A capacidade de manter serviços e informações públicas protegidos ainda depende de melhorias na gestão interna dos órgãos federais. Em avaliação divulgada em 20 de outubro de 2026, o Tribunal de Contas da União (TCU) analisou as medidas de segurança da informação adotadas por mais de 200 organizações públicas e constatou que nenhuma havia implementado integralmente todas as iniciativas básicas consideradas no levantamento.

O resultado não indica ausência completa de controles. Segundo o Tribunal de Contas da União, houve evolução na adoção das medidas avaliadas. Ainda assim, a fiscalização apontou que os avanços não foram suficientes para assegurar uma aplicação integral das recomendações básicas de proteção de sistemas e informações.

O levantamento também mostrou uma mudança na distribuição dos órgãos conforme o nível de implementação dos controles. A quantidade de instituições que adotaram mais de 90% das medidas subiu de duas para 12. No grupo que cumpriu menos de 40% dos controles avaliados, o número caiu de 166 para 123 organizações.

O que a avaliação do TCU identificou

A comparação dos indicadores revela progresso, mas também evidencia que a adoção das práticas de segurança permanece desigual entre as organizações públicas federais. Enquanto um grupo ampliou o percentual de medidas implementadas, muitas instituições ainda ficaram abaixo de patamares considerados mais elevados no levantamento.

O TCU identificou dificuldades relacionadas à disponibilidade de profissionais especializados, ao acompanhamento dos riscos e à avaliação das próprias medidas de segurança adotadas. Esses fatores afetam a capacidade de cada órgão de reconhecer vulnerabilidades, acompanhar sua evolução e verificar se as ações implementadas estão produzindo o resultado esperado.

Na prática, a segurança da informação não depende apenas da existência de ferramentas tecnológicas. Ela também envolve processos de gestão, definição de responsabilidades, acompanhamento contínuo e análise dos riscos que podem atingir sistemas e dados. A fiscalização tratou o tema como uma questão de administração pública, além de um desafio técnico.

Por que o tema afeta serviços públicos

Sistemas governamentais concentram informações e sustentam atividades necessárias ao funcionamento da administração. Por isso, falhas de proteção podem aumentar a exposição de dados de cidadãos, comprometer serviços públicos ou prejudicar a continuidade administrativa. A avaliação do TCU chama atenção justamente para a necessidade de transformar medidas de segurança em práticas permanentes de gestão.

O problema também está relacionado à capacidade de reação diante de ataques digitais. Quando os riscos não são acompanhados adequadamente ou quando os controles não são avaliados, o órgão pode ter mais dificuldade para identificar deficiências e corrigir procedimentos. A pauta do Tribunal, portanto, não se limita à prevenção: inclui a preparação institucional para administrar riscos de forma contínua.

Como a análise envolveu mais de 200 organizações, os resultados oferecem uma visão abrangente sobre a maturidade das práticas de segurança da informação no setor público federal. A redução do número de instituições com menos de 40% dos controles implementados é um sinal de melhora, mas a ausência de qualquer organização com cumprimento integral mantém o alerta sobre a necessidade de avanço.

Recomendações e próximos passos

O Tribunal recomendou que os órgãos federais aperfeiçoem seus processos de gestão de riscos e o monitoramento das ações de segurança da informação. A orientação busca fazer com que as instituições acompanhem de maneira mais estruturada as ameaças, as vulnerabilidades e a efetividade das providências adotadas.

O monitoramento é relevante porque a implementação de uma medida, isoladamente, não garante que ela continue adequada ao longo do tempo. A avaliação periódica permite identificar falhas, revisar procedimentos e direcionar esforços para os pontos que ainda apresentam maior fragilidade. Para o setor público, esse acompanhamento também contribui para reduzir impactos sobre serviços e informações sob responsabilidade do Estado.

Os dados divulgados em 20 de outubro mostram, ao mesmo tempo, uma trajetória de avanço e uma lacuna ainda presente. Mais órgãos passaram a cumprir percentuais elevados dos controles avaliados, mas a proteção integral recomendada pelo TCU ainda não havia sido alcançada por nenhuma das instituições analisadas. O desafio agora é consolidar a evolução e ampliar a capacidade de gestão da segurança da informação em toda a estrutura federal.