O Tribunal de Contas da União (TCU) avaliou as medidas adotadas por órgãos públicos federais para controles de cibersegurança e de segurança da informação. O monitoramento acompanha as medidas recomendadas pelo TCU após auditoria realizada em 2024. O objetivo é verificar se as organizações do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) seguem as boas práticas da área. O relator do processo é o ministro Augusto Nardes.
O trabalho constatou avanços, mas também identificou problemas que continuam a comprometer a segurança da informação. Nenhuma das 239 organizações que responderam à autoavaliação implementou todas as 56 medidas básicas de segurança cibernética, conhecidas como IG1. As ações são voltadas à proteção contra os ataques mais comuns. Por outro lado, o número de organizações que implementaram mais de 90% dessas medidas passou de duas para 12. Já as que implementaram menos de 40% caíram de 166 para 123.
Parte das melhorias está relacionada às mudanças no Programa de Privacidade e Segurança da Informação (PPSI), coordenado pela Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI). A versão 2.0 do programa passou a contar com indicadores e metas, critérios aprimorados para avaliar a implementação dos controles e a ferramenta on-line SisPPSI, que substituiu o acompanhamento por planilhas. As mudanças também esclareceram responsabilidades da alta administração e aprimoraram a escala de avaliação das medidas de segurança. Com as medidas, seis riscos identificados anteriormente foram considerados mitigados.
No entanto, o Tribunal avalia que persistem dificuldades para colocar as medidas de segurança em prática. Uma delas é a falta de profissionais de tecnologia da informação, tanto na SGD/MGI quanto nas organizações do Sisp. A alta rotatividade desses profissionais também prejudica a continuidade das ações e a manutenção dos controles. Segundo o monitoramento, o ingresso de novos profissionais não foi suficiente para suprir a demanda. O TCU aponta necessidade de medidas relacionadas à ampliação e à atratividade da carreira de Analista em Tecnologia da Informação. Além disso, 15 organizações ainda não haviam designado formalmente um gestor de segurança da informação para coordenar as ações da área.
A capacidade de verificar se as medidas foram efetivamente adotadas também representa um desafio. O TCU identificou dificuldades para comprovar a implementação dos controles declarados pelos órgãos, uma vez que a avaliação se baseia em autodeclarações. Nem sempre há documentos ou outras evidências que confirmem as informações fornecidas. A SGD/MGI planeja exigir, a partir do ciclo de 2027, evidências documentais para medidas selecionadas.
O Tribunal apontou ainda limitações nos mecanismos para garantir o cumprimento das medidas previstas no PPSI, ausência de critérios formais para agrupar organizações com características semelhantes e a insuficiência de recursos financeiros. Esses fatores dificultam o acompanhamento dos controles e a definição de ações adequadas às necessidades de cada órgão.
Outra questão diz respeito à forma como os órgãos avaliam os riscos cibernéticos. O monitoramento identificou que a existência de um processo de gestão de riscos não garante que as organizações tenham verificado se o nível de risco é aceitável diante dos serviços e das políticas públicas que oferecem. Por isso, o TCU recomendou à SGD/MGI que inclua, nos questionários dos próximos ciclos de autoavaliação, perguntas sobre a aceitabilidade desses riscos. A medida busca verificar não apenas a existência de procedimentos formais, mas também se os órgãos avaliam os possíveis impactos dos ataques sobre suas atividades.
A falta de informações para acompanhar a implementação das medidas também preocupa. Dos 743 diagnósticos e planos de ação esperados nos ciclos avaliados, 45 não foram entregues. A ausência de documentos prejudica o acompanhamento da maturidade em segurança da informação e dificulta a avaliação de necessidades e o direcionamento de recursos.
Os resultados do monitoramento indicam que, embora o programa federal tenha avançado, ainda são necessárias medidas para ampliar a adoção dos controles, aprimorar a gestão de riscos e fortalecer a estrutura de segurança da informação dos órgãos.
As medidas são importantes porque os órgãos públicos armazenam dados pessoais e mantêm serviços utilizados pela população. Ataques cibernéticos podem expor informações, interromper atendimentos e prejudicar a prestação de serviços. O monitoramento reforça a necessidade de ampliar a implementação dos controles de segurança, aprimorar a avaliação dos riscos e fortalecer a atuação dos responsáveis pela proteção das informações públicas.
SERVIÇO
Leia a íntegra da decisão: Acórdão 2829/2026
Processo: TC 005.618/2025-8
Sessão ordinária: 14/10/2026
Secom - CB/va
Atendimento à imprensa - e-mail: imprensa@tcu.gov.br
Atendimento ao cidadão - e-mail: ouvidoria@tcu.gov.br