Nesta seção são disponibilizados os materiais de apoio do iSegTI:

• Manual de Controles de Segurança: Web, E-mail e DNS — guia prático elaborado para apoiar gestores públicos, equipes de TI e responsáveis por domínios institucionais na compreensão e implementação dos controles verificados pela plataforma TOP do NIC.br. Para cada controle, o manual explica o que é, como é verificado, quais os riscos de sua ausência, e apresenta orientações de implementação e estimativas de custo e benefício, além de glossário de termos técnicos.

Manual de Controles de Segurança: Web, E-mail e DNS
Guia prático elaborado para apoiar gestores públicos, equipes de TI e responsáveis por domínios institucionais na compreensão e implementação dos controles verificados pela plataforma TOP do NIC.br. Para cada controle, o manual explica o que é, como é verificado, quais os riscos de sua ausência, e apresenta orientações de implementação e estimativas de custo e benefício, além de glossário de termos técnicos.	PDF	WEB

Dúvidas, sugestões e solicitações relacionadas ao iSegTI podem ser encaminhadas para o e-mail Este endereço de email está sendo protegido de spambots. Você precisa do JavaScript ativado para vê-lo., canal oficial da equipe responsável pela iniciativa na Gerência de Fiscalização de Tecnologia da Informação (GATI) do TCE-PE.

Participam do iSegTI todas as unidades jurisdicionadas (UJs) do Estado de Pernambuco — órgãos e entidades das esferas estadual e municipal, abrangendo os Poderes Executivo, Legislativo e Judiciário, o Ministério Público, a Defensoria Pública e o próprio Tribunal de Contas, incluindo administração direta e indireta (autarquias, fundações, empresas públicas e fundos).

Diferentemente de levantamentos baseados em questionários de autoavaliação, o iSegTI não exige preenchimento de formulários: as avaliações são realizadas de forma automatizada e externa sobre os domínios institucionais informados no Sistema de Cadastro de Unidades Jurisdicionadas do TCE-PE. Assim, toda UJ com domínio web ou de e-mail cadastrado é automaticamente contemplada nas avaliações.

A principal contribuição esperada de cada organização participante é manter seus dados cadastrais atualizados no TCE-PE — em especial os endereços de site e de e-mail institucionais — e atuar sobre as fragilidades apontadas em seu relatório individual. O Sistema de Cadastro de Unidades Jurisdicionadas pode ser acessado através do link: https://portal.tce.pe.gov.br/cadastroujpublico/

Por se tratar de tema de segurança da informação, os resultados individuais do iSegTI não são objeto de divulgação ampla. A publicação detalhada das fragilidades de cada organização poderia servir de insumo para agentes maliciosos, ampliando justamente os riscos que a iniciativa busca mitigar.

Por essa razão, cada unidade jurisdicionada avaliada recebe, de forma individual e por canal institucional, o seu Relatório Individual de Auditoria, contendo: o resultado de cada controle avaliado em seus domínios web e de e-mail; a comparação de seu desempenho com o das demais organizações da mesma esfera (estadual ou municipal) e com o total avaliado; e as orientações para correção das fragilidades identificadas, com apoio do Manual de Controles de Segurança.

Os resultados consolidados do levantamento, sem identificação individual das organizações, poderão ser utilizados pelo TCE-PE para subsidiar ações de fiscalização, orientação e capacitação, bem como para acompanhar a evolução da maturidade em segurança cibernética do setor público pernambucano ao longo do tempo.

Caso sua organização não tenha recebido o relatório individual ou deseje esclarecimentos sobre seu conteúdo, entre em contato pelo e-mail indicado na seção Contato.

As avaliações do iSegTI são realizadas por meio da ferramenta TOP (Teste os Padrões), desenvolvida e mantida pelo Núcleo de Informação e Coordenação do Ponto BR (NIC.br), entidade responsável pelo registro de domínios ".br" e pela operação de infraestruturas críticas da internet brasileira. A ferramenta é pública e gratuita, e qualquer pessoa pode testar um domínio a qualquer momento em top.nic.br.

Os testes são não intrusivos e completamente externos, ou seja, executados sem qualquer acesso privilegiado ao ambiente da organização avaliada, a partir de consultas e conexões que qualquer usuário da internet poderia realizar. Baseiam-se em padrões técnicos definidos em documentos normativos amplamente reconhecidos, como as RFCs (Request for Comments — especificações técnicas da internet publicadas pela IETF, a Internet Engineering Task Force) [https://www.rfc-editor.org] e [https://www.ietf.org], as normas do NIST (National Institute of Standards and Technology — Instituto Nacional de Padrões e Tecnologia dos Estados Unidos) [https://csrc.nist.gov] e as diretrizes da OWASP (Open Worldwide Application Security Project — fundação sem fins lucrativos dedicada a melhorar a segurança de softwares) [https://owasp.org], entre outros.

Para cada controle avaliado, o resultado é objetivo: sucesso, quando o controle passou no teste automatizado e está bem configurado; ou falha, quando o controle pode estar ausente, mal configurado ou sem confirmação, merecendo atenção da equipe técnica.

Importante: os testes consistem em avaliações de conformidade com padrões técnicos e boas práticas de operação da internet, não se configurando como testes de intrusão nem como avaliações completas de segurança da informação. Os resultados não permitem concluir, isoladamente, que um serviço seja totalmente seguro ou inseguro, mas indicam o grau de aderência a controles técnicos mínimos recomendados, a partir do estado de configuração observado no momento da execução dos testes.

O objetivo do iSegTI não é comparar organizações nem expor fragilidades, mas induzir a melhoria contínua da segurança dos serviços públicos digitais. Ao receber seu relatório individual, recomenda-se que a organização adote o seguinte caminho:

• Verificar as falhas: conferir os controles apontados como ausentes ou mal configurados no relatório;
• Compreender o risco: localizar o controle correspondente no Manual de Controles de Segurança (disponível na seção Downloads) para compreender o risco associado e as orientações de correção;
• Priorizar as ações: começar pelos itens que mais expõem o cidadão e os serviços essenciais, considerando as estimativas de custo e benefício apresentadas no manual e a capacidade técnica e operacional da organização;
• Acionar a equipe técnica: envolver a equipe de TI ou o prestador de serviço para corrigir as configurações apontadas;
• Retestar o domínio: após a implementação das correções, repetir os testes em top.nic.br para confirmar a conformidade.

A maioria dos controles avaliados tem custo financeiro nulo ou baixo: muitos se resumem a ajustes de configuração em sistemas já existentes, sem necessidade de aquisição de produtos, licenças ou infraestrutura adicional. Os maiores custos são, em geral, operacionais (conhecimento técnico qualificado e atenção contínua), amplamente superados pelos benefícios obtidos, considerando que os ataques mitigados por esses controles podem causar danos financeiros, reputacionais e operacionais de grande magnitude às organizações públicas e aos cidadãos que dependem de seus serviços.

A maioria dos serviços públicos é hoje ofertada por meios digitais. Com isso, a indisponibilidade de portais, sistemas e canais de comunicação oficiais deixou de ser um inconveniente pontual e passou a ter impacto direto na vida do cidadão, que depende desses serviços para exercer direitos, cumprir obrigações e acessar políticas públicas.

Ataques cibernéticos que interrompem esses serviços geram prejuízos administrativos, financeiros e reputacionais relevantes. E o risco é sistêmico: como as organizações públicas mantêm conexões e integrações entre si, vulnerabilidades em uma organização podem servir de porta de entrada para ataques a todo o ecossistema governamental, o que torna essencial a adoção de controles técnicos mínimos por todas as organizações, independentemente de porte ou esfera.

A boa notícia: grande parte das vulnerabilidades decorre de falhas de configuração que podem ser corrigidas sem custos elevados. O principal obstáculo não é o custo, mas a identificação do  problema e a escolha da melhor solução. E é exatamente esse obstáculo que o iSegTI se propõe a remover com o material orientativo disponibilizado nesta página.

O iSegTI avalia a adoção de controles técnicos mínimos de segurança da informação nos serviços expostos à internet associados aos domínios institucionais das organizações participantes. Os controles são organizados em grupos, cada um reunindo mecanismos relacionados a um mesmo objetivo de segurança:

• DNSSEC — autenticidade e integridade das respostas DNS, protegendo o cidadão contra redirecionamentos para sites falsos (envenenamento de cache e sequestro de domínio);
• Conexão segura (HTTPS) — disponibilidade de acesso criptografado ao sítio institucional, redirecionamento automático para HTTPS e mecanismos complementares, como o HSTS;
• Parâmetros de criptografia (TLS) — robustez da configuração do protocolo de criptografia: versões, algoritmos e parâmetros de troca de chaves;
• Certificados digitais — validade, cadeia de confiança e correspondência dos certificados que autenticam a identidade dos servidores;
• Cabeçalhos de Segurança HTTP — proteções adicionais no navegador do usuário contra ataques como clickjacking e injeção de conteúdo;
• Proteção contra phishing (SPF, DKIM e DMARC) — mecanismos de autenticação do e-mail que dificultam a falsificação de mensagens em nome da instituição;
• DANE e STARTTLS — criptografia e autenticação no transporte de mensagens de correio eletrônico;
• Modernização de endereçamento (IPv6) — suporte ao protocolo IPv6 em toda a cadeia de serviços do domínio;
• Governança do e-mail institucional — utilização de domínio de e-mail institucional próprio, em substituição a contas em provedores públicos (como Gmail e Hotmail), assegurando a autenticidade, a rastreabilidade e a continuidade das comunicações oficiais.

Os grupos podem abranger tanto os serviços web quanto os de correio eletrônico, dependendo do tipo de controle avaliado. Trata-se de controles que estão ao alcance de qualquer organização com domínio institucional, independentemente do tamanho ou orçamento, podem ser verificados externamente e produzem impacto imediato e mensurável na segurança dos usuários e dos serviços.

O iSegTI é uma iniciativa do Tribunal de Contas do Estado de Pernambuco (TCE-PE) voltada à avaliação e ao fortalecimento da segurança da informação e da segurança cibernética nas organizações públicas do Estado de Pernambuco e de seus Municípios.

Por meio do iSegTI, o TCE-PE verifica se os órgãos e entidades jurisdicionados adotam controles técnicos mínimos de segurança em seus serviços digitais expostos à internet — sítios institucionais (web), correio eletrônico (e-mail) e resolução de nomes de domínio (DNS). Esses três serviços formam a base da presença digital de qualquer organização pública: o site é a porta de entrada do cidadão para serviços e informações; o e-mail é o canal de comunicação oficial em nome da instituição; e o DNS é o "GPS" da internet, que leva o cidadão ao endereço certo.

A iniciativa foi inspirada na fiscalização dos controles de segurança dos servidores Web, E-mail e DNS realizada pelo Tribunal de Contas da União (TCU) em 2023 (Acórdão nº 523/2024-TCU-Plenário), que evidenciou que falhas de configuração nesses serviços constituem vetores recorrentes de incidentes cibernéticos no setor público brasileiro. Como os resultados do TCU foram divulgados apenas de forma agregada nacional, o TCE-PE deliberou pela realização de trabalho próprio, aplicando abordagem semelhante aos domínios e serviços digitais das organizações sujeitas à sua jurisdição, com o objetivo de produzir diagnóstico específico, aderente à realidade do Estado de Pernambuco e de seus Municípios.

O primeiro ciclo do iSegTI foi executado em dezembro de 2025, com a avaliação de 531 domínios web e 199 domínios de e-mail institucionais. O levantamento tem caráter eminentemente preventivo e orientador, buscando reduzir a superfície de ataque dos ambientes públicos antes da ocorrência de incidentes de maior gravidade e oferecendo às organizações um diagnóstico objetivo e orientações práticas de correção.

Como apoio às organizações avaliadas, o TCE-PE disponibiliza o Manual de Controles de Segurança: Web, E-mail e DNS, que explica cada controle avaliado, seus riscos e como implementá-lo. O manual pode ser encontrado na seção Downloads.