--- name: lawve-ai/bacen-compliance-sentinel-rafael-mastronardi source: https://app.decimal.ai/s/lawve-ai-bacen-compliance-sentinel-rafael-mastronardi@1/SKILL.md source_sha256: e223362e50e5 --- # BACEN Compliance Sentinel ## Aviso Importante (exibir no início da sessão) > **Atenção:** Esta skill fornece orientação estruturada sobre regulamentações do Banco Central do Brasil. Não constitui aconselhamento jurídico ou regulatório. Para decisões finais, consulte advogado especializado e o Diretor responsável pela área de Segurança Cibernética da instituição. --- ## Roteamento por Tarefa Identifique a necessidade do usuário e atue conforme a tabela: | Necessidade do Usuário | Normativo Central | Ação | |---|---|---| | "Política de Segurança Cibernética" / "PSC" | Res. CMN 4.893/2021 | Análise/elaboração da PSC | | "Plano de ação" / "resposta a incidente" / "PARI" | Res. CMN 4.893/2021, Art. 6º | Estruturar o PARI | | "GRSIC" / "serviços de TI" / "cloud" / "outsourcing" | Res. BCB 85/2021 | Avaliação de risco de terceiros | | "Open Finance" / "Open Banking" / "compartilhamento de dados" | Res. BCB 32/2020 e atualizações | Análise de conformidade Open Finance | | "Consentimento Open Finance" | Res. BCB 32/2020 | Requisitos de consentimento | | "API" / "requisitos técnicos Open Finance" | Manual Open Finance Brasil | Análise de requisitos técnicos | | "Pix segurança" / "DICT" / "fraude Pix" | Res. BCB 1/2020 + Circular 3.952 | Conformidade Pix | | "Incidente cibernético" / "ataque" | Res. CMN 4.893/2021, Art. 6º | Roteiro de resposta e comunicação ao BACEN | | "Sanções" / "autuação BACEN" / "multa" | Lei 4.595/1964 + Res. 4.553/2017 | Análise de exposição e mitigação | | "Relatório anual" / "RAS" | Res. CMN 4.893/2021, Art. 9º | Estrutura do Relatório Anual de Segurança | --- ## Pontos de Precisão Regulatória Áreas onde o modelo pode ter imprecisões — aplique sempre estas regras: ### Resolução CMN nº 4.893/2021 — Segurança Cibernética **Escopo:** Aplica-se a todas as instituições autorizadas a funcionar pelo BACEN (bancos, cooperativas, fintechs, instituições de pagamento, administradoras de consórcio). A norma substituiu a Resolução nº 4.658/2018. **Política de Segurança Cibernética (PSC) — Art. 4º:** Deve ser compatível com o porte, perfil de risco e modelo de negócio da instituição. Elementos obrigatórios: - Objetivos de segurança cibernética - Procedimentos e controles adotados - Controles de acesso, criptografia, prevenção e detecção de intrusões - Rastreabilidade de informações - Manutenção de cópias de segurança - Mecanismos de autenticação - Prevenção e resposta a incidentes - Classificação de dados (Art. 4º, § 2º — dado sensível conforme LGPD recebe tratamento diferenciado) - Monitoramento contínuo **Atenção:** A PSC deve ser aprovada pelo Conselho de Administração (ou equivalente) e divulgada aos funcionários e prestadores de serviços. **Diretoria Responsável — Art. 5º:** Obrigatória para **todos** os segmentos. O Diretor pode acumular outras funções, exceto nas instituições dos Segmentos S1 e S2, onde não pode acumular com a Diretoria de Auditoria Interna. O nome do Diretor deve ser comunicado ao BACEN. **Plano de Ação e Resposta a Incidentes (PARI) — Art. 6º:** Deve contemplar: rotinas de resposta, mecanismos de rastreabilidade, meios para comunicação ao BACEN e ao público, plano de contingência, procedimentos para retomada de atividades. Deve ser testado anualmente (testes de penetração, simulações de incidente). **Relatório Anual — Art. 9º:** Obrigatório. Deve ser elaborado anualmente e aprovado pela Diretoria e Conselho de Administração. Conteúdo: iniciativas de segurança cibernética implementadas, resultados dos testes, incidentes ocorridos, pendências. ### Resolução BCB nº 85/2021 — GRSIC (Gestão de Riscos de TI) **Escopo:** Estabelece requisitos para contratação de serviços relevantes de processamento, armazenamento e transmissão de dados (outsourcing, cloud computing). **Serviço Relevante:** Definido como aquele cuja interrupção comprometa o funcionamento normal ou a prestação de serviços essenciais. A instituição deve fazer análise de materialidade. **Requisitos para contratação (Art. 16 e seguintes):** - Due diligence prévia do prestador - Cláusulas contratuais obrigatórias (acesso pelo BACEN, continuidade de serviço, sigilo) - Política de segurança do prestador compatível com a da instituição - Plano de contingência e de saída (exit plan) - Localização dos dados: **dados e processamento no exterior** são permitidos, mas a instituição permanece responsável; deve comunicar ao BACEN se dados críticos forem processados no exterior **Cloud Computing:** Permitido sem prévia aprovação do BACEN, mas sujeito a todos os requisitos de due diligence e contratuais da Resolução BCB 85/2021. **Atenção:** A responsabilidade pelo serviço é **intransferível**. Mesmo que o prestador falhe, a instituição responde perante o BACEN. ### Open Finance Brasil — Resoluções BCB nº 32/2020 e atualizações **Fases do Open Finance:** - Fase 1: Dados abertos (produtos e serviços, canais de atendimento) — sem consentimento do cliente - Fase 2: Dados de clientes (cadastro, transações, empréstimos) — **requer consentimento** - Fase 3: Iniciação de pagamento e propostas de crédito — **requer consentimento** - Fase 4: Dados de câmbio, investimentos, seguros, previdência — **requer consentimento** **Consentimento no Open Finance — requisitos obrigatórios:** 1. Propósito específico e limitado 2. Prazo de vigência máximo de **12 meses** (renovável) 3. Identificação clara da instituição receptora 4. Lista de dados a serem compartilhados 5. Confirmação ativa do cliente (não pode ser opt-out ou pré-selecionado) 6. Canal de revogação disponível a qualquer momento 7. Registro do consentimento com timestamp e identificador único **Atenção:** A LGPD e o Open Finance são **complementares mas distintos**. O consentimento do Open Finance não equivale ao consentimento da LGPD — podem ser necessários ambos para diferentes finalidades. **Detentores de dados (transmissores):** Devem disponibilizar APIs conforme padrões técnicos do Manual do Open Finance Brasil. Prazo de resposta da API: 99,5% das chamadas respondidas em até 1 segundo (SLA regulatório). **Receptores de dados:** Devem ser participantes cadastrados na estrutura de governança do Open Finance. Devem usar os dados exclusivamente para a finalidade do consentimento. **Iniciação de Pagamento (PISP):** A instituição iniciadora não toca nos recursos do cliente — apenas dispara a ordem ao banco do cliente. O consentimento é de uso único (single-use). ### Pix — Segurança e Conformidade **DICT (Diretório de Identificadores de Transações do Cidadão):** Gerido pelo BACEN. A instituição deve consultar o DICT antes de processar transações e reportar fraudes. Obrigações de comunicação de fraudes: prazo de **1 hora** após identificação. **Prevenção a fraudes Pix — Resolução BCB 6/2023 (e atualizações):** Limites de valor por período (horário noturno, novos dispositivos). Mecanismo Especial de Devolução (MED): prazo de até 7 dias para análise e até 96 horas para devolução após aprovação. **Dados de segurança obrigatórios:** As instituições devem manter logs de transações Pix por no mínimo **5 anos** (alinhado ao prazo prescricional). ### Comunicação de Incidentes ao BACEN **Prazo:** Incidentes relevantes devem ser comunicados ao BACEN em até **3 dias úteis** após a identificação. **O que é incidente relevante:** Interrupção de serviços por mais de 6 horas consecutivas; acesso não autorizado a sistemas críticos; vazamento de dados de mais de 1.000 clientes; fraude envolvendo falha de segurança da instituição. **Formulário:** Comunicado via portal do BACEN (Siscoaf/sistema específico). Deve conter: data/hora da ocorrência, sistemas afetados, clientes impactados, medidas adotadas. **Atenção:** A comunicação ao BACEN é **independente** da comunicação à ANPD pela LGPD — ambas podem ser exigidas para o mesmo evento. ### Sanções do BACEN **Base legal:** Lei 4.595/1964, Lei 13.506/2017 (principal marco sancionatório). **Penalidades — Lei 13.506/2017:** - Advertência - Multa: até R$ 2 bilhões por infração (pessoa jurídica) ou até o dobro do valor do benefício econômico obtido - Inabilitação temporária de administradores: até 10 anos - Proibição de exercício de cargo: permanente em casos graves - Cancelamento de autorização de funcionamento **Processo administrativo:** Intimação → Defesa (15 dias) → Decisão da Diretoria do BACEN → Recurso ao CMN (para multas acima de determinado valor). **Atenção:** A Lei 13.506/2017 permite responsabilização **pessoal dos administradores** por atos dolosos ou culposos que causem danos à instituição ou ao SFN. --- ## Fluxo de Elaboração da Política de Segurança Cibernética (PSC) ### Fase 1: Diagnóstico e Segmentação Identificar o segmento da instituição: - **S1:** Banco com porte > R$ 1 trilhão ou relevância sistêmica internacional - **S2:** Banco com porte entre R$ 100 bilhões e R$ 1 trilhão - **S3:** Instituição com porte entre R$ 15 bilhões e R$ 100 bilhões - **S4:** Instituição com porte entre R$ 1 bilhão e R$ 15 bilhões - **S5:** Instituição de menor porte (< R$ 1 bilhão) — pode usar PSC simplificada O segmento determina o nível de detalhe e os requisitos adicionais da PSC. ### Fase 2: Mapeamento de Ativos e Riscos Coletar do usuário: - Sistemas críticos (core bancário, canais digitais, infraestrutura de pagamentos) - Dados tratados (clientes PF, PJ, dados sensíveis, dados de pagamento) - Prestadores de serviços relevantes (cloud, processamento, correspondentes) - Conexões externas (Open Finance, Pix, SPB, SWIFT) - Incidentes históricos nos últimos 3 anos Avaliar ameaças prioritárias: phishing/engenharia social, ransomware, fraude em canais digitais, ataques a APIs, comprometimento de credenciais, insider threat. ### Fase 3: Estrutura da PSC A PSC deve conter obrigatoriamente (Res. CMN 4.893/2021, Art. 4º): **1. Objetivos e Escopo** - Abrangência (sistemas, filiais, subsidiárias, correspondentes) - Princípios de segurança cibernética adotados **2. Controles e Procedimentos** - Gestão de identidade e acesso (IAM): autenticação multifator, controle de privilégios mínimos - Criptografia: em trânsito (TLS 1.2+) e em repouso para dados sensíveis - Monitoramento e detecção: SOC/SIEM, alertas de anomalia - Gestão de vulnerabilidades: ciclo de patching, pentest semestral - Segurança de endpoints e redes - Gestão de ativos de informação **3. Classificação de Dados** - Pública / Interna / Confidencial / Restrita - Dados LGPD (especialmente dados sensíveis) → nível Restrito - Dados de pagamento (Pix, cartão) → nível Restrito **4. Gestão de Terceiros (GRSIC)** - Critérios para classificação de serviços relevantes - Processo de due diligence de prestadores - Cláusulas contratuais mínimas - Monitoramento contínuo de terceiros **5. Plano de Ação e Resposta a Incidentes (PARI)** - Definição de incidente (por severidade: crítico, alto, médio, baixo) - Equipe de resposta (CSIRT interno ou terceirizado) - Fluxo de comunicação interno e externo (BACEN, ANPD, clientes) - Procedimentos de contenção, erradicação e recuperação - Critérios para acionamento do Plano de Continuidade **6. Testes e Exercícios** - Pentest: mínimo anual (S1 e S2: semestral recomendado) - Red team exercise: anual para S1 e S2 - Simulação de incidente (tabletop): anual - Teste de DRP/BCP: anual **7. Governança e Responsabilidades** - Diretor responsável (nome e cargo) - Comitê de Segurança (composição e periodicidade) - Papéis e responsabilidades (RACI) **8. Treinamento e Conscientização** - Programa anual de conscientização - Treinamento específico para equipes de TI e segurança - Simulações de phishing **9. Relatório Anual (RAS)** - Cronograma de elaboração e aprovação ### Fase 4: Aprovação e Comunicação Fluxo obrigatório: 1. Elaboração pela área de Segurança Cibernética / TI 2. Revisão pelo Diretor responsável 3. Validação pelo Comitê de Auditoria ou Risco (se existente) 4. **Aprovação pelo Conselho de Administração ou equivalente** 5. Divulgação a todos os funcionários e prestadores de serviços relevantes 6. Comunicação do nome do Diretor responsável ao BACEN (via Unicad) --- ## Checklist de Conformidade Open Finance ### Para Instituições Transmissoras (detentoras de dados) - [ ] APIs disponíveis conforme padrão técnico do Manual Open Finance Brasil - [ ] SLA de disponibilidade: 99,5% (mensal) com tempo de resposta < 1 segundo (95% das chamadas) - [ ] Portal de desenvolvedor com documentação atualizada - [ ] Validação de consentimento antes de cada compartilhamento - [ ] Log de compartilhamentos com retenção mínima de 5 anos - [ ] Canal de revogação de consentimento disponível 24/7 - [ ] Comunicação de incidentes de API ao BACEN conforme prazo ### Para Instituições Receptoras - [ ] Cadastro ativo na estrutura de governança do Open Finance - [ ] Coleta de consentimento conforme requisitos regulatórios - [ ] Uso de dados restrito à finalidade do consentimento - [ ] Política de retenção dos dados compartilhados (máximo vigência do consentimento + prazo legal) - [ ] Canal de atendimento ao cliente para questões de Open Finance - [ ] Auditoria de acesso aos dados compartilhados ### Para Iniciadores de Pagamento (PISP) - [ ] Autorização específica do BACEN para iniciar pagamentos - [ ] Consentimento de uso único por transação - [ ] Não armazenamento de credenciais do cliente - [ ] Confirmação explícita do cliente com dados da transação --- ## Roteiro de Resposta a Incidente Cibernético (PARI) ### Fase 1: Identificação e Classificação (0-2h) Critérios de severidade: - **Crítico:** Sistema indisponível > 1h; ransomware; acesso não autorizado a dados de > 1.000 clientes - **Alto:** Sistema degradado; tentativa de acesso não autorizado contida; phishing com credenciais comprometidas - **Médio:** Anomalia detectada, sem impacto confirmado; vulnerabilidade crítica descoberta - **Baixo:** Evento de segurança sem impacto operacional Acionar: Diretor de Segurança Cibernética + CSIRT + Jurídico (para incidentes Crítico/Alto). ### Fase 2: Contenção (2-6h) - Isolar sistemas comprometidos da rede - Preservar evidências (imagens forenses antes de qualquer ação) - Impedir propagação (segmentação de rede, revogação de credenciais) - Ativar sistemas de backup/contingência se necessário - Registrar todas as ações com timestamp ### Fase 3: Comunicação Regulatória **BACEN:** até **3 dias úteis** da identificação do incidente relevante - Sistema de comunicação: portal do BACEN (protocolo eletrônico) - Informações obrigatórias: data/hora, sistemas afetados, clientes impactados, medidas adotadas, previsão de normalização **ANPD (se dados pessoais afetados):** até **72 horas** da ciência (Res. CD/ANPD nº 2/2022) - Atenção: prazos diferentes — BACEN (3 dias úteis) vs. ANPD (72 horas corridas) **Clientes:** comunicação direta se dados afetados, de forma clara e tempestiva **Mídia/público:** somente após comunicação regulatória e alinhamento com Jurídico e Comunicação ### Fase 4: Erradicação e Recuperação - Identificar e eliminar causa raiz - Aplicar patches e correções necessárias - Restaurar sistemas a partir de backups íntegros - Verificar integridade dos dados restaurados - Testes de segurança antes de retorno à produção ### Fase 5: Pós-Incidente - Relatório de incidente completo (Root Cause Analysis — RCA) - Atualização do PARI com lições aprendidas - Inclusão no Relatório Anual de Segurança (RAS) - Comunicação de encerramento ao BACEN (se aplicável) --- ## Avaliação de Due Diligence de Prestadores (GRSIC) ### Critérios de Materialidade Um serviço é **relevante** se qualquer resposta abaixo for "Sim": 1. Sua interrupção compromete a prestação de serviços essenciais? 2. Envolve acesso a dados de clientes ou dados de pagamento? 3. Está integrado a sistemas críticos (core bancário, Pix, Open Finance)? 4. O custo de substituição seria superior a [threshold definido pela instituição]? ### Checklist de Due Diligence **Documentação:** - [ ] Certidões negativas (fiscal, trabalhista, previdenciária) - [ ] Relatório de auditoria de segurança (SOC 2 Type II, ISO 27001 ou equivalente) - [ ] Política de Segurança da Informação do prestador - [ ] Plano de Continuidade de Negócios (BCP) do prestador - [ ] Evidência de seguro cyber (recomendado para S1 e S2) **Técnica:** - [ ] Avaliação de vulnerabilidades do ambiente do prestador - [ ] Verificação de certificações e conformidade regulatória - [ ] Teste de penetração recente (< 12 meses) - [ ] Arquitetura de segurança e controles de acesso **Cláusulas Contratuais Obrigatórias (Res. BCB 85/2021):** - [ ] Acesso do BACEN às instalações e documentação do prestador - [ ] Continuidade do serviço mesmo em caso de insolvência do prestador - [ ] Dever de sigilo em relação a dados de clientes - [ ] Obrigação de comunicar incidentes à instituição contratante - [ ] Direito de auditoria pela instituição contratante - [ ] Plano de saída (exit plan) com prazo de transição mínimo --- ## Formatos de Saída **PSC completa:** Documento .docx com capa, sumário executivo, todos os 9 capítulos obrigatórios, anexos (RACI, glossário, lista de sistemas críticos, tabela de prestadores relevantes). **PARI:** Documento operacional .docx com fluxogramas de decisão, contatos de emergência, checklists por fase, árvore de comunicação. **Relatório de Due Diligence de Prestador:** .docx com sumário executivo, achados por categoria, matriz de risco, recomendações e parecer final (Aprovado / Aprovado com condições / Reprovado). **Relatório Anual de Segurança (RAS):** .docx estruturado conforme Res. CMN 4.893/2021, Art. 9º, com seções para iniciativas implementadas, resultados de testes, incidentes e pendências. **Parecer de conformidade Open Finance:** Análise estruturada com checklist, gaps identificados e roadmap de adequação. --- ## Referências Normativas - Resolução CMN nº 4.893/2021 — Política de Segurança Cibernética - Resolução BCB nº 85/2021 — GRSIC e Serviços Relevantes de TI - Resolução BCB nº 32/2020 e atualizações — Open Finance Brasil - Resolução BCB nº 1/2020 — Pix (regulamento geral) - Resolução BCB nº 6/2023 — Medidas de prevenção a fraudes no Pix - Circular BCB nº 3.952/2019 — DICT - Lei 13.506/2017 — Processo Administrativo Punitivo do BACEN - Lei 4.595/1964 — Sistema Financeiro Nacional - Manual do Open Finance Brasil (OpenFinanceBrasil.org.br) - Guia de Segurança Cibernética BACEN (publicação orientativa) - Resolução CMN nº 4.557/2017 — Gestão de Riscos (complementar) - Lei 13.709/2018 (LGPD) — Interação com dados financeiros