TCU: Falta segurança de informação básica na maioria dos 14 mil órgãos públicos

Auditores do Tribunal de Contas da União especializados em tecnologia da informação apresentaram dados preocupantes sobre a vulnerabilidade dos sistemas digitais nas organizações públicas e privadas, em um contexto de crescente onda de ataques cibernéticos. Auditoria do TCU revelou que, entre 14 mil organizações públicas avaliadas, a maioria não implementou sequer metade dos controles básicos recomendados para serviços de web, DNS (Domain Name Service) e e-mail.

Essa deficiência compromete a proteção contra ameaças como phishing, man-in-the-middle e DNS poisoning. Para abordar esses desafios, o TCU reuniu profissionais de TI da administração pública no workshop “Web, DNS e e-mail – os seus estão de portas abertas?“, que incluiu atividades práticas, como enquetes e autoavaliações sobre estratégias de segurança cibernética, e discussões sobre como identificar e corrigir brechas nos sistemas

Como parte do treinamento, o TCU lançou o guia Matriz de Riscos e Controles para serviços de hospedagem Web, e-mail e DNS (em PDF), que oferece diretrizes práticas para que organizações públicas compreendam os riscos envolvidos e reforcem a segurança de forma eficaz. Os palestrantes enfatizaram a importância de se adotarem controles modernos, destacando que protocolos como DMARC, SPF e DKIM são indispensáveis para evitar ataques direcionados, especialmente em serviços de e-mail.

Este foi o primeiro workshop do programa PROTEGE-TI, que será realizado mensalmente, a partir de março de 2025. O objetivo é capacitar gestores públicos e profissionais de TI para melhorar a gestão de riscos cibernéticos, com foco em práticas preventivas e estratégias ofensivas de segurança. 

                                                                            CONVERGENCIA DIGITAL

TCU alerta para superexposição do Brasil a ciberataques em nova Lista de Alto Risco

 

TCU reclama de baixa adesão em criptografia e autenticação em dois fatores

O Tribunal de Contas da União publicou a segunda edição da Lista de Alto Risco (LAR), um levantamento que identifica 29 áreas críticas da administração pública federal com riscos significativos à eficiência, transparência e sustentabilidade de políticas públicas. Organizada em seis eixos temáticos – social, desenvolvimento sustentável, comunicações e energia, infraestrutura, gestão fiscal, e governança e gestão organizacional –, a lista se propõe a orientar gestores públicos na priorização de ações corretivas e no aprimoramento da gestão.

Entre as principais conclusões, o TCU destacou falhas em áreas como segurança da informação e cibernética, integridade em contratações públicas, sustentabilidade do Sistema Único de Saúde (SUS) e controle do desmatamento na Amazônia. No eixo de segurança cibernética, por exemplo, o relatório evidenciou que o Brasil está entre os países mais expostos a ataques, devido à baixa implementação de medidas preventivas. Já na área ambiental, apontou-se que a governança insuficiente e a falta de coordenação dificultam o combate ao desmatamento ilegal, comprometendo metas climáticas e a preservação da biodiversidade.

A análise sobre riscos de segurança da informação evidencia deficiências que ameaçam a soberania digital e a proteção de dados sensíveis. O relatório aponta que o Brasil possui a quarta maior superfície de ataque cibernético exposta no mundo, reflexo da implementação insuficiente de medidas de segurança no Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp).

Na primeira Lista de Alto Risco, há dois anos, o TCU já apontava riscos em segurança de dados, notadamente por identificar que 74,6% das organizações públicas não tinham política de backup aprovada formalmente e que entre aquelas que hospedavam seus sistemas em servidores/máquinas próprios 71,2% não tinham plano de backup específico para seu principal sistema.

Nesta nova LAR, o TCU aponta que entre os principais problemas estão a baixa adesão a boas práticas de segurança, como criptografia de dados e autenticação em dois fatores, além da falta de políticas integradas de governança. Também foram destacadas a ausência de capacitação técnica adequada e a escassez de investimentos estratégicos. O TCU alerta que essas fragilidades podem impactar diretamente a eficiência dos serviços públicos, aumentando o risco de vazamentos de dados, paralisações e comprometimento de sistemas críticos para a população e o governo.

Em um recorte que considera os ministérios, autarquias e fundações do Poder Executivo Federal, o TCU ressaltou que “o crescente número de incidentes de segurança da informação nos últimos anos representa séria ameaça à soberania digital do Brasil. Essa tendência, evidenciada pelo aumento de 3.402 incidentes, em 2022, para 5.302, em 2024, levanta preocupações sobre a capacidade de as organizações públicas protegerem seus dados (estratégicos e pessoais) e manterem a prestação de serviços à sociedade brasileira”.

As conclusões do TCU sobre cibersegurança são:

• a superfície de ataque no país está entre as mais vulneráveis do mundo, com tendência de aumento;

• o sucesso dos ataques cibernéticos direcionados às organizações e cidadãos brasileiros já causa danos significativos;

• as atividades de segurança cibernética no país são insuficientes para atender à demanda nacional;

• não há organização oficial no Brasil capaz de zelar pelo nível de maturidade da segurança cibernética e orientar a atividade no país;

• a Política Nacional de Cibersegurança (PNCiber), instituída pelo Decreto (Federal) 11.856/2023, tem alcance restrito ao âmbito do Poder Executivo Federal, o que é insuficiente para enfrentar a ameaça cibernética, que é nacional;

• a PNCiber não possui estrutura de coordenação com autoridade e prerrogativas suficientes para executar a política e orientar a atividade de segurança cibernética em todo o país;

• a falta de andamento ao anteprojeto de lei para instituir uma política nacional de
cibersegurança mais abrangente;

• a não priorização do tema segurança cibernética no Estado brasileiro, pois o orçamento autorizado para o tema nos últimos quatro anos foi insuficiente.

O TCU recomendou à Casa Civil da Presidência da República que adote medidas para a priorização do tema segurança cibernética, tendo em vista o impacto na soberania digital, na confiança no ambiente digital e na aceleração da transformação digital no Brasil. Para o TCU, o Gabinete de Segurança Institucional deve apoiar essa atividade.

Para que as organizações do Sisp reduzam o risco de ataques cibernéticos ao nível aceitável para as políticas públicas que executam, o TCU recomendou, individualmente, que elas adotem medidas para implementar os controles de segurança cibernética, utilizando como referencial as diretrizes expedidas pela Secretaria de Governo Digital, por meio do Programa de Privacidade e Segurança da Informação (PPSI). Além disso, o processo de gestão de riscos de correntes de ataques cibernéticos deve ser liderado explicitamente pela alta administração de cada organização

                                                                                   CONVERGENCIA DIGITAL

Ataques cibernéticos: Governo recomenda atualização urgente para produtos da Veeam

 

Falhas detectadas abrem vulnerabilidades perigosas aos sistemas.

O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) advertiu às instituições aderentes à Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) e demais entidades/instituições que identifiquem em seus inventários de ativos a existência do Service Provider Console (VSPC) da Veeam nas versões 8.1.0.21377 e todas as versões 7 e 8 anteriores, que realizem as atualizações necessárias com a urgência que o caso requer.

As falhas, catalogadas nas CVE-2024-42448 e CVE-2024-42449, quando exploradas por agentes maliciosos, permitem a exposição do hash NTLM do usuário VSPC e execução remota de código (RCE). A empresa publicou o Boletim de Segurança KB4679, com informações sobre as CVEs e medidas de resolução disponíveis em: https://www.veeam.com/kb4679

O CTIR Gov ressalta que, de acordo com os artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem “sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações”.

                                               CONVERGENCIA DIGITAL

eSocial: atualizações do novo leiaute impactam folha de pagamento e declarações fiscais

 

A nova versão do eSocial introduz mudanças na substituição da DIRF, detalha informações do PIS/PASEP e amplia as exigências para trabalhadores com contrato intermitente.

A nova versão do leiaute 1.3 do eSocial, que passa a vigorar a partir do ano-calendário de 2025, introduziu alterações significativas nas áreas fiscal, tributária e de gestão de folha de pagamento. Entre as principais mudanças, destaca-se a substituição da Declaração do Imposto de Renda Retido na Fonte (DIRF) por novas obrigações declaratórias no sistema eSocial. 

Além disso, foram implementadas alterações na base de cálculo do PIS/PASEP e no registro de horas trabalhadas por empregados sob regime de contrato intermitente.

Substituição da DIRF no leiaute 1.3 do eSocial

O processo de substituição da DIRF, que já havia sido iniciado em versões anteriores do eSocial, foi ampliado com a versão 1.3. Para atender às novas exigências, os empregadores deverão preencher campos específicos no sistema, abrangendo:

• Dependentes do trabalhador;
• Pensão alimentícia;
• Plano de saúde;
• Reembolsos de plano de saúde;
• Deduções relativas ao Imposto de Renda Retido na Fonte (IRRF);
• Contribuições à previdência complementar.

Essas informações visam unificar a declaração e facilitar o cruzamento de dados fiscais e trabalhistas pelas autoridades competentes.

Alterações na base de cálculo do PIS/PASEP

Outra novidade do leiaute 1.3 está relacionada à separação das bases de cálculo para o PIS/PASEP e para a Previdência Social na folha de pagamento. Agora, as empresas deverão detalhar no sistema quais valores compõem ou não a base do PIS/PASEP, conhecido como “PIS sobre folha de pagamento”.

Essa mudança aplica-se exclusivamente às empresas que são contribuintes dessa contribuição social e exige a atualização do cadastro da empresa no evento S-1000 do eSocial. Nesse evento, será necessário informar o indicador de tributação relativo ao PIS/PASEP sobre folha. A medida busca aprimorar a precisão das informações fiscais e garantir maior transparência no cálculo das contribuições.

Novos requisitos para contratos de trabalho intermitente

Os trabalhadores com contrato intermitente também foram impactados pelas mudanças do leiaute 1.3. A partir de agora, os empregadores deverão informar a quantidade de horas trabalhadas por dia, além dos dias efetivamente trabalhados, como já era exigido anteriormente.

Essa nova obrigação será obrigatória em casos onde o evento S-1000 – Informações do Empregador – indicar a classificação tributária 22, que corresponde a segurados especiais, inclusive empregados domésticos. A inclusão dessa exigência reforça o controle sobre a jornada de trabalho e os direitos trabalhistas dessa categoria.

Impactos das alterações e preparativos necessários

Empresas de todos os portes devem se adequar às novas regras do eSocial para garantir o cumprimento das obrigações fiscais e trabalhistas dentro dos prazos estabelecidos. O treinamento das equipes de recursos humanos e a revisão dos sistemas de gestão são passos fundamentais para evitar inconsistências no preenchimento dos novos campos exigidos pelo leiaute 1.3.

As alterações, embora complexas, fazem parte do processo contínuo de modernização e integração dos sistemas de declaração de obrigações acessórias no Brasil, buscando simplificar o envio de informações para empregadores e trabalhadores.

                                                                                 PORTAL CONTABEIS

Enel é culpada pelo vazamento de dados de cliente mesmo em ataque hacker

 

Decisão é da 3ª Turma do STJ.

O tratamento de dados pessoais configura-se irregular quando deixa de fornecer a segurança que o titular poderia esperar, consideradas as circunstâncias relevantes do caso. Com esse entendimento, a 3ª Turma do Superior Tribunal de Justiça confirmou que a Enel, que assumiu o comando da Eletropaulo, tem responsabilidade pelo vazamento de dados não sensíveis de uma consumidora, após um ataque hacker.

O consumidor teve exposto nome completo, números de RG e CPF, endereço, endereço de e-mail e telefone. A ação foi ajuizada para cobrar indenização da empresa, que à época se chamava Eletropaulo.

A Enel, por sua vez, apontou que o ataque hacker é ato de terceiro apto a justificar a excludente de responsabilidade, conforme prevista no artigo 43, inciso III da Lei Geral de Proteção de Dados.

Quando analisou o caso, o Tribunal de Justiça de São Paulo reconheceu a responsabilidade da empresa, mas não vislumbrou violação à dignidade humana da consumidora, já que os dados expostos não são sensíveis, mas de fácil acesso.

O TJ-SP afastou a condenação ao pagamento de indenização, mas impôs que a Enel apresentasse informação das entidades com as quais fez uso compartilhado dos dados, fornecendo declaração completa que indique sua origem, registro e critérios.

Responsabilidade existente

Essa obrigação é uma possibilidade que consta do artigo 19, inciso II da LGPD. Ao analisar o caso, o relator do recurso especial, ministro Ricardo Villas Bôas Cueva, decidiu manter as conclusões do tribunal de apelação.

Ele destacou que a Emenda Constitucional 115/2022 elevou a proteção de dados e inaugurou um novo capítulo sobre o tema no ordenamento jurídico brasileiro. Além disso, explicou que a Enel, por se enquadrar na categoria dos agentes de tratamento de dados, tinha a obrigação legal de tomar todas as medidas de segurança esperadas para que as informações fossem protegidas em seus sistemas.

Isso significa atender a requisitos de segurança e padrões de boas práticas e governança, além de princípios gerais previstos na LGPD e nas demais normas complementares. A ocorrência do ataque hacker mostra uma falha da empresa.

“O tratamento de dados pessoais configura-se irregular quando deixa de fornecer a segurança que titular poderia esperar, consideradas circunstâncias relevantes do caso”, apontou. A votação na 3ª Turma foi unânime.

                                                                           CONVERGENCIA DIGITAL

VPN Empresarial vs. VPN Particular: Qual é a Melhor Escolha para Você?

 

No mundo atual, onde a proteção de dados e a privacidade digital são mais importantes do que nunca, as VPNs (Redes Privadas Virtuais) se tornaram ferramentas essenciais para indivíduos e empresas. No entanto, ao explorar opções de VPN, muitas pessoas ficam em dúvida sobre qual tipo é mais adequado: uma VPN empresarial ou uma VPN particular?

Embora ambas tenham o objetivo de proteger a conexão e os dados, elas atendem a públicos e necessidades diferentes. Neste artigo, vamos aprofundar as diferenças entre esses dois tipos de VPN, ajudando você a fazer a escolha certa.

O que é uma VPN e por que ela é importante?

Uma VPN (Virtual Private Network) cria um “túnel” criptografado entre o dispositivo do usuário e a internet, garantindo que os dados enviados e recebidos fiquem protegidos contra acessos não autorizados. Além disso, ela oculta o endereço IP, fornecendo anonimato e segurança ao navegar na web.

As VPNs podem ser usadas tanto para fins pessoais quanto corporativos, mas a funcionalidade e os benefícios variam dependendo do tipo escolhido.

As principais diferenças entre VPN Empresarial e VPN Particular

Aqui está um resumo visual das diferenças principais entre uma VPN Empresarial e uma VPN Particular:

Características	VPN Particular	VPN Empresarial
Público-alvo	Usuários individuais que buscam proteger sua privacidade online e acessar conteúdo restrito geograficamente.	Empresas que necessitam conectar colaboradores e dispositivos à rede corporativa de forma segura.
Objetivo Principal	– Ocultar o endereço IP pessoal. – Acessar conteúdos bloqueados em certas regiões. – Proteger dados em redes Wi-Fi públicas.	– Garantir acesso seguro aos sistemas e dados corporativos. – Facilitar o trabalho remoto seguro. – Proteger comunicações internas da empresa.
Gerenciamento	– Configuração e gerenciamento pelo próprio usuário. – Sem controle centralizado.	– Gerenciamento centralizado de usuários e dispositivos. – Políticas de segurança personalizadas. – Monitoramento e auditoria de atividades.
Segurança	– Criptografia básica para proteger dados do usuário. – Menos robusta contra ameaças avançadas.	– Criptografia avançada e protocolos de segurança rigorosos. – Proteção contra ameaças como malware, phishing e ransomware.
Escalabilidade	– Limitada ao uso pessoal em alguns dispositivos. – Não adequada para múltiplos usuários simultâneos.	– Projetada para suportar múltiplos usuários e dispositivos. – Fácil expansão conforme o crescimento da empresa.
Suporte Técnico	– Suporte geral, geralmente via e-mail ou chat. – Pode ser limitado em planos gratuitos ou básicos.	– Suporte dedicado e personalizado. – Acordos de nível de serviço (SLA) específicos. – Assistência na implementação e manutenção.
Custos	– Planos gratuitos ou assinaturas mensais acessíveis. – Menor investimento financeiro.	– Investimento maior devido aos recursos avançados e suporte especializado. – Retorno em segurança e eficiência operacional.
Conformidade Regulatória	– Não foca em conformidade com leis como LGPD ou GDPR. – Uso individual sem requisitos legais específicos.	– Auxilia na conformidade com regulamentações de proteção de dados. – Implementação de políticas de segurança corporativa.
Exemplos de Uso	– Proteger navegação em redes públicas. – Acessar serviços de streaming de outros países. – Navegação anônima.	– Permitir que funcionários e colaboradores externos acessem o servidor da empresa remotamente. – Conectar escritórios em diferentes localidades. – Proteger dados sensíveis.

Quando usar uma VPN Particular

Se você é um usuário individual que busca proteger sua privacidade ao acessar redes públicas, como Wi-Fi de cafeterias, ou desbloquear conteúdos geograficamente restritos, uma VPN particular pode ser suficiente. Ela é ideal para:

• Navegar de forma anônima e evitar rastreamento.
• Proteger seus dados ao fazer compras online.
• Assistir a séries e filmes disponíveis apenas em outros países.

Apesar de oferecer segurança básica, ela não é adequada para gerenciar múltiplos dispositivos ou proteger dados corporativos sensíveis.

Por que as empresas precisam de uma VPN Empresarial?

Empresas, por outro lado, lidam com desafios muito maiores. Com o aumento do trabalho remoto, a necessidade de proteger dados confidenciais e facilitar o acesso seguro aos sistemas corporativos é crítica. Uma VPN empresarial oferece:

• Conexões seguras e centralizadas: todos os colaboradores podem acessar os sistemas da empresa, independentemente de onde estejam.
• Proteção contra ameaças avançadas: criptografia robusta e monitoramento constante ajudam a prevenir ataques como phishing e ransomware.
• Gerenciamento eficiente: permite controle sobre quem acessa o quê, além de gerar relatórios detalhados de uso.

Esses recursos garantem que dados corporativos estejam sempre protegidos, enquanto a equipe mantém a produtividade.

O Connectas Cloud: A solução ideal para empresas

Transforme a forma como sua empresa se conecta com o Connectas Cloud! Segurança, praticidade e conectividade reunidas em uma solução robusta e fácil de usar.

Com o Connectas Cloud, você pode:

 Conectar colaboradores externos com total segurança, independentemente de onde estejam.
 Gerenciar usuários e dispositivos de forma centralizada, garantindo controle absoluto.
 Proteger os dados corporativos contra hackers e ameaças digitais com criptografia avançada.
 Implementar autenticação dupla, adicionando uma camada extra de segurança.
 Acessar computadores e servidores com segurança e praticidade.
 Utilizar serviços, aplicativos e dados da empresa remotamente e de forma segura, tudo diretamente pelo navegador.

Experimente o Connectas Cloud gratuitamente e descubra como ele pode transformar como sua empresa trabalha com segurança e eficiência.

                                                                             WINCOBLOG

TCU reúne TI federal para exercícios contra ataques hackers

 

Encontro online acontece no dia 05 de dezembro. Inscrições estão abertas.

O Tribunal de Contas da União (TCU) promove, em 5 dezembro, o workshop “Web, DNS e e-mail – Os seus estão de portas abertas?”. O encontro sobre segurança cibernética em organizações públicas é on-line e começa às 15h, com transmissão pelo canal do TCU no YouTube. 

No workshop, voltado para profissionais de tecnologia da informação (TI), os participantes realizam atividades práticas relacionadas a ataques cibernéticos como man-in-the-middle, DNS poisoning e e-mail spoofing para identificação de soluções e caminhos de melhoria.

A equipe de avaliação de segurança da informação do TCU, que ministra o workshop, vai apresentar os resultados da análise de segurança em 14 mil endereços eletrônicos de organizações públicas.

Durante o encontro será lançado o guia “Matriz de Riscos e Controles para serviços de hospedagem Web, e-mail e DNS”, criado pelo TCU para gestores de segurança da informação.

Clique aqui para se inscrever.

                                                                                            CONVERGENCIA DIGITAL