Sistema Jestaun Rekursu Umanu Timor-Leste Hetan Atake no Laiha Backup Seguru, Tuir Auditoria Independente

Díli, 01 Jullu 2026 (RAFA.TL) – SIGAP-Foun, sistema sentrál hodi jere funsionáriu públiku sira Timor-Leste nian, iha vulnerabilidade seguransa liu 30 no “la kumpri nível mínimu protesaun nian” ne’ebé tenki implementa ba plataforma sira ne’ebé rai dadus sensivel sira, haktuir hosi auditória.

Auditória ho pájina 80, ne’ebé Rafa.tl asesu, hetan validasaun husi Komisaun Funsaun Públika (CFP), realiza husi konsultora internasionál C2D iha kuadru programa PROSIVU (Parseria ba Prosperidade Inklusiva), ne’ebé Austrália finánsia, no finaliza ona iha janeiru 2026.

Auditória ne’e halo parte husi “Documento de Política – Regime de Carreira Única – Administração Pública de Timor-Leste”, ne’ebé Rafa.tl hetan (hamutuk ho aneksu komplementár sira seluk), ne’ebé detalla proposta CFP nian ba reforma administrasaun públika Timor-Leste.

Relatóriu ne’e fó sai katak SIGAP Foun funsiona lahó integrasaun ruma ho sistema pagamentu Ministériu Finansa nian no laiha backup automatizadu ne’ebé konfiável, ho CFP rekomenda opsaun estratéjiku haat ba modernizasaun to’o 2028.

Relatóriu ne’e tradús ba revizaun komprensivu ida kona-ba SIGAP Foun (Sistema de Informação de Gestão Administrativa e Pessoal da Função Pública) no kombina análize kódigu fonte, teste funsionál, entrevista ho CFP no jestór no tékniku sira ministériu nian, no levantamentu ida kona-ba ekipa rekursu umanu.

Deskobrimentu sira kobre kestaun funsionál, tékniku, seguransa, governasaun, no sustentabilidade operasionál ne’ebé afeta sistema, ne’ebé klasifika hanesan “krítiku” ba operasaun rekursu umanu no prosesamentu saláriu iha Administrasaun Públika.

Auditor sira identifika vulnerabilidade liu 30 ne’ebé espalla iha domíniu tékniku sanulu no konklui katak SIGAP Foun “la prienxe espetativa mínimu seguransa nian ba jestaun informasaun rekursu umanu ne’ebé sensivel.”

Falla ne’ebé sériu liu inklui vulnerabilidade ida iha script sistema sentrál, ne’ebé bele permite atakante esternu halo konsulta arbitrária ba baze dadus no download rejistu pesoál no saláriu hosi funsionáriu públiku Timor-oan hotu-hotu.

Relatóriu deskreve senáriu ida-ne’e hanesan “Atake Tipu 1” no klasifika ida-ne’e hanesan iha impaktu krítiku no probabilidade médiu.

Relatóriu ne’e mós identifika utilizasaun sistema enkriptasaun senha nian ne’ebé konsidera téknikamente antigu no la adekuadu durante dékada ida liubá, ho potensiál ba kredensial utilizadór sistema hotu-hotu atu hetan kompromete lalais.

Relatóriu ne’e mós identifika auzénsia hosi limite sira tentativa autentikasaun nian no taka konta sira, hodi husik sistema vulneravel ba atake sira ho forsa brutu.

Frakeza sira seluk hosi kontrolu asesu nian identifika liuhosi referénsia objetu direta sira no falta enkriptasaun ba dadus ne’ebé kontein informasaun pesoál, dadus saláriu nian, no istória profisionál.

Auditór sira nota katak sistema “ho eskala boot” hala’o iha servidór sira ne’ebé para ona simu atualizasaun sira seguransa nian, ho konfigurasaun arquitetura ida ne’ebé halo sistema depende maka’as ba infraestrutura ezistente sira no difikulta implementasaun hosi prátika sira seguransa modernu nian.

Relatóriu ne’e klasifika backup sira no kontinuidade operasionál hanesan risku “aas tebes”. Enkontru sira ho ekipa tékniku ne’ebé responsavel ba infraestrutura SIGAP-Foun nian hatudu backup manuál no la sistemátiku sira hosi baze-dadus no arkivu aplikasaun sira, lahó backup automatizadu regulár sira.

Situasaun ida-ne’e signifika katak fallansu hardware, konfigurasaun sala, ka atake ransomware iha servidór produsaun ida bele estraga simultaneamente dadus orijinál no backup úniku ne’ebé disponivel, hodi rezulta iha “lakon dadus rekursu umanu ne’ebé labele rekupera” no “indisponibilidade sistema ne’ebé prolongadu”.

Laiha planu rekuperasaun dezastre formál, laiha objetivu tempu rekuperasaun (RTO) ka objetivu pontu rekuperasaun (RPO) ne’ebé define ona, no laiha responsabilidade rekuperasaun formál.

Relatóriu ne’e rekomenda katak rezolve situasaun ida-ne’e tenke trata hanesan prioridade ida, molok desizaun estratéjiku ruma kona-ba sistema nia futuru: automatiza backup sira iha fulan dahuluk nia laran, asegura armazenamentu esternu ne’ebé seguru iha fulan tolu dahuluk nia laran, no define no koko planu rekuperasaun dezastre formál ida iha fulan neen to’o sanulu-resin-rua nia laran.

Husi perspetiva funsionál, relatóriu ne’e konfirma no fó detalle kona-ba limitasaun sira ne’ebé identifika ona iha dokumentu CFP internu sira seluk.

SIGAP foun funsiona lahó integrasaun automatizada ho sistema prosesamentu pagamentu Ministériu Finansas nian (GRP/FreeBalance), lahó ligasaun ba ekipamentu rejistu prezensa biométriku ministériu nian, lahó módulu auto-servisu ba funsionáriu sira, no lahó ferramenta análize dadus ka relatório avansadu.

Transferénsia dadus entre SIGAP-Foun no GRP halo “manualmente ka semi-manualmente,” liuhosi arkivu sira ne’ebé fahe liuhosi email ka media armazenamentu esternu, lahó rejistu sistemátiku kona-ba sé maka muda no bainhira mak muda.

Rekrutamentu jere iha sistema ketak, mesak, lahó integrasaun ho SIGAP-Foun. Avaliasaun dezempeñu sira prosesa fora husi sistema, ho de’it pontuasaun finál sira ne’ebé maka hasai hamutuk ho formuláriu sira ne’ebé maka eskaneadu ona. Rejistu prezensa sira hatama manualmente, iha baze mensál, aumenta risku ba imprecizaun no manipulasaun.

Situasaun izolamentu sistémiku ne’e grave liu tan haree ba akordu tékniku ne’ebé asina ona entre CFP no Ministériu Finansas iha tinan 2019, ne’ebé estabelese rekizitu ba integrasaun entre sistema rua ne’e.

Relatóriu konklui katak, liutiha tinan neen, “SIGAP-Foun agora daudaun seidauk iha kondisaun atu integra ho sistema FreeBalance/GRP hosi Ministériu Finansas”: sistema la implementa servisu web sira ka interfase sira programasaun aplikasaun nian (API); ida-ne’e laiha fluxu serbisu ho aprovasaun formál sira ba tranzasaun sira ne’ebé fó impaktu ba saláriu; no estrutura dadus xave sira hosi sistema rua ne’e—inklui klasifikasaun orsamentu no sentru kustu sira—la aliña.

Haree ba diagnóstiku ida-ne’e, relatóriu aprezenta opsaun estratéjiku haat ba CFP, ida-idak ho kustu no prazu oioin, no rekomenda atu foti desizaun ida iha fulan tolu dahuluk tinan 2026 nian.

Opsaun sira-ne’e varia hosi melhoria gradual, laiha alterasaun ba arkitetura baze (A), alternativa daruak ne’ebé hakerek filafali arkitetura hodi halo nia sai modular (B), troka sistema ho módulu rekursu umanu FreeBalance (C), ka hetan sistema jestaun rekursu umanu komersiál iha merkadu abertu (D).

Kustu estimadu maka entre loron 800 -serbisu tékniku no to’o loron 3.800-serbisu tékniku, depende ba opsaun ne’ebé hili.

Relatóriu subliña katak, maski hili opsaun ida de’it, korriji problema seguransa la presija hein desizaun estratéjika.

“A C2D rekomenda katak remediasaun seguransa tenke hahú kedas no la presija hein desizaun estratéjika CFP nian, tanba vulnerabilidade sira ne’ebé identifika kria risku ne’ebé la aseitável, independente husi opsaun ne’ebé sei hili,” refere.

Reportajen Antonio Sampaio