Tribunal: TCU
Processo: 036.620/2020-3
Classe: ACÓRDÃO
Órgão julgador: VITAL DO RÊGO
Órgão colegiado: Plenário
Data de julgamento: 2021-05-12
Data de publicação: 2025-03-08

Ementa:
Auditoria sobre a efetividade dos procedimentos de backup das organizações públicas federais

Inteiro teor:
VISTOS, relatados e discutidos estes autos de auditoria com vistas a avaliar a efetividade dos procedimentos de backup das organizações públicas federais; ACORDAM os Ministros do Tribunal de Contas da União, reunidos em Sessão do Plenário, ante as razões expostas pelo Relator, em: 9.1 recomendar ao Gabinete de Segurança Institucional da Presidência da República (GSI/PR), ao Conselho Nacional de Justiça (CNJ) e ao Conselho Nacional do Ministério Público (CNMP), com fundamento no art. 11 da Resolução - TCU 315/2020, que editem normativos para, cada um no seu âmbito de governança, orientar os gestores e regulamentar a obrigatoriedade de que as entidades e órgãos públicos aprovem formalmente e mantenham atualizadas políticas gerais e planos específicos de backup (para suas bases de dados e sistemas críticos, por exemplo), contemplando requisitos mínimos para endereçar os cinco subcontroles do controle 10 ( Data Recovery Capabilities ) do framework preconizado pelo Center for Internet Security (CIS), em especial quanto à definição do escopo dos dados a serem copiados, suas respectivas periodicidades, tipos, quantidades de cópias, locais de armazenamento, tempos de retenção e outros requisitos de segurança; 9.2. informar da presente decisão à Secretaria Executiva do Gabinete de Segurança Institucional da Presidência da República, ao Conselho Nacional de Justiça, ao Conselho Nacional do Ministério Público, à Secretaria Especial de Modernização do Estado da Secretaria-Geral da Presidência da República, bem como às demais organizações públicas auditadas; 9.3. autorizar a Secretaria de Fiscalização de Tecnologia da Informação: 9.3.1 a encaminhar a cada instituição fiscalizada o seu respectivo relatório de feedback de modo a permitir o desenvolvimento de ações de melhoria na gestão da segurança da informação; 9.3.2. em conjunto com a Segecex, observada eventual necessidade de despersonificação e de reserva quanto a questões específicas, a dar ampla divulgação a informações agregadas e consolidadas nos produtos derivados da execução desta auditoria, a fim de alavancar os esforços de adoção de boas práticas e de cumprimento de normas de segurança da informação e de segurança cibernética pelos órgãos da APF; 9.4 retornar os autos Secretaria de Fiscalização de Tecnologia da Informação para que ela promova a autuação de processo apartado do tipo acompanhamento, com fundamento nos art. 241 e 242 do Regimento Interno deste Tribunal e nos termos do art. 24, parágrafo único, da Resolução-TCU 175/2005, com vistas a dar continuidade à avaliação dos controles críticos de segurança cibernética no âmbito dos órgãos e entidades da Administração Pública federal, e consoante o disposto no levantamento que resultou no Acórdão 4035/2020-TCU-Plenário ; 9.5. arquivar o presente processo, com fulcro no art. 169, inciso V, do RI/TCU.