Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

Resolução CMN 4.893/2021 (Segurança Cibernética) — Perfil 2 — Intermediário

43 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

POL Política e Governança de Segurança Cibernética

POL.1 Implementar e manter política formal de segurança cibernética (Art. 2º).
POL.2 Adequar a política ao porte, perfil de risco, modelo de negócio e sensibilidade dos dados (Art. 2º, §1º).
POL.3 Definir objetivos, procedimentos e controles mínimos na política (Art. 3º, I-II).
POL.4 Designar diretor responsável pela política e pelo plano de resposta a incidentes (Art. 7º).
POL.5 Submeter a política e o plano à aprovação do conselho de administração ou diretoria (Art. 9º).
POL.6 Documentar a política e o plano, com revisão anual obrigatória (Art. 10).
POL.7 Divulgar a política internamente a funcionários e terceirizados, em linguagem clara e proporcional (Art. 4º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CTRL Controles Técnicos Mínimos (Art. 3º, 14 controles)

CTRL.1 Autenticação (Art. 3º, §2º, I).
CTRL.2 Criptografia (Art. 3º, §2º, II).
CTRL.3 Prevenção e detecção de intrusão (Art. 3º, §2º, III).
CTRL.4 Prevenção de vazamento de informações — DLP (Art. 3º, §2º, IV).
CTRL.5 Proteção contra códigos maliciosos (Art. 3º, §2º, V).
CTRL.6 Rastreabilidade: trilhas de auditoria fim a fim, com prazo de retenção definido e retenção segura (Art. 3º, §2º, VI + §7º).
CTRL.7 Gestão de cópias de segurança — backup (Art. 3º, §2º, VII).
CTRL.8 Avaliação e correção de vulnerabilidades: testes e varreduras periódicos, varredura de dispositivos não autorizados, correção tempestiva (Art. 3º, §2º, VIII + §8º, novo 2025).
CTRL.9 Controles de acesso: limitação a usuários/dispositivos credenciados, revisão periódica, MFA para acesso externo (Art. 3º, §2º, IX + §9º).
CTRL.10 Perfis de configuração segura de ativos de TI: gestão de patches, configuração de serviços, rotação de credenciais (Art. 3º, §2º, X + §10, novo 2025).
CTRL.11 Proteção de rede: segmentação, regras de firewall, critérios para conexões externas, detecção de eventos atípicos (Art. 3º, §2º, XI + §11).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RSFN Requisitos RSFN/Pix/STR (Art. 3º-A, novo 2025)

RSFN.1 Exigir múltiplo fator de autenticação para acesso administrativo aos ambientes Pix e STR (Art. 3º-A, I).
RSFN.4 Vedar o acesso de terceiros às chaves privadas usadas para assinar mensagens (Art. 3º-A, I).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

INC Plano de Ação e Resposta a Incidentes

INC.1 Estabelecer plano de ação e resposta a incidentes cibernéticos (Art. 6º).
INC.2 Elaborar relatório anual (data-base 31/12) sobre a implementação do plano (Art. 8º).
INC.4 Submeter o relatório anual ao comitê de risco (se houver) e apresentá-lo ao conselho/diretoria até 31 de março (Art. 8º, §2º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

PENT Testes de Intrusão (Art. 22-A, novo 2025)

PENT.1 Realizar testes de intrusão (pentest) com periodicidade mínima anual (Art. 22-A).
PENT.3 Documentar os resultados: vulnerabilidades encontradas e plano de correção (Art. 22-A).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

NUV Contratação de Nuvem e Processamento de Dados

NUV.1 Contemplar a contratação de serviços de nuvem/processamento relevantes nas políticas de gestão de risco (Art. 11).
NUV.2 Verificar previamente a capacidade do prestador: conformidade legal, acesso da instituição aos dados, confidencialidade, certificações, acesso a auditorias (Art. 12).
NUV.3 Classificar a relevância do serviço contratado por criticidade e sensibilidade (Art. 12, §1º).
NUV.4 Manter recursos e competências internas para gerir o contrato de nuvem ao longo da relação (Art. 12, §4º).
NUV.5 Manter responsabilidade integral pela confiabilidade, integridade e segurança dos dados mesmo com a terceirização (Art. 14).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

COM Comunicação ao Banco Central

COM.1 Comunicar ao BCB a contratação de serviços relevantes, em até 10 dias (Art. 15).
COM.2 Comunicar alterações contratuais relevantes em até 10 dias (Art. 15, §3º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

EXT Contratação no Exterior

EXT.1 Verificar a existência de convênio de troca de informações entre o BCB e a autoridade estrangeira do país do prestador (Art. 16, I).
EXT.3 Definir previamente os países/regiões de armazenamento e manter plano de continuidade de negócio (Art. 16, III-IV).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONT Cláusulas Contratuais Obrigatórias

CONT.1 Incluir cláusula garantindo acesso da instituição e do BCB a dados, contratos e relatórios de auditoria (Art. 17).
CONT.2 Incluir cláusula de segregação dos dados da instituição durante a vigência do contrato (Art. 17).
CONT.3 Incluir cláusula de devolução e exclusão de dados ao término do contrato (Art. 17).
CONT.4 Incluir cláusula de notificação obrigatória em caso de subcontratação (Art. 17).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONTIN Continuidade de Negócio

CONTIN.1 Tratar a interrupção de serviços de nuvem contratados dentro das políticas de continuidade de negócio (Art. 19).
CONTIN.2 Definir prazo objetivo para reinício das atividades após um incidente (Art. 20).
CONTIN.3 Documentar critérios objetivos do que configura uma "situação de crise" (Art. 20, parágrafo único).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

MON Monitoramento, Compartilhamento e Retenção

MON.1 Manter mecanismos de acompanhamento e controle: trilhas de auditoria, métricas e correção de deficiências (Art. 21).
MON.3 Manter política, planos, relatórios e contratos de nuvem à disposição do BCB por 5 anos (Art. 23).
Trocar de perfil