A administração pública federal opera sob um patamar contínuo de vulnerabilidade digital. O Tribunal de Contas da União (TCU) aprovou o Acórdão 2.829/2026, processo relatado pelo ministro Augusto Nardes, que consolida os resultados do mais recente monitoramento de segurança da informação no setor público. A avaliação técnica, baseada em dados de 239 organizações do Executivo e entidades vinculadas, revelou que nenhuma instituição federal conseguiu implementar integralmente sequer o conjunto elementar de salvaguardas recomendado contra ameaças digitais frequentes.
O referencial adotado pela fiscalização corresponde ao primeiro nível de implementação (IG1) dos controles críticos de segurança formulados pelo Center for Internet Security (CIS Controls). Conhecido na área técnica como higiene cibernética essencial, esse bloco reúne 56 medidas básicas voltadas a neutralizar ataques comuns e automatizados, como tentativas de invasão por força bruta, infecções por malwares generalistas, campanhas de phishing e varreduras de portas abertas. Por não se tratar de parâmetros militares ou de defesas contra espionagem governamental avançada, o fato de nenhum órgão atingir a totalidade das medidas confirma que a fragilidade atinge o patamar de entrada das infraestruturas estatais.
Avanços graduais não afastam o cenário de alto risco
Embora a auditoria tenha reiterado a classificação de risco elevado para os sistemas da União, o relatório registrou evolução comparativa em relação aos dados levantados em 2024. O contingente de organizações federais com menos de 40% dos controles básicos em funcionamento caiu de 166 para 123 entidades. No outro extremo da régua, os órgãos que atingiram conformidade superior a 90% das 56 medidas passaram de apenas 2 para 12 instituições.
A Corte de Contas atribuiu parte dessa melhora ao redesenho do Programa de Privacidade e Segurança da Informação (PPSI 2.0), conduzido pela Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI). A substituição do acompanhamento disperso por planilhas pelo sistema SisPPSI permitiu padronizar métricas, definir metas obrigatórias e esclarecer as responsabilidades da alta administração de cada ministério, autarquia e fundação pública. Com isso, seis riscos críticos identificados nos ciclos anteriores foram formalmente rebaixados para a categoria de mitigados.
Ainda assim, o plenário do TCU destacou que o ritmo das adequações permanece descompassado em relação à sofisticação e à frequência dos ataques enfrentados pelo país. A persistência de centenas de sistemas federais operando sem controles básicos de inventário de ativos, gestão contínua de vulnerabilidades e restrição estrita de privilégios de acesso expõe bases que custodiam dados fiscais, previdenciários e assistenciais de milhões de cidadãos.
Carência de mão de obra e rotatividade paralisam defesas
O principal gargalo estrutural apontado pelo tribunal reside no déficit crônico de recursos humanos especializados em tecnologia da informação e cibersegurança no Executivo federal. O documento registra que a realização de novos concursos e o ingresso de Analistas em Tecnologia da Informação (ATI) nos últimos anos não supriram a defasagem operacional das equipes.
A atratividade salarial do mercado privado e de órgãos de outros Poderes tem alimentado uma rotação constante de profissionais, inviabilizando a continuidade de projetos estratégicos de defesa cibernética. Sem equipes dedicadas à sustentação, medidas já configuradas acabam degradadas com o tempo por falta de atualização de regras de firewall, revisão de acessos concedidos e monitoramento diário de logs de incidentes.
O relatório expõe ainda uma negligência administrativa primária: 15 organizações públicas federais continuam sem formalizar a designação de um gestor de segurança da informação (CISO). A ausência desse responsável formal compromete a governança dos ambientes computacionais, deixando incidentes sem fluxo claro de comunicação interna ou reporte a instâncias centrais de resposta a emergências.
Vazio institucional e dispersão de competências
Além das deficiências técnicas internas dos órgãos, o julgamento no TCU reacendeu o debate sobre o atraso na implementação de uma estrutura civil centralizada para a segurança cibernética brasileira. Enquanto diferentes frentes governamentais e agências reguladoras publicam portarias isoladas para exigir resiliência digital, o país segue sem uma agência executiva nacional de cibersegurança plenamente operacional dotada de poder sancionatório, capacidade orçamentária autônoma e autoridade técnica para padronizar e fiscalizar a totalidade do ecossistema federal.
Atualmente, o enfrentamento a ameaças digitais no governo distribui-se de forma fragmentada entre a Secretaria de Governo Digital (SGD/MGI), o Gabinete de Segurança Institucional (GSI), grupos de resposta como o CERT.br e centros de tratamento em órgãos específicos. Especialistas alertam que a dispersão de competências burocráticas reduz a capacidade de resposta coordenada diante de incidentes em cadeia, como ataques simultâneos de ransomware a servidores de nuvem compartilhados pelo serviço público.
O que o tribunal determinou
Diante do diagnóstico, o TCU expediu determinações e recomendações à Secretaria de Governo Digital e às entidades sob monitoramento. As ordens exigem:
- Apresentação de plano de ação com prazos definidos para que todos os órgãos sob o Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) atinjam conformidade mínima com o grupo de implementação 1 do CIS Controls.
- Nomeação imediata de gestores formalmente encarregados da segurança da informação nas 15 entidades que permanecem em situação irregular.
- Elaboração de proposta articulada entre os ministérios da Gestão e do Planejamento para reestruturação das carreiras de tecnologia pública, visando reter talentos e estancar a perda de quadros técnicos para o setor privado.
- Integração compulsória de todas as plataformas federais ao sistema automatizado de verificação de controles e reporte de vulnerabilidades.
O tribunal manterá o monitoramento periódico da evolução dos índices e fixou novas audiências para auditar a resiliência dos sistemas orçamentários e bancários geridos pela União nos próximos trimestres.
Tribunal de Contas da União (TCU) e Capital Digital
