Uma fiscalização do Tribunal de Contas da União (TCU) identificou lacunas na segurança da informação de órgãos federais. O levantamento avaliou as medidas adotadas por mais de 200 organizações públicas e apontou que, embora tenha havido evolução em alguns indicadores, nenhuma das instituições analisadas havia implementado integralmente todas as iniciativas básicas recomendadas para proteger sistemas e informações.
Os dados foram divulgados em 20 de outubro de 2026 pelo próprio Tribunal de Contas da União, em balanço sobre a avaliação das medidas de segurança da informação em organizações públicas federais. O resultado coloca a proteção digital no setor público federal como uma questão ligada não apenas à tecnologia, mas também à gestão de riscos, à disponibilidade de profissionais especializados e à continuidade dos serviços.
Avanço nos indicadores, mas com cobertura desigual
Segundo o TCU, o número de órgãos que adotaram mais de 90% das medidas avaliadas subiu de dois para 12. O movimento indica que uma parcela das instituições avançou na implantação dos controles considerados necessários para elevar o nível de proteção de seus sistemas e informações.
Ao mesmo tempo, também houve redução entre as organizações com menor grau de implementação. A quantidade de instituições que cumpriram menos de 40% dos controles caiu de 166 para 123. Apesar da melhora, o número ainda mostra que uma parte expressiva das estruturas públicas avaliadas permanece distante de um nível elevado de adoção das medidas recomendadas.
A fiscalização, portanto, não aponta um cenário uniforme entre os órgãos federais. Há instituições que ampliaram significativamente suas ações de segurança, enquanto outras ainda apresentam baixa implementação dos controles examinados. A ausência de cumprimento integral em todas as organizações reforça a existência de diferentes níveis de maturidade na administração pública.
Principais deficiências encontradas
Entre os problemas identificados pelo Tribunal estão a falta de profissionais especializados, deficiências no acompanhamento dos riscos e limitações na avaliação das próprias medidas de segurança adotadas. Esses pontos dificultam a capacidade das organizações de identificar prioridades, acompanhar a evolução das ameaças e verificar se os controles implementados estão produzindo os resultados esperados.
A carência de pessoal especializado afeta a estrutura responsável por planejar e executar ações de proteção. Já o acompanhamento insuficiente dos riscos pode dificultar a identificação de vulnerabilidades e a definição de respostas proporcionais. Sem avaliação periódica, os órgãos também podem ter dificuldades para saber se as providências adotadas continuam adequadas às necessidades de seus sistemas e informações.
O levantamento não se limita a verificar a existência de ferramentas tecnológicas. A análise considera práticas de gestão e controle que ajudam as instituições a organizar responsabilidades, acompanhar riscos e avaliar o desempenho das ações de segurança da informação. Por isso, os resultados alcançam áreas administrativas e de governança, além das equipes diretamente ligadas à tecnologia.
Por que a segurança dos órgãos públicos importa
Os sistemas governamentais concentram informações e sustentam atividades administrativas que dependem de disponibilidade, integridade e proteção adequada. Quando os controles são insuficientes, aumenta a dificuldade de prevenir ou administrar problemas que podem comprometer dados, sistemas e a continuidade de serviços públicos.
O balanço do TCU não relata um incidente específico decorrente das falhas encontradas. A relevância do diagnóstico está em mostrar que a prevenção precisa fazer parte da rotina das organizações. A adoção incompleta de medidas básicas deixa diferenças de capacidade entre órgãos e exige que a gestão pública trate a segurança da informação como uma responsabilidade permanente.
Essa abordagem também ajuda a explicar por que a fiscalização é relevante para a população. A proteção de estruturas digitais governamentais envolve informações relacionadas ao funcionamento do Estado e aos serviços oferecidos aos cidadãos. Melhorar controles, acompanhar riscos e revisar medidas são ações que contribuem para reduzir a exposição das instituições a problemas digitais.
Recomendações e próximos passos
Diante dos resultados, o TCU recomendou que os órgãos federais aperfeiçoem seus processos de gestão de riscos e o monitoramento das ações de segurança da informação. A orientação busca fazer com que as instituições acompanhem de maneira mais sistemática os riscos existentes e a execução das medidas planejadas.
O avanço dos indicadores mostra que a implementação é possível, mas a redução no grupo de organizações com menos de 40% de cumprimento não elimina a necessidade de continuidade. Para o Tribunal, o desafio é ampliar a adoção dos controles e garantir que as medidas não sejam tratadas como iniciativas isoladas, mas como parte dos processos regulares de gestão.
Ao divulgar a avaliação, o TCU oferece um retrato da capacidade atual dos órgãos federais para organizar sua proteção digital. O diagnóstico combina sinais de evolução com alertas sobre profissionais, riscos e monitoramento, indicando que a segurança da informação ainda demanda acompanhamento constante e aperfeiçoamento institucional.
