Tribunal: TCU
Processo: 036.301/2021-3
Classe: ACÓRDÃO
Órgão julgador: VITAL DO RÊGO
Órgão colegiado: Plenário
Data de julgamento: 2022-08-03
Data de publicação: 2025-03-08

Ementa:
Fiscalização do tipo acompanhamento para avaliar a maturidade das organizações públicas federais quanto à implementação de controles críticos de segurança da informação e segurança cibernética.

Inteiro teor:
VISTOS, relatados e discutidos estes autos de acompanhamento com vistas a mapear a maturidade das organizações públicas federais quanto à implementação de controles críticos de segurança cibernética; ACORDAM os Ministros do Tribunal de Contas da União, reunidos em Sessão do Plenário, ante as razões expostas pelo Relator, em: 9.1. recomendar, com fundamento no art. 11 da Resolução - TCU 315/2020, ao Gabinete de Segurança Institucional da Presidência da República que adote as seguintes providências: 9.1.1. comunicar aos órgãos e entidades da Administração Pública federal acerca da obrigatoriedade de suas adesões à Rede Federal de Gestão de Incidentes Cibernéticos em decorrência do § 1o do art. 1o do Decreto 10.748/2021; 9.1.2. promover e incentivar a adesão voluntária à Rede Federal de Gestão de Incidentes Cibernéticos por parte de empresas públicas e sociedades de economia mista federais, assim como de pessoas jurídicas de direito público interno dos Poderes Legislativo e Judiciário Federais (este último, por intermédio do Conselho Nacional de Justiça) e do Ministério Público da União, bem como a pessoas jurídicas de direito privado e a outras pessoas jurídicas de direito público (e.g. de entes federativos) consideradas relevantes para a formação dessa rede, consoante disposições constantes no §2o do art. 1o e §4o do art. 7o do Decreto 10.748/2021; 9.2. recomendar, com fundamento no art. 11 da Resolução - TCU 315/2020, à Secretaria de Governo Digital do Ministério da Economia que, como órgão central do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) do Poder Executivo federal, avalie as deficiências apontadas neste ciclo do acompanhamento de forma a subsidiar suas ações normativas e pedagógicas, a fim de orientar os órgãos e entidades participantes desse sistema a implementarem com urgência controles críticos e medidas de segurança cibernética naquilo que lhes for aplicável, observando ainda as normas exaradas pelo Gabinete de Segurança Institucional da Presidência da República e boas práticas como as preconizadas pelo Center for Internet Security e pela norma técnica ABNT NBR ISO/IEC 27002:2013; 9.3. recomendar, com fundamento no art. 11 da Resolução - TCU 315/2020, ao Senado Federal, à Câmara dos Deputados, ao Tribunal de Contas da União, ao Supremo Tribunal Federal, ao Ministério Público Federal, ao Ministério Público Militar, ao Ministério Público do Trabalho e ao Ministério Público do Distrito Federal e Territórios que adotem as ações a seguir: 9.3.1. implementar com urgência controles críticos e medidas de segurança cibernética, de modo a tratar, em especial, as deficiências apontadas neste ciclo do acompanhamento, naquilo que lhes for aplicável, observando boas práticas como as preconizadas pelo Center for Internet Security e pela norma técnica ABNT NBR ISO/IEC 27002:2013; 9.3.2. adotar, na inexistência de normativo próprio tratando desses temas, as práticas previstas nos Decretos 9.637/2018 e 10.222/2020, que regem aspectos gerais relacionados à segurança da informação e à segurança cibernética no âmbito da Administração Pública federal, bem como as constantes das instruções normativas e de normas complementares editadas pelo Gabinete de Segurança Institucional da Presidência da República aplicáveis a esse respeito; 9.3.3. formalizar, junto ao Gabinete de Segurança Institucional da Presidência da República, ato de adesão à Rede Federal de Gestão de Incidentes Cibernéticos, nos termos do § 4o do art. 7o do Decreto 10.748/2021; 9.4. recomendar ao Conselho Nacional de Justiça, com fundamento no art. 11 da Resolução - TCU 315/2020, que adote providências, tais como a edição de normativos e guias, assim como outras que entender aplicáveis, para orientar os tribunais sob sua supervisão administrativa com vistas à adoção das medidas constantes dos subitens 9.3.1 a 9.3.3; 9.5. dar ciência ao Ministério da Saúde, com fundamento no art. 9o, incisos I e II, da Resolução-TCU 315/2020, que a não designação de servidores para compor o comitê de segurança da informação ou estrutura equivalente do órgão ofende ao disposto no art. 15, inciso IV e § 1o, do Decreto 9.637/2018 e no art. 17 da Portaria 271/2017 desse ministério, que dispõe sobre a sua Política de Segurança da Informação e Comunicações, e constitui obstáculo para o atendimento às disposições do art. 8o da Instrução Normativa 5/2021 do Gabinete de Segurança Institucional da Presidência da República; 9.6. determinar à Secretaria de Fiscalização de TI que, com fundamento no art. 24, caput, c/c art. 24, parágrafo único, da Resolução-TCU 175/2005, tendo em vista o incidente cibernético que causou a interrupção de serviços essenciais à população no âmbito do Ministério da Saúde em dezembro de 2021, autue processo apartado de fiscalização para: 9.6.1. identificar as causas do incidente, bem como eventuais falhas de gestão e de controles que possam ter permitido ou agravado sua ocorrência, analisando-se, inclusive, apurações realizadas pelo Ministério da Saúde e demais órgãos; 9.6.2. avaliar as ações adotadas por empresas responsáveis pela prestação de serviços de infraestrutura e pela proteção das informações e dos serviços do Ministério da Saúde, no âmbito de suas obrigações contratuais; 9.6.3. acompanhar a adoção de medidas por parte do Ministério da Saúde para corrigir os problemas identificados, prevenir a ocorrência de novos incidentes e para reforçar a segurança das informações e a proteção cibernética dos serviços prestados no âmbito daquele órgão; 9.6.4. adotar outras providências que entender relevantes ao deslinde da questão. 9.7. determinar o desapensamento dos TC Processo 000.284/2022-0 e Processo 000.372/2022-6 destes autos e seu apensamento ao novo processo de acompanhamento a ser constituído em face do subitem anterior; 9.8. autorizar a Secretaria de Fiscalização de Tecnologia da Informação, a fim de alavancar a maturidade das organizações públicas federais relativamente à gestão de segurança cibernética e observada eventual necessidade de despersonificação e de reserva quanto a questões específicas a: 9.8.1. compartilhar com a Secretaria de Governo Digital do Ministério da Economia e com o Conselho Nacional de Justiça os dados das respostas individuais das organizações sob sua supervisão ao questionário deste acompanhamento; 9.8.2. em alinhamento com a Secretaria de Comunicação do TCU, dar ampla divulgação às informações e aos produtos derivados deste acompanhamento, em especial à ficha-síntese e aos relatórios de feedback comparativos a serem elaborados, bem como a outros materiais (e.g formulário online de autoavaliação e documentos técnicos visando a orientar os gestores quanto à implementação dos controles críticos e medidas de segurança avaliados em cada ciclo); 9.9. autorizar a Secretaria-Geral de Controle Externo, em articulação com a Secretaria de Fiscalização de Tecnologia da Informação e com Secretaria de Comunicação deste Tribunal, a realizar a divulgação da Estratégia de Fiscalização do TCU em SegInfo e Privacidade de Dados 2022-2025; 9.10. em atenção aos arts. 23 e 24 da Lei 12.527/2011 (Lei de Acesso à Informação), classificar como reservados, por conterem informações consideradas imprescindíveis à segurança da sociedade ou do Estado: 9.10.1. as respostas individuais das organizações ao questionário deste acompanhamento; 9.10.2. a análise do incidente de segurança da informação ocorrido no Ministério da Saúde em dezembro de 2021 (peça 854), a peça 811 e os itens não digitalizáveis dessas peças; 9.11. disponibilizar acesso ao Ministério da Saúde ao papel de trabalho contendo a análise do incidente de segurança da informação/ataque hacker ocorrido em dezembro de 2021 (peça 854), informando que se trata de documento classificado como reservado pelo TCU, para que tome conhecimento das conclusões da análise realizada pela Secretaria de Fiscalização de Tecnologia da Informação e das ações que foram identificadas como possíveis medidas complementares para auxiliar na mitigação de eventos futuros semelhantes e elevar a resiliência da organização; 9.12. determinar à Secretaria de Fiscalização de Tecnologia da Informação (Sefti) que efetue o monitoramento das recomendações contidas nos itens 9.1 a 9.4 constantes desta decisão; 9.13. encaminhar cópias eletrônicas deste acórdão, bem como do relatório e do voto que o fundamentam, ao GSI/PR; à SGD/ME; à Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática e à Presidência do Senado Federal; à Comissão de Ciência e Tecnologia, Comunicação e Informática e à Presidência da Câmara dos Deputados; ao TCU; ao STF; ao CNJ; ao MPF; ao MPT; ao MPM; e ao MPDFT; 9.14. notificar os demais órgãos fiscalizados acerca desta decisão; 9.15. retornar os autos à Secretaria de Fiscalização de Tecnologia da Informação para dar continuidade ao presente acompanhamento.