A cibersegurança é fundamental em todos os setores, com desafios distintos conforme as particularidades de cada área e os vetores de ataque mais relevantes.
Para explorar essa complexidade, a equipe de Pesquisa e Desenvolvimento (P&D) da Diazero Security lançou o projeto DZ Insight.
Essa iniciativa reúne artigos que examinam os desafios de segurança digital em diferentes segmentos, fornecendo análises aprofundadas para apoiar profissionais na mitigação de riscos específicos.
Nosso compromisso é compartilhar conhecimento de maneira acessível, auxiliando organizações e especialistas a entender melhor as ameaças e a se preparar para os desafios emergentes.
Indústria
A segurança cibernética no setor público tem sido um dos principais desafios enfrentados pelo governo brasileiro.
Apesar dos avanços regulatórios e da implementação do Programa de Privacidade e Segurança da Informação (PPSI) em 2023, ainda existem grandes lacunas na cibersegurança institucional.
Uma auditoria do Tribunal de Contas da União (TCU) revelou que a maioria dos órgãos públicos continua apresentando vulnerabilidades significativas.
De acordo com o levantamento, houve um aumento expressivo nos ataques cibernéticos contra entidades governamentais em 2024, superando os registros de 2023.
Somente no primeiro semestre do ano, foram relatadas 8.692 ocorrências, ultrapassando o pico anterior registrado em 2020.
Além disso, dos 229 órgãos federais avaliados, apenas 14 implementaram mais de 70% das medidas recomendadas pelo PPSI.
Outro problema crítico identificado foi a falta de preparo dos servidores para lidar com ameaças cibernéticas.
Apenas 9% dos funcionários receberam treinamento para evitar ataques de engenharia social, como phishing, enquanto 42% dos órgãos não utilizam antivírus regularmente.
Ademais, somente 8% das instituições adotam criptografia para proteger dados em dispositivos de usuários finais.
A vulnerabilidade cibernética do setor público também foi destacada na Lista de Alto Risco da Administração Pública Federal, publicada em 2024 pelo TCU.
O documento destacou a segurança digital como um grande desafio para o setor público, alertando que a fragilidade na proteção de dados pode afetar decisões estratégicas e a soberania nacional.
A falta de uma entidade centralizada para coordenar a cibersegurança no Brasil também foi apontada como um obstáculo para o avanço das políticas de proteção.
Atualmente, cada ministério e órgão tem autonomia para definir suas próprias diretrizes, resultando em um tratamento fragmentado da segurança da informação.
Neste cenário, é fundamental avançar na implementação de políticas nacionais de cibersegurança e no fortalecimento dos Centros de Operações de Segurança (SOCs).
Além disso, é essencial promover a capacitação contínua dos servidores públicos para garantir a proteção dos dados públicos e a resiliência dos serviços prestados.
Desafios
Os principais desafios enfrentados pelo setor público brasileiro incluem:
Complexidade das Infraestruturas de TI
A diversidade de plataformas tecnológicas e a coexistência de sistemas legados com novas tecnologias criam ambientes de TI altamente fragmentados e difíceis de monitorar.
A limitação na visibilidade de ambientes híbridos — especialmente entre sistemas on-premise e serviços em nuvem — compromete a capacidade de monitorar riscos.
Além disso, a existência de estruturas organizacionais em silos dificulta uma resposta coordenada a incidentes de segurança.
Instituições como TCU e ABEP-TIC, vêm alertando sobre esses desafios e apontam a necessidade de políticas unificadas e infraestrutura de monitoramento transversal nos órgãos públicos.
Restrições Orçamentárias
O financiamento limitado é um dos principais entraves para a melhoria da segurança digital.
As restrições orçamentárias no setor público brasileiro estão entre os maiores obstáculos para a implementação de soluções de cibersegurança.
Muitas instituições priorizam custos imediatos em detrimento de investimentos preventivos, o que pode resultar em gastos ainda maiores com resposta a incidentes e recuperação.
Ameaças Externas e Internas
Embora os ataques patrocinados por Estados-nação sejam uma preocupação global, eles não são a principal ameaça no Brasil.
No contexto brasileiro, os maiores riscos para o setor público vêm de grupos de ransomware, criminosos cibernéticos organizados e insiders negligentes ou mal-intencionados.
O país tem enfrentado um aumento expressivo de incidentes, incluindo sequestro de dados em órgãos públicos, interrupção de serviços essenciais e vazamento de informações sensíveis.
Esse cenário reflete tanto o amadurecimento das táticas dos atacantes quanto as fragilidades estruturais presentes na gestão da segurança cibernética em muitas instituições públicas.
Estudos nacionais reforçam a urgência em fortalecer as capacidades de prevenção, detecção e resposta a incidentes no setor público brasileiro.
Capacitação de Profissionais
A falta de treinamento adequado e a escassez de profissionais qualificados em cibersegurança representam barreiras significativas.
A insuficiência de pessoal de TI é um dos maiores desafios na gestão da segurança digital no setor público.
Esse problema é agravado por restrições orçamentárias e dificuldades na contratação de especialistas.
Gerenciamento de Identidade e Acesso
A implementação de autenticação forte e controle de acesso eficiente continua sendo um desafio.
Embora o uso de autenticação multifator (MFA) esteja em expansão, muitos órgãos ainda têm dificuldades com a abordagem zero trust.
Essas medidas de otimização do Identity and Access Management (IAM) são essenciais para reduzir riscos de acessos não autorizados e ataques internos.
Segurança da Cadeia de Suprimentos de Software
A dependência de software de terceiros, aliada à falta de visibilidade sobre sua segurança, representa um risco significativo para o setor público.
A ausência de processos rigorosos para avaliar a segurança dos fornecedores pode facilitar ataques direcionados à cadeia de suprimentos.
Além disso, a falta de transparência sobre vulnerabilidades nos softwares utilizados amplia as chances de exploração por agentes mal-intencionados, comprometendo a integridade dos sistemas críticos.
Práticas de Proteção
Nos últimos anos, o número e a sofisticação dos ciberataques contra o setor público de diversas nações ao redor do mundo aumentaram de forma significativa.
O recente ataque de ransomware ao Centro Nacional de Dados Temporário da Indonésia, ocorrido em 20 de junho de 2024, evidencia as vulnerabilidades desse setor.
A interrupção de 282 serviços fundamentais e a perda de dados sensíveis, sublinhou a urgência de fortalecer as capacidades de proteção e resposta a incidentes no setor público.
Apesar de iniciativas como a criação da agência de cibersegurança, a resposta lenta e desorganizada do governo indonésio expôs falhas críticas na governança e resiliência.
Esse incidente serve como um alerta para o setor público brasileiro, enfatizando a importância de adotar práticas robustas de cibersegurança para evitar consequências graves.
Para fortalecer a segurança cibernética no setor público brasileiro, é fundamental adotar as seguintes práticas:
- Implementação de zero trust: o modelo de zero trust tem se tornado cada vez mais essencial nas instituições públicas. Ele pressupõe que nenhuma entidade, interna ou externa, deve ser considerada confiável por padrão, exigindo autenticação e autorização contínuas para todas as interações;
- Treinamento Contínuo para Servidores Públicos: insiders desinformados ou desatentos representam uma das maiores vulnerabilidades no setor público. Programas regulares de capacitação são essenciais para que os servidores identifiquem ameaças como phishing e engenharia social. Ao promover a conscientização, é possível reduzir erros humanos que poderiam ser explorados por agentes maliciosos, fortalecendo a postura de segurança das instituições;
- Melhoria da Visibilidade e Monitoramento: a adoção de ferramentas de detecção de ameaças baseadas em IA e análise comportamental é essencial para identificar atividades suspeitas. Essas tecnologias permitem a detecção precoce de potenciais ataques, evitando danos irreparáveis;
- Fortalecimento da Segurança da Cadeia de Suprimentos: exigir que fornecedores adotem padrões rigorosos de desenvolvimento seguro é fundamental para minimizar riscos. Além disso, a exigência de Software Bill of Materials (SBOMs) ajuda a identificar e mitigar vulnerabilidades em softwares de terceiros;
- Fortalecimento da Autenticação: a implementação de MFA e a utilização de certificação digital são medidas eficazes para diminuir o risco de acessos não autorizados a sistemas críticos;
- Aprimoramento da Resposta a Incidentes: desenvolver planos de resposta a incidentes bem estruturados é essencial para lidar com ataques cibernéticos de forma eficiente. Além disso, a realização de testes e simulações regulares garante uma resposta rápida e eficaz, minimizando os impactos no serviço público.
Conclusão
O setor público brasileiro enfrenta hoje um cenário crítico em relação à segurança cibernética.
A complexidade dos ambientes de TI, sistemas legados, escassez de profissionais e baixa priorização orçamentária tornam os órgãos públicos altamente vulneráveis a ataques.
Apesar dos constantes alertas de órgãos de controle e especialistas, o país se consolidou como um dos principais alvos de ciberataques no cenário internacional.
Vazamentos de dados que expuseram milhões de CPFs, prontuários médicos e informações sigilosas de servidores públicos demonstram o impacto direto da ausência de uma estratégia nacional robusta e efetiva de cibersegurança.
Esses episódios comprometem não apenas a privacidade dos cidadãos, mas também a continuidade, integridade e confiança nos serviços públicos.
Mais do que uma necessidade técnica, a cibersegurança representa hoje um vetor central de soberania nacional e de proteção dos direitos fundamentais no ambiente digital.
Em um cenário onde o Brasil já está inserido nos conflitos cibernéticos de escala global, a ausência de uma resposta articulada e estratégica por parte do Estado apenas amplia a vulnerabilidade das instituições.
A superação desse cenário exige compromisso político, liderança institucional e uma coordenação intergovernamental que esteja à altura do desafio.