Em auditoria de um órgão público, constatou-se que terceirizados possuíam permissões superiores às necessárias, contas de antigos colaboradores continuavam ativas e determinados bancos de dados podiam ser acessados sem restrições adequadas. A administração alegou que, como ainda não havia evidência de vazamento, medidas adicionais de segurança só seriam exigíveis depois de um incidente. À luz da Lei nº 13.709/2018, essa interpretação é: