TRIBUNAL REGIONAL ELEITORAL DE SERGIPE

RELATÓRIO DE AUDITORIA 10/2022 - SEAUG

RELATÓRIO Conclusivo

INTERESSADO(S) Secretaria de Tecnologia da Informação e Comunicação, Núcleo de Segurança da Informação e Proteção de Dados Pessoais, Secretaria de Gestão de Pessoas, Núcleo de Segurança Organizacional e Gestores de Contratos auditados.

RESUMO
A presente auditoria, desenvolvida sob a coordenação do TSE, conforme Plano de Trabalho (1184100), teve como objeto avaliar no âmbito do Tribunal Regional Eleitoral de Sergipe, a aderência a aspectos legais e a revisão de procedimentos técnicos relativos à Segurança da Informação, tendo em vista as crescentes ameaças de ataques cibernéticos. Essa avaliação se deu especialmente em relação às medidas adotadas para cumprimento das exigências da Resolução TSE n. 23.644/2021, da Portaria CNJ n. 162/2021, da Resolução CNJ n. 396/2021, de práticas recomendadas Cis Controls V.8. Os objetivos específicos foram definidos, conforme consta no item 3 do Programa de Auditoria 2/2022 (1208573). Exames de documentos e testes realizados permitiram constatar situações com falhas ou passíveis de melhorias: Detectou-se que não há política específica referente à gestão de provedores de serviços, bem como ausência de evidenciação explícita em check-list de conferência e avaliação da conformidade contratual de requisitos de Segurança da Informação; dentre outras. Foram expedidas recomendações às unidades, a fim de se manifestarem e apresentarem plano de ação referente aos achados apontados.

	SUMÁRIO
I. INTRODUÇÃO
II. VISÃO GERAL DO OBJETO AUDITADO
III. OBJETIVO DA AUDITORIA
IV. ESCOPO
V. CRITÉRIOS
VI. ACHADOS DE AUDITORIA
VII. PROPOSTAS DE MELHORIAS
VIII. BOAS PRÁTICAS IDENTIFICADAS
IX. CONCLUSÃO
X. PROPOSTA DE ENCAMINHAMENTO
	I. INTRODUÇÃO
Em cumprimento ao Plano de Auditoria de Longo Prazo das Auditorias Integradas (PALP) 2022-2025, aprovado pela Portaria-TSE nº 761/2021, ao Plano Anual de Auditoria 2022 e ao PALP 2022-2025 do TRE-SE, e nos termos da Resolução-TSE nº 23.500/2016, foram realizados exames de auditoria, no âmbito da Justiça Eleitoral, no processo de gestão de segurança da informação.
Neste contexto, apoiado no Plano de Trabalho estabelecido pelo TSE (1184100), foram desenvolvidas avaliações, no âmbito do Tribunal Regional Eleitoral de Sergipe, em conformidade com o Programa de Auditoria 2 (1208573), sobre: capacitação em segurança da informação dos integrantes técnicos das equipes de planejamento e fiscalização das contratações; presença de critérios de SI nos documentos de planejamento da contratação; gestão, controle e revisão periódica de acesso de contas; estabelecimento e manutenção de política de gestão e de inventário de provedores de serviço; monitoramento quanto à segurança da informação na execução contratual; utilização de normativos e políticas de segurança da informação em contratações de tecnologia da informação e comunicação; formas de autenticação em sistemas e níveis de segurança; e processo de acesso físico. 
Sob a Coordenação de Adail Vilela de Almeida, compuseram a equipe de auditoria do Tribunal Regional Eleitoral de Sergipe – TRE/SE, os servidores Ivanildo Alves de Medeiros e Anna Carolina do Valle Conceição, da SEAUG.
Os principais achados encontrados e as respectivas recomendações emitidas por esta unidade foram consubstanciados no Relatório Preliminar de Auditoria 9/2022 (1225591).
As unidades Auditadas se manifestaram e/ou apresentaram Plano de Ação quanto ao Relatório Preliminar e suas respostas foram consideradas e incluídas neste Relatório Conclusivo de Auditoria.
Todos os exames realizados se pautaram em procedimentos e técnicas de auditoria aplicáveis à Administração Pública e nenhuma restrição foi imposta quanto ao método ou à extensão dos trabalhos realizados.

	II. VISÃO GERAL DO OBJETO AUDITADO
O Glossário, constante no Anexo VIII da Portaria CNJ nº 162/2021, define a segurança da informação e comunicações como sendo ações que objetivam viabilizar e assegurar a disponibilidade, integridade, confidencialidade e autenticidade das informações. Nos termos do Art. 2º, inciso XXVIII, da Resolução TRE-SE nº 10/2019, a segurança da informação abrange aspectos físicos, tecnológicos e humanos da organização e se orienta pelos princípios da autenticidade, confidencialidade, integridade, disponibilidade e irretratabilidade da informação, entre outras propriedades.
Tendo em vista os crescentes ataques cibernéticos registrados contra instituições públicas no país, e considerando o Pleito Eleitoral que se avizinha, a Justiça Eleitoral é considerada como um dos principais alvos.
O objeto auditado, a segurança da informação, tem se tornado uma questão relevante para a organização, para isso, deve-se implementar políticas, bem como verificar a adesão às normas existentes e revisar os procedimentos técnicos sobre o tema.

	III. OBJETIVO DA AUDITORIA
Avaliar o processo de Gestão de Segurança da Informação, utilizando como critério principal o framework CIS Controls (The Center for Internet Security), versão 8, nos seguintes pontos:
a. A existência e a qualidade dos controles internos instituídos no processo de gerenciamento de provedores de serviço e seus respectivos contratos, no tocante à segurança da informação, de modo que seja verificado o tratamento dos riscos que impactem o alcance dos objetivos;

b. A existência e a qualidade dos controles internos instituídos no processo de gestão de identidade e de controle de acessos aos ativos da organização, de modo que seja verificado o tratamento dos riscos que impactem o alcance dos objetivos;

c. Avaliar o alcance dos objetivos do processo quanto aos aspectos da eficiência, eficácia, economicidade e legalidade.

	IV. ESCOPO
Como retratado no Plano de Trabalho desta auditoria integrada, o framework utilizado como critério para a avaliação foi o The Center for Internet Security  CIS Controls) versão 8, identificando-se o controle 15 - Gestão de Provedores de Serviços como critério a ser utilizado na auditoria. Segundo o CIS, o controle em questão incentiva o desenvolvimento de processo para avaliar os provedores de serviços que mantêm dados sensíveis, ou que são responsáveis por plataformas ou processos de TI críticos de uma organização, para garantir que esses provedores estejam protegendo as plataformas e os dados de forma adequada.

Incidentalmente, os controles 5 e 6, que tratam, respectivamente, da Gestão de Contas e da Gestão do Controle de Acesso, também são objeto de avaliação, pois possuem inter-relação direta com o controle 15. A gestão dos provedores de serviço envolve o gerenciamento da autorização de credenciais, bem como a utilização de processos e ferramentas para criar, atribuir, gerenciar e revogar credenciais de acesso e privilégios para contas de usuários, administradores e serviços em ativos e softwares corporativos, melhorando, assim, a segurança tecnológica da instituição.

	V. CRITÉRIOS
Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os preceitos normativos, boas práticas e padrões e/ou regramentos internacionalmente aceitos, a seguir exemplificados: framework CIS Controls (The Center for Internet Security), versão 8, Portaria CNJ n.º 162/2021, Resolução TSE n.º 23.644/2021, Resolução TRE/SE nº. 14/2020, Portaria TRE/SE nº. 506/2022.

	VI. ACHADOS DE AUDITORIA
Os achados de auditoria representam o resultado da aplicação dos testes de auditoria previstos no Programa de Auditoria 2 (1208573).
Conforme o Tribunal de Contas da União: "Achado é o resultado da comparação entre a situação encontrada e o critério de auditoria. Contém os seguintes atributos: critério (o que deveria ser), condição/situação (o que é), causa (razão do desvio com relação ao critério) e efeito (consequência da situação encontrada) (GUID 3920/84; NAT, 103)." - Manual de Auditoria Operacional do TCU – Edição de 2020, pág. 97.
Avaliamos, a seguir, os principais achados após a manifestação das áreas auditadas:

Achado 1 – Inexistência de uma política específica para gestão de provedores de serviços.

Situação encontrada:
Solicitou-se à STI (doc. SEI 1209627) que fosse informada e evidenciada a política de gestão de provedores de serviço. Em resposta, a COINF (doc. SEI 1216875) informou não haver regramento específico sobre provedores de serviço e listou as normas que são observadas subsidiariamente:

(…) “Política de Controle de Acesso Lógico - Portaria TRE/SE 41/2020 (anexo II alterado pela Portaria TRE 506/2022);
Política de Segurança da Informação da Justiça Eleitoral – Resolução TSE 23.644/2021;
Política de Tratamento e Proteção de Dados Pessoais do TRE – Resolução TRE/SE 24/2022.

Sobre esse tema o então Gabinete de Cibersegurança, informou (doc. SEI 1191202) que não realiza inventário de provedores de serviço, nem adota uma política de gestão, classificação, monitoramento e descomissionamento de provedores de serviço, conforme doc. SEI 1191199.

Critério(s) de Auditoria:
•	Guia Cis Controls V8:
Medida de segurança 15.2: Estabelecer e manter uma política de gestão de provedores de serviços - Estabeleça e mantenha uma política de gestão de provedores de serviços. Certifique-se de que a política trate da classificação, inventário, avaliação, monitoramento e descomissionamento de prestadores de serviços. Revise e atualize a política anualmente ou quando ocorrerem mudanças significativas na empresa que possam impactar esta medida de segurança.
•	Anexo V da Portaria CNJ 162/2021 – Manual de referência: Prevenção e mitigação de ameaças cibernéticas e confiança digital:
34. Da detecção: 34.1, j) a atividade de provedor de serviço externo seja monitorada para detectar potenciais eventos de segurança cibernética.

Evidência(s):
No doc. SEI 1191199, anexo à informação 2753/2022, oriunda do então Gabinete de Cibersegurança do TRE/SE, consta a afirmação de que não adota: a realização e manutenção de inventário de provedores de serviços; a manutenção de uma política de gestão de provedores de serviço; a classificação dos provedores de serviço; a avaliação e monitoramento dos provedores de serviços; o descomissionamento dos provedores de serviços.
Informação da Coordenadoria de Infraestrutura – COINF (doc. SEI 1216875) - Introdução e item 7.

Causa(s):
Escassez de recursos humanos e maturidade insuficiente da unidade, conforme exposto pela COINF.

Consequência(s) do Achado:
Ausência de normatização específica para provedores de serviço, reduzindo a utilização de controles por parte da administração, e, por consequência, aumentando os riscos à segurança da informação.

Recomendação(ões):
Recomendação 1 - À STI e ao NSI: Instituir política específica acerca de provedores de serviço, alocando os recursos necessários e proporcionais às diretrizes definidas para sua gradativa implementação.

Resposta(s) do(s) Auditado(s):
Manifestação do NSI (1233397): Por oportuno, em face da Recomendação 1, informa que, como medida preliminar, promoveu busca de modelos normativos de outros regionais concernentes à recomendação, por meio seus sítios eletrônicos, não tendo encontrado nenhum tribunal, nem mesmo no TSE, que já tivesse normatizado (ou, ao menos, publicado) a gestão de provedores de serviços. Deste modo, aparentemente, a iniciativa deverá ser tomada por este Regional sem paradigma normativo.
Outrossim, baixou o Guia Cis Controls V8, referido no Relatório de Auditoria 9 (1225591), para estudo e análise das medidas recomendadas no Guia que venham a ser compatíveis com a estrutura de segurança informacional do TRE/SE.
Ademais, acessou a Portaria CNJ 162/2021 (anexo V), que trata do Manual de referência: Prevenção e mitigação de ameaças cibernéticas e confiança digital, para o Poder Judiciário brasileiro, a fim de servir de subsídio para a elaboração da citada politica de gestão provedor de serviço externo.
No plano de ação (1233555) o NSI informou: 
•	Tendo como referência os normativos citados no Relatório de Auditoria 9 (1225591), o NSI, ouvirá a Secretaria de Tecnologia da Informação (STI), por meio da sua Assessoria de Segurança Cibernética (ASSEC), na medida em que é a STI a gestora dos processos de contratação de provedores de tecnologia da informação, por intermédio de seu Núcleo de Apoio a Contratações de Tecnologia de Informação (NAC).
•	O NSI elaborará minuta da norma pertinente, propondo a implantação de política de gestão de provedores de serviços.
•	Em seguida, submetê-la-á ao Comitê Gestor de Segurança da Informação (CGSI), órgão do Sistema de Gestão de Segurança da Informação com atribuição deliberativa sobre o assunto.
Recomendação a ser implementada. Data de início: 22/08/22 e de término: 19/12/23.

Manifestação da STI (1233674) no plano de ação: Criar Política de Segurança da Informação para os Provedores de Serviços de TIC. A ser implementada. Data de início: 03/11/22 e de término: 19/12/22.

Análise da Equipe de Auditoria:
As unidades se manifestaram no sentido de que a recomendação será atendida. A sua implementação será oportunamente avaliada em procedimento de monitoramento a ser previsto em Plano Anual de Auditoria.

Achado 02 – Classificado como reservado com base no art. 23, VI da Lei 12.527/2011

Achado 3 – Classificado como reservado com base no art. 23, VI da Lei 12.527/2011

Achado 4 – Classificado como reservado com base no art. 23, VI da Lei 12.527/2011

Achado 5 – Classificado como reservado com base no art. 23, VI da Lei 12.527/2011

Achado 6 – Ausência de evidenciação explícita em check-list de conferência e avaliação da conformidade contratual de requisitos de Segurança da Informação.

Situação encontrada:
Solicitou-se à STI (doc. 1209627) informação e evidenciação acerca da utilização, pelos gestores de contratos, de algum critério ou check list em SI para atestar a conformidade do objeto ou da prestação durante a execução. A COINF (doc. SEI 1216875) informou que faz uso do check list "Gestão das contratações de STIC." A COSIS (doc. SEI 1218250) informou que a verificação de conformidade dos requisitos de SI é realizada mensalmente, durante a execução do contrato. Procedeu-se avaliações em processos de gestão contratual, conforme descrito abaixo:

- Processo 0003539-30.2020.6.25.8000 – No documento SEI 1208233 - Verificou-se utilização de CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC com campos para anotações de riscos, constando sem registros e observações com registro de aplicação de penalidade, não havendo registros quanto a verificação de requisitos de segurança. Considerando a relevância do tema SI, a verificação do cumprimento de requisitos de segurança ficaria melhor evidenciada em um campo específico que tornasse explícita essa conferência.
No documento SEI 1222668 - Verificou-se utilização de CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC com campos para anotações de riscos e observações sem registros, inclusive quanto à verificação de requisitos de segurança. Considerando a relevância do tema SI, a verificação do cumprimento de requisitos de segurança ficaria melhor evidenciada em um campo específico que tornasse explícita essa conferência.

- Processo 0002039-55.2022.6.25.8000 – No documento SEI 1186092 - Verificou-se utilização de CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC com campos para anotações de riscos e observações sem registros, inclusive quanto à verificação de requisitos de segurança. Considerando a relevância do tema SI, a verificação do cumprimento de requisitos de segurança ficaria melhor evidenciada em um campo específico que tornasse explícita essa conferência.
- Processo 0012623-21.2021.6.25.8000 – O documento SEI 1136580 – Verificou-se utilização de CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC com campos para anotações de riscos e observações sem preenchimentos, que segundo a unidade auditada consiste na ausência de incidentes. No entanto, considerando a relevância do tema SI, a verificação do cumprimento de requisitos de segurança ficaria melhor evidenciada em um campo específico que tornasse explícita essa conferência. Ademais, conforme avaliado em auditorias anteriores, deve ser anotado, no campo específico, o resultado da análise do conferente, a exemplo de “não se aplica”, quando for o caso.

- Processos 0019445-31.2018.6.25.8000 (Gestão e Execução) e 0013995-44.2017.6.25.8000 (Pagamento, checklists e afins) - Os check-lists 0912718 e 0901616 – Não possuem campos específicos para verificação de requisitos de SI.

- Processos 0016980-78.2020.6.25.8000 (Gestão e Execução), 0023213-91.2020.6.25.8000 (Pagamento, checklists e afins) e 0024663-69.2020.6.25.8000 (Penalização e Rescisão) - Os check-lists 1082462 e 1072627 - Não possuem campos específicos para verificação de requisitos de SI.

- Processos 0011501-70.2021.6.25.8000 (Gestão e Execução), 0015561-86.2021.6.25.8000 (Pagamento, checklists e afins) e 0018849-42.2021.6.25.8000 (Penalização e Rescisão) – Os check-lists 1100046 e 1089965 – Não possuem campos específicos para verificação de requisitos de SI.

As unidades auditadas informam que conferem requisitos de segurança em check-list e outros documentos utilizados durante a fiscalização da execução contratual. Entretanto, as avaliações realizadas não identificaram uma conferência explícita em check-list de requisitos de segurança da informação durante a gestão contratual.

Critério(s) de Auditoria:
•	Guia Cis Controls V8:
Medida de segurança 15.4 – Garantir que os contratos do provedor de serviços incluam requisitos de segurança: Certifique-se de que os contratos do provedor de serviços incluem requisitos de segurança. Requisitos de exemplo podem incluir requisitos mínimos do programa de segurança, notificação e resposta de incidente de segurança e/ou de violação de dados, requisitos de criptografia de dados e compromissos de descarte de dados. Esses requisitos de segurança devem ser consistentes com a política de gestão do provedor de serviços da empresa. Revise os contratos do provedor de serviços anualmente para garantir que os contratos não estejam perdendo os requisitos de segurança.
Medida de segurança 15.7 – Descomissionar com segurança os provedores de serviços: Descomissione os prestadores de serviços com segurança. Considerações de exemplo incluem desativação de contas de usuário e serviço, encerramento de fluxos de dados e descarte seguro de dados corporativos em sistemas de provedores de serviços.
•	Portaria CNJ 162/2021 – Anexo V - Manual de referência – Prevenção e Mitigação de Ameaças Cibernéticas e Confiança Digital – item 34 da Detecção – 34.1 - “j”.
34. Da detecção:
34.1 Espera-se que na organização:
j) a atividade do provedor de serviço externo seja monitorada para detectar potenciais eventos de segurança cibernética.

Evidência(s):
Processos de contratações de STIC:
- 0003539-30.2020.6.25.8000 – docs. 1208233 e 1222668
- 0002039-55.2022.6.25.8000 – doc. 1186092;
- 0012623-21.2021.6.25.8000 – doc. 1136580;
- 0019445-31.2018.6.25.8000 e 0013995-44.2017.6.25.8000 – docs. 0912718 e 0901616;
- 0016980-78.2020.6.25.8000, 0023213-91.2020.6.25.8000, 0024663-69.2020.6.25.8000 - docs. 1082462 e 1072627;
- 0011501-70.2021.6.25.8000, 0015561-86.2021.6.25.8000, 0018849-42.2021.6.25.8000 – docs. 1100046 e 1089965.

Causa(s):
Deficiências nos procedimentos de controle.

Consequência(s) do Achado:
Prejuízo à efetividade de se conferir, avaliar e tornar transparente o controle de requisitos de segurança da informação previstos em contratos de STIC.

Recomendação(ões):
Recomendação 11 - À STI: Adotar campo em check-list instituído para gestão contratual de STIC com a finalidade de avaliar e conferir o cumprimento de requisitos de segurança da informação em contratação de STIC, constando que deve ser assinalada a opção "não se aplica", quando for o caso.

Resposta(s) do(s) Auditado(s):
Manifestação da STI (1233674) no plano de ação: Reunião entre COINF, COSIS e ASSEC para verificar o check-list e os campos relacionados à Segurança da Informação, definindo o padrão a ser seguido. A ser implementada. Data de início: 03/11/22 e de término: 31/03/23.

Análise da Equipe de Auditoria:
A unidade se manifestou no sentido de que a recomendação será atendida. A sua implementação será oportunamente avaliada em procedimento de monitoramento a ser previsto em Plano Anual de Auditoria.

Achado 7 – Ausência de evidenciação explícita da gestão de riscos de Segurança da Informação em contratações de STIC.

Situação encontrada:
Solicitou-se à STI (doc. 1209627) informação e evidenciação acerca da gestão de riscos de SI durante a execução contratual. A COINF (doc. SEI 1216875) informou que:
"Nos contratos de prestação continuada utilizamos o CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC. Vide doc 1208233 (Service Desk Níveis 01 e 0) e Doc. 1186092 (Backbone secundário) do processo de gestão da contratação.
Recentemente também adotamos o CHECK-LIST GESTÃO DAS CONTRATAÇÕES DE STIC para as contratações de soluções importantes e/ou complexas com entrega imediata. Vide doc 1136580 (AQUISIÇÃO DE SOLUÇÃO COMPOSTA POR EQUIPAMENTOS E SOFTWARES PARA IMPLEMENTAÇÃO DE INFRAESTRUTURA COMPUTACIONAL CENTRAL CAPAZ DE SUSTENTAR E PROTEGER TODOS OS SISTEMAS DE TECNOLOGIA DA INFORMAÇÃO EM USO NO TRIBUNAL) do processo de gestão da contratação."
Na Informação COSIS 3779 (1218250) consta:
"A gestão de riscos é realizada pelas EPC e EGC (ex.: doc. SEI 1072829), que contempla as fases de planejamento, seleção de fornecedor e gestão contratual, sendo revisada mensalmente (ex.: doc. 1089965)."
Das avaliações dos processos e documentos apresentados pelos gestores para planejamento e registro de riscos, não foram elencados riscos relativos à segurança da Informação.

Critério(s) de Auditoria:
•	Portaria CNJ 162/2021 – Anexo V - Manual de referência – Prevenção e Mitigação de Ameaças Cibernéticas e Confiança Digital
item 21 - Processo de Gestão de Riscos de Segurança da Informação – IV- avaliação dos riscos: verificação dos resultados da análise de riscos pelas unidades responsáveis pelos processos de trabalho, sistemas, serviços ou ativos de TIC afetados, de modo a determinar se o risco é ou não aceitável

Evidência(s):
- docs. SEI 1208233, 1186092, 1136580, 1072829 e 1072829

Causa(s):
Deficiências de controle.

Consequência(s) do Achado:
Potencial aumento das dificuldades de adoção de medidas preventivas e corretivas no caso de ocorrências de incidentes de segurança.

Recomendação(ões):
Recomendação 12 - À STI: Evidenciar nos documentos de planejamento e gestão contratual os riscos inventariados e avaliados em relação à segurança da informação.

Resposta(s) do(s) Auditado(s):
Manifestação da STI (1233674) no plano de ação: Reunião com COINF, COSIS e ASSEC para inserção da análise de riscos da segurança da informação no planejamento e na gestão contratual, com revisão dos contratos em andamento. A ser implementada. Data de início: 09/01/23 e de término: 30/06/23.

Análise da Equipe de Auditoria:
A unidade se manifestou no sentido de que a recomendação será atendida. A sua implementação será oportunamente avaliada em procedimento de monitoramento a ser previsto em Plano Anual de Auditoria.

	VII. PROPOSTAS DE MELHORIAS
Em decorrência dos trabalhos de auditoria, foram identificadas situações que não constituem achados, mas que merecem relato e consideração das unidades auditadas, conforme o item 160 das NAT (Normas de Auditoria do Tribunal de Contas da União):
“160. Em auditorias operacionais, as conclusões são inferências lógicas sobre a economicidade, eficiência, eficácia e efetividade de organizações, programas ou atividades governamentais, com base nos achados. A conclusão não é apenas um resumo dos achados, devendo-se destacar, de forma equilibrada, os pontos fortes do objeto de auditoria, as principais oportunidades de melhoria de desempenho e os possíveis benefícios esperados quantificando-os, sempre que possível, em termos de economia de recursos ou de outra natureza de melhoria. Devem ser relatadas as dificuldades enfrentadas pelos gestores e destacadas as iniciativas positivas por eles empreendidas no sentido de superar as dificuldades.” (grifos nossos)

Proposta de melhoria 01 - À STI: Considerando que a requisição de servidores tem prazo de vigência determinado, é pertinente que a portaria que trata de acesso lógico contemple procedimento relativo ao registro na configuração da conta de acesso do prazo final do período de requisição dos usuários que se enquadram nessa categoria.

Proposta de melhoria 02 - À STI: Inclusão do item "Termo de Compromisso de manutenção de sigilo e respeito às normas de segurança vigentes assinado pelo representante da contratada e pelos empregados da contratada" no Check-list "Gestão das Contratações de STIC", constando que deve ser assinalada a opção "não se aplica", quando for o caso. Tal proposta deve-se ao fato de que o termo de compromisso não foi encontrado em alguns dos processos avaliados e a inclusão desse item no check-list permitirá melhor controle sobre a obrigatoriedade de apresentação deste documento.

	VIII. BOAS PRÁTICAS IDENTIFICADAS
Foi detectada no Processo 0002702-38.2021.6.25.8000 a utilização de algumas boas práticas acerca da segurança da informação previstas no Termo de Referência, que poderão ser replicadas nas próximas contratações:
1) o detalhamento dos requisitos de proteção de dados pessoais (item 4.8 do TR: 0994844);
2) a previsão de supervisão para segurança de acesso (item 4.16.1.1.5 do TR: 0994844);
3) a previsão de penalidade no descumprimento da observância de confidencialidade, segurança da informação ou proteção de dados pessoais (Anexo I-I, item 31 do TR: 0994844);
4) a previsão, como não conformidade, da violação a políticas de qualidade e segurança (Anexo I-IV do TR: 0994844, níveis mínimos de serviço).

	IX. CONCLUSÃO
Em face dos exames realizados, concluiu-se pela necessidade de implementação e aprimoramento de algumas atividades e controles, com a finalidade de aperfeiçoar a segurança da informação, no âmbito do TRE-SE.
As unidades auditadas apresentaram Planos de Ação, com vistas a implementar as recomendações emitidas.
As ações indicadas pelos gestores e unidades, caso implementadas, têm o potencial de alcançar a conformidade com as recomendações emitidas, o que será avaliado em sede de monitoramento desta auditoria ou nova auditoria com o mesmo objeto.

	X. PROPOSTA DE ENCAMINHAMENTO
Diante do exposto, submete-se o presente Relatório Conclusivo de Auditoria à consideração da Presidência, para ciência e encaminhamento à Diretoria-Geral, Secretaria de Tecnologia da Informação, Núcleo de Segurança da Informação e Proteção de Dados Pessoais, Secretaria de Gestão de Pessoas, Núcleo de Segurança Organizacional e Gestores de Contratos auditados (COSER, ASCOM, SEMAN, NTI, COASA, COSIS, COINF, NSO, Jeirlan Correia Palmeira e Mônica Martins Ávila Prado).
Quanto ao acesso às informações do presente relatório, respaldado no Art. 7º, VII, b, da Resolução TRE-SE 184/2016, deve ser garantido, porém a necessidade de publicação deve ser conciliada com a exclusão das partes classificadas como sigilosas, nos termos do § 1º do supracitado artigo. Neste sentido a equipe de auditoria avaliou que todos os elementos referentes aos achados 2, 4 e 5 relacionam-se com informações classificadas como reservadas pela unidade técnica competente (COINF/STI), nos termos da Portaria TRE-SE 1079/2016. Os achados tratam de informações sobre implementação de segurança aplicada na rede lógica do Tribunal e/ou do cadastro dos usuários do domínio com os respectivos privilégios, aspectos que, segundo entendimento da COINF/STI, enquadram-se no art. 23, VI da Lei 12.527/2011. Instada a se manifestar, a STI validou o entendimento da COAUD, acrescentando o achado 3, e atribuindo aos achados 2 a 5, em conjunto, o mesmo grau de vulnerabilidade, ou seja, possibilidade de utilização em desfavor desta Justiça, sobretudo em ano eleitoral (1236318). Desta forma tais tópicos são protegidos pelo art. 23, VI da Lei 12.527/2011, devendo ter o sigilo resguardado, mediante publicação parcial deste Relatório, ou seja, sem os elementos dos achados 2, 3, 4 e 5. Uma vez que a Resolução TRE-SE 184/2016 prevê a reclassificação da informação, as partes excluídas, na ocasião oportuna, ouvida a unidade competente, podem obter maior ou menor classificação de sigilo. Este entendimento formaliza-se nos termos do art. 27 da Res. TRE-SE 184/2016 (SEI 1235904). 

| Documento assinado eletronicamente por ADAIL VILELA DE ALMEIDA, Coordenador(a), em 24/08/2022, às 12:05, conforme art. 1º, III, "b", da Lei 11.419/2006.

| Documento assinado eletronicamente por IVANILDO ALVES DE MEDEIROS, Chefe de Seção, em 24/08/2022, às 12:06, conforme art. 1º, III, "b", da Lei 11.419/2006.

| Documento assinado eletronicamente por ANNA CAROLINA DO VALLE CONCEIÇÃO, Técnica(o) Judiciária(o), em 24/08/2022, às 12:07, conforme art. 1º, III, "b", da Lei 11.419/2006.

A autenticidade do documento pode ser conferida no site
https://sei.tre-se.jus.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0
informando o código verificador 1230010 e o código CRC B74D607A.

0008491-81.2022.6.25.8000

RETORNAR AO SUMÁRIO