Um auditor fiscal da SEFAZ Nacional foi designado para avaliar a conformidade de um contrato de prestação de serviços de TI firmado por uma secretaria estadual. O contrato prevê o desenvolvimento de um sistema de informação e a sua manutenção pelo prazo de 24 meses, com pagamento mensal fixo. Durante os trabalhos, o auditor identificou que:
- o edital de licitação exigia que a contratada comprovasse possuir, na data da abertura das propostas, certificação ISO 27001 válida;
- a contratada apresentou certificação ISO 27001 emitida por organismo acreditado, porém com validade expirada dois meses antes da data de abertura das propostas;
- o fiscal do contrato atestou a regularidade da certificação e autorizou a assinatura do contrato;
- a execução do objeto ocorreu sem incidentes de segurança relevantes, e o sistema foi entregue dentro do prazo e com qualidade técnica satisfatória;
- o contrato prevê que a contratada deve manter sigilo sobre os dados pessoais tratados, mas não há cláusula específica sobre a designação de encarregado de proteção de dados (DPO) nem sobre a notificação de incidentes à Administração.
Com base na Lei nº 14.133/2021 (Nova Lei de Licitações), na Lei nº 13.709/2018 (LGPD) e nas boas práticas de auditoria de sistemas, assinale a alternativa que apresenta a análise correta da situação e a recomendação mais adequada ao auditor.
