materia nº 37/2023

qsstAtvo um,
t
+
/
Câmara Municipal de Bicas
Secretaria Legislativa
'MEMORANDO Nº14/2022 -
- Bicas, 05 de setembro de 2022 E PA,
Para: Exmo. Sr. Marcelo Navarro Jardim E Bio
Presidente da Câmara Municipal de Bicas
Assunto: Pedido de abertura de Sindicâncianvestigativa
Exmo. Sr.,
1. “Como é sabido, foi perdido ô acesso ao perfil 'da Câmara no Facebook. Tal fato
“fora relatado como hackeamento em reunião pública ordinária.
2. Tal evento constitui vazamento de dados e deve ser tratado à luz da législação
vigente. Portanto, se impõe'a necessidade de tomada de providências quanto
ao ocorrido.
3.' Dessa forma, acredito que a sindicância seja o melhor instrumento para apurar .
“o que ocorreu para son e-d tomada de maiores io que se fizerem ..
- necessárias. ;
4. Desta'forma, resguardamos a Câmara, pois a tomada de providências. nestes
-tipos de incidentes-de vazamento dé dados é obrigação legal.
Respeitosamente, REL DEFERIDO
f ; W.: de BD ! * DATA, 05 |
. uilherme Sabino Daniel . : s e
Controlador Interno
AgSNicipa;» >
. Câmara Municipal de Bicas É 04%
Ê Praça Prefeito Jacyr Moreira, 49 — Centro O di
Bicas - CEP.: 36.600-000 a
TeyFax.. OXX 32 — 3271 — 2973:
Estado De Minas Gerais
PUBLICADO POR AP iamos Portaria nº 39/2022 '
041 Nord Ea id qu - Nomeia Comissão Sindicante Investigativa para
ERR apuração da perda do acesso ao perfil da Câmara
AR NE Ea é io Ê Municipal de Bicas no Facebõok.
sap de ams :
a 9, Presidente da Câmara Municipal de Bicas — Minas Gerais, no uso das.
atribuições que lhe são conferidas pela Lei Orgânica do Município e pelo Regimento
Interno da Câmara,
di ; CONSIDERANDO a perda do acesso ao perfil da Câmara Municipal de Bicas
no Facebook, sendo tal fato relatado como. o em reunião pública
ordinária
: RESOLVE:
Art. 1º. onde os servidores Guise Sabino Daniel, Secretário Legiao
Jocinei Ferreira Guimarães, Auxiliar de Serviços Gerais e Marília Andrade da Silva,
Auxiliar Legislativa, para compor Comissão de Sindicância, objetivando apurar os .
fatos acerca da perda do acesso do Facebook da Câmara Municipal de Bicas.
Art.2º. Fica estabelecido o prazo de 30 (trinta) dias para a conclusão dos trabalhos.
Art. 3º. Esta Portaria entra em vigor na data de sua publicação.
Registre-se, publique-se, arquive-se e cumpra-se.
E Bicas — MG, 03 de Novei
Câmara Municipal de Bicas :
Secretaria Legislativa
Comissão de Sindicância Portaria 39/2022
v
Resumo: Esta Comissão foi instaurada em 03 de novembro de 2022, objetivando apurar,os fatos acerca-
da perda do acesso do Facebook da Câmara Municipal de Bicas. Designados os servidores Guilherme
Sabino Daniel, Secretário. Legislativo, Jocinei Ferreira Guimarães, Auxiliar de Serviços Gerais e Marília
Andrade da Silva, Auxiliar Legislativa, presidida pelo primeiro.
Sua primeira reunião foi em 09 de novembro, onde decidiu-se ouvir as servidoras Flávia Apolinário
Camilo e Maira Odete Guedes Honório. A primeira data para as oitivas foi 11 de novembro. Contudo, a
marcação de reunião extraordinária por parte da presidência da Casa impossibilitou seu acontecimento,
sendo remarcada para 17 de novembro. Nesta data, as Servidoras Marília e Flávia estavam participando
de curso de capacitação previamente marcado e as oitivas foram novamente adiadas. Em 30 de
novembro, foram realizadas as oitivas. Também foi ouvida a Sra. de paia Carolina Correia Bortolini,
citada por ambas as servidoras em dentgnento.
Relatório:
;
1. Pelo apurado por esta Comissão, o incidente chamado de “hackeamento do Facebook” não pode ser
atribuído a um evento em específico. Contudo, uma série si vulnerabilidades tornaram possível o
ocorrido. ;
2. -A primeira das vulnerabilidades é a forma amadorística com a qual o perfil era gerido. Precisamos
entender que a Câmara Municipal de Bicas, não é uma pessoa física, logo, seu perfil'deve ser tratado
como perfil de pessoa jurídica, chamado empresa pela plataforma (termo que será usado 7
doravante). Contudo, existem dois perfis: o primeiro, de usuário, o segundo, de página.
3. Ao acessar estes perfis, vemos que existe uma confusão: ambos eram utilizados para postagens. Este
ponto, por si só precisa ser revisto. Sendo o perfil da Câmara a sua identidade virtual, ele precisa ser
único e inconfundível. Caso contrário, a intenção de utilizar a plataforma para divulgação
" institucional tem efeito oposto: gera confusão e desinformação. Afinal, se existem duas pessoas,
idênticas, se dizendo a mesma, como saber quem é quem?
4. Para empresas, existe o recurso de página, que permite o acesso por múltiplas pessoas, com senhas
“ individuais e autorizações individuais para alterar a página, fazer postagens, responder mensagens
etc. Este deveria ser o recurso utilizado, pois permite que caso ocorra um vazamento de senha, ele
“ seja rapidamente contido e o perfil que vazou seu acesso redefinido. É dessa forma que são geridos,
por exemplo, os acessos ao site da Câmara e aos e-mails institucionais.
5. Aservidora Maria Odete se declarou a responsável pela gestão do perfil do Facebook e do
Instagram. Analisando sua ficha funcional, inexiste experiência registrada com gestão de redes
sociais. Também não foi ofertado pela Câmara qualquer treinamento para a servidora. O cargo por
.
Po,
Ogg
qua
SLATIV ú : : f a *
RA A 13 z ;
. Me Sê, ae
Câmara Municipal de Bicas
“Secretaria Legislativa
ela ocupado é de livre nomeação e exoneração, com recrutamento amplo, sem qualquer requisito
voltado para a gestão de redes.
6. Portanto, percebemos aqui uma outra fragilidade. Se o responsável pela gestão não detém o
conhecimento para fazê-lo, e não se recruta quem o tenha, é dever da Câmara treinar o servidor.
Caso contrário, assume o gestor o risco por utilizar mão de obra inadequada para a tarefa.
7. O problema de amadorismo foi detectado na gestão do perfil do Instagram, não afetado pela perda
da senha do Facebook, uma vez que os perfis não eram conectados. Chama atenção O telefone de,
recuperação do Instagram ser o da servidora responsável e não um de controle da Câmara (figura 1),
devendo este ser redefinido para o telefone adequado. ;
8. Outro ponto que demonstra fragilidade na segurança é o compartilhamento da senha entre
servidores. Pelo apurado essa prática é antiga no caso das redes sociais, sendo a regra. A mesma
conta era compartilhada em diversos dispositivos, tendo pelo'menos três servidores acesso.
Segundo relatado pela servidora Flávia, a senha perdida havia sido alterada a quatro meses atrás e
até ex-servidores tinham acesso à conta antes disso.
9. Temos uma receita perfeita para um problema. Ora, um número indeterminado de pessoas tem
acesso a uma mesma conta! Ainda segundo a servidora Flávia, percebendo este problema, foi
alterada a senha e adotada a autenticação de dois fatores(2FA), necessitando a autorização
individual de dispositivos para utilizar a conta. Esta autorização podia ser gerada por uma lista prévia
de códigos de recuperação ou pelo aplicativo autenticador, instalado no celular da Câmara.
10. Dentre os dispositivos autorizados estavam, pelo menos, os dois computadores utilizados pelas
servidoras Flávia e Maria Odete. Nestas máquinas, bastaria utilização da senha para acesso ao perfil.
As servidoras esclareceram que não utilizavam a senha em qualquer outro dispositivo, e que nunca
compartilharam-a senha com terceiros.
11. A servidora Nathanne foi ouvida por ter sido citada pela servidora Maria Odete como também tendo
a senha. Porém explicou que desde que houve a mudança da senha, não tinha mais acesso à conta.
12.A demora na tomada de providências também contribuiu para que o acesso não pudesse ser
restaurado. Considerando que a última postagem ocorreu no dia 11 de agosto e que, segundo a
servidora Maria Odete, esta percebeu no dia 16 de agosto que não tinha mais acesso, deveria ser
dada ciência imediata à chefia.
. Neste ponto divergem os depoimentos. A servidora Maria Odete alega ter informado oralmente o
incidente, mas a servidora Nathanne alega só ter tomado conhecimento na semana seguinte, pela
servidora Flávia, fato este corroborado pelo depoimento da última. :
14, Outro ponto que não se pode precisar é a data da tomada de providências, pois divergem os
depoimentos. A servidora Maria Odete alega ter tentado recuperar a senha e acionado o suporte
técnico na mesma semana que percebeu estar sem acesso. Contudo, o depoimento das servidoras
Flávia e Nathanne não corroboram esta versão, mas sim que'a tomada de providências se deu na
semana seguinte.
1
tw
15.
“46.
17.
18.
95
e uMCias
q SStATivo : pro A
de, / É
É Ss
Câmara Municipal de Bicas
Secretaria Legislativa
Incidentes como este não podem ser tratados sem a devida urgência. Não podemos admitir que um
servidor perca uma de suas mais importantes ferramentas de trabalho e só uma semana depois a
chefia seja informada por um outro servidor. Este tipo de comunicação deve ser feito de imediato,
pelos meios formais.
Ademais, julgando as prováveis datas e os fatos, o cenário da tomada de providências com uma
semana de atraso é mais factível. Este prazo não é razoável pois o perfil no Facebook não se trata de
algo de uso esporádico, mas de alta frequência, como podemos observar pelas últimas postagens.
Também foi relatado que pessoas se comunicam com a Câmara para tirar dúvidas sobre serviços
através destes canais, sendo necessário o seu constante monitoramento. Dessa forma nunca poderia
ter sido negligenciado a perda de um acesso tão importante. '
Por existir a proteção da 2FA, pelas máquinas autorizadas estarem dentro da Câmara e desligadas”
durante o período em que foi redefinida a conta e passarem por verificações antimalware periódicas
feitas por profissional de TI é pouco crível que tenha se tratado de um cyber ataque. Resta a
hipótese de que a senha tenha sido compartilhada com terceiro, mas falta à uma comissão de
sindicância recursos para apurar isto. ,
Com relação a outros sistemas que dependem de senha, não existem as mesmas vulnerabilidades,
pois é respeitada a hierarquia de acesso e padrões básicos de segurança da informação. Não é
utilizado o compartilhamento de senhas.
É o necessário relatório, passamos às indicações.
Indicações:
Desta maneira nos resta fazer as seguintes indicações: '
1. Que os servidores que trabalham diretamente com as redes sociais tenham-treinamento
adequado para tanto (itens 2e 6);
2. Que seja estabelecido o uso de ferramentas coorporativas de gestão dos perfis sociais da Câmara
* (itens 3 e 4);
3. Que seja designado servidor, através de portaria, para ser responsável pela gestão das redes
sociais;
4. Que todos os sistemas sejam k arttaládos através de senhas individuais, de responsabilidade do
usuário e que seja abandonado o compartilhamento de senhas (itens 9 e 10);
5. Que a servidora Maria Odete Guedes Honório seja advertida pela chefia imediata a relatar
formalmente qualquer incidente que envolva vazamento de dados de forma imediata, bem
como perda de acesso a qualquer instrumento de trabalho (itens 12, 13, 14, 15 e 16);
6. Que sejam tomadas medidas para reestabelecer o acesso da Câmara aos, preta iai da rd à
justiça se preciso;
)
Secretaria Legislativa
7. Que todo e qualquer perfil institucional em redes sociais seja vinculado a e-mails
N
Câmara Municipal de Bicas
dra
institucionais(Obicas.mg.leg.br) e à números de telefone da Câmara (item 7), iniciando-se
imediatamente pelo perfil do Instagram;
8. Que se adote sempre que possível mecanismos de proteção de senhas, como criptografia, 2FA
etc;
9. Que todos os servidores sejam devidamente instruídos quanto à sua responsabilidade com
“ relação às senhas de email institucional, sítio eletrônico, SAPL, Siplan, computadores e perfis de
redes sociais, bem como da obrigação de relatar qualquer perda de acesso à estes sistemas;
10. Que todos os computadores que armazenem senhas dos sistemas acima sejam protegidos.
quanto acesso ilegítimo;
Sendo o que cabia a esta comissão.
Bicas, 05 de dezembro de 2022 -
diimenae Sabino 2
Presidente da Comissão
JdEinei Ferreira Guimargeês *
Membro
vo da Silva
Membro
N