ACÓRDÃO Nº 2019/2026 - TCU - Plenário

ACÓRDÃO Nº 2019/2026 - TCU - Plenário
1. Processo TC 015.635/2025-2.
2. Grupo: I - Classe: V - Assunto: Relatório de Auditoria.
3. Interessados/Responsáveis: não há.
4. Órgãos/Entidades: Controladoria-Geral da União; Instituto Nacional do
Seguro Social; Secretaria de Governo Digital; Serviço Federal de Processamento de
Dados.
5. Relator: Ministro Odair Cunha.
6. Representante do Ministério Público: não atuou.
7. Unidade Técnica: Unidade de Auditoria Especializada em Tecnologia da
Informação (AudTI).
8. Representação legal: não há.
9. Acórdão:
VISTO, relatado e discutido este processo de auditoria operacional realizada
pela Secretaria de Controle Externo de Tecnologia da Informação (AudTI), com o objetivo
de avaliar a maturidade, a segurança e a efetividade dos processos de gestão de
identidade da Conta Gov.br, sistema central de identificação e autenticação para acesso
aos serviços públicos digitais federais.
ACORDAM os Ministros do Tribunal de Contas da União, reunidos em sessão
do Plenário, por unanimidade, ante as razões expostas pelo Relator, em:
9.1. com fundamento no art. 250, III, do Regimento Interno do TCU, e no art.
11 da Resolução 315/2020, recomendar à Secretaria de Governo Digital do Ministério da
Gestão e da Inovação em Serviços Públicos (SGD/MGI) que:
9.1.1. realize estudo de viabilidade e de riscos para a implementação de
métodos alternativos e seguros de autenticação multifatores priorizando tecnologias
modernas e resistentes a ataques de engenharia social;
9.1.2. adote as medidas necessárias para:
9.1.2.1. promover o aprimoramento tecnológico, operacional e de segurança
das soluções de biometria facial e prova de vida (liveness) do ecossistema Gov.br, de
forma a:
9.1.2.1.1 assegurar que os níveis de desempenho de segurança e acurácia
sejam compatíveis com padrões de boas práticas internacionalmente reconhecidos (NIST
SP 63A 3.11 Rev. 4 e ISO/IEC 30107-3:2023);
9.1.2.1.2 identificar e mitigar eventuais disparidades de desempenho para
grupos demográficos específicos, incluindo aqueles que utilizam dispositivos de baixa
qualidade ou residem em áreas com infraestrutura limitada;
9.1.2.1.3 atualizar periodicamente as bases de validação sob controle da
SGD/MGI, garantindo que sejam inclusivas e representativas da diversidade populacional
brasileira;
9.1.2.2. instituir ciclos de validade e revalidação periódica para os selos de
identidade obtidos via reconhecimento facial e Carteira de Identidade Nacional, alinhando
a gestão do ciclo de vida das credenciais às boas práticas internacionais de gestão de
identidade digital;
9.1.2.3. aprimorar, consolidar e alinhar as diretrizes de segurança e manuais de
integração dos serviços ao Login Gov.br (Login Único);
9.1.2.4. implemente controles lógicos para assegurar o alinhamento entre nível
de identificação da Conta Gov.br e os métodos de autenticação definidos na Portaria -
SGD/MGI 11.229/2025;
9.1.2.5. realize estudos técnicos para identificar as lacunas e deficiências no
monitoramento das Contas Gov.br, incluindo monitoramento de módulos de gestão e
aprimoramento de deficiências que podem impactar processos formais de comunicação e
resposta a incidentes, como falta de rastreabilidade ou impossibilidade de reconstrução de
incidentes de segurança;
9.1.2.6. implante os mecanismos técnicos necessários ao monitoramento das
Contas Gov.br; e
9.1.2.7. oriente e, se necessário, elabore normatização acerca do seu papel e
do papel dos gestores dos serviços nas atividades de monitoramento das contas
Gov.br.
9.2. Dar ciência às unidades jurisdicionadas do TCU e gestoras de serviços
integrados à plataforma Gov.br listadas no Apêndice F deste relatório, com fundamento
no art. 9º, inciso I, da Resolução 315, de 2020, de que a definição dos níveis de
confiabilidade das contas (Bronze, Prata ou Ouro) e dos métodos de acesso sem a prévia
realização de avaliação de risco, especialmente para serviços classificados como críticos ou
sensíveis, expõe a Administração Pública a incidentes de segurança e descumpre o dever
de proteção de dados dos cidadãos, em decorrência da inobservância dos seguintes
dispositivos: Lei 13.709/2018: Art. 50, § 2º, I, d); e Portaria SGD/MGI 11.229/2025: Art. 7º,
I e II.
9.3. Classificar como sigiloso em grau reservado, com base no art. 23, VII, da
Lei 12.527/2011 e nos arts. 8º, § 3º, I e 9º, VII, ambos da Resolução 294/2018, o
seguinte:
9.3.1. as peças 18-23, 29-31, 41, 56, 68, 78-79, 91, 102-104, enviadas pelos
auditados, referendando a classificação dada pelo auditado; e
9.3.2. as peças 34, 66, 75-77, 81, 84, 87, 105-109, 112, 118-121, contendo as
análises que evidenciam o descrito neste relatório.
9.4. Informar à Secretaria de Governo Digital do Ministério da Gestão e da
Inovação em Serviços Públicos (SGD/MGI), à Secretaria Especial da Receita Federal do
Brasil (RFB) à Controladoria-Geral da União (CGU) e às unidades jurisdicionadas do TCU e
gestoras de serviços integrados à plataforma Gov.br listadas no Apêndice F deste relatório
sobre este acórdão, destacando que a íntegra da deliberação (relatório, voto e acórdão)
ora encaminhada pode ser acessada em www.tcu.gov.br/acordaos.
9.5. ordenar à Unidade de Auditoria Especializada em Tecnologia da
Informação que aprofunde a análise achado referente à governança e à segurança da
plataforma Gov.br no contexto de titulares falecidos sem prejuízo do monitoramento das
deliberações constantes deste acórdão.
10. Ata n° 29/2026 - Plenário.
11. Data da Sessão: 29/7/2026 - Ordinária.
12. Código eletrônico para localização na página do TCU na Internet: AC-2019-
29/26-P.
13. Especificação do quórum:
13.1. Ministros presentes: Jorge Oliveira (na Presidência), Walton Alencar
Rodrigues, Bruno Dantas, Antonio Anastasia, Jhonatan de Jesus e Odair Cunha (Relator).
13.2. Ministros-Substitutos presentes: Augusto Sherman Cavalcanti, Marcos
Bemquerer Costa e Weder de Oliveira.