A segurança da informação é a proteção da confidencialidade, da integridade e da disponibilidade das informações de uma organização, por meio de controles técnicos, organizacionais e humanos. Esses três atributos formam a base do tema: a confidencialidade garante que só quem tem autorização acesse a informação; a integridade assegura que ela não seja alterada de forma indevida; a disponibilidade garante que esteja acessível quando necessária. Em uma prefeitura, isso vale para dados de cidadãos, processos, contratos, folha de pagamento, prontuários, cadastros tributários e qualquer outro ativo de informação, seja digital ou em papel.
Por que importa
A informação é o principal ativo da administração pública. Falhas de segurança podem expor dados pessoais, paralisar serviços, permitir fraudes e gerar responsabilização do gestor. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito (art. 46). A segurança da informação é, portanto, também uma obrigação legal.
Os pilares
- Pessoas: servidores treinados e conscientes são a primeira linha de defesa. Muitos incidentes começam com erro humano ou engenharia social.
- Processos: políticas, procedimentos, classificação da informação, gestão de acessos e de incidentes.
- Tecnologia: controles como antivírus, firewall, criptografia, backup, monitoramento e gestão de vulnerabilidades.
- Ambiente físico: controle de acesso a salas de servidores, arquivos e equipamentos.
- Governança: responsabilidades definidas, apoio da alta administração e acompanhamento por indicadores.
Normas técnicas de referência
Normas como a ISO/IEC 27001, que trata de sistemas de gestão de segurança da informação, e a ISO/IEC 27002, que traz controles de referência, oferecem modelos de gestão amplamente usados. No plano federal, há a Política Nacional de Segurança da Informação, instituída pelo Decreto nº 12.572/2025 (que revogou o Decreto nº 9.637/2018), para a administração pública federal. Municípios não são obrigados por esse decreto, mas podem se inspirar nele. Na prefeitura, a segurança depende de política, equipe responsável e cultura de cuidado.
Como estruturar na prefeitura
- Levantamento de ativos: que informações e sistemas existem, quem os administra e onde estão.
- Classificação da informação: definir níveis (pública, interna, restrita, sigilosa) e regras de tratamento.
- Análise de riscos: identificar ameaças e vulnerabilidades, priorizando os ativos mais críticos (veja gestão de riscos).
- Controles proporcionais: controle de acesso por perfil, backup, criptografia, atualização, segregação de redes, registro de acessos.
- Política formal: aprovar a Política de Segurança da Informação por decreto.
- Treinamento contínuo.
- Gestão de incidentes: canal de comunicação, plano de resposta e registro.
- Monitoramento e melhoria: auditorias, testes e revisão periódica.
Um exemplo hipotético: uma prefeitura classifica seus documentos em quatro níveis, restringe o acesso à folha de pagamento ao pessoal autorizado, com registro de cada consulta, e exige que e-mails com dados pessoais usem canais criptografados. Treina os servidores duas vezes ao ano e testa a restauração de backups trimestralmente.
Segurança da informação, LGPD e transparência
Proteger a informação não significa escondê-la. A Lei de Acesso à Informação exige transparência, e a segurança ajuda a garantir que a informação pública seja confiável e disponível, enquanto protege informações pessoais e sigilosas. O equilíbrio é feito por meio da classificação da informação e do tratamento adequado de dados pessoais. Veja LGPD e governança de dados.
Erros comuns
- Tratar segurança como assunto exclusivo do setor de tecnologia.
- Não classificar a informação, aplicando o mesmo nível a tudo.
- Compartilhar senhas e usar contas genéricas.
- Não revogar acessos de servidores desligados ou transferidos.
- Não testar backups.
- Ignorar documentos em papel e o ambiente físico.
- Não registrar incidentes nem aprender com eles.
Gestão de incidentes de segurança
Todo ambiente enfrentará incidentes: e-mails fraudulentos, computadores infectados, vazamentos acidentais, perda de equipamentos. A diferença está na capacidade de detectar rápido, conter, investigar e aprender. Estabeleça um canal único e simples para que qualquer servidor reporte suspeitas sem medo de punição, registre cada caso, classifique a gravidade, defina quem decide as medidas e avalie a necessidade de comunicar a autoridade de proteção de dados e os titulares, conforme a LGPD. Ao final, produza um relatório com a causa raiz e as correções, alimentando o treinamento e a política.
Segurança física e documentos em papel
Parte relevante das informações da prefeitura ainda está em papel: processos, prontuários, fichas cadastrais. Controle o acesso às salas de arquivo, use armários com chave, registre retiradas, defina regras de descarte seguro e mantenha cópias digitais protegidas dos documentos essenciais. Proteção contra incêndio, umidade e furto também integra a segurança da informação. Em eventos como mudanças de gestão, faça inventário e passagem formal dos acervos.
Terceiros e fornecedores
Fornecedores de tecnologia, contabilidade, saúde e outros serviços acessam dados da prefeitura. Os contratos devem prever cláusulas de confidencialidade, segurança, tratamento de dados pessoais, notificação de incidentes e devolução ou eliminação das informações ao final. Avalie e acompanhe os riscos desses parceiros, pois um incidente na ponta pode atingir a prefeitura.
