Lei 14.790/2023 (Bets): quais requisitos de cibersegurança a operadora precisa atender?
A Lei 14.790/2023 e o Decreto 11.907/2023 obrigam casas de apostas brasileiras a manter SOC 24×7, anti-fraud, KYC robusto, criptografia ponta a ponta, plano de resposta a incidentes, reporte ao COAF/Receita Federal e auditoria independente. Operação sem SI estruturada não passa pela autorização da SPA/Ministério da Fazenda - é requisito de entrada, não opcional.
O regime regulatório das Bets no Brasil pós-Lei 14.790
A Lei 14.790/2023 - sancionada em dezembro de 2023 e regulamentada pelo Decreto 11.907/2023 - criou o marco regulatório das apostas esportivas e iGaming no Brasil. A autorização para operar é concedida pela SPA/Ministério da Fazenda mediante o cumprimento de requisitos técnicos rigorosos, com forte componente de cibersegurança e prevenção a fraudes. O Sistema de Gestão de Apostas (SIGAP) - repositório fiscalizado pela Receita Federal - é parte central da operação. Casas autorizadas precisam manter SOC 24×7 (próprio ou MSSP), anti-fraud com identidade verificada (KYC reforçado conforme LGPD + Lei 9.613 PLD), criptografia em trânsito e repouso, reporte de operações suspeitas ao COAF, e atender LGPD com base legal específica. Auditoria independente periódica é obrigatória. Multas e suspensão de operação são aplicadas pelo regulador em caso de não conformidade - alguns operadores tiveram autorização suspensa em 2025 por falhas de segurança e PLD.
Roteiro de cibersegurança para casa de apostas autorizada
O que toda casa de apostas precisa ter operando desde o dia da autorização: (1) Plataforma de aposta com WAF + DDoS protection (Cloudflare ou equivalente) - DDoS volumétrico é o principal vetor em horários de pico de futebol; (2) SOC 24×7 com monitoramento de fraude em tempo real (próprio ou MSSP especializado em iGaming); (3) KYC robusto com OCR de documento + biometria + verificação de PEP/PLD - integrado a anti-fraud; (4) Anti-fraud com detecção de multi-conta, bonus abuse, padrões de aposta suspeitos; (5) Criptografia em trânsito (TLS 1.3) e em repouso (AES-256) para todos os dados - apostas, identidade, financeiro; (6) Gestão de identidade e MFA universal para operadores internos com PAM para acessos privilegiados; (7) DPO e programa LGPD completo - apostadores são dados pessoais sensíveis (jogo problemático envolve saúde mental); (8) Reporte ao COAF de operações suspeitas, à Receita Federal via SIGAP, e ao regulador SPA em caso de incidente cibernético relevante; (9) Auditoria independente anual.
O papel da Tripla
A Tripla atua em iGaming com SOC 24×7 CyberWatch MDR, WAF Cloudflare + API Shield (mitigação de DDoS em escala enterprise), proteção de identidade (PAM BeyondTrust + IAM Okta), DPO as a Service via Autoritas e vCISO especializado em regulação SPA/COAF. Como único MSSP Cloudflare Platinum no Brasil, entregamos resposta a DDoS volumétrico em segundos. O Diagnóstico Executivo Tripla avalia maturidade SI para autorização SPA em 24 perguntas, com radar Lei 14.790 + LGPD + PLD.