Resolução CMN 4.893: guia de segurança cibernética para fintechs e bancos

Instituições autorizadas a funcionar pelo Banco Central operam sob um conjunto específico de exigências de segurança cibernética. A principal norma é a Resolução CMN nº 4.893, de 26 de fevereiro de 2021, que substituiu a Resolução 4.658/2018. Para instituições de pagamento, a Resolução BCB nº 85/2021 traz regras equivalentes.

Este guia resume o que as normas pedem e traduz isso em práticas de engenharia. Ele não substitui a leitura do texto oficial nem a orientação das áreas de risco, compliance e jurídico da sua instituição.

Quem precisa cumprir

• Resolução CMN 4.893: instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central, como bancos, cooperativas de crédito, sociedades de crédito direto e sociedades de empréstimo entre pessoas.
• Resolução BCB 85: instituições de pagamento autorizadas pelo Banco Central.

Fintechs que ainda não são autorizadas, mas prestam serviços a instituições reguladas, também sentem o efeito: os contratos repassam as exigências aos fornecedores.

A estrutura da norma

Política de segurança cibernética

A instituição deve implementar e manter uma política aprovada pelo conselho de administração ou pela diretoria, compatível com o porte, o perfil de risco e o modelo de negócio. A política deve contemplar, entre outros pontos:

• Os objetivos de segurança cibernética da instituição
• Os procedimentos e controles adotados para reduzir a vulnerabilidade a incidentes
• Os controles específicos, inclusive para rastreabilidade da informação
• O registro, a análise de causa e impacto e o controle dos efeitos de incidentes relevantes
• Diretrizes para cenários de incidentes em testes de continuidade de negócios
• Procedimentos para contratação de serviços de processamento, armazenamento de dados e computação em nuvem

Os controles mínimos

A norma detalha que os procedimentos e controles devem abranger, no mínimo, autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento de informações, realização periódica de testes e varreduras para detecção de vulnerabilidades, proteção contra softwares maliciosos, mecanismos de rastreabilidade, controles de acesso e segmentação de rede, e cópias de segurança.

E determina que esses controles sejam aplicados inclusive no desenvolvimento de sistemas de informação seguros e na adoção de novas tecnologias. Ou seja: segurança de aplicações não é opcional para instituições reguladas.

Plano de ação e resposta a incidentes

A instituição deve ter um plano com as ações para adequar a estrutura à política, as rotinas e procedimentos para prevenção e resposta a incidentes, e a área responsável pelo registro e controle dos efeitos de incidentes relevantes.

Relatório anual

Um relatório anual sobre a implementação do plano de ação e de resposta a incidentes, com data base de 31 de dezembro, deve ser apresentado ao comitê de risco, quando houver, e ao conselho de administração ou à diretoria. O relatório precisa mostrar efetividade, e efetividade exige dados: testes feitos, vulnerabilidades encontradas, tempo de correção, incidentes e respostas.

Contratação de nuvem e processamento de dados

A norma dedica uma seção inteira à contratação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem. Exige, entre outros pontos, avaliação prévia da capacidade do prestador, acesso da instituição e do Banco Central aos dados e às informações, cláusulas contratuais específicas e comunicação ao Banco Central sobre a contratação. Para serviços prestados no exterior, há exigências adicionais, como a existência de convênio para troca de informações entre o Banco Central e as autoridades supervisoras do país.

Traduzindo para engenharia

Evidência para o relatório anual

Monte o relatório a partir de indicadores, não de declarações:

• Número de aplicações e ativos sob teste contínuo
• Testes de intrusão realizados no período, com escopo e data
• Vulnerabilidades encontradas por severidade e tempo médio de correção
• Achados críticos abertos acima do prazo e plano para cada um
• Incidentes relevantes, causa, impacto e resposta
• Evolução em relação ao ano anterior

Uma plataforma que registra continuamente varreduras, testes, correções e exceções gera esses números com um clique, em vez de semanas de consolidação manual.

Fintechs e o ritmo de entrega

A tensão típica numa fintech é entre a velocidade de lançamento e o rigor exigido de uma instituição regulada. A resposta não é reduzir o ritmo, mas automatizar os controles: segurança no pull request, pentest com IA a cada release que mexe em fluxos financeiros, e teste de APIs com foco em autorização por objeto, a falha mais comum em APIs de pagamento. Veja a página para fintechs.