Autarquias municipais · Serviço essencial e responsabilidade própria

Personalidade jurídica própria.
Responsabilidade própria.

Serviços de água e saneamento, institutos de previdência, fundações e agências reguladoras municipais têm orçamento, patrimônio e responsabilidade próprios. Mas a estrutura de TI, com frequência, é emprestada da Prefeitura — e sem responsável formal por ela.

Resultado imediato na tela Sem instalação e sem acesso aos seus sistemas Sem contato comercial obrigatório
Serviço essencial não tem janela de parada

Autarquia de saneamento não fatura, não atende e, dependendo do grau de automação, não controla a operação enquanto o sistema estiver fora. Instituto de previdência que não processa folha de benefício atrasa pagamento de aposentado — e esse é o tipo de falha que chega ao Ministério Público antes de chegar ao setor de TI.

O diagnóstico do problema

A autonomia que existe no orçamento some na responsabilidade técnica

A autarquia é criada justamente para ter gestão descentralizada e autonomia administrativa e financeira. Na prática, boa parte delas roda a TI numa zona cinzenta: servidor na Prefeitura, ou um contrato de sistema que cobre só o software, ou um servidor público cedido que acumula funções. Quando o incidente acontece, a primeira pergunta do controle é quem respondia por aquilo — e a resposta costuma não existir em documento.

Saneamento

Faturamento, telemetria e automação

Leitura, faturamento e atendimento param juntos. E onde há telemetria ou automação de estação, a rede deixa de ser administrativa e passa a integrar infraestrutura de serviço essencial — com exigência de segmentação que quase nunca existe.

Previdência

Cálculo, benefícios e base cadastral

Base cadastral e histórico contributivo sustentam cálculo de benefício e avaliação atuarial. Perder ou corromper esse acervo não é incidente operacional: é passivo que se arrasta por anos e que a auditoria vai encontrar.

Governança

Responsabilidade formal e prestação de contas

Autarquia presta contas em nome próprio ao Tribunal de Contas. Sem responsável designado pela TI e pela resposta a incidentes, não há a quem atribuir e não há como demonstrar diligência.

A distância entre estes dois números é o seu risco real

Toda organização tem um tempo que ela tolera ficar parada e um tempo que ela de fato levaria para voltar. Quase ninguém conhece os dois — e ninguém que os conheça dorme tranquilo com a diferença.

O que você tolera
4h
O que o serviço essencial tolera
antes de afetar o cidadão
O que você levaria hoje
8 dias
O que levaria hoje sem
infraestrutura reserva testada
E em serviço essencial a segunda coluna tem uma consequência particular: ela é visível para o cidadão todos os dias em que durar.

Valores ilustrativos. Os da sua operação são calculados no diagnóstico.

Como sabemos o que a sua operação precisa — e o que ela não precisa

A maioria das organizações compra TI por catálogo. Ou compra de menos, e fica exposta. Ou compra demais, e paga por proteção que o risco dela não justifica. Nós dimensionamos pelo risco real.

O método

A Regra das Três Justificativas

Nada entra na sua operação sem justificativa. Todo controle que propomos passa por três perguntas — e o que não passa nas três não entra na proposta.

01É tecnicamente necessário?
02É legalmente exigível?
03É financeiramente defensável?
O que entra, entra com a justificativa escrita. Você pode questionar item por item.

Não instalamos segurança em cima de uma estrutura pronta.
Projetamos a estrutura já segura.

É o que a LGPD, no art. 46, chama de adoção de medidas de segurança desde a fase de concepção do produto ou serviço. Não é figura de linguagem — é aderência declarada a dispositivo legal.

Na prática, é a diferença entre uma porta blindada e uma porta comum com um cadeado do lado de fora.

O Programa

Três camadas. Um contrato. Um único responsável.

Programa de Governança, Prevenção e Recuperação de Desastres de TI — da estratégia ao operacional, em pacote único no modelo as a service.

Camada estratégica

Governança de TI

→ Decidir certo

Designação formal de responsável em nome da própria autarquia — não da Prefeitura. É o que separa autonomia real de autonomia apenas orçamentária, e é o primeiro item que o controle vai procurar.

  • Inventário e documentação da operação
  • Análise de riscos e vulnerabilidades
  • Metas de SLA, RPO e RTO por sistema
  • SGSI e trilha de auditoria
  • Treinamento do gestor ao operador
Camada de prevenção

Defesa Cibernética

→ Não ser invadido

Segmentação entre rede administrativa e rede de automação, controle de identidade e proteção de endpoint. Onde há telemetria ou controle de estação, misturar as duas redes é a exposição mais grave e a mais comum.

  • Segurança desde a concepção · Zero Trust
  • Firewall NG em camada 7 · ZTNA
  • IAM para identidade e acesso
  • EDR nos endpoints · DLP
  • Multi Cloud · NOC, SOC e SIEM
Camada de continuidade

Recuperação de Desastres

→ Restabelecer rápido

Backup imutável da base cadastral e da série histórica, com retenção longa. Acervo previdenciário e histórico de consumo não se reconstituem por consulta a terceiro.

  • Veeam Backup e replicação
  • Repositório imutável · mídia offline
  • Site DR com failover testado
  • Infraestrutura reserva local e cloud
  • Estratégia BRSTi 4-3-1-1-X-Z
01 · GARANTIA

SLA, RPO e RTO não são promessa. São cláusula.

Prazo de retorno contratado em nome da autarquia, com responsável único — o que sustenta a prestação de contas própria ao Tribunal e demonstra a diligência que a autonomia exige.

02 · MODELO

Entregue como serviço, não como aquisição.

Contratado como serviço, dentro do orçamento próprio da autarquia, sem aquisição de ativos e sem depender de processo da Prefeitura.

Da estratégia ao operacional. Do arquiteto ao jurídico.

Conformidade com LGPD, norma técnica e recomendação de órgão de controle não é problema de TI — é problema jurídico com implementação técnica. Quem separa as duas coisas entrega metade.

E no dia do incidente não existe jogo de empurra entre fornecedores. O suporte do backup não aponta para o armazenamento, que aponta para a infraestrutura. Existe um contrato e um responsável.

Perguntas frequentes

Autarquias municipais — antes de decidir

Pode, e em geral é o mais adequado. A autarquia tem personalidade jurídica, orçamento e capacidade de contratar próprios, e presta contas em nome próprio. Manter a TI numa zona cinzenta com a Prefeitura funciona no dia a dia e falha exatamente no dia do incidente, quando o controle pergunta quem respondia.

Atendemos a camada de TI e a segmentação entre ela e o ambiente de automação, que é onde está o risco maior e menos tratado. Não substituímos o integrador do sistema de automação — trabalhamos com ele, garantindo que o ambiente administrativo não seja a porta de entrada para o ambiente operacional.

Três documentos que hoje faltam na maioria das autarquias: responsável formalmente designado, política de segurança aprovada e trilha de auditoria de incidentes e acessos. São os três primeiros itens que uma auditoria de TI procura, e a ausência deles é apontamento quase certo.

Pela autoavaliação gratuita de 5 minutos, que devolve o Índice de Resiliência da autarquia e as três exposições mais críticas. Sem custo, sem instalação e sem contato comercial obrigatório. Se fizer sentido, o passo seguinte é o diagnóstico completo, que produz também a especificação técnica para o processo de contratação.

Quem responde formalmente pela TI da sua autarquia?

Autoavaliação gratuita de 5 minutos, com resultado imediato e relatório em PDF. Sem custo e sem contato comercial obrigatório.

Fazer a autoavaliação gratuita  →
Prefere conversar antes? Fale com a nossa equipe.