Compliance & Cyber Security

1. Autenticação

Implementação de mecanismos de autenticação robusta para acesso a sistemas, redes e dados sensíveis. Inclui autenticação multifatorial (MFA) obrigatória para todos os acessos administrativos aos ambientes Pix e STR, bem como para acessos remotos e sistemas críticos.

​

​2. Mecanismos de Criptografia

Proteção de dados em trânsito e em repouso por meio de criptografia. Inclui gestão rigorosa de certificados digitais e chaves criptográficas, sendo vedado o acesso de terceiros — incluindo provedores de nuvem — às chaves privadas utilizadas para assinatura digital de mensagens e transações.

​

3. Prevenção e Detecção de Intrusão 
Mecanismos ativos de prevenção e detecção de intrusões (IDS/IPS) cobrindo tanto sistemas próprios quanto ativos de terceiros que operam na infraestrutura da instituição. Os sistemas devem monitorar continuamente o tráfego de rede e acessos em busca de comportamentos anômalos.

​

4. Prevenção de Vazamentos de Informação (DLP) 
Controles de Data Loss Prevention (DLP) para evitar a exfiltração de dados sensíveis, tanto por agentes externos quanto por ameaças internas. Abrange dados de clientes, informações transacionais e dados de infraestrutura crítica.

​

5. Proteção contra Softwares Maliciosos  
Soluções de proteção contra malware (antivírus, EDR/XDR) em endpoints, servidores e ambientes de nuvem, com cobertura também sobre sistemas de terceiros integrados. As soluções devem ser mantidas atualizadas e com varreduras periódicas documentadas.

• Endopoint Detection and Response (EDR)

​

6. Rastreabilidade   
Trilhas de auditoria completas ao longo de todo o processamento de transações, com rastreabilidade de operações e acessos relevantes. Inclui retenção adequada de logs com armazenamento seguro e íntegro, garantindo que registros não possam ser alterados ou excluídos indevidamente.

​

7. Gestão de Cópias de Segurança (Backup)  
Política formal de backup com procedimentos de recuperação testados periodicamente. Deve garantir a continuidade operacional em caso de incidentes cibernéticos, com cópias armazenadas em ambientes segregados e com controles de acesso específicos.

• Backup & Replication

​

8. Avaliação e Correção de Vulnerabilidades   
Realização de testes de intrusão (pentest) ao menos uma vez por ano, conduzidos por profissionais ou empresas independentes. Os resultados devem ser documentados com planos de ação para remediação das vulnerabilidades identificadas. Todos os relatórios e evidências devem ser mantidos à disposição do BCB por um período mínimo de 5 anos.

​

9. Controles de Acesso
Gestão de identidades e acessos (IAM/PAM) com aplicação do princípio do menor privilégio, revisão periódica de permissões e controle rigoroso sobre acessos privilegiados. Inclui gerenciamento do ciclo de vida de contas de usuário e procedimentos formais para concessão e revogação de acessos.

• Identity Privilege Access Management (PAM)

​

10. Perfis de Configuração de Segurança (Hardening)   
Definição e aplicação de baselines de configuração segura para todos os ativos de tecnologia: servidores, endpoints, dispositivos de rede, contêineres e ambientes de nuvem. As configurações devem ser documentadas, revisadas periodicamente e aplicadas de forma padronizada.

• Hardening - Secure Configurations​

 

11. Proteção de Redes
Controles de segmentação e proteção de redes, incluindo isolamento físico e lógico obrigatório dos ambientes Pix e STR dos demais sistemas da instituição. Em ambientes de nuvem, esses ambientes devem ser mantidos segregados por meio de controles equivalentes. Inclui firewalls, DMZs e monitoramento de tráfego.

​

12. Gestão de Certificados Digitais 
Controle do ciclo de vida completo de certificados digitais: emissão, renovação, revogação e armazenamento seguro de chaves privadas. Inclui validação da integridade das transações antes da assinatura e proibição expressa de acesso de terceiros às chaves privadas institucionais.

​

13. Segurança de APIs (Interfaces Eletrônicas)
Requisitos de segurança específicos para integração por interfaces eletrônicas (APIs), cobrindo autenticação, autorização, criptografia de tráfego, controle de versões, rate limiting e monitoramento de uso. Aplica-se às APIs do Open Finance, Pix e demais integrações com parceiros e terceiros.

​

14. Inteligência Cibernética (CTI) 
Ações de inteligência no ambiente cibernético (Cyber Threat Intelligence), incluindo monitoramento contínuo em Internet aberta, Deep Web, Dark Web e grupos privados. As instituições devem adotar postura preditiva, identificando menções à marca ou infraestrutura e movimentações de grupos criminosos antes que se concretizem em ataques.