Contratar um fornecedor de segurança sob as regras do Banco Central

Uma cooperativa de crédito quer contratar o seu serviço de teste de intrusão e pergunta se pode. A resposta não está na política de compras dela: está no capítulo III da Resolução CMN nº 4.893, de 26 de fevereiro de 2021 — e, se o cliente for instituição de pagamento, no capítulo III da Resolução BCB nº 85, de 8 de abril de 2021, que é o mesmo capítulo com outro destinatário. São oito artigos que quase ninguém do lado do fornecedor leu, e eles dizem exatamente o que a instituição tem de verificar antes de assinar, o que o contrato precisa prever e em quanto tempo o Banco Central tem de ser avisado. Este texto percorre os oito artigos como o Diário Oficial os publica, mostra onde um provedor de teste de intrusão quase certamente se encaixa, e o que uma operação apoiada na Wardizon consegue colocar na mesa quando a pergunta chega.

O capítulo III, e a quem ele se aplica

A Resolução CMN nº 4.893 trata de duas coisas no mesmo texto: a política de segurança cibernética e os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. O art. 1º a dirige às instituições autorizadas a funcionar pelo Banco Central do Brasil, e o parágrafo único exclui expressamente as instituições de pagamento, que devem observar a regulamentação emanada do próprio Banco Central.^[1]

Essa regulamentação é a Resolução BCB nº 85, de 8 de abril de 2021 — mesmo objeto, destinatário diferente. E aqui está o achado que poupa trabalho de quem vende: o capítulo III das duas é o mesmo capítulo. Mesma numeração, arts. 11 a 18, e o texto é substantivamente idêntico; a diferença é a 4.893 dizer “as instituições referidas no art. 1º” onde a BCB 85 diz “as instituições de pagamento”. Não existem dois conjuntos de exigências para aprender.^[1][2]

As obrigações desses artigos são da instituição contratante, não do fornecedor. Mas cada uma delas se cumpre com alguma coisa que você tem ou não tem. O fornecedor que chega com as respostas prontas encurta a compra; o que não chega vira o motivo pelo qual o projeto para no comitê de risco, sem que ninguém diga isso com todas as letras.

O que faz um serviço ser “relevante”

O capítulo só morde quando o serviço é relevante, e a norma não traz uma lista. O art. 12, § 1º, manda a instituição contratante avaliar a criticidade do serviço e a sensibilidade dos dados e das informações a serem processados, armazenados e gerenciados pelo contratado, levando em conta a classificação que ela mesma faz nos termos do art. 3º, inciso V, alínea “c”.^[1]

O art. 13 define o que conta como computação em nuvem para efeito da resolução. São três hipóteses, e basta uma:^[1]

Um provedor de teste de intrusão entregue por navegador cai no inciso III: aplicativo implantado e desenvolvido pelo prestador, executado por meio da internet, sobre os recursos computacionais do próprio prestador. Quanto à sensibilidade, vale o teste honesto: uma lista das vulnerabilidades ainda não corrigidas de uma instituição financeira, com as evidências que as comprovam, está perto do topo do que aquela instituição guarda. A conclusão prudente é presumir que o serviço é relevante — e lembrar que essa avaliação é da instituição, não do fornecedor. Um prestador que se declara não relevante não está numa posição que a norma reconheça.

Há uma única exceção a esse julgamento caso a caso. O art. 22-B, incluído pela Resolução CMN nº 5.274, de 18 de dezembro de 2025, determina que o serviço prestado para a comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional é considerado relevante para efeito do capítulo da contratação, independentemente da forma de conexão. É o único serviço que a própria norma classifica.^[3]

• Processamento de dados, armazenamento, infraestrutura de redes e outros recursos que permitam à contratante implantar ou executar softwares.
• Implantação ou execução de aplicativos da contratante sobre os recursos computacionais do prestador.
• Execução, por meio da internet, de aplicativos implantados ou desenvolvidos pelo prestador, sobre os recursos computacionais dele.

As oito verificações que precedem a assinatura

O art. 12 é o coração do capítulo. Previamente à contratação de um serviço relevante, a instituição deve adotar procedimentos que contemplem práticas de governança e de gestão proporcionais à relevância do serviço e aos riscos — e a verificação da capacidade do potencial prestador de assegurar oito coisas, nomeadas uma a uma nas alíneas “a” a “h”:^[1]

O § 2º fecha o ponto: os procedimentos, inclusive as informações relativas a essa verificação, devem ser documentados. Lido do lado do fornecedor, isso quer dizer que o pedido chega por escrito e precisa ser respondido por escrito. O § 4º acrescenta que a própria instituição deve ter recursos e competências para gerir o serviço contratado, o que explica por que “pode confiar, é seguro” falha do lado do comprador mesmo quando o comprador quer comprar.^[1]

E há um parágrafo endereçado exatamente a quem entrega software pela internet: o § 3º exige que, na hipótese do art. 13, inciso III, a instituição assegure que o prestador adote controles que mitiguem os efeitos de eventuais vulnerabilidades na liberação de novas versões do aplicativo. É uma pergunta direta sobre o seu processo de release, feita pela norma ao seu cliente.^[1]

• O cumprimento da legislação e da regulamentação em vigor.
• O acesso da instituição aos dados e às informações processados ou armazenados pelo prestador.
• A confidencialidade, a integridade, a disponibilidade e a recuperação desses dados.
• A aderência às certificações exigidas pela instituição para o serviço.
• O acesso da contratante aos relatórios de auditoria independente contratada pelo prestador sobre os procedimentos e controles da prestação.
• O provimento de informações e de recursos de gestão adequados ao monitoramento do serviço.
• A identificação e a segregação dos dados dos clientes da instituição por controles físicos ou lógicos.
• A qualidade dos controles de acesso que protegem esses dados.

A alínea que incomoda

Vale reler a alínea “e” devagar, porque ela não pede o que se costuma supor. O que a instituição tem de verificar é o acesso dela aos relatórios elaborados por empresa de auditoria especializada independente contratada pelo prestador de serviço, relativos aos procedimentos e aos controles utilizados na prestação dos serviços. A auditoria é do fornecedor, paga pelo fornecedor, e a contratante tem direito de ler.^[1]

A alínea tem uma gêmea no art. 17, inciso V, letra “b”, que transforma esse acesso em cláusula contratual. Ou seja: não é um item simpático de questionário, é algo que o contrato precisa conceder. Quem nunca contratou uma auditoria independente dos próprios controles descobre a exigência no meio da negociação, quando já não dá para produzir uma em tempo.^[1]

Isso merece ser dito sem rodeio, inclusive contra o próprio interesse comercial: um MSP que vende segurança e não consegue mostrar uma avaliação independente dos seus controles está pedindo ao cliente uma coisa que ele mesmo não faz. A norma não nomeia certificação nenhuma — ela diz “empresa de auditoria especializada independente” e “procedimentos e controles utilizados na prestação dos serviços”. Qual padrão satisfaz isso é juízo da instituição. Chegar sem nada é deixar esse juízo sem material.

As nove cláusulas do art. 17

O art. 17 é a parte que o jurídico vai ler. Ele lista o que os contratos de prestação de serviços relevantes devem prever — nove incisos, sem margem para escolher alguns:^[1][2]

O parágrafo único trata da hipótese de o Banco Central decretar regime de resolução sobre a instituição contratante. Nesse caso o contrato deve dar ao responsável pelo regime acesso pleno e irrestrito aos contratos, à documentação, aos dados armazenados, às cópias de segurança e aos códigos de acesso. E deve obrigar o prestador a notificar com pelo menos trinta dias de antecedência a intenção de interromper o serviço, aceitando um pedido de trinta dias adicionais — inclusive quando a interrupção for motivada por inadimplência da contratante. É a cláusula que as áreas comerciais descobrem tarde.^[1]

• Os países e a região em cada país onde os serviços poderão ser prestados e os dados armazenados, processados e gerenciados.
• As medidas de segurança para a transmissão e o armazenamento desses dados.
• A manutenção, durante a vigência, da segregação dos dados e dos controles de acesso que protegem as informações dos clientes.
• Na extinção do contrato, a transferência dos dados ao novo prestador ou à contratante e a exclusão deles pela empresa substituída, após a transferência e a confirmação de integridade e disponibilidade.
• O acesso da contratante às informações que comprovem os três primeiros incisos, às certificações e relatórios de auditoria, e aos recursos de monitoramento.
• A obrigação de a contratada notificar a subcontratação de serviços relevantes.
• A permissão de acesso do Banco Central aos contratos, à documentação, aos dados, às cópias de segurança e aos códigos de acesso.
• A adoção de medidas pela contratante em decorrência de determinação do Banco Central.
• A obrigação de manter a contratante permanentemente informada sobre limitações que afetem o serviço ou o cumprimento da regulamentação.

Dois relógios, e eles não são o mesmo

O art. 15 manda comunicar a contratação ao Banco Central, com a denominação da empresa contratada, os serviços relevantes contratados e, no caso de contratação no exterior, os países e regiões. O § 2º fixa o prazo: até dez dias após a contratação. Depois, não antes. O § 3º estende os mesmos dez dias às alterações contratuais que mudem essas informações.^[1]

O outro relógio é o do art. 16, e ele só começa a correr quando o serviço é prestado no exterior. Aí a contratação exige convênio para troca de informações entre o Banco Central e as autoridades supervisoras dos países envolvidos, a garantia de que o serviço não embarace a atuação do Banco Central, a definição prévia dos países e regiões, e alternativas de continuidade. E o § 1º: não havendo convênio, a instituição tem de pedir autorização ao Banco Central no prazo mínimo de sessenta dias antes da contratação. O § 2º ainda exige assegurar que a legislação local não restrinja o acesso da contratante nem do Banco Central aos dados.^[1]

Resumos de segunda mão juntam os dois num “comunicar previamente ao Banco Central”. O texto não diz isso. A diligência do art. 12 é prévia; a comunicação do art. 15 é posterior, em dez dias; e a autorização de sessenta dias só existe quando falta o convênio. Para o fornecedor a consequência é concreta: hospedar no País mantém o cliente no relógio de dez dias, e hospedar fora pode colocar o negócio numa fila de sessenta dias antes de qualquer assinatura.

O que uma operação apoiada na Wardizon coloca na mesa

A alínea “b” do art. 12 pede o acesso da instituição aos dados processados pelo prestador, e o inciso V do art. 17 transforma isso em cláusula. Numa operação apoiada na Wardizon, o que delimita esse acesso é o documento que a norma pressupõe sem descrever: as Regras de Engajamento assinadas pelo cliente, que declaram os alvos, a janela, a profundidade e quem autorizou. É o registro a partir do qual o resto da pergunta tem resposta.^[4]

As alíneas “g” e “h” são as mais literais de todas: identificação e segregação dos dados dos clientes da instituição por controles físicos ou lógicos, e a qualidade dos controles de acesso que protegem esses dados. É exatamente a pergunta que um MSP multi-cliente precisa responder sobre a própria plataforma, e ela aparece de novo no art. 17, inciso III, como obrigação durante toda a vigência do contrato.^[5]

O resto do capítulo pede material, não garantias. O relatório com as evidências, a severidade e a orientação de correção é o que sustenta a alínea “f” e o monitoramento do inciso V; o mapeamento para áreas de controle é o que permite à instituição ligar o serviço contratado ao próprio inventário. Uma coisa, porém, a plataforma não substitui: o relatório de auditoria independente dos controles do prestador, da alínea “e”, é do MSP e tem de ser contratado por ele.^[6][7]

O que este texto não é

Este artigo descreve o que as resoluções dizem; não substitui a leitura dos textos oficiais nem a assessoria jurídica da instituição. Vale guardar dois limites do próprio capítulo: o art. 14 mantém a contratante responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços contratados, de modo que terceirizar não move essa responsabilidade; e o art. 18 afasta os arts. 11 a 17 da contratação de sistemas operados por câmaras, por prestadores de serviços de compensação e de liquidação e por entidades de registro ou depósito centralizado. As três resoluções citadas estão publicadas no Diário Oficial da União e são curtas.^[1][2][3]

A alínea “b” do art. 12 pergunta a que a instituição terá acesso, e isso se resolve por escrito antes de qualquer execução: o modelo de Regras de Engajamento traz as doze cláusulas, o checklist de pré-voo e o e-mail de autorização para enviar à instituição.