Com o aumento crescente das ameaças nos ambientes digitais e a necessidade constante de atualização de serviços eletrônicos e desenvolvimento de inovações tecnológicas no setor financeiro,  o Conselho Monetário Nacional e o Banco Central viram necessidade de definir regras de controle e impor às instituições que estão sob sua supervisão, a contratação de sistemas aptos a lidar com ataques cibernéticos. Para isso, o Bacen editou a Resolução 4.658/18, que determina as regras para as instituições financeiras e a Circular 3909/2018, com regras quase idênticas, mas prazos mais elásticos para adaptação destinada às Instituições de Pagamento.

Em linhas gerais, ambas as regras definem parâmetros a serem observados pelas instituições na definição e implantação da política de segurança cibernética e os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, além das regras e parâmetros para a elaboração e implantação de um plano de ação e de resposta a incidentes.

As duas normas tratam da implantação de políticas e procedimentos para aumentar o nível de segurança e proteção de dados considerados sensíveis, sejam eles dados de transações financeiras, sujeitos às regulamentações do Banco Central, sejam dados pessoais de clientes ou funcionários, sujeitos à GDPR europeia ou à LGDP, alterada pela Medida Provisória nº 869, que têm abrangência sobre todas as empresas.

As ações mais importantes

Uma das primeiras providências a serem tomadas é efetuar um levantamento dos processos que a instituição já possui, para se identificar o que falta para que sejam conforme às novas normas. Em seguida, será necessário implementar algumas ações: elaboração e implementação da Política de Segurança Cibernética e Plano de Ação e de Resposta a Incidentes, nomeação de um dirigente responsável, definição e implementação de rotinas de procedimentos, treinamento de pessoal e adaptação de contratos, em especial com terceiros e prestadores de serviços de armazenamento ou tratamento de dados. Também devem criados os controles internos de verificação de conformidade, monitoramento e reporte.

Normas legais

Ações importantes