Resumo

  • A auditoria de 28 de outubro de 2026 constatou que a diretoria do Federal Reserve faz testes de contingência semestrais e mantém planos de continuidade por divisão, mas não elaborou planos completos para recuperar cada sistema de informação, com todos os passos técnicos exigidos.
  • A área de inteligência, riscos internos e segurança nacional cuida das análises de impacto e dos processos de negócio; a divisão de tecnologia cuida da contingência técnica. Falta uma política comum para coordenar e atualizar os registros. A maioria das análises de impacto não era atualizada desde 2023 ou antes.
  • O programa de segurança ficou no nível de maturidade 2 de 5, abaixo do nível 4 considerado eficaz pelos critérios federais. Mudanças no método de pontuação e na inclusão de governança afetam a comparação histórica. Das 17 recomendações antigas, 13 permaneciam abertas; a diretoria aceitou oito novas.

O exercício tem uma escala; a restauração tem outra

O relatório oficial do inspetor-geral, publicado em 28 de outubro de 2026, examina o Board of Governors, que usa informações financeiras e de supervisão sensíveis. Não avalia todos os bancos regionais do Federal Reserve. O achado de recuperação começa com um reconhecimento: a diretoria não está parada. Ela realiza testes periódicos e guarda planos de continuidade de suas divisões. Falta, porém, a documentação exigida para restabelecer sistemas de informação um a um.

Uma divisão descreve o trabalho essencial. O plano de um sistema precisa estabelecer prioridade de restauração, ponto de recuperação dos dados, processamento alternativo, exigências de teste e procedimentos técnicos que devolvam o serviço. Os auditores não encontraram esses componentes reunidos em planos individuais. Um funcionário disse que as informações estavam nos planos de segurança dos sistemas. O OIG verificou e concluiu que os passos específicos de recuperação não estavam lá.

É possível cumprir o calendário de exercícios e deixar essa decisão para a pior hora. Um simulado de escritório pode mostrar que as pessoas sabem a quem telefonar. Não define, por si só, qual versão de uma aplicação deve ser restaurada nem qual dependência vem antes. O custo da frase “temos um plano” aparece quando alguém procura o nome do sistema e encontra apenas o nome da divisão.

Duas equipes, dois relógios

As análises de impacto sobre o negócio e de seus processos, além do planejamento de continuidade, ficam com a área de Intelligence, Insider Risk, and National Security Programs, conhecida como IINS. A Division of IT administra a contingência técnica. O inspetor-geral não encontrou regras que digam como essas duas áreas devem ajustar prioridades, atribuir responsabilidades conjuntas e revisar seus documentos em conjunto.

O desencontro tem datas. A maioria das análises de impacto não recebia atualização desde 2023 ou antes; mais da metade das análises de processos, desde 2024 ou antes. Algumas análises de processos revisadas em 2025 sequer foram refletidas nas análises de impacto correspondentes. Quem recebe uma prioridade nova pode estar executando um procedimento antigo. Quem conhece a capacidade técnica pode estar olhando uma função que já mudou. Uma interrupção força essas versões a competir pelo mesmo tempo.

Por isso, o OIG afirma que a diretoria tem segurança limitada de conseguir recuperar sistemas críticos de maneira consistente e oportuna. O relatório descreve uma exposição de gestão; não relata um sistema específico que falhou em uma crise. A responsabilidade a definir é quem compara o prazo exigido pelo negócio com o prazo e o procedimento que a tecnologia consegue demonstrar.

O inventário de sistemas também enfraquece essa comparação. De 32 campos exigidos pelo padrão interno, faltavam 10, entre eles tipo de informação, limite de autorização, responsável pelo sistema e tipo de serviço em nuvem. Alguns sistemas com dados pessoais ou funções essenciais estavam classificados incorretamente, e outros apareciam numa ferramenta de conformidade, mas não no inventário principal. São dez campos ausentes, não dez sistemas perdidos. Um plano de recuperação depende de saber o que existe e quem responde por cada parte.

A nota 2 mede maturidade, não a restauração de um sistema

Segundo a síntese oficial da auditoria, o programa de segurança da diretoria ficou no nível 2 de uma escala de 5: definido, mas não aplicado de forma consistente. O padrão federal considera eficaz o nível 4, quando os controles são geridos e mensuráveis. A pontuação foi 4 em 2024 e 3 em 2025. Não se deve traçar uma linha de declínio puro entre esses números: o cálculo passou da nota mais frequente à média, a governança de cibersegurança tornou-se uma área de avaliação e novas fragilidades foram identificadas. O nível atual importa; a comparação entre anos exige ler o método.

Há outra sequência mais direta. Treze das 17 recomendações herdadas das auditorias anuais anteriores continuavam abertas, enquanto quatro foram encerradas após ações da diretoria. O relatório traz oito novas recomendações sobre governança de TI, inventário, exceções de autenticação, vulnerabilidades, monitoramento, continuidade e contratos de serviços em nuvem. O diretor de tecnologia e o diretor financeiro concordaram com as conclusões e apresentaram medidas planejadas. A concordância dá nome ao trabalho, não o conclui.

Uma recomendação exige que IINS e tecnologia alinhem análises de impacto e processos à capacidade técnica e criem política para planos por sistema. O próximo comprovante deve trazer análises datadas e compatíveis, inventário com responsáveis, objetivos de recuperação e resultados de testes. A diretoria já tem ferramentas e exercícios. O seu desafio é mostrar que cada função importante chega a um sistema identificável e a uma sequência capaz de trazê-lo de volta.

Fontes