Como atender à Resolução BACEN 4.658 na prática?
A Resolução BACEN 4.658/2018 exige que instituições financeiras tenham Política de Segurança Cibernética formal, governança com responsável nomeado, plano de resposta a incidentes, classificação de ativos, gestão de terceiros e reporte ao BACEN de incidentes relevantes via Carta-Circular 3.909. Atender exige roteiro estruturado: governança, controles técnicos, plano de resposta e auditoria independente anual.
O que a Resolução 4.658 e a Circular 4.018 exigem
A Resolução BACEN 4.658/2018 estabelece a obrigatoriedade da Política de Segurança Cibernética para instituições financeiras autorizadas pelo BACEN. A política deve cobrir: classificação de ativos por criticidade, controles de segurança proporcionais ao risco, prevenção/detecção/resposta a incidentes, gestão de terceiros (Art. 11), continuidade de negócios e treinamento de funcionários. A Circular 4.018/2020 complementa estabelecendo o reporte tempestivo de incidentes cibernéticos com potencial relevante via formulário DLR/RDR, dentro de prazo específico (em até 2 horas para classificação inicial e em até 5 dias úteis para detalhamento). Auditoria independente da política deve ser feita anualmente. Não conformidade pode acarretar penalidades administrativas, restrições operacionais e impacto no rating do BACEN.
Roteiro técnico de conformidade BACEN 4.658
Passos mínimos para atender BACEN 4.658 e 4.018: (1) Aprovar formalmente a Política de Segurança Cibernética em Conselho/Diretoria com diretor responsável nomeado (gerente de TI ou CISO); (2) Mapear ativos e classificar por criticidade - sistemas que processam ordens, custódia, dados de clientes recebem prioridade; (3) Implementar controles técnicos: SOC com monitoramento contínuo (próprio ou MSSP qualificado), MFA universal, segregação de funções (SOD), criptografia em trânsito e repouso, gestão de vulnerabilidades, EDR/XDR; (4) Plano de Resposta a Incidentes documentado com classificação por severidade e protocolo DLR para BACEN; (5) Programa formal de gestão de terceiros (Art. 11) - cláusulas contratuais, due diligence de fornecedores críticos, direito de auditoria; (6) Plano de continuidade testado anualmente (compatibilizar com Resolução 4.893/2021); (7) Auditoria independente anual da política e dos controles; (8) Reporte ao BACEN dos incidentes relevantes via DLR/RDR dentro dos prazos.
O papel da Tripla
A Tripla atende bancos médios, fintechs e cooperativas com SOC 24×7 CyberWatch MDR (qualificado para reporte BACEN), vCISO especializado em regulação financeira via Autoritas, e proteção a APIs Open Finance e PIX com WAF Cloudflare + API Shield. Cases incluem Simpar (WAF Cloudflare), iFood (WAF) e Valecard (MDR). O Diagnóstico Executivo Tripla avalia maturidade BACEN 4.658 + 4.018 + PCI DSS 4.0 em 24 perguntas e gera radar de gaps com plano priorizado.