O que diz a auditoria do TCU sobre a segurança das urnas eletrônicas

Não são apenas as Forças Armadas que passaram a fiscalizar mais a fundo as urnas eletrônicas . Desde o ano passado, o Tribunal de Contas da União (TCU), órgão ligado ao Congresso, passou a fazer uma extensa auditoria sobre o sistema eletrônico de votação, para verificar sua segurança, confiabilidade e auditabilidade. Mas, ao contrário dos militares, até o momento a fiscalização, conduzida pelo ministro do TCU Bruno Dantas, tem sido favorável ao sistema eletrônico de votação, e é saudada pelo Tribunal Superior Eleitoral (TSE). Ainda assim, durante a auditoria, 26 riscos foram apontados.

Na semana passada, Dantas, relator do processo do TCU, informou que o TSE tem seguido recomendações aprovadas nas duas primeiras etapas da auditoria – que analisou, inicialmente, a auditabilidade do atual sistema e, depois, a segurança da área de tecnologia, com foco nas pessoas que o administram e nos recursos usados para sua operação.

As recomendações do TCU, no entanto, têm sido bem mais modestas e simples do que as sugestões dos militares. Na primeira etapa, por exemplo, o TCU basicamente aprovou todos os mecanismos feitos pelo próprio TSE para assegurar a integridade da urna, sem mais questionamentos. Sugeriu apenas que, para aumentar a confiança no sistema, a Corte Eleitoral aprimorasse sua comunicação com o público externo, a fim de esclarecer melhor sobre testes das urnas. Também recomendou que o TSE incentivasse os partidos a participar de forma mais efetiva da fiscalização do sistema.

A primeira etapa da auditoria do TCU foi iniciada em meio às discussões, no Congresso, da proposta de emenda à Constituição que pretendia substituir a contagem eletrônica do voto, no âmbito do TSE, por uma contagem manual realizada nas seções eleitorais a partir dos votos impressos.

Nessa fase inicial da auditoria, o TCU analisou todos os testes realizados antes e durante a votação, bem como os arquivos digitais da eleição disponibilizados aos partidos para conferência posterior. A equipe técnica concluiu que já existem mecanismos suficientes de verificação, auditoria e fiscalização, mas que o problema estaria numa comunicação deficiente sobre eles para a sociedade e num desinteresse dos partidos em participar de perto dos procedimentos.

Em vários trechos do voto de Dantas, fica claro que o intuito era criticar o voto impresso e defender sua rejeição pelo Congresso, o que acabou acontecendo. Segundo o TCU, a implantação do voto impresso, como mais um mecanismo de auditagem, traria riscos e custos elevados: facilitação de fraudes mais rudimentares, como subtração de votos impressos das urnas; filas e demora na votação; atrasos na apuração e divulgação do resultado; aumento da judicialização dos resultados das eleições; sobrecarga para as forças de segurança; entre outros.

“O atual sistema de votação eletrônica é plenamente auditável, aderente ao arranjo normativo instituído, embora comporte melhorias em termos de comunicação para evitar a desinformação e aumentar a compreensão dos eleitores sobre o processo”, disse o ministro Bruno Dantas em seu voto, seguido pela maioria dos colegas de TCU. O voto impresso, acrescentou Dantas à época, seria “medida excessivamente dispendiosa, incrementa a intervenção humana no processo, e consequentemente deixa a sistemática mais vulnerável a fraudes, erros e manipulações”.

Recomendações seguidas e estudadas pelo TSE

Ao final do julgamento, o TCU recomendou ao TSE que trabalhasse de forma mais efetiva para comunicar à população os mecanismos de segurança e auditabilidade, bem como incentivasse mais os partidos e outras entidades fiscalizadoras a participar do processo eleitoral. As recomendações, segundo o TCU, vêm sendo seguidas pela Corte Eleitoral.

Em seu voto, Bruno Dantas tocou num ponto coincidente com uma das preocupações das Forças Armadas: o aumento no número de urnas eletrônicas submetidas ao teste de integridade. Também conhecido como "votação paralela", o teste consiste em escolher aleatoriamente no dia da eleição para que sejam testadas num ambiente monitorado, numa votação simulada que também usa cédulas físicas, para comparação dos resultados.

O ministro disse que “o aumento do percentual auditado em relação ao quantitativo de urnas utilizadas nas eleições é fator relevante para o incremento da confiança no processo eleitoral”. Na época do voto, em outubro, ele não fez uma recomendação direta de aumento, mas disse que essa questão seria considerada nas próximas etapas da auditoria.

Em março deste ano, as Forças Armadas sugeriram de forma mais clara o aumento do número de urnas testadas na votação paralela, sob o argumento de que hoje elas representam apenas 0,1% do total a ser utilizado nas eleições. O número já foi bem menor. Nas eleições de 2018, foram escolhidas menos de 100 máquinas, e neste ano, serão aproximadamente 600. As Forças Armadas queriam uma amostra ainda maior, e o sorteio total das urnas (parte pode ser escolhida pelas entidades fiscalizadoras). As duas sugestões foram negadas pelo TSE.

Outra sugestão indireta de Dantas foi a impressão e afixação, em cada seção eleitoral, da “zerézima” – um extrato impresso da urna, antes do início da votação, demonstrando que ela não tem nenhum voto ainda.

O mesmo procedimento é feito com o boletim de urna, papel impresso ao final da votação que apresenta a soma dos votos em cada candidato naquela máquina. Essa recomendação ficou de ser estudada pelo TSE.

Ministro indicado por Bolsonaro apontou riscos

Embora a primeira etapa da auditoria tenha sido aprovada sem ressalvas pela maioria do TCU, o ministro Jorge Oliveira, indicado para o cargo pelo presidente Jair Bolsonaro (PL), apontou um total de 26 riscos que deveriam ser analisados com mais rigor pelo tribunal.

Na condição de revisor da auditoria, ele destacou, por exemplo, que “eventual deficiência das estratégias adotadas pelo TSE para identificar e mitigar ou eliminar os riscos de falhas/erros/fraudes no processo eleitoral poderá resultar na persistência de vulnerabilidades dos sistemas”. Ele também apontou riscos de “baixo índice de governança e gestão em tecnologia da informação”, “eventual tratamento inadequado ou insuficiente, ou a ausência de tratamento, das vulnerabilidades dos sistemas/programas/softwares” detectados por entidades ou especialistas que participam dos testes públicos de segurança (TPS), promovido pelo TSE. Jorge Oliveira mencionou ainda risco de “deficiência qualitativa e quantitativa do pessoal envolvido com as atividades relacionadas à votação eletrônica, em especial de TI”.

Em relação aos equipamentos, disse ser necessário averiguar o risco causado por “baixo índice de urnas eletrônicas compatíveis com a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil”,” ausência de certificação do hardware e do software”. “O fato de todos os elementos de auditabilidade do voto serem originados da mesma fonte poderá, em caso de contaminação da urna, contaminar o resultado, levando à inutilização do mecanismo de asseguração dos votos, no caso de fraude do software, e poderá resultar na contagem de votos indevidos na urna e impactar a credibilidade das eleições”, alertou ainda o ministro Jorge Oliveira.

Outro risco seria a quebra do sigilo do voto, “devido ao armazenamento da hora de votação de cada eleitor no sistema eletrônico de votação”.

Em relação à segurança da informação, o ministro apontou que “a ausência de segregação de funções nos processos críticos poderá permitir que um servidor concentre a execução de atividades essenciais, o que poderá propiciar fraudes nos processos críticos, impactando a segurança do processo de votação eletrônica”.

Também chamou a atenção para a potencial “ausência de conscientização, de educação e de treinamento das pessoas envolvidas (servidores, colaboradores e voluntários) em segurança da informação”, o que, segundo ele, “poderá levar a falhas no processo de votação eletrônica, impactando o resultado das eleições e, consequentemente, a confiança no sistema”. “A definição incorreta dos requisitos de negócio para controle de acesso poderá possibilitar o acesso indevido às bases de dados ou aos sistemas, o que poderá levar a acessos não autorizados, a vazamento ou alteração de informações ou à perpetração de fraudes”, alertou.

Outro risco se relacionaria “a ausência de controles efetivos para proteção das redes de comunicação e das transferências de informações entre o TSE e os demais órgãos da Justiça Eleitoral”, o que, para Oliveira, poderia “propiciar violação do sistema interno do TSE de transmissão e consolidação dos dados”.

Além desses riscos, que deveriam ser verificados nas próximas etapas da auditoria, Jorge Oliveira também apontou alguns achados da equipe técnica do TCU que ficaram de fora do voto de Bruno Dantas. São eles:

• baixa governança no desenvolvimento e manutenção dos sistemas, deixando-os vulneráveis;
• fragilidades do processo de auditabilidade, com impacto na segurança das urnas;
• a possibilidade de identificação do voto do eleitor, resultando na quebra do sigilo do voto;
• a divulgação de dados errados ou sigilosos, o acesso indevido às bases de dados ou sistemas ou o vazamento e alteração de informações, inclusive com impacto no resultado das eleições;
• violação do sistema interno do TSE de transmissão e consolidação dos dados, com possibilidade de manipulações imperceptíveis, também com impacto no resultado dos pleitos.

Bruno Dantas agradeceu as contribuições e disse que esses aspectos seriam avaliados nas próximas etapas da auditoria.

Segunda etapa da auditoria do TCU alertou sobre técnicos terceirizados

A segunda etapa da auditoria do TSE foi concluída em dezembro e verificou a segurança do sistema no que concerne aos recursos orçamentários e humanos. A área técnica concluiu que o orçamento da Corte para realização das eleições em 2022, de R$ 1,3 bilhão, é suficiente e não traz riscos para o cumprimento das tarefas planejadas.

O relatório, porém, aponta alguns problemas relacionados ao corpo de funcionários na área de tecnologia. Foi constatado, por exemplo, que 68% dos tribunais eleitorais, incluindo o TSE, não identificam as “ocupações críticas”, que são aquelas que apresentam “dificuldade de reposição e influência direta nos resultados da organização [a Justiça Eleitoral]”. Foi recomendado que o TSE faça um dimensionamento de sua força de trabalho para assegurar a sucessão nesses postos. “A ausência do mapeamento dessas posições e da promoção de ações para garantir a sucessão correspondente pode afetar em alguma medida o bom desempenho da organização”, alerta o TCU.

No voto de Bruno Dantas, seguido pela maioria, ele disse que deveria ser dada “especial atenção às atividades realizadas por profissionais terceirizados e/ou relacionadas à sistemática de votação eletrônica, envolvendo desenvolvimento, manutenção, operação e infraestrutura dos sistemas eleitorais”. Foi constatado, por exemplo, que a área de tecnologia da informação do TSE conta com 152 servidores, mas que, no setor, existem 286 funcionários terceirizados, quase o dobro do quadro efetivo. Mas o TCU reconheceu a impossibilidade de criar novos cargos públicos, em razão do teto de gastos, o que exige um aperfeiçoamento da supervisão do trabalho terceirizado.

Outro dado que chamou a atenção do TCU foi um “aumento da rotatividade de terceirizados” na área de tecnologia da informação do TSE, causado sobretudo por causa de propostas mais atraentes de trabalho para os funcionários oferecidas por empresas estrangeiras. “A unidade instrutora destaca a necessidade de que sejam geridos os riscos estratégicos atinentes à dependência de expressiva força de trabalho externa por parte do TSE”, diz o voto de Bruno Dantas, numa referência às conclusões dos auditores.

Outro problema encontrado foi a possível sobrecarga de técnicos da área de tecnologia, que, além de fiscalizarem o sistema de votação, também têm a atribuição de fiscalizar os contratos do setor, o que deveria, na visão do TCU, ficar a cargo de servidores administrativos.

Outra constatação da auditoria foi o fato de que 19 dos 27 tribunais eleitorais não contam com uma pessoa dedicada exclusivamente à segurança da informação, “o que, no contexto da cibersegurança, pode representar um risco importante”.

Ao final, o ministro recomendou ao TSE aprimoramentos na área de segurança da informação, a formalização de um processo específico de gestão de riscos nesse setor, bem como a capacitação dos servidores e colaboradores no tema.

Outra parte da auditoria verificou se as instalações do TSE são adequadas para assegurar a integridade dos equipamentos. A conclusão foi positiva. “A segurança física e o controle de acesso físico às áreas críticas do datacenter atendem às boas práticas indicadas nas normas internacionais, não há necessidade de expedição de recomendações ou determinações”.

Ao final dessa segunda etapa da auditoria, Bruno Dantas concluiu que “não foram identificados até o momento riscos iminentes à realização das eleições 2022” e que o TSE demonstrou que as recomendações feitas na primeira etapa começaram a ser implementadas. No início de maio, ao comunicar a rejeição de algumas propostas das Forças Armadas para o sistema de votação, Edson Fachin disse que a “rigorosa auditoria” do TCU “tem atestado a integridade do processo eleitoral brasileiro”.

Próximas etapas da auditoria do TCU

Ainda existem outras quatro etapas da auditoria do TCU a serem realizadas. Elas deverão analisar o desenvolvimento dos sistemas que rodam nas urnas eletrônicas, bem como os procedimentos de compilação, assinatura digital, lacração, geração de mídias e preparação dos arquivos.

Um dos objetivos é verificar se o processo segue normas nacionais e internacionais de auditabilidade. Outra etapa vai examinar ações relativas à “continuidade do negócio”, ou seja, saber se há a adoção das melhores práticas para proteger processos críticos da eleição “de forma a não permitir a interrupção das atividades, prevenir contra os efeitos de falhas ou desastres; e assegurar a sua retomada em tempo hábil”.