Nenhuma das 239 organizações federais que responderam à avaliação do Tribunal de Contas da União (TCU) havia implementado integralmente as 56 medidas básicas de segurança cibernética examinadas pelo órgão. O monitoramento, divulgado em 14 de outubro de 2026, mostra que a administração pública avançou em parte dos controles desde a auditoria de 2024, mas continua enfrentando dificuldades para demonstrar que as proteções declaradas estão efetivamente em funcionamento.
O resultado não significa que as 239 instituições estejam desprotegidas ou tenham sofrido invasões. A conclusão do TCU é mais específica: nenhuma alcançou a totalidade das medidas do Grupo de Implementação 1 (IG1), conjunto de práticas do Center for Internet Security (CIS) destinado a reduzir a exposição aos ataques mais frequentes. A diferença é importante porque um diagnóstico de maturidade não equivale a um levantamento de incidentes consumados, embora a ausência de controles aumente a superfície de risco.
O trabalho acompanha recomendações feitas pelo Tribunal após a fiscalização de 2024 e envolve órgãos integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp). O relator é o ministro Augusto Nardes. Entre os resultados positivos, a quantidade de organizações com mais de 90% das medidas implementadas passou de duas para 12. No outro extremo, o número de instituições com menos de 40% de implementação caiu de 166 para 123. Os números indicam evolução, mas revelam também o tamanho do esforço ainda necessário para estabelecer um patamar mínimo consistente.
O problema não é apenas adotar controles, mas comprovar sua eficácia
Um dos pontos mais relevantes da fiscalização está na qualidade das evidências utilizadas para avaliar a segurança. O modelo de acompanhamento ainda depende de autodeclarações dos órgãos. Segundo o TCU, nem sempre existem documentos ou registros suficientes para demonstrar que os controles informados foram realmente implantados. A Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI) prevê exigir, a partir do ciclo de 2027, evidências documentais para determinadas medidas.
Essa fragilidade tem consequências práticas. Declarar que existe um processo de gestão de vulnerabilidades não demonstra, por exemplo, que todos os ativos relevantes foram inventariados, que os sistemas são avaliados periodicamente ou que falhas críticas recebem correção dentro de prazos compatíveis com o risco. Da mesma forma, registrar uma política de backup não comprova que as cópias estejam protegidas contra alteração, que os procedimentos de restauração sejam testados ou que um serviço essencial possa ser recuperado no prazo exigido pelo negócio.
Em uma auditoria técnica, a evidência pode incluir configurações verificáveis, relatórios de varredura, trilhas de autenticação, registros de tratamento de vulnerabilidades, testes de recuperação e atas de análise de risco. O objetivo não é produzir documentação por obrigação burocrática, mas demonstrar a operação contínua dos mecanismos de proteção. É precisamente essa passagem entre conformidade declarada e controle demonstrável que o monitoramento do TCU coloca em discussão.
Notícias Relacionadas
Falta de profissionais e continuidade das ações comprometem os resultados
A fiscalização identificou dificuldades de pessoal tanto na Secretaria de Governo Digital quanto nas organizações avaliadas. A carência de especialistas e a elevada rotatividade prejudicam a continuidade das iniciativas e a manutenção dos controles. O ingresso de novos profissionais, segundo o Tribunal, não foi suficiente para atender à demanda. O TCU também registrou que 15 organizações ainda não haviam designado formalmente um gestor de segurança da informação.
O problema ultrapassa a quantidade de profissionais disponíveis. Sem responsáveis claramente definidos, orçamento compatível e mecanismos de prestação de contas, programas de segurança tendem a depender de iniciativas isoladas, muitas vezes interrompidas por mudanças de gestão ou substituição de equipes. O Tribunal recomendou medidas relacionadas à ampliação e à atratividade da carreira de Analista em Tecnologia da Informação, além de aprimoramentos na governança dos controles.
Houve avanços no Programa de Privacidade e Segurança da Informação (PPSI), coordenado pela SGD/MGI. A versão 2.0 incorporou indicadores, metas, critérios de avaliação mais claros e a ferramenta SisPPSI, que substituiu o acompanhamento feito por planilhas. O TCU considera que essas mudanças contribuíram para mitigar seis riscos anteriormente identificados. Ainda assim, o Tribunal apontou limitações na capacidade de assegurar o cumprimento das medidas, na classificação de organizações com perfis semelhantes e na disponibilidade de recursos financeiros.
Risco cibernético precisa ser medido pelo impacto nos serviços públicos
Outra constatação diz respeito à gestão de riscos. O TCU observou que a existência formal de um processo não garante que o órgão tenha avaliado se o risco residual é aceitável para os serviços que oferece à população. Em resposta, recomendou que os próximos ciclos de autoavaliação incluam perguntas específicas sobre essa aceitabilidade. A questão é decisiva porque dois órgãos podem apresentar a mesma falha técnica e enfrentar consequências muito diferentes, dependendo dos dados tratados, da criticidade do sistema e da possibilidade de manter a operação por meios alternativos.
Para o cidadão, a exposição pode se traduzir em indisponibilidade de plataformas de atendimento, atraso no acesso a benefícios, comprometimento de informações pessoais ou interrupção de processos administrativos. Esses são riscos possíveis decorrentes de controles insuficientes, não incidentes atribuídos pelo monitoramento a uma organização específica. A abordagem baseada em risco exige identificar quais serviços são críticos, quais ativos os sustentam, quais dependências externas existem e quais níveis de interrupção ou perda de dados podem ser tolerados.
O levantamento revelou ainda uma lacuna de acompanhamento: dos 743 diagnósticos e planos de ação esperados nos ciclos analisados, 45 não foram entregues. A ausência dessas informações dificulta avaliar o progresso, comparar necessidades e direcionar investimentos para os pontos de maior exposição.
O que os órgãos precisam priorizar
O conjunto IG1 reúne medidas essenciais que fazem sentido tanto na administração pública quanto em organizações privadas. Inventários confiáveis de dispositivos e softwares, gestão contínua de vulnerabilidades, controle de acessos, configuração segura de sistemas, proteção contra códigos maliciosos e capacidade de detectar e responder a incidentes formam uma base que precisa ser mantida, medida e revisada. A implementação não se encerra com a publicação de uma norma interna: depende de responsáveis, recursos, indicadores e evidências que permitam identificar quando um controle deixou de funcionar.
Para os gestores, o monitoramento do TCU reforça a necessidade de transformar os planos de ação em compromissos verificáveis, com prioridades proporcionais ao impacto dos serviços públicos. Para a alta administração, a segurança cibernética não pode ser tratada exclusivamente como uma tarefa operacional da equipe de TI. Ela envolve decisões sobre orçamento, continuidade, exposição de dados, fornecedores e aceitação de riscos que precisam ser assumidas no nível adequado de governança.
O quadro de 2026 não é de imobilidade: há progresso nos indicadores e na estrutura federal de acompanhamento. O alerta está no intervalo entre esse avanço institucional e a implementação completa das proteções básicas. Enquanto esse intervalo persistir, a transformação digital do Estado continuará dependente de controles cuja cobertura e eficácia ainda precisam ser demonstradas.
Be the first to comment