A proteção de sistemas usados pelo governo federal ainda apresenta diferenças importantes entre as organizações públicas. Em avaliação divulgada em 20 de outubro de 2026, o Tribunal de Contas da União (TCU) analisou as medidas de segurança da informação adotadas por mais de 200 instituições e concluiu que nenhuma havia colocado em prática, de forma integral, todas as iniciativas básicas consideradas na fiscalização.
O levantamento mostra que houve evolução em parte dos indicadores, mas também revela que a capacidade de prevenção e de administração de riscos digitais ainda não está consolidada em todo o setor público federal. Na prática, o resultado envolve sistemas, informações e serviços que dependem de estruturas tecnológicas para funcionar e atender a população.
Avanço entre as instituições com maior adesão
De acordo com o TCU, o número de organizações que implementaram mais de 90% das medidas avaliadas subiu de duas para 12. O dado indica crescimento no grupo de instituições com maior nível de adoção dos controles recomendados, embora esse conjunto ainda represente uma parcela reduzida diante do universo fiscalizado.
Ao mesmo tempo, houve redução na quantidade de órgãos que cumpriram menos de 40% dos controles examinados. Esse grupo caiu de 166 para 123 organizações. A mudança também aponta uma melhora geral, mas não elimina a existência de uma parcela expressiva de instituições com baixo nível de implementação das medidas básicas de segurança.
A fiscalização, portanto, não descreve um cenário uniforme. Há órgãos que avançaram mais rapidamente e outros que continuam enfrentando dificuldades para estabelecer controles suficientes. O fato de nenhuma organização ter atendido integralmente a todas as iniciativas avaliadas reforça, segundo o diagnóstico apresentado, que ainda há etapas pendentes mesmo entre as instituições com melhor desempenho.
Falta de especialistas é um dos desafios
Entre os problemas identificados pelo Tribunal estão a falta de profissionais especializados, o acompanhamento insuficiente dos riscos e as limitações na avaliação das medidas adotadas. Esses fatores afetam a capacidade das organizações de identificar vulnerabilidades, definir prioridades e verificar se as ações de proteção estão produzindo os resultados esperados.
A carência de pessoal qualificado aparece como um obstáculo especialmente relevante porque a segurança da informação depende de acompanhamento contínuo. Não basta estabelecer controles: as instituições também precisam observar os riscos, revisar procedimentos e avaliar se suas estruturas permanecem adequadas diante das ameaças digitais.
O apontamento do TCU trata a segurança da informação como uma questão de gestão pública, e não apenas como uma atividade técnica das áreas de tecnologia. Processos internos, responsabilidades, monitoramento e tomada de decisão fazem parte da capacidade de cada órgão de proteger seus sistemas e informações.
Impacto para serviços e dados dos cidadãos
Falhas em estruturas digitais governamentais podem atingir a continuidade administrativa e o funcionamento de serviços públicos que dependem de sistemas informatizados. Também podem aumentar a exposição de informações mantidas pelas instituições, incluindo dados relacionados à prestação de serviços e ao relacionamento do Estado com cidadãos e empresas.
O levantamento não afirma que todas as organizações avaliadas tenham sofrido ataques ou incidentes. A questão apresentada pelo Tribunal é preventiva: quanto mais incompletos forem os controles, maior é o desafio para identificar e administrar riscos antes que eles afetem sistemas e informações. Por isso, o resultado da auditoria interessa não apenas aos gestores públicos, mas também às pessoas que dependem dos serviços federais.
O cenário reforça a necessidade de que a proteção digital seja incorporada ao planejamento das instituições. A segurança precisa ser considerada na organização das atividades, na alocação de recursos e na definição de mecanismos para acompanhar a execução das medidas previstas.
TCU recomenda aperfeiçoamento da gestão de riscos
Como encaminhamento, o Tribunal recomendou que os órgãos federais aperfeiçoem os processos de gestão de riscos e o monitoramento das ações de segurança da informação. A orientação busca melhorar a capacidade de acompanhar vulnerabilidades, verificar a execução dos controles e corrigir deficiências identificadas ao longo do tempo.
As recomendações também indicam que a evolução dos indicadores deve ser acompanhada com regularidade. A redução do número de organizações abaixo de 40% e o aumento daquelas acima de 90% são sinais positivos, mas não substituem a implementação completa das iniciativas consideradas básicas no levantamento.
O balanço divulgado em 20 de outubro coloca a segurança da informação entre os temas de governança que exigem acompanhamento permanente no governo federal. Para o cidadão, o principal efeito esperado de melhorias nessa área é o fortalecimento das condições necessárias para que sistemas públicos funcionem de maneira mais confiável e para que as informações sob responsabilidade do Estado sejam protegidas.
