Como reduzir riscos em ambientes públicos

O contexto dos órgãos públicos

Prefeituras, câmaras municipais, autarquias e fundações operam em um ambiente de pressões distintas das empresas privadas. Precisam lidar com orçamento público limitado, processos de contratação regulamentados (Lei 14.133/2021), exigências de transparência, conformidade com a LGPD e ainda assim manter serviços disponíveis para a população.

Além disso, sistemas públicos são alvos frequentes de ataques. A motivação pode ser financeira (ransomware), política ou simplesmente oportunista — mas o impacto é sempre público e com cobertura de imprensa.

Realidade dos ataques a órgãos públicos

Nos últimos anos, centenas de prefeituras brasileiras foram vítimas de ataques de ransomware. Os prejuízos incluem perda de dados de cidadãos, interrupção de serviços públicos essenciais e custos de recuperação que superam o que teria sido investido em prevenção.

LGPD na prática para órgãos públicos

A Lei Geral de Proteção de Dados (LGPD) se aplica integralmente a órgãos públicos. Dados de cidadãos — CPF, endereço, informações de saúde, dados tributários — precisam de proteção adequada.

Medidas técnicas obrigatórias

Criptografia em repouso: dados sensíveis armazenados devem ser criptografados
Criptografia em trânsito: HTTPS obrigatório em todos os sistemas voltados ao público
Controle de acesso granular: cada funcionário acessa apenas o que precisa para sua função
Registro de acessos: logs de quem acessou quais dados e quando
Plano de resposta a incidentes: procedimento documentado para notificar a ANPD em até 72 horas

Inventário de dados

Antes de proteger, é preciso saber o que existe. Muitos órgãos públicos não têm mapeamento dos dados pessoais que processam e onde estão armazenados. O inventário de dados é o primeiro passo obrigatório.

Controle de acesso

O princípio do menor privilégio é fundamental em ambientes públicos: cada usuário e sistema deve ter acesso apenas ao estritamente necessário para sua função.

Para servidores Linux

# Verificar usuários com acesso sudo
grep -Po '^sudo.+:\K.*$' /etc/group | tr ',' '
'

# Verificar chaves SSH autorizadas
find /home -name "authorized_keys" -exec ls -la {} \;

# Listar usuários com shell válido (podem fazer login)
grep -v '/nologin\|/false' /etc/passwd

Desabilitar login como root via SSH — sempre usar sudo
Autenticação via chave SSH, nunca apenas senha
Revisar usuários trimestralmente — ex-funcionários devem ter acesso revogado imediatamente
Usar contas de serviço sem privilégio para aplicações

Open Source como estratégia de segurança e compliance

Para órgãos públicos, o uso de software Open Source não é apenas econômico — é uma questão de transparência e soberania tecnológica. Software de código aberto permite que o código seja auditado, o que é especialmente relevante para sistemas que processam dados de cidadãos.

Vantagens para o setor público

Auditabilidade: qualquer cidadão ou órgão de controle pode examinar o código-fonte
Sem dependência de fornecedor único: a organização não fica refém de um único fornecedor
Menor custo total: ausência de licenciamento proprietário reduz o TCO
Comunidade de segurança: vulnerabilidades são identificadas e corrigidas mais rapidamente quando o código é aberto
Compatibilidade com licitações: solução open source facilita licitação por especificação técnica

Documentação para auditoria

Órgãos de controle — TCE, CGU, controladoria interna — exigem evidências documentadas das práticas de TI. A ausência de documentação é frequentemente apontada como achado em auditorias, mesmo quando as práticas estão corretas.

Documentação mínima recomendada

Inventário de sistemas e servidores com responsável técnico identificado
Diagrama de rede e arquitetura dos sistemas críticos
Política de backup com registros de execução e testes
Log de acessos administrativos (quem acessou o quê e quando)
Registro de incidentes de segurança e ações tomadas
Política de atualização de sistemas e registros de patches aplicados

Conclusão

Reduzir riscos em ambientes públicos exige uma combinação de medidas técnicas, processos documentados e consciência sobre o contexto específico do setor. A WSUL tem experiência em implantar infraestrutura que atende às exigências técnicas e de conformidade de órgãos públicos, priorizando Open Source sem abrir mão da segurança e da disponibilidade.