Tribunal: TCU
Processo: 010.390/2024-3
Classe: ACÓRDÃO
Órgão julgador: AUGUSTO NARDES
Órgão colegiado: Plenário
Data de julgamento: 2024-11-06
Data de publicação: 2025-03-27

Ementa:
Auditoria Operacional realizada com o objetivo de avaliar os controles de cibersegurança e de segurança da informação implementados pelas organizações do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp).

Inteiro teor:
VISTOS, relatados e discutidos estes autos que abrigam relatório da auditoria operacional realizada com o objetivo de avaliar em que medida os controles de cibersegurança e de segurança da informação implementados pelas organizações do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) estão de acordo com as boas práticas, em especial comparada ao previsto no framework de Privacidade e Segurança da Informação (Portaria-SGD/MGI no 852/2023). ACORDAM os ministros do Tribunal de Contas da União, reunidos em sessão do Plenário, ante as razões expostas pelo relator e com fundamento nos artigos 1o, inciso II, e 43, inciso I, da Lei no 8.443/1992, c/c os artigos 169, inciso V, 239, inciso II, e 250, inciso III, do Regimento Interno do TCU, assim como os artigos 11 e 17, § 2o, da Resolução-TCU no 315/2020, em: 9.1. recomendar à Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (MGI) que aperfeiçoe o PPSI, gerenciando os riscos constantes do apêndice D do relatório de peça 200, adotando as medidas de controle que estiverem sob sua governabilidade e orientando as organizações do Sisp quando as medidas estiverem na respectiva esfera de governabilidade; 9.2. recomendar a cada uma das organizações do Sisp relacionadas no apêndice E do relatório de peça 200 que: 9.2.1. adotem medidas para implementar os controles de segurança cibernética necessários para reduzir o risco de ataques cibernéticos ao nível aceitável para as políticas públicas que executam, utilizando como referencial as diretrizes expedidas pela SGD/MGI por meio do PPSI, de acordo com o art. 8o da Portaria-SGD/MGI no 852/2023; 9.2.2. envidem esforços para que o processo de gestão de riscos decorrentes de ataques cibernéticos seja liderado explicitamente pela sua alta administração, alinhado ao previsto no art. 17 do Decreto no 9.203/2017; 9.3. dar ciência às 101 organizações que não responderam ao ciclo 3 do PPSI até o dia 14/8/2024 (lista no apêndice A do relatório de peça 200), com fundamento no disposto no art. 9o, I, da Resolução-TCU no 315/2020, sobre a obrigatoriedade de enviar à SGD/MGI sua autoavaliação e plano de ação, nos prazos determinados por ela em cada ciclo de avaliação do PPSI, conforme disposto nos artigos 6o, III, 7o, I, e 8o, I, do Decreto no 7.579/2011, c/c o disposto no art. 9o, §§ 1o e 2o, da Portaria-SGD/MGI no 852/2023; 9.4. classificar como sigilosas em grau reservado, com fundamento no art. 23, VII, da Lei no 12.527/2011 e nos arts. 8o, § 3o, inciso I e 9o, inciso VII, ambos da Resolução-TCU no 294/2018, as peças 40, 44-60, 84, 87-100, 104-111, 113, 117-179, 189, 193-196, restringindo seu acesso a autoridades e servidores do Tribunal de Contas da União (TCU) e da respectiva organização auditada, tendo em vista que a divulgação ostensiva destas informações pode colocar em risco a segurança das organizações do Sisp; 9.5. dar ciência desta deliberação à Secretaria-Geral de Controle Externo do TCU (Segecex), para que avalie a conveniência e a oportunidade de manter o tema "Segurança da Informação e segurança cibernética" na Lista de Alto Risco (LAR) do TCU; 9.6. dar ciência desta deliberação, bem como da íntegra do relatório de peça 200, à Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (MGI), à Subcomissão Permanente de Defesa Cibernética (CREDC) do Senado Federal e a todas as organizações do Sisp constantes na relação inserida no apêndice E do relatório de peça 200; 9.7. determinar o monitoramento deste acórdão; e 9.8. arquivar o processo.