Parte da frente B2G da vWare — comece pelo panorama do setor público.

O que um órgão público precisa proteger

Um órgão público não protege apenas os seus computadores. Protege bases com dados pessoais de cidadãos — cadastro, folha de pagamento, saúde, tributação, processos administrativos — e protege a continuidade de serviços que a população usa todos os dias. Quando um desses ambientes para, o efeito não é só financeiro: é interrupção de serviço essencial e exposição do gestor.

É por isso que a compra de segurança no setor público começa por uma pergunta diferente da que se faz na iniciativa privada. No setor privado pergunta-se qual produto protege melhor. No setor público a pergunta útil é: quais serviços precisam continuar funcionando mesmo durante um incidente, e o que é necessário para que isso aconteça?

A resposta raramente é um único produto. É um conjunto de camadas com donos definidos, e cada camada tem um papel específico na hora em que algo dá errado.

Ransomware e o serviço que não pode parar

O cenário mais caro no setor público não é o vazamento: é o sistema de gestão, o protocolo ou o portal do cidadão indisponível por dias. Ransomware criptografa o servidor de arquivos durante a madrugada e o órgão descobre o problema quando o setor de atendimento abre. A partir daí, cada hora de parada vira fila, reclamação e cobrança do controle externo.

Nesse cenário, três perguntas definem o prejuízo. A primeira: existe cópia íntegra e fora do alcance do atacante? A segunda: alguém já testou a restauração, ou a cópia nunca foi aberta? A terceira: existe plano de resposta escrito, com quem decide o que e em qual ordem? Quando qualquer uma dessas respostas é negativa, o órgão não está protegido — está apenas torcendo.

A própria Lei nº 14.133/2021 reconhece a continuidade do serviço público como razão para contratação emergencial, na hipótese de dispensa do inciso VIII do art. 75. Comprar no susto, por emergência, é a forma mais cara de contratar: sem disputa, sem comparação e com o objeto definido às pressas. Planejar a proteção antes é decisão financeira, não apenas técnica.

O que cada camada resolve — e onde ela falha

Nenhuma camada resolve tudo. A tabela abaixo descreve o limite de cada uma, que é a informação mais útil para montar o termo de referência sem prometer resultado que o produto não entrega.

Camada	O que resolve	Onde falha sozinha
Endpoint gerenciado	Detecta e bloqueia ameaça conhecida, aplica política por grupo e permite isolar a máquina em quarentena de rede	Não devolve arquivo criptografado, não cobre o que roda fora do dispositivo e depende de alguém operando o console
Identidade e e-mail	Reduz o uso de credencial vazada, filtra anexo e link malicioso e dá registro de acesso	Não protege o servidor de arquivos nem substitui política de privilégio mínimo
Backup imutável	Devolve o dado depois do incidente, desde que a cópia esteja fora do alcance do atacante	Sem teste de restauração, é promessa. Backup montado como unidade de rede é copiado junto
Vulnerabilidades e patches	Fecha a porta que o atacante usou, inclusive em sistema legado, com janela e registro	Depende de inventário; sem lista de ativos, a correção chega no lugar errado
Monitoramento e resposta	Transforma telemetria em ação, com responsável e prazo acordados para cada tipo de alerta	Sem equipe ou serviço que leia o alerta, gera evento e nenhuma resposta

LGPD no setor público: quem responde é o órgão

Na Lei nº 13.709/2018 (LGPD), o órgão público é controlador dos dados pessoais que trata. Isso significa que a decisão sobre finalidade, base legal e tempo de guarda é dele, e que a responsabilidade por incidente também. O fornecedor de tecnologia entra como operador, tratando dados dentro do que o contrato autoriza.

Três frentes concretas decorrem disso. A primeira é saber onde estão os dados pessoais: cadastro de munícipes, folha, saúde, tributação, processos. Sem inventário de tratamento, não existe resposta a incidente — ninguém sabe o que precisa ser comunicado. A segunda é proteger esse dado no repouso e no trânsito, o que passa por backup criptografado e controle de acesso. A terceira é ter o plano de resposta escrito, com o caminho de comunicação à autoridade competente e aos titulares afetados.

A LGPD exige comunicação do incidente em prazo razoável, com avaliação de risco, e não fixa um número de horas. Por isso o plano do órgão precisa definir internamente quem aciona quem, e não improvisar quando o evento acontece.

Sistemas legados e gestão de vulnerabilidades

Boa parte dos incidentes no setor público começa em um sistema que não pode ser atualizado: aplicação de gestão fora de suporte, servidor com sistema operacional antigo, serviço exposto sem controle de acesso. Atualizar tudo nem sempre é possível — mas deixar sem nenhum controle também não é uma escolha aceitável.

A gestão de vulnerabilidades trabalha justamente nesse intervalo. Primeiro, inventário de ativos: o que existe, onde está e quem responde. Depois, identificação de falhas conhecidas e classificação por exploração real, não por nota genérica. Em seguida, correção onde é possível e compensação onde não é: segmentação de rede, restrição de acesso, regra de firewall e monitoramento específico naquele serviço. O que não pode acontecer é exposição sem ninguém olhando.

Como estruturar a contratação sem comprar por susto

O que não prometemos

Não prometemos tempo de resposta de fabricante, não inventamos número de SLA e não garantimos que um incidente não vai acontecer. Também não afirmamos atendimento a este ou àquele órgão sem autorização escrita de uso do nome. O que a operação sustenta é o resto: cotação em distribuidor oficial credenciado, especificação técnica aderente ao termo de referência, implantação com escopo escrito e registro da licença em nome do órgão.

Perguntas frequentes

Qual o conjunto mínimo de proteção para uma prefeitura de porte médio?

O conjunto típico combina endpoint gerenciado nas estações de atendimento e nos servidores, proteção de identidade e e-mail, backup imutável dos sistemas de gestão e monitoramento com resposta definida. O dimensionamento depende do inventário: quantidade de ativos, servidores expostos e tempo máximo de interrupção tolerado por serviço.

O órgão é controlador ou operador dos dados na LGPD?

O órgão público é controlador dos dados pessoais que trata. O fornecedor de tecnologia atua como operador, dentro do que o contrato autoriza. Por isso o contrato precisa dizer finalidade, escopo de acesso, prazo de retenção e o que acontece com os dados no encerramento.

A vWare fornece para órgão público?

Sim. A operação é de revenda de valor agregado: a compra é feita em distribuidor oficial credenciado e a venda é feita para o órgão, com nota fiscal, descrição técnica do objeto e registro da licença em nome do órgão — o que sustenta a comprovação de titularidade em auditoria.

Licença de varejo serve para o órgão?

Não para uso institucional. Licença de varejo é destinada a uso pessoal e não inclui console central, política por grupo nem relatório consolidado. Reaproveitar licença de varejo em ambiente público contraria os termos do fabricante e vira exposição na auditoria.

Dá para usar software livre e reduzir custo?

Em alguns casos, sim — mas a avaliação não é só de preço. Trocar uma suíte por alternativa livre envolve migração, treinamento, suporte próprio e compatibilidade com sistemas do órgão. A decisão é técnica e econômica, e o custo total costuma estar na operação, não na licença.

Próximo passo: envie o inventário que o órgão já tem — ativos, sistemas e o que não pode parar — e receba a especificação por camada, com a unidade de contagem correta e a cotação em distribuidor oficial.