Tribunal consolida auditorias sobre segurança cibernética em organizações federais

O Tribunal de Contas da União (TCU) analisou, sob a relatoria do ministro Odair Cunha, relatório de acompanhamento que teve como objetivo consolidar os resultados das auditorias operacionais de segurança da informação e segurança cibernética realizadas em 2023 e 2024, o primeiro ciclo do projeto Protege-TI.

O Protege-TI é uma estratégia do TCU para "tornar seguro o ambiente digital sob a governabilidade do Brasil". A iniciativa integra um conjunto de até seis ações de controle voltadas para induzir boas práticas e cumprimento de normas, com destaque para a avaliação de riscos e controles técnicos de segurança cibernética e da informação.

A auditoria definiu as fiscalizações individuais a partir dos objetos: a) suscetibilidade a ataques de phishing; b) configurações de serviços web, e-mail e DNS; c) gestão de controle de acesso e credenciais; d) vulnerabilidades no serviço de Active Directory; e) cópias de segurança ou backup; e f) gestão de incidentes.

"O objetivo das ações permitiu gerar informações capazes de contribuir para a evolução da segurança cibernética federal. Além disso, também foi possível avaliar se as medidas adotadas pelos entes auditados são adequadas para enfrentar as ameaças crescentes de ataques no ambiente virtual", observou o ministro Odair Cunha.

A fiscalização

O elemento direcionador do Protege-TI no ciclo consistiu na prevenção de ataques de ransomware, os quais constituem a maior parcela das ameaças oriundas da internet à segurança das organizações brasileiras. Segundo estudos de empresas especializadas no tema, o Brasil foi o segundo país com maior número de ofensivas desse tipo em 2022.

Na auditoria, foram testados milhares de domínios de organizações públicas dos três poderes da União e das três esferas de governo, a fim de identificar se existem falhas de configuração em servidores web, e-mail e DNS (Domain Name Service) acessíveis pela internet e que podem ser exploradas por agentes de ameaça.

"A ação de controle identificou riscos e apontou que pode ocorrer a manipulação de tráfego de rede, comprometimento de contas de usuários, roubo, vazamento e perda de dados ou mesmo disrupção dos sistemas de organizações públicas", enumerou o ministro Odair.

Phishing

O TCU constatou que existe suscetibilidade dos usuários das organizações a contribuírem, ainda que não intencionalmente, com ataques de phishing. Além disso, foram detectadas, nos eixos avaliados (administrativo e técnico), deficiências ou oportunidades de melhoria que geram riscos relevantes relacionados ao vetor de ataque phishing.

Em face dos resultados apresentados ao final da fiscalização, as organizações auditadas enviaram um plano de ação informando como pretendiam lidar com as deficiências classificadas como de maior risco.

"O envio desses planos evidenciou que a alta gestão dessas organizações assumiu a responsabilidade pelos riscos e pretende melhorar a gestão de risco no contexto do vetor de ataque phishing", observou o ministro do TCU Odair Cunha.

Gestão de resposta a incidentes

A auditoria do TCU detectou deficiências, nas organizações auditadas, em todas as fases avaliadas, gerando riscos relevantes relacionados à resposta de incidentes e expondo as organizações a riscos de segurança da informação.

Em face dos resultados apresentados, as organizações auditadas enviaram plano de ação informando como pretendiam lidar com as deficiências de maior risco. O envio dos planos evidenciou que a alta gestão pretende melhorar a gestão de respostas a incidentes de segurança da informação.

SERVIÇO

Leia a íntegra da decisão: Acórdão 2923/2026 - Plenário

Processo: TC 017.092/2023-0

Sessão: 21/10/2026

Secom - ED/pc

Atendimento à imprensa - e-mail: imprensa@tcu.gov.br

Atendimento ao cidadão - e-mail: ouvidoria@tcu.gov.br