Em maio de 2026, o Tribunal de Contas de Santa Catarina oficiou os municípios catarinenses recomendando um conjunto específico de medidas de segurança da informação. A recomendação foi endereçada à gestão atual.
Em abril de 2026, criminosos tentaram desviar cerca de R$ 40 milhões da Prefeitura de Jaraguá do Sul através do sistema de integração bancária. R$ 28 milhões foram bloqueados. R$ 12 milhões foram efetivamente desviados. Semanas depois, o TCE-SC oficiou os municípios recomendando designação formal de responsáveis por TI e por resposta a incidentes, autenticação em dois fatores nos sistemas financeiros e dupla validação de pagamentos.
Fontes: Olhar Digital (25/04/2026) · OCP News (04/05/2026)O gestor público não teme o ataque tanto quanto teme a responsabilização por não ter agido depois de recomendado. E a maioria das administrações municipais não tem, internamente, a estrutura técnica para transformar aquela lista de recomendações em um plano executável — não por falta de vontade, mas por falta de quadro técnico especializado, que é escasso e caro em todo o país.
É onde o dinheiro se move e onde o incidente vira prejuízo direto ao erário. Credencial sem duplo fator, pagamento sem dupla validação e computador compartilhado para movimentação são as três exposições mais recorrentes.
Sistema fora do ar é arrecadação suspensa, com efeito imediato no caixa e no cumprimento de metas fiscais. E base tributária corrompida sem backup íntegro é receita que não se reconstitui.
Portal da transparência indisponível não é um site fora do ar. É descumprimento de obrigação legal, com prazo, e passível de apontamento.
Toda organização tem um tempo que ela tolera ficar parada e um tempo que ela de fato levaria para voltar. Quase ninguém conhece os dois — e ninguém que os conheça dorme tranquilo com a diferença.
Valores ilustrativos. Os da sua operação são calculados no diagnóstico.
A maioria das organizações compra TI por catálogo. Ou compra de menos, e fica exposta. Ou compra demais, e paga por proteção que o risco dela não justifica. Nós dimensionamos pelo risco real.
Nada entra na sua operação sem justificativa. Todo controle que propomos passa por três perguntas — e o que não passa nas três não entra na proposta.
É o que a LGPD, no art. 46, chama de adoção de medidas de segurança desde a fase de concepção do produto ou serviço. Não é figura de linguagem — é aderência declarada a dispositivo legal.
Na prática, é a diferença entre uma porta blindada e uma porta comum com um cadeado do lado de fora.
Programa de Governança, Prevenção e Recuperação de Desastres de TI — da estratégia ao operacional, em pacote único no modelo as a service.
Designação formal de responsáveis por TI e por resposta a incidentes, inventário da operação e metas de recuperação por sistema — que são os primeiros itens da recomendação do TCE-SC e os mais frequentemente ausentes.
Autenticação em dois fatores nos sistemas financeiros, dupla validação de pagamentos, revisão de acessos e segregação de estações para movimentação bancária. Medidas de custo baixo e efeito imediato sobre a exposição que mais preocupa o órgão de controle.
Backup imutável, mídia offline e infraestrutura reserva testada. Município que perde a base de tributos ou a folha sem cópia recuperável não tem como reconstituí-la.
A administração passa a ter prazo de retorno contratado por sistema, com responsável único — o que substitui a promessa de fornecedor por obrigação exigível e demonstra diligência perante o órgão de controle.
Contratado como serviço, sem aquisição de ativos. Entra em custeio, dispensa processo separado para cada componente e evita o parque heterogêneo que hoje encarece a manutenção.
Conformidade com LGPD, norma técnica e recomendação de órgão de controle não é problema de TI — é problema jurídico com implementação técnica. Quem separa as duas coisas entrega metade.
E no dia do incidente não existe jogo de empurra entre fornecedores. O suporte do backup não aponta para o armazenamento, que aponta para a infraestrutura. Existe um contrato e um responsável.
O diagnóstico inicial, pelo valor, tende a se enquadrar na hipótese de dispensa de licitação para serviços comuns do art. 75, II da Lei 14.133/2021 — o limite é atualizado anualmente por decreto e deve ser confirmado com a assessoria jurídica do município. E há um efeito prático relevante: o Plano Diretor que sai do diagnóstico produz a especificação técnica do objeto, resolvendo a maior dificuldade de quem precisa contratar o serviço maior depois.
E ela continua. Betha, IPM, Elotech, Fiorilli e similares fornecem os sistemas finalísticos; nós cuidamos da operação de TI que os sustenta — infraestrutura, segurança, disponibilidade e recuperação. São camadas diferentes, e a ausência da segunda é o que costuma ser apontado em auditoria.
A recomendação do TCE-SC foi endereçada à gestão atual, e a responsabilidade por não agir também é dela. Além disso, a autoavaliação é gratuita e não gera obrigação nenhuma — ao menos saber onde está a exposição já é diligência documentada.
No diagnóstico, não. Ele é baseado em declaração estruturada e análise documental: sem instalação de agente, sem acesso a rede e sem coleta de dados operacionais. Auditoria técnica com acesso só ocorre dentro do Programa e mediante contrato específico.
Cinco minutos, resultado imediato na tela e relatório em PDF. Sem custo e sem contato comercial obrigatório.
Fazer a autoavaliação gratuita →