Resumo

  • Das dez áreas de controle cibernético definidas pelo HHS para o 988, três constavam do acordo federal de 2026 e sete do acordo da administradora com os centros.
  • Nos doze processos examinados pelo GAO, nenhum centro entregou os três documentos de segurança até o prazo. Cinco continuavam incompletos em março de 2026.

O número de telefone é simples justamente porque a operação não é. Nos Estados Unidos, o 988 recebe pedidos de ajuda por voz, mensagem e chat. Uma agência federal supervisiona o programa; uma administradora coordena a rede; empresas de comunicação encaminham contatos; cerca de 218 centros independentes fazem o atendimento. A pergunta da Government Accountability Office foi direta: quando a segurança falha em um elo, o requisito que deveria protegê-lo estava escrito no contrato certo e foi verificado a tempo?

Em dezembro de 2022, um ataque de ransomware contra infraestrutura essencial provocou interrupção nacional por várias horas. Em janeiro de 2026, o serviço processou 428 mil chamadas. Há rotas de apoio para quando um centro local fica indisponível, mas a capacidade de encaminhar e retomar contatos depende de sistemas e pessoas distribuídos. O risco de continuidade não cabe no organograma de uma só instituição.

O Departamento de Saúde e Serviços Humanos definiu dez áreas de controle cibernético. A auditoria encontrou apenas três no acordo de cooperação federal do ano fiscal de 2026 com a administradora e sete no acordo de rede da administradora com os centros. São contagens de cláusulas, não uma nota de segurança do sistema inteiro. Seu peso está no caminho da autoridade. Uma regra fora do acordo de quem deve cumpri-la fica sem prazo contratual, responsável definido e prova exigível.

Autoridades federais disseram que não têm poder para impor todos os controles diretamente a sistemas não federais. A administradora, porém, pode incluí-los como condição de participação dos centros. O governo desenha a norma; o intermediário segura a porta de entrada; organizações locais pagam e executam. Se os termos de uma etapa forem menores que os da anterior, a segurança perde força no percurso.

O problema aparece até onde a papelada já era obrigatória. O GAO examinou doze listas de conformidade. Nenhum dos doze centros enviou os três documentos de segurança até o vencimento. Sete os remeteram depois; cinco ainda não tinham completado a entrega em março de 2026. Doze listas não permitem calcular o comportamento de todos os centros. Permitem afirmar que aquele procedimento de fiscalização, nos casos examinados, chegou ao momento de revisão sem as provas necessárias.

A auditoria testou ainda controles selecionados na administradora e em dez centros de uma amostra não generalizável. O controle de monitoramento contínuo examinado estava plenamente implementado. A administradora não havia adotado a orientação atualizada de senhas e cumpria apenas parte dos controles de contingência selecionados. Nos centros, resposta a incidentes e planejamento de contingência foram parcialmente implementados. Um painel que detecta problemas não substitui um plano ensaiado para manter conversas em andamento.

A estrutura local varia. Em março de 2026, 104 centros usavam a plataforma unificada oferecida pela administradora; outros mantinham seus próprios sistemas. Todos utilizavam um portal comum para trocar documentos. Alguns têm equipe especializada; outros operam com menos de vinte trabalhadores parciais ou voluntários. Uma exigência uniforme pode ser útil, mas sua verificação precisa enxergar condições de implementação diferentes.

A sanção é o nó político. Segundo as autoridades ouvidas pelo GAO, a participação é voluntária e a principal resposta ao descumprimento é retirar o centro da rede. As mesmas autoridades disseram que a retirada enfraqueceria o 988 e os serviços estaduais. O supervisor, portanto, pode ter de escolher entre aplicar a regra e manter postos de atendimento. A auditoria recomenda dez ações, incluindo completar ambos os acordos, fazer funcionar as listas de conformidade, atualizar regras de senha e exigir planos e testes de resposta. O HHS concordou.

Uma declaração de concordância não repõe uma chamada perdida. O que mudará a avaliação é a próxima versão assinada dos acordos, os comprovantes enviados dentro do prazo e exercícios de recuperação com resultado. O GAO observou dez centros em sua análise de controles; não há base ali para estimar quantos resistiriam a um ataque em toda a rede. A informação que falta é exatamente a que um serviço nacional deveria conseguir reunir antes da próxima pane.

Fontes