A cibersegurança (ou segurança cibernética) é o conjunto de práticas, tecnologias e políticas para proteger sistemas, redes, equipamentos e dados contra ataques, acessos indevidos e incidentes digitais. No Brasil, o tema é tratado pela Política Nacional de Cibersegurança (PNCiber), instituída pelo Decreto nº 11.856/2023, que prevê, entre seus objetivos, a atuação coordenada e o intercâmbio de informações de segurança cibernética entre a União, os estados, o Distrito Federal e os municípios. Para a prefeitura, cibersegurança é questão de continuidade dos serviços públicos: um ataque pode parar a saúde, a arrecadação, a folha de pagamento e o atendimento.
Por que as prefeituras são alvo
Prefeituras mantêm dados pessoais valiosos (de saúde, de tributos, de benefícios), operam serviços essenciais e, muitas vezes, têm equipes de tecnologia reduzidas e sistemas desatualizados. Ataques de ransomware, que criptografam os dados e exigem resgate, já interromperam serviços de prefeituras no país. Outras ameaças comuns incluem phishing (mensagens falsas que induzem o servidor a revelar senhas), vazamento de dados, invasão de contas de e-mail, defacement de sites e fraudes em pagamentos.
Medidas básicas
- Backup regular e testado, com cópias isoladas da rede principal (fora do alcance de ransomware).
- Controle de acesso: senhas fortes, autenticação em dois fatores, perfis mínimos necessários e desativação imediata de contas de servidores desligados.
- Atualização de sistemas e equipamentos, com aplicação periódica de correções de segurança.
- Antivírus e proteção de rede: firewall, filtro de e-mail e monitoramento.
- Treinamento contra phishing para todos os servidores, com simulações.
- Gestão de ativos: saber quais equipamentos e sistemas existem e quem os administra.
- Plano de resposta a incidentes, com responsáveis, contatos, passos de contenção e comunicação.
- Segmentação de rede para limitar o alcance de um ataque.
- Contratos com fornecedores que incluam requisitos de segurança.
Aspectos legais
A LGPD (Lei nº 13.709/2018) exige que controladores e operadores adotem medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito (art. 46), e que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48). Além disso, a PNCiber orienta a atuação coordenada entre os entes. Em caso de ataque, a prefeitura deve avaliar a obrigação de comunicar e registrar o incidente. Consulte a procuradoria e o encarregado de dados.
Passo a passo para a prefeitura
- Designe um responsável pela segurança e apoie-o com autoridade e recursos.
- Faça um diagnóstico de ativos, sistemas e riscos.
- Aplique as medidas básicas de acordo com a prioridade.
- Aprove uma política de segurança da informação (PSI).
- Treine os servidores periodicamente.
- Elabore o plano de resposta e de continuidade para serviços essenciais, com contatos de apoio.
- Teste o plano com simulações.
- Revise e melhore após cada incidente ou teste.
Um exemplo hipotético: uma prefeitura mantém backups diários em uma unidade separada, treina os servidores a identificar e-mails suspeitos e exige autenticação em dois fatores nos sistemas críticos. Ao detectar um e-mail malicioso, o servidor aciona o canal de incidentes, a equipe isola o computador e conclui que não houve invasão. O registro é arquivado e usado em novo treinamento.
Cibersegurança e segurança da informação
A cibersegurança trata da proteção no ambiente digital. A segurança da informação é mais ampla: abrange também documentos em papel, processos, pessoas e instalações físicas. Na prática, os dois temas se integram em uma única política. Veja ainda computação em nuvem, pois a migração para provedores exige contratos e controles adequados.
Erros comuns
- Achar que “isso não acontece com a minha prefeitura”.
- Manter backups apenas na mesma rede dos sistemas.
- Compartilhar senhas entre servidores.
- Usar sistemas e equipamentos sem suporte e sem atualização.
- Não ter plano de resposta nem contatos de apoio.
- Pagar resgate sem avaliar alternativas e sem acionar as autoridades.
- Não treinar a equipe.
Preparando a resposta a incidentes
O plano de resposta deve responder a perguntas práticas: quem decide desligar sistemas? Quem fala com a imprensa e com a população? Quem aciona o fornecedor e as autoridades? Onde está a lista de contatos, impressa, caso a rede esteja fora do ar? Quais serviços essenciais têm procedimentos manuais de contingência (por exemplo, atendimento de saúde e pagamento de salários)? Ter essas respostas por escrito e treinadas reduz o dano e o tempo de recuperação. Simulações de ataque, mesmo simples, revelam falhas antes que um incidente real ocorra.
Cooperação entre entes
A política nacional estimula o intercâmbio de informações e a atuação coordenada. Prefeituras podem se beneficiar de alertas de ameaças, orientações e boas práticas divulgadas por órgãos federais e estaduais, por consórcios e por associações municipalistas. Em municípios pequenos, compartilhar equipe especializada e soluções entre vários entes é uma forma realista de elevar o nível de proteção.
