ACÓRDÃO Nº 2387/2024 - TCU - Plenário

ACÓRDÃO Nº 2387/2024 - TCU - Plenário
1. Processo nº TC 010.390/2024-3.
2. Grupo I - Classe de Assunto: V - Relatório de Auditoria.
3. Interessados/Responsáveis: não há.
4. Unidades Jurisdicionadas: Secretaria de Governo Digital do Ministério da
Gestão e da Inovação em Serviços Públicos e as demais 253 organizações que compõem o
Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp), tomadas como
amostra: Agência Espacial Brasileira; Banco Central do Brasil; Comando da Marinha;
Conselho de Controle de Atividades Financeiras; Empresa Brasileira de Infraestrutura
Aeroportuária; Ministério da Defesa; e Universidade Federal do Rio Grande do Sul.
5. Relator: Ministro João Augusto Ribeiro Nardes.
6. Representante do Ministério Público: não atuou.
7. Unidade Técnica: Unidade de Auditoria Especializada em Tecnologia da
Informação (AudTI).
8. Representação legal: não há.
9. Acórdão:
VISTOS, relatados e discutidos estes autos que abrigam relatório da auditoria
operacional realizada com o objetivo de avaliar em que medida os controles de
cibersegurança e de segurança da informação implementados pelas organizações do
Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp) estão de
acordo com as boas práticas, em especial comparada ao previsto no framework de
Privacidade e Segurança da Informação (Portaria-SGD/MGI nº 852/2023).
ACORDAM os ministros do Tribunal de Contas da União, reunidos em sessão do
Plenário, ante as razões expostas pelo relator e com fundamento nos artigos 1º, inciso II,
e 43, inciso I, da Lei nº 8.443/1992, c/c os artigos 169, inciso V, 239, inciso II, e 250, inciso
III, do Regimento Interno do TCU, assim como os artigos 11 e 17, § 2º, da Resolução-TCU
nº 315/2020, em:
9.1. recomendar à Secretaria de Governo Digital do Ministério da Gestão e da
Inovação em Serviços Públicos (MGI) que aperfeiçoe o PPSI, gerenciando os riscos
constantes do apêndice D do relatório de peça 200, adotando as medidas de controle que
estiverem sob sua governabilidade e orientando as organizações do Sisp quando as
medidas estiverem na respectiva esfera de governabilidade;
9.2. recomendar a cada uma das organizações do Sisp relacionadas no apêndice
E do relatório de peça 200 que:
9.2.1. adotem medidas para implementar os controles de segurança cibernética
necessários para reduzir o risco de ataques cibernéticos ao nível aceitável para as políticas
públicas que executam, utilizando como referencial as diretrizes expedidas pela SGD/MGI
por meio do PPSI, de acordo com o art. 8º da Portaria-SGD/MGI nº 852/2023;
9.2.2. envidem esforços para que o processo de gestão de riscos decorrentes de
ataques cibernéticos seja liderado explicitamente pela sua alta administração, alinhado ao
previsto no art. 17 do Decreto nº 9.203/2017;
9.3. dar ciência às 101 organizações que não responderam ao ciclo 3 do PPSI
até o dia 14/8/2024 (lista no apêndice A do relatório de peça 200), com fundamento no
disposto no art. 9º, I, da Resolução-TCU nº 315/2020, sobre a obrigatoriedade de enviar à
SGD/MGI sua autoavaliação e plano de ação, nos prazos determinados por ela em cada
ciclo de avaliação do PPSI, conforme disposto nos artigos 6º, III, 7º, I, e 8º, I, do Decreto
nº 7.579/2011, c/c o disposto no art. 9º, §§ 1º e 2º, da Portaria-SGD/MGI nº 852/2023;
9.4. classificar como sigilosas em grau reservado, com fundamento no art. 23,
VII, da Lei nº 12.527/2011 e nos arts. 8º, § 3º, inciso I e 9º, inciso VII, ambos da Resolução-
TCU nº 294/2018, as peças 40, 44-60, 84, 87-100, 104-111, 113, 117-179, 189, 193-196,
restringindo seu acesso a autoridades e servidores do Tribunal de Contas da União (TCU)
e da respectiva organização auditada, tendo em vista que a divulgação ostensiva destas
informações pode colocar em risco a segurança das organizações do Sisp;
9.5. dar ciência desta deliberação à Secretaria-Geral de Controle Externo do
TCU (Segecex), para que avalie a conveniência e a oportunidade de manter o tema
"Segurança da Informação e segurança cibernética" na Lista de Alto Risco (LAR) do TCU;
9.6. dar ciência desta deliberação, bem como da íntegra do relatório de peça
200, à Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços
Públicos (MGI), à Subcomissão Permanente de Defesa Cibernética (CREDC) do Senado
Federal e a todas as organizações do Sisp constantes na relação inserida no apêndice E do
relatório de peça 200;
9.7. determinar o monitoramento deste acórdão; e
9.8. arquivar o processo.
10. Ata n° 45/2024 - Plenário.
11. Data da Sessão: 6/11/2024 - Ordinária.
12. Código eletrônico para localização na página do TCU na Internet: AC-2387-
45/24-P.
13. Especificação do quórum:
13.1. Ministros presentes: Bruno Dantas (Presidente), Walton Alencar
Rodrigues, Benjamin Zymler, Augusto Nardes (Relator), Aroldo Cedraz, Jorge Oliveira,
Antonio Anastasia e Jhonatan de Jesus.
13.2. Ministro-Substituto convocado: Augusto Sherman Cavalcanti.
13.3. Ministro-Substituto presente: Weder de Oliveira.