Uma prefeitura pode aprovar uma política de segurança da informação e ainda assim não conseguir recuperar o SIAFIC depois de um ataque ou falha. O documento define responsabilidades e regras. A continuidade depende de essas regras aparecerem na configuração dos sistemas, nas rotinas de cópia e em testes que mostrem se os dados voltam íntegros e no prazo necessário. Essa diferença é central para interpretar os quesitos de tecnologia do IEG-M. No questionário examinado no estudo, os itens i-Gov TI 3.0 e 3.5 perguntam se existem políticas formalmente instituídas e obrigatórias. Uma resposta positiva demonstra que o município declarou possuir o ato. Por si só, não comprova que os controles foram implantados, que abrangem o SIAFIC ou que funcionam.
Do decreto à operação
O Decreto Federal nº 10.540/2020 atribui ao Executivo a gestão da solução tecnológica do SIAFIC e das políticas de acesso e segurança aplicáveis aos Poderes e órgãos usuários, respeitada sua autonomia. O art. 15 requer cópia da base que permita a recuperação após falha ou incidente, preferencialmente diária.
A obrigação não se satisfaz com um arquivo de backup guardado em algum lugar. A equipe precisa saber se a cópia foi executada, se está protegida contra alteração ou destruição, se contém os dados necessários e se pode ser restaurada. Um registro de rotina comprova que o processo rodou; o exercício de restauração mostra se ele entrega o resultado esperado. São evidências diferentes.
O mesmo vale para segurança. Uma política pode estabelecer quem deve ter acesso, mas a execução exige perfis configurados, privilégios compatíveis com as funções, retirada de acessos quando alguém muda de função e registros que permitam reconstruir operações. Quando a administração revisa esses registros e corrige falhas, passa a demonstrar também a eficácia do controle.
Três camadas de evidência
Uma verificação municipal deve separar a instituição da política, a execução dos controles e a eficácia demonstrada. Para segurança, isso significa examinar o ato aprovado, a matriz de perfis, os registros de concessão e revogação e a revisão periódica dos acessos. Para backup, significa verificar a política, os registros de cópia, a proteção e retenção dos arquivos e o resultado de uma restauração testada.
Essa separação evita duas conclusões equivocadas. A primeira seria tratar a existência da política como prova de que o sistema está protegido. A segunda seria reprovar um município por não usar uma tecnologia específica quando a norma não a exige. O NIST SP 800-53 descreve controles de acesso, proteção de fronteiras, testes de contingência, cópia e recuperação. RBAC e firewalls são opções de implementação, não uma receita única para toda prefeitura. A solução adequada depende dos riscos, dos sistemas e da arquitetura local.
O NIST CSF 2.0 também ajuda a compreender que governança envolve estratégia, responsabilidades, supervisão e comunicação. A tecnologia executa parte dos controles, mas pessoas e decisões institucionais definem quem responde, como os riscos são aceitos ou tratados e como a administração acompanha o funcionamento dos serviços.
O que o diagnóstico deve revelar
No estudo de classificação dos quesitos do i-Gov TI, a mudança de interpretação dos itens 3.0 e 3.5 desloca 80 pontos para a classe de dependência tecnológica mandatória no cenário ampliado. Essa reclassificação não altera os totais publicados de quesitos e pontos possíveis. Ela expressa uma leitura analítica sobre a dependência tecnológica da prática operacional. Não mede se uma prefeitura específica implantou os controles.
Por isso, o painel de gestão precisa conservar a diferença entre declaração e comprovação. Para cada política, convém identificar o ato, o escopo, os responsáveis, os sistemas cobertos e as evidências de execução. No caso do SIAFIC, a cobertura deve considerar os Poderes e órgãos usuários. Na rotina de backup, o sistema deve registrar sucesso ou falha da cópia e guardar o resultado dos testes de recuperação. Na gestão de acesso, deve ser possível demonstrar quem aprovou, quem recebeu e quando cada privilégio foi revisto ou removido.
Essa abordagem transforma o diagnóstico em trabalho executável: corrigir uma configuração, revisar um perfil, testar uma restauração, atualizar o inventário ou formalizar um responsável. Também permite que a fiscalização e o controle interno examinem evidências vinculadas ao requisito, em vez de depender apenas de uma resposta afirmativa no questionário.
Para o DIRECITY GOV, a consequência é direta. A plataforma deve conectar política, sistema, responsável, controle e evidência. Ela não deve declarar conformidade só porque encontrou um documento ou porque o município utiliza uma ferramenta conhecida. Deve mostrar o que foi aprovado, o que está configurado e o que já foi testado. Em segurança e continuidade, confiança nasce quando a administração consegue demonstrar que seus serviços e dados podem resistir a falhas e voltar a operar.