Cibersegurança para prefeituras

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

Resposta direta: prefeituras são alvo frequente porque concentram dados de cidadãos, pagamentos, folha, saúde e educação em redes pequenas, com equipe reduzida e muitos fornecedores. Os primeiros 90 dias devem priorizar controle de contas e MFA, backup testado, separação da rede administrativa, proteção do e-mail e do PIX e um fluxo de resposta a incidentes que funcione fora do horário comercial.

Escopo em uma frase: a IN GSI/PR 7/2022 não alcança prefeituras por si só. Municípios respondem pela LGPD, por normas locais, por contratos e pela regulação setorial dos seus serviços — e podem usar a IN GSI como referência de maturidade, não como obrigação automática.

1. Por que a prefeitura é um alvo atraente

O atacante não escolhe a prefeitura pelo tamanho, mas pela combinação de dados pessoais, capacidade de pagamento e dependência de serviços essenciais. Um único acesso comprometido pode alcançar e-mail, financeiro, folha, sistemas de saúde e o portal do cidadão.

Ativo	Por que importa	Primeiro controle
E-mail institucional	Porta de entrada para BEC, fraude de pagamento e phishing interno	MFA, antiphishing, bloqueio de regras automáticas e revisão de encaminhamentos
Financeiro e PIX	Alto impacto financeiro e risco de desvio de verba pública	Dupla aprovação, limites, conciliação diária e confirmação por canal independente
Folha e RH	Dados pessoais, salários e benefícios	Controle de acesso por função, revisão de contas e trilha de auditoria
Saúde e assistência social	Dados sensíveis e serviços essenciais ao cidadão	Segmentação, backup, gestão de fornecedores e plano de continuidade
Educação	Grande volume de contas e dispositivos, muitas vezes sem inventário	Inventário, gestão de identidade e política de dispositivos
Portal e transparência	Vitrine institucional e alvo de desfiguração	Hardening, atualização, WAF e monitoramento de integridade
Automação e utilidades	Água, iluminação, trânsito e outras operações municipais	Separação de redes, acesso remoto controlado e monitoramento passivo

2. O que a lei exige — e o que não exige

É comum encontrar duas posições opostas: “município não tem obrigação nenhuma” e “município precisa seguir a IN GSI”. Nenhuma das duas está correta. O correto é separar as fontes de obrigação.

Tema	O que se aplica	O que fazer
Dados pessoais	LGPD (Lei 13.709/2018), inclusive para o poder público	Mapear tratamentos, definir base legal, nomear encarregado, proteger dados e ter fluxo de incidentes
Incidentes com dados pessoais	LGPD e regulamentação da ANPD	Avaliar risco relevante, documentar decisão e comunicar quando aplicável
Contratação	Lei 14.133/2021 e normas locais	Planejar a contratação, definir escopo, qualificação, SLA e evidências
Segurança da informação federal	IN GSI/PR 7/2022, para órgãos e entidades federais no SISP	Não se aplica automaticamente ao município; pode ser usada como referência
Serviços regulados	Regulação setorial e contratos de concessão	Verificar ANEEL, agência local, contrato e obrigações do prestador
Transparência e controle	Normas de acesso à informação, controle interno e tribunais de contas	Manter evidências, trilhas de decisão e registros de execução

Na prática, a LGPD já exige que o município trate dados com segurança e saiba responder a incidentes. A IN GSI pode emprestar um modelo útil de classificação, prazos e notificação — desde que a equipe jurídica confirme o que é obrigatório no seu ente.

3. Plano dos primeiros 90 dias

Um plano viável para equipe pequena começa pelo que reduz risco de forma direta. Não comece por compra de ferramenta; comece por controle de acesso, backup e visibilidade.

Janela	Foco	Entregáveis concretos
Dias 0–30	Contas, e-mail e backup	Inventário de contas privilegiadas; MFA em e-mail e VPN; revisão de encaminhamentos; backup com teste de restauração; contatos de emergência
Dias 31–60	Rede, PIX e fornecedores	Separação administrativa/financeira; restrição de acesso remoto; dupla aprovação de pagamentos; cláusulas de segurança em contratos críticos
Dias 61–90	Resposta e continuidade	Playbook de ransomware; simulação de crise; lista de serviços essenciais; plano de comunicação; revisão de privilégios

O que medir ao final dos 90 dias

Cobertura de MFA nas contas de e-mail, VPN e administração.
Percentual de ativos críticos com backup e restauração testada.
Tempo para detectar um e-mail de phishing reportado por servidor.
Número de contas privilegiadas e de acessos remotos ativos.
Existência de um fluxo documentado para incidentes com dados pessoais.
Fornecedores críticos com cláusula de notificação e evidência de segurança.

4. Ransomware em prefeitura: o que não fazer

Não pagar o resgate por iniciativa isolada. Pagamento não garante recuperação, pode financiar crime e envolve implicações jurídicas e reputacionais.
Não formatar máquinas antes da coleta. A evidência sustenta a notificação, a investigação e a defesa do ente.
Não comunicar sem coordenação. Imprensa, cidadãos, órgãos de controle e titulares precisam de mensagem única e factual.
Não prometer prazo de recuperação. Restauração depende de backup íntegro, prioridade de serviços e validação operacional.
Não tratar o incidente como problema só de TI. Jurídico, comunicação, controle interno e alta direção precisam estar na sala de decisão.

Para o roteiro das primeiras 24 horas, veja Ransomware em órgão público. Para apoio especializado, veja Resposta a incidentes OT.

5. Como contratar sem comprar caixa de surpresas

Contratações de cibersegurança falham por escopo vago, critério de aceite subjetivo e ausência de evidências. Um bom termo de referência descreve o problema, o resultado esperado, o que será entregue, como será medido e o que o fornecedor precisa comprovar.

Objeto: diagnóstico, adequação, monitoramento ou resposta — não “solução de segurança”.
Escopo: ativos, redes, turnos, unidades e exclusões explícitas.
Qualificação: experiência comprovada em OT/ICS, certificações da equipe e referências verificáveis.
SLA: tempo de resposta, tempo de contenção, disponibilidade e escalonamento.
Evidências: relatórios, trilhas, inventário, plano de ação e aceite formal.
LGPD e confidencialidade: base legal, retenção, acesso, subcontratação e devolução de dados.

Use o modelo de termo de referência como ponto de partida e valide com o jurídico e o controle interno do município.

6. Indicadores que a alta direção entende

Indicador	Pergunta que responde	Meta inicial razoável
Cobertura de MFA	Quantas contas críticas dependem apenas de senha?	100% das contas administrativas e de e-mail
Backup testado	O backup realmente restaura?	Ao menos um teste trimestral documentado
Tempo de detecção	Quanto tempo até alguém perceber um incidente?	Reduzir continuamente com monitoramento e alertas
Contas privilegiadas	Quem pode tudo?	Menor privilégio, revisão trimestral e registro de uso
Fornecedores críticos	Quem tem acesso à rede e aos dados?	Inventário, contrato e evidência de segurança

Perguntas frequentes

Prefeitura precisa notificar o CTIR Gov?

A IN GSI/PR 7/2022 alcança órgãos e entidades federais abrangidos pelo SISP. Municípios devem verificar normas próprias, LGPD, contratos e regulação setorial. O CTIR Gov pode ser usado como referência de boas práticas, mas isso não cria, por si só, uma obrigação municipal.

Qual o primeiro investimento recomendado?

Controle de acesso e backup testado. MFA em e-mail, VPN e contas administrativas reduz o risco de comprometimento; backup íntegro e testado reduz o impacto de ransomware. Ferramentas de monitoramento vêm depois da base organizada.

Somos uma prefeitura pequena. Vale a pena ter um plano de resposta?

Sim. O plano pode ser curto: contatos, papéis, critérios de acionamento, preservação de evidências e comunicação. O que não pode é descobrir na crise quem decide e quem fala com o cidadão.

Como proteger o PIX e os pagamentos?

Separe funções, exija dupla aprovação, defina limites, concilie diariamente e confirme mudanças de conta por canal independente. Ataques de fraude costumam começar no e-mail, não no sistema bancário.

Podemos usar a IN GSI/PR 7/2022 como modelo?

Sim, como referência de estrutura: classificação de incidentes, prazos, papéis e notificação. O que não se pode é afirmar que ela é automaticamente obrigatória para o município sem verificar o regime jurídico aplicável.

O que fazer se um fornecedor sofrer um incidente que afete a prefeitura?

Acione o contrato, exija notificação formal, preserve evidências, avalie o impacto nos serviços e nos dados pessoais e coordene a comunicação. O contrato deve prever prazo, conteúdo mínimo e cooperação na investigação.

Fontes

Lei 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).
ANPD — orientações sobre segurança da informação e comunicação de incidentes.
Lei 14.133/2021 — Lei de Licitações e Contratos Administrativos.
IN GSI/PR 7/2022 — referência para órgãos e entidades federais abrangidos pelo SISP.
CISA — StopRansomware Guide e recursos para governos locais.
NIST — Cybersecurity Framework 2.0.

Conteúdo informativo e de boas práticas, não é aconselhamento jurídico. Confirme o regime jurídico do seu município, as normas locais e o escopo de aplicação da LGPD com o jurídico e o controle interno antes de tomar decisões.

Como citar esta página

SeniorFlow. Cibersegurança para Prefeituras. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/governo/prefeituras

Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.

Cibersegurança para Prefeituras