Tribunal determina ajustes contratuais para proteger dados federais de acesso estrangeiro.
O Tribunal de Contas da União (TCU) recomendou que o Serviço Federal de Processamento de Dados (Serpro) adote medidas para alterar cláusulas de contrato firmado com a Amazon Web Services (AWS), após identificar riscos relacionados ao eventual acesso de autoridades estrangeiras a dados públicos armazenados na infraestrutura utilizada pela nuvem do governo federal. A decisão foi aprovada pelo plenário da Corte em sessão realizada na quarta-feira (10).
Segundo o acórdão, o contrato deve ser ajustado para deixar expresso que qualquer acesso a informações armazenadas nos sistemas governamentais somente poderá ocorrer mediante determinação de autoridades brasileiras, afastando a possibilidade de compartilhamento de dados em cumprimento a ordens emitidas por governos estrangeiros.
RISCO À SOBERANIA DOS DADOS
A recomendação integra auditoria realizada pelo TCU sobre a soberania digital da administração pública federal e também alcança contrato semelhante firmado pela Empresa de Tecnologia e Informações da Previdência (Dataprev) com a AWS.
Os dois órgãos operam a chamada Nuvem de Governo, ambiente criado para armazenar e processar dados da administração pública em infraestrutura controlada pelo Estado brasileiro.
Embora os equipamentos da solução AWS Outposts estejam instalados em centros de dados localizados no Brasil, o tribunal observou que parte da gestão tecnológica, do monitoramento e da telemetria permanece vinculada à estrutura global da empresa norte-americana.
Para o TCU, a redação contratual atual pode permitir interpretações que admitam o cumprimento de determinações emitidas por autoridades estrangeiras, inclusive com base em legislações como o Cloud Act, dos Estados Unidos.
DADOS SENSÍVEIS
A preocupação da Corte envolve informações administradas por diversos órgãos federais atendidos pelo Serpro e pela Dataprev.
No caso do Serpro, o tribunal destacou a prestação de serviços ao Banco Central e ao Ministério da Saúde. Já a Dataprev mantém contratos relacionados ao Instituto Nacional do Seguro Social (INSS), ao Ministério da Educação (MEC) e ao Ministério da Agricultura e Pecuária (Mapa).
O relatório ressalta que esses sistemas podem armazenar dados considerados estratégicos para o funcionamento do Estado e para a proteção de informações pessoais dos cidadãos.
BAIXO NÍVEL DE SOBERANIA
Na avaliação do TCU, a solução AWS Outposts recebeu a menor classificação no índice criado pela Corte para medir o grau de soberania dos dados hospedados em ambientes de nuvem.
Segundo o acórdão, o modelo apresenta limitações relacionadas à residência dos dados, ao controle operacional e à dependência de infraestrutura externa para atividades de gestão.
Os auditores concluíram que essas características podem criar riscos jurídicos e operacionais para a administração pública.
REDUNDÂNCIA GEOGRÁFICA
Além das recomendações contratuais, o TCU determinou que Serpro e Dataprev apresentem, em até 180 dias, um plano de ação para implantação de redundância geográfica nas soluções da Nuvem de Governo.
A medida exige a utilização de pelo menos dois data centers fisicamente separados para cada fornecedor contratado, com definição de cronograma, responsáveis e etapas de implementação.
O objetivo é reduzir riscos de indisponibilidade causados por falhas operacionais, ataques cibernéticos ou desastres naturais.
De acordo com o tribunal, embora as duas estatais adotem estratégias de multinuvem e possuam mais de um centro de processamento de dados, grande parte das cargas de trabalho permanece concentrada em apenas uma localidade por fornecedor, criando pontos únicos de falha.
O relatório aponta que, atualmente, apenas a estrutura da Oracle utilizada pelo Serpro oferece redundância geográfica compatível com as exigências previstas para a Nuvem de Governo.
