Especialista aponta três motivos que explicam por que exigências do CMN e do BC transformam a segurança digital em um tema auditável e mensurável
A segurança digital deixou de ser um conceito abstrato e passou a ter nome, forma e evidência. Com as resoluções publicadas pelo Conselho Monetário Nacional (CMN) e pelo Banco Central em 18 de dezembro de 2025, instituições financeiras entram em uma nova era de cobrança regulatória, na qual falhas de cibersegurança não apenas existem, mas podem ser identificadas, rastreadas e auditadas. Segundo a LC SEC, consultoria especializada em cibersegurança e compliance internacional, as normas mudam a lógica do setor ao exigir controles mínimos comprováveis, com prazo de adequação plena até 1º de março de 2026.
O primeiro motivo para essa virada está na obrigatoriedade de controles verificáveis e padronizados. As regras determinam a implementação e comprovação de um conjunto mínimo de 14 controles de cibersegurança, que precisam operar de forma contínua e gerar registros. Entre eles estão autenticação forte, criptografia, prevenção e detecção de intrusão, antimalware, prevenção de vazamento de dados, rastreabilidade, backups, correção de vulnerabilidades, controle de acesso, hardening de sistemas, proteção de rede, gestão de certificados digitais, segurança em APIs e inteligência cibernética com monitoramento constante da internet, deep web e dark web. Para a LC SEC, a padronização elimina a subjetividade sobre o que pode ou não ser considerado segurança adequada.
Segurança no centro da governança
O segundo ponto destacado pela consultoria é que a cibersegurança deixa de ser apenas uma questão técnica e passa a impactar diretamente a governança e as decisões estratégicas. De acordo com Luiz Claudio, CEO e fundador da LC SEC, a exigência de evidências muda o peso do tema dentro das organizações. “Quando o controle precisa ser comprovado, o risco deixa de ser abstrato. Ele passa a influenciar auditorias, conselhos de administração, avaliações de continuidade de negócio e até processos de investimento e M&A”, afirma. Nesse cenário, falhas técnicas deixam de ser episódios isolados e passam a integrar formalmente o mapa de riscos das instituições.
O terceiro motivo está na ampliação da responsabilidade sobre fornecedores, ambientes em nuvem e sistemas críticos. As resoluções deixam claro que os controles devem ser mantidos mesmo quando a tecnologia é terceirizada. Em ambientes sensíveis do Sistema de Pagamentos Brasileiro, como RSFN, Pix e STR, surgem exigências adicionais, incluindo autenticação multifator para acessos administrativos, isolamento físico e lógico dos ambientes — inclusive em nuvem, com instâncias dedicadas —, proteção de chaves criptográficas, monitoramento de certificados digitais e validação de integridade antes da assinatura digital. Além disso, as normas impõem a realização anual de testes de intrusão por empresa independente, com documentação mantida por cinco anos. “Terceirizar tecnologia não significa terceirizar responsabilidade. O regulador cobra de quem presta o serviço financeiro”, resume Luiz Claudio.