دادگاه حساب اتحادیه (TCU) اقدامات اتخاذ شده توسط نهادهای دولتی فدرال را برایکنترل‌های امنیت سایبری و اطلاعاتارزیابی کرد. نظارت در پی توصیه‌های TCU پس از بازرسی انجام شده در سال 2024 است. هدف این است که بررسی شود آیا سازمان‌های سیستم مدیریت منابع فناوری اطلاعات (Sisp) از بهترین شیوه‌های این حوزه پیروی می‌کنند. گزارشگر پرونده وزیر آگوستو ناردس است.
این کار پیشرفت‌هایی را ثبت کرد، اما همچنین مشکلاتی را شناسایی کرد که همچنان امنیت اطلاعات را به خطر می‌اندازند.هیچ‌کدام از 239 سازمان که به ارزیابی خود پاسخ دادند، تمام 56 اقدام اساسی امنیت سایبری (IG1) را اجرا نکرده‌اند.این اقدامات به منظور محافظت در برابر رایج‌ترین حملات است. از سوی دیگر، تعداد سازمان‌هایی که بیش از 90% این اقدامات را اجرا کرده‌اند از 2 به 12 افزایش یافته است. در حالی که سازمان‌هایی که کمتر از 40% را اجرا کرده‌اند از 166 به 123 کاهش یافته است.
بخشی از بهبودها به تغییرات در برنامه حریم خصوصی و امنیت اطلاعات (PPSI) مرتبط است که توسط دبیرخانه دولت دیجیتال وزارت مدیریت و نوآوری خدمات عمومی (SGD/MGI) هماهنگی می‌شود.نسخه 2.0 برنامه با شاخص‌ها و اهداف، معیارهای بهبود یافته برای ارزیابی اجرای کنترل‌ها و ابزار آنلاین SisPPSI همراه است.با جایگزینی نظارت با جداول، تغییرات همچنین مسئولیت‌های مدیریت ارشد را روشن کرد و مقیاس ارزیابی اقدامات امنیتی را بهبود بخشید. با این اقدامات، شش خطر قبلی به عنوان کاهش یافته در نظر گرفته شد.
با این حال، دادگاه معتقد است که هنوز هم چالش‌هایی برای اجرای اقدامات امنیتی وجود دارد. یکی از آنها شامل...کمبود متخصصیناز فناوری اطلاعات، هم در SGD/MGI و هم در سازمان‌های Sisp.نرخ بالای گردش کارکناناین حرفه‌ها همچنین بر تداوم اقدامات و حفظ کنترل‌ها تأثیر منفی می‌گذارد. بر اساس نظارت، ورود متخصصان جدید برای برآورده کردن تقاضا کافی نبوده است. شورای بازرسی فدرال (TCU) بر لزوم اتخاذ تدابیری برای گسترش و جذاب‌تر کردن شغل تحلیلگر فناوری اطلاعات تأکید می‌کند. علاوه بر این، ۱۵ سازمان هنوز به طور رسمی مدیر امنیت اطلاعات را برای هماهنگی اقدامات این حوزه تعیین نکرده‌اند.
توانایی تأیید اینکه اقدامات به طور موثر اتخاذ شده‌اند نیز چالش‌برانگیز است. سازمان بازرسی حساب‌های فدرال (TCU) مواردی را شناسایی کردمشکلات در اثبات اجرای کنترل‌هایی که توسط نهادها اعلام شده است.به دلیل اینکه ارزیابی بر اساس خوداظهاری است، مدارک یا شواهد دیگری که اطلاعات ارائه‌شده را تایید کند، همیشه وجود ندارد. SGD/MGI قصد دارد از دوره 2027، شواهد مستند را برای اقدامات منتخب الزامی کند.
دادگاه همچنین محدودیت‌هایی را در مکانیسم‌ها برای تضمین اجرای اقدامات ذکر‌شده در PPSI اشاره کرد.عدم وجود معیارهای رسمی برای گروه‌بندی سازمان‌هایی با ویژگی‌های مشابه و کمبود منابع مالی، از عوامل دشوارکننده نظارت بر کنترل‌ها و تعیین اقدامات مناسب با نیازهای هر نهاد است.مسئله دیگری مربوط به نحوه ارزیابی سازمان‌ها از ریسک‌های سایبری است.
سوال دیگری در موردو همچنین نحوه ارزیابی ریسک‌های سایبری توسط نهادها.و در نهایت، پرسشنامه‌های دورهای بعدی خودارزیابی باید شامل سوالاتی در مورد پذیرش‌پذیری ریسک‌ها باشد.توصیه‌های TCU به SGD/MGI برای بهبود مدیریت ریسک در سازمان‌ها.این اقدام نه تنها وجود رویه‌های رسمی را بررسی می‌کند، بلکه اطمینان حاصل می‌کند که نهادها تأثیر احتمالی حملات را بر فعالیت‌های خود ارزیابی می‌کنند.
عدم دسترسی به اطلاعات برای پیگیری اجرای اقدامات نیز نگران‌کننده است. از 743 تشخیص و برنامه اقدام مورد انتظار در دوره‌های مورد ارزیابی، 45 تحویل داده نشد.عدم وجود اسناد، پیگیری سطح بلوغ امنیت اطلاعات را دشوار می‌کند و ارزیابی نیازها و تخصیص منابع را پیچیده می‌سازد.
نتایج نظارت نشان می‌دهد که اگرچه برنامه فدرال پیشرفت کرده است، اما هنوز اقدامات بیشتری برای گسترش استفاده از کنترل‌ها، بهبود مدیریت ریسک و تقویت ساختار امنیتی اطلاعات نهادها لازم است.این اقدامات مهم هستند زیرا نهادهای عمومی داده‌های شخصی را ذخیره می‌کنند و خدمات مورد استفاده مردم را ارائه می‌دهند.حملات سایبری می‌توانند اطلاعات را فاش کنند، خدمات را مختل کنند و ارائه خدمات را تحت تأثیر قرار دهند.
این تدابیر ضروری هستند زیرا نهادهای عمومی مسئول محافظت از داده‌های شخصی و تضمین دسترسی مداوم به خدمات هستند.حملات سایبری می‌توانند منجر به افشای اطلاعات محرمانه، اختلال در خدمات و آسیب به ارائه خدمات عمومی شوند.نظارت بر نیاز افزایش اجرای کنترل‌های امنیتی، بهبود ارزیابی ریسک و تقویت عملکرد مسئولان حفاظت از اطلاعات عمومی را تقویت می‌کند.
خدمات
کل تصمیم را بخوانید:آرای 2829/2026
پرونده: TC 005.618/2025-8
جلسه عادی: 14/10/2026
بخش ارتباطات - CB/va
خدمات خبری - ایمیل:مطبوعات@tcu.gov.br
خدمات به شهروندان - ایمیل:نظارت بر شنیده‌ها@tcu.gov.br