A Funasa refez em menos de três meses sua política para contratação de software e serviços de nuvem, mas manteve praticamente intacta a escolha tecnológica feita em julho: preservar o data center próprio, usar a nuvem como complemento, dar preferência a ambientes híbridos e evitar a dependência de um único fornecedor. As mudanças efetivas da nova Portaria 3.550, de outubro, estão principalmente nas regras de segurança da informação e na atualização das normas que passam a orientar essas contratações.
Há também uma alteração menos óbvia. A nova portaria retirou os Planos de Transformação Digital da relação de documentos estratégicos aos quais a política de nuvem da Funasa deveria estar alinhada. Na Portaria 2.499, de julho, essa vinculação aparecia expressamente ao lado do Planejamento Estratégico, do Plano Diretor de Tecnologia da Informação, do Plano Anual de Contratações, do Plano de Dados Abertos e das políticas de segurança e privacidade. Na versão de outubro, o item desapareceu.
A mudança chama atenção porque a transformação digital é justamente o processo que deveria ajudar a determinar quais serviços públicos serão digitalizados e, consequentemente, quais sistemas, aplicações e dados precisarão de infraestrutura tecnológica. A nova norma mantém a obrigação de vincular a estratégia de nuvem ao planejamento de TI e às contratações da fundação, mas deixa de fazer a conexão expressa com os Planos de Transformação Digital.
No restante, não houve a guinada que a substituição integral de uma portaria tão recente poderia sugerir.
A Funasa continua apostando numa arquitetura híbrida. O data center próprio não será simplesmente desmontado em favor dos grandes provedores de nuvem. A orientação é aproveitar a infraestrutura existente e recorrer à nuvem de maneira complementar. A fundação também mantém a determinação de que transportar sistemas antigos para a nuvem sem adaptá-los ao novo ambiente, o chamado lift-and-shift, seja utilizado apenas como último recurso.
A mesma continuidade aparece na política para software. A Funasa permanece privilegiando licenças por assinatura ou software como serviço, em lugar da compra de licenças perpétuas. Também mantém a preferência pela nuvem híbrida e a possibilidade de colocar determinados serviços inteiramente na nuvem quando estudos técnicos demonstrarem que essa é a melhor alternativa.
Também não são novidades de outubro algumas das salvaguardas mais relevantes da estratégia. Já estavam na norma de julho a preocupação com aprisionamento a um único fornecedor, a necessidade de estratégia de saída, a possibilidade de trazer sistemas de volta para a infraestrutura da própria Funasa e as exigências para que contratos impeçam o provedor de utilizar ou transferir os dados a terceiros.
Isso é importante porque impede atribuir à Portaria 3.550 uma mudança de orientação que ela efetivamente não fez. A arquitetura de nuvem híbrida, a preservação do data center, a preferência por software como serviço e as barreiras ao aprisionamento tecnológico foram decisões tomadas pela Funasa pelo menos desde julho.
Segurança
Onde a nova portaria efetivamente avança é na atualização do arcabouço de segurança.
A norma anterior ainda recorria, em um de seus dispositivos, ao Decreto 9.637/2018 para definir o alcance da segurança da informação. A versão de outubro passa a usar o Decreto 12.572/2025, que instituiu a Política Nacional de Segurança da Informação. Com isso, a descrição é reorganizada para abranger os dados e ativos de informação, os processos organizacionais, os ambientes físicos e eletrônicos e as pessoas envolvidas no ciclo de vida da informação.
A Funasa também troca a referência ao antigo Programa de Privacidade e Segurança da Informação pela versão mais recente, o PPSI 2.0, instituído pela Portaria 9.511/2025 da Secretaria de Governo Digital. E incorpora à relação de normas que deverão ser observadas a Instrução Normativa 9/2026 do Gabinete de Segurança Institucional, que alterou regras da estrutura de gestão de segurança da informação do governo federal.
Há ainda uma correção na referência às redes 5G. A nova redação identifica expressamente que a Instrução Normativa 4 do GSI trata dos requisitos mínimos de segurança cibernética para o estabelecimento dessas redes. Na versão de julho, a descrição era mais genérica.
Essas alterações aproximam a estratégia da Funasa do arcabouço de segurança que o governo federal reformulou depois da publicação da primeira política. Não alteram, porém, a escolha de onde e como a fundação pretende operar seus sistemas.
A nova norma continua exigindo que a área de tecnologia decida tecnicamente se cada contratação será de infraestrutura, plataforma ou software como serviço e avalie se a solução deverá funcionar em nuvem pública, privada ou híbrida. Esses pareceres deverão fazer parte do Estudo Técnico Preliminar da contratação.
Também permanecem as regras para evitar dependência excessiva de um fornecedor. A Funasa deverá considerar portabilidade e interoperabilidade e prever uma saída da nuvem que pode envolver backup, redundância e até o retorno dos sistemas para sua própria infraestrutura. Os contratos deverão impedir a transferência dos dados a terceiros, determinar sua eliminação ao fim do contrato e proibir seu aproveitamento pelo provedor para outras finalidades.
Há, portanto, uma diferença entre a dimensão formal e a tecnológica da mudança promovida em outubro. Formalmente, a Funasa revogou por inteiro uma estratégia editada em 21 de julho e colocou outra em seu lugar. Na prática, preservou o modelo de nuvem que já havia escolhido e concentrou as alterações na atualização das regras de segurança e governança.
Isso torna mais relevante saber por que foi necessário substituir toda a portaria apenas 77 dias depois, em vez de simplesmente alterá-la nos pontos atingidos pelas novas normas. Também merece explicação a retirada dos Planos de Transformação Digital da estratégia.
A mudança não altera outro fato importante: a política continua sem estabelecer, nesses dispositivos, uma obrigação geral de que todos os dados e seu processamento permaneçam fisicamente no Brasil. A Funasa impõe controles sobre sigilo, uso, transferência, segurança e retirada das informações da nuvem, mas não transforma localização territorial em regra geral para todas as cargas.
No fim, a Portaria 3.550 é menos uma nova estratégia de nuvem do que uma revisão da estratégia adotada em julho para enquadrá-la ao novo ambiente de segurança da informação do governo federal. A escolha tecnológica permanece: data center próprio combinado com nuvem, preferência pelo modelo híbrido, software cada vez mais contratado como serviço e tentativa de manter uma porta de saída para que a Funasa não fique presa a um único fornecedor.
