A evolução e a redução de preços na área de tecnologia da informação (TI) nos últimos anos permitiram a exploração de um novo modelo de acesso a recursos computacionais compartilhados e de alta disponibilidade e acessibilidade: a computação em nuvem (cloud computing).

Segundo o National Institute of Standards and Technology (NIST) dos Estados Unidos, computação em nuvem é um modelo que permite acesso universal e sob demanda, por intermédio da rede, a um conjunto compartilhado de recursos computacionais configuráveis (por exemplo: redes, servidores, armazenamento, aplicações e serviços), que podem ser rapidamente provisionados e disponibilizados com o mínimo de esforço de gerenciamento ou de interação com o provedor de serviços de TI.

O modelo traz benefícios como: maior disponibilidade, flexibilidade da oferta do serviço em função de variações na demanda, menor dependência de pessoal qualificado, possível redução de vários riscos de segurança, pagamento por uso efetivo de recursos e potencial redução de custos. Esse novo modelo permite, assim, que o foco das organizações usuárias seja em suas funções essenciais.

Todavia, diante do modelo de contratação pública no Brasil, bem como dos requisitos de segurança da informação (disponibilidade, confidencialidade e integridade), as organizações governamentais devem avaliar previamente os possíveis riscos advindos de contratações de serviços de computação em nuvem.

Diante desse cenário, a Secretaria de Fiscalização de Tecnologia da Informação (Sefti), com apoio da Secretaria de Infraestrutura de TI (Setic), realizou um levantamento com objetivo principal de identificar riscos em contratações na Administração Pública Federal (APF) sob o modelo de computação em nuvem, que, sob relatoria do Ministro Benjamin Zymler, resultou no Acórdão 1.739/2015-TCU-Plenário. A equipe elaborou uma  tabela de riscos  e possíveis controles associados à contratação desses serviços e uma matriz de referência contendo questões, procedimentos e possíveis achados de auditoria, de modo a auxiliar os auditores do TCU em futuras fiscalizações.

Outras questões avaliadas no trabalho vão desde vantagens da adoção do modelo, análise do atual arcabouço legislativo e normativo que rege a contratação e a adoção deste tipo de solução, até o panorama encontrado da contratação desses serviços pela APF.

Mais informações podem ser obtidas diretamente pela leitura do relatório, voto e acórdão (Acórdão 1.739/2015-TCU-Plenário).