Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

Resolução CMN 4.893/2021 (Segurança Cibernética) — Perfil 3 — Avançado

55 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

POL Política e Governança de Segurança Cibernética

POL.1 Implementar e manter política formal de segurança cibernética (Art. 2º).
POL.2 Adequar a política ao porte, perfil de risco, modelo de negócio e sensibilidade dos dados (Art. 2º, §1º).
POL.3 Definir objetivos, procedimentos e controles mínimos na política (Art. 3º, I-II).
POL.4 Designar diretor responsável pela política e pelo plano de resposta a incidentes (Art. 7º).
POL.5 Submeter a política e o plano à aprovação do conselho de administração ou diretoria (Art. 9º).
POL.6 Documentar a política e o plano, com revisão anual obrigatória (Art. 10).
POL.7 Divulgar a política internamente a funcionários e terceirizados, em linguagem clara e proporcional (Art. 4º).
POL.8 Divulgar publicamente um resumo com as linhas gerais da política (Art. 5º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CTRL Controles Técnicos Mínimos (Art. 3º, 14 controles)

CTRL.1 Autenticação (Art. 3º, §2º, I).
CTRL.2 Criptografia (Art. 3º, §2º, II).
CTRL.3 Prevenção e detecção de intrusão (Art. 3º, §2º, III).
CTRL.4 Prevenção de vazamento de informações — DLP (Art. 3º, §2º, IV).
CTRL.5 Proteção contra códigos maliciosos (Art. 3º, §2º, V).
CTRL.6 Rastreabilidade: trilhas de auditoria fim a fim, com prazo de retenção definido e retenção segura (Art. 3º, §2º, VI + §7º).
CTRL.7 Gestão de cópias de segurança — backup (Art. 3º, §2º, VII).
CTRL.8 Avaliação e correção de vulnerabilidades: testes e varreduras periódicos, varredura de dispositivos não autorizados, correção tempestiva (Art. 3º, §2º, VIII + §8º, novo 2025).
CTRL.9 Controles de acesso: limitação a usuários/dispositivos credenciados, revisão periódica, MFA para acesso externo (Art. 3º, §2º, IX + §9º).
CTRL.10 Perfis de configuração segura de ativos de TI: gestão de patches, configuração de serviços, rotação de credenciais (Art. 3º, §2º, X + §10, novo 2025).
CTRL.11 Proteção de rede: segmentação, regras de firewall, critérios para conexões externas, detecção de eventos atípicos (Art. 3º, §2º, XI + §11).
CTRL.12 Gestão de certificados digitais: monitoramento de uso, controle de acesso a chaves privadas (Art. 3º, §2º, XII + §12, novo 2025).
CTRL.13 Requisitos de segurança para integração de sistemas via interfaces eletrônicas/API (Art. 3º, §2º, XIII, novo 2025).
CTRL.14 Ações de inteligência cibernética, incluindo monitoramento de internet, deep web, dark web e grupos privados de comunicação (Art. 3º, §2º, XIV, novo 2025).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RSFN Requisitos RSFN/Pix/STR (Art. 3º-A, novo 2025)

RSFN.1 Exigir múltiplo fator de autenticação para acesso administrativo aos ambientes Pix e STR (Art. 3º-A, I).
RSFN.2 Manter isolamento físico e lógico do ambiente Pix (Art. 3º-A, I).
RSFN.3 Manter isolamento físico e lógico do ambiente STR, inclusive quando em nuvem contratada — instância dedicada (Art. 3º-A, I).
RSFN.4 Vedar o acesso de terceiros às chaves privadas usadas para assinar mensagens (Art. 3º-A, I).
RSFN.5 Manter controles de prevenção, detecção e resposta a fraude para participação em Sistemas do Mercado Financeiro (Art. 3º-A, II).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

INC Plano de Ação e Resposta a Incidentes

INC.1 Estabelecer plano de ação e resposta a incidentes cibernéticos (Art. 6º).
INC.2 Elaborar relatório anual (data-base 31/12) sobre a implementação do plano (Art. 8º).
INC.3 Incluir no relatório anual os resultados dos testes de intrusão e das varreduras/análises de vulnerabilidade, com planos de correção (Art. 8º, §1º, V, novo 2025).
INC.4 Submeter o relatório anual ao comitê de risco (se houver) e apresentá-lo ao conselho/diretoria até 31 de março (Art. 8º, §2º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

PENT Testes de Intrusão (Art. 22-A, novo 2025)

PENT.1 Realizar testes de intrusão (pentest) com periodicidade mínima anual (Art. 22-A).
PENT.2 Garantir execução independente e imparcial, por pessoa ou empresa especializada contratada (Art. 22-A).
PENT.3 Documentar os resultados: vulnerabilidades encontradas e plano de correção (Art. 22-A).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

NUV Contratação de Nuvem e Processamento de Dados

NUV.1 Contemplar a contratação de serviços de nuvem/processamento relevantes nas políticas de gestão de risco (Art. 11).
NUV.2 Verificar previamente a capacidade do prestador: conformidade legal, acesso da instituição aos dados, confidencialidade, certificações, acesso a auditorias (Art. 12).
NUV.3 Classificar a relevância do serviço contratado por criticidade e sensibilidade (Art. 12, §1º).
NUV.4 Manter recursos e competências internas para gerir o contrato de nuvem ao longo da relação (Art. 12, §4º).
NUV.5 Manter responsabilidade integral pela confiabilidade, integridade e segurança dos dados mesmo com a terceirização (Art. 14).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

COM Comunicação ao Banco Central

COM.1 Comunicar ao BCB a contratação de serviços relevantes, em até 10 dias (Art. 15).
COM.2 Comunicar alterações contratuais relevantes em até 10 dias (Art. 15, §3º).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

EXT Contratação no Exterior

EXT.1 Verificar a existência de convênio de troca de informações entre o BCB e a autoridade estrangeira do país do prestador (Art. 16, I).
EXT.2 Obter autorização prévia do BCB quando não houver convênio, com antecedência mínima de 60 dias (Art. 16, §1º).
EXT.3 Definir previamente os países/regiões de armazenamento e manter plano de continuidade de negócio (Art. 16, III-IV).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONT Cláusulas Contratuais Obrigatórias

CONT.1 Incluir cláusula garantindo acesso da instituição e do BCB a dados, contratos e relatórios de auditoria (Art. 17).
CONT.2 Incluir cláusula de segregação dos dados da instituição durante a vigência do contrato (Art. 17).
CONT.3 Incluir cláusula de devolução e exclusão de dados ao término do contrato (Art. 17).
CONT.4 Incluir cláusula de notificação obrigatória em caso de subcontratação (Art. 17).
CONT.5 Incluir cláusulas adicionais para cenário de regime de resolução da instituição: acesso pleno do liquidante e aviso prévio de 30 dias para interrupção (Art. 17, parágrafo único).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONTIN Continuidade de Negócio

CONTIN.1 Tratar a interrupção de serviços de nuvem contratados dentro das políticas de continuidade de negócio (Art. 19).
CONTIN.2 Definir prazo objetivo para reinício das atividades após um incidente (Art. 20).
CONTIN.3 Documentar critérios objetivos do que configura uma "situação de crise" (Art. 20, parágrafo único).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

MON Monitoramento, Compartilhamento e Retenção

MON.1 Manter mecanismos de acompanhamento e controle: trilhas de auditoria, métricas e correção de deficiências (Art. 21).
MON.2 Participar de iniciativas de compartilhamento de informações sobre incidentes relevantes entre instituições (Art. 22).
MON.3 Manter política, planos, relatórios e contratos de nuvem à disposição do BCB por 5 anos (Art. 23).
Trocar de perfil