Conhecimentos Bancários

Segurança cibernética: Resolução CMN 4.893/2021

4 min de leitura17 questões

Cai no edital de Banco do Brasil, Caixa Econômica Federal

Para revisar

Resumo

Objetivo (art. 2º). A instituição autorizada pelo Banco Central deve implementar e manter política de segurança cibernética baseada em princípios que busquem assegurar confidencialidade, integridade e disponibilidade dos dados e sistemas. A política deve ser compatível com porte, perfil de risco, modelo de negócio, natureza das operações e sensibilidade dos dados. Conglomerado prudencial e sistema cooperativo podem adotar política única.

Divulgação. Interna, a empregados e prestadores, em linguagem clara e no nível de detalhe do papel de cada um (art. 4º). Externa, com resumo das linhas gerais da política ao público (art. 5º).

Quem fica fora (art. 1º, parágrafo único). Instituições de pagamento, administradoras de consórcio, corretoras e distribuidoras seguem regulamentação própria do Banco Central.

Governança. Política e plano de ação e resposta a incidentes são aprovados pelo conselho de administração ou, se não houver, pela diretoria (art. 9º) e revisados ao menos anualmente (art. 10). Há diretor responsável, que pode acumular funções sem conflito de interesses (art. 7º). O relatório anual tem data-base de 31 de dezembro e vai ao conselho até 31 de março (art. 8º). O público recebe um resumo das linhas gerais (art. 5º).

Mudanças da Resolução CMN 5.274/2025. Múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambiente externo (art. 3º, § 9º, III); testes de intrusão ao menos anuais, com independência (art. 22-A); ambientes Pix e STR isolados física e logicamente (art. 3º-A, I, b e c).

Nuvem. A contratação de serviço relevante é comunicada ao Banco Central em até 10 dias (art. 15, § 2º). Sem convênio com o país estrangeiro, é preciso pedir autorização com 60 dias de antecedência (art. 16, § 1º). A instituição contratante continua responsável pela segurança e pelo sigilo (art. 14).

Guarda (art. 23). Documentos como a política, as atas, o plano e o relatório ficam à disposição do Banco Central por cinco anos.

Detalhes da norma

Conteúdo mínimo (art. 3º). Objetivos de segurança cibernética, procedimentos e controles para reduzir a vulnerabilidade a incidentes, controles que protejam informações sensíveis com rastreabilidade, registro, análise da causa e do impacto e contenção de incidentes relevantes, diretrizes para testes de continuidade, classificação de dados, medidas de cultura como treinamento e orientação a clientes, e compartilhamento de informações sobre incidentes com outras instituições.

Plano de ação e resposta a incidentes (art. 6º). Implementa a política e define ajustes organizacionais, ferramentas de prevenção e resposta e a unidade que registra os efeitos dos incidentes.

Prazo e demais controles da 5.274. Instituições em funcionamento tiveram até 1º de março de 2026 para se adaptar (art. 2º da 5.274). Entram também segmentação de rede, gestão de certificados digitais, perfis de configuração segura e ações de inteligência cibernética, com monitoramento da internet, da Deep Web e da Dark Web (art. 3º).

Visão geral

Ponto	Regra
Aprovação	Conselho de administração ou, sem ele, diretoria
Revisão	No mínimo anual
Relatório	Data-base 31/12, apresentado até 31/3
Comunicação de nuvem relevante	Até 10 dias após contratar
Exterior sem convênio	Autorização, 60 dias antes
Teste de intrusão	Mínimo anual e independente
Ambientes Pix e STR	Isolados, com múltiplos fatores
Guarda de documentos	Cinco anos

Regra

Ver íntegra

Terceirizar o serviço não transfere a responsabilidade: ela continua com a instituição contratante.

Pontos-chave

Tríade: confidencialidade, integridade e disponibilidade.
Resumo da política é público; a política inteira, não.
Prestador não acessa chaves privadas usadas na assinatura de mensagens (art. 3º-A, I, f).
Ao fim do contrato, os dados são transferidos e só depois excluídos (art. 17, IV).

Como a Cesgranrio cobra

Exemplos autorais, no formato da banca.

"A contratação de nuvem transfere ao prestador a responsabilidade pelo sigilo dos dados." → errada (art. 14).
"O relatório anual tem data-base de 31 de dezembro." → correta (art. 8º).
"A política de segurança cibernética deve ser revisada a cada cinco anos." → errada: a revisão é no mínimo anual (art. 10).

Referência

Fontes consultadas (2)

Mapa mental

Política
- Confidencialidade
- Integridade
- Disponibilidade
- Compatível com porte e risco
Governança
- Aprovada pelo conselho
- Revisão anual
- Diretor responsável
- Relatório: 31/12 e 31/3
Controles (Res. 5.274/2025)
- MFA em acesso externo
- Teste de intrusão anual
- Pix e STR isolados
Nuvem
- Comunicar em 10 dias
- ⚠️ Sem convênio: autorização 60 dias antes
- ⚠️ Responsabilidade segue com a contratante
Política: conteúdo e divulgação
- Divulgação interna e resumo ao público
- Plano de ação e resposta a incidentes
- Guarda: 5 anos ao BC

Questão 1, Banco do Brasil, Múltipla escolha
De acordo com a Resolução CMN 4.893/2021, a política de segurança cibernética deve buscar assegurar, quanto aos dados e sistemas de informação utilizados:
1. A)
  economicidade, publicidade e eficiência
2. B)
  confidencialidade, integridade e disponibilidade
3. C)
  liquidez, solvência e rentabilidade
4. D)
  autoria, anonimato e irretratabilidade
5. E)
  legalidade, moralidade e impessoalidade
Revelar gabarito
Gabarito: letra B
O art. 2º da Resolução CMN 4.893/2021 orienta a política por princípios que busquem assegurar confidencialidade, integridade e disponibilidade dos dados e sistemas. Liquidez, solvência e rentabilidade soam bancárias, mas descrevem a saúde financeira da instituição, e não a proteção da informação.
Questão 2, Banco do Brasil, Múltipla escolha
A política de segurança cibernética e o plano de ação e de resposta a incidentes devem ser aprovados, conforme a Resolução CMN 4.893/2021, pelo(a):
1. A)
  Banco Central do Brasil
2. B)
  Conselho Monetário Nacional
3. C)
  auditoria independente
4. D)
  ouvidoria da instituição
5. E)
  conselho de administração ou, na sua inexistência, diretoria da instituição
Revelar gabarito
Gabarito: letra E
O art. 9º atribui a aprovação da política e do plano de resposta a incidentes ao conselho de administração ou, se não houver, à diretoria. O Banco Central supervisiona o cumprimento da norma, mas não aprova documento de governança interna da instituição.
Questão 3, Banco do Brasil, Múltipla escolha
O relatório anual sobre a implementação do plano de ação e de resposta a incidentes tem data-base de 31 de dezembro e deve ser apresentado ao conselho de administração ou, na sua inexistência, à diretoria até:
1. A)
  31 de janeiro do ano seguinte
2. B)
  28 de fevereiro do ano seguinte
3. C)
  31 de março do ano seguinte
4. D)
  30 de junho do ano seguinte
5. E)
  31 de dezembro do ano seguinte
Revelar gabarito
Gabarito: letra C
O art. 8º, § 2º, II, manda apresentar o relatório anual, de data-base 31 de dezembro, até 31 de março do ano seguinte. Prazos anteriores, como fevereiro, são tentadores por parecerem mais rigorosos, mas não correspondem ao que a norma estabelece.
Questão 4, Banco do Brasil, Múltipla escolha
A contratação de serviço relevante de computação em nuvem deve ser comunicada ao Banco Central do Brasil, segundo a Resolução CMN 4.893/2021:
1. A)
  até dez dias após a contratação
2. B)
  até sessenta dias antes da contratação
3. C)
  até trinta dias após a contratação
4. D)
  somente quando o serviço for prestado no exterior
5. E)
  somente em caso de incidente relevante
Revelar gabarito
Gabarito: letra A
O art. 15, § 2º, determina comunicar ao Banco Central a contratação de serviço relevante de nuvem em até 10 dias depois de contratar. Sessenta dias antes é a distratora mais tentadora, pois esse prazo se aplica somente à autorização para país sem convênio.
Questão 5, Banco do Brasil, Múltipla escolha
Um banco pretende contratar serviço relevante de nuvem em país sem convênio de troca de informações com o Banco Central do Brasil. Nesse caso, o banco deve:
1. A)
  apenas comunicar a contratação em até dez dias
2. B)
  desistir da contratação, pois ela é proibida
3. C)
  obter aprovação do Conselho Monetário Nacional
4. D)
  solicitar autorização do Banco Central com, no mínimo, sessenta dias de antecedência
5. E)
  informar os clientes e aguardar trinta dias
Revelar gabarito
Gabarito: letra D
Sem convênio com o país estrangeiro, o art. 16, § 1º, I, exige solicitar autorização ao Banco Central com pelo menos 60 dias de antecedência. Comunicar em até dez dias basta apenas no caso geral, e a contratação não é proibida, somente condicionada.

Ver as 17 questões

Estude Banco do Brasil no app

Grátis, sem cartão

Começar, é grátis