145446

Acompanhamento de controles críticos de segurança cibernética das organizações públicas federais

O processo de transformação digital das organizações públicas, ao mesmo tempo em que disponibiliza aos cidadãos cada vez mais serviços digitalizados, acessíveis por meio de aplicativos e/ou de sítios na Internet, torna essas organizações progressivamente mais dependentes de soluções de tecnologia da informação (TI), em especial de ferramentas de software, bases de dados e sistemas informatizados. Aliada a essa dependência tecnológica, a pandemia da Covid-19 forçou as organizações a expandirem rapidamente o regime de trabalho remoto. Consequentemente, aumentou a quantidade de acessos externos às suas redes e disparou, no mundo inteiro, o número de incidentes relacionados a ataques cibernéticos e códigos maliciosos (malware). Os casos de ransomware, por exemplo, aumentaram 90% de 2020 para 2021. No setor de finanças, os ataques cibernéticos cresceram 300%.

Esse cenário em que, por falhas na respectiva gestão da segurança da informação (SegInfo) ou pela implementação insuficiente de controles de segurança cibernética (SegCiber), as organizações públicas estão expostas a riscos gradativamente maiores foi registrado no Acórdão 4.035/2020-TCU-Plenário (TC 001.873/2020-2; Rel. Min. Vital do Rêgo), cujo relatório propôs uma estratégia, publicada recentemente, para orientar e guiar o TCU no processo de “acompanhar e induzir a boa gestão de SegInfo/SegCiber no âmbito da APF”. Tal estratégia prevê fiscalização do tipo “acompanhamento”, com vistas a obter dados e avaliar a adoção, pelas organizações públicas federais, de controles críticos para a gestão de SegCiber, cuja realização foi aprovada por meio do Acórdão 1.109/2021-TCU-Plenário (TC 036.620/2020-3, auditoria de backup/restore dos órgãos e entidades da APF). O Relator também será o Ministro Vital do Rêgo.

Acessado de https://portal.tcu.gov.br/fiscalizacao-de-tecnologia-da-informacao/atuacao/fiscalizacoes/ em 10 de maio de 2022.

Considerando a situação descrita acima, na condição de Auditor de Controle Externo, elabore um Relatório de Levantamento para subsidiar a realização do Acompanhamento descrito no Acórdão nº 1.109/2021-TCU Plenário. O Relatório de Levantamento, que tem a função de identificar o objeto que será fiscalizado e auxiliar a Alta Administração no processo de tomada de decisões, deve conter as seguintes informações:

1. os instrumentos de fiscalização e o conceito de três deles, com base no Regimento Interno do TCU;
2. os conceitos de evento de segurança da informação, de incidente de segurança da informação, de ameaça e de vulnerabilidade;
3. o conceito de ransomware, como esse tipo de ataque é operacionalizado e como pode ser evitado;
4. as diferenças entre os modelos on-premise e on-cloud de licenciamento de software para a Administração Pública;

Obs.: Dispense a estrutura formal do relatório (título, ementa, vocativo, fecho, nome e cargo).