Cibersegurança no Setor Financeiro: Entenda o Antes e Depois das Novas Normas do Banco Central

O mercado financeiro brasileiro passou por uma de suas maiores transformações estruturais em termos de segurança cibernética. Com a entrada em vigor das resoluções CMN nº 5.274/2025 e BCB nº 538/2025 do Banco Central, o que antes era tratado por muitas empresas como uma boa prática ou um investimento opcional tornou-se uma obrigação legal rigorosa. A era da segurança reativa ficou para trás, exigindo que as instituições comprovem ativamente sua resiliência contra ataques e fraudes digitais.

Como o mercado operava antes das regras

Para entender o peso dessa mudança, é preciso olhar para como o mercado operava antes dessas novas regras. Anteriormente, o cenário era guiado por diretrizes mais genéricas e flexíveis, onde a segurança digital dependia muito da maturidade e do orçamento de cada empresa.

A realização de testes de invasão (Pentests) era vista por muitas fintechs e instituições de menor porte como um procedimento eventual, muitas vezes limitado a varreduras automáticas feitas pela própria equipe interna. Não havia uma exigência explícita de periodicidade anual, nem a obrigação de contratar auditorias independentes. Além disso, a fiscalização sobre a cadeia de fornecedores e parceiros de tecnologia era muito mais frouxa: uma empresa podia proteger seus sistemas internos, mas acabava integrando APIs de terceiros sem exigir o mesmo rigor técnico.

O fim da autorregulação e o foco no Pix e Open Finance

As novas resoluções romperam definitivamente com esse modelo de autorregulação e estabeleceram um ecossistema de conformidade rígida. O grande objetivo do regulador é blindar o sistema de pagamentos, especialmente diante da expansão do Pix e do Open Finance, onde a superfície de exposição a golpes e invasões aumentou significativamente.

Por adotar o princípio da simetria técnica, o rigor da fiscalização do Banco Central não poupa os players menores. Cooperativas de crédito, financeiras, instituições de pagamento, fintechs e empresas que operam crédito próprio ou intermediam operações baseadas em tecnologia estão todas sob o mesmo radar, independentemente do tamanho do negócio.

Custos operacionais vs. riscos de sobrevivência

Essa transição traz desafios práticos imediatos, mas também grandes benefícios. Por um lado, o amadurecimento forçado do mercado permite identificar falhas críticas de configuração, problemas de autenticação robusta (MFA) e pontos frágeis nas integrações antes que um criminoso os explore. Por outro lado, há um custo financeiro recorrente com consultorias e uma sobrecarga nas equipes de TI, que precisam correr para corrigir as falhas apontadas.

O maior perigo para quem ignorar as regras vai muito além de multas pesadas; envolve a suspensão de licenças de operação, a rescisão de contratos por parte de grandes parceiros comerciais e a destruição da reputação em um mercado que vive essencialmente de confiança.

Requisitos indispensáveis para a regularização

Dentro desse novo cenário, existem exigências específicas que são absolutamente inegociáveis. Para que uma instituição permaneça regularizada, os seguintes requisitos são indispensáveis:

• Pentests periódicos: Realização obrigatória de testes de invasão anuais conduzidos por equipes ou profissionais independentes.
• Planos de mitigação: Documentação formal de todas as falhas encontradas e dos respectivos planos de ação para correção rápida.
• Responsabilidade estendida: Garantia e comprovação de que fornecedores de tecnologia e prestadores de serviços terceirizados sigam os mesmos padrões de segurança.
• Rastreabilidade e auditoria: Manutenção de registros, logs e evidências dos testes por um período mínimo de 5 anos para fins de fiscalização.

O Pentest como investimento estratégico obrigatório

O Pentest deixou de ser um projeto de tecnologia eventual para se tornar parte do orçamento estratégico anual obrigatório. Para mitigar os riscos de penalidades e garantir a sobrevivência no mercado atual, o caminho recomendado é buscar serviços especializados em segurança ofensiva focados em Pentests de Aplicação Web/Mobile, de APIs e de Infraestrutura de Nuvem.

Referências

• Resolução CMN 5.274/2025
• Resolução BCB 538/2025

Conecte-se com o autor para networking e/ou dúvidas: LinkedIn