Durante muito tempo, a segurança cibernética foi tratada por algumas organizações como um conjunto de políticas, procedimentos e ferramentas que deveriam existir para atender auditorias e reduzir riscos. A Resolução CMN nº 5.274, publicada em dezembro de 2025, reforça uma mudança importante nessa lógica para as instituições autorizadas a funcionar pelo Banco Central: não basta declarar que os controles existem. É necessário implementá-los, acompanhá-los e manter evidências do trabalho realizado.
A norma altera a Resolução CMN nº 4.893, de 2021, que trata da política de segurança cibernética e da contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. O novo texto detalha controles mínimos e amplia as obrigações relacionadas à proteção da infraestrutura tecnológica do sistema financeiro.
Na prática, bancos, cooperativas de crédito e outras instituições alcançadas pela resolução precisam olhar para a segurança como uma atividade permanente de gestão. Isso envolve saber quem acessa os ambientes tecnológicos, quais dispositivos estão conectados, onde existem vulnerabilidades, como os eventos atípicos são identificados e quais registros permitem reconstruir uma operação quando ocorre uma falha ou suspeita de fraude.
Controles de acesso mais rigorosos
Um dos pontos que mais chamam a atenção é o uso de múltiplos fatores de autenticação. A exigência, porém, precisa ser entendida dentro de seu escopo. A resolução determina múltiplos fatores para o acesso à rede corporativa a partir de ambientes externos. Também estabelece esse controle para o acesso administrativo aos ambientes Pix e do Sistema de Transferência de Reservas, o STR, no contexto da comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional.
Isso significa que adotar MFA em alguns aplicativos isolados não encerra o assunto. A instituição precisa avaliar os caminhos de acesso à rede, as contas administrativas, os dispositivos autorizados e as permissões concedidas a funcionários e terceiros. A norma também prevê revisão periódica e tempestiva das permissões, com atenção especial aos colaboradores terceirizados que acessam recursos computacionais da instituição.
O efeito esperado é reduzir a dependência de senhas como única barreira. Uma credencial comprometida continua sendo um problema, mas a existência de outro fator de autenticação e de controles sobre o dispositivo e o contexto de acesso torna mais difícil transformar essa credencial em uma invasão bem-sucedida.
Saber o que aconteceu passa a ser parte central da segurança
A rastreabilidade recebe tratamento detalhado. A instituição deve manter trilhas de auditoria do processamento de dados e informações de ponta a ponta. Os registros precisam ajudar a identificar falhas de processamento, comportamentos atípicos e elementos úteis para análises posteriores.
Não se trata apenas de gerar grandes volumes de logs. Também é necessário definir por quanto tempo as informações serão mantidas, considerando o tipo de processamento, e assegurar a retenção segura dessas trilhas. Um registro que pode ser alterado sem controle, que não possui contexto ou que desaparece antes de uma investigação tem pouco valor prático.
Essa exigência aproxima as áreas de segurança, infraestrutura, desenvolvimento, operações e negócio. Para reconstruir uma transação, pode ser necessário combinar eventos produzidos por diferentes sistemas. Se cada equipe registra informações de maneira incompatível, a investigação se torna lenta e incompleta, mesmo quando todas afirmam possuir logs.
Vulnerabilidades precisam gerar ação documentada
A resolução também detalha a avaliação e a correção de vulnerabilidades. Ela prevê testes e análises periódicos em sistemas, varreduras dos recursos tecnológicos, identificação de dispositivos conectados indevidamente à rede, testes de intrusão e correção tempestiva das vulnerabilidades encontradas.
Os testes de intrusão devem ocorrer pelo menos uma vez por ano e ser realizados com independência e imparcialidade por profissional ou empresa especializada contratada para essa finalidade. A realização de testes pela própria equipe interna pode continuar, mas não substitui essa exigência de avaliação independente.
Os resultados precisam ser documentados, incluindo as vulnerabilidades identificadas e os planos de ação definidos para corrigi-las. Essa documentação deve permanecer à disposição do Banco Central por cinco anos, contados da data de realização do teste.
Esse ponto muda a conversa dentro da instituição. Encontrar uma falha não é o fim do processo, assim como contratar um teste não é prova suficiente de maturidade. É preciso registrar o resultado, definir responsáveis, estabelecer ações e demonstrar que as correções foram tratadas. Uma lista antiga de vulnerabilidades sem prioridade ou acompanhamento pode revelar justamente a distância entre o controle descrito e o controle executado.
Monitoramento envolve conexões, credenciais e comportamentos atípicos
O texto exige mecanismos de proteção de rede e controles capazes de identificar, analisar, tratar e controlar eventos atípicos no ambiente de produção. Entre os exemplos estão conexões por VPN e tentativas de acesso privilegiado, especialmente em horários noturnos e dias não úteis.
Também há exigências relacionadas ao monitoramento de conexões com ambientes externos, ao uso de credenciais e certificados digitais e a ações de inteligência cibernética. Estas incluem acompanhar informações de interesse da instituição na internet, na Deep Web, na Dark Web e em grupos privados de comunicação.
Na operação diária, isso demanda mais do que instalar uma ferramenta de monitoramento. A instituição precisa definir o que considera um evento relevante, quem recebe os alertas, como eles são investigados, quais situações exigem escalonamento e como a resposta fica registrada. Sem essas decisões, o excesso de notificações pode esconder exatamente o evento que exigia atenção.
A responsabilidade não desaparece com a terceirização
A resolução deixa claro que os controles também alcançam, quando aplicável, sistemas adquiridos ou desenvolvidos por prestadores de serviços e executados com recursos computacionais da própria instituição. O objetivo é evitar que a terceirização do desenvolvimento seja usada como uma lacuna de controle.
Para as instituições, isso exige rever a relação com fornecedores. Contratos, critérios de acesso, responsabilidades, evidências técnicas e procedimentos de resposta precisam conversar com a política de segurança cibernética. O fornecedor executa parte do trabalho, mas a instituição regulada continua responsável por verificar se os controles aplicáveis foram observados.
A comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional também passa a ser considerada serviço relevante para as regras de contratação de processamento, armazenamento e computação em nuvem, independentemente da forma de conexão. Isso amplia a importância da diligência sobre prestadores que participam de serviços críticos do sistema financeiro.
O desafio agora é transformar requisito em rotina
As instituições que já estavam em funcionamento tiveram até 1º de março de 2026 para realizar as adaptações exigidas. A resolução entrou em vigor na data de sua publicação. Portanto, o tema já não deve ser tratado como uma preparação distante, mas como parte do ambiente regulatório atual.
O trabalho começa pela leitura precisa da norma e pelo mapeamento dos controles existentes. Depois, é necessário verificar se cada controle possui responsável, escopo, frequência, evidência e processo de correção. Políticas podem orientar esse trabalho, mas não substituem registros de execução, testes, trilhas de auditoria e decisões documentadas.
A mudança promovida pelo Conselho Monetário Nacional aponta para uma segurança cibernética mais verificável. O que importa não é apenas a presença de ferramentas ou documentos, mas a capacidade de demonstrar que os controles funcionam no ambiente real, que falhas são identificadas e que as providências tomadas podem ser acompanhadas.
Para bancos e demais instituições reguladas, essa é uma mudança operacional e também de governança. Segurança, tecnologia, risco, compliance, auditoria e liderança precisam compartilhar uma visão comum sobre o que deve ser protegido e sobre quais evidências comprovam que a proteção saiu do papel.
Fontes consultadas para verificação factual
Banco Central do Brasil. Resolução CMN nº 5.274, de 18 de dezembro de 2025.
Banco Central do Brasil. Voto 88/2025–CMN e Voto 185/2025–BCB.
Banco Central do Brasil. Nota “Banco Central atualiza política e requisitos de segurança cibernética de instituições financeiras”.
