ACÓRDÃO Nº 349/2025 - TCU - Plenário

ACÓRDÃO Nº 349/2025 - TCU - Plenário
Trata-se de acompanhamento decorrente de determinação contida no
Acórdão 1.768/2022-TCU-Plenário, no sentido de que a Secretaria de Fiscalização de TI,
com fundamento no art. 24, caput, c/c art. 24, parágrafo único, da Resolução-TCU
175/2005, tendo em vista o incidente cibernético que causou a interrupção de serviços
essenciais à população no âmbito do Ministério da Saúde em dezembro de 2021,
autuasse para identificar as causas do incidente, bem como eventuais falhas de gestão
e de controles que possam ter permitido ou agravado sua ocorrência, analisando-se,
inclusive, apurações realizadas pelo Ministério da Saúde e demais órgãos.
Considerando a manifestação técnica da Unidade de Auditoria Especializada
em Tecnologia da Informação (peças 34 a 36), cujos argumentos são incorporados as
presentes razões de decidir;
Considerando que, apesar de a causa raiz do incidente não ter sido
identificada, não se pode afirmar que houve deficiência de segurança da informação,
sendo muitas vezes impossível essa identificação ante a complexidade de alguns
ambientes computacionais;
Considerando que as apurações realizadas trazem informações suficientes
para considerar a determinação do item 9.6 do Acórdão 1.768/2022-TCU-Plenário
cumprida pela AudTI (então Sefti);
Considerando que no caso de ocorrência de novo incidente relevante, o TCU
poderá considerar as medidas eventualmente adotadas com respeito às recomendações
do acórdão supra para avaliação análoga ao que se faz nestes autos;
Considerando, finalmente, que a instrução da unidade técnica contém
informações sobre o incidente de segurança da informação (SI) ocorrido no Conecte SUS,
revelando detalhes da infraestrutura de SI do Ministério da Saúde - como controles
técnicos não implementados e sugestões de melhorias - e que sua publicidade traria risco
à organização.
Os Ministros do Tribunal de Contas da União, reunidos em Sessão de Plenário,
ACORDAM, por unanimidade, em:
a) considerar cumpridas as determinações formuladas nos itens 9.6.1, 9.6.2,
9.6.3 e 9.6.4 do Acórdão 1.768/2022-TCU-Plenário;
b) classificar como sigilosas em grau reservado, com fulcro no art. 23, VII, da
Lei 12.527/2011 e nos arts. 8º, § 3º, inciso I e 9º, inciso VII, ambos da Resolução-TCU
294/2018, as peças 7, 18 a 21, 29 e 30 e a instrução da unidade técnica (peça 34);
c) encaminhar ao Ministério da Saúde cópia desta deliberação; e
d) arquivar o presente processo, por ter cumprido o seu objetivo, com
fundamento no art. 169, inciso V, do Regimento Interno do TCU.
1. Processo TC-019.703/2023-6 (ACOMPANHAMENTO)
1.1. Apensos: TC 007.895/2024-0 (SOLICITAÇÃO); TC 000.284/2022-0
(REPRESENTAÇÃO); TC 000.372/2022-6 (DENÚNCIA)
1.2. Unidade Jurisdicionada: Ministério da Saúde e Secretaria-Executiva do
Ministério da Saúde.
1.3. Relator: Ministro João Augusto Ribeiro Nardes.
1.4. Representante do Ministério Público: não atuou.
1.5. Unidade Técnica: Unidade de Auditoria Especializada em Tecnologia da
Informação (AudTI).
1.6. Representação legal: não há.
1.7. Determinações/Recomendações/Orientações: não há.