Segurança da informação no setor público: checklist para prefeituras

Uma prefeitura guarda dados de quase todos os moradores do município: prontuários da saúde, matrículas escolares, cadastros da assistência social, informações tributárias e registros de servidores. Boa parte desses serviços já depende de sistemas digitais. Quando eles param, o atendimento ao cidadão para junto.

Ao mesmo tempo, muitas administrações municipais trabalham com equipes de TI enxutas, orçamento apertado e sistemas de fornecedores diferentes. Essa combinação torna o setor público um alvo atraente e exige foco no essencial.

Por que o setor público é alvo

Órgãos públicos concentram dados valiosos, prestam serviços que não podem parar e, muitas vezes, convivem com sistemas antigos. Para o criminoso, isso significa pressão para pagar e pouca capacidade de reação da vítima.

Pesquisas internacionais ilustram o risco. No levantamento da Sophos de 2026, 72% das organizações de governos locais e estaduais atingidas por ransomware pagaram o resgate, o maior índice entre os setores pesquisados. Em 2024, a mesma empresa registrou que 99% das vítimas desse segmento relataram tentativas de comprometer os backups. São dados globais, mas ajudam a entender a pressão que recai sobre administrações públicas de qualquer país.

O que a legislação exige

A LGPD (Lei 13.709/2018) vale para União, estados, Distrito Federal e municípios. O capítulo sobre tratamento de dados pelo poder público exige finalidade pública, transparência sobre as hipóteses de tratamento e a indicação de um encarregado. O art. 46 obriga a adoção de medidas técnicas e administrativas de segurança, e o art. 48 trata da comunicação de incidentes à ANPD e aos titulares.

A Política Nacional de Segurança da Informação se aplica diretamente à administração pública federal, mas oferece um bom modelo para municípios: designar um gestor de segurança da informação, instituir um comitê interno, publicar uma política de segurança, capacitar servidores e avaliar a conformidade periodicamente. O PPSI 2.0, programa federal de privacidade e segurança, disponibiliza publicamente guias e modelos de políticas, inclusive de backup, controle de acesso e resposta a ransomware, que podem ser adaptados à realidade local.

Checklist essencial

A lista abaixo reúne controles de alto impacto e custo viável para a maioria das prefeituras e órgãos públicos. Não é exaustiva, mas cobre falhas que aparecem com frequência em incidentes.

Resposta a incidentes: o relógio da LGPD

Quando um incidente envolve dados pessoais e pode gerar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 define prazos claros. Ter o roteiro pronto evita decisões improvisadas sob pressão.

Vale lembrar que a guarda do registro de incidentes pelos órgãos públicos segue a tabela de temporalidade do próprio órgão ou as regras do Conselho Nacional de Arquivos, conforme a mesma resolução.

Como contratar sem travar

Boa parte da segurança de um órgão público depende de fornecedores: sistemas de gestão, hospedagem, conectividade e suporte. A Lei 14.133/2021 oferece instrumentos para incluir esses requisitos desde o planejamento.

• Estudo técnico preliminar. Descreva riscos, dados tratados e requisitos mínimos de segurança antes de definir a solução.
• Termo de referência com níveis de serviço. Inclua disponibilidade, prazos de atendimento a incidentes, backup e devolução dos dados ao fim do contrato.
• Cláusulas de proteção de dados. Defina o fornecedor como operador, quando for o caso, com obrigações de sigilo, segurança e aviso imediato de incidentes.
• Atas de registro de preços. Quando atendem à necessidade do órgão, podem encurtar o caminho da contratação. Saiba mais sobre atas de registro de preços.

Municípios menores também podem ganhar escala em conjunto. Consórcios públicos, regidos pela Lei 11.107/2005, permitem compartilhar estruturas, contratos e especialistas que dificilmente caberiam no orçamento de uma única prefeitura. Para a segurança da informação, isso pode significar monitoramento, capacitação e resposta a incidentes com custo dividido entre os participantes.

Próximos passos

Comece por um diagnóstico simples: quem é o encarregado, onde estão os dados mais sensíveis, como estão os backups e quem seria acionado em um incidente às duas da manhã. Depois, transforme o checklist em um plano com prazos e responsáveis. A Midnal atende órgãos públicos com soluções de governança, LGPD e segurança da informação; conheça a abordagem em Governança, LGPD e compliance.