Em 26 de abril de 2018, após um período de consulta pública, o Banco Central do Brasil (“BACEN”) publicou a Resolução nº 4.658, a qual dispõe sobre a obrigatoriedade de implementação de uma política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições financeiras e demais instituições autorizadas a funcionar pelo BACEN (a “Resolução”).

Dentre as principais obrigações a serem observadas por tais instituições, destacamos:

Política de Segurança Cibernética 

• Criação de política que assegure a disponibilidade, confidencialidade e integridade dos dados e sistemas de informação da instituição financeira, devendo abranger, dentre outros:

• procedimentos adotados para prevenir e detectar eventuais ataques cibernéticos;
• mecanismos para disseminação interna de uma cultura de segurança da informação; e
• classificação dos dados e informações das instituições quanto à relevância.

Plano de Ação e de Resposta de Incidentes

• Adequação da estrutura organizacional e operacional da entidade financeira aos princípios e diretrizes da política de segurança cibernética;
• Nomeação de um diretor responsável por questões de segurança da informação, bem como pela execução do plano de ação e resposta a incidentes; e
• Disponibilização ao BACEN de um relatório anual relativo à implementação do plano de ação.

Processamento e Armazenamento de Dados e de Computação em Nuvem

• Contratação de serviços relevantes de processamento e armazenamento de dados e de computação em nuvem, exigindo-se a observância de requisitos prévios às contratações, quais sejam:

• aplicação de cláusulas contratuais mínimas no contrato celebrado entre as instituições e os prestadores de serviço;
• comunicação ao BACEN sobre novas contratações ou alterações relevantes aos contratos já firmados, com a antecedência mínima de 60 dias; e
• observância de requisitos adicionais específicos em relação aos serviços relevantes de processamento e armazenamento de dados contratados de empresas estrangeiras.

A regulação da contratação de serviços de processamento e armazenamento de dados e de computação em nuvem vai exigir um novo nível de atenção, tanto por parte das instituições financeiras, quanto das próprias empresas de tecnologia prestadoras de serviços ao setor, as quais também precisarão se adequar. De acordo com a Resolução, além dos critérios que deverão ser observados para novas contratações, os contratos já firmados precisarão passar por revisão e adequação às normas, devendo as instituições apresentarem ao BACEN, no prazo máximo de 180 dias, o cronograma para adequação à Resolução.

Regular o tema se tornou essencial com a crescente utilização de meios eletrônicos e de inovações tecnológicas no setor financeiro. O número de transações realizadas online, principalmente por meio de aplicativos mobile, cresceu nos últimos anos e demonstra uma tendência já observada em outros segmentos, o que requer que as instituições tenham controles e sistemas cada vez mais robustos, especialmente quanto às ações contra ataques cibernéticos.

Justamente durante as últimas discussões do grupo de trabalho que definiram as regras da Resolução, o Banco Inter, um dos maiores bancos totalmente digitais do Brasil, teria sido vítima de um suposto vazamento de dados de seus clientes e estaria sofrendo uma tentativa de extorsão por parte dos Hackers responsáveis, os quais estariam exigindo o pagamento de determinada quantia para que não tornassem públicos 40 Gb de dados de correntistas.

Em 4 de maio de 2018, menos de uma semana após abrir seu capital por meio de uma oferta pública inicial de ações (IPO), tornou-se pública a notícia do suposto vazamento de informações do Banco Inter, o qual teria ocorrido por uma brecha de segurança em recursos de computação em nuvem utilizados pela instituição. A notifica fez com que as ações do Banco Inter despencassem mais de 10%, demonstrando o potencial de violações de segurança causarem danos reputacionais e financeiros.

Apesar de o Banco Inter negar o vazamento, bem como que tenha havido comprometimento da segurança no ambiente externo e dano à sua estrutura tecnológica, o Ministério Público do Distrito Federal e Territórios, por meio de sua Comissão de Proteção dos Dados Pessoais, instaurou um inquérito civil público para apurar e investigar os fatos e as circunstâncias do suposto incidente de segurança, identificar se houve comprometimento dos dados dos correntistas da instituição e avaliar responsabilidades.

Enquanto não temos uma previsão concreta de quando uma legislação geral de proteção de dados será votada pelo Congresso Nacional, o tema tende a ser regulamentado de forma segmentada, de acordo com as necessidades e preocupações de cada setor.

A Resolução é um importante marco infra legal com parâmetros claros de medidas de segurança da informação. Apesar do escopo da Resolução ser direcionado para instituições financeiras e demais instituições autorizadas a funcionar pelo BACEN, a Resolução, por sua robustez, pode servir de modelo para a regulamentação do tema em outros setores.