Maturidade de Ciber-resiliência das instituições públicas

A ciber-resiliência do setor público aparece em vários textos que se cruzam: a Diretiva NIS 2, que inclui as instituições públicas entre as entidades abrangidas, os referenciais da ANSSI (autoridade francesa de cibersegurança) sobre homologação e segurança dos sistemas de informação do Estado, os princípios de continuidade de negócios da ISO 22301, e as obrigações próprias aos dados dos usuários. Para organizações que atendem o mercado europeu ou que se inspiram nesses parâmetros internacionais, o objeto avaliado aqui não é apenas a proteção técnica: é a capacidade de um município, um hospital, um ministério ou um órgão público de manter seus serviços essenciais durante um incidente, de notificá-lo dentro dos prazos e de retornar a um estado de funcionamento controlado.

Na prática, essa governança é difícil por razões estruturais. O sistema de informação costuma ser legado, distribuído entre diretorias de área autônomas e fornecedores de longa data. Algumas perguntas concretas: você sabe quais serviços aos usuários precisam reiniciar prioritariamente, e em qual ordem. Seus backups já foram restaurados de verdade, em um cenário completo, ou apenas testados isoladamente. Quem decide desligar um sistema de missão crítica num domingo, e essa pessoa foi contatada no último exercício simulado.

Vale um ponto de contexto: a transposição da NIS 2 amplia consideravelmente o escopo de entidades públicas abrangidas e introduz uma cadeia de notificação de incidentes em várias etapas, com responsabilidade do órgão de direção. Muitas instituições começaram mapeando suas obrigações sem tratar a questão operacional que vem a seguir: seu plano de crise funciona num dia de férias escolares, quando a equipe de TI está reduzida e o gestor público precisa se comunicar com a sociedade.

Uma confusão comum precisa ser desfeita: a auditoria de conformidade conclui por conforme ou não conforme, exigência por exigência. O diagnóstico de maturidade responde a outra pergunta: em qual nível de controle está cada prática, e qual ação concreta leva ao próximo nível. Uma instituição pode estar em dia no papel e ser incapaz de restaurar seus registros civis em 48 horas. A escala de maturidade torna essa lacuna visível e a converte em um plano de ação com custo, prazo e efeito esperado na pontuação.

No Datamensio, o referencial vem pronto para uso e continua sendo seu. Você ajusta os temas, as perguntas e a redação dos níveis conforme seu status, tamanho e serviços essenciais. A IA refina os níveis segundo o método CMMI, ou constrói uma versão personalizada a partir de seus próprios documentos: plano de continuidade, análise de riscos, relatórios de exercícios simulados.