O impacto das resoluções BCB 538 e CMN 5.274 na segurança cibernética do setor financeiro

O mercado financeiro brasileiro vive um momento de inflexão regulatória.

As resoluções BCB nº 538/2025   e  CMN nº 5.274/2025 consolidam um movimento que já vinha sendo sinalizado há alguns anos: a segurança cibernética deixa de ser tratada como disciplina técnica e passa a ser reconhecida como componente essencial da estabilidade do sistema financeiro.

Essa mudança não é apenas conceitual. Ela redefine expectativas, responsabilidades e critérios de supervisão.

Na prática, o Banco Central afirma de forma objetiva que risco cibernético é risco sistêmico. E, se é sistêmico, exige governança estruturada, monitoramento contínuo e capacidade de comprovação formal.

A era da conformidade baseada apenas em políticas e declarações formais está ficando para trás.

O que são as resoluções BCB 538 e CMN 5.274

As resoluções BCB nº 538 e CMN nº 5.274 estabelecem novas diretrizes para a gestão de segurança cibernética nas instituições supervisionadas pelo Banco Central.

O objetivo dessas normas é elevar o nível de maturidade das organizações na gestão de riscos digitais, exigindo controles técnicos operacionais, governança estruturada e evidências auditáveis.

Isso significa que as instituições financeiras precisam demonstrar que seus controles de segurança não apenas existem, mas que funcionam continuamente.

Com as novas resoluções, essa lacuna se torna muito mais difícil de sustentar. Agora, a governança precisa ser comprovável.

O novo cenário regulatório do Banco Central para segurança cibernética

Historicamente, muitas instituições estruturam seus programas de segurança com foco em políticas formais, controles documentados e auditorias periódicas. Embora já existisse um nível de exigência alto, na prática, ainda havia um certo distanciamento entre o que estava descrito nas políticas e o que acontecia na operação diária.

O cenário atual é diferente.

As novas resoluções exigem:

• Controles técnicos implementados e operacionais
• Monitoramento contínuo e estruturado
• Governança formal sobre acessos e privilégios
• Gestão de terceiros com critérios claros
• Evidências rastreáveis para supervisão

O regulador não quer apenas saber se existe um controle definido na política. Ele quer verificar se ele funciona, se é revisado regularmente, se gera registro (evidências) e se está integrado à governança da instituição.

Essa mudança aumenta significativamente a pressão sobre as áreas de Segurança, Risco, Compliance e Tecnologia. E o mercado financeiro está se movimentando para garantir adequação.

Por que identidade digital se tornou o principal vetor de risco

Grande parte das exigências regulatórias atuais convergem para um ponto central: identidade digital.

Quando analisamos os principais incidentes de segurança no setor financeiro nos últimos anos, um padrão se repete.

Na maioria das vezes, não se trata de ataques altamente sofisticados que rompem perímetros tecnológicos complexos. O problema está em:

• credenciais comprometidas
  
• privilégios excessivos
  
• acessos indevidos
  
• contas técnicas negligenciadas
  
• falhas de governança sobre terceiros

Em um ambiente de Pix, Open Finance, APIs e integrações com múltiplos parceiros, cada identidade digital, humana ou não humana, representa uma porta potencial.

Colaboradores, clientes, fornecedores, sistemas automatizados e integrações externas formam um ecossistema altamente conectado. Se esse ecossistema não for governado de forma estruturada, o risco não é apenas operacional, é regulatório e sistêmico.

É nesse ponto que a pressão do Banco Central se torna estratégica. A exigência não é apenas proteger sistemas.  É proteger e governar identidades de forma robusta.

O impacto das novas regras na alta gestão

Outro aspecto relevante do novo ciclo regulatório é o deslocamento da responsabilidade para níveis mais altos da organização.

A segurança cibernética passa a integrar a agenda de governança corporativa. Agora a discussão não fica só na camada técnica, ela vai também para o Board. Conselhos e diretorias precisam ter a certeza de que a empresa tem visibilidade clara sobre:

• Nível de exposição a risco cibernético
• Maturidade dos controles de identidade
• Dependência de terceiros críticos
• Capacidade de resposta a incidentes
• Evidências disponíveis para fiscalização

Sem indicadores consistentes e estrutura de governança, a alta gestão opera no escuro. E operar no escuro, em um ambiente regulado, é um risco estratégico.

O que o Banco Central realmente espera das instituições

Ainda há uma interpretação superficial das novas resoluções que as reduz a uma lista de controles técnicos: MFA, monitoramento, testes de intrusão, gestão de vulnerabilidades.

Mas a exigência vai além.

O que o Banco Central busca avaliar é capacidade organizacional de gestão de risco cibernético.

Isso envolve quatro dimensões principais.

1. Governança  - clareza de papéis, responsabilidades e reporte ao Conselho.
   
2. Processo - ciclo de vida de identidades estruturado, formalizado e auditável.
   
3. Tecnologia - integração entre soluções de IAM, IGA, PAM e monitoramento de acessos.
   
4. Evidência - rastreabilidade contínua e capacidade de geração rápida de relatórios para auditoria e supervisão.
   
   

Não se trata apenas de implementar ferramentas. Trata-se de estruturar um modelo sustentável de governança de identidades.

O desafio real das instituições financeiras

A maior dificuldade não está em adquirir tecnologia. Está em estruturar maturidade.

Muitas instituições possuem soluções de controles de autenticação e processos de auditoria. O problema surge quando esses elementos operam de forma fragmentada. E isso, na prática, é uma das coisas mais comuns.

Silos tecnológicos, revisões manuais, falta de integração entre governança e operação e ausência de consolidação de evidências criam uma falsa sensação de segurança.

Em um ambiente de supervisão mais rigorosa, essa fragmentação se torna vulnerabilidade relevante.

Conformidade regulatória como habilitador de crescimento

Existe uma percepção recorrente de que a pressão regulatória atua apenas como restrição. Na prática, quando a segurança é estruturada de forma madura, ela se torna um fator de aceleração.

Uma instituição que governa identidades digitais com rigor consegue:

• reduzir riscos de fraude
• aumentar eficiência operacional
• acelerar iniciativas digitais
• ampliar a confiança de parceiros e reguladores

Segurança bem estruturada não limita inovação. Ela cria as bases para crescimento sustentável e confiança no ecossistema financeiro.

O papel da Sec4U na adequação de programas de identidades

A Sec4U atua como parceira estratégica de Identity Security, ajudando instituições financeiras a estruturar programas de governança de identidades alinhados às exigências regulatórias.

Entre os principais objetivos estão:

• estruturar programas de identidade digital alinhados à regulação
• reduzir riscos de fraude e abuso de credenciais
• fortalecer a governança de acessos e privilégios
• preparar a organização para futuras exigências regulatórias

Mais do que implementar soluções, a Sec4U transforma identidade digital em um ativo estratégico de segurança e crescimento.

Uma agenda estratégica para o setor financeiro

A evolução regulatória conduzida pelo Banco Central reforça uma tendência clara: identidade digital torna-se um elemento central da gestão de risco e da governança de segurança no setor financeiro.

Para muitas instituições, o desafio não está apenas em atender às novas exigências, mas em estruturar programas de identidade capazes de oferecer visibilidade contínua sobre acessos, privilégios e riscos.

Como especialistas em programas de Identity Security, a Sec4U acompanha de perto essa evolução do mercado e mantém diálogo constante com organizações que buscam amadurecer sua governança de identidades.

Para instituições que estão avaliando os impactos das novas resoluções, aprofundar essa discussão e trocar perspectivas pode ser um passo importante na construção de uma estratégia consistente de segurança e conformidade.

E se fizer sentido uma conversa com um de nossos especialistas, estamos prontos para apoiar a sua organização a estruturar ou melhorar seu programa de identidades.