Summary

  • Em setembro de 2026, quinze dos 22 órgãos civis federais analisados pelo GAO haviam estabelecido inventários de dispositivos de IoT e tecnologia operacional conectados. Onze mantinham os registros, dez incluíam todas as oito categorias obrigatórias de informação, e sete cumpriam as três condições juntas.
  • O HUD disse que uma ferramenta nova encontrou mais de 160 dispositivos IoT ausentes da base antiga. Comércio e Justiça tinham os campos exigidos, mas não atualizavam regularmente seus inventários em toda a organização. O Office of Management and Budget (OMB) ainda não havia publicado orientação atualizada para o exercício de 2026 nem supervisionado a implementação com prazo definido.

O aparelho entra na rede antes de entrar na lista

O relatório do GAO de 30 de setembro de 2026 trata de equipamentos conectados que atuam no ambiente físico: sensores, controles prediais e aparelhos especializados em laboratórios e instalações de saúde. Para protegê-los, uma agência precisa saber que existem, quem responde por eles, qual versão do software utilizam e a quais sistemas se ligam. O OMB fixou exigências em dezembro de 2023 e as atualizou em janeiro de 2025. Os órgãos civis cobertos deveriam concluir inventários iniciais de toda a organização até setembro de 2024 e mantê-los depois.

Em setembro de 2026, sete dos 22 órgãos ainda elaboravam sua primeira lista. Quinze possuíam uma; onze a mantinham; dez registravam as oito categorias de dados requeridas para cada ativo. Sete tinham realizado os três trabalhos. Essas medidas se cruzam. A existência de uma planilha inicial não garante que ela acompanha instalações e retiradas. A rotina de atualização também perde valor quando os campos indispensáveis estão vazios.

As oito categorias são identificação, descrição e classificação do ativo, proprietário do sistema ou responsável por segurança, fabricante, versões de software e firmware, conexões de rede e interfaces, e controles de proteção. Sem responsável, não se sabe a quem encaminhar uma decisão. Sem versão, fica difícil ligar uma falha conhecida ao aparelho certo. Sem conectividade, parte do caminho até outros sistemas some do mapa. O inventário organiza a capacidade de agir, não apenas a contagem de equipamentos.

O HUD mostrou o efeito de trocar a ferramenta de descoberta. Seus dirigentes disseram que o novo sistema de gestão de ativos de hardware identificou mais de 160 dispositivos IoT ignorados pelo legado. O departamento ainda implantava a solução para um inventário geral e não tinha data de conclusão. O relatório registra equipamentos descobertos, não invasões nesses equipamentos. A diferença entre os dois sistemas mostra quantos objetos uma instituição podia deixar fora da própria visão.

Campos completos também envelhecem

O Departamento do Comércio incluiu as oito categorias no inventário inicial, mas cada unidade cuidava da manutenção local, e a lista geral não era atualizada de modo recorrente. O Departamento da Justiça também reunia todos os dados exigidos sem manter o registro periodicamente; atribuiu o problema à troca de funcionários e à falta de recursos. A primeira captura pode ser boa e ainda assim deixar de acompanhar um novo sensor, uma atualização ou uma retirada.

Em outros órgãos, faltava o conteúdo. Transportes havia criado o inventário e planejado mantê-lo, mas só duas categorias estavam completas, uma parcial e cinco ausentes. O Tesouro tinha lista inicial sem nenhuma das oito categorias e não a atualizava regularmente. Energia preenchia quatro categorias, uma em parte e deixava três vazias; seus funcionários disseram que algumas informações foram removidas por baixa utilidade ou sensibilidade. Descobrir, atualizar, qualificar dados e proteger detalhes sensíveis exigem respostas diferentes.

O documento oficial completo também identifica sete órgãos que cumpriram tudo, entre eles Educação, Segurança Interna, Estado, EPA, General Services Administration, NASA e OPM. A NASA relatou que ferramentas automáticas não distinguem de forma confiável TI, IoT e tecnologia operacional, e consultas ativas podem interromper equipamentos sensíveis. Cumprir a regra exige uma forma de descoberta adequada ao ambiente físico.

Nenhum dos 22 órgãos informou uma dispensa das regras federais de segurança cibernética para IoT. Esse é o histórico de dispensas informado. Um equipamento ainda desconhecido não chega nem ao ponto em que uma exceção formal poderia ser examinada.

OMB controla o calendário que faltou

O GAO constatou que OMB não havia emitido orientação atualizada para o exercício de 2026 nem supervisionado a execução dos inventários dentro de um prazo estabelecido. Os órgãos citaram limites técnicos, equipes insuficientes e outras prioridades. A direção central decide o peso do trabalho e quando deverá cobrar resultados; os órgãos organizam pessoas e sistemas. Sem uma verificação datada, a lista pode permanecer como projeto aberto enquanto aparelhos novos continuam a ser instalados.

O GAO apresentou uma recomendação: OMB deve atualizar suas instruções para IoT e tecnologia operacional, estabelecer prioridade e cronograma claros e acompanhar a implementação. OMB não comentou a minuta do relatório. Uma diretriz com data e provas verificáveis de registros mantidos mudariam a avaliação. A nota de Heng Lu sobre olhar para a operação por trás do relato institucional orienta a pergunta editorial; os dados sobre órgãos federais vêm do GAO.

Sources