TCU identifica falhas de segurança cibernética em 239 órgãos federais
Nenhuma das 239 organizações federais avaliadas pelo Tribunal de Contas da União (TCU) comprovou ter implantado todas as 56 medidas básicas de segurança cibernética examinadas. O monitoramento, divulgado em 14 de outubro de 2026, aponta avanços desde a fiscalização de 2024, mas também revela obstáculos para demonstrar que as proteções informadas pelos órgãos estão, de fato, funcionando.
O resultado não quer dizer que todas as instituições estejam desprotegidas ou tenham sido vítimas de ataques. A avaliação mostra que nenhuma completou o Grupo de Implementação 1 (IG1), conjunto de práticas do Center for Internet Security (CIS) voltado a reduzir a exposição às ameaças mais comuns. Trata-se de uma análise da adoção de controles, não de um levantamento de invasões consumadas. Ainda assim, medidas ausentes ou ineficazes podem deixar sistemas e serviços mais vulneráveis.
O acompanhamento verifica o cumprimento de recomendações feitas pelo Tribunal após a auditoria de 2024 e abrange órgãos que integram o Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp). O relator do processo é o ministro Augusto Nardes.
Os dados mostram melhora em parte das instituições. O número de órgãos que implementaram mais de 90% das medidas passou de dois para 12. Já o grupo com menos de 40% de implementação diminuiu de 166 para 123. Apesar da evolução, os resultados indicam que muitas organizações ainda precisam avançar para alcançar um nível básico e consistente de proteção.
Autodeclarações não bastam para comprovar a segurança
Um dos principais alertas do TCU diz respeito à qualidade das informações usadas para medir a maturidade cibernética. O acompanhamento ainda se apoia em autodeclarações dos órgãos, mas nem sempre há documentos, registros ou outros elementos que confirmem a implantação dos controles relatados.
A Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI) prevê exigir evidências documentais para determinadas medidas a partir do ciclo de 2027. A mudança busca tornar a avaliação mais verificável e distinguir a existência de uma política formal da aplicação efetiva de procedimentos de segurança.
Por exemplo, informar que há um processo de gestão de vulnerabilidades não comprova que todos os ativos estejam inventariados, que os sistemas sejam examinados regularmente ou que falhas críticas sejam corrigidas em prazos compatíveis com o risco. Da mesma forma, uma política de backup, por si só, não garante que as cópias estejam protegidas contra alterações nem que a restauração dos dados tenha sido testada.
Entre as evidências que podem demonstrar a operação dos controles estão configurações técnicas verificáveis, relatórios de varredura, registros de autenticação, histórico de correção de vulnerabilidades, testes de recuperação e análises de risco. O propósito não é acumular papéis para cumprir uma formalidade, mas comprovar que as proteções funcionam de maneira contínua.
Falta de profissionais ameaça a continuidade das ações
A fiscalização também encontrou dificuldades relacionadas à disponibilidade de pessoal na SGD/MGI e nas organizações avaliadas. A escassez de especialistas e a rotatividade elevada podem interromper iniciativas e prejudicar a manutenção dos controles. De acordo com o Tribunal, a entrada de novos profissionais não foi suficiente para atender à demanda.
Além disso, 15 organizações ainda não haviam designado formalmente um gestor de segurança da informação. Sem responsáveis definidos, orçamento adequado e prestação de contas, as ações podem ficar restritas a iniciativas pontuais e perder continuidade diante de mudanças na administração.
A segurança cibernética também depende de coordenação entre as áreas de tecnologia, gestão e atendimento ao público. Uma falha em um sistema pode afetar não apenas equipamentos e dados, mas a oferta de serviços essenciais. Por isso, a avaliação dos riscos precisa considerar as consequências de uma interrupção para cidadãos e para o funcionamento do órgão.
O que os órgãos podem priorizar
Um primeiro passo é manter um inventário atualizado de computadores, servidores, aplicações, contas e serviços contratados. Sem saber quais ativos existem e quem é responsável por eles, torna-se mais difícil identificar vulnerabilidades, aplicar atualizações ou reconhecer comportamentos suspeitos.
Também é importante organizar a correção de falhas de acordo com a gravidade e o impacto potencial. Vulnerabilidades em sistemas expostos à internet ou que sustentam serviços críticos, por exemplo, podem exigir tratamento mais urgente do que problemas em ambientes de menor risco. Critérios e prazos claros ajudam a evitar que falhas importantes permaneçam sem solução.
A proteção das contas deve incluir autenticação multifator, revisão periódica de permissões e remoção rápida de acessos que já não sejam necessários. Contas privilegiadas, capazes de alterar configurações ou consultar grandes volumes de informação, exigem atenção especial e monitoramento reforçado.
Os planos de continuidade precisam ser testados, e não apenas registrados. Exercícios de restauração podem revelar se os backups estão íntegros, se a equipe sabe executar os procedimentos e quanto tempo seria necessário para retomar um serviço. Esse tipo de teste ajuda a identificar problemas antes que uma emergência real os torne mais difíceis de corrigir.
Por fim, as instituições podem fortalecer a capacidade de resposta com treinamentos regulares, procedimentos para comunicar incidentes e responsabilidades previamente distribuídas. A combinação de profissionais preparados, controles técnicos e evidências confiáveis permite acompanhar o progresso e corrigir fragilidades com base em riscos concretos.
O levantamento do TCU aponta, portanto, uma dupla necessidade: ampliar a implementação das medidas básicas e melhorar a forma de verificar sua eficácia. Avançar nesses dois aspectos é essencial para reduzir vulnerabilidades e preservar a continuidade dos serviços públicos.