Segurança da informação nas contratações de TIC e certificação digital (IN SGD/ME nº 94/2022, MP nº 2.200-2/2001 e Lei nº 14.063/2020)

Do zero

Este tópico junta duas perguntas práticas de quem cuida de TI no setor público.

1. Como contratar uma empresa de TI sem abrir a porta para vazamentos? Quando o Tribunal contrata um sistema, uma nuvem ou uma equipe de suporte, entrega à empresa dados, senhas e acesso aos servidores. Pense na contratação de uma firma de portaria para um prédio:

• Antes de assinar, você escreve no contrato o que exige: livro de registro de quem entra, sigilo sobre os moradores, multa para cada falha.
• No primeiro dia, a empresa e cada porteiro assinam que conhecem as regras do prédio.
• No fim do contrato, você recolhe os crachás e troca as fechaduras.

Na contratação de TIC é igual. Os requisitos de segurança da informação e privacidade entram no Termo de Referência, cada um com a sua sanção. A empresa e os empregados assinam termos de sigilo. No encerramento, os perfis de acesso são revogados. A segurança entra desde o planejamento porque o contrato fica vinculado ao edital e à proposta vencedora (Lei nº 14.133/2021, art. 92, II).

2. Como um sistema sabe quem assinou um documento eletrônico? No papel, há a firma reconhecida em cartório. No meio eletrônico, há o certificado digital: uma identidade eletrônica que liga uma chave pública a uma pessoa. Quem emite essa identidade no Brasil é uma cadeia de confiança, a ICP-Brasil:

• O Comitê Gestor faz as regras e credencia quem pode emitir.
• A AC Raiz (o ITI) emite os certificados das autoridades certificadoras. Nunca emite o seu.
• A AC (autoridade certificadora) emite o seu certificado.
• A AR (autoridade de registro) é o balcão: confere os seus documentos e encaminha o pedido à AC.
• Você gera o seu próprio par de chaves. A chave privada é só sua.

Declaração em documento assinado com certificado ICP-Brasil presume-se verdadeira em relação a quem assinou. E a Lei nº 14.063/2020 organiza as assinaturas eletrônicas em três níveis, como três graus de exigência na portaria: simples (por exemplo, login e senha), avançada (um meio seguro aceito pelas partes) e qualificada (certificado ICP-Brasil).

Frase para guardar: segurança se escreve no Termo de Referência e se cobra com sanção; Comitê Gestor faz as regras, AC Raiz certifica AC e nunca o usuário final, AC emite, AR identifica, o titular gera as chaves; ICP-Brasil presume verdadeiro; simples, avançada e qualificada, e a qualificada vale em qualquer interação com ente público.

Em 1 minuto

As regras abaixo vêm da IN SGD/ME nº 94/2022 (fontes/normas/in-sgd-me-94-2022-contratacoes-tic.txt), da MP nº 2.200-2/2001, texto compilado (fontes/leis/mp-2200-2-2001-icp-brasil.txt), e da Lei nº 14.063/2020, texto vigente (fontes/leis/lei-14063-2020-assinaturas.txt). A IN obriga os órgãos do SISP, do Executivo federal (art. 1º); para o TCE-GO, é o modelo de referência. O caminho geral da contratação (fases, ETP, TR, papéis) está na lição de contratações de TIC, em Governança de TI; aqui o foco é a segurança.

Segurança da informação na contratação de TIC (IN SGD/ME nº 94/2022):

• Quem define os requisitos (art. 16): os de segurança e privacidade do negócio são definidos pelo Integrante Requisitante junto com o Técnico (I, f); os de segurança da informação e privacidade tecnológicos, pelo Integrante Técnico junto com o Requisitante (II, i).
• No Termo de Referência, no que couber (Anexo I, item 7.1): o TR traz requisitos e obrigações de Segurança da Informação e Privacidade (SIP). O órgão escolhe, por critérios próprios, os imprescindíveis, considerando a legislação e os riscos.
• O que considerar (Anexo I, item 7.2): disponibilidade; evitar vazamento de dados e fraudes digitais; processo de gestão de riscos de SIP exigido da contratada; rastreabilidade com trilha de auditoria; continuidade do negócio; tratamento de dados pessoais conforme a LGPD e de informações classificadas; auditoria de SIP; gestão de incidentes; software seguro; gestão de mudanças e de capacidade; controles criptográficos, logs e políticas de SIP.
• Sanção por requisito (Anexo I, item 7.4): o contrato prevê sanções administrativas pelo descumprimento de cada requisito de SIP especificado. O detalhamento está no Guia de Requisitos e de Obrigações de SIP do Órgão Central do SISP (itens 7.3 e 7.5).
• Riscos (arts. 8º, § 1º, e 38): gerenciamento de riscos em todas as fases, registrado no Mapa de Gerenciamento de Riscos.
• Sigilo (art. 18, V): em serviços de TIC, o Modelo de Execução traz dois modelos de documento. O Termo de Compromisso (manter sigilo e respeitar as normas de segurança do órgão) é assinado pelo representante legal da contratada. O Termo de Ciência é assinado por todos os empregados diretamente envolvidos. Os dois são entregues na reunião inicial (art. 31, I, b).
• O que não se terceiriza (art. 3º, II, e parágrafo único): a gestão de segurança da informação não pode ser objeto de contratação. O apoio técnico aos processos de gestão, de planejamento e de avaliação da qualidade das soluções de TIC pode, sob supervisão exclusiva de servidores.
• O que se contrata (Anexo II, itens 1.5 e 1.12): são soluções de TIC, por exemplo, a certificação digital, testes de intrusão (pentest), gestão de vulnerabilidades, tratamento de incidentes e monitoramento de eventos de segurança (SOC).
• Quem avalia não fornece (art. 4º): a empresa contratada para avaliar, medir ou apoiar a fiscalização não pode ser a que fornece a solução, e assina termo de confidencialidade (parágrafo único).
• O que é da Administração (art. 17, I, h, e II, h): os direitos de propriedade intelectual sobre documentação, código-fonte, modelos de dados e bases de dados, salvo justificativa.
• Nuvem (Anexo I, item 4): criar, ampliar ou renovar centro de dados se faz por serviço de nuvem, salvo inviabilidade demonstrada no ETP (4.1); seguem-se as normas do GSI/PR (4.2); do fornecedor privado se exigem, com justificativa prévia e no momento da assinatura do contrato, certificações de normas de segurança da informação (4.2.1); e cláusula garante a portabilidade de dados e softwares (4.2.2).
• Autenticação (Anexo I, item 2.1): é vedado contratar solução de autenticação para serviços públicos digitais sem autorização prévia do Órgão Central do SISP.
• Publicação (art. 34): ETP, TR e contrato vão para o sítio eletrônico, observada a legislação de proteção de informações. O contrato pode ficar em sigilo quando isso for imprescindível à segurança da sociedade e do Estado (Lei nº 14.133/2021, art. 91, § 1º).
• Encerramento (art. 35): entrega das versões finais e da documentação, transferência final de conhecimento, devolução de recursos, revogação de perfis de acesso e eliminação de caixas postais.
• Dados pessoais (Lei nº 13.709/2018): a contratada que trata dados em nome do Tribunal é operadora (art. 5º, VII). Segue as instruções do controlador (art. 39), adota medidas de segurança (art. 46) e responde solidariamente se descumprir a lei ou as instruções lícitas (art. 42, § 1º, I).

Certificação digital: a ICP-Brasil (MP nº 2.200-2/2001):

• Finalidade (art. 1º): garantir autenticidade, integridade e validade jurídica de documentos eletrônicos e das aplicações que usam certificados digitais, e a realização de transações eletrônicas seguras.
• Composição (art. 2º): uma autoridade gestora de políticas e a cadeia de autoridades certificadoras: AC Raiz, AC e AR.
• Comitê Gestor (arts. 3º e 4º): é a autoridade gestora de políticas. Vincula-se à Casa Civil da Presidência da República, cujo representante o coordena (art. 3º, caput e § 1º), e tem 5 representantes da sociedade civil e 1 de cada um de 7 órgãos (art. 3º). Fixa as normas de credenciamento (art. 4º, II), credencia e autoriza o funcionamento de AC e AR (VI), audita e fiscaliza a AC Raiz (IV) e aprova certificação cruzada com ICPs estrangeiras (VII).
• AC Raiz (arts. 5º, 12 e 13): a primeira da cadeia é o ITI, autarquia federal. Emite, distribui, revoga e gerencia os certificados das AC do nível imediatamente abaixo; gerencia a lista de certificados emitidos, revogados e vencidos; fiscaliza e audita AC, AR e prestadores. Não emite certificado para o usuário final (art. 5º, parágrafo único).
• AC (art. 6º): emite, distribui, revoga e gerencia os certificados que vinculam o par de chaves ao titular, e põe à disposição a lista de certificados revogados. O par de chaves é sempre gerado pelo próprio titular, e a chave privada é de seu exclusivo controle, uso e conhecimento (parágrafo único).
• AR (art. 7º): vinculada a uma AC, identifica e cadastra usuários, encaminha os pedidos à AC e mantém registros. A identificação é presencial ou por outra forma de segurança equivalente (parágrafo único, incluído pela Lei nº 14.063/2020).
• Quem pode ser AC e AR (art. 8º): órgãos e entidades públicos e pessoas jurídicas de direito privado.
• Um nível por vez (art. 9º): a AC só certifica o nível imediatamente abaixo do seu, salvo certificação lateral ou cruzada aprovada pelo Comitê Gestor.
• Valor jurídico (art. 10): documentos eletrônicos são documentos públicos ou particulares para todos os fins legais. As declarações em documento produzido com certificação ICP-Brasil presumem-se verdadeiras em relação aos signatários (§ 1º). Outros meios de provar autoria e integridade, inclusive certificados fora da ICP-Brasil, valem se admitidos pelas partes como válidos ou aceitos pela pessoa a quem o documento for oposto, isto é, diante de quem ele é apresentado (§ 2º).

Assinaturas eletrônicas (Lei nº 14.063/2020):

• Onde valem as regras de assinatura com entes públicos (art. 2º): na interação interna dos órgãos e entidades da administração direta, autárquica e fundacional dos Poderes e órgãos constitucionalmente autônomos (I), entre particulares e esses entes (II) e entre os próprios entes (III). Essas regras não se aplicam aos processos judiciais, à interação entre particulares, às interações anônimas ou sem identificação do particular, às ouvidorias, aos programas de assistência a vítimas e a testemunhas ameaçadas e aos casos de sigilo da identidade (parágrafo único).
• Definições (art. 3º): autenticação é a identificação eletrônica de uma pessoa (I); certificado digital associa os dados de validação da assinatura a uma pessoa (III); certificado ICP-Brasil é o emitido por AC credenciada na ICP-Brasil (IV).
• Três níveis (art. 4º): a simples identifica o signatário ou associa dados dele ao documento (I). A avançada usa certificado fora da ICP-Brasil ou outro meio admitido pelas partes ou aceito pela pessoa a quem o documento for oposto; é associada ao signatário de forma unívoca, usa dados sob seu controle exclusivo e torna detectável qualquer modificação posterior (II). A qualificada usa certificado ICP-Brasil, nos termos do art. 10, § 1º, da MP (III), e tem o nível mais elevado de confiabilidade (§ 1º). Deve haver forma de revogar ou cancelar o meio usado para assinar (o certificado, por exemplo), sobretudo se a segurança dele for comprometida ou houver vazamento de dados (§ 2º).
• Nível mínimo (art. 5º): ato do titular de cada Poder ou órgão constitucionalmente autônomo fixa o nível mínimo. A simples cabe nas interações de menor impacto e sem informação protegida por grau de sigilo (§ 1º, I). A avançada pode ser admitida, inclusive, nesses casos e no registro de atos nas juntas comerciais (§ 1º, II); a lista não é fechada. A qualificada é aceita em qualquer interação, sem cadastro prévio (§ 1º, III).
• Qualificada obrigatória (art. 5º, § 2º): atos de chefes de Poder, Ministros de Estado e titulares de Poder ou de órgão constitucionalmente autônomo (I); notas fiscais eletrônicas, salvo de pessoa física ou MEI, para quem é facultativa (III); transferência e registro de imóveis (IV); demais casos previstos em lei (VI). O ente informa no site os requisitos para aceitar a avançada (§ 4º). Em conflito de normas, prevalece a qualificada (§ 5º).
• Saúde (arts. 13 e 14): receita de medicamento sujeito a controle especial e atestado médico eletrônicos só valem com qualificada; os demais documentos de profissionais de saúde valem com avançada ou qualificada. Atos internos do ambiente hospitalar ficam fora dessas exigências (art. 13, parágrafo único).
• Código aberto (art. 16): sistemas desenvolvidos exclusivamente por órgãos públicos são regidos por licença de código aberto. Ficam fora, entre outros, o código-fonte com acesso restrito pela Lei de Acesso à Informação, os dados armazenados e os componentes de terceiros (§ 2º).

Onde isso encosta nas licitações e no governo digital: os atos da licitação são preferencialmente digitais (Lei nº 14.133/2021, art. 12, VI), e é permitida a identificação e a assinatura digital com certificado ICP-Brasil (art. 12, § 2º). Contratos e aditivos podem ser celebrados em forma eletrônica (art. 91, § 3º). O sítio eletrônico oficial é certificado digitalmente por autoridade certificadora (art. 6º, LII). E os documentos e os atos processuais valem em meio digital com assinatura eletrônica, respeitados parâmetros de autenticidade, integridade e segurança adequados ao nível de risco (Lei nº 14.129/2021, art. 7º).

Exemplo concreto: o sistema de prestação de contas em nuvem

O Tribunal contrata um sistema em nuvem (SaaS) pelo qual os jurisdicionados enviam as prestações de contas assinadas digitalmente.

Parte 1: a segurança na contratação.

1. No ETP: a equipe compara soluções e considera os padrões de governo, entre eles a ICP-Brasil (IN, art. 11, II, d). Renovar a infraestrutura de centro de dados se faz, em regra, por nuvem (Anexo I, 4.1); daí o SaaS.
2. No TR, os requisitos de SIP: por exemplo, disponibilidade mínima de 99,5% ao mês; registro de cada acesso e de cada envio, como trilha de auditoria; dados cifrados em trânsito e em repouso; aviso de incidente ao Tribunal em até 24 horas; tratamento de dados pessoais conforme a LGPD; auditoria de SIP anual; exportação de toda a base ao fim do contrato. Cada requisito ganha a sua sanção (Anexo I, itens 4.2.2, 7.2 e 7.4).
3. Na assinatura do contrato: o provedor apresenta a certificação de norma de segurança da informação que o TR exigiu com justificativa, como a ISO/IEC 27001 (Anexo I, 4.2.1).
4. Na reunião inicial: o representante legal da empresa entrega o Termo de Compromisso; os empregados que vão operar o sistema, os Termos de Ciência (arts. 18, V, e 31, I, b).

Parte 2: a certificação digital no sistema.

Comitê Gestor da ICP-Brasil   regras, credenciamento e auditoria (arts. 3º e 4º)
          │
   AC Raiz = ITI              certifica só as AC do nível seguinte (arts. 5º e 13)
          │
         AC  ◄──── AR         AC emite e revoga; AR identifica e cadastra (arts. 6º e 7º)
          │
   Secretário (titular)       gera o próprio par de chaves (art. 6º, parágrafo único)
          │
   assina a prestação de contas  →  sistema confere a cadeia e a lista de revogados

5. O certificado do gestor: o secretário municipal de finanças foi à AR, que conferiu os seus documentos (MP, art. 7º). Ele gerou o próprio par de chaves (art. 6º, parágrafo único), e a AC emitiu o certificado (art. 6º). O certificado dessa AC foi emitido pela AC Raiz, o ITI (arts. 5º e 13). O dele é do tipo A3, num token de onde a chave privada não sai [CONFERIR: os tipos A1, em arquivo, e A3, em token ou cartão, vêm das normas técnicas da ICP-Brasil, que não estão em fontes/].
6. O sistema confere a assinatura: verifica a assinatura com a chave pública do certificado, sobe a cadeia até a AC Raiz e consulta a lista de certificados revogados (arts. 5º e 6º). Tudo certo: as declarações presumem-se verdadeiras em relação ao signatário (art. 10, § 1º).
7. Níveis diferentes para atos diferentes: atualizar o telefone de contato no cadastro é interação de menor impacto, e a assinatura simples basta (Lei nº 14.063/2020, art. 5º, § 1º, I). Na prestação de contas, que responsabiliza o gestor, o Tribunal pode exigir nível mais alto; a qualificada é aceita em qualquer caso, sem cadastro prévio (§ 1º, III). O nível mínimo de cada interação é fixado por ato do titular do Poder ou do órgão constitucionalmente autônomo (art. 5º, caput).
8. O token roubado: o secretário pede a revogação. A AC revoga o certificado e o põe na lista de revogados (MP, art. 6º), e o sistema passa a recusar assinaturas novas com ele. A lei exige que exista esse meio de revogação (Lei nº 14.063/2020, art. 4º, § 2º).
9. O fim do contrato: a empresa entrega a base, a documentação e as versões finais e transfere o conhecimento; o Tribunal revoga os perfis de acesso dela e elimina as caixas postais (IN, art. 35).

Comparação: a cadeia da ICP-Brasil, as assinaturas e a segurança no contrato

Como a FCC cobra

• O ITI como AC Raiz e o Comitê Gestor vinculado à Casa Civil.
• Os casos de assinatura qualificada obrigatória (art. 5º, § 2º) e a regra do conflito de normas (§ 5º).
• Requisitos de segurança da informação e privacidade no Termo de Referência, com sanção por requisito (Anexo I, item 7).
• Termo de Compromisso x Termo de Ciência.
• A vedação de contratar a gestão de segurança da informação, ao lado do que se pode contratar (pentest, SOC, tratamento de incidentes).
• Nuvem: certificações exigidas na assinatura do contrato e portabilidade dos dados.

Pegadinhas

Explique com suas palavras

Explique a um colega quem faz o quê na ICP-Brasil, como o sistema do Tribunal confere a assinatura de um gestor e por que esse documento vale mais que um assinado só com login e senha.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

Na ICP-Brasil, o Comitê Gestor faz as regras. A AC Raiz, que é o ITI, emite os certificados das autoridades certificadoras, mas nunca o de uma pessoa. A AC emite o certificado do gestor, e a AR é o balcão que confere os documentos dele antes. O próprio gestor gera o par de chaves, e a chave privada fica só com ele.

Quando o gestor assina, o sistema confere a assinatura com a chave pública que está no certificado. Depois sobe a cadeia até a AC Raiz e olha a lista de certificados revogados. Se tudo bate, o documento não foi alterado e foi assinado por quem tem aquela chave.

Esse documento vale mais porque a lei presume verdadeiro o que o gestor declarou nele. É a assinatura qualificada, o nível mais alto. Login e senha é assinatura simples: serve para coisas de menor impacto, como atualizar um telefone, e não para algo sigiloso.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

Num caso que peça um sistema para receber dados ou documentos de jurisdicionados, ou a contratação de uma solução de TIC para o Tribunal, use os dois lados do tópico:

• No TR: requisitos de SIP específicos e mensuráveis (disponibilidade, trilha de auditoria, criptografia, prazo de aviso de incidente, LGPD), cada um com sanção (IN, Anexo I, itens 7.2 e 7.4); a contratada como operadora dos dados pessoais (LGPD, arts. 5º, VII, e 39).
• Na execução e no fim: termos de sigilo na reunião inicial (IN, art. 31, I, b); portabilidade dos dados na nuvem (Anexo I, 4.2.2); revogação dos acessos no encerramento (art. 35).
• Na assinatura: nível mínimo por tipo de ato (Lei nº 14.063/2020, art. 5º); validação da cadeia e da lista de revogados; registro de quem assinou e quando.
• No Regimento do TCE-GO: o jurisdicionado que alimenta os programas do Tribunal usa senha para assinatura eletrônica e responde pela fidelidade dos registros (art. 252, parágrafo único); e um ato normativo fixa as regras do acesso on-line ao sistema de processos, com identificação do usuário por senha, inclusive para certificação digital de documentos (art. 348, § 8º).

Um ponto em aberto: a lei exige assinatura qualificada nos atos de titular de órgão constitucionalmente autônomo (art. 5º, § 2º, I). Se os atos do Presidente do TCE-GO entram nessa regra é questão de enquadramento. A Lei Orgânica assegura ao Tribunal autonomia funcional, administrativa e financeira (Lei Estadual nº 16.168/2007, art. 7º), mas isso não resolve a questão [CONFERIR: nem a Lei nº 14.063/2020 nem as fontes do Tribunal em fontes/ dizem se o Tribunal de Contas é, para esse fim, órgão constitucionalmente autônomo].

Fontes da lição

• Edital nº 01/2026, Anexo II, Legislação Aplicada à Tecnologia da Informação (fontes/edital-01-2026.txt).
• Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, arts. 1º, 3º, 4º, 8º, 11, 16 a 18, 31, 34, 35 e 38, Anexo I, itens 2, 4 e 7, e Anexo II, itens 1.5 e 1.12 (fontes/normas/in-sgd-me-94-2022-contratacoes-tic.txt, obtido no gov.br em 04/11/2026).
• Medida Provisória nº 2.200-2, de 24 de agosto de 2001 (ICP-Brasil), texto compilado, arts. 1º a 10, 12 e 13 (fontes/leis/mp-2200-2-2001-icp-brasil.txt, obtido no normas.leg.br em 04/11/2026).
• Lei nº 14.063, de 23 de setembro de 2020 (assinaturas eletrônicas), arts. 2º a 5º, 13, 14 e 16 (fontes/leis/lei-14063-2020-assinaturas.txt, obtido no normas.leg.br em 04/11/2026).
• Lei nº 14.133/2021, arts. 6º, LII, 12, VI e § 2º, 91, §§ 1º e 3º, e 92, II (fontes/leis/lei-14133-2021-licitacoes.txt).
• Lei nº 14.129/2021, art. 7º (fontes/leis/lei-14129-2021-governo-digital.txt).
• Lei nº 13.709/2018 (LGPD), arts. 5º, VII, 39, 42 e 46 (fontes/leis/lei-13709-2018-lgpd.txt).
• Regimento Interno do TCE-GO (Resolução nº 22/2008), texto compilado, arts. 252 e 348 (fontes/tce-go/ri-resolucao-22-2008-compilado.txt).
• Lei Estadual nº 16.168/2007 (Lei Orgânica do TCE-GO), art. 7º (fontes/leis-go/lei-16168-2007-lei-organica-tce.txt).