Uma prefeitura guarda, todos os dias, informações que valem muito para criminosos: CPF, endereço, dados de saúde, cadastro social, folha de pagamento, dados fiscais. Ao mesmo tempo, costuma operar com equipe de TI pequena, sistemas antigos e orçamento apertado. Não é coincidência que órgãos públicos estejam entre os alvos frequentes de ataques no Brasil.
Este guia organiza o tema de forma prática: o que a lei exige, onde estão os maiores riscos e por onde começar.
O que a lei exige
- LGPD (Lei 13.709/2018): o poder público também é controlador de dados pessoais. Precisa indicar um encarregado (DPO), registrar as operações de tratamento, adotar medidas de segurança e comunicar incidentes relevantes à ANPD e aos titulares.
- Lei de Acesso à Informação (Lei 12.527/2011): garante transparência, mas protege informações pessoais. Transparência e privacidade precisam conviver.
- Normas e guias federais, como o Programa de Privacidade e Segurança da Informação (PPSI) do Governo Digital, servem de referência mesmo para municípios.
Onde moram os maiores riscos
- Senhas fracas e compartilhadas — o mesmo login usado por vários servidores, sem rastreabilidade.
- E-mails de phishing — a porta de entrada mais comum para ataques.
- Sistemas desatualizados — servidores e computadores sem atualizações de segurança.
- Backups inexistentes ou na mesma rede — quando o ataque vem, o backup é criptografado junto.
- Planilhas com dados pessoais circulando por e-mail e pendrive.
- Fornecedores sem cláusulas de segurança em contrato.
Os pilares de um programa de segurança
Pessoas
Treinamento curto e recorrente sobre phishing, senhas e manuseio de dados. Servidores bem orientados são a defesa mais barata.
Processos
Política de senhas, política de backup, plano de resposta a incidentes e procedimento de desligamento de servidores (retirar acessos no mesmo dia).
Tecnologia
- Autenticação em dois fatores para e-mail e sistemas críticos;
- Perfis de acesso por função (cada servidor vê só o que precisa);
- Registro de acessos (quem viu, quem alterou, quando);
- Criptografia em trânsito (HTTPS) e em repouso;
- Atualizações automáticas e antivírus gerenciado.
Plano de 90 dias
Dias 1–30 — Diagnóstico
- Inventariar sistemas, servidores e onde estão os dados pessoais;
- Nomear o encarregado de dados;
- Ativar dois fatores no e-mail institucional.
Dias 31–60 — Proteções básicas
- Backup diário com cópia fora da rede (regra 3-2-1);
- Revisão de acessos: remover usuários antigos e logins compartilhados;
- Primeira campanha de conscientização.
Dias 61–90 — Governança
- Plano de resposta a incidentes aprovado;
- Cláusulas de segurança e LGPD nos contratos com fornecedores;
- Teste de restauração do backup (backup que nunca foi testado não é backup).
Como avaliar fornecedores de software
Antes de contratar, pergunte:
- Onde os dados ficam hospedados e com que certificações?
- Há controle de acesso por perfil e registro de auditoria?
- Com que frequência são feitos backups e testes de restauração?
- Como o fornecedor comunica incidentes?
- Os dados podem ser exportados ao fim do contrato?
Segurança desde o projeto
Na GM Tecnologia, sistemas como o SIGEM e as soluções de Portal da Transparência e Saúde Conectada são desenvolvidos com controle de acesso por perfil, registro de ações e separação entre dados públicos e pessoais desde a primeira versão — e não como remendo depois.
Conclusão
Segurança da informação no setor público não começa com grandes investimentos, e sim com disciplina: senhas fortes, backups testados, acessos revisados e servidores treinados. Fale com a GM Tecnologia para um diagnóstico dos sistemas da sua prefeitura ou câmara.