Segurança da informação RPPS: dicas práticas

A segurança da informação RPPS não começa no data center. Ela aparece no atendimento ao segurado, no processo de aposentadoria, na planilha compartilhada com o ente, no e-mail do conselho e no acesso concedido ao prestador de serviço. Quem dirige um Instituto sabe que um cadastro alterado sem trilha, uma senha emprestada ou um backup que nunca foi testado podem interromper o pagamento e expor dados de servidores, aposentados e pensionistas.

Este artigo reúne dicas práticas para o dia a dia da unidade gestora: o que formalizar na Política, o que cobrar da equipe e quais evidências o controle interno e a certificação institucional costumam pedir. Se a equipe ainda está alinhando os conceitos do regime, vale reler o guia sobre o que é o Regime Próprio de Previdência Social e, em seguida, aplicar as rotinas abaixo à realidade do município.

Por que a segurança da informação é rotina de gestão previdenciária

O Instituto trata informações que identificam pessoas reais: nome, CPF, filiação, tempo de contribuição, laudos, dados de dependentes e histórico funcional. Essas bases alimentam concessão de benefícios, recadastramento, prova de vida e as avaliações que sustentam o plano de custeio. Proteger a informação, portanto, é proteger a continuidade do serviço previdenciário e a confiança do segurado.

O Manual do Pró-Gestão RPPS, na dimensão Controles Internos, trata a Política de Segurança da Informação como ação própria. O texto oficial descreve a informação como ativo essencial e exige declaração formal de compromisso da unidade gestora com a proteção dos dados sob sua guarda.

Segurança da informação é a proteção da informação de vários tipos de ameaças, para garantir a continuidade do negócio, minimizar o risco ao negócio, maximizar o retorno sobre os investimentos e as oportunidades de negócio.

Essa definição, referida no Manual a partir da ABNT (ISO 27002), serve ao dirigente para explicar à equipe que senha, acesso e backup não são detalhe de informática: são controle de risco. A Lei n. 13.709/2018 (LGPD) reforça o mesmo dever quando o órgão trata dados pessoais, inclusive no setor público. A Lei n. 9.717/1998, ao organizar a gestão do RPPS, pressupõe bases consistentes e processos sob controle — o que não se sustenta sem informação íntegra e disponível.

Os três princípios que a Política deve observar

• Confidencialidade: a informação só chega a quem está autorizado.
• Integridade: o dado e o processamento permanecem exatos, sem alteração indevida.
• Disponibilidade: quem tem autorização consegue usar a informação no momento em que o serviço exige.

Quando um desses pilares falha, o Instituto sente na operação: vazamento de cadastro, benefício calculado sobre dado adulterado ou sistema fora do ar no dia da folha. Por isso a segurança da informação RPPS precisa aparecer na pauta da diretoria com a mesma seriedade da folha de benefícios.

O que a Política de Segurança da Informação precisa formalizar

A Política de Segurança da Informação (PSI) não é um texto para cumprir prateleira. É a regra interna que diz quem pode o quê, com quais recursos e com qual responsabilidade. No Pró-Gestão, ela deve ser publicada na internet e alcançar servidores e prestadores que acessem informações do RPPS.

Os níveis de aderência do programa acumulam exigências. O quadro abaixo resume o que o Manual pede, em linguagem de gestão, para o dirigente enxergar o próximo passo sem confundir o Nível I com o Nível IV.

Publicar a Política no site do Instituto — ou no portal do ente, quando a unidade gestora usa o canal institucional do município — é requisito, não detalhe de comunicação. Sem divulgação, a regra não chega a quem precisa cumpri-la e a evidência de certificação fica frágil. A classificação da informação, exigida nos níveis mais avançados, evita tratar laudo médico, extrato de contribuição e lista de presença de reunião com o mesmo grau de exposição.

Dicas práticas para o cotidiano do Instituto

A Política só reduz risco quando vira hábito. As orientações abaixo cabem em Institutos de qualquer porte e podem ser cobradas em reunião de diretoria, no controle interno e no plano de capacitação.

1. Aprove a Política e publique-a. Texto vigente, data de aprovação e endereço público. Sem isso, o restante vira orientação informal.
2. Nomeie responsáveis. Quem cria usuário, quem autoriza perfil, quem guarda o backup e quem recebe o relato de incidente precisam constar em documento, não só na memória da equipe.
3. Proíba senha compartilhada. Empréstimo “só para fechar o atendimento” apaga a autoria do ato. O registro do sistema aponta o dono da credencial.
4. Use o menor privilégio. Atendimento não precisa do mesmo perfil da concessão. Conselheiro não precisa de senha de alteração cadastral.
5. Encerre o acesso no desligamento. Exoneração, término de contrato e troca de comissão exigem baixa imediata nos sistemas, no e-mail e nas pastas compartilhadas.
6. Não envie cadastro por canal pessoal. WhatsApp particular, e-mail sem controle e pen drive sem regra são vazamento em potência.
7. Desconfie de pedido de senha. E-mail, ligação ou mensagem que cobram credencial, código de confirmação ou atualização urgente devem ser checados com a área responsável, nunca respondidos no mesmo canal.
8. Teste o backup. Cópia que nunca foi restaurada é esperança, não contingência. Defina periodicidade, local distinto do sistema original e responsável.
9. Cuide do acesso físico. Sala de arquivo, gabinete com processos e equipamento que concentra sistemas não podem ficar abertos a qualquer visitante.
10. Treine quem acessa dado. Servidor novo, estagiário e prestador entram na mesma regra. A conscientização é exigência explícita nos níveis mais avançados do Pró-Gestão e é a medida mais acessível contra o erro cotidiano.

Uma prática ainda pouco discutida no balcão é a foto de tela no expediente. A imagem pode capturar cadastro aberto no monitor. Oriente a equipe a não registrar atendimento com dados visíveis, a não publicar rotina de sistema em rede social e a não enviar captura de tela em grupo de mensagens.

Acessos, prestadores e o limite da consulta funcional

Ter login no sistema previdenciário não autoriza qualquer consulta. A busca por vizinho, parente, autoridade ou “só para saber” é uso indevido da informação obtida em razão do cargo. Esse ponto precisa estar escrito na Política e ser falado em capacitação, porque o risco mais comum no Instituto pequeno não é o ataque sofisticado: é a curiosidade e o favor.

Prestadores de serviço — software de folha, digitalização, suporte de tecnologia, recadastramento — acessam o mesmo ativo. O contrato deve prever sigilo, perfil mínimo, prazo de retenção e devolução ou eliminação dos dados ao término. A unidade gestora permanece responsável perante o segurado. Por isso, a fiscalização do fornecedor entra na pauta do dirigente, não só da área técnica.

Organize um inventário simples: quais sistemas existem, quem tem acesso, qual o perfil e quando foi a última revisão. Esse mapa evita usuário eterno, senha de ex-servidor ativa e planilha com senha única colada no rodapé do e-mail. Revise também os acessos de comissionados e de membros de conselho ao fim do mandato. A governança do RPPS muda de composição; o sistema, se ninguém mandar, permanece aberto.

Backup, evidências e o que cobrar na próxima reunião

O Manual do Pró-Gestão, a partir do Nível II, pede procedimentos de contingência mapeados e manualizados: cópias de segurança dos sistemas e dos bancos, controle de acesso físico e lógico e indicação da área responsável. Isso se prova com documento, registro de execução e, de preferência, ata ou relatório de teste de restauração — não com a afirmação verbal de que a empresa de tecnologia “cuida disso”.

O controle interno ganha papel claro: verificar se a Política está publicada, se os acessos foram revisados, se o backup ocorreu na periodicidade definida e se os incidentes foram registrados. Sem trilha, a certificação institucional e a fiscalização encontram o mesmo vazio. Guarde versões da Política, listas de presença de capacitação, telas ou relatórios de usuários ativos e o comprovante de publicação no site.

Na pauta da próxima reunião de diretoria, o gestor pode cobrar quatro entregas objetivas:

• versão vigente da PSI, com comprovante de publicação;
• lista atualizada de usuários e perfis;
• evidência da última cópia de segurança e do último teste de restauração;
• registro do que a equipe deve fazer ao suspeitar de incidente, como e-mail suspeito, perda de equipamento ou acesso indevido.

Para transformar a Política em competência da equipe, a JuriSensus oferece o Curso de Política de Segurança da Informação, voltado ao serviço público e à rotina do RPPS. A capacitação ajuda dirigentes, conselheiros, controle interno e servidores da área de benefícios a traduzir a norma em procedimento, sem deixar a segurança restrita ao jargão de tecnologia.

O próximo passo do Instituto

Segurança da informação no RPPS é decisão de gestão. Formalize a Política, publique-a, nomeie responsáveis, feche acessos ociosos, teste o backup e treine quem toca o cadastro do segurado. Comece pelo que o Instituto já consegue provar nesta semana e registre a evidência. A certificação do Pró-Gestão e a proteção dos dados caminham juntas quando a regra sai do arquivo e entra no expediente.