Resolução CMN n°4.893 de 26/2/2021 e a segurança cibernética

“Transformação digital” já é basicamente um termo do passado. Afinal, faz tanto tempo que estamos vivendo crescentes contínuos de tecnologia, que já não se trata mais de um processo de transição, e sim de uma realidade que veio para ficar. 

No mercado financeiro, novas necessidades pedem novas leis — e é por isso que a segurança cibernética não somente é amparada pela legislação, como também se tornou em um dos assuntos mais relevantes para os profissionais do setor.

Neste artigo, vim para descomplicar a resolução CMN nº 4893, que trata das políticas de segurança cibernética. Então, fica comigo na leitura para entender:

• O que diz a resolução CMN nº 4893 de 26 de fevereiro de 2021;
• Quais os conceitos básicos de segurança cibernética;
• Quais são os principais elementos da governança de segurança cibernética;
• Como proteger sistemas e dados de ataques cibernéticos;
• Como promover uma cultura de segurança cibernética;
• Quais são os KPIs para avaliar a efetividade das medidas de segurança cibernética;
• Como devem ser realizadas auditorias de segurança cibernética;
• Quais são as penalidades para o não cumprimento das normas de segurança cibernética;
• Quais são as principais tendências em segurança cibernética.

Vamos lá?

O que diz a resolução CMN nº 4893 de 26 de fevereiro de 2021?

A Resolução CMN nº 4.893/2021 estabelece que as instituições financeiras autorizadas pelo Banco Central do Brasil devem adotar uma política de segurança cibernética e, consequentemente, seguir requisitos específicos na hora de contratar serviços de processamento, armazenamento de dados e computação em nuvem.

Entre os procedimentos de controle que essas instituições precisam implementar, temos:

• Autenticação;
• Criptografia;
• Prevenção de vazamentos;
• Testes de vulnerabilidade;
• Rastreabilidade;
• Acesso segmentado à rede;
• Backup.

Além de tudo isso, também é norma a documentação de planos de ação e respostas a incidentes.

Quais os conceitos básicos de segurança cibernética?

O conceito de segurança cibernética envolve proteger dados, sistemas e redes contra acesso não autorizado, danos, interrupções ou uso indevido. Todos esses processos têm como finalidade confidencialidade, integridade, disponibilidade, entre outros princípios.

Abaixo, explico um por um para você entender melhor.

Confidencialidade

A confidencialidade significa que dados e informações devem permanecer acessíveis apenas a pessoas autorizadas. 

É o que acontece quando um banco, por exemplo, impede que dados sensíveis de clientes sejam visualizados por funcionários que não têm o grau de autorização necessária para tal. 

Na prática, esse princípio exige controles de acesso e sistemas que limitem quem pode ver, modificar ou remover dados — além de registros de quem acessou o quê e quando. 

Integridade

A integridade define que as informações são mantidas corretas, completas e confiáveis durante todo o ciclo de vida. Olha só um exemplo: se um relatório de transações bancárias for alterado sem rastreio, ou for corrompido, isso fere a integridade.

Quanto às ferramentas, a integridade requer técnicas como assinaturas digitais, logs de auditoria, validação de hashes e controle de versões. Tudo isso serve para que se possa ter certeza de que um dado não foi alterado, seja por má-fé ou acidentalmente. Afinal, um erro desse tipo facilmente se configura como fraude.

Disponibilidade

Sistemas e dados devem estar acessíveis e funcionando sempre que for necessário, dentro dos limites planejados. Quando um sistema de internet banking sai do ar por horas seguidas, está violando o princípio da disponibilidade. Aqui, a consequência é em grande escala — os clientes não vão conseguir realizar suas operações.

Controles como redundância de servidores, planos de recuperação de desastre, backups atualizados e monitoramento de performance são alguns dos recursos que ajudam a manter a disponibilidade.

Segregação

A segregação, às vezes chamada também de separação de funções ou “segregation of duties”, significa separar tarefas e responsabilidades para evitar que uma única pessoa ou sistema controle todo o ciclo de uma operação. Em um banco, quem aprova uma transferência não deveria ser o mesmo que revisa ou executa essa transferência.

Essa separação vem para reduzir o risco de fraude, erro ou conflito de interesse, afinal, cria “muralhas” entre quem faz, quem supervisiona e quem audita. 

Para isso, sistemas de TI são ideais para implementar essa segregação por meio de perfis de acesso diferentes, logs distintos, e monitoramento de atividades suspeitas quando funções críticas ficam concentradas.

Quais são os principais elementos da governança de segurança cibernética?

Os principais elementos da governança de segurança cibernética incluem:

• Política de Segurança Cibernética (PSC): é um documento formal que define princípios, diretrizes e responsabilidades sobre como a instituição deve proteger seus ativos digitais. Essa política deve ser aprovada pela alta administração e revisada periodicamente;
• Gestão de riscos cibernéticos: envolve identificar, avaliar e mitigar riscos que possam comprometer sistemas, dados e operações. Essa etapa inclui o uso de metodologias específicas, como a classificação dos riscos por impacto e probabilidade e planos de contingência;
• Papéis e responsabilidades claros: a instituição deve ter estruturas de governança bem definidas, como um comitê de segurança cibernética, e profissionais responsáveis por monitorar e implementar medidas de proteção;
• Monitoramento contínuo: é o ato de acompanhar o comportamento da rede, detectar acessos suspeitos e responder rapidamente a incidentes. Ferramentas de detecção e resposta (como SIEM e SOC) ajudam a manter vigilância constante sobre os sistemas;
• Treinamento e conscientização: funcionários bem informados são a primeira linha de defesa. Então, a instituição deve realizar treinamentos periódicos sobre boas práticas de segurança, phishing, uso de senhas e reconhecimento de tentativas de fraude;
• Plano de continuidade e resposta a incidentes: é o que define como a empresa deve agir em caso de ataques, falhas ou vazamentos. Esse plano garante que os serviços essenciais sejam restabelecidos rapidamente e que o impacto ao cliente seja mínimo;
• Relatórios e auditorias periódicas: a governança exige o acompanhamento constante dos indicadores de desempenho em segurança (chamados de KPIs) e auditorias internas e externas para verificar se as políticas estão sendo cumpridas.

Todos esses elementos se conectam para formar um ciclo contínuo de prevenção, detecção, resposta e aprimoramento. Assim, a governança de segurança cibernética se torna mais um sistema vivo do que apenas um conjunto de regras.

Como proteger sistemas e dados de ataques cibernéticos?

Proteger sistemas e dados exige um conjunto coordenado de medidas que vão desde autenticação e criptografia até backups, segmentação de rede e programas de conscientização. 

A seguir, detalho cada item para você entendê-los melhor.

Autenticação e criptografia

A autenticação serve para assegurar que quem está tentando acessar o sistema é realmente quem diz ser — por meio de senhas, tokens, biometria ou múltiplos fatores. É por isso, por exemplo, que você precisa digitar sua senha e fazer reconhecimento facial se quiser realizar uma operação em algum banco digital.

A criptografia, por sua vez, protege a informação durante o armazenamento ou transmissão. Ela basicamente torna os dados ilegíveis para quem não tem chave de decriptação. Acontece bastante com dados de cartão de crédito armazenados em servidores criptografados, que ficam protegidos mesmo se houver acesso indevido.

Prevenção de vazamento de informações

A prevenção de vazamento é o ato de adotar controles para evitar que dados sensíveis saiam de forma não autorizada. Isso inclui monitoramento de e-mails, bloqueio de cópia/cola, restrição de USB ou uso de políticas de saída de dados.

No contexto bancário, se um funcionário tenta enviar planilha com CPFs de clientes para um e-mail pessoal, isso viola essa proteção — políticas e ferramentas devem impedir ou alertar tais ações.

Testes e detecção de vulnerabilidades

Esses testes envolvem varreduras de rede, pen-tests (testes de penetração) ou simulações de ataque para identificar falhas antes que invasores as encontrem. Eles verificam, por exemplo, se um sistema aceita a senha padrão “admin123” ou se há portas abertas indevidamente.

Aqui, é preciso detecção contínua para ter certeza de que uma falha vai ser corrigida antes que o estrago seja feito. Relatórios desses testes ajudam a priorizar correções e, muito importante, demonstram conformidade com regulamentos como a Resolução CMN 4.893/2021.

Proteção contra softwares maliciosos

Essa medida se refere ao uso de antivírus, anti-malware, firewalls, sistemas de sandboxing e atualizações regulares para impedir que vírus, trojans ou ransomwares comprometam sistemas — quando um banco bloqueia que clientes instalem aplicativos não autorizados nos terminais de autoatendimento, por exemplo.

Na prática, isso significa realizar monitoramento contínuo de logs e comportamento de sistema para detectar padrões anômalos típicos de malware — como criptografia de massa de arquivos ou comunicação com servidores de comando e controle.

Mecanismos de rastreabilidade

Rastreabilidade é sobre manter registros detalhados de quem acessou o que, quando e de onde — em caso de incidentes, fica mais fácil fazer auditorias e identificar causas.

Esses mecanismos ajudam a investigar incidentes, atribuir responsabilidades e demonstrar o devido cuidado à autoridade reguladora (como o Banco Central). Levando em conta a Resolução CMN 4.893/2021, a rastreabilidade é requisito mínimo. 

Controles de acesso e segmentação de redes

Controles de acesso existem para garantir que cada usuário ou sistema só tenha permissão para o que realmente precisa. Por exemplo, desenvolvedores de sistemas não deveriam ter acesso aos dados dos clientes em produção.

Essa segmentação de redes vem para separar partes da infraestrutura para que, se uma parte for comprometida, não afete todo o sistema. Inclusive, tudo isso é explicitamente exigido na Resolução CMN 4.893/2021. 

Manutenção de backups

Manter cópias de segurança dos dados é um requisito básico para manter a continuidade dos serviços. Assim, se um ataque de ransomware criptografar servidores, o banco pode restaurar o backup e seguir operando.

Gerenciamento de certificados digitais

Os certificados digitais existem para fins de identidade, integridade e criptografia nos sistemas. Quando um documento digital é assinado, por exemplo, o certificado mostra quem assinou, quando e se o documento foi alterado depois.

Inclusive, uma instituição financeira deve ter uma política específica para emissão, revogação e renovação de certificados, além de auditoria dos usos – para evitar ataques como “man-in-the-middle” ou uso indevido de assinatura digital.

Segurança de dispositivos móveis

Com o aumento de acessos via smartphones e tablets, naturalmente proteger dispositivos móveis virou prioridade. Isso inclui controles de acesso, criptografia de dados no dispositivo, políticas de “wipe remoto” e análise de comportamento.

Você com certeza já sentiu isso na pele. Afinal, se acessa o seu banco pelo celular, com certeza precisa passar por biometrias e autenticação de dois fatores para acessar suas informações.

Gerenciamento de dados de cartões de pagamento

Dados de cartões de pagamento (como o código de segurança) exigem proteção especial para evitar fraudes. na prática, isso inclui criptografia, tokenização, segregação de ambientes e auditoria.

Uma instituição financeira, portanto, deve assegurar que tais dados nunca fiquem em texto aberto em e-mails ou arquivos compartilhados, e que acessos a eles sejam monitorados e restritos.

Terminal de autoatendimento

Os terminais de autoatendimento (caixas eletrônicos e totens) também devem ser protegidos contra adulterações, instalação de skimmers, malwares ou captura de credenciais. Nesse caso, o controle inclui blindagem física, sensores de violação, atualizações do sistema e monitoramento em tempo real.

Além disso, a rede que conecta esses terminais deve ser segmentada, os logs de acessos devem ser rastreados e os backups de configurações devem estar em dia.

Como promover uma cultura de segurança cibernética?

Para promover uma cultura de segurança, não basta apenas implantar tecnologia — o processo completo envolve treinar pessoas, definir responsabilidades e manter práticas diárias. 

Para você entender esse sistema com mais clareza, dá uma olhada nesta tabela com boas práticas:

Quais são os KPIs para avaliar a efetividade das medidas de segurança cibernética?

Para avaliar se a política de segurança está funcionando, são utilizados indicadores chave (KPIs). Alguns deles são:

• Tempo médio de detecção de incidente (MTTD): mede quanto tempo leva para identificar uma falha ou ataque. Aqui, uma média mais baixa indica maior prontidão;
• Tempo médio de resposta a incidente (MTTR): avalia quanto tempo a equipe leva para conter e recuperar após detecção. Quanto menor o MTTR, mais eficiente a resposta;
• Número de vulnerabilidades críticas encontradas e corrigidas: este KPI mostra se a instituição está fechando as brechas descobertas. Se muitas vulnerabilidades permanecem abertas, então é sinal de problema;
• Percentual de funcionários treinados em segurança: mede a cobertura de conscientização. Então, se poucos são treinados, o risco de erro humano é maior;
• Taxa de falhas de autenticação ou tentativas de acesso irregular: ajuda a identificar se controles de acesso estão sendo ultrapassados.

Como devem ser realizadas auditorias de segurança cibernética?

Auditorias de segurança cibernética são processos estruturados de avaliação dos controles, práticas e riscos relacionados à segurança da informação de uma organização. Na prática, seguem este padrão, em geral:

1. Planejamento e escopo;
2. Inventário e classificação de ativos;
3. Avaliação de riscos e priorização de testes;
4. Testes técnicos;
5. Testes de controles de processo e conformidade;
6. Avaliação de terceiros e cadeia de suprimentos;
7. Revisão de detecção, monitoramento e resposta;
8. Teste de continuidade de negócios e recuperação;
9. Revisão de proteção de dados e conformidade com LGPD;

Abaixo, você vai ter uma noção melhor do que acontece em cada etapa.

1. Planejamento e escopo

O primeiro passo de uma auditoria de segurança cibernética é o planejamento. Nessa fase, a instituição define o objetivo do trabalho, os sistemas e redes que serão avaliados, os critérios de sucesso e o cronograma das atividades. Também é decidido se a auditoria será interna, conduzida pela própria equipe, ou independente, feita por terceiros. 

E mais: o Banco Central do Brasil exige que o escopo da auditoria esteja formalmente documentado, com a identificação do responsável estatutário pela política de segurança cibernética. 

2. Inventário e classificação de ativos

Esse passo consiste em identificar todos os recursos tecnológicos da instituição — servidores, bancos de dados, sistemas, certificados digitais, APIs e dispositivos.

Cada ativo precisa ser classificado conforme sua criticidade e nível de confidencialidade, ou seja, o quanto é sensível e o impacto que sua falha poderia causar. 

Para esse levantamento, podem ser usadas ferramentas de varredura de rede, cruzamento de informações com bases de dados internas e entrevistas com equipes de TI e operações. O resultado é um mapa atualizado dos ativos, com identificação de lacunas e justificativas para cada classificação. 

3. Avaliação de riscos e priorização de testes

Depois de conhecer os ativos, o próximo passo é avaliar os riscos associados a eles. Essa análise cruza o impacto potencial de uma falha com a probabilidade de ela ocorrer — se cria uma matriz na qual é possível priorizar os testes técnicos e de processo. 

Por exemplo, sistemas que lidam com autenticação, criptografia e backups geralmente estão entre os de maior risco e, portanto, devem ser testados primeiro.

4. Testes técnicos

Os testes técnicos são a parte prática da auditoria. Aqui, se verifica se os controles de segurança realmente funcionam. Eles envolvem varreduras automatizadas de vulnerabilidades (vulnerability scanning), testes de penetração (pen-test) e revisão de configurações e hardening. 

Em termos mais diretos, esses testes simulam ataques reais para descobrir falhas exploráveis e confirmar se as defesas resistem a tentativas de invasão. Os resultados desses testes devem ser documentados em relatórios técnicos que incluam as vulnerabilidades encontradas, as provas de conceito, capturas de tela e recomendações priorizadas. 

5. Testes de controles de processo e conformidade

Essa etapa examina como os processos internos são conduzidos e se estão de acordo com as políticas de segurança e com as normas da Resolução CMN nº 4.893. Aqui se testam atividades de rotinas, como: 

• Gestão de acessos; 
• Segregação de funções; 
• Criação e exclusão de usuários; 
• Aplicação de patches;
• Políticas de backup e recuperação. 

Uma curiosidade: muitas vulnerabilidades não surgem de falhas técnicas, mas sim de processos mal executados — por exemplo, quando um funcionário mantém privilégios de administrador sem necessidade.

6. Avaliação de terceiros e cadeia de suprimentos

Como muitas instituições financeiras dependem de serviços externos — como provedores de nuvem e empresas de tecnologia —, é necessário avaliar o risco que esses terceiros representam. 

O processo envolve revisar contratos, cláusulas de auditoria, SLAs e relatórios de segurança. Outra tarefa importante é a de confirmar se os fornecedores cumprem os mesmos padrões de segurança exigidos pela Resolução CMN nº 4.893, especialmente no tratamento e armazenamento de dados.

7. Revisão de detecção, monitoramento e resposta

Essa fase foca em avaliar se a instituição tem capacidade de detectar e reagir rapidamente a incidentes cibernéticos. São analisados o funcionamento do SIEM (Sistema de Gestão de Eventos e Informações de Segurança), os playbooks de resposta, e os tempos de detecção e resposta, por exemplo.

Também é verificado se todos os logs críticos estão sendo coletados e armazenados conforme as exigências do Banco Central. Aqui, a auditoria pode incluir simulações de incidentes e revisões de casos reais para verificar se as lições aprendidas foram aplicadas. 

8. Teste de continuidade de negócios e recuperação

O teste de continuidade de negócios avalia se a instituição está preparada para manter suas operações durante falhas críticas, como interrupções de sistemas ou desastres. 

Nessa etapa, são revisados o plano de continuidade (BCP), o plano de recuperação de desastres (DRP) e os relatórios de testes realizados. Também é feita a validação prática por meio de simulações e restauração de backups em ambiente controlado.

9. Revisão de proteção de dados e conformidade com LGPD

Por fim, a auditoria revisa como a instituição trata dados pessoais e informações de pagamento. São verificados processos de: 

• Anonimização; 
• Criptografia; 
• Tokenização; 
• Controle de acesso; 
• Retenção de dados. 

Também se avalia se a instituição cumpre os requisitos da LGPD e, quando aplicável, as normas de segurança de cartões de pagamento (PCI-DSS).

Quais são as penalidades para o não cumprimento das normas de segurança cibernética?

Quando essas exigências não são cumpridas, a instituição fica sujeita a penalidades administrativas, financeiras e reputacionais. Veja quais são as penas aplicáveis:

• Advertência formal: utilizada em casos de descumprimentos leves, serve como alerta para que a instituição adote as medidas corretivas necessárias. Não envolve multa, mas a advertência fica registrada e pode influenciar futuras fiscalizações do Banco Central;
• Multa administrativa: quando há falhas graves na proteção de dados ou na estrutura de segurança cibernética, o Banco Central pode aplicar multas proporcionais à gravidade da infração. Em alguns casos, os valores podem chegar a milhões de reais, variando conforme o porte da instituição e o potencial dano aos clientes;
• Suspensão de atividades ou serviços: caso o descumprimento represente risco à estabilidade do sistema financeiro ou à segurança dos dados dos clientes, o BCB pode suspender temporariamente operações, produtos ou serviços até que as falhas sejam corrigidas;
• Inabilitação de administradores: o Banco Central também pode inabilitar dirigentes que tenham atuado com negligência grave ou dolo em relação à segurança cibernética, impedindo essas pessoas de exercer cargos de direção em instituições supervisionadas.
• Responsabilização civil e penal: em situações que envolvem vazamento de dados pessoais, podem ser aplicadas penalidades da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), como multas de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração), além de possíveis ações civis e criminais.

Além dessas penas, não posso deixar de mencionar os danos à reputação da empresa. Mesmo sem uma multa direta, o Banco Central pode determinar que a instituição publique relatórios de conformidade, apresente um plano de melhoria e submeta-se a auditorias frequentes.

Tudo isso, é claro, causa um impacto bem grande na imagem da companhia e na sua credibilidade no mercado.

Quais são as principais tendências em segurança cibernética?

As tendências em segurança cibernética envolvem avanços que mudam a forma como as instituições se protegem: uso crescente de Inteligência Artificial e machine learning, adoção de arquitetura Zero Trust, migração para nuvem com segurança reforçada, criptografia homomórfica, blockchain, foco em segurança da cadeia de suprimentos, Internet das Coisas (IoT) e proteção de dados pessoais são os principais exemplos.

Veja a seguir um pouco mais sobre cada um.

Inteligência Artificial (IA) e Machine Learning (ML)

IA e ML têm sido usadas para detectar padrões de ataque, prever vulnerabilidades e automatizar respostas a incidentes. Por exemplo, um sistema de ML pode analisar o tráfego de rede e identificar tentativa de intrusão antes mesmo que ela aconteça.

Essas tecnologias também aprendem com histórico de ataques, então é possível refinar as defesas ao longo do tempo. No entanto, requerem dados de qualidade, infraestrutura segura e equipe especializada para interpretar os resultados.

Segurança Zero Trust

A abordagem Zero Trust parte da premissa “nunca confie, sempre verifique” — isso significa que mesmo usuários dentro da rede devem ser autenticados e autorizados para cada operação.
Com essa abordagem, o risco de invasão via credenciais roubadas fica menor. Para funcionar, a técnica exige segmentação de rede, micro-segmentação, autenticação contínua e monitoramento em tempo real.

Segurança baseada em nuvem

Com a migração de serviços para a nuvem, a segurança baseada em nuvem foca em como proteger dados, aplicativos e infraestrutura hospedados externamente. Ao contratar serviço de nuvem, por exemplo, a instituição bancária precisa contar com criptografias, controles de acesso, auditorias e recuperação de dados, conforme requisitos da Resolução CMN 4.893/2021.

Além disso, há necessidade de avaliar cuidadosamente cada prestador de serviço, verificar se eles atendem às exigências regulatórias e assegurar que os dados sejam recuperáveis ou acessíveis em caso de incidente ou exclusão desses fornecedores.

Criptografia homomórfica

A criptografia homomórfica é o que permite que dados permaneçam criptografados mesmo enquanto são processados — assim, um sistema bancário pode consultar transações ou realizar cálculos sem “descriptografar” informações sensíveis. Consequentemente, a superfície de ataque é reduzida e a privacidade dos dados em uso se mantém.
Aqui, temos uma tecnologia que ainda é emergente, mas mostra grande potencial em ambientes regulados como o financeiro.

Blockchain

O blockchain é um registro distribuído que permite rastrear transações de forma imutável e transparente. No contexto bancário, pode ser usado para log de eventos de segurança, verificação de integridade de dados ou pagamento interbancário seguro.

Usando um blockchain para rastreabilidade ou auditoria, a instituição ganha uma camada adicional de proteção contra manipulação, fraude ou alteração indevida de registros.

Segurança de cadeia de suprimentos

Segurança de cadeia de suprimentos (muitíssimo conhecida como supply-chain) existe para proteger todos os fornecedores, prestadores de serviços e componentes externos que participam da infraestrutura de TI da instituição. Imagine só: se um banco contrata um fornecedor de software que tem vulnerabilidade, isso pode abrir brecha para ataque.

Portanto, contratos, auditorias, avaliação de segurança de terceirizados e controles de acesso devem estender-se além dos muros da organização. 

Segurança de dispositivos IoT

A Internet das Coisas (IoT) traz riscos porque muitos dispositivos têm recursos de segurança básicos e são alvos fáceis para botnets ou intrusões. 

Trazendo isso para o contexto bancário ou de pagamento, dispositivos como terminais de autoatendimento, caixas eletrônicos conectados ou sensores de ambiente precisam de gestão de firmware, monitoramento e segmentação de rede.

Dessa maneira, a IoT deixa de ser risco para se tornar parte de uma infraestrutura sob controle.

Segurança de dados pessoais

A proteção de dados pessoais é tanto uma exigência regulatória (como a Lei Geral de Proteção de Dados), quanto um componente de segurança cibernética. Por isso, dados identificáveis devem ser cifrados, acessados apenas por quem tem autorização e destruídos ou anonimizados quando não mais necessários.

Além disso, é claro, uma instituição financeira deve garantir que qualquer vazamento ou uso indevido de dados pessoais de clientes seja rapidamente detectado, reportado e contido.

Continue aprendendo com a Top

Daqui pra frente, queremos ver você mandando bem quando o assunto for a segurança cibernética e a Resolução CMN n° 4.893, combinado? 

Se esse conteúdo foi útil para você, aproveita o momento para continuar aprendendo e descomplicando conteúdos do mercado financeiro com a gente. No canal da TopInvest no YouTube, por exemplo, você encontra vários vídeos que são verdadeiras aulas, com didática simplificada e feitos para fazer você se tornar um profissional Top! Nos vemos por lá?