Síntese dos principais pontos da Resolução CMN 4.658 sobre política de segurança cibernética e contratação de serviços de processamento, armazenagem de dados e computação em nuvem para instituições financeiras.

1. Meetup @Torq:
Desafios e oportunidades da Resolução 4.658
do CMN sobre política de segurança cibernética
As decorrências práticas sob o prisma
regulatório dos novos requerimentos
de segurança cibernética
Maio de 2018

2. Um pouco sobre mim
Fausto Ferraz de Arruda
Diretor de Serviços | Senior Solution
Consultoria, Projetos de TI e Outsourcing
Formado em Engenharia Elétrica pela UNICAMP, com pós-graduação em
finanças, MBA em banking e especialização em gestão de negócios:
18 anos de experiência na indústria financeira, com passagem por
ABN AMRO, Conglomerado BB e EY;
12 anos de experiência em consultoria regulatória focada em
instituições financeiras.

3. Sobre nossa conversa de hoje
1. Relevância dos incidentes cibernéticos no Brasil e no mundo
2. Peças fundamentais nos requerimentos de segurança cibernética
3. Evolução da visão do regulador sobre armazenagem de dados
4. Requisitos na contratação de serviços de armazenagem e nuvem
5. Framework sugerido para implantação
6. Timeline de adequação e implementação dos requerimentos

4. Relevância dos incidentes cibernéticos no Brasil e no mundo
US$ 170 bi
em 2020
Estimativa de
gasto global com
segurança cibernética
US$ 2 tri
em 2020
Estimativa de
prejuízo global com
violação de dados
4 vezes mais do
que o registrado
em 2015!
2 vezes mais do
que o registrado
em 2017!
76%
89%
85%
86%
2016
2017
2016
2017
Incidência de crimes cibernéticos
em empresas:
Brasil
Mundo
Fontes: Kroll e Valor Econômico
A indústria de serviços financeiros está entre os 3 setores
mais impactados (abaixo, visão de todos os setores):

5. Peças fundamentais nos requerimentos de segurança cibernética
Diretrizes: confidencialidade, integridade e disponibilidade dos dados e sistemas;
Compatibilidade: porte/perfil/natureza/complexidade da instituição/operação e
sensibilidade das informações (em linha com os princípios de “risk based approach”);
Conteúdo mínimo: [i] objetivos, [ii] procedimentos e controles de redução de vulnerabilida-
des, [iii] controles específicos de segurança/rastreabilidade, [iv] classificação das informa-
ções, [v] registro e avaliação de relevância de incidentes, [vi] cenários de incidentes para
testes de continuidade, [vii] procedimentos e controles para prevenção e tratamento de
incidentes por empresas prestadoras de serviço, [viii] disseminação da cultura de segurança
cibernética, e [ix] compartilhamento de informações sobre incidentes relevantes às demais
instituições;
Divulgação: integral a funcionários e empresas prestadoras de serviço, e resumo ao público;
Revisão e manutenção: no mínimo anualmente, ficando à disposição do BACEN por 5 anos;
Aprovação: conselho de administração (*) ou diretoria executiva;
Responsabilidade: designição no Unicad de diretor estatutário responsável;
Ações adicionais: atualização das políticas de gerenciamento de riscos e do PCN.
1. POLÍTICA
O Banco Central do Brasil definiu 3 peças fundamentais para endereçamento dos requerimentos
regulatórios de segurança cibernética pelas instituições:

6. Peças fundamentais nos requerimentos de segurança cibernética
2. PLANO DE
AÇÃO E RESPOSTA
Diretriz: efetividade na implementação da política de segurança cibernética;
Conteúdo mínimo: [i] conjunto de ações de adequação das estruturas organizacional e
operacional, [ii] rotinas, procedimentos, controles e tecnologias para prevenção e resposta a
incidentes, [iii] área responsável pelo registro e controle de incidentes relevantes;
Revisão e manutenção: no mínimo anualmente, ficando à disposição do BACEN por 5 anos;
Aprovação: conselho de administração (*) ou diretoria executiva;
Responsabilidade: designação no Unicad de diretor estatutário responsável (o mesmo).
3. RELATÓRIO
ANUAL
Diretriz: efetividade na implementação do plano de ação;
Conteúdo mínimo: [i] resumo dos resultados obtidos nas ações de prevenção e resposta a
incidentes, [ii] incidentes relevantes no período, e [iii] resultado dos testes de continuidade
considerando os cenários de incidentes;
Periodicidade e manutenção: anualmente (até 31 de março do ano seguinte ao da data-
base), ficando à disposição do BACEN por 5 anos;
Aprovação: comitê de riscos (*) e conselho de administração (*) ou diretoria executiva.
(*) caso exista

7. Evolução da visão do regulador sobre armazenagem de dados
Foco em cyber security
Comportilhamento de
experiências/incidentes
Fim da “territorialidade”
Adaptação/capacitação
dos provedores
Princípio da “territorialidade”
Fintechs nascendo
“na nuvem” e bancos
migrando dados e
sistemas não críticos
Marco regulatório
de segurança
cibernética
(BACEN)
Adoção de
data centers
terceirizados
2014/2015
Visão orientada a: (i) vedação da contratação de serviços processamento,
armazenamento de dados e computação em nuvem prestados no exterior, e
(ii) manutenção no país das informações armazenados pela empresa
contratada e das cópias de segurança dos dados.
Blockchain???
◦◦◦
Primeiras iniciativas
de regulação
(ANBIMA e CVM)
2016/2017 2018/2019◦◦◦

8. Requisitos na contratação de serviços de armazenagem e nuvem
Na verificação prévia de capacidade do provedor: [i] cumprimento da legislação e da regu-
lamentação vigente, [ii] acesso irrestrito aos dados e informações, [iii] confidencialidade,
integridade, disponibilidade e recuperação, [iv] certificações necessárias, [v] relatório de
auditor independente, [vi] informações sobre monitoramento dos serviços, [vii] controles
para segregação de dados de clientes, e [viii] controles para proteção de dados de clientes;
Na contratação do provedor de serviço: [i] comunicação prévia ao BACEN (60 dias) sobre
nova contratação ou alteração contratual, [ii] em caso de extinção do contrato, obrigação de
tranferência de dados ao novo provedor e posterior exclusão dos mesmos, [iii] acesso irres-
trito da contratante a informações relativas ao cumprimento dos requisitos, [iv] notificação
sobre subcontratação e limitações na prestação de serviços, [v] permissão de acesso ao
BACEN aos dados e informações armazenados, [vi] adoção de novas medidas determinadas
pelo regulador, e [vii] contrato à disposição do BACEN por 5 anos;
Quando os serviços forem prestados no exterior: [i] existência de convênio para troca de in-
formações entre BACEN e autoridades dos países em questão, [ii] definição prévia de países e
regiões onde os serviços poderão ser prestados, [iii] alternativas de continuidade de negócios
no caso de extinção do contrato, [iv] não restrição ao acesso da contratante e BACEN por par-
te da legislação dos países, [v] comprovação documental à disposição do BACEN por 5 anos.
CONTRATAÇÃO
DE SERVIÇOS

9. Framework sugerido para implantação
Assessment dos
riscos cibernéticos
Política de segurança
cibernética
Plano de ação e
resposta
Adequação da política
de riscos e do PCN
Critérios de contratação
de provedores
Implementar
processos/controles
Testar, monitorar e
analisar incidentes
Relatório anual
1
2
3
4
5
“Loop” de
melhoria
contínua
Treinamento e
divulgação

10. Timeline de adequação e implementação dos requerimentos
06/05/2019 31/12/202126/10/201826/04/2018
Marco regulatório
de segurança
cibernética
(BACEN)
Apresentação do
cronograma de
adequação para as
instituições que já
tiverem contratado
serviços relevantes de
processamento,
armazenagem de dados
e computação em
nuvem
Aprovação da política
de segurança
cibernética e do
plano de ação e
resposta pelo
conselho de
administração ou
diretoria executiva
Prazo máximo previsto
em cronograma para
efetiva adequação em
termos de comunicação,
requisitos e contratos
Endereçamento e conclusão das adequações
180 dias
31/03/2020
Prazo máximo para
emissão do primeiro
relatório anual
sobre a efetiva
implementação do
plano de ação e
resposta (*)
Implementação do plano de ação e resposta
(*) se a política não for publicada antes de 2019

11. OBRIGADO!