O Tribunal de Contas da União analisou um relatório de acompanhamento para consolidar os resultados das auditorias operacionais de segurança da informação e segurança cibernética realizadas entre 2023 e 2024. O levantamento marcou o encerramento do primeiro ciclo do projeto Protege-TI, sob a relatoria do ministro Odair Cunha.
Estratégia nacional para o ambiente digital
O projeto Protege-TI constitui estratégia do TCU para “tornar seguro o ambiente digital sob a governabilidade do Brasil”. A iniciativa integra um conjunto de até seis ações de controle voltadas para induzir boas práticas e cumprimento de normas, com destaque para a avaliação de riscos e controles técnicos de segurança cibernética e da informação.
As fiscalizações individuais foram definidas a partir de seis objetos principais: suscetibilidade a ataques de phishing; configurações de serviços web, e-mail e DNS; gestão de controle de acesso e credenciais; vulnerabilidades no serviço de Active Directory; cópias de segurança ou backup; e gestão de incidentes.
“O objetivo das ações permitiu gerar informações capazes de contribuir para a evolução da segurança cibernética federal. Além disso, também foi possível avaliar se as medidas adotadas pelos entes auditados são adequadas para enfrentar as ameaças crescentes de ataques no ambiente virtual”, observou o ministro Odair Cunha.
Foco na prevenção de ransomware e falhas técnicas
O elemento direcionador das fiscalizações consistiu na prevenção de ataques de ransomware, ameaças que representam a maior parcela dos perigos virtuais enfrentados pelas organizações brasileiras. De acordo com dados de empresas especializadas, o país ocupou a segunda posição em número de investidas desse tipo no ano de 2022.
Milhares de domínios públicos dos três poderes e esferas de governo foram testados para checar falhas em servidores web, e-mail e DNS acessíveis na internet.
“A ação de controle identificou riscos e apontou que pode ocorrer a manipulação de tráfego de rede, comprometimento de contas de usuários, roubo, vazamento e perda de dados ou mesmo disrupção dos sistemas de organizações públicas”, enumerou o ministro Odair.
Vulnerabilidades de phishing e resposta a incidentes
O tribunal constatou que os servidores dos órgãos públicos apresentam suscetibilidade a colaborar, de maneira não intencional, com investidas de phishing. Foram achadas brechas tanto no âmbito administrativo quanto no técnico que geram perigos consideráveis.
Em relação à resposta a incidentes, o órgão fiscalizador encontrou falhas em todas as etapas avaliadas, deixando as estruturas tecnológicas vulneráveis. Como resposta, as instituições envolvidas elaboraram cronogramas de correção.
“O envio desses planos evidenciou que a alta gestão dessas organizações assumiu a responsabilidade pelos riscos e pretende melhorar a gestão de risco no contexto do vetor de ataque phishing”, observou o ministro do TCU Odair Cunha.
As entidades auditadas enviaram planos de ação detalhando as medidas para solucionar as deficiências de maior gravidade apontadas pelo tribunal, demonstrando o compromisso da administração pública com a proteção de dados.