Serviços de água e saneamento, institutos de previdência, fundações e agências reguladoras municipais têm orçamento, patrimônio e responsabilidade próprios. Mas a estrutura de TI, com frequência, é emprestada da Prefeitura — e sem responsável formal por ela.
Autarquia de saneamento não fatura, não atende e, dependendo do grau de automação, não controla a operação enquanto o sistema estiver fora. Instituto de previdência que não processa folha de benefício atrasa pagamento de aposentado — e esse é o tipo de falha que chega ao Ministério Público antes de chegar ao setor de TI.
A autarquia é criada justamente para ter gestão descentralizada e autonomia administrativa e financeira. Na prática, boa parte delas roda a TI numa zona cinzenta: servidor na Prefeitura, ou um contrato de sistema que cobre só o software, ou um servidor público cedido que acumula funções. Quando o incidente acontece, a primeira pergunta do controle é quem respondia por aquilo — e a resposta costuma não existir em documento.
Leitura, faturamento e atendimento param juntos. E onde há telemetria ou automação de estação, a rede deixa de ser administrativa e passa a integrar infraestrutura de serviço essencial — com exigência de segmentação que quase nunca existe.
Base cadastral e histórico contributivo sustentam cálculo de benefício e avaliação atuarial. Perder ou corromper esse acervo não é incidente operacional: é passivo que se arrasta por anos e que a auditoria vai encontrar.
Autarquia presta contas em nome próprio ao Tribunal de Contas. Sem responsável designado pela TI e pela resposta a incidentes, não há a quem atribuir e não há como demonstrar diligência.
Toda organização tem um tempo que ela tolera ficar parada e um tempo que ela de fato levaria para voltar. Quase ninguém conhece os dois — e ninguém que os conheça dorme tranquilo com a diferença.
Valores ilustrativos. Os da sua operação são calculados no diagnóstico.
A maioria das organizações compra TI por catálogo. Ou compra de menos, e fica exposta. Ou compra demais, e paga por proteção que o risco dela não justifica. Nós dimensionamos pelo risco real.
Nada entra na sua operação sem justificativa. Todo controle que propomos passa por três perguntas — e o que não passa nas três não entra na proposta.
É o que a LGPD, no art. 46, chama de adoção de medidas de segurança desde a fase de concepção do produto ou serviço. Não é figura de linguagem — é aderência declarada a dispositivo legal.
Na prática, é a diferença entre uma porta blindada e uma porta comum com um cadeado do lado de fora.
Programa de Governança, Prevenção e Recuperação de Desastres de TI — da estratégia ao operacional, em pacote único no modelo as a service.
Designação formal de responsável em nome da própria autarquia — não da Prefeitura. É o que separa autonomia real de autonomia apenas orçamentária, e é o primeiro item que o controle vai procurar.
Segmentação entre rede administrativa e rede de automação, controle de identidade e proteção de endpoint. Onde há telemetria ou controle de estação, misturar as duas redes é a exposição mais grave e a mais comum.
Backup imutável da base cadastral e da série histórica, com retenção longa. Acervo previdenciário e histórico de consumo não se reconstituem por consulta a terceiro.
Prazo de retorno contratado em nome da autarquia, com responsável único — o que sustenta a prestação de contas própria ao Tribunal e demonstra a diligência que a autonomia exige.
Contratado como serviço, dentro do orçamento próprio da autarquia, sem aquisição de ativos e sem depender de processo da Prefeitura.
Conformidade com LGPD, norma técnica e recomendação de órgão de controle não é problema de TI — é problema jurídico com implementação técnica. Quem separa as duas coisas entrega metade.
E no dia do incidente não existe jogo de empurra entre fornecedores. O suporte do backup não aponta para o armazenamento, que aponta para a infraestrutura. Existe um contrato e um responsável.
Pode, e em geral é o mais adequado. A autarquia tem personalidade jurídica, orçamento e capacidade de contratar próprios, e presta contas em nome próprio. Manter a TI numa zona cinzenta com a Prefeitura funciona no dia a dia e falha exatamente no dia do incidente, quando o controle pergunta quem respondia.
Atendemos a camada de TI e a segmentação entre ela e o ambiente de automação, que é onde está o risco maior e menos tratado. Não substituímos o integrador do sistema de automação — trabalhamos com ele, garantindo que o ambiente administrativo não seja a porta de entrada para o ambiente operacional.
Três documentos que hoje faltam na maioria das autarquias: responsável formalmente designado, política de segurança aprovada e trilha de auditoria de incidentes e acessos. São os três primeiros itens que uma auditoria de TI procura, e a ausência deles é apontamento quase certo.
Pela autoavaliação gratuita de 5 minutos, que devolve o Índice de Resiliência da autarquia e as três exposições mais críticas. Sem custo, sem instalação e sem contato comercial obrigatório. Se fizer sentido, o passo seguinte é o diagnóstico completo, que produz também a especificação técnica para o processo de contratação.
Autoavaliação gratuita de 5 minutos, com resultado imediato e relatório em PDF. Sem custo e sem contato comercial obrigatório.
Fazer a autoavaliação gratuita →