O Sistema Eletrônico de Informações SEI não é um sistema integrado entre todos os órgãos que o utilizam. Cada órgão deve instalá-lo em sua própria infraestrutura de tecnologia e os responsáveis técnicos devem ficar atentos em promover as atualizações da ferramenta tempestivamente.
Dia 25 de abril publicamos a matéria – Como evitar o acesso indevido aos dados e mensagens trocadas entre servidores públicos – sobre o acesso indevido que ocorreu no SEI – Sistema Eletrônico de Informações, noticiado pela Computerworld dia 13 de abril. Na ocasião da publicação – 25 de abril – ainda não tínhamos recebido o retorno do Ministério do Planejamento, Desenvolvimento e Gestão – MP.
Segue a baixo os detalhes sobre o incidente
Segundo Ministério do Planejamento, Desenvolvimento e Gestão – MP informou a nossa redação, o Sistema Eletrônico de Informações (SEI) não é um sistema integrado entre todos os órgãos que o utilizam. Cada órgão deve instalá-lo em sua própria infraestrutura de tecnologia e os responsáveis técnicos devem ficar atentos em promover as atualizações da ferramenta tempestivamente.
Em 2 de abril, o Ministério do Planejamento, Desenvolvimento e Gestão – MP, foi informado sobre indícios de vulnerabilidade e, em reposta, no dia seguinte, lançou um pacote de atualização para corrigir as vulnerabilidades e enviou mensagem aos gestores do SEI, por meio de sistema, alertando sobre a possibilidade de exploração da vulnerabilidade e solicitando a atualização para a versão 3.0.10.
O ataque está sendo investigado pela Polícia Federal, em sigilo.
No caso específico do Ministério do Planejamento, Desenvolvimento e Gestão (MP), o acesso de usuários externos ao Sistema Eletrônico de Informações (SEI) foi bloqueado temporariamente para análise de possível vulnerabilidade de segurança. Não foram encontradas falhas e o sistema foi liberado.
Fizemos algumas perguntas ao Ministério do Planejamento, Desenvolvimento e Gestão – MP, e recebemos as respostas consolidadas com dados da Setic, SGP e Delog/Seges.
Crypto ID: Quais foram os dados do MP hackeados no sistema SEI?
MP: No âmbito do MP não foi identificado nenhum ataque ao SEI.
Crypto ID: Como foi detectado o incidente?
MP: O incidente foi identificado pela equipe do SEI do Governo do Distrito Federal (GDF). Após a detecção e confirmação no GDF, foi detectado pela equipe responsável pelo SEI do Ministério da Integração invasão similar, porém com intenção de produzir documentos falsos na base do Ministério.
Crypto ID: Vocês utilizam ferramentas de monitoramento?
MP: Tendo em vista que o modelo de distribuição do SEI é descentralizado, ou seja, cada órgão hospeda/sustenta o SEI sob suas próprias regras de segurança, o monitoramento é feito por cada equipe de segurança. Dessa forma, considerando as diversas instalações do SEI existentes no Poder Executivo Federal, cabe a cada órgão/entidade fornecer infraestrutura e implementar suas próprias políticas de segurança da informação e comunicação.
Importante ressaltar que o Sistema Eletrônico de Informações (SEI), desenvolvido pelo Tribunal Regional Federal da 4ª Região (TRF4) e cedido gratuitamente para as instituições públicas, é a solução de processo eletrônico escolhida no âmbito do Processo Eletrônico Nacional (PEN) e de uso obrigatório para órgãos do Poder Executivo Federal na administração direta, autárquica e fundacional.
No âmbito deste Ministério, o SEI é sustentado pela Secretaria de Tecnologia da Informação e Comunicações (SETIC) e a monitoração do SEI é realizado pela ferramenta Nagios (aplicativo que monitora serviços na rede).
Crypto ID: É a primeira vez em que entram terceiros não autorizados no SEI?
MP: Sim.
Crypto ID: É possível ter havido outras invasões sem terem sido detectados?
MP: Após a implantação do SEI nos últimos 5 anos, nenhum outro relato de invasão foi reportado ao MP. Porém, até que a atualização da versão 3.0.10 ou superior do SEI seja realizada em todos os órgãos/entidades, não há como identificar outras possibilidades de invasão.
Crypto ID: Quais as ações tomadas pelos Ministério do Planejamento?
MP: O TRF4 e o MP disponibilizaram a versão atualizada do SEI (3.0.10), que corrigiu as vulnerabilidades identificadas.
Crypto ID: Em quanto tempo foi resolvido?
MP: Recebemos o comunicado do problema no dia 28/03 e a versão com as correções foi disponibilizada no dia 04/04.
Crypto ID: Quantos usuários tem o sistema atualmente?
MP: Atualmente 357 órgãos aderiram ao PEN/SEI, sendo 100 com o SEI implantado e 257, em fase de implantação. Deste total, 168 são da esfera federal.
Estes números estão disponíveis no endereço Eletrônico: http://www.planejamento.gov.br/pensei/adesao-ao-processo-eletronico-nacional-pen
Crypto ID: O SEI permite o uso de certificados digitais ICP-Brasil?
MP: Sim.
Crypto ID: Quantos usuários utilizam o SEI com certificação digital?
MP: Por ter sua infraestrutura distribuída, não possuímos esta informação.
Crypto ID: a versão disponibilizada 3.10 permite a utilização do Certificados Digitais, mas temos conhecimento que existe alguns entraves em relação ao JAVA. Já existe uma versão 3.11 em que isso é solucionado? Quando entra no ar essa versão?
MP: O TRF4 está trabalhando nesta implementação, que deverá ser lançada na versão 3.1.
Crypto ID: com a simplificação da validação para a emissão dos certificados digitais dos funcionários públicos os Certificados Digitais já poderiam ser emitidos em escala. Como anda esse projeto da identificação digital dos funcionários públicos?
MP: O Projeto de Certificação Digital do Servidor Público Federal visa facilitar a emissão de certificados para os servidores de órgãos que utilizam o Sistema de Gestão de Pessoas do Governo Federal (Sigepe) . A proposta vai permitir a emissão de um certificado em um processo totalmente sem papel, conforme o fluxo abaixo:
Crypto ID: Como vocês vêm os benefícios para a segurança da informação dos órgãos públicos com o uso dos Certificados Digitais em documentos eletrônicos?
MP: Certificação Digital é a tecnologia que adota mecanismos de segurança no intuito de garantir autenticidade, confidencialidade, integridade às informações. Tendo em vista o crescimento da oferta de serviços digitais pelo Governo Federal, entendemos que a solução de Certificação Digital e seus benefícios deve ser aplicada sempre que possível e pertinente.
Leia também Como evitar o acesso indevido aos dados e mensagens trocadas entre servidores públicos.
