Por fim, ressaltamos a premente necessidade de atualização dos perfis de usuários de servidores ativos e inativos no que tange ao acesso a recursos de ativos de TIC, com vistas a privilegiar aspectos relacionados à segurança institucional e à política de segurança da informação adotada neste Regional, medida esta que tem alcance de extrema relevância se considerada a imagem da instituição perante à sociedade e os absurdos recentes ataques à Justiça Eleitoral.

26.	Assim, as justificativas apresentadas pelos gestores da Secretaria de Tecnologia da Informação e Comunicação - STIC não foram suficientes para mitigar os riscos analisados, devendo as unidades responsáveis da referida secretaria apresentarem PLANO DE AÇÃO para o efetivo atendimento das recomendações apresentadas neste Relatório de Auditoria, no qual devem explicitar as medidas que serão adotadas para mitigar os problemas apontados, contendo, no mínimo, as seguintes informações:

I.	Das ações a serem adotadas;
II.	Dos responsáveis pelas ações;
III.	Dos prazos para implementação.

27.	Após a decisão do Excelentíssimo Desembargador Presidente deste Tribunal, solicitamos que o aludido Plano de Ação seja encaminhado, devidamente consolidado, para esta unidade de Auditoria Interna, para fins de monitoramento das ações a serem executadas.

X.	PROPOSTA DE ENCAMINHAMENTO

28.	Diante do exposto, submete-se o presente relatório, visando contribuir para os atos de gestão deste Regional, com fulcro no art. 17 do Regimento Interno do TRE/RO (Res. n. 19/2020), art. 70 da CF c/c o art. 2º da Res/CNJ nº 308/2020, devidamente revisado pela Coordenadoria de Auditoria Interna deste Tribunal, com vistas à apreciação do Excelentíssimo Desembargador Presidente deste Tribunal e posterior deliberação às unidades impactadas pelas recomendações ora emitidas:
a)	À Secretaria de Tecnologia da Informação e Comunicação - STIC

•	Recomendar à STIC que promova a implementação de sistema de gestão de ativos próprio, contendo o registro das informações atualizadas do ativo, bem como sua precisa identificação, garantindo assim seu alinhamento com o gerenciamento de configurações e com o gerenciamento contábil/financeiro;

•	Recomendar à STIC que promova, de forma consistente e periódica, a utilização de ferramentas de busca de softwares para a atualização do registro das informações inerentes aos ativos de TIC;

•	Recomendar à STIC que promova, de forma consistente e periódica, o acompanhamento do ciclo de vida útil dos ativos de TIC, utilizando o histórico de informações para dimensionar sua aquisição e o seu desfazimento, com vistas a otimizar a produtividade e a eficácia dos softwares e hardwares utilizados;

•	Recomendar à STIC que promova a elaboração de norma de regulamentação estabelecendo critérios técnicos objetivos para a classificação de ativos de TIC como bens inservíveis no âmbito deste Regional;

•	Recomendar à STIC que promova a regulamentação institucional dos procedimentos técnicos de desfazimento de ativos de TIC, devendo ser observada a consonância com a legislação ambiental e com a política de segurança da informação instituída na organização;
•	Recomendar à STIC que formalize os procedimentos de monitoramento de ativos críticos de TIC, com as devidas informações acerca do ciclo de vida útil desse ativo, com vistas a efetuar a avaliação de seu desempenho para a implementação de mecanismos de atualização, reparação ou substituição, evitando, dessa forma, sua eventual indisponibilidade;
•	Recomendar à STIC que formalize plano de comunicação para indisponibilidade de ativos de TIC, com vistas a minimizar o impacto advindo das atividades de manutenção dos referidos recursos, promovendo a transparência das informações aos usuários e evitando, dessa forma, eventuais prejuízos à produtividade dos trabalhos;

•	Recomendar à STIC que promova a regulamentação institucional dos procedimentos técnicos e administrativos necessários ao gerenciamento de mídias removíveis no âmbito deste Tribunal, considerando principalmente aspectos relacionados à segurança da informação, aos registros de acesso e de saída, à proteção física, às técnicas de criptografia quando necessário, à atualização dos dispositivos de armazenagem e ao backup seguro, bem como aos termos estabelecidos na política de segurança da informação vigente no órgão, com vistas a assegurar a integridade dos dispositivos de mídia utilizados e a preservação da informação armazenada.

b)	À Secretaria de Gestão de Pessoas – SGP e demais unidades impactadas com o disposto nos arts. 18, 19 e 20 da Resolução TRE-RO n. 41/2017

•	Recomendar à SGP e aos gestores/fiscais de contratação de terceirizados e estagiários, que observem o cumprimento do disposto nos arts. 18, 19 e 20 da Resolução TRE-RO n. 41/2017, comunicando à STIC deste Regional, por meio de sistema de registro de chamados (Suporte 111), no prazo máximo de 10 (dez) dias consecutivos, contados a partir do ato de desligamento do agente, a revogação de acesso do perfil do usuário inativado, com vistas à preservação da política de segurança da informação vigente neste Regional;

•	Recomendar aos gestores das unidades administrativas (Chefes de Cartório, Coordenadores, Secretários, Assessores e Diretoria Geral) que atualizem, no prazo máximo de 20 (vinte) dias consecutivos, contados a partir da ciência desta recomendação, os perfis de usuários vinculados às suas unidades, informando à STIC deste Regional, por meio de sistema de registro de chamados (Suporte 111), os privilégios de acesso atualizados aos recursos de ativos de TIC.

É o Relatório.

WILLIAM AUGUSTO DE

Assinado de forma digital por WILLIAM AUGUSTO DE OLIVEIRA:260432

OLIVEIRA:260432

DN: c=BR, o=ICP-Brasil, ou=Autoridade Certificadora da Justica - AC-JUS, ou=Cert- JUS Institucional - A3, ou=Tribunal Regional Eleitoral de Rondonia-TRE-RO,

ou=Servidor, cn=WILLIAM AUGUSTO DE OLIVEIRA:260432
Dados: 2021.08.06 14:29:36 -04'00'
William Augusto de Oliveira
Chefe da Seção de Auditoria de Pessoal e Governança

ERICK OLIVEIRA

Assinado de forma digital por ERICK OLIVEIRA

CHAQUIAN:6306 CHAQUIAN:63066165272

6165272

Dados: 2021.08.09 21:13:28
-04'00'

Erick Oliveira Chaquian
Assessor de Auditoria Interna

rejane.assis@tre- ro.jus.br

Assinado de forma digital por rejane.assis@tre-ro.jus.br
DN: cn=rejane.assis@tre-ro.jus.br Dados: 2021.08.09 10:58:50 -04'00'

Rejane Assis Lima da Fonseca Coordenadora de Auditoria Interna Supervisora da Auditoria