Summary

  • A auditoria do inspetor-geral de 28 de outubro de 2026 constatou que cerca de 97% dos usuários de um grupo interno de TI estavam dispensados da autenticação multifator resistente a phishing em certos aplicativos. O percentual não descreve toda a Junta da Reserva Federal nem todos os acessos desses usuários.
  • A Junta não mantinha acompanhamento central das exceções. Gestores não conseguiam explicar rapidamente alguns motivos, enquanto a divisão central de TI não via a idade nem o vencimento das dispensas. O inspetor pediu política para toda a instituição e revisão da população isenta.

A exceção ganhou rotina antes de ganhar dono

A Junta aplica autenticação resistente a phishing. O relatório completo mostra que as saídas dessa regra eram administradas por grupos diferentes, em divisões diferentes. Um grupo interno chegou a cerca de 97% de usuários dispensados para determinados aplicativos. A auditoria não diz que essas pessoas entravam em todos os sistemas sem segundo fator. Ela pergunta algo mais concreto: quem autorizou a dispensa da forma mais resistente, por qual razão e até quando?

A divisão central de TI não tinha uma visão comum da duração das exceções. A administração não podia justificar prontamente parte delas. Quando uma dispensa alcança quase todos dentro de seu recorte, o nome “exceção” já não descreve a prática cotidiana. O papel promete uma regra; o trabalho diário usa outra.

O problema não se limitava à autenticação. Um grupo interno que atendia várias divisões seguia procedimentos próprios para vulnerabilidades. Sua política deixava ao critério local avisar o responsável pela segurança da informação, enquanto a regra geral exigia escalonamento obrigatório. O inventário de sistemas da Junta omitia dez dos 32 tipos de campos exigidos, entre eles dono do sistema e limite de autorização. São tipos de campos, não dez sistemas perdidos. A liderança não decide prioridade com segurança se a exceção e o sistema chegam sem endereço.

A auditoria classificou o programa de segurança de 2026 no nível 2 de cinco, abaixo do nível 4 considerado eficaz. O nível tinha sido 3 em 2025 e 4 em 2024. O inspetor atribui a queda tanto a falhas verificadas quanto à metodologia de cálculo e ao peso da governança; a escala não mede uma sequência de invasões. Treze de 17 recomendações de auditorias anuais anteriores continuavam abertas. A Junta concordou com oito novas recomendações, inclusive a gestão das exceções. Concordar não informa quais dispensas foram encerradas.

Sources