PNCiber | TCU realiza auditoria de avaliação da Política Nacional de Cibersegurança

O Tribunal de Contas da União (TCU) realizou uma auditoria operacional destinada a avaliar o grau de conformidade a Política Nacional de Cibersegurança (PNCiber).

A principal conclusão desse estudo é que a soberania digital, a confiança no ambiente digital e a aceleração da transformação digital no Brasil podem ser negativamente impactadas devido à falta de priorização pela administração pública do tema segurança cibernética.

PRINCIPAIS PONTOS

Divulgada nesta semana, no contexto do Acórdão 2430/2024, relatado pelo ministro Benjamin Zymler, a auditoria constatou a falta de priorização do tema segurança cibernética, materializada, entre outros, pela constatação de que 69% das 254 organizações integrantes Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) do Poder Executivo federal apresentarem um grau de maturidade cibernética nos níveis inicial ou básico.

O documento lista os seguintes pontos como relevantes para essa conclusão:

»      A relevância da ameaça cibernética para o Brasil

• citando pesquisa do Fórum Econômico Mundial, a corte registra que a rápida integração de tecnologias está expondo uma parcela mais ampla da população global a potenciais explorações digitais, a ponto de se observar o surgimento do Cybercrime-as-a-Service (CaaS). Também invoca a desigualdade cibernética, materializada pelo custo de acesso a serviços cibernéticos adequados, ferramentas e talentos, bem como a adoção antecipada de tecnologia de ponta pelas maiores organizações.
• esses elementos, também presentes no contexto brasileiro, são combinados com a tendência de crescimento da superfície de ataque no país, citando, entre outros, a expansão do número de dispositivos digitais em uso, tanto corporativo quanto doméstico – eram pouco menos de 100 milhões em 2010, e somaram 480 milhões em maio de 2024, segundo a FGV.

»      Sucesso dos ataques cibernéticos e suas consequências

o    ataques cibernéticos no Brasil comprometem o controle sobre dados e infraestruturas críticas. A corte cita casos como em 2020 quando o Superior Tribunal de Justiça (STJ) ficou sem acesso a sistemas internos por 6 dias; e o desvio criminoso de R$ 15 milhões do Sistema Integrado de Administração Financeira do Governo Federal (Siafi) em 2024. Os casos citados evidenciam prejuízos à justiça, saúde e gestão pública, agravando a vulnerabilidade digital do país.

• nesse sentido, os ataques afetam a confiança no ambiente virtual e atrasam a transformação digital. Apesar de leis como o Marco Civil da Internet exigirem segurança, a vulnerabilidade da superfície de ataque brasileira destaca a urgência de medidas para proteger dados e garantir estabilidade.

»      As atividades de segurança cibernética no país estão potencialmente insuficientes

• embora o Sisp disponha de informações consolidadas sobre a maturidade cibernética de seus integrantes, essa estrutura não existe para estatais federais, demais poderes ou setores privados, incluindo infraestrutura crítica.
• na análise do órgão, esse grupo é voltado para organizações com recursos limitados de TI e segurança, mas nenhuma avaliação indica cumprimento desses padrões, evidenciando fragilidade na proteção de dados e sistemas críticos do executivo federal.
• A segurança cibernética no Brasil enfrenta insuficiências estruturais e alcance limitado às ações federais

• a segurança cibernética no Brasil carece de coordenação nacional, limitada a ações federais do GSI/PR. Além disso, o Comitê Nacional de Cibersegurança atua em projetos como revisão de estratégias e propostas legislativas, mas não possui estrutura para implementar ações nacionais, deixando o país vulnerável a ameaças cibernéticas.
• restrita ao Poder Executivo Federal, a política é insuficiente para enfrentar a ameaça cibernética nacional, comprometendo objetivos como soberania digital e transformação tecnológica. Por isso, o TCU aponta que uma abordagem intergovernamental, instituída por lei, é essencial para ampliar o alcance e promover ampla articulação para o tema. Ainda, o tribunal salienta a exclusão da proposta de anteprojeto de lei para PNCiber de instrumentos como o Sistema Nacional de Cibersegurança, o que limitou as ações tornando o país vulnerável a riscos digitais e à falta de diagnóstico eficaz.

• Ausência de Prioridade à Segurança Cibernética no Brasil

• a segurança cibernética não tem sido tratada como prioridade no Brasil. O anteprojeto de Lei da PNCiber, que previa estrutura robusta e orçamento adequado, não foi encaminhado pela Casa Civil e acabou substituído por um decreto com estrutura limitada. Assinala ainda que em 2023, o orçamento alocado foi de apenas R$ 588 mil, evidenciando a insuficiência de recursos e o baixo comprometimento do Estado com o tema. Essa falta de prioridade compromete a capacidade do país de proteger sua soberania digital e enfrentar ameaças crescentes.
• Assim, defende a manutenção do tema “Segurança da Informação e segurança cibernética na Lista de Alto Risco do TCU (LAR), a fim de melhor acompanhar suas discussões e debates.

• Falhas na Formulação e Impactos da PNCiber

• em sua última análise, o tribunal relata que a formulação da PNCiber apresentou deficiências relevantes, como a falta de um diagnóstico profundo sobre os problemas e a ausência de evidências que sustentassem as alternativas propostas. Isso resultou em uma política pública com desenho institucional frágil, sem uma instância central para coordenar ações de forma abrangente e eficiente. Por fim o relatório conclui que a ausência de mecanismos estruturados limita a capacidade do país de enfrentar riscos cibernéticos, comprometendo a soberania digital, a confiança no ambiente digital e a transformação digital, além de expor cidadãos e organizações a perdas financeiras e violações de privacidade.

PROPOSTA DE ENCAMINHAMENTO

Nesse sentido, em conclusão, a corte sugere que a Casa Civil, com o apoio do Gabinete de Segurança Institucional da Presidência da República (GSI/PR), gerencie os riscos apontados na fiscalização, visando mitigar os impactos negativos à soberania e confiança no ambiente digital e ainda priorizar a segurança cibernética na agenda do Estado brasileiro, resultando em melhorias nas atividades pertinentes e reduzindo os efeitos adversos relacionados ao risco observado.

Atenciosamente,

Christian Tadeu – Presidente da Federação Assespro
Josefina Gonzalez – Presidente da Assespro-PR