Segurança da Informação: entre normas e efetividade e a experiência do município do Rio de Janeiro

Normas avançam, mas segurança da informação ainda depende da
prática no setor público

Este conteúdo faz parte do centro de estudos de Direito Administrativo do IBÊ

Em 2022, a prefeitura da cidade do Rio de Janeiro foi vítima de um ataque hacker que paralisou sistemas administrativos por vários dias, comprometendo serviços essenciais como emissão de notas fiscais e acesso a plataformas digitais. O episódio expôs de forma clara a vulnerabilidade das estruturas de tecnologia da informação no setor público e deixou uma lição para a Gestão Pública: a segurança digital do serviço público não pode ser tratada como tema secundário.

Em 2023, o Decreto nº 53.700 instituiu a Política Municipal de Segurança da Informação (PSI), que estabeleceu diretrizes gerais e atribuiu à Casa Civil competência para regulamentar normas complementares. Esse foi o primeiro passo institucional para sistematizar a governança da segurança digital no âmbito municipal.

Recentemente, esse movimento se aprofundou com a publicação dos Decretos nº 56.641 a 56.649, que detalham regras específicas sobre proteção contra códigos maliciosos, uso de internet e e-mail corporativo, senhas, redes sem fio, computação em nuvem, backup e segurança física. Trata-se de um avanço normativo relevante, mas que também traz consigo a necessidade de refletir: até que ponto a edição de normas garante, de fato, a efetividade da proteção digital?

Pontos Positivos: avanços em governança digital

O bloco de 09 decretos publicados recentemente representa um marco normativo abrangente, cobrindo temas estratégicos como: proteção contra códigos maliciosos, uso da internet e do correio eletrônico corporativo, gestão de senhas e controle de acessos, segurança em redes sem fio e em ambientes físicos de processamento e computação em nuvem e cópias de segurança (backup/restore).

Entre os avanços, destacam-se:

1. Clareza normativa — parâmetros objetivos sobre o que é permitido, vedado e obrigatório.
2. Integração com políticas anteriores — os decretos complementam a PSI, evitando lacunas de atuação e prevenção.
3. Ênfase em responsabilidades — usuários, gestores e órgãos passam a ter deveres definidos, o que facilita a responsabilização em casos de incidentes.
4. Alinhamento com boas práticas internacionais — requisitos de autenticação multifator, backups externos e gestão de riscos inserem o município no debate contemporâneo de governança digital.
5. Integração com a agenda de modernização administrativa — as normas dialogam com a migração dos processos físicos para o Processo.rio e, futuramente, para o SEI (Sistema Eletrônico de Informações), reconhecendo que a segurança também depende da forma como documentos e fluxos são geridos.
6. Convergência com a Lei Geral de Proteção de Dados (LGPD) — a publicação dos decretos, seguindo a LGPD, estabelece parâmetros de governança que impactam diretamente o tratamento de dados pessoais no âmbito municipal.

Pontos Críticos: desafios e contradições

Apesar dos méritos, permanecem questões críticas que precisam ser enfrentadas, como:

1. Normas sem ação efetiva — o ataque hacker de 2022 mostrou que normas não bastam sem contingência, treinamento e monitoramento efetivo. A paralisia de sistemas evidenciou a vulnerabilidade da Administração diante de incidentes reais.
2. E-mail institucional restrito a servidores — embora o Decreto nº 56.643/2025 discipline o correio eletrônico corporativo, a realidade é que colaboradores terceirizados frequentemente utilizam contas pessoais (como Gmail ou Outlook) para tratar de assuntos oficiais, criando riscos de segurança e fragilidade na responsabilização. Ademais, nem todos os servidores possuem e-mail corporativo.
3. Adaptação cultural ao Processo.rio — a migração dos processos físicos para a plataforma digital exigiu mudanças de rotina e linguagem processual que ainda não foram totalmente assimiladas pelos servidores.
4. Transições sucessivas de plataformas — já existe decreto prevendo a substituição da plataforma processual atual pelo SEI. Isso significa que, em horizonte próximo, a Administração municipal passará por outra grande adaptação digital. Esse ritmo acelerado pode gerar sobrecarga, fadiga institucional e riscos de segurança decorrentes da convivência de plataformas distintas.
5. Ilusão de segurança — há risco de que a conformidade documental seja confundida com segurança real. Normas podem criar sensação artificial de controle, mas, sem treinamento, recursos e auditoria permanente, a proteção contra ataques ou vazamentos pode não se materializar.

Conclusão

Os recentes comandos normativos colocam o município do Rio em posição de destaque ao regulamentar, de forma ampla, a segurança da informação. Consolidam regras que cobrem desde o uso de senhas até a proteção física de datacenters. Funcionam, ao mesmo tempo, como marco regulatório e como símbolo de um período de sucessivas adaptações institucionais, no qual processos físicos dão lugar ao Processo.rio, o e-mail corporativo se firma como instrumento oficial e já se anuncia a migração da plataforma processual (Processo.rio) para o SEI.

Contudo, a efetividade dependerá de mais do que decretos: será preciso investir em capacitação, recursos tecnológicos e cultura organizacional. O episódio de 2022 permanece como alerta de que a distância entre regulamentação e prática é grande.

Assim, o movimento carioca deve ser reconhecido como avanço, mas não pode ser visto como ponto de chegada. Segurança da informação é uma construção permanente — técnica, jurídica e cultural — que se mede no cotidiano e na confiança do cidadão nos serviços públicos.

Referências

• RIO DE JANEIRO (Município). Decreto n. 53.700, de 8 de dezembro de 2023. Institui a Política de Segurança da Informação (PSI) no âmbito do Poder Executivo Municipal, e dá outras providências. Diário Oficial do Município, Rio de Janeiro, RJ, 11 de dezembro de 2023, p. 3–4. 
• RIO DE JANEIRO (Município). Decreto n. 56.641, de 2025. Estabelece norma para a Proteção contra Códigos Maliciosos no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.642, de 2025. Estabelece norma para o Uso da Internet no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.643, de 2025. Estabelece norma para Uso do Correio Eletrônico no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.644, de 2025. Estabelece norma para Criação e Manutenção de Senhas de Acesso a Ativos Tecnológicos no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.645, de 2025. Estabelece norma de Segurança em Redes sem Fio no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.646, de 2025. Estabelece a norma de Segurança para Utilização de Solução de Computação em Nuvem no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.647, de 2025. Estabelece a norma sobre Cópia de Segurança (backup) e Recuperação de Dados (restore) no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.648, de 2025. Estabelece a norma para Segurança Física dos Ambientes de Processamento de Informação da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.
• RIO DE JANEIRO (Município). Decreto n. 56.649, de 2025. Regulamenta a norma de Controle de Acesso aos Ativos Tecnológicos no âmbito da Administração Pública Municipal. Diário Oficial do Município, Rio de Janeiro, RJ, 25 de agosto de 2025, p. 3–14.

*Os artigos aqui divulgados são enviados pelos redatores voluntários da plataforma. Assim, o Radar IBEGESP não se responsabiliza por nenhuma opinião pessoal aqui emitida, sendo o conteúdo de inteira responsabilidade dos autores da publicação.

Autoria: Sérgio Ricardo Lustosa é advogado especialista em Gestão Pública. Atua na administração municipal do Rio de Janeiro com foco em contratações, governança e políticas públicas. Membro dos grupos de pesquisa IDARJ, GEDAC/CEEJ e GEDA.RP/USP, com ênfase em Direito Administrativo.