Resolução CMN 4.893/2021 (Segurança Cibernética) Norma brasileira

55 controles, organizados por grupo, com resumo em português.

Norma brasileira que exige política de segurança cibernética e requisitos específicos para contratação de nuvem/processamento de dados por instituições financeiras autorizadas a funcionar pelo BCB (exceto instituições de pagamento, cobertas pela Resolução BCB nº 85/2021). Alterada pela Resolução CMN nº 5.274/2025 (prazo de adequação 1º/03/2026, já vencido) — inclui 14 controles técnicos mínimos, requisitos específicos para Pix/STR, e testes de intrusão anuais obrigatórios.

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

É norma brasileira (obra de órgão público), texto de domínio público. Estrutura verificada por leitura direta dos PDFs oficiais (texto original 2021 + minuta da alteração de 2025), já refletindo a versão vigente hoje. Divisão em perfis é didática, não oficial do CMN/BCB.

POL Política e Governança de Segurança Cibernética

POL.1
Implementar e manter política formal de segurança cibernética (Art. 2º). Sem política formal, a segurança cibernética depende de decisão pontual de cada área — a norma exige um documento único que oriente toda a instituição.
Básico
POL.2
Adequar a política ao porte, perfil de risco, modelo de negócio e sensibilidade dos dados (Art. 2º, §1º). A mesma política não serve para uma cooperativa pequena e um banco grande — a proporcionalidade é exigência legal, não opção.
Intermediário
POL.3
Definir objetivos, procedimentos e controles mínimos na política (Art. 3º, I-II). Objetivo e controle sem procedimento claro fica no papel — a política precisa dizer como cada objetivo é alcançado na prática.
Intermediário
POL.4
Designar diretor responsável pela política e pelo plano de resposta a incidentes (Art. 7º). Sem um responsável nomeado, ninguém presta contas de verdade pela segurança cibernética perante o conselho e o BCB.
Básico
POL.5
Submeter a política e o plano à aprovação do conselho de administração ou diretoria (Art. 9º). A aprovação da alta administração dá peso institucional à política — sem isso, ela vira documento de TI sem força organizacional.
Básico
POL.6
Documentar a política e o plano, com revisão anual obrigatória (Art. 10). Ameaça cibernética muda rápido — uma política nunca revisada protege contra um cenário de risco que já não existe mais.
Intermediário
POL.7
Divulgar a política internamente a funcionários e terceirizados, em linguagem clara e proporcional (Art. 4º). Política que ninguém na instituição conhece não muda comportamento — divulgação interna é o que transforma regra em prática.
Intermediário
POL.8
Divulgar publicamente um resumo com as linhas gerais da política (Art. 5º). O resumo público é o compromisso da instituição perante clientes e mercado sobre como ela trata segurança cibernética.
Avançado

CTRL Controles Técnicos Mínimos (Art. 3º, 14 controles)

CTRL.1
Autenticação (Art. 3º, §2º, I). Autenticação fraca é a porta de entrada mais comum para acesso indevido a sistemas financeiros.
Básico
CTRL.2
Criptografia (Art. 3º, §2º, II). Dado financeiro sem criptografia, em trânsito ou em repouso, fica exposto a qualquer um que intercepte ou acesse o armazenamento.
Básico
CTRL.3
Prevenção e detecção de intrusão (Art. 3º, §2º, III). Sem detecção de intrusão, um atacante pode permanecer dentro do ambiente por meses sem ser percebido.
Intermediário
CTRL.4
Prevenção de vazamento de informações — DLP (Art. 3º, §2º, IV). Vazamento de dado financeiro tem impacto direto sobre clientes e sobre a reputação e responsabilização da instituição.
Intermediário
CTRL.5
Proteção contra códigos maliciosos (Art. 3º, §2º, V). Malware é um dos vetores mais comuns de comprometimento — proteção contra ele é básica, não opcional.
Básico
CTRL.6
Rastreabilidade: trilhas de auditoria fim a fim, com prazo de retenção definido e retenção segura (Art. 3º, §2º, VI + §7º). Sem trilha de auditoria completa, é impossível investigar o que aconteceu depois que um incidente é descoberto.
Intermediário
CTRL.7
Gestão de cópias de segurança — backup (Art. 3º, §2º, VII). Sem backup gerido corretamente, um ataque de ransomware ou uma falha grave pode significar perda permanente de dados financeiros.
Intermediário
CTRL.8
Avaliação e correção de vulnerabilidades: testes e varreduras periódicos, varredura de dispositivos não autorizados, correção tempestiva (Art. 3º, §2º, VIII + §8º, novo 2025). Vulnerabilidade não testada é vulnerabilidade que o atacante encontra primeiro — testes periódicos e pentest tiram essa vantagem dele.
Intermediário
CTRL.9
Controles de acesso: limitação a usuários/dispositivos credenciados, revisão periódica, MFA para acesso externo (Art. 3º, §2º, IX + §9º). Acesso amplo demais, sem MFA em acesso externo, é uma das formas mais diretas de comprometimento de sistemas financeiros.
Básico
CTRL.10
Perfis de configuração segura de ativos de TI: gestão de patches, configuração de serviços, rotação de credenciais (Art. 3º, §2º, X + §10, novo 2025). Ativo de TI mal configurado (senha padrão, patch atrasado) é vulnerabilidade evitável que vira porta de entrada.
Intermediário
CTRL.11
Proteção de rede: segmentação, regras de firewall, critérios para conexões externas, detecção de eventos atípicos (Art. 3º, §2º, XI + §11). Rede sem segmentação faz um comprometimento pontual se espalhar para toda a infraestrutura, incluindo sistemas críticos.
Intermediário
CTRL.12
Gestão de certificados digitais: monitoramento de uso, controle de acesso a chaves privadas (Art. 3º, §2º, XII + §12, novo 2025). Certificado digital comprometido permite assinar transações ou mensagens como se fosse a instituição legítima.
Avançado
CTRL.13
Requisitos de segurança para integração de sistemas via interfaces eletrônicas/API (Art. 3º, §2º, XIII, novo 2025). APIs mal protegidas são um vetor de ataque cada vez mais comum, especialmente com open banking e integrações entre instituições.
Avançado
CTRL.14
Ações de inteligência cibernética, incluindo monitoramento de internet, deep web, dark web e grupos privados de comunicação (Art. 3º, §2º, XIV, novo 2025). Ameaças a instituições financeiras costumam ser negociadas e planejadas em fóruns privados antes do ataque — monitorar esses canais permite antecipar.
Avançado

RSFN Requisitos RSFN/Pix/STR (Art. 3º-A, novo 2025)

RSFN.1
Exigir múltiplo fator de autenticação para acesso administrativo aos ambientes Pix e STR (Art. 3º-A, I). Pix e STR movimentam valores em tempo real — um acesso administrativo comprometido nesses ambientes tem potencial de dano imediato e alto.
Intermediário
RSFN.2
Manter isolamento físico e lógico do ambiente Pix (Art. 3º-A, I). Isolar o ambiente Pix reduz a chance de um comprometimento em outro sistema da instituição se propagar para pagamentos instantâneos.
Avançado
RSFN.3
Manter isolamento físico e lógico do ambiente STR, inclusive quando em nuvem contratada — instância dedicada (Art. 3º-A, I). O STR movimenta liquidação de alto valor entre instituições — isolamento, inclusive em nuvem, é a defesa contra propagação de incidente.
Avançado
RSFN.4
Vedar o acesso de terceiros às chaves privadas usadas para assinar mensagens (Art. 3º-A, I). Se um terceiro acessa a chave privada de assinatura, ele pode forjar mensagens como se fossem legítimas da instituição.
Intermediário
RSFN.5
Manter controles de prevenção, detecção e resposta a fraude para participação em Sistemas do Mercado Financeiro (Art. 3º-A, II). Fraude em sistemas do mercado financeiro tem efeito sistêmico — controles de prevenção/detecção protegem não só a instituição, mas o sistema como um todo.
Avançado

INC Plano de Ação e Resposta a Incidentes

INC.1
Estabelecer plano de ação e resposta a incidentes cibernéticos (Art. 6º). Sem plano prévio, a resposta a um incidente real é iniciada do zero, sob pressão — exatamente quando erros custam mais caro.
Básico
INC.2
Elaborar relatório anual (data-base 31/12) sobre a implementação do plano (Art. 8º). O relatório anual força a instituição a avaliar formalmente, ao menos uma vez por ano, se as ações de segurança estão funcionando de fato.
Intermediário
INC.3
Incluir no relatório anual os resultados dos testes de intrusão e das varreduras/análises de vulnerabilidade, com planos de correção (Art. 8º, §1º, V, novo 2025). Sem incluir resultado de teste de intrusão no relatório, a alta administração pode nunca ver as vulnerabilidades reais encontradas.
Avançado
INC.4
Submeter o relatório anual ao comitê de risco (se houver) e apresentá-lo ao conselho/diretoria até 31 de março (Art. 8º, §2º). Submeter o relatório à governança (comitê de risco, conselho) garante que segurança cibernética chegue às decisões estratégicas, não só técnicas.
Intermediário

PENT Testes de Intrusão (Art. 22-A, novo 2025)

PENT.1
Realizar testes de intrusão (pentest) com periodicidade mínima anual (Art. 22-A). Teste de intrusão anual é o que valida, na prática, se os controles técnicos realmente resistem a um ataque simulado.
Intermediário
PENT.2
Garantir execução independente e imparcial, por pessoa ou empresa especializada contratada (Art. 22-A). Quem testa o próprio trabalho tende a validar suas próprias escolhas — independência é o que garante um resultado confiável.
Avançado
PENT.3
Documentar os resultados: vulnerabilidades encontradas e plano de correção (Art. 22-A). Achar a vulnerabilidade sem documentar plano de correção deixa o risco identificado, mas não resolvido.
Intermediário

NUV Contratação de Nuvem e Processamento de Dados

NUV.1
Contemplar a contratação de serviços de nuvem/processamento relevantes nas políticas de gestão de risco (Art. 11). Contratar nuvem sem considerar isso na gestão de risco trata um fornecedor crítico como se fosse invisível ao programa de risco da instituição.
Básico
NUV.2
Verificar previamente a capacidade do prestador: conformidade legal, acesso da instituição aos dados, confidencialidade, certificações, acesso a auditorias (Art. 12). Verificar o prestador antes de contratar evita descobrir, depois que os dados já estão lá, que ele não tinha os controles necessários.
Básico
NUV.3
Classificar a relevância do serviço contratado por criticidade e sensibilidade (Art. 12, §1º). Nem todo serviço de nuvem tem o mesmo risco — classificar por criticidade evita tratar tudo com o mesmo nível de rigor (ou de descuido).
Intermediário
NUV.4
Manter recursos e competências internas para gerir o contrato de nuvem ao longo da relação (Art. 12, §4º). Contrato assinado sem competência interna para geri-lo depois vira uma dependência que ninguém acompanha de perto.
Intermediário
NUV.5
Manter responsabilidade integral pela confiabilidade, integridade e segurança dos dados mesmo com a terceirização (Art. 14). Terceirizar o processamento não terceiriza a responsabilidade — a instituição responde pelos dados perante clientes e regulador, sempre.
Básico

COM Comunicação ao Banco Central

COM.1
Comunicar ao BCB a contratação de serviços relevantes, em até 10 dias (Art. 15). O BCB precisa saber quais prestadores críticos sustentam o sistema financeiro — a comunicação é o que dá essa visibilidade regulatória.
Básico
COM.2
Comunicar alterações contratuais relevantes em até 10 dias (Art. 15, §3º). Uma mudança relevante no contrato pode alterar o risco do serviço — o BCB precisa ser informado tão rápido quanto a mudança acontece.
Intermediário

EXT Contratação no Exterior

EXT.1
Verificar a existência de convênio de troca de informações entre o BCB e a autoridade estrangeira do país do prestador (Art. 16, I). Sem convênio de troca de informação, o BCB pode não conseguir investigar ou obter dados em caso de problema com o prestador estrangeiro.
Intermediário
EXT.2
Obter autorização prévia do BCB quando não houver convênio, com antecedência mínima de 60 dias (Art. 16, §1º). Autorização prévia dá ao BCB a chance de avaliar o risco de um armazenamento crítico sair do país antes de acontecer, não depois.
Avançado
EXT.3
Definir previamente os países/regiões de armazenamento e manter plano de continuidade de negócio (Art. 16, III-IV). Sem saber onde os dados estão fisicamente, é impossível avaliar a lei aplicável nem planejar a recuperação em caso de incidente.
Intermediário

CONT Cláusulas Contratuais Obrigatórias

CONT.1
Incluir cláusula garantindo acesso da instituição e do BCB a dados, contratos e relatórios de auditoria (Art. 17). Sem cláusula de acesso, a instituição pode ficar impedida de auditar ou de dar acesso ao BCB quando precisar.
Básico
CONT.2
Incluir cláusula de segregação dos dados da instituição durante a vigência do contrato (Art. 17). Sem segregação contratual, os dados da instituição podem ficar misturados aos de outros clientes do mesmo prestador, ampliando o risco.
Intermediário
CONT.3
Incluir cláusula de devolução e exclusão de dados ao término do contrato (Art. 17). Sem cláusula de devolução/exclusão, dados podem continuar no prestador indefinidamente após o fim do contrato, fora do controle da instituição.
Intermediário
CONT.4
Incluir cláusula de notificação obrigatória em caso de subcontratação (Art. 17). Se o prestador subcontrata sem avisar, a instituição perde visibilidade sobre quem realmente tem acesso aos seus dados.
Intermediário
CONT.5
Incluir cláusulas adicionais para cenário de regime de resolução da instituição: acesso pleno do liquidante e aviso prévio de 30 dias para interrupção (Art. 17, parágrafo único). Num regime de resolução, o liquidante precisa de acesso garantido — sem essa cláusula, a resolução da instituição pode ficar travada pelo próprio contrato de nuvem.
Avançado

CONTIN Continuidade de Negócio

CONTIN.1
Tratar a interrupção de serviços de nuvem contratados dentro das políticas de continuidade de negócio (Art. 19). Se o plano de continuidade ignora a nuvem contratada, um incidente no prestador pode não ter resposta prevista nenhuma.
Básico
CONTIN.2
Definir prazo objetivo para reinício das atividades após um incidente (Art. 20). Sem prazo definido, a pressão para voltar a operar não tem uma meta objetiva pela qual a instituição possa ser cobrada.
Intermediário
CONTIN.3
Documentar critérios objetivos do que configura uma "situação de crise" (Art. 20, parágrafo único). Sem critério documentado, decidir se algo é uma "crise" fica subjetivo, atrasando a ativação dos procedimentos certos.
Intermediário

MON Monitoramento, Compartilhamento e Retenção

MON.1
Manter mecanismos de acompanhamento e controle: trilhas de auditoria, métricas e correção de deficiências (Art. 21). Sem métricas e trilha de auditoria, a instituição não sabe se os controles de segurança estão realmente funcionando, só presume.
Intermediário
MON.2
Participar de iniciativas de compartilhamento de informações sobre incidentes relevantes entre instituições (Art. 22). Um ataque contra uma instituição financeira, hoje, tende a mirar outras depois — compartilhar informação é defesa coletiva do sistema.
Avançado
MON.3
Manter política, planos, relatórios e contratos de nuvem à disposição do BCB por 5 anos (Art. 23). Sem manter a documentação disponível, a instituição não consegue comprovar conformidade quando o BCB fiscaliza.
Intermediário